Verslag van een commissiedebat : Verslag van een commissiedebat, gehouden op 5 april 2023, over Informatiebeveiliging bij de overheid

Nr. 1016 VERSLAG VAN EEN COMMISSIEDEBAT

Vastgesteld 8 mei 2023

De vaste commissie voor Digitale Zaken heeft op 5 april 2023 overleg gevoerd met mevrouw
Van Huffelen, Staatssecretaris Koninkrijksrelaties en Digitalisering, over:

– de brief van de Staatssecretaris Koninkrijksrelaties en Digitalisering d.d. 29 september
2022 inzake generiek kader voor vitale digitale processen van de overheid (Kamerstuk
26 643, nr. 917);

– de brief van de Staatssecretaris Koninkrijksrelaties en Digitalisering d.d. 10 november
2022 inzake update hack bij ID-ware (Kamerstuk 26 643, nr. 936);

– de brief van de Staatssecretaris Koninkrijksrelaties en Digitalisering d.d. 22 november
2022 inzake informeren burgers over verhoging authenticatieniveau (Kamerstuk 26 643, nr. 942);

– de brief van de Staatssecretaris Koninkrijksrelaties en Digitalisering d.d. 18 november
2022 inzake Facebook Pages DPIA en HRIA (Kamerstuk 32 761, nr. 252);

– de brief van de Staatssecretaris Koninkrijksrelaties en Digitalisering d.d. 16 januari
2023 inzake broncode DigiD-app openbaar gemaakt (Kamerstuk 26 643, nr. 960);

– de brief van de Staatssecretaris Koninkrijksrelaties en Digitalisering d.d. 24 januari
2023 inzake beleidsreactie advies Autoriteit Persoonsgegevens inzake het Rijksbreed
cloudbeleid 2022 (Kamerstuk 26 643, nr. 965);

– de brief van de Staatssecretaris Koninkrijksrelaties en Digitalisering d.d. 24 januari
2023 inzake implementatiekader risicoafweging cloudgebruik 2022 (Kamerstuk 26 643, nr. 964);

– de brief van de Staatssecretaris Koninkrijksrelaties en Digitalisering d.d. 7 maart
2023 inzake publicatie Woo-besluit inzake documenten over de hack bij ID-ware (Kamerstuk
26 643, nr. 981);

– de brief van de Staatssecretaris Koninkrijksrelaties en Digitalisering d.d. 20 februari
2023 inzake vertaling data protection impact assessment (DPIA) en human rights impact
assessment (HRIA) (Kamerstuk 32 761, nr. 262);

– de brief van de Staatssecretaris Koninkrijksrelaties en Digitalisering d.d. 21 maart
2023 inzake maatregelen over het weren van apps op mobiele devices van rijksambtenaren
(Kamerstukken 26 643 en 30 821, nr. 984).

Van dit overleg brengt de commissie bijgaand geredigeerd woordelijk verslag uit.

De voorzitter van de commissie, Kamminga

De griffier van de commissie, Boeve

Voorzitter: Dekker-Abdulaziz

Griffier: Boeve

Aanwezig zijn zes leden der Kamer, te weten: Bouchallikh, Dekker-Abdulaziz, Leijten,
Rahimi, Slootweg en Van Weerdenburg,

en mevrouw Van Huffelen, Staatssecretaris Koninkrijksrelaties en Digitalisering.

Aanvang 10.00 uur.

De voorzitter:

Goedemorgen. Ik open de vergadering van de vaste commissie voor Digitale Zaken. Vandaag
spreken we over informatiebeveiliging bij de overheid. Ik heet de Staatssecretaris
Digitalisering, Alexandra van Huffelen, welkom. Ik heet de Kamerleden die aanwezig
zijn ook welkom. Dat zijn mevrouw Van Weerdenburg van de PVV, de heer Rahimi van de
VVD, mevrouw Bouchallikh van GroenLinks en de heer Slootweg van het CDA. Ik voer zelf
aan het eind ook nog het woord. We spreken vier minuten spreektijd en twee setjes
interrupties van twee af. Ik geef het woord aan mevrouw Van Weerdenburg.

Mevrouw Van Weerdenburg (PVV):

Dank u wel, voorzitter. Vandaag spreek ik weer mede namens BVNL.

Ik ga proberen om er geen rommeltje van te maken, maar eerlijk gezegd heb ik wel moeite
gehad met de voorbereiding van dit debat. Er staan namelijk veel stukken op de agenda,
die ook allemaal belangrijk zijn. We zitten al een tijdje met een DPIA en HRIA over
Facebook. We hebben die lang voor ons uitgeschoven. Vandaag staan die eindelijk op
de agenda. Eerlijk gezegd vond ik het sowieso moeilijk om me in vier minuten toe te
spitsen op de punten waarover ik vragen heb bij een best belangrijk Engels stuk van
zo'n 160 pagina's met hele taaie kost. Dat stuk is juridisch-technisch namelijk best
ingewikkeld.

Toen bedacht ik dat de reden dat het indertijd in het Engels naar de Kamer is gestuurd,
was omdat de Staatssecretaris heeft gezegd dat ze dat dan direct kon delen met haar
Europese collega's. Daar nam ik al een beetje aanstoot aan. Er werd ons echter een
vertaling toegezegd, dus ik dacht: oké. Vervolgens hebben we drie maanden gewacht.
In februari kwam eindelijk de vertaling.

Tot mijn verbazing zag ik van de week pas dat het geen vertaling van die 160 pagina's
is, maar een Nederlandse samenvatting in jip-en-janneketaal van 9 pagina's. De redenering
om dat in begrijpelijke taal, in jip-en-janneketaal, te doen, is omdat de Staatssecretaris
het belangrijk vindt dat de inhoud van het document begrijpelijk is voor een breed
publiek. Dat vind ik natuurlijk heel goed. Dat zouden ze vaker moeten doen met Kamerbrieven.
Alleen, het probleem is nu dat wij als Kamer over een best wel inhoudelijk stuk ...
Dat stuk is belangrijk, omdat de beslissing die hieraan hangt, best wel grote gevolgen
kan hebben. We hebben het er namelijk over of de Facebookpagina's van de overheid
wel of niet blijven bestaan. De overheid bereikt daar namelijk 5,5 miljoen Nederlandse
burgers mee. Ik vind dat dus nogal wat.

We hebben natuurlijk al eerder tegen de Staatssecretaris gezegd dat we hier eerst
over willen spreken voordat er besluiten over worden genomen. Nu spreken we erover,
maar eigenlijk vind ik niet dat wij een stuk hebben gekregen op basis waarvan wij
als Kamer een gesprek kunnen voeren met deze bewindspersoon. De Engelse versie van
het stuk is namelijk voor de Europese collega's. Vervolgens is de Nederlandse samenvatting
– ik weiger dit een vertaling te noemen – voor het publiek. Dat is op zich goed. Maar
de Kamer dan? Wat moeten wij dan?

Natuurlijk, ik heb het Engelse stuk wel gelezen. Nogmaals, ik vond het heel moeilijk
om daardoorheen te komen. Maar goed, dat is nou eenmaal het karakter van dat soort
stukken. Maar om dit goed te kunnen bespreken ... Ik heb er echt moeite mee om dat
stuk te vertalen in een spreektekst waar ik maar vier minuten voor heb. Ik heb daar
gewoon heel veel vragen over. Die kan ik niet allemaal stellen.

Eén. Is de Staatssecretaris bereid om een volledige vertaling van het Facebook-DPIA
naar de Kamer te sturen? Kan zij dat toezeggen? Ik hecht daar namelijk echt aan. Ik
kijk de collega's even aan. Daar moeten we gewoon echt op staan als Kamer. Wil de
Staatssecretaris dat dus alsnog doen? Dan kunnen we daar op een later moment ook nog
inhoudelijk over spreken.

Verder wil ik graag van haar weten hoe de onderhandelingen met Meta gaan. Ze zijn
namelijk in gesprek. Hoe staat het ermee? Naar mijn weten zou er in het eerste kwartaal
van dit jaar een besluit genomen worden of zouden daar uitkomsten van zijn. Ik heb
echter nog niets gezien. Ik hoorde via via dat de Staatssecretaris in januari op de
radio heeft gezegd dat het pas eind dit jaar wordt. Graag had ik daar ook eventjes
wat over gehoord. Ik wil daar dus graag even duidelijkheid over.

Voorzitter, ik rond af. Wie heeft de Nederlandse samenvatting gemaakt? Uit de beslisnota
blijkt namelijk dat de opstellers van het rapport ook de samenvatting hebben gemaakt.
Dat hebben zij gedaan aan de hand van openbare informatie. Dat begrijp ik ook niet
helemaal.

Tot zover, voorzitter.

De voorzitter:

Dank. Ik geef nu het woord aan de heer Rahimi.

De heer Rahimi (VVD):

Dank u wel, voorzitter. Allereerst felicitaties aan mevrouw Leijten. Zij is namelijk
politicus van het jaar. Ik vind het toch mooi om dat even te benoemen. Ik hoop dat
dit niet van mijn tijd af gaat.

Voorzitter. Geen vrijheid zonder veiligheid, zowel fysiek als thuis. Daar staat de
VVD wat mij betreft ook voor. Als er ingebroken wordt, dan weet je wat er gestolen
wordt. Dat gebeurt echter ook digitaal. Je weet niet wat er digitaal gestolen wordt.
Wat je thuis hebt, dat is van jou. Wat wij hier hebben van burgers en ondernemers
is van hen. Beveiliging van IT-systemen is dus superbelangrijk.

Voorzitter. In de brief van 29 september 2022 is toegezegd dat informatiebeveiliging
bij de overheid een wettelijke status krijgt. Wat is de stand van zaken? Komt daar
aparte wetgeving voor of gaan we wetgeving aanpassen? Zo ja, welke? Op pagina 2 staat
ook iets anders. Daar heb ik een vrij technische vraag over, dus ik hoop dat ik daar
antwoord op kan krijgen. Er staat: «Daardoor komt de focus meer te liggen op feitelijk
beveiligen in plaats van administratief beveiligen.» Kan de Staatssecretaris dit specificeren?
Kan zij toelichten wat daarmee bedoeld wordt met betrekking tot de BIO? Is de Staatssecretaris
voornemens om ook te kijken naar concrete richtlijnen vanuit de VS? Is zij voornemens
om die in ogenschouw te nemen? Daarmee bedoel ik bijvoorbeeld de zerotrustpolicy op
apps, netwerk en al die onderdelen.

Voorzitter. Daarnaast hebben we de hack bij ID-ware, waarbij de gegevens van de rijkspassen
van Kamerleden en ambtenaren van de Eerste en de Tweede Kamer op straat lagen. De
getroffenen zijn bericht via een brief. Er zijn verschillende maatregelen genomen.
Wij vroegen ons wel af aan de hand waarvan is bepaald dat alles goed geregeld is en
dat de veiligheid van de getroffenen geborgd wordt. ID-ware geeft ook aan dat zij
maatregelen hebben genomen en dat zij gaan monitoren om herhaling te voorkomen. Wij
zijn benieuwd welke maatregelen zijn genomen. Daar zien wij namelijk niet veel over
staan. Ik vind dat belangrijk. Fouten maken kan. Dat hebben we natuurlijk liever niet,
maar je leert er wel van. Andere ministeries en andere overheidsinstanties kunnen
daar ook van leren, zodat ze fouten kunnen voorkomen. Dat zijn momenten om dingen
te leren. Dan worden daar in ieder geval geen fouten meer gemaakt.

Voorzitter. Dan DigiD. Dat is zeker belangrijk bij het vorige agendapunt. De kwetsbaarheid
van overheidssystemen is zeer cruciaal. De technische en organisatorische fouten op
authenticatie en autorisatie in DigiNotar – ik weet niet of jullie dat nog allemaal
kennen – waren best heftig. Hoe stellen we met een hoge mate van zekerheid vast dat
de DigiD-app voor 99,9% veilig is?

Voorzitter. De broncode van de DigiD-app is na een Woo-verzoek openbaargemaakt. DigiD
moet voor iedereen veilig zijn, vinden wij. Hoe is dat gewaarborgd? Enkele fragmenten
van die broncode kunnen echt een beveiligingsrisico hebben. Er moet een continuïteit
zijn op het gebied van de veiligheid daarvan. Het moet blijven werken. Denk daarbij
ook aan informatie over infrastructuur en waar de app op draait. Dat is best een risico
voor hackers. Hoe gaat de overheid om met dit soort Woo-verzoeken? Dat geldt ook voor
andere applicaties. Wat mij betreft is het: Woo tot hier en niet verder. Niet alles
hoeft altijd openbaar.

Ik ga wat dingen overslaan, voorzitter. Dat is het nadeel van een IT'er.

De voorzitter:

Sorry, ik wil heel graag een interruptie plaatsen, mag dat? Ja? Oké.

Hoor ik de VVD nou zeggen dat de opensourcecode niet openbaar hoeft? We hebben namelijk
met z'n allen afgesproken dat de code wel onder de Woo valt. Kan de VVD daar toch
heel eventjes op reflecteren?

De heer Rahimi (VVD):

Ik maak me als IT'er zorgen om het volgende. We willen alles openbaar hebben. Dat
lijkt soms goed, maar soms kan het ook best dingen prijsgeven over de infrastructuur
die wij hebben, de codes die wij gebruiken en de parameters die worden doorgestuurd.
Daar kan een hacker best wel wat mee. Daar kan een regering ook best wel wat mee.
Daar maak ik me gewoon zorgen om. Ik vind dat openbaarheid goed is. We moeten wel
echt naar het volgende kijken. De broncode van de DigiD-app is gepubliceerd op GitHub.
Daar kan iedereen bij. Daar zitten letterlijk fragmenten bij waarop «security» staat.
Dat kan ervoor zorgen dat sommige dingen eruit worden gehaald. Iemand kan dan iets
bouwen. Denk even aan de websites met phishing. Dan staat er: log in op Mijn ING.
Als jij die code hebt, dan kan jij als programmeur dingen ontwikkelen. Als je net
iets te veel info hebt, kan je dingen neerleggen. Over een paar jaar hebben we dan
heel veel narigheid. Daarom zei ik ook, voor de grap: Woo tot hier en niet verder.
Dit soort dingen moeten we niet doen.

De voorzitter:

Ik zie een interruptie van mevrouw Van Weerdenburg. O, de openingsbel van de vergadering
gaat. Die wachten we even af.

Dat was de vergaderbel. De heer Rahimi gaat verder met zijn betoog. O, nee, sorry.
Mevrouw Van Weerdenburg heeft nog een interruptie.

Mevrouw Van Weerdenburg (PVV):

Ik wil de heer Rahimi vragen: als de broncode openbaar is en iedereen meekijkt, komt
het dan ook niet vaak voor dat daardoor eventuele fouten of zwakheden worden verbeterd?
Die worden dan namelijk gesignaleerd.

De heer Rahimi (VVD):

Als oud-IT'er zou ik zeggen dat het echt heel slechte software is. Ik zou die niet
laten testen door mensen. Dan is je hele watervalstraat – ik verval even in oude IT-termen
– niet goed geweest. Dat wil je gewoon niet. Als je fragmenten publiceert van die
broncode, kun je zaken herleiden. Daarmee kan je ook dingen doen waardoor je bij privacygevoelige
gegevens komt. Dat is mijn angst. Ik vind dat de software die wij maken goed moet
zijn. Die moet goed getest zijn. Anders moet je die niet publiceren. Als die gepubliceerd
is, dan wil ik niet uitgaan van mensen die die dan testen, waardoor we fouten ontdekken.
Ik zei al dat als er thuis ingebroken wordt, je eigen spullen dan gejat worden. Het
gaat hier echter om gegevens van burgers. Er moet dus gewoon geen fout in de software
zitten. Deze broncode geeft heel veel informatie aan heel veel mensen en aan heel
veel overheden, waarmee zij dus veel dingen kunnen doen. Dat is mijn angst.

De voorzitter:

De antwoorden mogen puntiger. De heer Rahimi gaat verder met zijn betoog.

De heer Rahimi (VVD):

Voorzitter. Omdat software continu evalueert en aan kwetsbaarheid onderhevig is, vinden
we de volgende vraag ook relevant. Is de broncode onderhevig aan ons eigen responsible
disclosure programme? Daar wordt in de notities niets over gezegd.

Voorzitter, als laatste. Ik heb die 160 pagina's in het Engels wél gelezen. Ik heb
daar toch wel een aantal vragen over. Ik denk dat de conclusie goed is. Ik denk dat
het goed is dat we in gesprek blijven. Ik vind het goed dat de Nederlandse overheid
dat doet. Ik moet wel zeggen dat de Facebookpagina's niet groter zijn dan die van
elke andere overheid. Mijn laatste vraag is hoe het met andere socialmediaplatforms
zit. Hoe bewaken wij de oplossingen van de in 17.1 genoemde maatregel op de zeven
hoge risico's?

Ik moet afronden.

De voorzitter:

Ik zie nog een interruptie van mevrouw Van Weerdenburg.

Mevrouw Van Weerdenburg (PVV):

Ik heb een vraag aan de heer Rahimi. Hij had ongetwijfeld heel veel meer vragen over
het Facebook-DPIA. Ik zie hem knikken. Ik kan u er helaas ook geen vijf minuten bij
geven. Is hij bereid zich te voegen bij het verzoek van de PVV en BVNL om een volledige,
volwaardige Nederlandse vertaling? Dan kunnen we namelijk op een later moment, in
een apart commissiedebat zodat we wat meer tijd hebben, op de materie ingaan. Is hij
bereid om zich te scharen bij dat verzoek aan de Staatssecretaris?

De heer Rahimi (VVD):

Zeker, aangezien ik nog negen vragen had over dat punt. Ik had zelf ook nog vragen
over Google en andere dingen. Ja, dat verzoek zal ik dus zeker steunen.

De voorzitter:

Ik zie verder geen interrupties meer. Dan geef ik het woord aan mevrouw Bouchallikh,
GroenLinks.

Mevrouw Bouchallikh (GroenLinks):

Dank, voorzitter. Deze bijdrage is mede namens de PvdA. «Het Ministerie van Privacy»
bestaat niet, maar ik vond het wel mooi gevonden. Met die naam werd in opdracht van
het ministerie een testaccount op Facebook gemaakt om te onderzoeken wat de risico's
zijn. Goed dat dit gedaan is, want de risico's zijn groot. Daar kom ik later op terug.

Eerst een ander punt over waarom privacy zo belangrijk is. De afgelopen twee weken
zagen we namelijk – weliswaar niet bij de overheid maar bij bedrijven – hoe verkeerd
het kan gaan als informatie en in dit geval persoonsgegevens niet goed genoeg beveiligd
zijn en via een datalek op straat komen te liggen. Het is dus erg belangrijk dat bedrijven,
maar zeker ook overheden, zorgen dat hun informatiebeveiliging goed op orde is.

Kan de Staatssecretaris aangeven of ook overheden samenwerken met het bedrijf waarvan
nu zo veel gegevens zijn gelekt? Hoe zorgen overheden dat de informatiebeveiliging
op orde is bij de externe bedrijven waarmee zij samenwerken?

In het verlengde hiervan de vraag bij wie de verantwoordelijkheid precies ligt voor
het waarborgen dat IT-producten voldoen aan de wet- en regelgeving en de standaarden
voor informatiebeveiliging. Wat GroenLinks betreft moet die verantwoordelijkheid liggen
bij de leveranciers van IT-diensten. Zij moeten actief kunnen aantonen dat hun diensten
voldoen aan onze voorwaarden. Deelt de Staatssecretaris dit uitgangspunt?

Voorzitter. Ik kom op social media. Er wordt al langere tijd terechte kritiek geuit
op het gebruik van socialmediaplatforms zoals Facebook en TikTok. De Staatssecretaris
heeft ons een zogeheten data protection impact assessment en een human rights impact
assessment toegestuurd die zijn uitgevoerd op het gebruik van Facebookpagina's door
de overheid. Hieruit komen grote risico's naar voren en voorstellen voor maatregelen.
Wat gaat de Staatssecretaris precies met alle aanbevelingen doen? GroenLinks is van
mening dat er stevige regulering nodig is van de digitale wereld. We moeten af van
de gedachte dat de techbedrijven zichzelf kunnen reguleren. De regie moet worden teruggepakt.
De EU Digital Services Act is wat ons betreft daarom ook erg belangrijk. Hiermee moeten
overheden de veel te grote rol van de techplatforms inperken en onze persoonsgegevens
beter beveiligen. Kan de Staatssecretaris aangeven hoe het met de Digital Services
Act staat? Denkt zij dat met de komst hiervan de informatiebeveiliging ook substantieel
verbetert?

Tot slot op dit vlak nog één punt. Zowel social media als bijvoorbeeld clouddiensten
zijn erg vaak afhankelijk van bedrijven van buiten de EU. Dit levert extra risico's
op voor onze informatiebeveiliging. Ziet de Staatssecretaris mogelijkheden om als
Europa digitaal autonomer te worden door technische ontwikkelingen hier te stimuleren,
zodat we in Europa in de toekomst ook meer voor Europese aanbieders kunnen kiezen?

Voorzitter. Ook de decentrale overheden en de uitvoeringsorganisaties bezitten veel
persoonsgegevens van inwoners. Het is daarom erg belangrijk dat ook zij goede informatiebeveiliging
hebben. Wij krijgen echter vanuit decentrale overheden soms bezorgde signalen dat
zij onvoldoende capaciteit en middelen hebben om alles goed op orde te krijgen. Kan
de Staatssecretaris garanderen dat gemeenten, provincies en waterschappen voldoende
middelen hebben? Of ziet zij ook knelpunten? Wat gaat zij eraan doen om hen te ondersteunen?

Verder geven de decentrale overheden zelf ook aan dat zij zich zorgen maken over de
hoeveelheid nieuwe wetgeving op het gebied van digitalisering die op hen afkomt. Kan
de Staatssecretaris hen en ons als Kamer geruststellen dat de andere overheden de
noodzakelijke acties die voortvloeien uit de wetgeving goed kunnen implementeren?

Voorzitter. Tot slot nog een vraag over het cloudbeleid. De Autoriteit Persoonsgegevens
heeft afgelopen najaar een advies uitgebracht over het rijksbrede cloudbeleid. In
de kabinetsreactie op dit advies schrijft de Staatssecretaris dat overheden die niet
tot de rijksdienst behoren, geadviseerd wordt zich aan dat beleid te houden. Maar
zij zijn daartoe niet verplicht. Zou het niet logisch zijn dat de richtlijnen die
we hebben opgesteld voor het gebruik van clouddiensten waaraan risico's verbonden
zijn voor alle overheden gelden, en dat zij dus niet enkel als advies gelden?

Ik zie uit naar de beantwoording. Dank u wel.

De voorzitter:

Dank, mevrouw Bouchallikh. Keurig binnen de tijd, eigenlijk als enige. Ik zie geen
interrupties. Dan geef ik nu het woord aan de heer Slootweg, CDA.

De heer Slootweg (CDA):

Dank u wel, voorzitter. Ook ik wil mevrouw Leijten feliciteren met de status van politicus
van het jaar. Toch blij dat je dat in zo'n commissie kunt doen waar je samen in zit;
dan kun je toch proberen om die meetlat zelf ook te gaan bereiken.

Voorzitter. De overheid bezit veel informatie over ons als inwoners en die informatie
heeft ze nodig, zodat we een beroep kunnen doen op onze rechten en zodat zij ons kan
aanspreken op onze plichten. Ze bezit ook informatie waarmee ik kan aantonen dat ik
ík ben en niet een ander. Die informatie is niet opgeslagen in ordners in een brandveilige
bunker, maar op computers of in clouds. Informatie die allerlei medewerkers van de
overheid, wanneer ze daartoe geautoriseerd zijn, kunnen inkijken en zo nodig verwerken.
Als inwoner van dit land wil je dan zeker weten dat deze informatie veilig is. Hacks
en datalekken zorgen ervoor dat er onrust ontstaat bij de bevolking.

Ik begin met datalekken. Zeker 2 miljoen Nederlandse klantgegevens blijken betrokken
bij een groot Nederlandse datalek. Niet alleen private bedrijven als VodafoneZiggo
zijn getroffen, maar ook publieke organisaties als de NS en de Rijksdienst voor Ondernemend
Nederland. De oorzaak lijkt te liggen bij een softwareleverancier die diensten aan
marktonderzoekers levert. Dat is zorgwekkend. Heeft de Staatssecretaris al een eerste
beeld van welke organisaties zijn getroffen? Wanneer worden de eerste bevindingen
van de Autoriteit Persoonsgegevens verwacht?

Er zit een principieel vraagstuk achter, namelijk waar precies de verantwoordelijkheid
van wie ligt voor de gegevens van onze inwoners. Nu wordt snel gewezen naar de marktonderzoekers,
maar de getroffen Nederlanders zijn toch eerst en vooral klant van dat grote bedrijf
of die grote organisatie. Is het wel verantwoord om zulke enorme hoeveelheden data
te delen met of uit te besteden aan marktonderzoekbureaus? Zijn er extra waarborgen
voor deze organisaties voordat zij data met onderzoekers delen en, zo nee, moeten
die er niet komen?

Voorzitter. In Het Financieele Dagblad stond een prachtig artikel – het leek wel een
advertorial – over hoe het kleine Nederland big tech weet te beteugelen. In een aantal
sectoren onderhandelen we collectief over de inkoop van digitale diensten, wat onze
positie sterker maakt. De overheid bijt haar tanden vast in de techniek met de zogeheten
DPIA's. Kunnen we het collectief inkopen en onderhandelen uitbreiden naar andere sectoren,
zoals de zorg?

Er klinkt ook kritiek. Daar zou enkele vragen over willen stellen. Het CDA heeft met
name zorgen over de marktmacht van enkele partijen. Ondanks scherpe onderhandelingen
van onderwijsorganisatie SURF zit nu bijna 95% van de Nederlandse universiteiten in
de cloud van Microsoft. Is de Staatssecretaris het ermee eens dat we ook hier goed
moeten kijken als we big tech willen temmen? Wat kan zij leren van andere landen,
zoals Duitsland en België, die op sommige punten verder zijn met het ontwikkelen van
eigen digitale diensten?

Markttoezichthouder ACM waarschuwde onlangs voor het lock-ineffect: wie nu data eenmaal
in de Amerikaanse cloud heeft, krijgt die er moeilijk uit. Het is dus belangrijk dat
we werk maken van de eigen Europese clouddiensten. Wil de Staatssecretaris voortmaken
met de IPCEI-cloud? Wat is de status hiervan? Ik had het ongetwijfeld in het Engels
moeten uitdrukken, maar ik dacht: anders gaat mevrouw Van Weerdenburg misschien vragen
wat de Nederlandse vertaling is. Nee, het is een zeer terecht punt dat zij heeft.

De voorzitter:

De heer Slootweg, u krijgt toch even een interruptie.

Mevrouw Van Weerdenburg (PVV):

Ja. Zelf uitgelokt, meneer Slootweg. Dat laat ik echt niet over mijn kant gaan. Nee,
alle gekheid op een stokje. PVV'ers zijn niet snel beledigd. Even om het principe.
Ik weet dat de heer Omtzigt al een tijdje weg is bij het CDA, maar er moet ergens
nog een soort restje zijn van rechtsstatelijkheid en hoe we hier in de Kamer dingen
doen. Is de heer Slootweg het niet ook met ons – de VVD, de PVV en BVNL – eens dat
we hier de regering goed moeten controleren en daarom ook echt de informatie moeten
hebben, zodat we daar vragen over kunnen stellen? En in het verlengde daarvan ...
Dat ben ik even kwijt. Excuus, voorzitter.

De voorzitter:

De vraag is dus of het CDA het eens is met uw vraag.

De heer Slootweg (CDA):

Ik heb helemaal niet mevrouw Van Weerdenburg op deze manier ... Als het badinerend
klonk, dan bied ik daarvoor mijn excuses aan, want dat is helemaal niet de bedoeling
geweest. Ik vind dat u een zeer terecht punt heeft. Ik weet niet helemaal of ik het
met u eens ben dat de samenvatting die is gestuurd nu alleen in jip-en-janneketaal
was. Ik denk dat het op zichzelf een degelijke samenvatting was, maar ik vind wel
dat wij in Nederland op het moment dat we de overheid moeten controleren ... Iedere
Nederlander moet met ons kunnen meekijken en meedenken. Dus op het moment dat u verzoekt
om dat te vertalen, kan ik u daar alleen maar in bijstaan.

De voorzitter:

De heer Slootweg gaat verder met zijn betoog.

De heer Slootweg (CDA):

Voorzitter. De eisen om in te loggen bij bijvoorbeeld Mijn Belastingdienst worden
best complex. Dat heeft alles met veiligheid te maken. De Staatssecretaris geeft aan
dat ze zich realiseert dat de veranderingen voor veel mensen lastig zijn. Belangrijk
om de mensen die dit lastig vinden te helpen, zijn de Informatiepunten Digitale Overheid,
de IDO's, bij de bibliotheken. De Staatssecretaris zegt: we werken aan alternatieven
voor mensen die niet mee kunnen komen. Is dat eigenlijk niet de verkeerde volgorde?
Door eerst de alternatieven op orde te hebben en dan het authenticatieniveau te verhogen
zorg je ervoor dat je de mensen niet in de steek laat. Hoeveel mensen hebben er in
2022 eigenlijk gebruik gemaakt van IDO's? Hoeveel uur is een IDO bemenst? Zijn er
rond de belastingaangifte extra mensen beschikbaar om mensen te kunnen helpen?

Dank u wel, voorzitter.

De voorzitter:

Dank. Nu geef ik het woord aan de IT-politicus van het jaar, mevrouw Leijten.

Mevrouw Leijten (SP):

Voorzitter, dank u wel. Dank ook aan deze commissie. Deze commissie heeft wel degelijk
door haar bestaan en door ons samenwerken betere debatten opgeleverd over digitale
zaken. Het helpt natuurlijk dat we een Staatssecretaris hebben. Het helpt ook zeer
zeker voor de controlefunctie van het parlement dat wij bestaan. Ik wil deze prijs
dus ook deels doorgeven aan jullie. Het is natuurlijk een grote eer, maar, eerlijk
is eerlijk, ik had die niet gekregen zonder deze commissie.

Waar staan we nou precies op het gebied van cyberveiligheid en de overheid? Dat zou
ik eigenlijk aan de Staatssecretaris willen vragen. Hoe vliegen we dit aan? Wat verstaat
zij onder veiligheid? We kijken bijvoorbeeld naar de vitale sector. We kijken naar
de fysieke gevolgen. Er moeten 1.000 mensen dood, gewond of chronisch ziek zijn. Ik
denk dan: wauw! Als ik de impact zie van gisteren bij Voorschoten, dan denk ik: wat
is dat voor een raar criterium? Er moet een criterium voor zijn, maar denkt de Staatssecretaris
dat dat nog van deze tijd is? Ik denk dat een hack bij een ziekenhuis en andere hacks
die we de afgelopen tijd hebben gehad – mevrouw Bouchallikh had het daar al over –
ook grote impact hebben gehad. Die laten zien hoezeer data met elkaar verweven zijn.
Data worden doorverkocht, gedeeld of geveild. Denk aan het artikel waar de voorzitter
gisteren zelf een debat over heeft aangevraagd.

We worden ons meer bewust van wat data zijn. We weten beter wat de waarde is van het
delen van data. We weten ook beter wat de risico's zijn van het delen van data. Die
kunnen namelijk ergens komen te liggen waar we ze niet willen hebben liggen. Waar
vindt de Staatssecretaris dat we staan op het gebied van veiligheid? Dat zou ik graag
van haar willen horen.

Wat de SP betreft ontbreekt de fundamentele discussie over de wenselijkheid van allerlei
nieuwe technologieën. Volgen wij de technologie of hebben wij bepaalde waarborgen
waarbij we zeggen dat we technologie wel of niet toepassen? We hebben nu bijvoorbeeld
een discussie over TikTok op telefoons. Je kunt via TikTok namelijk mogelijk bij andere
documenten komen. Waarom voeren we geen debat over alle foto's en filmpjes die wij
van onszelf delen, waardoor de gezichtsherkenning in de kunstmatige intelligentie
beter wordt? Daardoor kunnen staten of commerciële partijen ons volgen tot waar we
ook zijn. Zij weten onze behoeftes soms beter in te schatten dan wijzelf. Die discussie
ontbreekt.

Natuurlijk, we hebben het nu over TikTok en China. Maar ik heb het advies van de Autoriteit
Persoonsgegevens over het Rijksbreed cloudbeleid 2022 gelezen. Zij zeggen dat er risico's
zijn als onze persoonsgegevens – de heer Slootweg had het er al over – gedeeld worden
door de overheid en in allerlei systemen uit het cloudbeleid staan. Als ze eenmaal
bij een Amerikaanse aanbieder hangen, dan krijgen we ze misschien nooit meer terug.
Onze eigen Autoriteit Persoonsgegevens wijst daarop. Wat is precies de reactie van
de Staatssecretaris? Op 22 augustus 2022 stelt zij in de ministerraad het Rijksbreed
cloudbeleid 2022 vast. Ik stel vast dat er dus geen overleg is geweest met de Autoriteit
Persoonsgegevens. Er is ook geen overleg geweest met de Tweede Kamer. De Tweede Kamer
kan nu de evaluatie van later dit jaar afwachten. Ik vind dat nogal wat. Dit gaat
namelijk over wat de overheid doet met onze gegevens.

Je kunt opschrijven dat je een algoritme of dataminimalisatie wil, maar wat nou als
die gehackt worden? Is dat vitale infrastructuur? Er zullen namelijk geen 1.000 doden
vallen, om het maar even heel hard te zeggen, maar de impact daarvan kan wel gigantisch
zijn. Ik zou dus graag aan de Staatssecretaris willen vragen waar wij nu precies staan.
Waar staat de overheid precies?

Ik wil nog een principiële vraag neerleggen. Misschien is het een beetje een rare
vraag, op de dag dat ik IT-politicus van het jaar ben geworden. Moeten wij wel door
met de strategie van de overheid en de politieke opvatting dat je altijd alles digitaal
moet doen wat digitaal kan? Moeten we niet gewoon zeggen: nee, dat is niet de automatische
weg? Dan kom je ook bij de discussie die de heer Slootweg had over zwaardere authenticatiesystemen
bij de Belastingdienst. Hartstikke fijn en hartstikke prettig voor iedereen. Voor
sommige mensen is het gewoon niet bij te houden. Kunnen we dit wel bijpassen met flankerend
beleid? Of moeten we gewoon zeggen: het kan wel digitaal, maar dat hoeft niet? Kan
dat niet het standpunt worden als men contact heeft met de overheid? Dat is misschien
handig vanuit het veiligheidsperspectief.

Dank u wel, voorzitter.

De voorzitter:

Dank. Dan zou ik nu het voorzitterschap over willen dragen aan mevrouw Van Weerdenburg.

Voorzitter: Van Weerdenburg

De voorzitter:

Dan geef ik nu het woord aan mevrouw Dekker voor haar inbreng namens D66.

Mevrouw Dekker-Abdulaziz (D66):

Dank, voorzitter. Vorige week was er elke dag van de week een nieuw datalek, zowel
bij private partijen als bij publieke organisaties zoals de GGD en het Kadaster. Het
digitale leven vraagt van ons als overheid dat wij onze systemen goed beveiligd hebben,
want als overheid zijn wij verzot op data. Dan moet men er ook op kunnen vertrouwen
dat die in goede handen zijn. Ik heb vandaag een overzichtelijke bijdrage met drie
onderwerpen: ten eerste DPIA, dan de end-to-endencryptie en ten derde de datalekken.

Voorzitter. Naar aanleiding van een goed voorbeeld bij onze oosterburen gaat de overheid
een zogeheten DPIA uitvoeren naar het gebruik van Facebookpagina's door de overheid.
Een data protection impact assessment is bedoeld om te beoordelen of er privacyrisico's
zijn voor burgers bij de gegevensverwerking op overheidspagina's, in dit geval dus
op Facebookpagina's. Het DPIA laat geen spaan heel van het privacybeleid: zeven hoge
risico's en één laag risico. Facebook informeert burgers niet over wat men met de
gegevens op die pagina's doet en gebruikt bijvoorbeeld cookies op een misleidende
manier, aldus het rapport. Het mag geen verrassing zijn, want in Duitsland roept de
data protection commissioner al sinds 2019 dat de overheid haar Facebookpagina's moet
sluiten. Mijn vraag is heel simpel: hoeveel tijd wil de Staatssecretaris aan Meta
bieden om veranderingen door te voeren? Is zij het met D66 eens dat hier onvoldoende
voortgang wordt geboekt en, zo ja, dat de overheid moet overwegen om wellicht van
Facebook af te gaan?

Ten tweede, voorzitter. End-to-endencryptie is voor D66 een groot goed. Het garandeert
privacy in onze communicatie. Zo kunnen we er bijvoorbeeld zeker van zijn dat Meta
– ja, daar zijn ze weer – niet mee kan lezen als wij whatsappjes sturen. Het zorgt
ervoor dat cybercriminelen niet zomaar namens ons iets kunnen verzenden. De keerzijde
is ook waar: berichten zijn privé, ook als de inhoud niet deugt. Nog steeds worden
berichten van criminelen ontcijferd, zoals we recentelijk hebben kunnen zien met de
arrestaties van criminele kopstukken. Echter, het lijkt alsof het Ministerie van JenV
gefixeerd blijft op het verbreken van de encryptie. Eerder was het ministerie bezig
met het inbouwen van een achterdeur in de encryptie. Nu heeft het ministerie wat nieuws:
client-side scanning. Dat is een beetje alsof je een pakketje voordat je het verstuurt
eerst door de scanner op de luchthaven haalt. Die scanner zoekt dan naar tekenen van
dingen die niet mogen, in dit geval illegale praktijken. Dat klinkt misschien mooi,
maar het compromitteert onze privacy in enorme mate. Er wordt dan immers op grote
schaal meegelezen in berichten. Je leest ze dus van tevoren en vervolgens zeg je dat
encryptie nog steeds werkt. Maar dan heb je het al gelezen, waarmee encryptie waardeloos
is geworden. Wat ons betreft is dit een slecht idee. Deelt de Staatssecretaris dit?
Kan zij toezeggen dat end-to-endencryptie wat haar betreft intact blijft en er niet
zoiets als client-side scanning wordt toegevoegd?

Voorzitter, ten slotte. Zoals ik zei, was het vorige week elke dag raak. De NS, Vodafone,
het Kadaster, de GGD en noem maar op: overal gingen persoonsgegevens van klanten en
burgers verloren. De gevolgen daarvan zijn nu nog niet te overzien. Daarom wil D66
dat hiervan werk wordt gemaakt. Wij zullen op korte termijn een plan lanceren om persoonsgegevens
beter te beschermen. Dat willen wij met drie maatregelen doen. Eén: het recht om vergeten
te worden. Iedereen zou bij niet noodzakelijke bedrijven of diensten moeten kunnen
aangeven om vergeten te willen worden. Twee: het datadieet. Overheid en bedrijven
vragen meer data dan nodig en bewaren ze langer dan nodig. Wat ons betreft komt hierover
strenge wetgeving. Drie: een verbetering in cookiewetgeving. Nu klikken Jan en alleman
ongezien op het opslaan van cookies. Dat is onnodig; dat kan veel beter. Kan de Staatssecretaris
op deze punten reflecteren?

Dank u wel.

De voorzitter:

Dank u wel. Keurig binnen de tijd. U krijgt het voorzitterschap weer terug.

Voorzitter: Dekker-Abdulaziz

De voorzitter:

Inderdaad. Ik ben ook verrast. Ik zie geen interrupties. Staatssecretaris, hoeveel
tijd heeft u nodig?

Staatssecretaris Van Huffelen:

Ik krijg net door van mijn collega's die boven aan het werk zijn dat de mail eruit
heeft gelegen, dus ik denk dat we iets meer tijd nodig hebben. Kunnen we tot 11.00
uur schorsen? Dan heb ik even de tijd om naar boven te gaan en kunnen zij ervoor zorgen
dat er dingen worden geprint enzovoort.

De voorzitter:

Geen probleem. Dan schorsen we de vergadering tot 11.00 uur.

De vergadering wordt van 10.34 uur tot 11.00 uur geschorst.

De voorzitter:

Ik geef het woord aan de Staatssecretaris Digitalisering, voor de beantwoording van
de vragen in eerste termijn.

Staatssecretaris Van Huffelen:

De ironie: we hadden en hebben last van een storing in ons e-mailsysteem. Ik heb geprobeerd
om de vragen zo veel mogelijk te verzamelen. Er komt zo meteen nog wat aan, maar ik
hoop dat ik uw vragen zo veel mogelijk kan beantwoorden.

Natuurlijk ook van mijn kant felicitaties aan mevrouw Leijten, die IT-politicus van
het jaar is geworden. Van harte! Ik ben het met haar eens dat het heel fijn is dat
we ook een aparte commissie hebben die hierover praat, want in de meeste gevallen
levert dat interessante en goede debatten op over een onderwerp dat gelukkig steeds
meer in de publieke belangstelling staat.

Vandaag gaat het over het onderwerp informatiebeveiliging bij de overheid. Dat is
een zeer belangrijk thema. De kern is dat burgers en bedrijven erop moeten kunnen
vertrouwen dat de overheid niet alleen zorgvuldig met gegevens omgaat, maar ook systemen
en processen heeft die werken, zodat er systemen en processen beschikbaar zijn wanneer
je zaken wilt doen met de overheid, dat die veilig en betrouwbaar zijn en dat je de
regie kunt behouden over wat je met de overheid deelt.

Wat veiligheid betreft zijn er natuurlijk veel beren op de weg. Er zijn veel problemen.
We zien digitale dreigingen van statelijke actoren en van criminelen. We zien die
steeds vaker plaatsvinden, op allerlei manieren: aanvallen op onze infrastructuur,
op onze programma's, pogingen om gegevens van mensen te ontfutselen. Dat is een heel
zorgelijke ontwikkeling, waar ik zo meteen nog op terugkom, die ook laat zien dat
het niet ophoudt. Steeds weer, iedere dag weer, is er werk aan de winkel om ervoor
te zorgen dat de veiligheid verbetert. Of het nu gaat om hacking, om phishing, om
aanvallen op systemen: alles moet worden aangepakt. We hebben ook gezien dat cybercrime
toeneemt. Dat geldt niet alleen voor de overheid, maar ook in het algemeen. Zo'n 2,5
miljoen mensen in ons land geven aan dat zij weleens slachtoffer zijn geworden van
cybercriminaliteit en ook dat is iets wat ons zorgen baart.

Vorige week hebben we met de commissie van Justitie en Veiligheid ook over dit onderwerp
gesproken. Ook bij de overheid is op dit vlak veel te doen. Dat zal ook zo blijven,
want als wij onszelf beter weten te beschermen, wordt er altijd weer naar nieuwe manieren
gezocht – soms worden ze ook gevonden – om ons aan te vallen. De oorlog die Rusland
voert tegen Oekraïne, de cyberoorlog, laat ons zien hoe hard wij die bescherming nodig
hebben.

Het is goed om dat in het openbaar bestuur goed te regelen. Informatiebeveiliging
is daarbij belangrijk, zoals gezegd. We moeten onze systemen en processen op orde
houden. We hebben in de werkagenda Waardengedreven Digitaliseren gezegd dat versterken
van cybersecurity een belangrijk onderwerp is. Dan gaat het om de combinatie van systemen,
processen en gegevens. In al die vormen moeten we kijken hoe we dat doen. We werken
op dit moment aan een wettelijke basis voor informatiebeveiliging van de overheid.
Ik kom daar nog op terug naar aanleiding van vragen die door de heer Rahimi werden
gesteld. We hebben natuurlijk ook al van alles gedaan de afgelopen tijd, bijvoorbeeld
het kader opgesteld, dat Baseline Informatiebeveiliging Overheid heet. Verder oefenen
we op allerlei manieren en werken we aan het veilig houden van de overheid.

Mijn ambitie is om niet alleen toe te werken naar meer inzicht in financiën rondom
digitalisering, maar ook om een IT-verslag en een IT-auditverklaring te maken. Daarmee
willen we bekijken hoe we ervoor kunnen zorgen dat er aandacht en tijd wordt besteed
aan allerlei aspecten, waaronder zeker ook veiligheid. Jaarlijks oefenen we. Inmiddels
doen al vele, vele overheidsorganisaties mee aan die oefeningen: vijf jaar geleden
begonnen we met zo'n 700 deelnemers en nu zijn het er zo'n 3.000. Vorig jaar oktober
hebben we geoefend en we gaan ook dit jaar weer oefenen op het gebied van cyberveiligheid
en het bestrijden van cybercriminaliteit.

Daarmee wil ik de inleiding afronden. Vanuit de rijksoverheid hebben wij een stelselverantwoordelijkheid
voor het openbaar bestuur en daarmee ook voor veiligheid. Ik vind het van belang dat
we op basis daarvan niet alleen zorgen voor een wet, maar ook inhoudelijk blijven
samenwerken. Gelukkig hebben we ook afgesproken met alle lagere overheden om samen
te gaan werken aan die informatiebeveiliging en cyberveiligheid.

Ik heb op dit moment drie blokjes die ik wil aflopen. Nogmaals, er komen nog een paar
vragen aan, maar ik ga proberen op basis van de vragen die u gesteld heeft, zo goed
mogelijk antwoord te geven. Ik wil beginnen met het blokje informatie en beveiliging.
Dan heb ik een blokje privacy en dan een blokje open source.

Het blokje over informatie en beveiliging begint met de vraag van de heer Rahimi van
de VVD. Hij vroeg: wat is nou de stand van zaken rondom de voorbereiding van wetgeving
op dit gebied? Komt er ook aparte wetgeving? Het antwoord daarop is dus ja. We zijn
voornemens dat te doen, ook omdat alle overheden binnen de scope van de zogenaamde
NIB2 moeten vallen. Dat is de wetgeving die we in Europa hebben afgesproken op dat
gebied. Ik wil daarmee een versnelling maken om te verankeren dat informatieveiligheid
voor de publieke sector ook wordt gerealiseerd.

Een tweede vraag op dit gebied van de heer Rahimi was of er op één plaats een algemene
zorgplicht voor informatieveiligheid bij de overheid kan worden geregeld en wat ik
bedoel met «daardoor». Het is de bedoeling dat die NIB2-richtlijn ervoor zorgt dat
we allerlei interbestuurlijke regelgeving goed harmoniseren. We zien het dus vooral
als een kans. Uiteindelijk werkt het op het punt van cyberveiligheid natuurlijk pas
wanneer we het als overheden met elkaar doen en zo veel mogelijk combineren. Daar
hebben we dus ook al afspraken over gemaakt met onder andere de VNG en een aantal
gemeentes. We willen juist die harmonisatie gebruiken om het daarmee haalbaarder,
betaalbaarder en uitvoerbaarder te maken, omdat het voor heel vele lagere overheden
ingewikkeld is om het allemaal zelf te bedenken, zelf de aanbestedingen te doen en
zelf te zorgen voor verbetering van de informatieveiligheid.

De heer Rahimi vroeg ook of wij van plan waren de richtlijnen rondom dit thema vanuit
de Verenigde Staten in ogenschouw te nemen, zoals zero trust. Wat wij aan het doen
zijn, is een nieuwe versie maken van die Baseline Informatiebeveiliging Overheid.
Daarin nemen we ook die concretere richtlijnen uit de Verenigde Staten mee, zoals
die veiligheidsstrategie zero trust. De bedoeling is om in 2024, dus volgend jaar,
een geactualiseerde BIO beschikbaar te hebben. Dat doen we met experts vanuit binnen-
en buitenland. Met die expertaanpak kunnen we garanderen dat het zo veel mogelijk
aansluit op de hedendaagse praktijk, hoewel we natuurlijk ook steeds opnieuw moeten
bekijken of we voldoen aan de meest recente eisen en ontwikkelingen. Daarom doen we
ook deze vernieuwingsslag.

Een andere vraag van de heer Rahimi ging over ID-ware en de hack die heeft plaatsgevonden
waar ook de Tweede Kamer en u als leden last van hebben gehad. De Beveiligingsautoriteit
Rijk en de CISO, onze cybersecurity officer, hebben nog recent contact gehad met ID-ware.
Ze hebben zich in detail laten informeren over alle maatregelen die ze hebben genomen,
onder meer de continue monitoring die moet plaatsvinden om te zorgen dat het systeem
niet opnieuw gehackt kan worden of dat nieuwe aanvallen in ieder geval kunnen worden
afgewend. Om dit verder in de gaten te houden doet de CISO Rijk dat continu, niet
alleen maar voor ID-ware, maar ook voor andere, rijksbrede voorzieningen.

Er was ook de vraag wat er nou precies gebeurd is met de gegevens rondom die hack
van ID-ware. Ik geloof dat dat een vraag was van een van de andere leden, maar ik
kom daar dan maar gelijk op. Het ging vooral over gegevens als foto's, namen, geboortedata,
dus eigenlijk gegevens die ook wel anderszins in het publieke domein beschikbaar zijn.
Het is daarmee niet minder vervelend, maar het geeft wel aan dat het bijvoorbeeld
niet echt mogelijk is om de passen die er zijn na te maken of op een of andere manier
onder valse voorwendselen hier in de Kamer of bij gebouwen van het Rijk binnen te
komen. Maar goed, we blijven dit soort ontwikkelingen natuurlijk in de gaten te houden
en proberen daar ook steeds van te leren. Dat was ook de vraag van de heer Rahimi:
wat doen jullie nou om inzicht te krijgen in wat hier gebeurd is en hoe kun je ervan
leren, zodat volgende aanvallen niet meer plaatsvinden of in ieder geval zo veel mogelijk
worden voorkomen?

Een vraag van GroenLinks ging over ...

De voorzitter:

Staatssecretaris, ik ga u heel even onderbreken, want ik zie dat de heer Rahimi wil
interrumperen.

De heer Rahimi (VVD):

Ik ben blij om dit te horen. Ik doelde eigenlijk meer op de verschillende normenkaders
en de BIO. Het lijkt soms meer op administratieve rompslomp, terwijl je soms gewoon
een hek of weet ik veel wat wilt. Waar komt ID-ware zelf mee in plaats van dat wij
daarnaar moeten kijken? Dat las ik nergens. Dat was mijn concrete vraag. Heeft ID-ware
zelf punten die andere instanties eventueel kunnen gebruiken?

Staatssecretaris Van Huffelen:

Ik kan op dit moment geen antwoord geven op de vraag wat zij zelf doen. Wij monitoren
wel bij hen. Ik zal in de tweede termijn even terugkomen op de vraag wat zij precies
aan het doen zijn.

Wat betreft de Baseline: natuurlijk zijn dat richtlijnen die we op papier zetten.
Maar dat doen we natuurlijk niet om het alleen maar papier te laten zijn. We willen
ze daadwerkelijk gebruiken, niet alleen bij de rijksoverheid maar ook bij de gemeentes
en de provincies, om ervoor te zorgen dat we zo goed mogelijk zijn gewapend tegen
aanvallen van buitenaf. Het is natuurlijk helder dat we dat steeds moeten updaten.

De voorzitter:

Een vervolgvraag van de heer Rahimi.

De heer Rahimi (VVD):

Ik wil het volgende meegeven. Toen de cookiewet speelde, zat ik niet in de Kamer,
maar ik ben daar zo allergisch voor. Ik bedoel eigenlijk: wilt u er echt voor waken
dat dat gebeurt, zodat het niet een vinkjeslijstje wordt, waarna het goed is? Wilt
u dat meenemen, zodat we niet weer in dat soort dingen vervallen?

Staatssecretaris Van Huffelen:

Ik denk dat we het daar ook over kunnen hebben bij de wet die we aan het maken zijn.
Hoe kunnen we ervoor zorgen dat we de juiste maatregelen treffen en niet iedereen
denkt: hoe kom ik hier zo snel mogelijk vanaf? Want dat is natuurlijk precies datgene
wat we niet willen.

De voorzitter:

De Staatssecretaris vervolgt.

Staatssecretaris Van Huffelen:

Ik kom zo meteen nog even terug op het onderwerp cookies.

Vanuit GroenLinks werd de vraag gesteld: hoe kun je ervoor zorgen dat IT-producten
voldoen aan de wet- en regelgeving en aan de standaarden voor informatiebeveiliging?
U zei: die verantwoordelijkheid moet vooral liggen bij de leverancier. Dat ben ik
zeer met u eens. Overheden worden op allerlei manieren geholpen om de juiste eisen
te stellen, maar het gaat er natuurlijk om dat de leveranciers voldoen aan de vereisten
en dat er van alles wordt gedaan om ervoor te zorgen dat ze daaraan voldoen. Daar
is allerlei regelgeving voor, met name op Europees niveau. De Cyber Resilience Act
gaat ervoor zorgen dat leveranciers van hard- en software worden gedwongen om veilige
producten te leveren. Het is heel belangrijk dat dat gebeurt.

Mevrouw Bouchallikh vroeg of wij mogelijkheden zien om als Europa digitaal autonomer
te worden. Dat is zeker een heel belangrijke ontwikkeling, die meer aandacht heeft
gekregen binnen de Europese Commissie naar aanleiding van de situatie die ontstaan
is door de oorlog in Oekraïne. We zagen toen als Europa hoe afhankelijk we zijn, bijvoorbeeld
van energieleveranties. Dat heeft ertoe geleid dat er opnieuw wordt gekeken naar dit
thema. Het gaat niet alleen over autonomie wat betreft de hardware en de infrastructuur,
zoals datacenters, maar ook wat betreft de software. Het is relevant om te kijken
hoe we op onszelf kunnen vertrouwen als dat nodig is. Op dit moment werkt het Ministerie
van EZK samen met ons aan het verder uitwerken van beleid op het gebied van digitale
autonomie en infrastructuur. Dat wordt naar verwachting in de tweede helft van dit
jaar opgeleverd.

Mevrouw Bouchallikh vroeg of gemeenten, provincies en waterschappen voldoende middelen
hebben om er daadwerkelijk voor te zorgen dat ze veilig digitaal kunnen werken. Ik
kan natuurlijk niet garanderen dat dat altijd zo is, want ze hebben natuurlijk hun
autonome taken en keuzes wat betreft hun bedrijfsvoering. Maar we zorgen er natuurlijk
wel voor dat we medeoverheden ondersteunen met kennis en met allerlei vormen van informatie,
en natuurlijk ook met het uitvoeren van grote cyberoefeningen. Het is niet onbelangrijk
om te vermelden dat de Minister van Justitie en Veiligheid en ik in december een convenant
hebben gesloten met de gemeentes om ervoor te zorgen dat we niet alleen kijken naar
wat er inhoudelijk moet gebeuren om veilig te zijn, maar ook naar hoe we ervoor kunnen
zorgen dat daarvoor voldoende kennis, kunde en middelen ter beschikking komen. Het
is dus een punt waar we aandacht voor moeten hebben en houden. We kunnen niet zeggen
dat er gegarandeerd altijd voldoende middelen zijn. We moeten er vooral voor zorgen
dat we de goede keuzes maken, zodat de gemeenten en de provincies die veiligheid kunnen
invoeren.

Mevrouw Bouchallikh (GroenLinks):

Een vervolgvraag. Dat «garanderen» heb ik inderdaad heel specifiek zo opgeschreven,
omdat we hier allemaal hele goede beleidsontwikkelingen op gang kunnen proberen te
brengen met regels en dat soort zaken, maar als een lagere overheid niet de middelen
of de capaciteit heeft om dat ten uitvoering te brengen, gaat het uiteindelijk ten
koste van de burger. Daarin komt dat dan weer terug. Wat kan de Staatssecretaris dan
wél doen? Ik vind het namelijk toch best wel een heikel punt als ik hoor dat het niet
mogelijk is om dit te garanderen.

Staatssecretaris Van Huffelen:

Ik vind «niet mogelijk» niet een goed woord hiervoor. Ten eerste hebben we met gemeenten
en provincies natuurlijk een convenant afgesloten. We doen er ook alles aan om gemeenten
en provincies te laten meedoen aan datgene wat wij voor onszelf als beleid maken.
Dat geldt bijvoorbeeld ook voor de recente afspraken die we gemaakt hebben voor de
rijksoverheid zelf rondom het gebruik van apps uit landen met een offensief cyberprogramma.
Daarbij hebben we ook aan gemeenten gevraagd om dat beleid te volgen. Wij willen hen
waar dat nodig is ondersteunen met kennis, kunde, handreikingen, enzovoorts, enzovoorts.
We gaan ook die wet maken. Die gaat natuurlijk ook gelden voor lagere overheden. Maar
ik vind het in de komende tijd natuurlijk vooral van belang ... U vraagt: is er altijd
een garantie dat alle middelen er zijn? Dat is natuurlijk te moeilijk en te breed
om te beantwoorden. Maar ik ben het zeer met u eens dat we natuurlijk willen dat dit
op alle niveaus in de overheid goed geregeld is, want anders kunnen problemen die
in een gemeente of in een provincie ontstaan ook doorwerking hebben voor het Rijk.
Wij blijven daar dus heel goed over in overleg met hen, om te zorgen dat dat wat we
wensen, namelijk voldoen aan een hoog niveau van veiligheid, ook geldt voor onze medeoverheden.

Dan ...

De voorzitter:

Er is nog een interruptie van de heer Rahimi.

De heer Rahimi (VVD):

Ik weet niet of het mag, maar ik wil mevrouw Bouchallikh graag een vraag stellen.

De voorzitter:

Nee, officieel mag dat niet, dus u moet die dan bewaren voor de tweede termijn. De
Staatssecretaris gaat door met haar beantwoording.

Staatssecretaris Van Huffelen:

Ik zou ook willen zeggen dat die NIB2-richtlijn, die dus ook gaat gelden voor provincies
en gemeenten, ons ook de kans biedt om de regelgeving op dit gebied veel meer te harmoniseren.
Ik ben daar blij mee, want dat zou ook weer kunnen bijdragen aan ervoor zorgen dat
we de haalbaarheid en de uitvoerbaarheid maar zeker ook de betaalbaarheid van die
informatiebeveiliging beter op orde kunnen krijgen.

Dan de vraag van mevrouw Bouchallikh over het gebruik van clouddiensten, waaraan risico's
verbonden zijn: zouden we die richtlijnen alleen voor de rijksoverheid moeten laten
gelden of ook voor provincies, gemeenten en andere delen van de overheid? Wij hebben
hen geadviseerd om dat te doen. We hebben daar overleg over gehad. Ik heb daarbij
met hen afgesproken dat we elkaar daarvan op de hoogte houden. Uiteraard hebben de
verschillende onderdelen van het Rijk zelfstandige posities, dus een gemeente kan
er bijvoorbeeld voor kiezen om ervan af te wijken. Maar gegeven het feit dat wij er
zelf niet alleen maar heel goed over hebben nagedacht maar ook zeer goed hebben gekeken
naar wanneer wat wel of niet zou kunnen, raden wij hen vooral ook aan om te zorgen
dat ze dat beleid volgen. Ik hoop natuurlijk dat de lokale gemeenteraden of Provinciale
Staten daar ook goed op letten.

Mevrouw Bouchallikh (GroenLinks):

Mijn vraag hierover lijkt op mijn vorige vraag, want een keten is zo sterk als de
zwakste schakel, om het zo maar even te zeggen. Stel dat lagere overheden besluiten
om het niet te doen, wat kan de Staatssecretaris dan doen om hen wel zover te krijgen,
los van adviseren en aanmoedigen?

Staatssecretaris Van Huffelen:

Uiteindelijk zou dat dan natuurlijk moeten via bijvoorbeeld een wet. Die zou dan namelijk
ook voor hen gelden. Maar op dit moment hebben we daar nog niet voor gekozen, ten
eerste omdat het ook veel tijd kost om zo'n wet te maken en wij vooral alvast aan
de slag wilden om duidelijk te maken onder welke zeer strikte condities het mogelijk
zou moeten zijn om gebruik te maken van clouddiensten en ook van clouddiensten van
leveranciers die niet in Europa gevestigd zijn. Maar ik hoop vooral – ik zie dat ook
steeds meer gemeenten en provincies dat graag willen – dat we met elkaar gaan optrekken
en samenwerken, juist omdat deze zorgen net zo goed bij provincies en gemeenten leven
als hier. Dan doel ik op zorgen over de veiligheid, over hoe er met de gegevens wordt
omgegaan en over hoe zeker men ervan is dat de beschikbaarheid groot blijft. Ik zie
dus juist dat er steeds meer behoefte is om samen te werken, en om niet allemaal eigen
beleid en eigen keuzes te maken maar om zo veel mogelijk te teamen. In het kader van
die NIB2 werken we de komende tijd samen ook verder aan het maken van die wetgeving.
We zouden daarbij ook kunnen kijken naar de veiligheid van clouddiensten.

Dan een vraag van de heer Slootweg, ook over de cloud en dan met name over het onderwijs.
Hij zei: ondanks scherpe onderhandelingen van de onderwijsorganisatie SURF zit 95%
van de Nederlandse universiteiten in de cloud van Microsoft. Hij vroeg of ik het ermee
eens ben dat we daarnaar moeten kijken en of ik daarbij zou kunnen leren van bijvoorbeeld
Duitsland en België, als landen die daarmee aan het werk zijn.

Misschien mag ik eerst even specifiek inzoomen op die onderwijsinstellingen, want
universiteiten zijn natuurlijk verantwoordelijk voor hun eigen keuzes op dit gebied.
Die keuzevrijheid betreft natuurlijk zowel grotere als kleinere diensten. Er is ook
een risico dat de afhankelijkheid van marktpartijen te groot wordt. Dat is ook de
reden waarom wijzelf zo inzetten op risicoanalyses en op het bevorderen van concurrentie.
Overigens is SURF, de leverancier van vele clouddiensten voor universiteiten, daarmee
aan het werk. Zij hebben ook al een mix van clouddiensten in de aanbieding. Dat zijn
dus niet alleen maar Amerikaanse maar ook Nederlandse en Europese aanbieders en leveranciers.
Ze hebben bovendien nog hun eigen clouddiensten. Maar goed, het is dus wel van belang
om het onderwijs er steeds op te blijven wijzen dat ze goede afwegingen moeten maken
bij het gebruik van clouddiensten.

Misschien is het ook goed om te weten dat wij in het kader van andere landen inderdaad
in Europa hard aan het werk zijn om te kijken of wij Europese clouddiensten verder
kunnen ontwikkelen. Daar lopen verschillende projecten voor. U had het zelf ook over
zo'n project: de IPCEI CIS. Dat is de Important Project of Common European Interest
Cloud Infrastructure and Services, om dat nog maar eens in goed Nederlands toe te
lichten. De bedoeling is dat we in het tweede kwartaal van dit jaar horen welke projecten
op basis hiervan kunnen worden gehonoreerd en van start zullen gaan. Binnen dat programma
is het idee namelijk dat er verschillende Europese clouddiensten worden ontwikkeld.
De Minister van Economische Zaken en Klimaat gaat u daar ook verder over informeren.
Er zijn natuurlijk ook andere ontwikkelingen, met name wetgeving gericht op de cloud,
om ervoor te zorgen dat er een goed en volwaardig Europees aanbod komt in die cloudmarkt,
want dit is zeker een onderwerp waar we in Europa in brede zin maar ook in Nederland
graag aan willen werken om daarmee te voorkomen dat je op basis van relatief weinig
concurrentie bijna automatisch terechtkomt bij clouddiensten van Amerikaanse leveranciers.

Dan een vraag van mevrouw Leijten op dat gebied, namelijk of er risico's zijn voor
het delen of het niet goed omgaan met persoonsgegevens. Ze zei: als je ze aan een
Amerikaanse aanbieder aanbiedt, krijg je ze misschien niet meer terug. Dit gaat ook
over het cloudbeleid dat we hebben afgesproken. Wij hebben samen met de andere departementen
dat cloudbeleid ontwikkeld. Ik heb er ook een gesprek over gevoerd met de Autoriteit
Persoonsgegevens. U heeft hier op 20 oktober ook een technische briefing over gehad.
Er is ook nog schriftelijk overleg over geweest. Ik denk dat het van belang is dat
wij risico's zien bij cloudgebruik. Dat maakt ook dat we in het beleid dat we hebben
geformuleerd, hebben gezegd dat het ongelofelijk belangrijk is dat wanneer je ervoor
kiest om iets in de cloud te zetten en gebruik te maken van een zogenaamde private
cloud, dus clouddiensten van bedrijven die dat leveren, je dan ook hele goede keuzes
maakt. Sommige van die persoonsgegevens of bijzonder gevoelige gegevens kunnen dus
niet zomaar worden geplaatst in een cloud en al helemaal niet in een cloud buiten
de zogenaamde economische ruimte. Dat is ook precies in lijn met wat de European Data
Protection Board wil.

Dan is er de vraag van mevrouw ...

De voorzitter:

Mevrouw de Staatssecretaris, er is nog een interruptie van mevrouw Leijten.

Mevrouw Leijten (SP):

De reactie van de Autoriteit Persoonsgegevens was niet: hier wordt een weg ingeslagen
die wij willen. Het waren vooral een aantal pagina's met heel veel waarschuwingen.
De reactie die de Staatssecretaris daar weer op geschreven heeft, is summier. Als
het bijvoorbeeld gaat over het uniformeren van het cloudbeleid, gaat de Staatssecretaris
het advies van de Autoriteit Persoonsgegevens dan volgen? We zijn geconfronteerd met
uw besluit, zonder overleg met de AP of de Kamer. De Staatssecretaris gaat dit evalueren
in het najaar. Hoe gaat die evaluatie lopen? Gaat dat langs de lijnen van de adviezen
en de waarschuwingen van de AP? Of gaat dat verder op de aanvliegroute van het management
die tot nu toe is gekozen bij het cloudbeleid? Als het dat laatste is, maakt de SP
zich daar wel zorgen over.

Staatssecretaris Van Huffelen:

Het is natuurlijk ontzettend belangrijk dat we hebben gezegd dat we cloudbeleid maken.
We vinden het belangrijk om goed te omschrijven hoe wij als overheid op een veilige
manier gebruik kunnen maken van clouddiensten, zowel clouddiensten binnen de Europese
ruimte als clouddiensten van bedrijven die met name in de Verenigde Staten zijn gevestigd.
Wij vinden het juist heel erg belangrijk dat we dat beleid niet alleen maar gemáákt
hebben. We hebben dat uiteraard ook met de Kamer gedeeld en we praten er vandaag ook
over. Dat is, denk ik, niet onbelangrijk. We hebben er ook voor gezorgd dat u goed
op de hoogte bent gebracht via die technische briefing. Maar als we gaan evalueren,
nemen we daarin natuurlijk alles mee. Dan gaat het zeker ook over de adviezen van
de Autoriteit Persoonsgegevens en over de evaluatie en de ontwikkelingen die we daarin
zelf zien. Dan gaat het bijvoorbeeld over de vragen: werkt dat cloudbeleid nu ook
goed voor de departementen en hoe kunnen we andere overheden, provincies en gemeenten,
meenemen in het verder vormgeven van dat cloudbeleid?

Ik denk dat het oogmerk dat we hebben heel helder is. Dat is namelijk dat we wanneer
we gebruikmaken van clouddiensten, die ons soms heel erg kunnen helpen in termen van
efficiency of bijvoorbeeld het eenvoudiger maken van het inzetten van nieuwe programmatuur
of nieuwe beveiligingstools, er ook voor zorgen dat het veilig blijft omdat er met
de gegevens van onze burgers wordt gewerkt, of met data en programma's die gebruikt
worden door de overheid. We willen ervoor zorgen dat dat op een goede manier gebruikt
kan worden.

Kort en goed samengevat in antwoord op de vraag van mevrouw Leijten: we betrekken
al die ontwikkelingen en ervaringen daar natuurlijk ook bij, evenals de aanbevelingen
van de AP.

De voorzitter:

De Staatssecretaris. O, mevrouw Leijten.

Mevrouw Leijten (SP):

De Staatssecretaris is in haar brief van 24 januari ingegaan op de drie adviezen van
de Autoriteit Persoonsgegevens. Daarbij verwijst zij ook de hele tijd naar de evaluatie,
maar dan wel met zinnen als «we kijken of het beoordeeld moet worden», «we kijken
of het een plek gaat krijgen», «we kijken of ...» Ik probeer iets meer gevoel daarbij
te krijgen. De Autoriteit Persoonsgegevens zegt: enerzijds is het goed dat erover
nagedacht wordt, anderzijds missen we een uniforme aanpak. Dat is toch wat de Autoriteit
Persoonsgegevens de hele tijd doet: je krijgt een complimentje en je krijgt een waarschuwing.
Wat gaat de Staatssecretaris nu doen bij haar evaluatie? Gaat ze naar de complimentjes
leunen of gaat ze de waarschuwingen ter harte nemen? Ik zou graag willen dat ze op
dat laatste zou ingaan.

Staatssecretaris Van Huffelen:

Uiteraard kijk ik juist ook naar die waarschuwingen, want ik ben heel blij dat de
Autoriteit Persoonsgegevens ook vindt dat dit beleid nodig is. Als het gaat over die
uniformering en harmonisering, is het natuurlijk ontzettend belangrijk dat we in de
uitvoering en verdere evaluatie van dat cloudbeleid zo veel mogelijk samen optrekken.
Gelukkig hebben we in het cloudbeleid heel veel afspraken gemaakt over hoe we dat,
als het bijvoorbeeld gaat over die harmonisering over de departementen heen, gaan
doen met de rol die er is voor de CIO Rijk, de CISO enzovoorts, enzovoorts. Maar uiteraard
vind ik het ontzettend belangrijk dat we juist ook kijken naar: waar maakt de AP zich
zorgen over en hoe zorgen we ervoor dat we die zorgen zo goed mogelijk meenemen in
het beleid en de evaluatie daarvan in dit najaar?

De voorzitter:

Oké. De Staatssecretaris vervolgt haar beantwoording.

Staatssecretaris Van Huffelen:

Dan kom ik bij de vraag van mevrouw Dekker-Abdulaziz over end-to-endencryptie: blijft
die intact? Laat ik daar het volgende over zeggen. Het kabinet is een enorme voorstander
van die sterke encryptie, want die heeft een grote beschermende waarde en moet niet
ter discussie staan. Op 31 januari heeft de Minister van JenV uw Kamer een brief daarover
gestuurd die uitvoering geeft aan de motie-Van Raan. Tegelijkertijd, zegt de Minister
van JenV, moeten we de mogelijkheid houden om effectief te kunnen blijven opsporen.
Daarom wordt er gekeken naar manieren om binnen wat is afgesproken op basis van de
motie-Van Raan, dus met behoud van encryptie, rechtmatig toegang te kunnen krijgen
tot versleutelde informatie. Daarbij speelt natuurlijk een rol dat fundamentele rechten,
dataprotectie, behoud van cybersecurity, enzovoorts, enzovoorts, niet worden geschonden.

Dan is er nog de vraag van GroenLinks over de Digital Services Act: verbetert de komst
hiervan de informatiebeveiliging substantieel? De Digital Services Act wordt in fases
ingevoerd; de regulering is al afgesproken. De grote onlineplatforms zijn vanaf eind
van dit jaar aan die regelgeving gebonden. Voor deze onlineplatforms, bijvoorbeeld
socialmediaplatforms en onlinezoekmachines, geldt dat ze jaarlijks een risicoanalyse
moeten uitvoeren om te onderzoeken welke risico's voortkomen uit de algoritmes die
zij gebruiken, waaronder de risico's op het gebied van desinformatie, kinderen, het
publieke debat en fundamentele rechten. Zij moeten zorgen dat die risico's worden
beperkt op last van boetes wanneer ze dat niet doen. Wij gaan ervan uit dat dat ook
effecten zal hebben op de informatiebeveiliging, omdat de risico's daarvoor ook in
kaart moeten worden gebracht. De wetgeving gaat nu van start. We zullen goed in de
gaten moeten houden of dat daadwerkelijk op deze wijze nog effecten zal hebben.

Dan de vragen van mevrouw Leijten en van mevrouw Bouchallikh over de strategieën die
we hebben op het gebied van cybersecurity of beter gezegd de vragen over: wat zien
we nou wanneer het veilig is? Daar hebben we in Nederland een aantal dingen over afgesproken.
We hebben in Nederland de cybersecuritystrategie, die in oktober van vorig jaar naar
uw Kamer is gestuurd met een actieprogramma erbij. We hebben onlangs ook een Nederlandse
veiligheidsstrategie vastgesteld. Die heeft uw Kamer vorige week ontvangen. Die strategieën
gaan erop in dat we willen zorgen dat we digitaal veilig zijn, of het nu gaat om beveiligingen
tegen hacks of om zorgen dat er geen data gedeeld kunnen worden met partijen die daar
geen recht op hebben, dat we veilige IT-middelen gebruiken, dat we voldoende deskundigheid
ontwikkelen en allerlei andere maatregelen, bijvoorbeeld om ransomwareaanvallen tegen
te gaan, enzovoorts, enzovoorts, enzovoorts. Natuurlijk zijn die strategieën erop
gericht om ons veilig te houden, maar we zien dat de dreigingen toenemen. Dat vraagt
dat we er steeds meer aan moeten blijven werken om die dreigingen tegen te gaan, of
het nou dreigingen zijn vanuit criminele organisaties of dreigingen vanuit statelijke
actoren. Het uitwerken van die strategieën zal betekenen dat we steeds weer verder
moeten gaan om te zorgen dat we ons verder blijven bewapenen en onszelf veilig houden.
Dat zal een ontwikkeling zijn die ook in de komende jaren nog heel veel aandacht zal
vergen.

Dan wilde ik doorgaan naar het blokje over privacy. Ik begin met de vraag van mevrouw
Van Weerdenburg over Facebook Pages. U vraagt of u de volledige vertaling in het Nederlands
kan krijgen. Dat kan natuurlijk. We hoopten u enigszins te bedienen door alvast een
samenvatting te sturen, maar uiteraard kunnen we dat doen. Ik denk, ook naar aanleiding
van de punten die u noemde, dat het goed is om iets meer en vooral iets meer in diepte
met uw Kamer te delen wat deze onderzoekers precies hebben gevonden, welke risico's
ze zien en wat onze strategie is om daarmee aan het werk te gaan. Ik zou willen aanbieden
om daarover een zogenaamde technische briefing te organiseren. Wellicht vragen we
de onderzoekers om u dan te informeren over wat ze hebben gezien en hoe ze daartegen
aankijken, zodat er meer helderheid komt over dit onderwerp.

De voorzitter:

Mevrouw Van Weerdenburg voor een reactie.

Mevrouw Van Weerdenburg (PVV):

Dank voor het aanbod, maar dat is eigenlijk niet waar ik naar zoek. Het punt is namelijk
dat ik als Kamerlid die discussie ... Wat mij betreft is het een politieke discussie.
Moeten we willen dat mensen een account moeten aanmaken om bij informatie van de overheid
te komen? Moeten we willen dat de overheid niet meer vertegenwoordigd is op een platform
waar ze een publiek had van vijf miljoen mensen? Die waardendiscussie moeten we hier
voeren. Ik vind het een beetje lastig dat daar nu een juridisch document van 150 pagina's
voor wordt geplaatst waaraan die beslissing hangt: blijft de overheid wel of niet
op Facebook? Maar goed, als dat de procedure is, prima. Dan moeten we het hebben over
dat document. Ik wil dat niet met de opstellers van het document. Het is voor mij
duidelijk. Ik vind wel dat we alsnog de volledige Nederlandse vertaling moeten hebben,
al is het alleen maar om ons te helpen om de juiste vragen te stellen. Ik heb het
Engelse document ook gelezen. Als dit erbij hoort, de discussie over wel of niet ...
De Staatssecretaris is er juist om met haar over dat besluit te discussiëren. We hebben
heel bewust gezegd dat we hierover willen spreken voordat er stappen worden genomen.
Dat proberen we hier vandaag; dat lukt dus niet. Ondertussen hoor ik wel op de radio
allerlei dingen zeggen en moeten we in het FD lezen dat pas vorige week de onderhandelingen
zijn begonnen met Meta. Ik heb alsnog het gevoel dat er een heleboel langs ons heen
gaat, en dat wil ik voorkomen. Ik heb niet zozeer behoefte aan een technische briefing
met de opstellers van het rapport. Ik wil met de bewindspersoon hierover nader spreken.

De voorzitter:

Eerst de beantwoording en dan een vervolgvraag van de heer Rahimi. De Staatssecretaris.

Staatssecretaris Van Huffelen:

Dat kan ook, want dit onderzoek is natuurlijk niet onbelangrijk, om het maar even
zo te zeggen. Wij willen heel graag dat als Nederlanders gebruikmaken van een dienst
als Facebook, dat veilig kan en dat de dienstverlening voldoet aan de Nederlandse
of in Nederland geldende regelgeving. In dit geval gaat het over de privacyregelgeving
ofwel de AVG. Wij hebben gezien dat ... Dat kunnen wij onderzoeken, omdat wij zelf
gebruikmaken van dit kanaal om Nederlanders van informatie te voorzien. Dat doen we
omdat heel veel Nederlanders gebruikmaken van Facebook. We hebben vele kanalen om
informatie te delen met inwoners van het land en dit is er een van. Wij hebben op
basis van dat onderzoek gezien dat er niet wordt voldaan aan de privacyregelgeving.
Dat maakt dat wij het belangrijk vinden om niet zomaar te zeggen dat we het dan niet
meer gebruiken, maar om te kijken of we samen met dit bedrijf kunnen komen tot een
veilige dienstverlening, in de hoop dat daarmee niet alleen maar het gebruik van de
overheid van deze dienst verbetert, maar ook dat de dienstverlening van dit bedrijf
gaat voldoen aan de wet- en regelgeving en dat dit ook voor de Nederlanders gaat gelden.
Dat is ons oogmerk met dit traject.

Als u zegt dat u niet meer informatie hoeft te hebben over het onderzoek, prima. Ik
dacht dat u daarnaar op zoek was. Maar als dat niet zo is, dan is dat op zich begrijpelijk.
Ik zal in ieder geval zorgen dat u wordt voorzien van een vertaling.

De voorzitter:

Dank. Een vervolgvraag van mevrouw Van Weerdenburg.

Mevrouw Van Weerdenburg (PVV):

Voor zover ik wist hebben we hier volgens mij maanden geleden al over gesproken. Ik
ging ervan uit dat de gesprekken met Meta al gaande waren, maar blijkbaar dus niet.
Waar ik aanstoot aan neem, is dat dit document nu eigenlijk wordt gebruikt in een
soort strategie: Meta staat al tegen de muur. Ik heb niet het gevoel dat de Staatssecretaris
daadwerkelijk probeert om eruit te komen. Ik heb meer het gevoel dat ze nu munitie
verzamelt om alvast Meta voor een voldongen feit te stellen. Dan vraag ik me af wat
die gesprekken überhaupt nog voor zin hebben. Maar nogmaals, ik hoef niet meer informatie
over het rapport. Ik wil gewoon hét rapport! Voor mijn gevoel heb ik het rapport niet
als ik het niet in het Nederlands heb. Daarmee zeg ik niet dat ik geen Engels kan
lezen, maar ik wilde bijvoorbeeld vragen stellen over de invulling van de term «joint
controllership» en over wat de opstellers van het rapport daaronder verstaan. Wat
voor gevolgen heeft het bijvoorbeeld voor een platform als Mastodon, waarop de Staatssecretaris
nu ook actief is? Maar omdat ik een Nederlandse term zocht, pakte ik de Nederlandse
vertaling erbij en dan blijkt gewoon dat het een jip-en-jannekesamenvatting van de
DPIA te zijn van niet negen maar zes pagina's. Sorry, maar dan heb ik de informatie
dus nog niet ontvangen. Ik wil dus wel spreken over dit rapport met de Staatssecretaris,
maar ik wil het rapport ook gewoon in het Nederlands kunnen lezen.

De voorzitter:

Duidelijk. Ik wil mevrouw Van Weerdenburg erop wijzen dat we tijdens de pv nog altijd
een commissievergadering kunnen agenderen.

Staatssecretaris Van Huffelen:

Ik heb mevrouw Van Weerdenburg al toegezegd dat die vertaling er komt.

Misschien even iets over wat mijn intentie is, want kennelijk is dat niet goed helder.
Het is niet onze intentie om Nederlanders of Nederland van Facebook af te halen. Onze
intentie is te zorgen dat de producten en diensten die dit bedrijf levert – in dit
geval is dat dienstverlening – voldoen aan de Nederlandse wetgeving. Dat is ook de
reden waarom we met hen in gesprek zijn. Zijn dat eenvoudige gesprekken? Nee, dat
zijn het niet. Het zijn indringende gesprekken, die ook tijd kosten. Dat hebben we
ook gezien bij eerdere trajecten die we hebben doorlopen, bijvoorbeeld met Google
en Microsoft. Het vereist namelijk dat we het niet alleen maar met elkaar eens worden
over welke problemen we zien, maar ook over de mogelijke aanpassingen die het bedrijf
kan doen. Dat vergt dus tijd. Nogmaals, wij zijn daar dus over in gesprek. Dat betekent
dat we aan beide kanten vertegenwoordigers moeten hebben. Het heeft even tijd gekost
voordat Facebook ook iemand had met wie we kunnen praten. Die hebben we nu en wij
hopen vooral dat we er met hem uit komen in lijn met de eerdere keren dat we dit hebben
gedaan. Want nogmaals, onze strategie is niet gericht op dingen verbieden. Dat kan
uiteindelijk altijd de consequentie zijn, maar onze strategie is juist bedoeld om
ervoor te zorgen dat dienstverlening die beschikbaar is voor Nederlanders en de Nederlandse
overheid ook voldoet aan de Nederlandse regelgeving.

De voorzitter:

Helder. Tot slot, mevrouw Van Weerdenburg.

Mevrouw Van Weerdenburg (PVV):

Ja, tot slot op dit punt, voorzitter. Vorige week stond er in Het Financieele Dagblad
een stuk over die onderhandelingen en in dat stuk staat: «de Staatssecretaris trekt
een streep in het zand» en «de Nederlandse overheid is van plan geen duimbreed toe
te geven in de onderhandelingen met Facebook over privacyregels». Zijn het dan nog
onderhandelingen of ... Ja, ik weet dus niet wat ik moet geloven, want de Staatssecretaris
sust ons nu een beetje met: nee nee, er is echt nog wel ruimte. Maar dat gevoel krijg
ik dus niet.

De voorzitter:

We vallen een beetje in herhaling, maar tot slot de Staatssecretaris hierover.

Staatssecretaris Van Huffelen:

Ik ben daarin ook wel vrij eenvoudig, want natuurlijk is dit een gesprek, namelijk
over hoe wordt er door deze dienst voldaan aan de Nederlandse wet- en regelgeving.
Volgens mij is de AVG helder over wat je bijvoorbeeld mag doen met de gegevens van
de mensen die gebruikmaken van jouw diensten. Ik denk dat we daarin heel scherp moeten
zijn, want we, u en ik, hebben die wetten niet voor niks opgesteld. We hebben dat
gedaan om te zorgen dat je gegevens beschermd zijn als je ergens gebruikmaakt van
een bepaalde dienst. We hebben het net over hacks gehad en over data delen. Dus het
is ontzettend belangrijk dat we zeker weten dat wanneer de overheid gebruikmaakt van
Facebook Pages, Facebook op zo'n manier omgaat met de data van Nederlandse burgers
dat het in lijn is met de Nederlandse wetgeving op dat gebied. En nogmaals, we hebben
dit soort trajecten eerder gedaan. Daar zijn we goed uit gekomen en ik hoop dat dat
ook zo zal zijn bij dit traject.

De voorzitter:

De heer Rahimi voor een interruptie.

De heer Rahimi (VVD):

Ik vind een technische briefing juist heel goed, al is het maar om mijn negen resterende
vragen te stellen.

Volgens mij is deze vraag al beantwoord, maar ik wil toch zeker weten dat we eerst
de vertaling krijgen. Ik vind dat namelijk ook belangrijk. Daarna is er eventueel
een technische briefing, iets waar ik echt een voorstander van ben. Klopt dat? «Wij
maken afspraken en wij zijn in gesprek» is wat ik hoor en ik vind ook dat we dat moeten
doen. Kamer en kabinet moeten ook continu alert zijn en we moeten weten of de afspraken
nagekomen worden. Met Google Workspace hebben we dat ook gedaan. Is dat dan na een
aantal jaar werkelijk gebeurd of zitten er hier dan andere Kamerleden die het helemaal
vergeten zijn? Dat vind ik heel belangrijk. Maar de technische briefing, daar ben
ik wel groot voorstander van, inclusief de vertaling. Soms zijn de vertalingen ook
helemaal niet te volgen, hoor. Nederlandse teksten zijn ook best wel lastig, zeg ik
maar even.

De voorzitter:

Zeggen wij allebei als niet-native speakers.

Staatssecretaris Van Huffelen:

Om even op uw vraag in te gaan: u moet als commissie zelf bepalen wat u gaat doen
met die wel of niet technische briefing. Het is natuurlijk zo dat wij die checks niet
maar één keer willen doen. We willen dat blijven herhalen, want de dienstverlening
wordt ook aangepast. Dat betekent dat je blijvend moet kijken of er wordt voldaan
aan de wetten en regels die gelden voor de privacy.

De voorzitter:

De Staatssecretaris vervolgt haar beantwoording.

Staatssecretaris Van Huffelen:

De vraag die net werd gesteld, was of daar inderdaad continuïteit in zit. Die heb
ik dus beantwoord.

Dan de vraag van mevrouw Bouchallikh van GroenLinks of ik kan aangeven of door overheden
wordt samengewerkt met de bedrijven waar vorige week dataleks hebben plaatsgevonden.
Op basis van een interdepartementale inventarisatie hebben we geconstateerd dat vijf
partijen van de rijksoverheid getroffen zijn door dit datalek. Op dit moment wordt
er onderzoek verricht naar de effecten daarvan. Ik heb nog geen signalen gekregen
van andere overheden, dus van gemeenten of provincies, maar ik zal voor u navraag
doen om te zien of zij daardoor geraakt zijn. Maar u wordt in ieder geval op de hoogte
gehouden van wat dit betekent voor de rijksoverheid.

De heer Slootweg vroeg wat de Autoriteit Persoonsgegevens doet met dat datalek van
vorige week. Zij is natuurlijk een onafhankelijke toezichthouder en bepaalt dus ook
zelf of en wat ze ermee gaat doen. Het feit dat het gemeld is, is natuurlijk conform
de regels over wat te doen wanneer er een datalek heeft plaatsgevonden.

Is er sprake van een overtreding van de AVG? De Autoriteit moet natuurlijk haar werk
doen om te bepalen of dat aan de orde is. Maar daar kan ik geen opdracht of instructies
toe geven.

De heer Slootweg en deels ook mevrouw Leijten vroegen of het verantwoord is om zo
veel data te delen met marktpartijen. Moeten er niet extra waarborgen zijn voor het
delen van data, aangezien er zoals vorige week dataleks plaatsvinden? Ik ben het zeer
met u eens dat het nodig is dat er extra waarborgen komen. Dat is ook waarom er heel
veel nieuwe wetgeving is opgesteld, zoals de Data Governance Act, de Digital Markets
Act en de Data Act. Daarmee willen we extra waarborgen op datadelen organiseren. De
verplichtingen die er zijn, zijn met name bedoeld om ervoor te zorgen dat er meer
vertrouwen kan zijn in de data die worden gedeeld, niet alleen direct maar ook via
tussenpersonen. De Data Act zal meer regie geven aan burgers en in de Digital Markets
Act wordt het makkelijker gemaakt voor burgers om te zorgen dat ze hun data zelf meenemen
naar andere diensten als ze dat zouden willen. Er worden ook extra verplichtingen
gesteld aan het zorgen dat er data moeten worden gedeeld.

Dus ja, kort en goed: er moet meer worden gedaan om te beschermen. Ook het onderwerp
«dataminimalisatie» is een belangrijk onderwerp. Dat geldt overigens ook voor ons
als overheid. Daar waar we data met elkaar moeten delen om diensten of producten te
kunnen uitwisselen, moeten we er ook voor zorgen dat dat gebeurt op basis van zo weinig
mogelijk data en dus niet op basis van hele grote hoeveelheden en datasets.

De voorzitter:

Ja. Een interruptie van de heer Slootweg.

De heer Slootweg (CDA):

Ik wil de Staatssecretaris bedanken voor de antwoorden, maar aan de andere kant: als
ik het goed beluister, moet ik dus voor die extra waarborgen wachten tot de nieuwe
wetgeving van kracht is geworden. Op dit moment blijken ook overheidsorganisaties
enorme hoeveelheden data uit te wisselen met zo'n marktonderzoeksbureau. Daardoor
kunnen grote hoeveelheden informatie van onze inwoners zomaar op straat komen te liggen.
Dan vind ik het toch een beetje een raar idee dat ik moet wachten tot er een keer
wetgeving komt voordat er iets kan worden gedaan. Ik denk toch dat je ook iets in
je interne proces zou kunnen doen en dat je nu al om waarborgen kunt vragen, vooruitlopend
op wetgeving, opdat dit niet nog een keer kan gebeuren. Of is dat te optimistisch
gedacht?

Staatssecretaris Van Huffelen:

Nee, want als we het over de overheid specifiek hebben, geldt dat vandaag de dag al.
Heel zorgvuldig omgaan met data is iets wat we verwachten van niet alleen de rijksoverheid,
maar ook van gemeentes en provincies. U vroeg of er nog extra waarborgen moeten komen.
Ja, die moeten er nog komen. Overigens geldt de Digital Markets Act al. Maar als het
gaat om het voortdurend blijven nadenken over de vraag hoe we zo gering mogelijke
hoeveelheden data kunnen delen en hoe we kunnen zorgen dat er extra waarborgen zijn:
dat werk moeten wij natuurlijk nu al doen. Dat blijft iets wat van kracht is, ook
voor de rijksoverheid.

De heer Slootweg (CDA):

Dan zou ik het toch wel fijn vinden – volgens mij vroeg de heer Rahimi daar ook al
om – om te horen wat wij leren van dit soort fouten. Dit is echt een gigantische hoeveelheid
informatie, die ook via overheidsdiensten hiernaartoe gaat komen. Ik begrijp dat u
de Autoriteit Persoonsgegevens geen opdracht kunt geven, maar ik denk toch dat deze
casus ons wel iets leert van: hoe zit het nou met die waarborgen en met een soortement
van stresstesten, opdat dit niet nog een keer kan gebeuren? Met name als het gaat
om de situatie waarin mensen informatie toevertrouwen aan een overheidsdienst, waarna
die informatie blijkbaar op een andere manier bij marktpartijen terechtkomt, geloof
ik echt wel dat de overheid die informatie wel goed op orde heeft. Maar daar waar
die informatie gedeeld wordt met een aantal marktpartijen, zit er toch een lek. Ik
zou toch heel graag willen zien dat we binnen een aantal maanden weten wat we extra
moeten beveiligen, zodat zo'n lek niet nog een keer kan ontstaan.

Staatssecretaris Van Huffelen:

Ik begrijp uw punt. We hebben het in dit geval niet zozeer over de overheid zelf,
maar over partijen die wij inhuren om diensten of taken voor ons te verrichten. Deze
partijen blijken dan onvoldoende te voldoen aan de bescherming die nodig is om te
zorgen dat je geen datalekken hebt. Nu is 100% bescherming natuurlijk altijd ingewikkeld.
Als het gaat over aanbestedingen en het vragen aan anderen om voor ons activiteiten
te doen, hebben we daar allerlei regels over. Ik wil er graag nog even op kauwen of
de aanbestedingsregels voldoende zijn en of wanneer je dat doet, je niet alleen goede
afspraken maakt over bescherming, maar ook nog een soort extra waarborgen inregelt
en in hoeverre we dat kunnen invullen op basis van al dan niet reeds bestaande regelgeving.
Kijk, het is helder dat bedrijven dit niet mogen doen. Je mag geen data lekken. Dat
is helder. Daar is de AVG voor, die allang geldt. Data lekken mag niet. Het gaat erom
hoe wij, als we iemand vragen werk voor ons te doen, wat we altijd zullen blijven
doen omdat we als overheid nu eenmaal vaak opdrachten geven aan partijen om iets te
doen, beter kunnen zien of het vooraf zo kunnen beschermen dat er niks fout gaat.
Ik wil daar graag nog even op kauwen. Daarna kom ik daar graag bij u op terug. Dat
zal ik niet à la minute kunnen doen, dus niet in de tweede termijn, maar ik zal daar
een brief over sturen.

Dan was er nog de vraag van de heer Slootweg over het beteugelen van big tech. Die
ging erom of we die collectieve inkoop niet ook in andere sectoren zouden kunnen doen,
bijvoorbeeld in de zorg. We delen daar actief kennis over. In het DPIA dat we gemaakt
hebben over Google Workspace, een programma dat gebruikt wordt in het onderwijs, hebben
we samengewerkt met een aantal andere internationale partijen. We hebben onze kennis
en kunde daar gedeeld. We doen dat niet alleen in het kader van bijvoorbeeld dit soort
onderhandelingen, maar we weten ook dat daar bijvoorbeeld in de zorg gebruik van wordt
gemaakt.

De voorzitter:

Staatssecretaris, u krijgt nog een interruptie van de heer Rahimi over het vorige
blok, geloof ik.

De heer Rahimi (VVD):

De Staatssecretaris heeft haar microfoon nog aan en ik zag dat dit een technisch probleem
kan veroorzaken. Die is nu uit. Dank u wel.

Ik was heel blij met de opmerking over de aanbestedingen, want ik had zó'n blok dat
ik moest overslaan. Ik probeer het even te begrijpen. U gaat kijken hoe we de aanbestedingen
beter kunnen inrichten. Bij sommige aanbestedingen vind ik dat we in Nederland soms
best wel kijken naar «ons ben zuunig» en «doe maar een Chinees laptopje» of wat dan
ook. Is het op dat soort aspecten dat er soms niet gelet wordt op waar de hardware
en de software vandaan komen, maar dat er te veel gelet wordt op de prijs? Of is dat
op andere vlakken? U gaf daar heel kort iets over aan, maar ik voelde niet welke kan
het opging.

De voorzitter:

De Staatssecretaris over aanbestedingen.

Staatssecretaris Van Huffelen:

Dan wil ik er wel even scherp op zijn. Er is nu een datalek voorgekomen, bij een marktpartij,
die werd ingehuurd door andere marktpartijen en voor een deel ook door de overheid.
Dat is niet oké; dat is niet goed. We willen dat ook zo veel mogelijk voorkomen. Maar
het is niet zo dat alle data van de overheid nu voortdurend op straat liggen of dat
alle aanbestedingen voor dit soort dingen fout gaan. Aan de heer Slootweg heb ik toegezegd
om nog eens te bekijken waarom het toch nog fout kan gaan, want allerlei wet- en regelgeving
geeft aan dat dit op orde moet zijn wanneer je iets aanbesteedt, en of er dan een
extra waarborg nodig zou zijn. Ik wil dus ook een beetje het beeld wegnemen alsof
de overheid voortdurend partijen inhuurt om daarmee de data van burgers te grabbel
te gooien. Dat beeld zou niet goed zijn. Ik wil wel bekijken of het verstandig is
om extra waarborgen of checks in te bouwen, om wat nu toch is fout gegaan een volgende
keer te voorkomen.

De voorzitter:

Helder. Heel kort, meneer Rahimi.

De heer Rahimi (VVD):

Dat is toch iets anders dan wat ik bedoelde. Ik bedoelde als voorbeeld de hardware
en infrastructuur van Huawei. Maar het is mij helder. Mijn punt was niet wat u net
aangaf; het was niet mijn bedoeling om dat te zeggen. Dat wil ik nog even rechtzetten.

De voorzitter:

De Staatssecretaris gaat verder met haar beantwoording. Hoelang heeft u nog nodig?

Staatssecretaris Van Huffelen:

Dat kan ik niet helemaal overzien. Dat ligt natuurlijk ook altijd aan de interrupties.
Ik denk tien, vijftien minuten.

De heer Slootweg had nog een vraag over de beveiliging van persoonsgegevens en de
mens die vaak de zwakste schakel is. Dat ging met name over de medewerker bij de IDO's,
dus de Informatiepunten Digitale Overheid bij bibliotheken. Hoe voorkomen we dat mensen
die daar werken aan de haal gaan met data van de burgers die bij hen informatie vragen?
Laten we er helder over zijn: de mensen die daar werken, krijgen een training om burgers
te helpen met problemen, bijvoorbeeld wanneer ze moeite hebben met inloggen of niet
goed weten hoe de digitale overheid werkt. Ze nemen nooit activiteiten of datgene
wat de burger moet doen, over. Eerlijk gezegd is mijn eigen ervaring – ik heb inmiddels
vele IDO's bezocht en blijf dat ook met grote regelmaat doen – dat mensen daar ook
echt heel precies mee omgaan. Soms vinden ze dat zelfs ook wel een beetje ingewikkeld.
Ze zeggen: ik zou de burger nog een stapje verder kunnen helpen als ik wat meer zou
mogen doen, bijvoorbeeld bij het aanvragen van een DigiD, omdat ik nu iemand weliswaar
kan vertellen hoe je het moet doen, maar niet zelf even kan meekijken of dit kan doen.
Ik vind het dus belangrijk dat we samen met de gemeenten gaan bekijken hoe we die
hobbel oplossen. Dat wil ik niet doen om daarmee bevoegdheden te geven die ervoor
zorgen dat dingen fout gaan, maar juist om mensen ook op een goede manier te helpen.
Het is dus eerder zo dat de mensen die bij die IDO's werken, vinden dat ze te weinig
kunnen doen dan te veel.

Dan was er ook de vraag hoeveel IDO's er op dit moment zijn. Er zijn er op dit moment
673. Er zijn in 2022 ongeveer 45.000 vragen gesteld, en meer dan 80.000 sinds 2019.
Daartussen was er de coronaperiode, waarin er minder mogelijkheden waren voor mensen
om naar de bibliotheek te gaan en vragen te stellen. Ze zijn gemiddeld zestien uur
per week open. We hebben de gemeenten nu structurele financiering gegeven voor deze
informatiepunten. Het is juist onze ambitie om samen met de gemeenten te bekijken
hoe we het netwerk verder kunnen uitbreiden. Dat hoeft niet altijd alleen een bibliotheek
te zijn. Het kan ook gebeuren op andere plekken dicht bij burgers, dus in een buurthuis
of op een andere plek waar mensen gemakkelijk naartoe komen. Ik was deze week in Rotterdam
en zag ook dat het nodig zal zijn om zelf naar burgers thuis toe te gaan. We ontwikkelen
en rollen een programma uit om te zorgen dat iedereen kan meedoen in de digitale wereld.
We zien ook dat het nodig kan zijn om bij mensen thuis te komen, omdat lang niet iedereen
naar een bibliotheek, buurthuis of andere plek gaat. Dat willen we in de komende tijd
ook verder gaan ontwikkelen.

U vroeg ook: waren er extra mensen rondom de belastingaangifte? Ja, dat hebben we
ook samen met de Belastingdienst gedaan om te bekijken of er op die plekken extra
mensen beschikbaar waren om vragen te beantwoorden.

Dan was er nog een vraag. Het gaat een beetje door elkaar heen, want ik kom weer terug
op het thema van Facebook en Meta. De vraag van D66 was: hoeveel tijd willen we aan
hen geven? We hebben het traject gestart met het idee dat we aan het eind van dit
jaar een stap verder hopen te zijn. We zien wel dat dit soort trajecten tijd kosten.
We zijn hier natuurlijk niet alleen zelf aan de bal. Het is een gesprek tussen twee
partijen. Maar we hopen vooral aan het eind van dit jaar u meer te kunnen vertellen
over waar we dan staan.

Dan was er de vraag van mevrouw Dekker-Abdulaziz over hoe je bij niet-noodzakelijke
bedrijven zou kunnen aangeven dat je vergeten wil worden. Ze vroeg of ik op dat punt
kan reflecteren. De AVG bevat al eisen daarover en zegt dat de hoeveelheid data die
wordt gevraagd, de termijn daarvan en dataminimalisatie een rol spelen, en dat bij
organisaties waar je zegt «ik wil vergeten worden» dat ook mogelijk is. Voor een deel
is dat dus afgedekt in de AVG. Ook in de DSA, de Digital Services Act die voor online
platforms gaat gelden, wordt niet alleen geregeld dat je vergeten kunt worden, maar
ook dat je de aanbevelingsalgoritmes kunt uitzetten. Datzelfde geldt voor het gebruiken
van data van minderjarigen voor advertentieprofilering. Met andere woorden, even heel
kort reflecterend: ik vind het een belangrijk punt. Dat vergeten worden is dus onderwerp
van de AVG en proberen we verder uit te werken in andere regelgeving. Ik bedoel niet
alleen dat je helemaal vergeten kunt worden, maar ook dat je voorkeuren vergeten kunnen
worden doordat je algoritmes kunt uitzetten.

Dan ga ik naar het laatste blokje over open source. De heer Rahimi had een vraag over
DigiD en de broncode. De vraag is of dat niet leidt tot grotere kwetsbaarheid. Onze
strategie bij open source is om broncodes te delen om daarmee de kwetsbaarheid van
overheidssystemen te verminderen, door ervoor te zorgen dat partijen, al dan niet
door onszelf daartoe uitgenodigd – we hebben dat in een eerder debat al besproken
– mee kunnen kijken naar hoe onze programmatuur eruitziet. Daarmee kunnen ze fouten
eruit halen en aangeven of er zwaktes in die programma's zitten. Dat wil niet zeggen
dat je daarmee de beveiligingssleutels ook openbaar maakt. Dat hebben we bij DigiD
ook niet gedaan. Dat zou namelijk kunnen leiden tot veiligheidsrisico's. Dat willen
we natuurlijk vooral voorkomen. Dus ons idee is vooral om open source te gebruiken
om daarmee programma's veiliger te maken. Opensourcesoftware of combinaties van verschillende
opensourceprogrammatuur is overigens ook iets wat heel veel partijen gebruiken. Maar
we doen dat vanuit veiligheid en natuurlijk op een manier die verantwoord is, door
ervoor te zorgen dat informatie die afbreuk doet aan de veiligheid van systemen, zoals
versleutelingsmechanismes, wachtwoorden, verwijzingen naar technische infrastructuur
enzovoorts, natuurlijk niet wordt gedeeld.

De voorzitter:

Een kort vraagje, meneer Rahimi, want u bent door uw interrupties heen.

De heer Rahimi (VVD):

Heel kort. Er is een verschil tussen een code die openbaar is, en een structuur en
blauwdrukken die duidelijk zijn en een hacker die weet hoe daarmee om te gaan. Maakt
u dat onderscheid dan wel, zodat kwetsbare burgers niet worden geraakt? Daar gaat
het mij om, niet om dat er alleen in de software fouten zitten.

Staatssecretaris Van Huffelen:

Dat is precies wat het is. We willen niet ervoor zorgen dat daarmee de mogelijkheid
ontstaat om juist het omgekeerde te doen van wat je wil, waarmee je het onveiliger
in plaats van veiliger maakt. Die broncodes maken we openbaar om daarmee de programma's
die wij gebruiken veiliger te maken. En we maken zelf ook gebruik van open source
en van door anderen ontwikkelde software, bijvoorbeeld voor het aanbieden van diensten.
Ik weet dat we bijvoorbeeld open source hebben gebruikt voor de corona-app.

Dan over DigiD en de toegankelijkheid daarvan. DigiD moet natuurlijk toegankelijk,
betrouwbaar en veilig zijn. In 2022 was er een beschikbaarheid van 99,9%. Wij willen
dat natuurlijk behouden. We zorgen ervoor dat DigiD steeds weer verder wordt ontwikkeld,
niet alleen om ervoor te zorgen dat de beschikbaarheid groot blijft, maar ook om te
zorgen dat het veilig blijft. Dat is wat ik daarover zou willen zeggen, ook naar aanleiding
van een vraag van de heer Rahimi.

Volgens mij ben ik er dan doorheen. Ik dacht dat ik hiermee alle vragen had beantwoord.
Maar als dat niet zo is, dan hoor ik het graag.

De voorzitter:

Ik zie in ieder geval opgestoken vingers. Of zullen we gewoon de tweede termijn beginnen?
O nee, het is toch specifiek. Het woord is aan mevrouw Van Weerdenburg.

Mevrouw Van Weerdenburg (PVV):

Excuus, voorzitter. De tweede termijn is al zo kort en ik heb nog zo veel. Ik wil
graag nogmaals de Staatssecretaris even horen over DPIA. Klopt het dat er meerdere
van dit soort onderzoeken lopen, ook naar andere socialemediaplatforms zoals LinkedIn
en Twitter? De overheid is natuurlijk op meerdere platforms vertegenwoordigd. En zo
ja, in welke fase zijn die en worden die net zo lang? Als dezelfde invulling, dezelfde
redenering gevolgd wordt als bij het Facebook DPIA, dan vrees ik ervoor dat ze straks
concludeert dat de overheid maar van alle socialemediaplatforms af moet.

De voorzitter:

Ik laat deze even toe, maar we gaan zo meteen toch over naar de tweede termijn. Eerst
even de Staatssecretaris en dan gaan we toch over naar de tweede termijn, want het
klonk heel erg als een tweede termijn.

Staatssecretaris Van Huffelen:

Misschien toch nog weer even, zeg ik dan tegen mevrouw Van Weerdenburg. Het is niet
onze bedoeling om het onmogelijk te maken voor wie dan ook, inclusief de overheid
zelf, om gebruik te maken van socialmediaplatforms, want we weten dat veel mensen
daarvan gebruikmaken. Ons oogmerk is dat dat veilig kan op een manier waarbij die
diensten voldoen aan de wetgeving die we in Nederland en in Europa hebben op dit gebied.
Op dit moment loopt in een startfase een onderzoek naar de brillen die door Google
worden gebruikt, sorry, door Meta worden gebruikt. Ik moet het goede bedrijf noemen.
Dat zijn van die brillen die je gebruikt voor augmented reality of anderszins. Die
worden in het onderwijs ingezet. Wij willen kijken of dat op een veilige manier gebeurt.
Dat is het onderzoek dat op dit moment loopt.

De voorzitter:

Dank voor de beantwoording. Dan gaan we nu in verband met de tijd – excuses – toch
alsnog over naar de tweede termijn. Ik geef het woord aan mevrouw Van Weerdenburg.

Mevrouw Van Weerdenburg (PVV):

Dank u wel voorzitter. Alvast de aankondiging dat hier nog niet het laatste woord
over gezegd is, ook niet na mijn tweede termijn, want ik vind dit echt heel erg onbevredigend.
Op mijn laatste vraag welke andere DPIA-onderzoeken er lopen, ook LinkedIn en Twitter,
krijg ik alleen maar terug: nee, nog eentje naar Meta en dat is dan de Quest. Ik weet
niet of de Staatssecretaris cijfers heeft over hoeveel jongeren rondlopen met zo'n
Quest-headset. Het lijkt mij redelijk vroeg, dus ik hoor dat graag. Nu komt het een
beetje over alsof het een soort onderhandelingstactiek is in de al lopende onderhandelingen.

Voorzitter. De PVV heeft zich ook in deze commissie al vaker verzet tegen de kruistocht
die er gaande is tegen bigtechbedrijven. Het zijn nagenoeg allemaal Amerikaanse bedrijven.
Ik vraag me af: wanneer hebben we besloten dat we ineens concurreren met de VS, dat
het een soort vijandige ... We hebben gedeelde waarden. Het is altijd een bevriend
land geweest. We hebben altijd samengewerkt. Ook Nederlandse bedrijven zijn daar groot
mee geworden en door geworden. Ik denk dat die weerzin voortvloeit uit antiamerikanisme
en afgunst, en vooral dat een groepje machtswellustelingen in Brussel die wereldregerinkje
willen spelen dit allemaal instigeren. Nou moet er ineens overal een Europees alternatief
voor komen. Wij zien graag de lijn die de Staatssecretaris wél volgt bij het cloudbeleid.
Op dit moment zijn de beste en de veiligste aanbieders nou eenmaal big tech, de grote
Amerikaanse bedrijven. Natuurlijk blijven we de Europese initiatieven financieren
en wie weet komt er ooit een volwaardig Europees alternatief. Dat zou mooi zijn; daar
hopen wij ook op. Maar tot die tijd gaan we gewoon in zee met degenen die het beste
product kunnen leveren, een volwaardig alternatief. En die lijn ...

De voorzitter:

Ik ga u heel even onderbreken, want u krijgt een interruptie, eerst van de heer Slootweg
en daarna van de heer Rahimi.

De heer Slootweg (CDA):

Ik vind het in ieder geval prachtig om te horen hoe belangrijk mevrouw Van Weerdenburg
de samenwerking tussen de Verenigde Staten en Nederland vindt. Ik hoop dat we dan
in het vervolg ook mogen rekenen op de steun van de PVV als daar een beroep op wordt
gedaan, ook op het terrein van Defensie. Maar dat terzijde. Vindt mevrouw Van Weerdenburg
het ook niet van belang dat als wij hier in dit parlement met regelgeving, wetgeving,
komen waarin staat waar bigtechbedrijven aan moeten voldoen, ze zich dan ook moeten
houden aan die Nederlandse wetgeving, of ze nou uit China komen, uit de Verenigde
Staten of uit welk land dan ook? Of vindt ze dan dat de Amerikaanse wetgeving boven
de Nederlandse wetgeving gaat, vanwege ons bevriend partnerschap?

Mevrouw Van Weerdenburg (PVV):

Dank aan de heer Slootweg voor de vraag. Natuurlijk moet aan de Nederlandse wet worden
voldaan. Ik heb ook helemaal niets anders beweerd. Maar we moeten niet doen alsof
hier een rechterlijke uitspraak voorligt die constateert dat Facebook daar niet aan
voldoet. Dat is wel de waarde die hier nu gehangen wordt aan een rapport van twee
mensen. Nogmaals, daar is genoeg op aan te merken. Dat ga ik niet nu doen. Begrippen
worden daarin op een andere manier geïnterpreteerd. Nogmaals, dit is geen rechterlijke
instantie die the be-all and end-all is, waardoor we moeten zeggen: ach, nou kunnen
we niet anders dan weggaan van Facebook. Zo wordt dat hier wel neergezet, en daar
verzet ik me tegen. Daar heb ik me vaker tegen verzet. Ik wil alleen maar aangeven
dat dit ingegeven is door motieven die niet de mijne zijn en waar de PVV gewoon vraagtekens
bij zet. Natuurlijk zou het mooi zijn als overal een werkend, volwaardig Europees
alternatief voor was, en natuurlijk moet ook Amerikaanse big tech voldoen aan regelgeving.
Ik zie dus niet in waar we op dit punt anders over denken dan het CDA.

De voorzitter:

Helder. De heer Slootweg heeft een vervolgvraag.

De heer Slootweg (CDA):

Ik dank mevrouw Van Weerdenburg voor dit antwoord. Daarmee begrijp ik het wel zo dat
zij vindt dat als de Staatssecretaris constateert dat een Amerikaans bigtechbedrijf
zich niet houdt aan de Nederlandse wetgeving, dat het vertrekpunt moet zijn voor de
Staatssecretaris om een gesprek aan te gaan met Amerikaanse big tech, Chinese big
tech of big tech overall over the world.

De voorzitter:

In goed Nederlands.

Mevrouw Van Weerdenburg (PVV):

Dat is iets te kort door de bocht. Nogmaals, er is een privacyonderzoek uitgevoerd,
en dat is uiteindelijk de basis van het politieke besluit dat de Staatssecretaris
hopelijk wel in gesprek met de Kamer gaat nemen. In ieder geval wil ik daar als Kamerlid
ook iets over te zeggen hebben. Ze mag het natuurlijk als basis nemen, maar ze moet
niet doen alsof ze niet anders kan dan van Facebook af gaan nu uit dit rapport blijkt
dat het allemaal niet in de haak is. Zo is het niet. Dat is ook niet eerlijk. En als
het zo'n waarde heeft – ik vind van niet, maar goed – dan is het helemaal belangrijk
dat we als Kamer allemaal alle 150 pagina's in het Nederlands lezen en uitpluizen
en alle vragen stellen die we daarover willen stellen. Dan krijgt het namelijk een
soort waarde die het niet zou moeten hebben, en dan vind ik het raar dat dit alleen
bij Facebook, bij Meta, wordt ingezet en niet bij al die andere socialmediaplatforms.

De voorzitter:

Helder. U had nog een interruptie van de heer Rahimi.

De heer Rahimi (VVD):

Er was wel een Nederlands alternatief. Dat was Hyves. Volgens mij is dat toen overgenomen
door Facebook.

Ik snap het punt van mevrouw Van Weerdenburg dat Amerika een bevriende staat is. Maar
ik kom uit een gebied in de wereld waar regimes weleens wisselen. Is mevrouw Van Weerdenburg
het met mij eens dat we ook vooruit moeten zien en daarvoor moeten uitkijken? Niet
dat dat gebeurt, hoor. Ik zie echt nooit voor me dat iemand het Capitool bestormt
of dat soort dingen. Maar áls er iets gebeurt, ook in een bevriend land, is alles
omgedraaid. Moeten we niet ook daarvoor waken en ervoor zorgen dat er juist aan de
Nederlandse wetgeving moet worden voldaan? Dat is één. Twee: nog bedankt, want die
vraag die niet beantwoord was, de vraag om juist alles te onderzoeken, heb ik ook
gesteld. Dus nog een bedankje daarvoor.

Mevrouw Van Weerdenburg (PVV):

Ik had van een heleboel mensen hier aan tafel de Trump-angst verwacht, maar niet van
mijn collega van de VVD. Dat is een beetje teleurstellend, maar goed. Ik ben het er
natuurlijk mee eens dat er altijd een regime change kan komen, ook in de Verenigde
Staten. Ik zeg ook niet dat we niet moeten proberen om een volwaardig Europees alternatief
te bereiken. Je moet dan overigens ook nog maar hopen dat het in Europa allemaal koek
en ei blijft. Op dit moment is er geen Europees alternatief voor een heleboel dingen.
Het is een gegeven, een fact of life, dat het allemaal Amerikaanse grote bedrijven
zijn die deze ontwikkelingen, bijvoorbeeld in de cloud, leveren. Daar kun je van balen
– dat doe ik ook wel een beetje – maar het is nou eenmaal zo. Gaan we nou daadwerkelijk
zeggen: eigenlijk is dit het beste alternatief, eigenlijk is dit de enige oplossing,
maar ja, het is zo'n groot Amerikaans bedrijf en je weet maar nooit, dus we doen het
maar niet? Dit is een politieke discussie die we hier uitgebreid gehad moeten hebben
voordat we dat soort beslissingen nemen.

De voorzitter:

Helder. U bent duidelijk. De heer Rahimi nog heel kort.

De heer Rahimi (VVD):

Ik zei niet dat ik anti-Trump of whatever ben en ik pleitte ook niet voor verbieden.
Ik zeg dat we moeten blijven praten om dichterbij te komen. Tech moet je gebruiken
om er de juiste dingen mee te doen, maar men moet wel zijn best doen om zich aan de
regels te houden. Dat is het enige dat ik zeg.

De voorzitter:

Dat behoeft geen antwoord, dus ik ga gelijk naar mevrouw Leijten, dan kan mevrouw
Van Weerdenburg in één keer antwoorden.

Mevrouw Leijten (SP):

Ik heb niemand horen zeggen wat mevrouw Van Weerdenburg hier nu zo groot maakt. Dat
punt wil ik graag even gemaakt hebben.

De voorzitter:

Mevrouw Van Weerdenburg, een korte reactie. U heeft al twee minuten gesproken, dus
u komt tot een afronding.

Mevrouw Van Weerdenburg (PVV):

Oké, voorzitter. In reactie op mevrouw Leijten: zo wordt het wel in de media ingezet.
Met mevrouw Leijten hoop ik dat de soep niet zo heet gegeten wordt. In Het Financieele
Dagblad en op AG Connect zie je termen als big tech enzovoort. Ik neem daar aanstoot
aan, want dan kom je niet tot een fatsoenlijke onderhandeling. Dit is een heel groot
bedrijf dat echt wel wil meedenken in de zin van «wat kunnen we doen om jullie te
accommoderen». Het bedrijf heeft er geen baat bij dat de overheid zegt: aju paraplu.
Dan moet je het niet via de media spelen en zeggen: wij eisen dit en dat. Dat is toch
geen onderhandeling? Daar neem ik aanstoot aan. Ik hoop het niet, maar ik vrees dat
we die kant opgaan. Nogmaals, ik hoop dat ik aan het overreageren ben, maar better
safe than sorry.

De voorzitter:

Mevrouw Van Weerdenburg, u hoeft nog niet af te ronden, want er is nog een interruptie
van mevrouw Bouchallikh.

Mevrouw Bouchallikh (GroenLinks):

Een hele korte vraag: komt de PVV op voor de belangen van de Nederlandse burger of
voor een Amerikaanse multinational?

Mevrouw Van Weerdenburg (PVV):

Dank voor die vraag, want dat willen we heel graag ophelderen. Vanaf dag één heeft
de PVV dit naar voren gebracht. Er zijn ruim 5 miljoen mensen die hun informatie van
de overheid krijgen via Facebook. Ik heb geen Facebookaccount – nooit gehad – en ik
ben het er ook niet mee eens, maar het is wel zo. Die burgers hebben recht op informatie.
Ik heb het gevoel dat dat niet genoeg wordt meegewogen in deze beslissing. Ik snap
de reactie van «boe, rotbedrijf, veel te veel macht», maar helemaal achteraan staan
die burgers daar. Daar is de PVV altijd voor opgekomen. Die burgers hebben straks
dat informatiekanaal niet meer en die krijg je ook niet allemaal naar Mastodon. Het
is prima als de overheid als primair kanaal de eigen website gebruikt of Mastodon,
maar zet dan een kopietje op alle andere socialmediakanalen. Ik vind het belangrijk
om dat in het oog te houden: dat informatiekanaal is een recht en dat moet blijven
bestaan. Natuurlijk kunnen we erover praten hoe dat beter kan. Daar hebben we ons
nooit tegen verzet. Omdat de PVV de enige partij is die dit redelijke argument hier
inbrengt, is het misschien net alsof ik gestuurd wordt door Facebook, Meta of wat
dan ook, maar ik kan mevrouw Bouchallikh geruststellen: dat is zeer niet het geval.

De voorzitter:

Dank. U kunt uw betoog kort vervolgen.

Mevrouw Van Weerdenburg (PVV):

Ik had denk ik het meeste wel genoemd. Nogmaals, ik wil deze discussie op een later
moment in rust kunnen voeren. Dan kunnen we het ook hebben over alle overige vragen
die nu nog blijven liggen. Maar dit moet dus een politieke discussie zijn en niet,
zoals het nu wordt ingestoken, in de trant van «kijk, hier ligt een oordeel; we kunnen
niet anders». Dat is echt niet het geval. Ik hoop dat ook de andere collega's hier
aan tafel, ook al zijn ze het niet allemaal met ons eens, zichzelf serieus willen
nemen en vinden dat we over dit soort beslissingen hier moeten discussiëren. Ik wil
geen stukken in de media lezen terwijl we zelf niet eens een briefje hebben gehad
over hoe de onderhandelingen verlopen.

Tot slot hoor ik graag van de Staatssecretaris wanneer we de Nederlandse vertaling
kunnen ontvangen.

De voorzitter:

Dat wilde ik bij de toezeggingen ook vragen. Ik geef het woord aan de heer Rahimi.

De heer Rahimi (VVD):

Dank u wel, voorzitter. Ik kreeg niet de gelegenheid voor een interruptie – dat snap
ik – maar ik was degene die vroeg of u naast Facebook ook wilt kijken naar andere
platforms en of u dat wilt onderzoeken. Dat antwoord kreeg ik niet, maar gelukkig
werd die vraag alsnog gesteld. Ik heb ook gevraagd hoe wij de oplossingen bewaken
in het kader van de zeven hoge en het ene lage privacyrisico. Ik hoef daar nu niet
per se een antwoord op; ik vind het fantastisch als wij een technische briefing krijgen.

In de IT wordt vaak een tegenstelling gecreëerd: je wilt het veilig, maar dan wordt
het minder gebruiksvriendelijk. Ik roep u op om daar niet in te trappen. Er hoeft
geen tegenstelling te zijn tussen toegankelijkheid en een makkelijk systeem. Dan heb
je minder vaak extra hulp nodig of mensen die bij je thuis moeten komen, wat op zichzelf
mooi is. Maak het systeem meteen toegankelijk en goed. Dat is geen contradictie.

Voorzitter. Het is goed om het structureel in de gaten te houden. Wij hebben niks
tegen big tech. Big tech kan goed gebruikt worden. Er zijn hier ook hele mooie grote
bigtechbedrijven. Ik noem geen namen, maar ze zijn er gewoon. Het zijn grote bedrijven
die veel banen hebben gecreëerd. Daar staan wij als VVD ook echt voor. We moeten die
bedrijven niet weren, maar we moeten wel opletten en in gesprek blijven: in dit land
vinden we dit belangrijk en daar moet u aan voldoen. Dat is wat wij vanuit de VVD
zeggen.

Wij zijn ook benieuwd wanneer wij de vertaling krijgen en de extra input.

De voorzitter:

Meneer Rahimi, u krijgt een interruptie van mevrouw Van Weerdenburg.

Mevrouw Van Weerdenburg (PVV):

Heel kort. Mag ik het betoog van de heer Rahimi als volgt samenvatten? De VVD wil
net als de PVV het beste voor de Nederlandse burger, ongeacht of het een Amerikaans
bigtechbedrijf is of een Europese oplossing of wat dan ook.

De heer Rahimi (VVD):

Dat vind ik echt ontzettend moeilijk. Alsof ik zou weten wat het beste is voor de
Nederlandse burger. U gaf aan dat 5 of 5,2 miljoen mensen willen communiceren. Dat
moeten we niet zomaar aan de kant schuiven. Het is niet zo dat wij moeten weten wat
het beste op elk gebied is voor de Nederlandse burger.

De voorzitter:

Dank. Keurig binnen de tijd. Mevrouw Bouchallikh voor de tweede termijn.

Mevrouw Bouchallikh (GroenLinks):

Dank u wel, voorzitter. Dank aan de Staatssecretaris en haar team voor de beantwoording
van de vragen. In mijn bijdrage heb ik het gehad over de verschillende niveaus waarop
we beleid en politiek aan het maken zijn, zowel op Europees als op nationaal niveau,
ook als het gaat om overheden. Ik vind het ontzettend belangrijk om op dat laatste
punt terug te komen. Ik ben niet helemaal gerustgesteld als de Staatssecretaris zegt
dat zij niet kan garanderen dat lagere overheden de capaciteiten en de middelen hebben
om te voldoen aan datgene wat we hier met z'n allen besluiten. Ik betwijfel niet dat
er in alle lagen van de samenleving en de overheid sprake is van goede wil, maar we
zien toch te vaak dat het misgaat. Die zorg wordt ook vanuit de lagere overheden zelf
geuit. Ik wil mijn tweede termijn gebruiken om aan te geven dat juist die lagere overheden
vaak het gezicht van de onlineoverheid voor de burger zijn. Ik doe nog een keer de
oproep om toch een stok achter de deur te bedenken, om manieren te vinden om toch
te faciliteren en de capaciteit te vergroten, juist ook om te voorkomen dat de burger
uiteindelijk het vertrouwen in de onlineoverheid verliest.

De voorzitter:

Dank. U krijgt een interruptie van de heer Rahimi.

De heer Rahimi (VVD):

Ik bedank mevrouw Bouchallikh, want ik was inderdaad een vraag vergeten. Ik snap wat
u aangeeft. Bij gemeenten, waterschappen en provincies zitten namelijk ook persoonsgegevens
die beveiligd moeten worden. Wat vindt mevrouw Bouchallikh ervan dat gemeenten en
provincies de vrijheid moeten hebben om op hun eigen manier eigen systemen met eigen
software te ontwikkelen? Hoe staat zij daarin?

Mevrouw Bouchallikh (GroenLinks):

Toen ik als Kamerlid begon met dit dossier heb ik me heel vaak verbaasd over hoe vaak
er een gebrek aan capaciteit, kennis en kunde is als het gaat om ICT en online organisatie
van overheden. Op nationaal niveau gaat het helemaal niet goed, laat staan als het
gaat om lagere overheden die, zoals ik net al aangaf, beperkte capaciteit, kennis
en kunde hebben. Dus op dit moment lijkt het mij niet verstandig om dat te doen. Wat
ik wél heel belangrijk vind, is dat we kijken naar hoe we al die overheden kunnen
helpen om in ieder te voldoen aan de eisen die we nu met z'n allen stellen en dat
we misschien later kunnen kijken naar de ontwikkeling. Laten we eerst orde op zaken
stellen.

De voorzitter:

Meneer Rahimi heeft een vervolgvraag.

De heer Rahimi (VVD):

Misschien heb ik de vraag niet duidelijk gesteld. Wat ik daarmee bedoel, is dat elke
gemeente die vrijheid heeft en dus van alles ontwikkelt. Het is dan soms best lastig
dat er allemaal verschillende systemen zijn als je bij 345 gemeentes iets wil regelen.
Dat is waar ik op doel. Zouden we dan iets strikter moeten zijn, zodat die vrijheid
er niet is? Dat was eigenlijk mijn vraag, maar misschien heb ik hem niet goed gesteld.

De voorzitter:

Dat was uw laatste interruptie. Mevrouw Bouchallikh voor een antwoord.

Mevrouw Bouchallikh (GroenLinks):

Dank voor deze vraag. Ik vind het ook een belangrijke vraag, juist omdat ik de Staatssecretaris
heb gevraagd of zij kan garanderen dat dingen opgelost worden. Als dit een oplossing
zou kunnen zijn, dan wil ik daar best naar kijken. Ik moet eerst weten wat de alternatieven
zijn, vandaar mijn constante vraag aan de Staatssecretaris. Zij geeft aan dat we in
gesprek moeten gaan, maar dat vind ik nog niet voldoende.

De voorzitter:

Helder. Mevrouw Van Weerdenburg voor een interruptie.

Mevrouw Van Weerdenburg (PVV):

Ik heb even getwijfeld, want mevrouw Bouchallikh spreekt ook namens PvdA en ik weet
dat mevrouw Kathmann in het verleden ook echt altijd een lans brak voor overheidsinformatie
die de burgers goed kan bereiken. Ik vind het moeilijk te rijmen met de kritische
houding die mevrouw Bouchallikh tegenover Facebook en de hele DPIA heeft. Maar ik
vind het ook niet netjes om haar nu aan te vallen op een PvdA-standpunt. Dus ik wil
alleen even markeren – misschien kan ze er nog op reageren – dat het een beetje wringt.

De voorzitter:

Een vraag was wel beter geweest. Mevrouw Bouchallikh voor een reactie.

Mevrouw Bouchallikh (GroenLinks):

Ik vroeg net aan de PVV of zij opstaat voor de belangen van de big tech of van de
burger. Wij proberen beide te doen. Althans, we staan niet op voor de belangen van
de big tech, maar we willen dat zij zich aan de regels en de wetten gaan houden. Zo
kan de burger nog steeds met Facebook omgaan. Maar we zien gewoon dat het constant
en structureel niet gebeurt. Dus ja, de toegang van de burger tot informatie is belangrijk,
maar we hechten ook ontzettend veel aan diens privacy. We willen die zaak in balans
brengen. Dat is een zoektocht die we hier, volgens mij met z'n allen, aan het doen
zijn.

De voorzitter:

U was ook klaar met uw betoog. Dan gaan we door naar de heer Slootweg.

De heer Slootweg (CDA):

Dank u wel, voorzitter. Ik wil de Staatssecretaris bedanken voor de toezeggingen.
Wat ik met name belangrijk vind om te horen, is dat vanuit het IDO outreachend gewerkt
gaat worden, ook voor mensen die daar eigenlijk niet naartoe kunnen gaan. Ik denk
dat dat echt een hele belangrijke voorwaarde is. Het is misschien wel een beetje de
verkeerde volgorde, want in eerste instantie wil je dat iedereen gewoon kan deelnemen
en dat digitaliseren een hulpmiddel is. Nu is het vaak de enige polsstok waarmee je
eigenlijk een riviertje over kunt komen. Dat blijft gewoon raar.

Ik wil de Staatssecretaris nog wel even vragen of ik haar nu goed begrijp als het
gaat om de marktmacht die bij een aantal partijen ligt. Vanuit het CDA vinden wij
dat je zelf eigenaar bent over je persoonsgegevens. Ik vind het zorgelijk dat je nu
ziet dat heel veel van die data toch opgeslagen zijn bij Amerikaanse bedrijven en
dat het moeilijk is om die data terug te kunnen krijgen. Ik begrijp de inzet om te
zorgen voor andere partijen waar je terechtkunt, want dat is misschien ook wel de
eerste voorwaarde. Daarna moeten we nog wel dat eigenaarschap, dat jij zelf eigenaar
ben van jouw data, terug zien te krijgen. Hoe ziet de Staatssecretaris het traject
voor zich waarin we uit dat lock-ineffect komen? Ik hoop dat ze daar nog enkele woorden
aan zou kunnen wijden.

De voorzitter:

Komt er een interruptie van mevrouw Leijten?

Mevrouw Leijten (SP):

Nee hoor.

De voorzitter:

Dank voor uw betoog. Dan gaan we door naar mevrouw Leijten.

Mevrouw Leijten (SP):

Ik vond het een goed en helder betoog van het CDA. Ik kan me daar grotendeels bij
aansluiten. Het heeft niets te maken met antiamerikanisme. Het heeft vooral te maken
met datgene doen wat de technologie je aanbiedt of zelf beslissen over wat je wenselijk
vindt voor snelheid in de samenleving. Die vraag is niet beantwoord door de Staatssecretaris.
We hebben altijd gezegd «digitaal waar het kan» maar moeten we het niet omdraaien?
Moeten we niet zeggen: moet het altijd digitaal als het kan? Ik snap wel dat het een
heel ander denkparadigma is, maar de bypasses die we nu hebben, via de bibliotheken
en digitale ondersteuning, zijn uiteindelijk een hulpmiddel voor contact met een overheid
die gewoon beschikbaar moet zijn. Het is altijd wel de Kamer die zegt: hou sowieso
ook de analoge optie open. We weten dat dat eigenlijk bij belastingaangifte helemaal
niet meer kan. Mevrouw Dekker-Abdulaziz zegt als voorzitter: het kan wel. Ja, maar
ga eens proberen wat je moet opvragen. Feitelijk kan het niet meer. Als het gaat over
die authenticatie met DigiD dan willen we natuurlijk ook dat het veilig is. Maar als
je ziet dat er zoveel waarborgen nodig zijn dat dit ook weer groepen gaat uitsluiten,
dan heb je juist dat politieke debat nodig. Waartoe hebben we de digitale ondersteuning?
Of is het een digitale voorkeur? Daar heb ik de Staatssecretaris nog geen duidelijk
antwoord op horen geven. De Staatssecretaris kent mij als volhardend en vasthoudend
om dit onder haar aandacht te blijven brengen.

Dan de veiligheidsstrategie. Ik heb haar gevraagd over de vitale functies in onze
samenleving. We hebben dan die zoveel duizend doden en 5 miljard impact op het bruto
binnenlands product. Ik vroeg haar in alle serieusheid: is dat nog de juiste graadmeter?
Het kan best zijn dat ze daar nu geen antwoord op heeft en dat ze daar nog op terugkomt.
Maar ik vraag me dat echt serieus af.

Voorzitter, ik ben al over de tijd. Dank u wel.

De voorzitter:

Dat klopt. Ik zie dat de heer Rahimi nog wil interrumperen, maar hij is door zijn
interrupties heen. Volgende keer appen!

Dan geef ik het voorzitterschap aan mevrouw Van Weerdenburg.

Voorzitter: Van Weerdenburg

De voorzitter:

Dank u wel. Dan heeft u nu tijd voor uw tweede termijn namens D66.

Mevrouw Dekker-Abdulaziz (D66):

Dank, voorzitter. Ik heb nog een aantal vragen. Laat ik de Staatssecretaris eerst
bedanken voor de antwoorden. Ik wil het eerst over de encryptie hebben. Het is ons
bekend wat JenV vindt, want dat is wat de Staatssecretaris vertelde over client-side
scanning. Maar we zijn zo benieuwd of deze Staatssecretaris het met D66 eens is dat
client-side scanning, hoewel legaal, de encryptie en daarmee de veiligheid van de
gegevens ondermijnt?

Dan over de cookiewetgeving. De cookies worden nu klakkeloos door iedereen uitgegeven.
Wat zijn precies de concrete plannen van de Staatssecretaris?

Tot slot wilde ik zeggen wat wij vinden van die discussie over Facebook. D66 vindt
dat een bedrijf niet groter is dan een land. Dat heeft een andere collega ook al gezegd.
Bedrijven moeten zich houden aan de wet, maar we zijn wel benieuwd hoe de Staatssecretaris
kijkt naar de afhankelijkheid van deze platformen voor de informatie voor de burgers.
Wat gaan we doen om de juiste informatie bij die 5,5 miljoen burgers te krijgen? Hoe
kijkt ze bijvoorbeeld aan tegen ontwikkelingen als PublicSpaces?

Dank, voorzitter.

De voorzitter:

Dank u wel. Dan krijgt u het voorzitterschap terug.

Voorzitter: Dekker-Abdulaziz

De voorzitter:

Dank. We zijn door de tweede termijn heen. Ik schors de vergadering voor vijf minuten.

De vergadering wordt van 12.37 uur tot 12.42 uur geschorst.

De voorzitter:

Ik zie dat de Staatssecretaris er al is. Ik geef haar het woord.

Staatssecretaris Van Huffelen:

Dank u wel, voorzitter. Ik zou graag nog de vragen beantwoorden die in tweede termijn
zijn gesteld.

De vraag van mevrouw Van Weerdenburg was waarom we nu al aan het werk gaan met het
kijken naar de mate waarin bijvoorbeeld die Metabrillen voldoen aan de vereisten die
wij daaraan stellen. De belangrijkste reden daarvoor is dat het in dit geval gaat
om de inzet voor kinderen en dus ook over kinderrechten. Wij achten het in dat verband
van belang. We vinden het natuurlijk ontzettend belangrijk om juist dat te bereiken
wat mevrouw Van Weerdenburg volgens mij ook wil. We willen dit soort ontwikkelingen
niet tegenhouden, maar juist mogelijk maken. Maar we willen er wel voor zorgen dat
de bedrijven die dit soort diensten of producten aanbieden voldoen aan de Nederlandse
wet- en regelgeving, juist om mensen te beschermen.

Zij stelde, net als de heer Rahimi, ook de vraag voor welke andere platforms ik aan
het werk ben. Ons idee is inderdaad om dit verder te gaan ontwikkelen. Ik zou u eigenlijk
willen toezeggen dat ik een voorstel daarvoor zal opsturen naar uw Kamer, zodat u
weet wat de volgende stappen zijn die wij willen zetten en wat de volgende bedrijven,
of beter gezegd services, zijn die wij onder de loep willen nemen.

Mevrouw Van Weerdenburg maakte ook nog het volgende punt. Ze vroeg: wat gebeurt er
nu, en is het zo dat de Staatssecretaris hier een strategie kiest waarbij de rechterlijke
macht geen rol speelt? In het geval van Facebook is dat wel degelijk ook aan de orde,
want de rechtbank in Amsterdam heeft de constateringen van onze DPIA recentelijk nog
onderschreven.

Dan ga ik naar de vragen van de heer Rahimi.

De voorzitter:

Staatssecretaris, mevrouw Van Weerdenburg heeft nog een vraag hierover.

Mevrouw Van Weerdenburg (PVV):

Ja, even over het eerste punt, dat van die VR-brillen. Ik heb helemaal niet willen
zeggen dat we daar niet heel scherp op moeten zijn. Ik denk dat deze Kamercommissie
daar ook heel goed aandacht voor heeft. Ik vind het alleen maar goed dat de Staatssecretaris
daar heel scherp op is. Maar moet dat per se weer in de vorm van een DPIA? Ten eerste
duurt het lang. Ik weet niet of dat het goede instrument is, want ook voor de metaverse
geldt: het is allemaal in ontwikkeling, en wat er vandaag mogelijk is, is misschien
weer helemaal anders als dat rapport is opgeleverd. Dan zijn er misschien weer andere
toepassingen. We hebben bij AI gezien hoe snel het gaat. Dit komt dus een beetje vroeg
over. Daarom dacht ik: heeft dat niet te maken met de onderhandelingen met Meta? Maar
goed, misschien zie ik dingen die er niet zijn.

De voorzitter:

Dat is een duidelijke vraag.

Staatssecretaris Van Huffelen:

U hoeft er niks anders achter te zien dan wat wij u vertellen. Ik denk dat het heel
belangrijk is dat wij ons werk in alle opzichten in alle transparantie doen. Daar
informeren we u ook over. Nogmaals, ik vind het zo belangrijk dat we dit doen en ook
zo vroegtijdig doen omdat dit zich de komende tijd wellicht verder gaat ontwikkelen.
We gebruiken de instrumenten die we daarvoor hebben, maar we gaan daar ook niet meer
tijd voor nemen dan nodig is. We hopen dat dus zo snel mogelijk in te zetten. We doen
dit overigens ook samen met scholen, want scholen zijn degenen die deze brillen gaan
gebruiken. We doen dat op hun verzoek. Daarom vind ik het belangrijk om dat door te
zetten. Ik ben blij dat mevrouw Van Weerdenburg dat ondersteunt.

De voorzitter:

De Staatssecretaris gaat verder.

Staatssecretaris Van Huffelen:

Dan ga ik door met de vraag van de heer Rahimi over dat voorstel rondom andere platforms.
Ik heb net al gezegd dat ik met een aanpak daarvoor zou willen komen. Wij gaan de
vertaling zo snel mogelijk naar u toe sturen. Ik weet niet precies hoelang dat duurt.
Die juridische vertalingen zijn altijd een beetje complex, maar ik hoop dat het niet
meer dan enkele weken duurt. Wat betreft uw oproep over de balans tussen veilig en
gebruikersvriendelijk: wij willen dat natuurlijk zo veel mogelijk in balans brengen,
maar we zien wel dat er soms toch uitdagingen zijn. Het is niet zo dat veilig niet
gebruikersvriendelijk kán zijn, maar we zien tegelijkertijd ook, bijvoorbeeld bij
de beveiligingseisen voor DigiD, dat veiligheid wel degelijk kan leiden tot minder
gebruikersvriendelijkheid voor een deel van de inwoners van dit land. Daarom moeten
we daar goed naar kijken. Als er problemen ontstaan, dan weet u mij te vinden. Dan
dat hebben we ook in dit debat gezien. Tegelijkertijd willen we er ook voor zorgen
dat mensen gewoon gebruik kunnen blijven maken van onze dienstverlening.

Dan de oproep van mevrouw Bouchallikh. In het kader van het convenant dat is gesloten
met de gemeenten ben ik, samen met het Ministerie van JenV, hard aan het werk om gemeenten
zo veel mogelijk te ondersteunen. Daarin speelt een rol dat gemeenten zeker ook hun
eigen afweging kunnen maken. Ik vind het belangrijk dat gemeenteraden kritisch blijven
kijken naar de dienstverlening en de beveiliging van de digitale diensten die worden
geleverd door een gemeente. Daar roep ik ze ook steeds toe op. Ik wil dus vooral dat
we niet alleen maar in gesprek blijven – dat is het niet, zoals u zegt – maar dat
het ook leidt tot goede afspraken. Ik hou u daar graag van op de hoogte. Niet alleen
dat; ik wil er ook vooral samen voor zorgen dat de wetgeving die we aan het ontwikkelen
zijn ertoe leidt dat we zeker weten dat er voldoende waarborgen blijven bestaan op
het gebied van veiligheid. Ik denk dat we hier nog niet mee klaar zijn, maar dat we
hier de komende tijd met elkaar over in gesprek moeten blijven.

Dan de opmerkingen en vragen van de heer Slootweg. U zei: kiezen we niet de verkeerde
volgorde? Dat is toch een balans die je elke keer blijft zoeken, denk ik. We weten
namelijk dat ongelofelijk veel Nederlanders het heel fijn vinden dat ze digitaal zaken
kunnen doen met de overheid, niet alleen in de rest van hun leven, maar ook met de
overheid. Het maakt dat je het kunt doen op een moment dat je zelf prettig vindt,
dat je er de deur niet voor uit hoeft en dat het in heel veel gevallen ook veel makkelijker
is. Dat niet iedereen mee kan komen, is ook helder. We moeten er dus alles aan doen
om mensen daarmee te helpen. Dat hebben we afgesproken. Dat doen we niet alleen door
ervoor te zorgen dat dienstverlening ook altijd offline kan, dus gewoon met face-to-facecontact
aan een loket of door te bellen, maar ook door mensen te helpen die graag digitaal
vaardiger willen worden. Dat willen we ook blijven doen. Dat is eigenlijk mijn antwoord
daarop. Die combinatie willen we altijd blijven behouden.

Dan was er nog de vraag over het eigendom van persoonsgegevens. Daarover is er in
het verleden al een grote juridische discussie geweest: wie is nou eigenlijk de eigenaar
van persoonsgegevens? Daarbij is vooral het volgende van belang. Het is niet zo dat
je persoonsgegevens als eigendom van jezelf kunt beschouwen. We willen er wel voor
zorgen dat mensen in staat zijn en het recht hebben om hun persoonsgegevens te beschermen
en te bepalen wie die persoonsgegevens wel en niet heeft. De overheid heeft die natuurlijk
altijd. Maar het is vooral ook van belang dat je tegen private instellingen moet kunnen
zeggen dat ze je moeten vergeten, dus dat je persoonsgegevens daar niet meer mogen
worden opgeslagen, en dat gegevens die je hebt, kunnen worden verhuisd van de ene
dienst naar de andere. Daar gaat de Europese regelgeving over. Als je gebruikmaakt
van een dienst als WhatsApp, is de bedoeling van de regelgeving dat als je daar niet
meer gebruik van wilt maken, je je gegevens kunt verplaatsen naar een andere berichtenservice.
Ik denk dat het ongelofelijk belangrijk is dat we dat blijven invullen, omdat we er
ook voor willen zorgen dat mensen, als het bijvoorbeeld specifiek over de overheid
gaat, niet alleen maar weten welke gegevens de overheid over hen heeft, maar ook wat
daarmee gebeurt, welke inzichten er zijn en hoe ze er regie over kunnen houden welke
data er bij wie zijn.

Dan de vraag van mevrouw Leijten. Die ging over het onderwerp waar ik het net ook
over had. Het blijft ontzettend belangrijk dat mensen ook niet digitaal, dus analoog,
gewoon in het normale leven, bij een loket of via de telefoon, terechtkunnen bij de
overheid. Het is ook van belang dat dat op een hele goede manier mogelijk blijft.
Wil ik daarmee zeggen dat we niet ook digitale dienstverlening moeten inzetten? Jawel,
want heel veel mensen vinden dat juist heel erg prettig.

Dan specifiek over de veiligheidsstrategie. Er zijn inderdaad definities gemaakt om
aan te geven wat behoort tot de vitale functies. Die hebben we ook in Europa afgesproken.
Het is van belang dat we daar wel kritisch naar blijven kijken, want bij processen
die misschien niet vitaal zijn, maar waarbij wel heel veel persoonsgegevens worden
gedeeld, de zogenaamde hoogrisicocategorieën, is zorgvuldigheid natuurlijk ontzettend
belangrijk. Ik vind het dus ook van belang dat we daarnaar blijven kijken en dat we
de vereisten die we daaraan stellen, of het nou gaat over die biorichtlijn of andere
dingen, juist willen inzetten. Juist daar waar de impact van bijvoorbeeld langdurige
onbeschikbaarheid heel groot kan zijn, is het wat mij betreft goed om na te denken
over extra eisen en extra toezicht. Ik ben daarnaar onderzoek aan het doen, dat ik
graag in juni met uw Kamer wil delen.

Dan de vragen van mevrouw Dekker-Abdulaziz over een speciale vorm van encryptie. Encryptie
gaat over de dienstverlening ...

De voorzitter:

Sorry, ik ga u onderbreken, want de heer Rahimi heeft een vraag.

De heer Rahimi (VVD):

Ik hoorde dat we in juni informatie krijgen. Ik heb expres niet zo veel vragen gesteld
over data en verouderde data, omdat daar op 11 mei een debat over komt.

De voorzitter:

Nee, dit ging over de veiligheid.

De heer Rahimi (VVD):

O, sorry. Oké.

Staatssecretaris Van Huffelen:

Dit ging over veiligheid en processen. Ik heb daarbij aangegeven: ook al definiëren
we iets niet als een heel hoog risico of zit het niet in de vitale sector, de impact
van bijvoorbeeld langdurige onbeschikbaarheid zou wel degelijk heel groot kunnen zijn.
Dat ben ik eens met mevrouw Leijten. Het is dus ook belangrijk om daar aanvullende
afspraken over te maken. Daar wordt onderzoek naar gedaan. Ik hoop dat in juni met
uw Kamer te kunnen delen.

Dan de vragen van mevrouw Dekker-Abdulaziz over encryptie. Ik vind het heel belangrijk
dat we hier als overheid een duidelijk antwoord over geven. We zijn daarover aan het
nadenken en we zijn er ook over in discussie wat we nou precies vinden van die specifieke
vorm van encryptie en de vraag of je wel mag meelezen als iemand iets aan het typen
is. Het gaat namelijk niet zozeer om de encryptie die ontstaat wanneer je een bericht
van A naar B stuurt, maar juist om de encryptie als je aan het typen bent. Dat vraagstuk
is bij ons in onderzoek. Daar komen we dan ook graag bij u op terug. Een definitief
antwoord daarop kan ik op dit moment nog niet geven.

Dan iets over cookies. Met u vind ik de manier waarop de cookiewetgeving in de praktijk
uitwerkt heel ingewikkeld. Anderen gaven dat ook al aan. Het is niet alleen maar ingewikkeld;
het is gewoon irritant. Wanneer je een website bezoekt en iets wil bestellen of regelen,
dan komen die cookies voorbij. Het is vaak heel erg lastig of een stuk lastiger om
nee te zeggen, omdat je dan heel veel vragen moet beantwoorden en dat steeds opnieuw
moet doen als je zo'n website bekijkt. Er zijn ook websites die je, wanneer je «nee,
nee, nee» zegt, vervolgens een tijdje in de wacht houden voordat je van de dienstverlening
gebruik kan maken. Er is in Europa onderhandeld over een zogenaamde e-Privacyverordening,
waarin verbetering werd beoogd op dit gebied. Die richtlijn ligt eigenlijk nog vast.
Ik ben van mening dat dat niet goed is. Ik heb daarover gesproken met de Europese
Commissie. Die is daar overigens zelf mee aan het werk, maar ik ben, samen met de
Minister van Economische Zaken, ook aan het werk om te kijken of wij vooruitlopend
op wat er nu in Europa wordt besproken een soort voorstel kunnen doen voor hoe we
hier verder mee kunnen. Want nogmaals, de ergernis die velen van ons ondervinden –
dat speelt ook in uw Kamer – rondom de huidige uitwerking van de cookiewetgeving moet
wat mij betreft worden aangepakt. Dat wil ik niet doen door te zeggen dat cookies
weg moeten en al onze gegevens vervolgens zomaar door iedereen kunnen worden gebruikt,
doorverkocht enzovoort enzovoort, maar door ervoor te zorgen dat het veel makkelijker
wordt om nee te zeggen, zonder dat dat iets afdoet aan de dienstverlening.

Mevrouw Dekker-Abdulaziz vroeg ook nog hoe we nou omgaan met het delen van informatie
als veel Nederlanders ook gebruikmaken van Facebook om overheidsinformatie binnen
te krijgen. Mensen gebruiken natuurlijk nooit één kanaal; heel vaak worden er veel
meer kanalen gebruikt. We weten dus dat Facebook een kanaal is. Zoals ik al eerder
in dit debat heb aangegeven, denk ik, is het ook helemaal niet mijn bedoeling dat
we zomaar gaan stoppen met Facebook. Ik wil alleen dat Facebook, Meta, zich houdt
aan de Nederlandse wetten en regels. Daarom zijn we ook met hen in gesprek. Maar ik
denk dat het altijd belangrijk blijft dat wij als overheid nadenken over een strategie
waarin we meerdere kanalen blijven gebruiken en we uiteindelijk alleen maar de keuze
maken om een kanaal niet meer in te zetten wanneer we het niet voor elkaar krijgen
dat zo'n kanaal, dat in dit geval door veel Nederlanders wordt gebruikt, zich niet
houdt aan de regels. Onze eerste strategie en ons eerste oogmerk is vooral om ervoor
te zorgen dat de kanalen die veel gebruikt worden en door mensen ook worden gezien
als belangrijke kanalen, voldoen aan onze wetten en regels.

Dan ben ik volgens mij aan het einde gekomen van de beantwoording van de vragen.

De voorzitter:

Ja, dat denk ik ook. Dank voor de beantwoording. Ik ga de toezeggingen even oplezen,
dus even opletten met z'n allen.

– In de tweede helft van dit jaar ontvangt de Kamer het beleid inzake digitale autonomie
en infrastructuur dat we samen met EZK maken.

«De tweede helft van dit jaar» is wel heel ruim gedefinieerd. Kan de Staatssecretaris
daar iets over aangeven?

Staatssecretaris Van Huffelen:

De coördinatie van die strategie ligt bij de Minister van EZK. Ik kan daar dus niet
iets meer over zeggen. Ik denk dat het niet langer nodig zal hebben dan het nodig
heeft, maar ik kan het niet precies zeggen.

De voorzitter:

Goed. Als het maar niet 31 december is.

– In het tweede kwartaal wordt de Kamer geïnformeerd over projecten die gehonoreerd
worden binnen het programma IPCEI door de Minister van EZK.

– De Staatssecretaris stuurt de volledige vertaling van het DPIA en HRIA binnen een
aantal weken.

We hebben op 19 april een procedurevergadering. Zou het lukken voor 19 april?

Staatssecretaris Van Huffelen:

Die vertaling moeten wij laten maken en die moet ook juridisch kloppen, dus ik doe
het gewoon zo snel mogelijk.

De voorzitter:

Ik hoop dat het lukt. Laten we daarop hopen.

– De Staatssecretaris biedt aan om een technische briefing te organiseren. Dit komt
aan de orde tijdens de volgende procedurevergadering, op 19 april.

– De Kamer wordt op de hoogte gehouden van onderzoek naar getroffenen bij de rijksoverheid
van het datalek van vorige week.

Ik heb hier niet staan wanneer.

Staatssecretaris Van Huffelen:

Er moet eerst nog wat uitzoekwerk worden gedaan. Ik kan dus niet helemaal zeggen wanneer
dat is, maar het komt zodra dat er is.

De voorzitter:

Zodra dat er is. Oké.

– De Staatssecretaris stuurt een brief naar aanleiding van de vraag van de heer Slootweg
over extra waarborgen in de aanbestedingsregels ten behoeve van mensen die de overheid
informatie toevertrouwen.

Ook hierbij weet ik niet wanneer.

Staatssecretaris Van Huffelen:

Ik zou zeggen: in de zomer of voor de zomer. We doen het zo snel mogelijk. We moeten
er even goed naar kijken en er ook met de verschillende partijen over overleggen.

De voorzitter:

Check. Rond de zomer.

– De Staatssecretaris stuurt een voorstel naar de Kamer ten behoeve van onderzoek naar
andere socialmediaplatforms, naar aanleiding van een vraag van mevrouw Van Weerdenburg
en de heer Rahimi.

Dat voorstel komt dan zo snel mogelijk, neem ik aan? Ook voor de zomer? Dan hoef ik
het niet nog een keer te vragen.

Mevrouw Van Weerdenburg (PVV):

Excuus. Ik kreeg van de Staatssecretaris eigenlijk het idee dat dat op korte termijn
kon. Als het «voor de zomer» komt, dan zijn we alweer maanden verder. We hebben het
over een opzet, hè? Het hoeft geen brief van achttien kantjes te zijn.

De voorzitter:

Een opzet.

Staatssecretaris Van Huffelen:

Die komt voor de zomer, ja.

De voorzitter:

Hopelijk aan de korte kant voor de zomer dan, en niet in juli. Laten we dat hopen.

Tot slot.

– In juni ontvangt de Kamer onderzoek naar extra eisen en toezicht voor vitale functies,
naar aanleiding van een vraag van mevrouw Leijten.

Dan zijn we aan het eind gekomen van deze commissievergadering. Dank aan de Staatssecretaris
voor haar aanwezigheid en antwoorden. Dank aan de ambtenaren die het allemaal opgeschreven
hebben, en ook aan de Kamerleden, de bode en de mensen die meekijken.

Sluiting 13.00 uur.