Brief regering : Reactie op Evaluatie Autoriteit Persoonsgegevens

Nr. 242
BRIEF VAN DE STAATSSECRETARIS VAN JUSTITIE EN VEILIGHEID

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 14 juli 2025

Op 3 maart jl. heeft de Autoriteit Persoonsgegevens (AP) uw Kamer de brede evaluatie1 over het functioneren van de AP aangeboden, die is uitgevoerd door Tilburg University
en Berenschot. Deze evaluatie bestaat uit het evaluatierapport van Tilburg University
en Berenschot (hierna: evaluatierapport), het advies van de Begeleidingscommissie
Evaluatie AP (hierna: advies van de Begeleidingscommissie),2 en het document «Aanbevelingen en adviezen van de Begeleidingscommissie» (hierna:
aanbevelingen van de Begeleidingscommissie).3

Met deze brief reageer ik op deze evaluatie, zoals eerder aangekondigd in mijn brief
van 3 maart jl.4 In deze brief ga ik eerst in op de randvoorwaarden van de Kaderwet zelfstandige bestuursorganen
(hierna: Kaderwet zbo’s) en specifiek op de vraag of deze evaluatie duidelijkheid
verschaft over het doelmatig en doeltreffend functioneren van de AP zoals vereist
in artikel 39 Kaderwet zbo’s. Vervolgens geef ik mijn inhoudelijke reactie op de aanbevelingen
van de Begeleidingscommissie, die mede op grond van het onderzoek dat is uitgevoerd
door Tilburg University en Berenschot tot stand zijn gekomen.

1. Randvoorwaarden Kaderwet zbo’s

Zoals is aangekondigd in mijn bovengenoemde Kamerbrief van 3 maart jl. en in een Kamerbrief5 van de toenmalige Minister voor Rechtsbescherming van 30 mei 20246 ga ik hierbij in op de vraag of het eindrapport Evaluatie AP voldoende duidelijkheid
verschaft over het doelmatig en doeltreffend functioneren van de AP, zoals vereist
in de Kaderwet zbo’s.

1.1 Criteria voor evaluatie van een zbo

Volgens artikel 39 van de Kaderwet zbo’s moet elke vijf jaar een evaluatie plaatsvinden
van de «doelmatigheid en doeltreffendheid van het functioneren van een zelfstandig
bestuursorgaan», die de Minister aan het parlement moet zenden. Met de term «doelmatigheid»
wordt bij dergelijke evaluaties gedoeld op «de vraag of dezelfde productie met de
inzet van minder middelen gerealiseerd kan worden, dan wel de vraag of niet méér productie
verwezenlijkt kan worden met een gelijke hoeveelheid middelen».7 «Doeltreffendheid» ziet op de vraag of de gewenste resultaten en effecten zijn bereikt.

Het doel van de evaluatie is in de memorie van toelichting bij de Kaderwet zbo’s als
volgt omschreven: «Aan de hand van het verslag dient een beoordeling mogelijk te zijn van de doeltreffendheid
en doelmatigheid van het functioneren van het zelfstandig bestuursorgaan (…) en van
de wenselijkheid van voortzetting van de taakuitoefening door het zelfstandig bestuursorgaan (...).»8 Zo’n evaluatie is niet primair gericht op het voortbestaan van het zbo, maar dient
ter bezinning op de doelen en verwachtingen van instelling van het zbo en op het systeem
van toezicht.9 Ook dient de evaluatie om de leer- en verbetercyclus binnen de driehoek (opdrachtgever,
opdrachtnemer en eigenaar) te versterken.10

1.2 Opdrachtgeverschap van de evaluatie

Zoals eerder aangekondigd in de brief van de toenmalige Minister voor Rechtsbescherming
van 30 mei 2024 heeft de zbo-evaluatie van de AP vertraging opgelopen, vanwege een
discussie tussen het departement en de AP over de opzet en uitvoering van de zbo-evaluatie.11 De AP beroept zich in de discussie over het opdrachtgeverschap van de evaluatie op
haar vergaande onafhankelijkheid, op grond van Europese regelgeving. In het commissiedebat
Bescherming persoonsgegevens en digitale grondrechten van 18 maart jl. heb ik toegezegd
om in de onderhavige brief een nader standpunt in te nemen over de vraag of de AP
zelf opdrachtgever van de evaluatie zou moeten, kunnen of mogen zijn (Kamerstuk 32 761, nr. 318).

Evenals de toenmalige Minister voor Rechtsbescherming ben ik van mening dat het niet
in lijn is met de gangbare interpretatie van de Kaderwet zbo’s dat de AP zelf opdrachtgever
is van zijn eigen zbo-evaluatie. Op grond daarvan is de Minister eindverantwoordelijk
voor de evaluatie. De circulaire «Governance ten aanzien van zbo’s» beschrijft de
formele rolverdeling tussen het ministerie en het zbo.12 In de circulaire staat dat het ministerie (de zogeheten «eigenaar») de vijfjaarlijkse
evaluatie organiseert van het zbo op doelmatigheid en doeltreffendheid.13 Daarnaast staat in de Handleiding zbo-evaluaties dat het ministerie (de eigenaar),
na overleg met het zbo, de opzet van het evaluatieonderzoek vaststelt en de onafhankelijkheid
van de evaluatie borgt.14

De achterliggende logica is dat het desbetreffende departement de politieke eindverantwoordelijkheid
draagt voor het behartigen van een publieke taak of voor de werking van een wettelijk
stelsel («systeemverantwoordelijkheid»). Dit vergt dat de bewindspersoon de werking
van een deel van de publieke sector stelselmatig volgt en ingrijpt indien een wijziging
van het systeem gewenst is, bijvoorbeeld door een wetswijziging te initiëren.15 Omdat het doelmatig en doeltreffend functioneren van een zbo gevolgen kan hebben
voor de werking van het wettelijke stelsel, ligt het in de rede dat het departement
deze zbo-evaluaties faciliteert door daarbij als opdrachtgever te fungeren.

De onafhankelijkheid van de AP maakt het voorgaande niet anders. Het onderzoek naar
de doelmatige en doeltreffende besteding van middelen tast de onafhankelijkheid van
de AP namelijk niet aan in het uitvoeren van haar wettelijke taken. Dat is bovendien
bevestigd in Europese wet- en regelgeving. Op grond van artikel 52, zesde lid, en
overweging 118 van de Algemene Verordening Gegevensbescherming (hierna: AVG) betekent
de onafhankelijkheid van de toezichthoudende instantie niet dat zij niet kan worden
onderworpen aan controle- of toezichtmechanismen betreffende haar financiële uitgaven.
Daarnaast zijn met de oprichting van de AP in de Uitvoeringswet Algemene verordening
gegevensbescherming (hierna: UAVG) waarborgen opgenomen waardoor de AP in volledige
onafhankelijkheid kan optreden bij de uitvoering van haar taken en bevoegdheden doordat
meerdere bepalingen uit de Kaderwet zbo’s niet van toepassing zijn.16

De Begeleidingscommissie memoreert dat uit een uitspraak17 van het Hof van Justitie van de EU voortvloeit dat de onafhankelijkheid van de AP
zich goed verdraagt met een vorm van publieke verantwoording.18 De commissie vindt dat de onafhankelijkheid van de AP met de Kaderwet zbo’s op adequate
wijze zijn beslag krijgt in de instelling en de organisatie van de AP en haar verantwoordelijkheid
voor de personele bezetting.19 De Begeleidingscommissie neemt geen standpunt in over het opdrachtgeverschap maar
beveelt aan hierover bij de volgende evaluatie vooraf tot overeenstemming te komen.20

Overigens is het bij andere toezichthouders met een Europeesrechtelijke onafhankelijke
positie gebruikelijk dat de zbo-evaluatie in opdracht van het ministerie geschiedt.21

De Minister van Binnenlandse Zaken en Koninkrijksrelaties (BZK) is voornemens om te
komen met een wetsvoorstel tot modernisering van de Kaderwet zbo’s.22 Het is haar streven om hierbij invulling te geven aan de wens van uw Kamer23 om autoriteiten met een sterke mate van onafhankelijkheid, op regelmatige basis onafhankelijk
te laten evalueren24. Dit zal verdere helderheid geven over de vraag naar de eindverantwoordelijkheid
voor zo’n evaluatie en wat de onafhankelijke positie van dergelijke autoriteiten betekent
voor het opdrachtgeverschap van een evaluatie.

1.3 Uitkomsten Evaluatierapport Tilburg University en Berenschot

Het evaluatierapport van Tilburg University en Berenschot gaat in op de missie en
visie van de AP, haar operationeel vermogen en haar omgeving. Het rapport bevat geen
adviezen, maar conclusies.25

1.3.1 Inzicht in het doelmatig en doeltreffend functioneren van de AP

In het evaluatierapport wordt niet vastgesteld in hoeverre de AP doelmatig en doeltreffend
functioneert. De onderzoekers beschouwen het als «moeilijk om analytisch een uitspraak
te doen over het daadwerkelijk effect van de AP op naleving van de AVG of breder de
zorgvuldige omgang met persoonsgegevens».26 Dit komt door het ontbreken van een meetinstrumentarium en bepaalde indicatoren.
De AP beschikt niet over een instrumentarium om het effect van de prestaties in het
toezichtveld te meten en interventies op basis hiervan af te wegen.27 Daarmee is het voor zowel de AP zelf als voor de onderzoekers «niet goed mogelijk
geweest om tot oordelen te komen of zij het goed of beter doet dan voorheen».28 Ook is er «geen organisatiediagnose uitgevoerd om de efficiëntie van de werkstromen
en de verbindingen daartussen (kwantitatief) te analyseren».29

Evenmin beschikt de AP over «outcome»-indicatoren, dat wil zeggen meetindicatoren
die meer gericht zijn op «outcome» en aldus iets zeggen over de effectiviteit van
het toezicht of van concrete interventies.30 De «outcome» van de AP-prestaties wordt nu niet systematisch in kaart gebracht.31 Op dit moment is volgens de onderzoekers alleen de «output» te meten (aantallen klachtafhandelingen, opgelegde boetes en afgeronde onderzoeken)
en zijn vooral output-indicatoren voorhanden, maar is de «outcome» nog niet te meten.32 De onderzoekers definiëren outcome als het effect van de output, dus het «feitelijke effect op de bescherming van persoonsgegevens
en burgers».33

Volgens de onderzoekers zijn «outcome»-indicatoren nodig voor een betere onderbouwing
van de strategische keuzes en keuzes ten aanzien van de inzet van capaciteit («de
meeste impact»).34 Het evaluatierapport beschrijft aan de hand van een strategie en visie tal van outcome-indicatoren
waarmee een toekomstige evaluatie beter kan vaststellen of de geambieerde publieke
waarde ook daadwerkelijk wordt gerealiseerd.35 Met behulp van deze indicatoren en periodieke metingen kan een meetinstrument of
dashboard worden gevuld.36

In verband met het ontbreken van het meetinstrument en de outcome-indicatoren onderstreept
het evaluatierapport dat de AP nog stappen heeft te zetten in het inzichtelijk maken
van effectief beheer over zijn financiële en menselijke resources, waardoor de organisatie
met de beschikbare middelen maximale resultaten weet te behalen.37

Reactie

Ik stel vast dat de evaluatie een brede blik op de ontwikkeling van de AP in de onderzochte
periode toont en waardevolle inzichten biedt over de AP en haar werk. De evaluatie
heeft echter niet voldoende inzicht gegeven in het doelmatig en doeltreffend functioneren
van de AP zoals vereist door artikel 39 van de Kaderwet zbo’s. Het rapport heeft onvoldoende
inzicht gegeven in efficiëntieverbetering, effectief gebruik van middelen en risicobeheersing,
terwijl dit inzicht van belang is om de toezichtstaak van de AP optimaal te kunnen
vervullen. Zoals hierboven beschreven komt dat vooral omdat dit in de betreffende
periode niet goed gemeten kon worden, vanwege het ontbreken van een meetinstrument
en outcome-indicatoren en ligt het niet zozeer aan de uitgevoerde evaluatie als zodanig.
Naast outcome-indicatoren (effectiviteit) zijn doelmatigheidsindicatoren nodig. Ik
duid ze hierna tezamen aan als «indicatoren».

Ik heb met de AP afgesproken dat zij in de nabije toekomst, in samenspraak met JenV,
een meetinstrument en indicatoren ontwikkelt om inzicht te krijgen in het doelmatig
en doeltreffend functioneren van de AP en om op een transparante wijze te verantwoorden
dat middelen doelmatig en doeltreffend worden besteed. De AP heeft mij laten weten
dit mede te gaan doen aan de hand van de suggesties daarvoor in §6.2 van het evaluatierapport.
Betrokkenheid van JenV lijkt mij nuttig, bijvoorbeeld om te waarborgen dat definities
en interpretaties eenduidig zijn en om na te gaan of kan worden voldaan aan de wettelijke
evaluatieverplichting omtrent doelmatigheid en doeltreffendheid.

Omdat bij ieder zbo sprake is van een unieke politiek-bestuurlijke omgeving, is er
altijd sprake van maatwerk bij het opstellen van de indicatoren. De outcome-indicatoren
kunnen worden gebaseerd op de wettelijke taken van het zbo en de achterliggende beleidsdoelstellingen
daarvan.38 Voor doelmatigheidsindicatoren kan worden gekeken naar vergelijkbare organisaties
die onder vergelijkbare omstandigheden en binnen een vergelijkbare context opereren.
Zo kan er worden gekeken naar gegevensbeschermingstoezichthouders uit andere EU-lidstaten.39 Mocht een vergelijking met andere organisaties vanwege het unieke karakter van het
zbo niet mogelijk zijn, dan zou een alternatief kunnen zijn om de methode voor de
meerjarige meting van productiviteitsontwikkeling van IPSE Studies te gebruiken, waarmee
de doelmatigheidsmeting is te benaderen.40 Mocht daartoe aanleiding blijken, dan is het denkbaar dat ook externe deskundigheid
wordt ingewonnen.

1.3.2 Relatie met budget AP

De AP pleit al jaren voor extra financiële middelen. De AP vindt dat het onmogelijk
is om met het huidige toegekende budget al haar wettelijke taken afdoende en effectief
uit te voeren en daarnaast haar organisatie ook bedrijfsmatig adequaat in te richten,
passend bij de onafhankelijke status van de AP.41 In het rapport van de Parlementaire Enquêtecommissie Fraudebeleid en Dienstverlening
(PEFD) is tevens een aanbeveling opgenomen om het jaarbudget van de AP te verhogen.42

De AP krijgt een lumpsum financiering vanuit het Ministerie van Justitie en Veiligheid.
Het budget is de afgelopen vijf jaar verdubbeld en gegroeid naar ongeveer 49 miljoen
euro structureel vanaf 2025. Binnen deze financiële kaders bepaalt de AP onafhankelijk
hoe zij haar middelen besteedt over haar wettelijke taken.

Samen met de AP wil ik stappen zetten om te komen tot een meer objectieve basis die
ondersteunend is bij de besluitvorming over een passende hoogte van het budget van
de AP.

Een eerste stap is het ontwikkelen van het meetinstrument en de indicatoren, zoals
beschreven in de vorige paragraaf. De evaluatie geeft geen antwoord op de vraag of
het huidige budget van de AP passend is. De mate van informatievoorziening van een
zbo-evaluatie is immers mede afhankelijk van de aanwezigheid van (robuuste en goed
meetbare) indicatoren.43 Door het ontbreken van effectmeting en een solide datapositie is het uitdagend om
objectief inzicht te krijgen in de impact van keuzes in het budget.44 Inzicht in doelmatigheid en doeltreffendheid is een cruciale laag van informatie
die een randvoorwaarde is om objectief te kunnen beoordelen of het budget passend
is.

Een tweede stap is dat de AP in beeld brengt welk deel van haar budget vastligt in
reactieve activiteiten en welk deel proactieve activiteiten betreft. Reactieve activiteiten
zijn taken waarvan de AP het volume niet kan beïnvloeden en waarbij haar inzet volgt
op een externe vraag en de AP tot uitvoering van de activiteit verplicht is.45 Voorbeelden zijn het behandelen van klachten en datalekmeldingen, het uitbrengen
van wetgevingsadviezen en het beoordelen van bindende bedrijfsvoorschriften. Proactieve
activiteiten zijn taken waarvan de AP het volume wel kan beïnvloeden en waarbij de
AP de initiator is van de activiteit, zoals ambtshalve onderzoeken, verkennende onderzoeken
en voorlichting op eigen initiatief. Deze categorisering naar type taakuitvoering
maakt inzichtelijk binnen welk deel van haar budget de AP beschikt over ruimte voor
prioritering. Hierdoor kan beter worden beoordeeld of een financiële claim met de
bestaande middelen onvoldoende kan worden uitgevoerd.

Een derde stap is om bij de onderbouwing voor financiële claims meer de verbinding
te maken met het niveau van een hoofdproduct zodat een productgerelateerd budget (de
kostprijs per hoofdproduct) te bepalen is. Hierbij verdient het voorstel van KPMG
overweging, om de financiering te onderbouwen aan de hand van oorzaken van de kosten
door onder meer een kostprijsmodel te hanteren, zodat scherper inzicht ontstaat in
de samenhang tussen activiteiten, inzet van middelen en de keuzes die hierin te maken
zijn.46 Voor zover mogelijk zou de bekostiging moeten worden onderbouwd aan de hand van de
(gemiddelde) kostprijs, vermenigvuldigd met de geschatte hoeveelheid diensten of producten
(P maal Q). Dit kan als onderbouwing dienen voor de lumpsumbekostiging.

Denkbaar is tot slot om een vergelijkend onderzoek te laten doen naar de budgetten
van Europese gegevensbeschermingstoezichthouders, waarbij onder meer rekening wordt
gehouden met nationale verschillen in bijvoorbeeld taakomvang, financieringsmodellen,
het prijspeil en aantallen hoofdvestigingen van bedrijven. Dergelijke onderzoeken
zijn vijf jaar geleden weliswaar gedaan, maar sindsdien zijn er relevante ontwikkelingen
geweest, zoals wijzigingen in de budgetten en taken, waardoor die onderzoeken niet
meer geheel actueel zijn.47

1.3.3 Beantwoording hoofdvragen door onderzoekers

In het evaluatierapport stond de vraag centraal hoe de AP haar toezichthoudende verantwoordelijkheid
in de periode 2018–2023 heeft vormgegeven. Dit is getoetst aan de hand van de theorie
van publieke waarde, die stelt dat een organisatie publieke waarde levert wanneer
zij a) de missie en de visie, b) het operationeel vermogen, en c) de legitimerende
omgeving met elkaar in overeenstemming weet te brengen. Hieronder vat ik de belangrijkste
bevindingen samen, alvorens kort te reageren.

a. Missie en visie

De onderzoekers concluderen dat de AP, met een al omvangrijk werkterrein, de afgelopen
jaren heeft gekozen voor verbreding van haar missie en takenpakket, namelijk van «de
bescherming van persoonsgegevens» naar «het beschermen van burgers in de digitale
wereld». Daarmee heeft zij een «grote belofte» op zich genomen.48 De AP is volgens de onderzoekers meer risico- en sectorgericht gaan werken, met meer
nadruk op juridisch en repressief toezicht en relatief minder aandacht voor het geven
van inzicht in wat de normen van de AVG betekenen in concrete interpretatievragen
bij organisaties of sectoren die een specifieke casus overstijgen.49

b. Operationeel vermogen

De onderzoekers stellen dat de AP «meer greep heeft gekregen op de individuele werkstromen
binnen het takenpakket», maar dat er «stevige spanning is tussen wat de AP wil, wat
andere belanghebbenden van de AP verwachten en wat de AP kan».50 Het operationeel vermogen van de AP «levert (nog) niet voldoende wat de missie belooft
en de omgeving van de AP verwacht».51

c. Legitimerende omgeving

De onderzoekers stellen dat respondenten waardering uiten voor de ontwikkeling van
de AP, maar vaak ook kritisch zijn op haar keuzes.52 Respondenten begrijpen de meer juridische insteek en noodzaak van afschrikking door
repressieve maatregelen.53 Zij verwachten in de normformulering meer concrete handvatten over wat wel en niet
kan binnen de AVG en vinden dat de AP meer responsief zou moeten worden voor specifieke
vragen over wat er wel kan, en hoe, in plaats van wat er niet kan.54 Verschillende respondenten zouden liever zien dat de AP zich beperkt tot de AVG-kerntaken,
een smalle interpretatie van de reikwijdte van het toezicht kiest en die taken dan
heel goed uitvoert.55

Beantwoording hoofdvraag

De onderzoekers concluderen: «De grote opgave voor de AP is om «haar brede missie, haar nog ontwikkelende operationeel
vermogen en haar kritische legitimerende omgeving meer in overeenstemming met elkaar
te brengen. De opgave om strategische keuzes beter uitvoerbaar te krijgen, zal naar
verwachting de komende jaren bij gelijkblijvende keuzes steeds dringender worden.
En omgekeerd: bij een gelijkblijvend operationeel vermogen zal de noodzaak om scherpere
keuzes te maken steeds dringender worden. Deze opgave wordt met de indringende maatschappelijke
en technologische ontwikkelingen naar verwachting steeds groter.»56

Reactie

Met de door de onderzoekers en Begeleidingscommissie gekozen publieke waarde insteek
wordt aangesloten bij de door het kabinet ingezette lijn van gerichtheid op publieke
waarde en de focus op maatschappelijke impact van toezicht, zoals onder andere vormgegeven
in het recent gepubliceerde voorontwerp voor een Kaderwet op de rijksinspecties.57

Ik acht het van groot belang dat zbo’s zoals de AP, met waarborgen voor een sterke
mate van onafhankelijkheid, op regelmatige basis onafhankelijk worden geëvalueerd.
Ik vind het hierbij ook belangrijk dat de evaluatie zich op meer aspecten richt dan
doelmatigheid en doeltreffendheid. Ook de gerichtheid op publieke waarde en de focus
op maatschappelijke impact van toezicht zijn hierbij van belang. De Minister van BZK
is voornemens om voorstellen hiertoe op te nemen in het wetsvoorstel inzake de modernisering
van de Kaderwet zbo’s.58 De eerstvolgende zbo-evaluatie van de AP zal plaatsvinden volgens de nieuw te ontwikkelen
beleidslijn.

2. Inhoudelijke reactie op aanbevelingen van de Begeleidingscommissie Evaluatie AP

Omdat het evaluatierapport geen aanbevelingen bevat en de conclusies betrekking hebben
op de taakuitoefening van de AP, zie ik gelet op de onafhankelijkheid van de AP geen
aanleiding om te reageren op deze conclusies. Dat ligt anders voor de aanbevelingen
van de Begeleidingscommissie Evaluatie Autoriteit Persoonsgegevens. De Begeleidingscommissie
heeft de conclusies uit het evaluatierapport onderschreven en in aanvulling hierop
eigen aanbevelingen uitgebracht.59 Een aantal van de aanbevelingen betreft voorstellen tot wetswijziging of heeft anderszins
raakvlak met mijn ministerie of portefeuille. Hierna ga ik in op deze aanbevelingen,
tenzij deze gaan over de taakuitoefening van de AP, wat het geval is bij de aanbevelingen
5 en 7. Hieronder zijn de aanbevelingen genummerd conform de aanbevelingen van Begeleidingscommissie.
Het bestuur en de Raad van advies van de AP hebben met een gezamenlijke reflectie
gereageerd op de evaluatie (hierna aangeduid als «reflectie»).60

1. Een meer open opstelling van de AP in het contact met het Ministerie van JenV,
andere toezichthouders en maatschappelijke organisaties

In haar reflectie stelt de AP deze aanbeveling ter harte te nemen, door onder andere
meer en helderder te communiceren over wat wel en niet mag, te luisteren en in gesprek
te zijn op een manier die rekening houdt met het eigen karakter en de identiteit van
de betrokken partijen.61 Als concreet voorbeeld noemt de AP het vaker uitzetten van consultaties, om in het
toezicht rekening te kunnen houden met ideeën en verwachtingen uit het werkveld.

Ik juich een meer open opstelling toe, en in de contacten tussen mijn ministerie en
de AP moedig ik vanzelfsprekend eveneens een open opstelling aan. In het vaker uitzetten
van consultaties zie ik ook verschillende voordelen: zij kunnen bijdragen aan transparantie,
meer begrip voor het werk van de toezichthouder en een betere aansluiting op de praktijk.
Op 20 mei jl. heeft uw Kamer een amendement van het lid Krul (CDA) aangenomen op het
wetsvoorstel Verzamelwet gegevensbescherming, dat de AP verplicht om voordat zij beleidsregels
vaststelt met daarin normuitleg over de AVG of handhavingsbeleid, voor zover passend,
belanghebbende partijen te raadplegen.62 Ik verwijs ook naar mijn brief aan uw Kamer met mijn positieve appreciatie over dit
amendement.63 Door het aannemen van dit amendement zijn consultaties van «belanghebbende partijen»
verplicht, wat onverlet laat dat de AP ervoor kan kiezen om «eenieder» in de gelegenheid
te stellen zijn visie te geven, wat ik onderschrijf.

2a. De Raad van advies qua functioneren zoveel mogelijk beschouwen als raad van toezicht

De Begeleidingscommissie adviseert aan het bestuur van de AP om de Raad van advies
qua functioneren meer het karakter van een raad van toezicht te geven. Zij stelt daarom
voor dat het bestuur van de AP de begroting, het beleids- en jaarplan, het jaarverslag
en het accountantsrapport aan de Raad van advies ter advisering voorlegt. Volgens
de Begeleidingscommissie hoeft formeel niet te worden vastgelegd dat de Raad van advies
deze stukken goed- of afkeurt, maar zou het oordeel van de Raad van advies materieel
wel die betekenis kunnen hebben voor het bestuur. Naar het oordeel van de Begeleidingscommissie
laat de Kaderwet zbo’s zo’n regeling toe en is zulke externe verantwoording goed voor
de beleidshygiëne.

De AP heeft mij op 22 april jl. per brief laten weten dat zij deze aanbeveling onderschrijft
en dat de Raad van advies op verzoek van de AP zal komen met een uitwerking hiervan,
na gesprekken te hebben gevoerd met ambtsdragers en functionarissen binnen en buiten
de overheid.

In reactie op deze aanbeveling merk ik op dat het in principe binnen de taak van de
Raad van advies op grond van de UAVG64 past om ook te adviseren over het beleids- en jaarplan en gerelateerde stukken, wat
overigens de goedkeuringsbevoegdheden van de Minister met betrekking tot de begroting
en jaarrekening onverlet laat.65 Voor wat betreft het ontwerpbeleidsplan volgt reeds uit artikel 18, tweede lid, van
het Bestuursreglement van de AP dat zij de Raad van advies in de gelegenheid stelt
om hierover te adviseren.

Het lid Dral (VVD) heeft in het commissiedebat Bescherming persoonsgegevens en digitale
grondrechten van 18 maart jl. en het daaropvolgende tweeminutendebat van 15 mei jl.
bepleit om het mogelijk te maken dat de betrokken bewindspersoon ook leden kan benoemen
in de Raad van advies die niet zijn voorgedragen door de AP zelf.66 Voordrachten voor nieuwe leden van de Raad van advies kunnen nu alleen door de AP
worden gedaan. Dat staat in artikel 7, negende lid, UAVG.

Over de samenstelling en de benoemingswijze van leden van de Raad van advies ga ik
in de toekomst graag met de AP verder in gesprek, bijvoorbeeld in het kader van de
gesprekken die een lid van de Raad van advies momenteel voert over de uitvoering van
deze aanbeveling.

2b. Instelling van een maatschappelijke commissie en een wetenschappelijke commissie
en het daartoe wijzigen van de UAVG

De Begeleidingscommissie vindt dat in de bestaande Raad van advies de «onderscheidene
sectoren van de maatschappij» niet voldoende, laat staan volledig zijn vertegenwoordigd.
Daarom adviseert zij aan het bestuur om in overleg met de Raad van advies een wetenschappelijke
en een maatschappelijke commissie in te stellen. De maatschappelijke commissie zou
kunnen bestaan uit onder meer burgers, maatschappelijke organisaties en bedrijfsleven.
In de wetenschappelijke commissie zouden vertegenwoordigers kunnen worden uitgenodigd
van onderzoeksinstituten op het gebied van privacy- en persoonsgegevensbescherming,
justitie, veiligheid en informatica. De beide commissies kunnen als klankbord en platform
dienen. Zij zouden moeten rapporteren aan het bestuur, waarbij de Raad van advies
afschriften ontvangt van de rapportages. Omwille van de politiek-bestuurlijke en maatschappelijke
legitimiteit van het werk van de AP, beveelt de Begeleidingscommissie aan de instelling
van deze commissies in de UAVG te borgen.67

De AP heeft gemeld deze aanbeveling tot instelling van deze twee commissies over te
nemen, omdat dit bijdraagt aan kwaliteitsverbetering en maatschappelijke verantwoording.

Naar mijn mening kan het meer betrekken van burgers, maatschappelijke organisaties,
het bedrijfsleven en de wetenschap ook ten goede komen aan het draagvlak voor de taakuitoefening
van de AP binnen het toezichtveld.

Over de verhouding tussen de Raad van advies en de twee nieuwe commissies heb ik van
gedachten gewisseld met de AP. De AP ziet geen risico op interferentie of doublures
in deze verhouding, omdat zij elkaar aanvullen. De Raad van advies adviseert aan het
bestuur over de governance van de AP en strategisch-bestuurlijke onderwerpen. De twee nieuwe
commissies zijn bedoeld om de werkzaamheden van alle medewerkers en ook bestuursleden
te verrijken met informatie, bijvoorbeeld over de effecten van jurisprudentie op het
werk van de AP of over de vraag bij welke sectoren en onderwerpen guidance van de
AP nodig is.

Voor het instellen van de commissies is overigens geen wijziging van de UAVG nodig
als de commissies louter als «klankbord» en «platform» zouden fungeren.

3. Heroverweging aantal fte van bestuursleden en benoeming buitengewoon bestuurslid

De Begeleidingscommissie stelt dat het aantal van drie bestuursleden nu niet drie
fte omvat. Het advies is om dit te heroverwegen en om de inzet van een eventueel tijdelijk
buitengewoon bestuurslid te bezien, met een speciale opdracht. Volgens de Begeleidingscommissie
vragen Europese overleggen veel tijd, inzet en deskundigheid van de voorzitter, al
is niet helemaal duidelijk in hoeverre dat in de toekomst het geval is.

Het is aan de AP of het bestuur 3 of bijvoorbeeld 2,5 FTE telt. Uit artikel 7, eerste
lid, UAVG volgt slechts dat de AP drie bestuursleden telt.

Over de benoeming van een buitengewoon bestuurslid wil ik eerst in gesprek gaan met
de AP, alvorens inhoudelijk te reageren. Buitengewone leden kunnen bij de AP worden
benoemd, uit onderscheidene sectoren van de maatschappij (artikel 7, tweede lid).
Dit geschiedt – net als bij de bestuursleden – bij koninklijk besluit, op voordracht
van de Minister (artikel 7, derde lid). Buitengewone leden kunnen deelnemen aan de
vergaderingen van het bestuur, maar niet aan de besluitvorming.68

4. Met JenV overleggen over het over en weer goed in balans houden van de rollen en
het bespreken of JenV in de toekomst ook het ministerie is dat het meest aangewezen
is voor de vervulling van de rollen van opdrachtgever en eigenaar.

In haar reflectie heeft de AP aangegeven dat zij in gesprek wil over het vraagstuk
dat de Begeleidingscommissie aankaart, welk ministerie het meest aangewezen aanspreekpunt
is voor de AP.69

Hierbij reageer ik, zoals ik ook heb toegezegd in het commissiedebat Bescherming persoonsgegevens
en digitale grondrechten van 18 maart jl., op deze aanbeveling.

Volgens artikel 1 van de Kaderwet zbo’s is «Onze Minister wie het aangaat», in samenhang
gelezen met het vervolg van die wet, de bewindspersoon bij wie het betreffende zelfstandige
bestuursorgaan beheersmatig is ondergebracht. In de memorie van toelichting daarbij
is opgemerkt: «De Minister wie het aangaat zal in het algemeen de eerste ondertekenaar
van de wet of lagere regelgeving zijn bij welke een zelfstandig bestuursorgaan als
zodanig in het leven geroepen wordt.»70 Van belang is in dit verband dat de toenmalige Minister voor Rechtsbescherming de
eerste ondertekenaar is van de wet waarmee de AP is ingesteld, te weten de UAVG. Uit
deze verantwoordelijkheidsverdeling volgt dat het Ministerie van JenV het ministerie
is waar de AP beheersmatig is ondergebracht. Ook de voorgangers van de AP – het College
bescherming persoonsgegevens (Cbp) en de Registratiekamer – hingen beheersmatig onder
(de voorgangers van) het Ministerie van JenV. Om deze verantwoordelijkheidsverdeling
te wijzigen moet er een goede reden zijn. Die zie ik nog niet; evenmin worden hiervoor
overtuigende argumenten naar voren gebracht in het evaluatierapport of in de aanbevelingen
van de Begeleidingscommissie.

De Begeleidingscommissie stelt dat een aantal respondenten naar voren heeft gebracht
dat het misschien ook lastig is dat het Ministerie van JenV eigenaar en opdrachtgever
is van een organisatie als de AP, die onder meer concept-wetgeving van het ministerie
beoordeelt. In reactie hierop wijs ik erop dat het bezwaar dat het beheersmatig verantwoordelijke
departement ook zelf onder toezicht van de AP staat, evenzeer geldt voor iedere andere
keuze die wordt gemaakt, en dat dit geen uitzonderlijke situatie is voor de AP, maar
dat dit geldt voor alle toezichthouders, inspecties en autoriteiten. Waar het in hoofdzaak
om gaat, is dat voldaan is aan de verplichtingen die hoofdstuk VI van de AVG aan de
Europese lidstaten oplegt om onafhankelijke instanties verantwoordelijk te maken voor
het toezicht op de toepassing van de AVG. Dat betekent dat er wettelijke waarborgen
moeten zijn voor een onafhankelijk functioneren van de AP. Het staat niet ter discussie
dat daarin is voorzien. Zelfstandige bestuursorganen hebben in het algemeen een behoorlijke
mate van autonomie. In het geval van de AP is die autonomie nog groter doordat de
UAVG bepaalde artikelen van de Kaderwet zbo’s niet van toepassing verklaart op de
AP. Dat gaat bijvoorbeeld om het artikel over de inlichtingenplicht aan de Minister
(artikel 20 Kaderwet zbo’s, althans gedeeltelijk), over het vaststellen van beleidsregels
door de Minister jegens het zelfstandig bestuursorgaan (art. 21) en over het vernietigen
van besluiten (art. 22). Door die waarborgen is er geen sprake van – en kan er ook
geen sprake van zijn – dat JenV stuurt op de taakuitvoering van de AP: niet op individuele
onderzoeken en ook niet bij de prioritering van thema’s. Het voorgaande laat onverlet
dat elke lidstaat op grond van de AVG verplicht is om ervoor te zorgen dat op een
toezichthoudende autoriteit financieel toezicht wordt uitgeoefend, waarbij de onafhankelijkheid
niet in het gedrang komt.71

5. Een verbeterplan opstellen over het functioneren van de AP als organisatie

Omdat deze aanbeveling specifiek ziet op de taakuitoefening van de AP, laat ik een
reactie achterwege.

6. Een duidelijker handhavings- en normoverdragingsbeleid vaststellen

In haar reflectie schrijft de AP deze aanbeveling ter harte te nemen en erkent zij
dat nadrukkelijke verduidelijking nodig is van het AP-beleid over normen en handhaving.

Ik ben van mening dat de rechtszekerheid zonder meer baat heeft bij een transparant
handhavingsbeleid. Het moet voor iedereen duidelijk zijn hoe de handhavingsinstrumenten
zich tot elkaar verhouden en uit welke stappen een handhavingstraject bestaat.72 Dit voornemen komt ook tegemoet aan de aanbevelingen die het Wetenschappelijk Onderzoek-
en Datacentrum (WODC) deed bij haar evaluatie van de UAVG en de boetebevoegdheid73. Ten aanzien van de boetebevoegdheid van de AP werd in dat onderzoek geconcludeerd
dat beleidsregels ontbreken waarin het toezichts- en handhavingsbeleid is vastgelegd,
dat daardoor geen sprake is van kenbaar beleid op dit punt en dat onduidelijk is op
welke wijze de toezichthouder een escalatiestrategie toepast.74 Voorts is volgens dat onderzoek niet inzichtelijk hoe het beleid over de matiging
van boetes in de praktijk wordt toegepast.75 De toenmalig Minister voor Rechtsbescherming schreef in zijn reactie dat de rechtszekerheid
zonder meer baat heeft bij een zekere mate van voorspelbaarheid bij het opleggen van
een administratieve boete en dat voor iedereen duidelijk moet zijn op welke consistente
gronden dit gebeurt en hoe in verschillende situaties met de wegingscriteria wordt
omgegaan.76

7. De ambities per taak van de AP uitwerken om scherper te definiëren wat haar positie,
prioriteiten en meest geëigende instrumenten en strategieën zijn

Omdat deze aanbeveling specifiek ziet op de taakuitoefening van de AP, laat ik een
reactie achterwege.

8. Sterkere betrokkenheid van de AP bij het werk en de positie van de functionarissen
voor gegevensbescherming

De AP stelt in haar reflectie in 2024 groepsbijeenkomsten met FG’s te hebben georganiseerd
en bijgewoond, en dat zij nog meer zal investeren in haar lopende inspanningen in
het verbeteren van de samenwerking met de FG’s.

Dit lijkt mij een goede zaak en de AP en inzet van mijn departement kunnen elkaar
aanvullen op dit punt. In de onder punt 6 genoemde evaluatie van de UAVG werd geobserveerd
dat het past indien de FG, die als het ware de vooruitgeschoven post is van de AP,
een speciale relatie met de externe toezichthouder heeft. Zo’n bijzondere verhouding
zou volgens de onderzoekers bijdragen aan meer interne toezichtprofessie en een gemeenschapsgevoel
onder FG’s.77 In reactie wijs ik graag op de lancering van het Nederlands Register voor Functionarissen
voor Gegevensbescherming (NRFG) op 15 mei 2025. Met het NRFG, dat is opgericht door
en voor de beroepsgroep, wordt onder andere een kwaliteitsimpuls beoogd door het stellen
van minimumkwaliteitseisen en een gedragscode. Daarnaast kan het NRFG zorgen voor
meer cohesie tussen FG’s en het verder professionaliseren van de beroepsgroep. Het
voorgaande draagt bij aan zowel het verbeteren van (het toezicht op) gegevensbescherming
als aan het versterken van de positie van de FG. Mijn ministerie ondersteunt dit initiatief
en heeft hierin een faciliterende rol door onder andere bijeenkomsten te organiseren
om zo de beroepsgroep bijeen te brengen en in contact te brengen met relevante stakeholders
om het NRFG mede mogelijk te maken.

De verdere versterking van de positie van de FG vraagt om continue aandacht en het
is derhalve van belang om hierover in gesprek te blijven met onder meer de AP, de
beroepsgroep en de verwerkingsverantwoordelijken.

9. Meer inzet op onderwijs en onderzoek, bijvoorbeeld door bijzondere leerstoelen

De Begeleidingscommissie adviseert de AP meer inzet te plegen op het gebied van onderwijs
en onderzoek, bijvoorbeeld door het instellen van een of meer bijzondere leerstoelen
of lectoraten, hoewel de AP op dit gebied al de nodige activiteiten onderneemt of
mogelijk maakt.

Gezien het grote belang en de hoge dynamiek van het gegevensbeschermingsrecht, waarin
vrijwel continu nieuwe ontwikkelingen plaatsvinden, zou het creëren van een of meerdere
bijzondere leerstoelen een verrijking kunnen opleveren van het palet aan onderzoek
en onderwijs van de universiteit.78 Dit is evenwel geen taak die de AVG aan de AP heeft verleend. Ik zal bezien of het
opportuun is dat het Ministerie van JenV dit op zich neemt en hiervoor middelen beschikbaar
heeft.

10. Aandacht voor toezicht op artificiële intelligentie

De Begeleidingscommissie stelt dat volgens respondenten de rol van de AP op het gebied
van AI niet voor iedereen vanzelfsprekend is, zeker niet wanneer het niet, zoals bij
veel AI het geval is, om de bescherming van persoonsgegevens gaat. De Begeleidingscommissie
wijst erop dat op 19 november jl. in een Kamerbrief79 de AP «voor nu» werd vastgesteld als een van de grondrechtenautoriteiten van het
gegevensbeschermingsrecht en dat medio 2025 de nationale toezichthouders definitief
worden aangewezen. Voor de AP ligt hier dus nog een uitdaging, zo merkt de Begeleidingscommissie
op.

De AI-verordening bepaalt in artikel 77 dat de lidstaten een lijst vaststellen en
openbaar maken van alle overheidsinstanties of -organen die krachtens Unierecht toezien
op de naleving van verplichtingen ter bescherming van grondrechten met betrekking
tot het gebruik van de in bijlage III vermelde AI-systemen.

De AP heeft een taak krachtens het Unierecht in het toezicht op de bescherming van
persoonsgegevens (AVG) en de Richtlijn voor gegevensbescherming bij rechtshandhaving
(EU-richtlijn 2016/680). De AP is om die reden vastgesteld als een grondrechtenautoriteit
als bedoeld in artikel 77 van de AI-verordening en als zodanig op de gepubliceerde
lijst geplaatst, naast enkele andere grondrechtenautoriteiten.80

De AI-verordening geeft bevoegdheden aan de grondrechtenautoriteiten, aangezien deze
autoriteiten in hun dagelijkse werkzaamheden, in geval van de AP onder de AVG en de
richtlijn, ook te maken kunnen krijgen met gebruik van AI.81 Hiermee wordt de AP ondersteund om haar huidige toezichtrol op het grondrecht gegevensbescherming
goed in te vullen.

De vaststelling als grondrechtenautoriteit, op grond van bestaande bevoegdheden, staat
evenwel los van een aanwijzing als markttoezichtautoriteit op grond van de AI-verordening.
Het toezichtregime in de AI-verordening is primair gericht op het goed functioneren
van de Europese, interne markt. Op dit moment werkt het kabinet aan de inrichting
van dit markttoezicht op de AI-verordening.

AI wordt in veel sectoren gebruikt en de AI-verordening raakt aan diverse bestaande
wetten. Dit betekent dat veel ministeries en toezichthouders betrokken zijn bij het
toezicht op de AI-verordening. Het is van belang dat het markttoezicht op heldere
en effectieve wijze wordt ingericht, zodat er een goed samenspel plaatsvindt tussen
de bestaande toezichthouders, deze nog aan te wijzen markttoezichtautoriteiten en
grondrechtenautoriteiten.

11. Naamswijziging AP

De Begeleidingscommissie heeft in haar separate advies82 aanbevolen om de UAVG te wijzigen om de naam van de AP te wijzigen (punt 14 uit het
advies). De Begeleidingscommissie adviseert de naam van de AP te wijzigen in Autoriteit
Bescherming Persoonsgegevens of – ter vermijding van de afkorting ABP – Autoriteit
Bescherming en Beveiliging Persoonsgegevens. Volgens de Begeleidingscommissie suggereert
de naam Autoriteit Persoonsgegevens namelijk ten onrechte eigendom of eigendomsrecht
van de persoonsgegevens. De naamswijziging past volgens de Begeleidingscommissie bovendien
bij de missie van de AP inzake «het beschermen van mensen in een digitale wereld».
Deze aanbeveling staat niet in de samenvatting van de aanbevelingen van de Begeleidingscommissie
maar behoeft een reactie omdat die wetswijziging betreft.

Navraag heeft uitgewezen dat de AP op dit moment geen ambitie heeft om de naam te
wijzigen. Ook ik zie geen aanleiding tot naamswijziging. Ik zie bovendien niet in
hoe de benaming Autoriteit Persoonsgegevens zou suggereren dat de AP eigenaar is van
persoonsgegevens, nog daargelaten dat eigendom van persoonsgegevens naar Nederlands
recht niet mogelijk is.83 De benaming Autoriteit Persoonsgegevens is inmiddels ingeburgerd en de AP is zich
bewust van het belang van naamsbekendheid. De naam AP is destijds gekozen om aan te
sluiten op Europese ontwikkelingen en het Europese geharmoniseerde systeem van bescherming
van persoonsgegevens, en tevens om af te geraken van de verwarring tussen het toenmalige
Cbp (College bescherming persoonsgegevens) en CPB (Centraal Planbureau).84 Deze overwegingen gelden nog steeds onverkort.

Aan naamswijziging zouden overigens ook kosten verbonden zijn waarvan het de vraag
is of die gezien de budgettaire krapte te rechtvaardigen zouden zijn. Het verzoek
tot wijziging van de naam in AP kwam overigens van het toenmalige Cbp.

Tot slot

Graag ga ik met de AP verder in gesprek om de aanbevelingen en een mogelijk vervolgtraject
nader te bespreken, uiteraard zonder daarbij te treden in de onafhankelijkheid van
de AP bij de uitoefening van haar taken en bevoegdheden. Onder datzelfde voorbehoud
denk ik ook graag mee over de precieze wijze waarop de voorgestelde aanbevelingen
het beste kunnen worden doorgevoerd.

De Staatssecretaris van Justitie en Veiligheid,
T.H.D. Struycken