Verslag van een commissiedebat : Verslag van een commissiedebat, gehouden op 20 mei 2021, over bescherming persoonsgegevens

Nr. 192 VERSLAG VAN EEN COMMISSIEDEBAT

Vastgesteld 3 juni 2021

De vaste commissie voor Justitie en Veiligheid heeft op 20 mei 2021 overleg gevoerd
met de heer Dekker, Minister voor Rechtsbescherming, over:

– de brief van de Minister voor Rechtsbescherming d.d. 15 november 2017 inzake betekenis
«handleiding drones en privacy» voor wietdrones (Kamerstuk 30 806, nr. 44);

– de brief van de Minister van Justitie en Veiligheid d.d. 1 juli 2019 inzake verificatie
op de uitvoering van het overeengekomen verbeterplan met Microsoft (Kamerstukken 26 643 en 32 761, nr. 622);

– de brief van de Minister voor Rechtsbescherming d.d. 16 september 2019 inzake taken
en budgetontwikkelling Autoriteit Persoonsgegevens (AP) (Kamerstuk 32 761, nr. 149);

– de brief van de Minister voor Rechtsbescherming d.d. 8 oktober 2019 inzake waarborgen
tegen risico's van data-analyses door de overheid (Kamerstukken 26 643 en 32 761, nr. 641);

– de brief van de Minister voor Rechtsbescherming d.d. 31 oktober 2019 inzake voornemens
met betrekking tot de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG)
en Algemene verordening gegevensbescherming (AVG) (Kamerstuk 32 761, nr. 151);

– de brief van de Minister van Justitie en Veiligheid d.d. 19 februari 2020 inzake uitvoering
van de motie van het lid Groothuizen over pleiten voor een juridische herbeoordeling
van de PNR-richtlijn (Kamerstuk 34861–20) (Kamerstuk 34 861, nr. 23);

– de brief van de Minister voor Rechtsbescherming d.d. 13 maart 2020 inzake evaluatie
Wet bescherming persoonsgegevens BES (Wbp-BES) (Kamerstuk 32 761, nr. 161);

– de brief van de Minister voor Rechtsbescherming d.d. 20 april 2020 inzake rapport
«Op het eerste gezicht: een verkenning van gezichtsherkenning en privacyrisico's in
horizontale relaties» (Kamerstuk 34 926, nr. 9);

– de brief van de Minister van Justitie en Veiligheid d.d. 30 april 2020 inzake datalek
app NL-Alert (Kamerstukken 29 668 en 26 643, nr. 54);

– de brief van de Minister van Justitie en Veiligheid d.d. 6 mei 2020 inzake kwetsbaarheid
app NL-Alert en voortgang onderzoek datalek (Kamerstukken 29 668 en 26 643, nr. 55);

– de brief van de Minister voor Rechtsbescherming d.d. 20 mei 2020 inzake beantwoording
vragen commissie over waarborgen tegen risico's van data-analyses door de overheid
(Kamerstukken 26 643 en 32 761, nr. 682);

– de brief van de Minister voor Rechtsbescherming d.d. 2 juni 2020 inzake uitvoering
van moties en toezeggingen op het terrein van gegevensbescherming (Kamerstuk 32 761, nr. 163);

– de brief van de Minister voor Rechtsbescherming d.d. 4 juni 2020 inzake wijziging
Uitvoeringswet AVG c.a. (Kamerstuk 32 761, nr. 164);

– de brief van de Minister voor Rechtsbescherming d.d. 23 juni 2020 inzake rapport «Spioneren
met hobbydrones en andere technologieën door burgers» (Kamerstuk 34 926, nr. 10);

– de brief van de Minister van Justitie en Veiligheid d.d. 15 oktober 2020 inzake kabinetsreactie
Evaluatie PNR Richtlijn (Kamerstuk 34 861, nr. 25);

– de brief van de Minister voor Rechtsbescherming d.d. 19 november 2020 inzake eindrapportage
van extern onderzoek naar taken en financiële middelen van de Autoriteit Persoonsgegevens
(Kamerstukken 25 268 en 32 761, nr. 192);

– de brief van de Minister voor Rechtsbescherming d.d. 30 november 2020 inzake WODC-onderzoek
Voorziening voor verzoeken tot snelle verwijdering van onrechtmatige onlinecontent
(Kamerstuk 34 602, nr. 6);

– de brief van de Minister voor Rechtsbescherming d.d. 4 december 2020 inzake reactie
op mededelingen Europese Commissie over de AVG (Kamerstukken 22 112 en 32 761, nr. 2994);

– de brief van het lid Van Gent d.d. 15 januari 2021 inzake verslag rapporteur Twee
jaar toepassing van de AVG;

– de brief van de Minister voor Rechtsbescherming d.d. 5 februari 2021 inzake stand
van zaken uitvoering Agenda horizontale privacy (Kamerstuk 34 926, nr. 11);

– de brief van de Minister van Justitie en Veiligheid d.d. 1 maart 2021 inzake voorafgaande
raadpleging inzake Google (Kamerstukken 26 643 en 32 761, nr. 747);

– de brief van de Minister voor Rechtsbescherming d.d. 1 maart 2021 inzake uitvoering
van de motie van het lid Hijink c.s. over verhoging van het budget van de Autoriteit
Persoonsgegevens (Kamerstuk 27 529, nr. 240) (Kamerstukken 25 268 en 32 761, nr. 197);

– de brief van de Minister van Justitie en Veiligheid d.d. 13 april 2021 inzake uitkomsten
onderzoeken mogelijk datalek app NL-Alert (Kamerstukken 29 668 en 26 643, nr. 58).

Van dit overleg brengt de commissie bijgaand geredigeerd woordelijk verslag uit.

De fungerend voorzitter van de commissie, Van Meenen

De griffier van de commissie, Brood

Voorzitter: Van Nispen

Griffier: Koerselman

Aanwezig zijn acht leden der Kamer, te weten: Azarkan, Ceder, Ellian, Van Ginneken,
Kathmann, Koekkoek, Kuik en Van Nispen,

en de heer Dekker, Minister voor Rechtsbescherming.

Aanvang 10.02 uur.

De voorzitter:

Goedemorgen allemaal. Ik open deze vergadering van de vaste Kamercommissie voor Justitie
en Veiligheid. Aan de orde is ons commissiedebat over de bescherming van persoonsgegevens.
Ik heet alle woordvoerders, de griffier, de bodes en de ondersteuning van harte welkom.
Van harte welkom ook aan de Minister voor Rechtsbescherming en zijn ambtenaren hier
aanwezig dan wel op andere plekken dit volgend. We hebben een volle agenda. We hebben
veel woordvoerders. Er staat een spreektijd van vier minuten. Ik weet dat het kort
is, maar we gaan er toch strikt op handhaven, want we hebben hiervoor maar maximaal
drie uur de tijd. Maximaal twee interrupties, heel kort en bondig. Met die strenge
waarschuwing van mij gaan we beginnen met dit commissiedebat. Ik geef het woord als
eerste aan mevrouw Van Ginneken, die zal spreken namens D66.

Mevrouw Van Ginneken (D66):

Dank u wel, voorzitter. Ik zal het kort en bondig proberen te houden. Vandaag kunnen
we praten over een hele lange lijst van agendapunten: van zelflerende algoritmes en
gezichtsherkenning tot data-incidenten die we het afgelopen jaar hebben gezien. We
kunnen aan deze lijst ook nog het bericht van deze week toevoegen dat 54% van de ondervraagde
gemeenten zonder protocol inlichtingen over burgers verzamelt. Daarmee schenden ze
natuurlijk de AVG en de privacy van mensen. Maar ik praat vandaag liever niet over
die incidenten, maar over het structurele probleem.

Voorzitter. We praten hier in de Kamer al weken over het versterken van de rechtspositie
van mensen, het terugbrengen van de menselijke maat en het beschermen van fundamentele
rechten. Maar wat D66 betreft faalt de overheid structureel als het gaat om het beschermen
van rechten van Nederlanders. Ik zal een kleine greep doen ter illustratie. Het CBS
bleek sinds 2017 toegang te hebben tot niet-anonieme locatiegegevens van T-Mobileklanten,
en grote groepen Nederlanders werden gevolgd. Het COA deelde zeven jaar lang onrechtmatig
persoonsgegevens met de politie. Geen enkel politiekorps in Nederland voldoet aan
de eisen voor de bescherming van gegevens van mensen. Defensie verzamelde op grote
schaal bij wijze van experiment data van Nederlandse burgers. De NCTV verzamelde jarenlang
privacygevoelige informatie van Nederlanders op social media. Hopelijk begrijpt de
Minister mijn zorgen, want ik zie een overheid die zich niet houdt aan haar eigen
grondslagen en wetten. Ik wil daar graag een reactie op.

Voorzitter. Wat het erger maakt: het is niet de Minister voor Rechtsbescherming die
dit soort schendingen van fundamentele mensenrechten signaleert. Het zijn diepgravende
journalisten, die daarvoor onze complimenten en ons respect verdienen. Zij trekken
keer op keer weer aan de bel op het moment dat we eigenlijk de Minister zouden willen
zien ingrijpen. Naast de vele incidenten zijn er ook vele door de Kamer gesteunde
moties over het verhogen van het budget van de Autoriteit Persoonsgegevens. Maar D66
ziet het helaas niet meer gebeuren dat deze Minister deze duidelijke wens van de Kamer
ook echt gaat uitvoeren. Ik zie een overheid die de rechten van mensen niet serieus
beschermt en zelfs actief en structureel met voeten treedt.

Voorzitter. Zoals gezegd praten we hier in Den Haag de laatste tijd veel over het
versterken van de rechtspositie van mensen, het terugbrengen van de menselijke maat
en het beschermen van de fundamentele rechten. En terecht, maar wij krijgen van de
Minister voor Rechtsbescherming geen oplossing. Dit is zijn kans om een positieve
erfenis achter te laten en te laten zien dat hij het beschermen van persoonsgegevens
wel degelijk heel serieus neemt. Daarom mijn vraag: kan de Minister eens reflecteren
op wat het volgende kabinet anders zou moeten doen om de trend te doorbreken van het
structureel schenden van rechten van mensen en het structureel overtreden van wetten
door de overheid zelf? Ik kijk uit naar het antwoord van de Minister.

De voorzitter:

Dank u wel. Dan geef ik het woord aan de heer Azarkan, die zal spreken namens DENK.

De heer Azarkan (DENK):

Dank, voorzitter. Data zijn het nieuwe goud. Het betekent vooruitgang. Het is een
grondstof voor economische groei, maar het heeft ook een keerzijde. Data kunnen worden
gestolen, kunnen worden misbruikt, kunnen ook mensen ten gronde richten en slapeloze
nachten bezorgen. We hebben zelfs gezien dat een hele verkiezing en referenda gemanipuleerd
kunnen worden, zoals in het Verenigd Koninkrijk en in de Verenigde Staten. Maar data
zijn bovenal kwetsbaar en moeten beschermd worden. Data moeten uit handen blijven
van criminelen, van hackers, oplichters, commerciële datadoorverkopers, maar ook van
op hol geslagen uitvoeringsorganisaties van de overheid zelf. We hadden in 2018 in
het buitenland de geruchtmakende zaak rondom Cambridge Analytica. Zonder die datamanipulatie
was misschien wel de wereld bespaard gebleven dat Donald Trump president werd en had
het Verenigd Koninkrijk wellicht nog in Europa gezeten.

Voorzitter. We hadden in 2011 in Nederland het schandaal rondom DigiNotar. Minister
Donner van BiZa moest toen hard ingrijpen, omdat veiligheidscertificaten waardeloos
werden. De databescherming in Nederland is volstrekt onvoldoende. We hadden in januari
al het megalek bij de GGD. Veel te veel mensen konden bij allerlei informatie. Het
vertrouwen van burgers, iets wat zeker belangrijk is, werd daarmee ernstig geschaad.
De gemakzuchtige reactie van Hugo de Jonge was tekenend voor hoe hij verantwoording
aflegt. We zagen gisteren hoe de Algemene Rekenkamer hem ook een rode kaart gaf.

We ontvingen vorige week een brief over het datalek bij NL-Alert. De Autoriteit Persoonsgegevens
en de ADR hebben geconstateerd dat de beveiliging van de app niet op orde was. We
hebben ook verschillende keren gezien dat in ziekenhuizen informatie raadpleegbaar
was voor allerlei functionarissen en daarmee bekend werd. Ook weten we dat agenten
af en toe neuzen in informatie van burgers, van bekenden, en die doorspelen, soms
ook aan criminelen.

Afgelopen dinsdag heeft de fractie van DENK bij de mondelinge vragen informatie en
opheldering gevraagd over het bedenkelijke gedrag van gemeenten, die zonder verantwoorde
inkadering spionnetje gaan spelen en zelfs met nepaccounts op Marktplaats informatie
verzamelen over burgers. Minister Ollongren heeft aangegeven dit op te zullen nemen
met de gemeenten. We zien ook dat de NCTV ... Even voor de zekerheid: dat is geen
veiligheidsdienst. De NCTV is gewoon een afdeling binnen Justitie en Veiligheid en
valt dus onder de AVG. Ook die speelt min of meer voor spionnetje en stelt zich op
als een soort alternatieve geheime dienst. Ook het Nederlandse leger blijkt burgers
massaal te bespioneren, met name mensen die zich bij demonstraties ophouden dan wel
activistisch zijn. Nederland blijkt dus ineens een flink aantal big brothers in huis
te hebben. Dan hebben we het nog niet over programma's als SyRI, die misbruik maken
van de in de praktijk discriminerende algoritmen. Er moest zelfs een rechter aan te
pas komen om de overheid terug te fluiten; de omgekeerde wereld.

Voorzitter. Een belangrijk onderwerp is de Fraude Signalering Voorziening, de zwarte
lijst. Ik heb daar anderhalf jaar geleden veel vragen over gesteld. Ook daar blijkt
massaal informatie over burgers te zijn verzameld zonder dat die het wisten. 60.000
van die mensen hebben inmiddels een brief gekregen waarin staat dat ze op de zwarte
lijst staan. Na druk is die FSV, die zwarte lijst, buiten werking gesteld. Ik heb
daar een aantal vragen over aan de Minister. Wat is de rol van de Minister in dezen?
We hebben er wel over gesproken met de Autoriteit Persoonsgegevens en met Staatssecretaris
Vijlbrief. Heeft hij zelf ook de Autoriteit Persoonsgegevens ingeschakeld? Voldoet
die lijst aan de Wet bescherming persoonsgegevens? Was de Minister ervan op de hoogte
dat dit al jaren speelde?

Voorzitter. Ik rond een beetje af. Zou de Minister niet moeten waarborgen dat alle
publieke en niet-publieke lijsten met data over burgers die nadelig kunnen zijn voor
die personen standaard aangemeld worden bij de Autoriteit Persoonsgegevens? Ik constateer
dat de functie en de waarborging van de functionarissen gegevensbescherming echt onvoldoende
zijn. We hebben soms te maken met één of twee functionarissen op 30.000, 40.000 medewerkers.
Tot slot, zou het niet verstandig zijn om een evaluatie te houden onder de functionarissen
gegevensbescherming binnen de overheid?

Dank, voorzitter.

De voorzitter:

Dank u wel. Dan is nu het woord aan de heer Ellian namens de VVD.

De heer Ellian (VVD):

Dank, voorzitter. Het beschermen van persoonsgegevens is belangrijk, zeker in de veranderende
digitale wereld. Het beschermen van persoonsgegevens moet echter niet tot onnodige
lastendruk leiden en moet proportioneel plaatsvinden. Ook is bescherming van persoonsgegevens
niet het ultieme doel. De bestrijding van criminaliteit kan bijvoorbeeld op momenten
prevaleren.

Voorzitter. In mijn bijdrage benoem ik vier punten. Ik loop die volgordelijk langs,
binnen de door u gestelde tijd. Het eerste punt is de Autoriteit Persoonsgegevens.
De VVD ziet graag een sterke toezichthouder, die doelmatig en doeltreffend zijn taken
vervult en ons beschermt tegen ongewenste verwerking van persoonsgegevens op grote
schaal. Daarvoor is het wel noodzakelijk dat de autoriteit zelf nog wat stappen doormaakt,
zoals ook is geconcludeerd in het KPMG-rapport. Mijn vraag aan de Minister is de volgende.
Denkt de Minister dat de autoriteit zelf in staat is om die groeispurt, die stappen,
door te maken? Heeft de autoriteit daar misschien hulp bij nodig van een ander overheidsorgaan,
of moet de autoriteit bijvoorbeeld zelf met een plan van aanpak komen?

Voorzitter. Dan mijn tweede punt, de AVG, de werking daarvan en de houding van de
autoriteit ten aanzien daarvan. Nog altijd ervaren met name kleine en middelgrote
bedrijven de AVG als een last en als buitengewoon complex. Onzekerheid over de toepassing
van de AVG en angst voor boetes leiden tot verkramping, blijkt uit het verslag van
rapporteur Van Gent. Een veelgehoorde klacht van ondernemers is dat er weinig duidelijkheid
is over bijvoorbeeld standaardverwerking. Denk aan personeelsdossiers, klantgegevens
en andere verwerkingen die vroeger onder het vrijstellingsbesluit vielen. Het is kostbaar
voor ondernemers om deskundigheid in te schakelen om uiteindelijk te voldoen aan de
eisen die volgens de autoriteit uit de AVG zouden voortvloeien. Mijn vraag aan de
Minister is de volgende. Bent u het met de VVD-fractie eens dat de autoriteit aan
de voorkant wat meer duidelijkheid zou kunnen verschaffen, bijvoorbeeld door standaardmodellen
te publiceren of door meer voorlichting te geven aan ondernemers als het gaat om die
standaardverwerkingen?

Voorzitter. Dan het opleggen van boetebesluiten en handhaving. Ik zeg het maar zoals
wij het ervaren: die handhaving lijkt op dit moment wat buitenproportioneel plaats
te vinden. Ik verwijs onder andere naar de zaak tegen de Koninklijke Nederlandse Tennisbond,
maar ook naar de zaak tegen VoetbalTV, dat inmiddels gewoon ter ziele is. Mijn vraag
is de volgende. Is het nou zo dat de autoriteit bij het constateren van een vermeende
overtreding meteen – tjak boem – een boete oplegt? Zo van: let op, in deze gevallen
meer dan een half miljoen. Zou het niet zo moeten zijn dat de autoriteit even in overleg
gaat met partijen en vraagt hoe we er samen voor kunnen zorgen dat de vermeende schending
ongedaan wordt gemaakt? De consequenties zijn namelijk groot. Ik weet dat de Minister
niet in kan gaan op lopende rechtszaken – dat vraag ik ook niet – maar ik vraag hem
wel te reflecteren op de proportionaliteit van dit handelen van de autoriteit. Misschien
kan hij ook reflecteren op de vraag of er niet meer gedaan moet worden door de autoriteit
in plaats van keiharde boetes op te leggen.

Voorzitter, dan mijn derde punt: het bestrijden van fraude en crosssectorale gegevensdeling.
Een veel gehoorde wens van ondernemend Nederland is het elkaar willen beschermen als
het gaat om fraude. Alleen is dat op dit moment niet mogelijk omdat de AVG het delen
van gegevens simpelweg niet toestaat. Mijn vraag aan de Minister is de volgende. Hoe
kijkt u aan tegen crosssectorale gegevensdeling? Denkt u dat er wijzigingen nodig
zijn? Zo ja, wanneer zouden we die dan kunnen verwachten? Heb ik het goed begrepen
dat de autoriteit op dit moment maar één vergunning heeft afgegeven voor het delen
van gegevens tussen private partijen onderling?

Voorzitter, dan mijn laatste punt. Zoals u allen weet heeft mijn voorganger Sven Koopmans
een initiatiefnota ingediend waarin veel mooie punten staan. Eén punt gaat ons met
name aan het hart, namelijk het punt van het beschermen van slachtoffers. Als beeldmateriaal
eenmaal onrechtmatig gepubliceerd wordt is het leed geleden, en dat leed is verschrikkelijk.
Mijn vraag aan de Minister is de volgende. Hoe staat het nu met het zoeken naar een
laagdrempelige en snelle voorziening?

Dank u wel, voorzitter.

De voorzitter:

Dank u wel. Dan geef ik nu het woord aan mevrouw Kathmann namens de Partij van de
Arbeid.

Mevrouw Kathmann (PvdA):

Voorzitter, dank u wel. Ik zit hier ondertussen met twee smartphones en ook nog een
iPad. Als ik straks weer naar mijn kantoor loop, komt er ook nog een computer bij.
Digitaal zijn is hartstikke leuk, maar corona heeft het ook nog eens ongelooflijk
noodzakelijk gemaakt, ook voor het handelen van de overheid. Maar op dit moment zitten
we wel op een punt dat we als overheid eigenlijk helemaal niet weten wat we doen en
waar we mee bezig zijn. Mevrouw Van Ginneken stelde daar ook al wat vragen over. Ik
las net het bericht dat er alleen al in Nederland 250.000 camera's in de openbare
ruimte hangen. En dat is nog maar het topje van de ijsberg. Van de meeste camera's
weten we helemaal niet waar ze hangen en wat ze doen. Ik weet nog dat ik ooit als
gemeenteraadslid in Rotterdam een vraag stelde aan de gemeente Rotterdam omdat ik
bij een metrostation een camera zag hangen. Toen kreeg ik als antwoord: er hangt helemaal
geen camera op het metrostation. Toen heb ik een foto moeten tonen. Vervolgens was
het antwoord: die hangt op het treinstation. Maar nee, het was een foto van het metrostation.
Uiteindelijk was het antwoord: o ja, dan hangt daar wel een camera, maar alle applicaties
die de camera heeft, staan uit. Maar wie is de eigenaar van die camera? Wie controleert
of de camera aan of uit staat? Deze vragen stelde ik vijf jaar geleden. Als ik deze
vragen op dit moment weer zou stellen aan de gemeente Rotterdam, zou ik hetzelfde
gekke antwoord krijgen. Op dit moment, als we het hebben over digitalisering, weten
we eigenlijk niet goed wat we allemaal opslaan en waar we mee bezig zijn. De heer
Azarkan stipte het ook al even aan.

Eigenlijk hebben we keer op keer debatten over mensen die gevolgd worden op oneigenlijk
gronden. Wet- en regelgeving ontbreekt. Daarom sluit ik me aan bij de vraag van mevrouw
Van Ginneken om daar eens op te reflecteren: hoe moeten we nu verder? Heel concreet
is mijn vraag daarbij de volgende. We hebben het vandaag natuurlijk over het beschermen
van persoonsgegevens en over de Autoriteit Persoonsgegevens. Er wordt aangegeven dat
het onderzoeksbureau KPMG dat heeft onderzocht. Dat heeft wél een heel duidelijk financieel
kader kunnen schetsen, terwijl de overheid eigenlijk zegt dat zij op dit moment niet
weet hoeveel de Autoriteit Persoonsgegevens nodig zou hebben. Maar KPMG zegt wel héél
duidelijk: er is in ieder geval een bodembedrag nodig. Dat is 45 miljoen. Is het dan
niet zo dat die 19,4 miljoen die het kabinet nu aan de Autoriteit Persoonsgegevens
besteedt, daar in ieder geval karig bij afsteekt? Dat zou ik graag concreet willen
weten.

Verder maak ik me heel erg zorgen over de slagkracht van bedrijven. Dat klinkt misschien
een beetje raar, want mensen denken: hè, Partij van de Arbeid, we gaan toch eerst
die mensen beschermen? Jazeker, maar dat heeft hier ook mee te maken. Vaak tikken
wij bedrijven wel op de vingers; de overheid is daar dagelijks mee bezig. Dat doen
wij, omdat zij software gebruiken die niet volledig aan de privacywetgeving van de
EU voldoet. Vaak kunnen ze dat ook niet, omdat ze niet zijn opgewassen tegen partijen
zoals Microsoft. Zij kunnen niet samen software ontwikkelen die volledig aan die regelgeving
voldoet. Als overheid weten we dat ook, want wij onderhandelen ook met partijen als
Microsoft om softwarepakketten in ieder geval wet- en regelgevingproof te krijgen.
Dat kost ongelofelijk veel geld. Er zijn pakketten die in samenspraak met de overheid
zijn ontwikkeld. Vervolgens mogen die dan voor één dingetje gebruikt worden, niet
eens door bijvoorbeeld semioverheidsinstellingen zoals ziekenhuizen en noem het allemaal
maar op. Ik zou graag willen weten of het mogelijk is om er in Europa toch veel meer
voor te pleiten dat er eigenlijk op voorhand gewoon al geen softwarepakketten meer
op de markt mogen komen die niet aan de privacywetgeving voldoen. Bedrijven, maar
eigenlijk ook wij als overheid, zijn niet in staat om goed op te treden, die pakketten
uit te onderhandelen en vervolgens aan die wet- en regelgeving te voldoen. Tot zover.

De voorzitter:

Hartelijk dank voor uw bijdrage. Dan geef ik nu het woord aan mevrouw Koekkoek namens
Volt.

Mevrouw Koekkoek (Volt):

Dank u wel, voorzitter. Het zal u misschien niet verbazen dat de inbreng van Volt
met name gaat over hoe wij als Nederland aan willen sluiten bij de digitale strategie
van de Europese Commissie, die al een paar jaar gaande is en gepresenteerd wordt.
U zult wellicht ook weten dat deze strategie vanuit Europa heel erg gefocust is op
wat we hier ook allemaal zien als heel belangrijk: het beschermen van onze grondrechten
in de digitale wereld. Voor Volt moet het centraal staan dat we de digitale democratie
beschermen. Een centraal onderdeel daarvan is de manier waarop wij persoonsgegevens
verwerken. Er komt binnenkort natuurlijk een review aan van de AVG. Dat lijkt ons
zeer waardevol. De European Data Protection Board heeft al een aantal verbeterpunten
aangeven. Het is natuurlijk wel heel Europees gericht. Mijn vraag hierbij is dus:
in hoeverre zijn er al stappen genomen in Nederland om in anticipatie op die review
bijvoorbeeld onze Uitvoeringswet AVG te herzien of aan te passen? Er is met name gedacht
aan het vergemakkelijken van het gebruik. Dat kan bijvoorbeeld met sectorspecifieke
benaderingen waardoor bepaalde groepen, zoals accountants of notarissen, beter weten
wat de verplichtingen zijn volgens de AVG. Dat ligt uiteraard meer aan de vertaalslag
die wij er hier in Nederland aan geven dan aan het Europese speelveld. Daarom stel
ik deze vraag nu al, hoewel ik weet dat de review van de AVG eraan zit te komen.

Ik heb eenzelfde soort vraag over het vergemakkelijken van de uitvoering van de AVG.
Die gaat met name over wat wij op dit moment in Nederland doen om het voor burgers
makkelijker te maken om controle te houden over hun persoonsgegevens. Dat zit natuurlijk
gedeeltelijk bij de toezichthouder, bij de bereikbaarheid van de Autoriteit Persoonsgegevens.
Maar zijn er ook andere manieren om het duidelijker te maken? Kunnen we met name voor
individuen en eventueel kleinere bedrijven die minder middelen hebben om echt ingewikkelde
wetgeving te bekijken, de controle over persoonsgegevens centraler stellen en ervoor
zorgen dat zij makkelijker aan die informatie komen? Wat doen wij daar in Nederland
op dit moment al aan?

Dan heb ik een vraag over de aansluiting op de Digital Services Act. Die gaat over
de overdraagbaarheid van gegevens. Wij zien ook daarbij weer heel veel potentie in
de plannen die vanuit de Europese Commissie worden gepresenteerd. Hierbij heb ik een
korte reflectievraag: waar liggen op dit moment de verbeterpunten in Nederland? Op
welke manieren gaan wij straks best practices uitwisselen met de verschillende lidstaten?
Zijn er ook punten waarop wij als Nederland bijvoorbeeld gidsland kunnen zijn, waardoor
we aan andere lidstaten kunnen aangeven wat veilige manieren zijn om gegevens op een
verantwoorde manier te delen? Tot slot. Al eerder is er een vraag gesteld over de
bereikbaarheid en de benaderbaarheid van de Autoriteit Persoonsgegevens als toezichthouder.
In het KPMG-rapport wordt er gesproken over een verhoging van de middelen op basis
van een driver-based benadering. Wat betekent dat precies? Het gaat natuurlijk niet
alleen maar over een verhoging van het budget, maar met name ook over de vraag welke
extra taken we zien voor de Autoriteit Persoonsgegevens. Daarin moeten er misschien
ook bepaalde processen aangepast worden.

En dan heb ik nog een heel specifieke vraag. Kunnen we de bereikbaarheid van de AP
ook vergroten door bijvoorbeeld het telefoonnummer weer terug te brengen, zodat de
AP weer telefonisch bereikbaar is? Het gaat met name om de aansluiting met de inwoners,
de kleinere bedrijven in plaats van wat ons nu aan de hand lijkt, namelijk dat de
AP met name vrij arbitrair te werk moet gaan, omdat ze gewoon niet over de juiste
middelen en mensen beschikt. En ook daar stel ik weer de vraag: in hoeverre zijn verschillende
Europese toezichthouders op dit moment in gesprek met elkaar? In hoeverre leert men
van elkaar? Ik bedoel dan niet alleen horizontaal, maar ik vraag mij bijvoorbeeld
ook af in hoeverre onze Nederlandse AP de adviezen opvolgt van de European Data Protection
Board.

Dat zijn mijn vragen tot nu toe. Dank u wel.

De voorzitter:

Dank u wel. Het woord is aan mevrouw Kuik van het CDA.

Mevrouw Kuik (CDA):

Dank, voorzitter. Het is al eerder genoemd: bij alle voordelen die we van de digitale
revolutie hebben, is er ook een keerzijde. Kijk maar naar fake news, cybercrime, digital
profiling, spionage en ongewenste beïnvloeding. Dat vraagt allemaal om een actieve
bescherming en regulering, omdat de persoonlijke sfeer steeds meer publiek bezit wordt.
Dat infiltreert ook het publieke belang in de privésfeer. Overheden en bedrijven hebben
daar wel een belangrijke rol in, waardoor mensenrechten zoals privacy en autonomie
onder druk komen te staan.

Wat het CDA betreft vraagt de nieuwe technologie om een nieuwe moraal en om borging
van grondrechten van burgers. Als je bijvoorbeeld kijkt naar de techreuzen die ongehinderd
hun gang kunnen gaan, dan zie je dat er wel een inhaalslag nodig is om de zeggenschap
over het digitale domein terug te claimen en om te voorkomen dat alleen commerciële
belangen bepalen hoe onze digitale toekomst eruit gaat zien. Je ziet ook dat de verhouding
tussen burger en overheid uit balans raakt. Dienstverlening loopt steeds meer via
digitale kanalen. Dat kan sowieso voordelen hebben. Misschien gaat het in 90% van
de gevallen wel beter dan daarvoor, maar als het complexer wordt met burgers in een
kwetsbare posities, dan liggen de nadelen op de loer en komt maatwerk in het gedrang.
Het CDA vraagt zich af hoe je ervoor zorgt dat al het menselijke verdwijnt ... Nee,
ik moet het wel goed zeggen en niet «hoe zorg je ervoor». Hoe voorkom je nou dat al
het menselijke verdwijnt en de digitale wereld het overneemt? Want het is vanzelfsprekend
dat de techniek zich doorontwikkelt, maar het is ook wel goed om af en toe op een
pauzeknop te drukken en eerst te kijken naar een normenkader.

Wat het CDA betreft speelt dit ook bij gezichtsherkenning. Daarom ben ik blij met
het onderzoek van de Universiteit van Tilburg. Ik kan ook voor een groot deel meegaan
in de reactie van de Minister op dit onderzoek. Wat mij betreft ontbreekt in de reactie
alleen wel een normenkader. Want hoe verhouden wij ons tot die technologie? De analyse
is dat gezichtsherkenningstechnologie in beginsel niet is toegestaan volgens de AVG.
Dat is waar, maar het getuigt nog niet helemaal van een toekomstgerichte visie. Want
deze technologie ontwikkelt zich natuurlijk rap door, ook in het buitenland. Hoe gaan
we daar dan mee om? Hoe denkt de Minister daarover? Verwacht de Minister vanuit Europa
richtsnoeren hiervoor?

Voorzitter. Dan het rapport Twee jaar toepassing van de AVG van onze oud-collega Tobias
van Gent. Allereerst complimenten voor het uitgebreide rapport! Ik wil daar één punt
uitlichten. Al langer vraagt mijn fractie aandacht voor de wijze waarop toezicht op
de naleving van de AVG in Europa is geregeld. De grote techbedrijven zitten vaak in
Ierland, vanwege het belastingklimaat. Zij vallen dan onder het toezicht aldaar, terwijl
die bedrijven ook hier in Nederland heel actief zijn. De twittercasus in het rapport
legt de complexiteit eigenlijk heel goed bloot. Kan de Minister aangeven of hij ervoor
voelt om in te zetten op een sterkere rol voor de overkoepelende toezichthouder bij
het toezicht op grote techbedrijven?

Voorzitter. Tot slot een vraag over de AVG en de overheid. Is inzichtelijk gemaakt
of de ministeries voldoen aan de AVG? Worden door functionarissen gegevensbescherming
analyses gemaakt van de mate waarin ministeries up-to-date zijn ten aanzien van die
AVG? Wordt de Kamer daarover geïnformeerd?

De voorzitter:

Dank u wel. Dan geef ik het woord aan de heer Ceder, die namens de ChristenUnie zal
spreken.

De heer Ceder (ChristenUnie):

Dank u wel, voorzitter. Het is goed om hier te zijn en te spreken over de bescherming
van persoonsgegevens. Het gebeurt in de commissie Justitie en Veiligheid met de Minister
voor Rechtsbescherming. Hoewel ik hem een aardige man vind, hoop ik dat het de volgende
keer met een Minister voor digitale zaken is in een Kamercommissie voor digitale zaken.
Want nieuwe technologieën komen in hoog tempo op ons af en grijpen steeds meer in
op onze fysieke en sociaal-culturele wereld. Ze hebben impact op de verhouding tussen
burger en overheid. Ze raken onvermijdelijk onze publieke waarden. Het is belangrijk
dat wij als Kamer daar grip en controle op hebben. We moeten duidelijk hebben wat
we wél willen, maar vooral ook wat we niet willen.

Omtrent de omgang met persoonsgegevens en de verwerking ervan door de overheid en
bedrijven zijn er voor de ChristenUnie een aantal vragen. Dat heeft wat ons betreft
allemaal te maken met data-ethiek. Hoe kunnen wij een systeem creëren van waarden
en principes voor het uitvoeren van digitale interactie tussen bedrijven, overheid
en mensen? Wat de persoonsgegevens betreft zijn er belangrijke vragen: welke gegevens
zijn van jezelf, welke gegevens mag een overheid of een bedrijf van je verzamelen?
Ook deze week hebben we weer gezien dat het soms knap lastig is om dat onderscheid
te maken. Het blijkt dat gemeenten burgers volgen op social media en er is niet altijd
een protocol in werking. Dat kan soms tot uitspattingen en negatieve gevolgen leiden.
Wie mag gegevens verwerken? Welke besluiten worden over mensen genomen op basis van
een algoritme? Dit zijn allemaal vragen die we niet aan de markt moeten overlaten.
Ze horen in de politiek thuis en verdienen een goede wettelijke borging. Daarom ben
ik blij met deze commissievergadering.

Ik wil mij voornamelijk richten op de rol en op de impact op kinderen in samenhang
met persoonsgegevens. Het is belangrijk dat een kind zich in vrijheid kan ontplooien.
Dat geldt voor het fysieke domein, maar ook voor het digitale domein. Het bijhouden
van gedetailleerde marketingprofielen, het structureel targeten met persoonlijke advertenties
en het terechtkomen in een nieuws- en informatiebubbel doen aan die vrijheid af. Kinderen
hebben specifieke bescherming nodig. Dat zegt ook de AVG. Maar hoe dat precies in
elkaar steekt, is nog onduidelijk en dat moet echt anders. Het bewaken van de vrijheid
in het digitale domein kunnen we in elk geval niet overlaten aan bedrijven zoals TikTok,
Instagram, Snapchat en YouTube. Zij verdienen er immers aan om zo specifiek mogelijk
voor kinderen te adverteren en daarbij gegevens te verzamelen.

Voorzitter. De Consumentenbond heeft een soortgelijk pleidooi gehouden en vraagt om
regie te nemen aangaande de bescherming van onze kinderen. Wij willen die oproep voortzetten.
Dat bekent concreet vier punten: geen marketingprofielen van kinderen bijhouden, stoppen
met gepersonaliseerde advertenties voor kinderen, kinderen zelf laten kiezen welke
content zij willen zien en dat niet baseren op automatische analyses en data, en stoppen
met het delen en verhandelen van data van kinderen. Kan de Minister op deze vier punten
ingaan? Welke mogelijkheden ziet hij om hierin stappen te zetten met wet- en regelgeving?
Wat is er mogelijk qua nationale wetgeving en het optreden van de AP of met invulling
van de algemene beschermingsnorm uit de AVG via guidelines? Ik benadruk dat dit voor
de ChristenUnie een belangrijk punt is dat we de komende periode willen oppakken.
Ik nodig andere partijen uit om hierbij met ons op te trekken.

Voorzitter. Tot slot de Autoriteit Persoonsgegevens. Deze autoriteit is voor de ChristenUnie
belangrijk. Zij kan als geweten van de samenleving dienen in onze omgang met persoonsgegevens.
Er moet wat gebeuren. Gisteren heeft de Autoriteit Persoonsgegevens aangegeven structureel
100 miljoen euro nodig te hebben om haar taken goed te kunnen vervullen. Dat is op
grote afstand van wat zij nu krijgt. De Minister heeft dit overgelaten aan een volgend
kabinet, maar wat is zijn visie op die uitspraak van de AP? Erkent hij dat er structureel
meer geld voor nodig is? Hoe wil hij dit oppakken?

Tot zover, voorzitter. Ik kijk uit naar de antwoorden.

De voorzitter:

Dank u wel. Dan krijgen we nu een beetje een bijzondere figuur. Omdat ik de vaste
voorzitter van deze Kamercommissie vervang, zou ik graag zelf een bijdrage willen
leveren namens de SP. Daar vraag ik uw toestemming voor. Om dat te kunnen doen, vraag
ik de heer Azarkan om tijdelijk het voorzitterschap over te nemen.

Voorzitter: Azarkan

De voorzitter:

Ja, dat doe ik met veel genoegen. Ik geef graag het woord aan de heer Van Nispen voor
zijn bijdrage namens de Socialistische Partij.

De heer Van Nispen (SP):

Dank u wel, voorzitter. Data zijn het nieuwe goud en hoe persoonlijker de gegevens,
hoe meer ze waard zijn. Private bedrijven, maar zeker ook overheden, hebben de smaak
te pakken gekregen van het verzamelen van data. Als echte datajunks willen bedrijven
en overheden steeds meer en meer data hebben. Op zich is dat niet altijd een probleem,
namelijk als iemand er zelf voor kiest om zijn of haar data vrijwillig te delen, maar
misbruik van data ligt wel op de loer. Dus moeten persoonsgegevens goed beschermd
worden en moet duidelijk zijn wie wanneer welke data mag gebruiken. Juist op dat punt
gaat het de laatste tijd echter vaak mis.

Ik zal wat voorbeelden geven. De gemeente Enschede kreeg een boete, omdat ze de drukte
in de binnenstad volgde met behulp van wifitracking. Meerdere Nederlandse gemeenten
kijken op grote schaal mee met burgers op sociale media. Daarvoor gebruiken ze onder
meer nepaccounts, een methode die gemeenten niet mogen gebruiken. Ook de NCTV gebruikte
jarenlang nepaccounts op sociale media om mensen te volgen, zonder dat zij daartoe
bevoegd waren. Ook bij de krijgsmacht ging het mis. Het LIMC stuurde rapporten over
zijn bevindingen aan andere overheidsdiensten en dat had niet gemogen. De politiek
misbruikte gegevens van het COA, bij de GGD'en konden Jan en alleman de gegevens van
geteste mensen inzien, we hebben het SyRI-debacle en de toeslagenaffaire gehad, waarin
persoonsgegevens werden gebruikt die nooit gebruikt hadden mogen worden om tot besluiten
te komen waartegen mensen zich niet konden verzetten, omdat de gebruikte gegevens
geheim moesten blijven.

Het erge is: we zouden nog wel even zo kunnen doorgaan. Dit zijn alleen nog maar de
schendingen van de overheid zélf. In het bedrijfsleven gaat het net zo goed fout en
dan heb ik het nog niet eens gehad over hacking, phishing, malware, spoofing et cetera.
Allemaal bedreigingen voor de bescherming van persoonsgegevens.

De Autoriteit Persoonsgegevens moet toezicht houden op dit soort zaken, maar het is
een feit dat de huidige AP door politieke keuzes een waakhond zonder tanden is. Ter
illustratie: bij de AP is één persoon één dag in de week belast met het actief zoeken
naar alle vormen van signalen, van tips tot datelekken, tot klachten et cetera. Datalekken
zijn hier slechts een onderdeel van. In 2019 kreeg de AP 27.000 meldingen van datalekken
binnen. Daarvan heeft de AP maar 0,3% kunnen onderzoeken. Echt: 0,3%! Dat is dan knap,
als je bedenkt dat ze daar minder dan 3 fte voor hadden.

De AP heeft met diverse onderzoeken aangetoond dat ze in 2025 62 miljoen per jaar
nodig heeft, terwijl ze nu 25 miljoen krijgt. Dat is eigenlijk niet veel vergeleken
met andere toezichthouders in Nederland. Het zou ook niet raar zijn als je het internationaal
zou vergelijken. De Kamer heeft ook een motie van de SP aangenomen om dit nu eindelijk
te gaan regelen. Maar wat doet de Minister? Die legt de motie doodleuk naast zich
neer. Dit is een schoffering niet alleen van het parlement maar van alle Nederlanders
die verwachten dat hun persoonsgegevens goed beschermd worden. Ik ben het niet eens
met partijen die hier zeggen dat we van deze Minister niets meer hoeven te verwachten
op dit punt. We hebben deze Minister nog niet ontslagen, die is gewoon nog aan het
werk, dus zou hij wat de SP betreft deze motie gewoon moeten gaan uitvoeren.

Waarom is de groei van de Autoriteit Persoonsgegevens nou zo belangrijk? Dat is zo
belangrijk omdat het aantal gegevensverwerkingen alleen maar toeneemt. Kijk alleen
maar naar de Wet gegevensverwerking door samenwerkingsverbanden, ook wel «super-SyRI»
genoemd, die onlangs door de Kamer is aangenomen. De SP was daartegen. Door deze wet
gaan er nog meer persoonsgegevens verwerkt en gedeeld worden. Het zou fijn zijn om
te weten dat we een toezichthouder hebben die daarbij goed een oogje in het zeil houdt,
maar het is waarschijnlijk alleen maar wachten tot er slachtoffers vallen of dat de
rechter ingrijpt bij super-SyRI.

Dan kom ik op het bestuursrecht. Met alleen een goede toezichthouder zijn we er niet.
We moeten als wetgever ook naar onszelf kijken. Is bijvoorbeeld in het bestuursrecht
de bescherming van persoonsgegevens wel goed gewaarborgd? Zoals de toeslagenaffaire
liet zien, kunnen persoonsgegevens die worden verwerkt en bewaard in computersystemen
medebepalend zijn voor het uiteindelijke besluit dat een bestuursorgaan neemt. Ze
kunnen de basis vormen voor besluiten die ingrijpen in de rechtspositie van de burger,
maar tegen de verwerking van die gegevens kan een burger geen bezwaar of beroep instellen.
Dat kan hij alleen doen tegen het uiteindelijke besluit op grond van de Algemene wet
bestuursrecht. Is dat eigenlijk niet raar, zo vraag ik aan de Minister. Ik vraag de
Minister er serieus over na te denken of het niet beter zou zijn als bestuursorganen
uit eigen beweging verantwoording moeten afleggen over de rechtmatigheid van gegevensverwerkingen
en als burgers in staat worden gesteld om te controleren hoe een bestuursorgaan hun
gegevens verwerkt heeft. Ziet hij ook deze lacune in het bestuursrecht? En wat wil
hij hieraan doen? Is hij bijvoorbeeld bereid om persoonsgegevensverwerkingen die een
bestuursorgaan verricht en die nauw verbonden zijn met een besluit, onder de reikwijdte
van dat besluit te laten vallen? Wetenschappers hebben hier ook over gepubliceerd;
daarom breng ik dat hier in. Op die manier moeten bestuursorganen daar verantwoording
over afleggen en kunnen burgers zich van die gegevensverwerking vergewissen. Ik hoop
op een toezegging dat de Minister daar serieus naar gaat kijken. Anders zal ik daar
op termijn een motie over indienen.

Dan helemaal tot slot, voorzitter, het Burgernet. Dat is het laatste punt dat ik onder
de aandacht wil brengen. Daar is namelijk onduidelijkheid over. Klopt het dat Burgernet
constant de locatie van gebruikers monitort? Weten gebruikers dit ook? Is Burgernet
een dienst van de politie, of wie beheert die dienst precies? Is Burgernet voorafgaand
aan ingebruikname onderworpen aan een risicoanalyse? Zo niet, waarom niet?

Daar wilde ik het graag bij laten. Dank u wel.

De voorzitter:

Dank. De dichtheid aan informatie in combinatie met de passie waarmee wordt gesproken,
is altijd bewonderenswaardig. Ik draag het voorzitterschap graag over aan de heer
Van Nispen.

Voorzitter: Van Nispen

De voorzitter:

Dank u wel. Ik wil iedereen bedanken voor de inbreng in eerste termijn. U heeft zich
allemaal keurig aan de termijn gehouden, behalve ikzelf misschien. Maar ik zie dat
dat zojuist door de vingers is gezien. Ook de interrupties waren bijzonder kort en
bondig. Ik kijk even naar de Minister. Hoelang wil de Minister schorsen om zich te
voorbereiden op de beantwoording? Ik hoor de Minister twintig minuten zeggen. Zullen
we dan om 10.55 uur hier weer afspreken om verder te gaan?

De vergadering wordt van 10.38 uur tot 10.59 uur geschorst.

De voorzitter:

Welkom terug allemaal. Wij hervatten het commissiedebat Bescherming persoonsgegevens.
We zijn aangekomen bij de eerste termijn van de Minister voor de beantwoording van
de vragen die in de eerste termijn zijn gesteld. Ik stel voor dat we maximaal vier
vragen per persoon kunnen stellen aan de Minister. Dat mogen twee interrupties in
tweeën zijn of vier losse vragen, maar we houden het beknopt. Het woord is aan de
Minister.

Minister Dekker:

Dank u wel, voorzitter. Ik wil beginnen met uitspreken dat het mij een genoegen is
om met de Kamer in een nieuwe samenstelling om tafel te mogen zitten en met een aantal
van u kennis te mogen maken, voor zover dat niet al buiten de formele setting is gebeurd
dan hier in dit debat. Het gebeurt informeel ook nog wel een keer op korte termijn,
hoop ik. Ik hoop dat corona daar ook wat meer mogelijkheden voor biedt.

Toen ik drie, vier jaar terug begon, ging een van de eerste ontmoetingen met de vorige
Kamer over een heel traject rond de wetgeving van de UAVG. Deze belangrijke wetgeving
heeft uiteindelijk, denk ik, ook wel een enorme impact gehad op het denken, doen en
laten van heel veel organisaties, want gegevensverwerking raakt ons allemaal, zeker
in deze steeds verder digitaliserende wereld. Hoewel er in de afgelopen jaren veel
ontwikkelingen zijn geweest op het terrein van gegevensbescherming, zou je kunnen
zeggen dat de inwerkingtreding van de AVG de belangrijkste gebeurtenis is, gevolgd
door die Nederlandse uitvoeringswet. Dat is bijna, op de kop af, alweer drie jaar
terug.

De AVG heeft veel losgemaakt en niet alleen omdat het een set aan regels is waar iedereen
aan moet voldoen: burgers, bedrijven, maar zeker ook de overheid. Ik vind dat we het
goede voorbeeld moeten geven. Maar misschien nog wel meer dan alleen maar de regels,
heeft het ook heel veel bewustzijn losgemaakt. Als je goed kijkt naar de AVG, dan
zou je kunnen zeggen: daar zaten een paar nieuwe dingen in. Veel zat echter ook al
in onze oude wet- en regelgeving, maar omdat het plotseling Europees ging gelden en
we met z'n allen de handhaafbaarheid veel meer verbeterden, zette dat heel veel organisaties
aan tot het wegwerken van veel achterstallig onderhoud. Ik denk dat dat goed is: het
wegwerken van achterstallig onderhoud, maar ook het bewustzijn dat privacy en de bescherming
van persoonsgegevens gewoon een heel belangrijk goed is.

Ik zie ook dat het ondanks alle inspanningen nog niet altijd en overal lukt om de
AVG op alle punten na te leven en dan steek ik ook maar direct de hand in eigen boezem.
Dat geldt ook voor overheidsorganisaties. Ik denk dat er heel veel verbeterd is in
de afgelopen jaren. We zagen in de afgelopen tijd natuurlijk ook op verschillende
plaatsen kwetsbaarheden in overheidssystemen en werkprocessen en laat ik heel helder
zijn: dat kan niet alleen beter, dat moet ook beter. De samenleving mag van de overheid
verwachten dat zij de huishouding op orde heeft en de overheid moet zelf het goede
voorbeeld geven.

Misschien mag ik direct beginnen met de uitdaging die een aantal van u noemde: wat
moet er gebeuren om ervoor te zorgen dat dit verbetert bij de overheid, die het goede
voorbeeld moet geven en die een dubbelrol heeft, als wetgever en als degene die zich
eerst en vooral aan de wet moet houden? Mevrouw Van Ginneken, maar ook mevrouw Kathmann
en de heer Ceder vroegen daar expliciet naar in hun bijdrage. Laat ik helder zijn.
Ik vind het belangrijk, niet alleen formeel juridisch gezien maar ook voor de taakuitvoering
van overheidsorganisaties, dat de overheid zich houdt aan de wet. Je kunt je voorstellen
dat als er geen vertrouwen is in dat de overheid dat op een nette en rechtmatige manier
doet, dit ook de werking van onze uitvoeringsorganisaties aantast. Het is een middel
dat kan bijdragen aan slimmer of effectiever beleid en aan betere dienstverlening.
We moeten niet uit het oog verliezen dat gegevensverwerking in deze tijd ook heel
veel kansen biedt en sterker nog, gewoon nodig is. Maar ik vind wel dat het op een
nette manier moet gebeuren. Wat dat betreft ben ik misschien minder bezig met de discussie
over hoeveelheden. Er wordt vaak gesproken over datahonger. Ik denk dat je daar geen
weg meer terug in ziet. Over 10, 20, 30 jaar is dat waarschijnlijk alleen maar meer
geworden.

Ik ben wel bezig met het vraagstuk van de rechtmatigheid. Het gaat erom dat je alleen
die gegevens gebruikt die noodzakelijk zijn om je taken uit te voeren. Natuurlijk
staat het beginsel van dataminimalisatie uit artikel 5 van de AVG daarbij centraal.
Dat beginsel schrijft voor dat je zo min mogelijk gegevens gebruikt om je doeleinden
te bereiken. Met andere woorden: met zo min mogelijk doen wat je moet doen. In de
systematiek van de AVG wordt de verantwoordelijkheid voor naleving neergelegd bij
de organisatie die bepaalt wat er met de gegevens gebeurt. Ik vind dat ook een goed
systeem. Alleen die organisaties zijn immers in de positie om ervoor te zorgen dat
de AVG ook wordt nageleefd.

Dat is ook een belangrijke conclusie uit de evaluatie van de Europese Commissie van
de werking van de AVG. Natuurlijk heb je een goede handhaver en toezichthouder nodig.
Maar als je weet dat door alle bedrijven en alle overheidsinstanties op zo veel verschillende
plekken wordt gewerkt met data, dan is het een illusie om te veronderstellen dat er
één waakhond is die achter iedereen aan gaat om te kijken of het goed gebeurt. Dus
je moet denken aan slimme wettelijke waarborgen en een goede manier van werken, zodat
privacybewustzijn en dataminimalisatie eigenlijk in het DNA van iedere organisatie
gaan zitten. Vandaar ook dat er bepaalde plichten zitten in de AVG en de UAVG die
dat voorschrijven. Neem bijvoorbeeld de systematiek rond gegevensfunctionarissen.
Neem bijvoorbeeld de plicht om bij privacygevoelige systemen een privacy impact assessment
te doen. Dat is allemaal ter vergroting van het bewustzijn van waar we mee bezig zijn.

Natuurlijk herken ik het beeld dat de naleving van de AVG nog onvoldoende op orde
is. En laat ik er ook helder over zijn dat ik dat gewoon een kwalijke zaak vind. Ik
vind dat niet goed. Burgers moeten erop kunnen vertrouwen dat hun gegevens op een
rechtmatige manier worden verwerkt, zeker bij de overheid. In recente Kamerbrieven
van onder anderen de Minister van SZW en de Minister van Defensie wordt ook ingegaan
op maatregelen die op korte en lange termijn worden genomen om mogelijke tekortkomingen
bij respectievelijk het UWV en de krijgsmacht op te lossen. En ook uit de discussie
met bijvoorbeeld mijn collega op het ministerie, Grapperhaus, over de grondslagen
voor gegevensverwerking van de NCTV weet u dat hij dat zeer serieus neemt. Daarover
is hij met u in debat. Hij informeert u binnenkort over de grondslagen voor die verwerking.

Dan: wat kunnen we beter doen? Ik denk dat de sleutel voor verbetering van gegevensbescherming
vooral ligt in twee dingen. We moeten natuurlijk aan de ene kant kijken wat er nodig
is om goed toezicht te houden. Ik ga straks wat meer zeggen over de Autoriteit Persoonsgegevens
en wat daar meer en beter kan. Ik denk dat het allerbelangrijkste misschien nog wel
is het versterken van de professionaliteit, de expertise en de kennis over de AVG
binnen organisaties zelf, ook binnen onze eigen organisaties. Bewustwording is daarbij
van groot belang, maar inmiddels weet iedereen wel dat er een AVG is. Je hebt echt
wel onder een steen gelegen als dat aan je voorbij is gegaan. Maar wat betekent het
precies, waar moet je exact op letten en waar ben je exact voor verantwoordelijk?
Je zou kunnen zeggen dat het bij organisaties nog ontbreekt aan een doorvertaling
naar de implicaties. Ik denk aan het voorbeeld dat mevrouw Kathmann aanhaalde over
de camera's en ook dat systeem van waarden en principes waar de heer Ceder aan refereerde.
Je mag heel veel. Je mag ook op sommige plekken met camera's werken, maar dan moet
je wel aan bepaalde vereisten voldoen.

Voorzitter. Ik zie natuurlijk ook wat er allemaal op uitvoeringsorganisaties afkomt.
Het is ook vaak kiezen in schaarste. Dat heeft soms met geld te maken, maar veeleer
met waar we menskracht en capaciteit op inzetten. Waar de beschikbare middelen ontoereikend
zouden zijn, moeten we denk ik ook echt goed bij onze uitvoeringsorganisaties kijken
naar wat daar dan meer nodig is. Ik denk dat dat goed meegenomen kan worden in de
bredere discussies die we voeren over de vraag of onze uitvoeringsorganisaties nou
voldoende zijn toegerust om de menselijke maat toe te passen in hun contact met burgers.
Maar op een nette en goede manier omgaan met persoonsgegevens is misschien ook wel
een vorm van de menselijke maat, zou je kunnen zeggen.

Maar ik zeg er onmiddellijk bij: het is niet alleen een kwestie van budget. Het is
ook een kwestie van er gestructureerd aan werken, een kwestie van opleiding. Op dat
vlak lopen er nu denk ik twee dingen die belangrijk zijn. Om te beginnen kijk ik met
mijn collega van Binnenlandse Zaken wat we met de top van onze ambtelijke organisaties,
met de ABD, meer kunnen doen in het standaard opleidingspakket, zodat het bij iedereen
goed tussen de oren zit. Het tweede is dat we sinds enige tijd een CIO Rijk hebben
onder leiding van de Staatssecretaris van BZK. Die CIO werkt actief aan de versteviging
van privacy binnen overheidsorganisaties. Een van de dingen die hij doet is het uitvoeren
van een rijksbrede privacy-audit om te kijken wat nu eigenlijk de stand van zaken
is van compliance met de AVG.

Zelf vind ik ook de rol en de functie van de functionaris gegevensbescherming als
verlengstuk van de toezichthouder heel belangrijk. Heel eerlijk: daarvan zie je goede
en ook minder goede voorbeelden. In de ene organisatie is dat zwaarder belegd en meer
opgetuigd en is bijvoorbeeld de toegang van een functionaris gegevensbescherming tot
de top van een organisatie directer. Er zijn ook organisaties die wel een FG hebben
– want dat is nu eenmaal een plicht – maar waarbij het de vraag is: hoe geven we daar
invulling aan? Dan is het meer «we hebben er een», maar zou dat meer stevig kunnen
worden neergezet.

Ik ben – en zolang ik hier zit, ga ik daarmee door – aan het bekijken wat je nou kunt
doen, ook nog nevengeschikt aan de UAVG, om de positie van die functionarissen gegevensbescherming
te verstevigen. Dan zou je bijvoorbeeld kunnen denken aan een beroepsregister of iets
dergelijks. Ik ga daar graag met de FG's binnen de overheid mee aan de slag.

Voorzitter, dat is een lange introductie. Ja, dit was de introductie, ook omdat u
mij vroeg: reflecteer ook eens even op jezelf. Ik heb twee grote blokken, namelijk
AVG en AP, en dan een tritsje van een aantal losse dingen die ik wilde langslopen.

De voorzitter:

Dank, dan hebben we meteen een inhoudsopgave. Dan geef ik het woord aan de heer Azarkan
voor zijn interruptie.

De heer Azarkan (DENK):

Ja, met name over het laatste. Ik ben blij dat de Minister aangeeft dat hij een evaluatie
houdt. Als de Minister het heeft over versterking, dan spreekt hij vaak over registers,
over expertise en over informatie. Hij heeft het eigenlijk nooit over capaciteit.
Ik weet dat hij dat een lastig onderwerp vindt. Dat heb ik gemerkt in de afgelopen
vier jaar. In het geval van de Belastingdienst worden zo veel data verwerkt, dat het
voor één functionaris gegevensbescherming gewoon niet te doen is. Wat ik terugkrijg
van mensen is dat ze zeggen: ook gedupeerden zoeken soms contact en krijgen dat contact
onvoldoende. Dus ik vraag aan de Minister of hij ook eens wil kijken naar hoe we ervoor
zorgen dat er ook voldoende capaciteit is om het werk te kunnen uitvoeren. In de Wet
bescherming persoonsgegevens – die dateert uit 2000, ik heb hem hier volledig uitgedraaid –
staan echt heel goede waarborgen. Dat is vaak het probleem niet. Het probleem zit
bij de uitwerking en de toepassing. Daar ontstaan de problemen. Dus ik juich het van
harte toe, maar ik vraag ook of er daarbij goed wordt gekeken naar de capaciteit en
naar de interactie met burgers die vinden dat hun informatie op een verkeerde manier
is verzameld. Hoe kijkt de Minister daartegen aan?

Minister Dekker:

Eens. Capaciteit is daarbij van belang, dus daar moeten we zeker naar kijken binnen
grote uitvoeringsorganisaties als we constateren dat het gewoon nog niet goed op orde
is. Het is ook niet zo dat de functionaris gegevensbescherming de enige binnen een
organisatie moet zijn die zich bezighoudt met privacy en met gegevensbescherming.
Dat is eigenlijk een taak van iedereen: bij wijze van spreken van degene die de intake
doet aan het loket tot aan de top van de organisatie. Dat is precies wat ik bedoelde
met: je kan kijken naar formele vereisten – die zitten eigenlijk wel snor – maar het
is ook een kwestie van cultuur, capaciteit en de prioriteit die je eraan geeft in
je eigen organisatie. Ik hoop dat straks uit die brede scan blijkt waar het goed gaat.
Ik ben misschien iets positiever gestemd dan een aantal van u als ik zie dat er echt
veel is verbeterd de afgelopen jaren. Maar we zien natuurlijk ook dat het op een aantal
onderdelen niet goed gaat. Dan moeten we precies kijken waar dat dan aan ligt. Dat
kan ook een capaciteitsding zijn. Als dat zo is, vind ik dat we het moeten oplossen.

De voorzitter:

Een vervolgvraag van de heer Azarkan.

De heer Azarkan (DENK):

Je zou ook kunnen zeggen: we hebben een functionaris gegevensbescherming, we hebben
de AVG, we hebben een AP, dan is het toch wel frappant dat het op een aantal punten
grootschalig fout gaat. Er is zo'n FSV, zo'n zwarte lijst, waar 5.000 mensen toegang
toe hebben, zo blijkt uit de beantwoording van vragen aan Staatssecretaris Vijlbrief.
Er blijkt informatie verzameld te worden die volledig in strijd is met die Wet bescherming
persoonsgegevens. Er zijn mensen die zich nu op social media uitlaten en zeggen: «Ik
heb een brief gekregen waarin staat dat ik op een zwarte lijst sta, maar ik heb geen
idee waarom. Ik word daar onzeker van. Ik word gezien als fraudeur. Waarom heb ik
daar last van?» Dus ik vraag aan de Minister in hoeverre hij dat kan meenemen. Wat
is er nou gebeurd bij de verantwoordelijkheid van de organisatie, de leiding, maar
ook bij de functionaris gegevensbescherming en wellicht bij de AVG-toetsing vanuit
de AP? Hoe kan dat dan toch verkeerd zijn gegaan? Waarom is dat dan aan de voorkant
niet goed ingekaderd?

Minister Dekker:

Ik vind dat steeds belangrijk, want daar trek je ook belangrijke lessen uit. Ik vind
het minstens zo belangrijk wat je gaat doen om het in de toekomst beter te doen. Ik
heb het debat met mijn collega Vijlbrief minder goed gevolgd, maar ik zat bijvoorbeeld
bij het debat over het datalek bij de GGD. Dat was in de plenaire zaal. Daar zag je
natuurlijk ook dat er bij het design en de architectuur van de systematiek onvoldoende
rekening was gehouden met hoe je dat afschermt.

Ik heb niet de illusie dat we toegaan naar een wereld waarin je nooit een fout of
een onrechtmatigheid tegenkomt. Dat zal altijd zo zijn en altijd zo blijven. Ik noem
bijvoorbeeld financiële onrechtmatigheden. De accountant kijkt ernaar, er is een systematiek
waar al heel lang mee gewerkt wordt. Je zal altijd blijven zien dat je tegen onrechtmatigheden
aanloopt. Dat moeten we denk ik met z'n allen accepteren. De vraag is alleen: wat
ga je eraan doen om het de volgende keer te voorkomen? Op die manier moet je ook tegen
dit soort dingen aankijken. Wat ga je doen om het de volgende keer te voorkomen? Want
dat kan wel. Kijk, als iemand kwaad wil en bewust ergens in systemen kijkt ... Het
is voor een deel ook mensenwerk. Maar je kunt wel in de beveiliging van je systematiek
ervoor zorgen dat niet iedereen toegang heeft tot alle informatie, dat je werkt met
logboeken, zodat je altijd kunt achterhalen wie waarin heeft gekeken. Het zijn eenvoudige
principes, die de wet ook voorschrijft, waarvan ik vind dat overheidsorganisaties
daaraan moeten voldoen.

De voorzitter:

Mevrouw Van Ginneken.

Mevrouw Van Ginneken (D66):

Ik voel de behoefte om ook even te reageren op de inleiding van de Minister, want
ik hoorde hem zeggen dat er ten aanzien van de datahonger van de overheid geen weg
terug is. Daar schrik ik wel van, want dataminimalisatie is wel een van de grondbeginselen
van de privacybescherming. In uw eigen bijdrage, voorzitter, onderstreepte u dat u
de Minister nog niet had opgegeven. Ik vraag mij af of de Minister het zelf niet heeft
opgegeven, als hij dat soort dingen zegt.

Ik hoor in het betoog ook heel erg een inzet op bewustwording. Dat roept bij mij de
vraag op hoeveel incidenten er nog moeten plaatsvinden voordat mensen wakker worden.
Naar mijn idee is inzetten op bewustwording echt onvoldoende. De Minister noemde ook
«kiezen in schaarste». Nou snap ik dat de geldboom niet tot de hemel groeit, maar
het is ook een keuze om te willen investeren in een goed toezicht op de bescherming
van privacy en de fundamentele rechten van onze burgers. Dus ik vraag aan de Minister
– en ik hoop dat hij dat in de rest van zijn bijdrage nog wat gaat concretiseren –
of we daar perspectief op kunnen gaan krijgen.

Minister Dekker:

Ik hoor graag wat de suggesties van mevrouw Van Ginneken zijn over wat we dan meer
of anders zouden moeten doen, want ik vind het een beetje een verdraaiing van wat
ik zojuist aangaf. Ik heb gezegd dat de overheid moet voldoen aan de wet en dat we
er tijd, aandacht en energie in moeten steken. Dat is voor een deel bewustwording,
maar voor een deel ook gewoon harde compliance. Dat betekent dat we moeten investeren
in overheidsorganisaties, dus in de uitvoering, waar het uiteindelijk moet gebeuren,
en dat we moeten investeren in een goede toezichthouder, wat we de afgelopen jaren
gewoon hebben gedaan, volgens mij. Maar ik sta altijd open voor goede suggesties.
Daar luister ik graag naar.

Dan mijn punt over datahonger. We kunnen natuurlijk een enorme discussie hebben over
de hoeveelheid data, maar ik denk dat het reëel is dat we steeds meer in een datagedreven
samenleving leven. Eerlijk gezegd vraagt u dat op andere plekken ook van ons, bijvoorbeeld
als het gaat om patiëntgegevens en om de digitale dienstverlening bij de overheid,
bij gemeentes en bij het Rijk. Daar willen we dat het allemaal beter wordt en sneller
wordt, en dat we sneller toegang hebben tot onze gegevens. Dat wordt allemaal gedigitaliseerd.
D66 gaat daarbij voorop, en is volgens mij ook altijd de partij geweest die vindt
dat we daarin méér moeten doen. Je kan niet méér doen als je niet ook werkt met digitale
gegevens en met data. Mijn enige punt is dat als je het doet, je het ook zorgvuldig
moet doen. Dus wat mij betreft moet de discussie niet zozeer gaan over omvang en over
aantal, maar over rechtmatigheid. Ik ben het wel met u eens dat dataminimalisatie
gewoon een wettelijk principe is, dat ervan uitgaat dat je data best mag gebruiken,
maar niet meer dan nodig is. Dat is de subtiliteit die ik in de discussie zoek.

De voorzitter:

Mevrouw Van Ginneken voor een vervolgvraag.

Mevrouw Van Ginneken (D66):

Ik hoor de Minister spreken over investeren in een bewuste en zorgvuldige uitvoering
binnen de overheid. Daar ben ik erg blij mee. Ik denk inderdaad dat dat ook echt kan
helpen om het probleem te verminderen. Maar als het gaat om het investeren in toezicht
hoor ik de Minister zeggen dat ze dat ook hebben gedaan, terwijl diverse onderzoeken
natuurlijk aangeven, en de Autoriteit Persoonsgegevens zelf uitspreekt, dat het budget
van de AP ze op dit moment in staat stelt om ongeveer een derde van hun taakstelling
uit te voeren. Dus om de vraag die de Minister aan mij stelde te beantwoorden: ik
denk dat de AP substantieel meer financiële ruimte moet hebben om haar taken uit te
kunnen voeren.

De voorzitter:

De Minister kan hierop reageren.

Minister Dekker:

Ik ga het straks wat langer over de AP hebben, dus dan pak ik het op. Er ligt ook
een Kameruitspraak die dat zegt. Mijn enige punt is – maar goed, daar ga ik straks
op in – dat we natuurlijk gezien hebben dat de AP ook een enorme groei heeft doorgemaakt.
Het budget is in de afgelopen vier jaar ongeveer verdrievoudigd.

De voorzitter:

Er zijn meer interrupties. Als ze over dit punt gaan, herhaal ik dat de Minister heeft
aangekondigd om straks nog dieper op de Autoriteit Persoonsgegevens in te gaan. Maar
als u een vraag wilt stellen over wat de Minister tot nu toe heeft gezegd, dan geef
ik u daarvoor natuurlijk de gelegenheid.

Mevrouw Koekkoek (Volt):

Ik wil heel graag even aanhaken op wat er net is gezegd, namelijk dat het onvermijdelijk
is dat niet kan worden voorkomen dat er fouten zullen worden gemaakt, of dat kwaadwillenden
daadwerkelijk op zoek gaan naar data, waardoor datalekken ontstaan. We komen straks
nog te spreken over de vraag hoe je dan achteraf bijstuurt, dus hoe je het toezicht
verbetert. Zouden we in het kader van het vooraf bijsturen en het voorkomen van de
negatieve gevolgen voor betrokkenen, met name bij overheidsinstanties, maar wellicht
ook bij andere organisaties, niet kunnen kijken in hoeverre persoonsgegevens noodzakelijk
zijn voor het uitvoeren van een bepaalde taak? Dus is het bijvoorbeeld bij de GGD
altijd noodzakelijk om te vragen naar iemands gender of leeftijd? Zouden er daar ook
niet veel mogelijkheden liggen, die vrij kosteloos zijn, waarmee we voorkomen dat
betrokken burgers uiteindelijk de negatieve gevolgen dragen van datalekken?

Minister Dekker:

Het antwoord is voluit ja, omdat ik het ondersteun als principe, maar ook omdat de
wet het voorschrijft. Dus de wet zegt: je mag eigenlijk alleen maar de data verzamelen
en verwerken die je nodig hebt voor je doel. Als een organisatie veel meer verzamelt,
omdat het nice to have is of waar misschien helemaal niets mee wordt gedaan, dan betekent
dat dat ze daarmee de facto niet in lijn zijn met de wet. Daarom vind ik dit een mooi
principe. Ik vind daarom ook dat hier bij het ontwerp van dit soort systemen al aan
de voorkant door experts naar gekeken moet worden. Je kunt het namelijk niet aan iemand
achter de balie vragen, want die krijgt gewoon een formulier voor zijn neus en moet
al die standaarddingen invullen. Het is dus een ontwerpkwestie, waarbij we aan de
voorkant goed moeten nadenken of we datgene wat we vragen ook echt nodig hebben om
ons doel te bereiken. De inzet hierbij is «zo min mogelijk», en vervolgens als je
de data hebt gebruikt ook «zo kort mogelijk». Als je het niet meer nodig hebt, zou
het ook weer weg moeten gaan. Dat zijn eigenlijk de essenties. Daarom vind ik de AVG
mooi. Dit zijn leidende principes in die nieuwe wetgeving.

Mevrouw Koekkoek (Volt):

Mijn vraag was eigenlijk meer gericht op het volgende. Met de ervaringen van de afgelopen
jaren bij deze toch wel jonge wetgeving doen wij met name vanuit de overheid ... Ik
begrijp dat we op commerciële instanties niet altijd evenveel toezicht kunnen houden
en daar inzicht in kunnen hebben, maar vanuit de overheid kunnen we dat wel. Wat is
uw reflectie? Passen we op dit moment vanuit uitvoerende overheidsinstanties, zoals
de GGD's en de Belastingdienst, dat principe van dataminimalisatie voldoende toe?

Minister Dekker:

Het genuanceerde antwoord is: ja, we doen dat veel meer dan drie, vier jaar terug.
Dat bewustzijn is echt gewoon vergroot. Tegelijkertijd zien we nog met regelmaat situaties
waarin het niet gebeurt. Neem bijvoorbeeld de discussie over de Belastingdienst en
het bsn-nummer. Dat nummer werd verzameld en gebruikt, en daarvan werd gezegd: dat
zou niet nodig moeten zijn. Dat is de reden – ik geloof ook op aandringen van de AP –
dat de Belastingdienst dat nu aanpast. Ik denk ook dat we in de toekomst dingen zullen
tegenkomen waarvan we achteraf zeggen: we hebben toch niet goed opgelet; daar moeten
we scherper op zijn. Nou helpt het als we binnen de eigen organisaties daar mensen
voor hebben die daar scherp op zijn. We hebben namelijk met zo veel organisaties en
bedrijven te maken dat het dweilen met de kraan open is als het daar niet gebeurt.
Maar je wil natuurlijk ook een goede toezichthouder hebben, die als het echt nodig
is mensen op hun vestje kan spugen, boetes kan uitdelen of mensen kan aanspreken.

De voorzitter:

Mevrouw Kathmann heeft ook een interruptie.

Mevrouw Kathmann (PvdA):

Mijn vraag ligt ook een beetje in het verlengde van de introductie van de Minister.
Ik zou toch echt nog een keer de urgentie willen aanstippen, en u de vraag willen
stellen die mevrouw Van Ginneken u eerder ook heeft gesteld, namelijk of u daarop
wilt reflecteren. We hebben het er hier niet over dat het nog wat scherper moet, of
dat we nog een paar waarborgen moeten stellen. We zitten in een land waarin elke dag,
stelselmatig, de wet wordt overtreden. Vaak gebeurt dit onbewust en ook helemaal niet
met de bedoeling om het te doen, maar het is een feit dat de wet stelselmatig wordt
overtreden door de rijksoverheid, door lokale overheden, door ambtenaren en door bedrijven.
Dit gebeurt misschien vaak ook omdat ze het niet weten. Dat is de praktijk van elke
dag. Het regent op dit moment incidenten. Dat is misschien ook een beetje kort gezegd,
want soms worden er gewoon mensenlevens vernield en worden er analyses van mensen
gemaakt in databases die wij niet eens kennen.

De Minister heeft het veel over waarborgen, over het feit dat we de wetgeving misschien
nog wat moeten aanscherpen of dat we hier en daar wat meer gaan reguleren wat er met
data gebeurt. Maar als we op dit moment niet eens weten wie welke bestanden aanlegt,
zijn we veel verder van huis. Ik mis heel erg de reflectie waarom is gevraagd. We
zitten in deze werkelijkheid, die gigantisch urgent is. Het is niet iets wat we in
de toekomst beter moeten gaan doen. Het is iets wat we nú moeten aanpakken. Hoe kijkt
de Minister daarnaar en hoe komen we zo snel mogelijk tot een plan van aanpak? We
hebben het eigenlijk – dat gaf de Minister net zelf ook al aan – over állerlei taken:
zorgtaken, taken van de Belastingdienst, noem maar op. Hoe gaan we dat nou aanpakken?
Dat kunnen we niet met een beetje meer hier en een beetje meer daar. Het gaat wel
degelijk over investeren.

Minister Dekker:

Zeker gaat het over investeren en ook over meer dan dat. Ik noemde zojuist al de hele
trits op. Ik ben het alleen niet eens met het beeld van mevrouw Kathmann dat we niet
eens weten welke bestanden we aanleggen. Daar hebben we juist, ook in de AVG, hele
goede afspraken over gemaakt, waaraan je moet voldoen. Dat betekent dat je bij het
aanleggen van bestanden aan bepaalde vereisten moet voldoen. Soms moet je daar ook
toestemming voor vragen, en er moet altijd naar worden gekeken door een functionaris
gegevensbescherming et cetera et cetera. Toen we met de AVG begonnen, heb ik als Minister
voor Rechtsbescherming echt een paar keer een soort ronde gemaakt om te kijken hoe
we ervoor staan, of we wel compliant zijn. Vanuit organisaties is er hard gewerkt
om uiteindelijk te komen tot een situatie waarin zij voldoen aan de AVG. Gaat het
dan geheel vlekkeloos? Nee, absoluut niet. We komen nog dagelijks dingen tegen. U
leest een aantal dingen in de krant, maar rekent u er maar op dat als de functionarissen
gegevensbescherming goed hun werk doen, dit dingen zijn waar ze dagelijks tegen aanlopen.
Vervolgens zeggen ze in hun eigen organisatie: hier zijn we nog niet goed genoeg bezig.
Dat is precies de manier waarop we moeten werken.

De voorzitter:

U kunt uw betoog vervolgen.

Minister Dekker:

Voorzitter. Ik wil beginnen met het wetgevend kader van de AVG, want daar zijn veel
vragen over gesteld. Vervolgens maak ik een overstapje naar de Autoriteit Persoonsgegevens
als toezichthouder op die wet.

Voorzitter. Ik zei het al: de AVG is een mijlpaal als het gaat om de bescherming van
persoonsgegevens. Tegelijkertijd was het ook geen oerknal, het was niet zo dat het
toen allemaal begon. Er waren privacyrichtlijnen en de Wet bescherming persoonsgegevens.
Het normkader van de AVG komt daar op heel veel onderdelen nagenoeg mee overeen. Toch
zijn er met de AVG belangrijke stappen verder gezet en is er gezorgd voor een versterking
en uitbreiding van het privacyrecht. De verwerkers van persoonsgegevens hebben meer
verantwoordelijkheden gekregen en er zijn nu ook duidelijke en stevige bevoegdheden
voor alle Europese privacytoezichthouders, waar in het verleden met name het handhavingsstuk
ontbrak.

Op 24 juni 2020 heeft de Europese Commissie een eerste evaluatieverslag van de AVG
gepubliceerd. Ik zie dat Brussel zelf erg tevreden is en ook gezegd heeft in de nabije
toekomst daarom geen wijzigingen te voorzien. Nu ben ik ook tevreden, maar ik had
wel graag gezien dat de Commissie misschien nog iets meer ambitie had getoond. Nederland
heeft zich er sterk voor gemaakt om een aantal punten in te brengen en de AVG in Europees
verband op een aantal onderdelen aan te passen. Maar ik moet ook constateren dat de
Commissie zover nog niet is. Er is natuurlijk het rapport van onze oud-collega Van
Gent, die onder meer concludeert dat de AVG een goede stap is om fundamentele rechten
te beschermen en dat de rechtsonzekerheid met het verstrijken van de tijd naar verwachting
ook af zal nemen, maar dat verdere harmonisatie van de Europese kaders wenselijk is,
onder meer door richtsnoeren van de European Data Protection Board. Ik vind dat die
ook een belangrijke rol vervult; dat was ook een van de vragen. We zien dat met uitspraken,
jurisprudentie maar ook met afspraken tussen AP's in verschillende landen de manier
waarop de AVG moet worden uitgelegd steeds verder geconcretiseerd wordt. Dat is goed
en daarmee zal ook de rechtszekerheid voor burgers en bedrijven toenemen.

Voorzitter. Dan is er de UAVG, de uitvoeringswet, die de ruimte invult die de AVG
biedt. Het is denk ik wel belangrijk om aan te geven dat het niet de Nederlandse vertaling
van de AVG is, want de AVG is een verordening die een directe doorwerking heeft in
onze wet- en regelgeving. Maar het biedt een aantal mogelijkheden voor individuele
lidstaten om keuzes te maken. Die hebben we met de UAVG ingevoerd.

Zou je de AVG nou niet op een heel andere manier kunnen organiseren? Nee, dat gaat
niet en stel dat het wel zou mogen en kunnen, dan zou dat weer inboeten aan de harmonisatie
die we er juist mee proberen te bereiken. Vroeger hadden alle lidstaten hun eigen
privacywetgeving, maar veel bedrijven gingen gewoon over de grenzen heen, waardoor
het voor burgers heel moeilijk was om hun recht te halen. Nu hebben we dat geharmoniseerd.
Het feit dat we met zijn allen in hetzelfde juridische kader werken, heeft als nadeel
dat je, als je het wilt veranderen, via de Brusselse route gaat, wat veel meer overleg
vraagt. Maar het heeft als grote voordeel dat het in al die landen gelijk is. Als
ik een ticket koop in Spanje bij een Spaanse airline en vervolgens allerlei rare e-mails
krijg, dan kan ik bij mijn Nederlandse autoriteit terecht om daarop actie te vragen.

De heer Ellian (VVD):

Toch even op het punt van de rechtszekerheid. Ik hoor de Minister zeggen: op zich
heb je niet zo veel ruimte om de richtlijn anders uit te leggen. Ik denk dat dat klopt,
maar het is wel opmerkelijk dat vanuit bijvoorbeeld VNO-NCW – maar ik heb zelf ook
veel kleinere ondernemers gesproken, bijvoorbeeld in Almere in mijn vorige functie –
heel veel onduidelijkheid wordt ervaren door de betrokkenen. Dat staat toch een beetje
op gespannen voet met wat de Minister nu zegt. De Minister zegt dat de rechtszekerheid
nu zal toenemen, ook als er meer jurisprudentie komt. Maar zo ervaren mensen het nu
niet. Met name ondernemers zijn, zoals ik zei, bij standaardverwerkingen heel erg
zoekend. Neem het personeelsdossier. Wie moet ik daarover nou informeren? Mag deze
medewerker het nu wel overdragen aan iemand anders of niet? Al dat soort zaken. Daarvan
kan je zeggen: het is aan de ondernemers in Nederland zelf om het uit te zoeken. Maar
rechtszekerheid betekent ook dat mensen van tevoren een bepaald beeld kunnen hebben
van wat er van hen verwacht wordt. Ik merk dat de realiteit daar wat verder af staat
van wat u nu schetst. Ik zou daar dus graag een reflectie op wil hebben, vooral omdat
ondernemers de AVG nu als onnodig ingewikkeld ervaren.

Minister Dekker:

Dat begrijp ik ook wel. Het is best ingewikkelde wetgeving. Als je een klein of middelgroot
bedrijf hebt, komt er best veel op je af. Je moet aan die wet voldoen, maar niet iedereen
heeft een juridische afdeling om dat helemaal uit te leggen. Ik zie wel dat er veel
ondersteuning is, ook vanuit de markt. Je kunt dus ook mensen inhuren die je helpen.
Maar ik vind ook dat de AP een belangrijke rol heeft in het goed voorlichten. De AP
is niet alleen maar een instantie die handhaaft en die toezicht houdt, maar zou ook
hierbij een belangrijke rol kunnen vervullen. Dat doet zij ook. De AP heeft bijvoorbeeld
een heel portaal waar bedrijven terechtkunnen voor de meest basale vragen over waar
ze aan moeten voldoen.

De heer Ellian (VVD):

Ik ga een opmerkelijke interruptie toepassen, want ik vermoed dat de Minister zo meteen
verdergaat met de AP. Dan wil ik hem alvast op een spoor zetten dat ik belangrijk
vind. De Minister zegt terecht dat voorlichting belangrijk is. Daarbij is de AP ...
Het eerste woord is ook «autoriteit». De AP zou door mensen gezien moeten worden als
de autoriteit als het gaat om de bescherming van persoonsgegevens. Dan wat die voorlichtende
functie betreft. Ik hoop dat u zo meteen in uw antwoord nader ingaat op wat de autoriteit
meer kan doen. U zegt dat er een portaal is. Ja, maar een veelgehoorde klacht is toch
dat antwoorden lang op zich laten wachten. Als je pech hebt, antwoordt de autoriteit
niet. Als je pech hebt, doe je het fout en dient iemand een klacht in. Dan zit je
opeens in een handhavend traject. Dat draagt allemaal niet bij aan de rechtszekerheid
die u beoogt op dit moment. Ik hoop dat u zo meteen in uw reflectie op de autoriteit
juist op dit punt wilt ingaan. Want je hebt de realiteit van handhaven, maar je hebt
ook de realiteit van duidelijkheid creëren.

Minister Dekker:

Eens. Ik ben het hier volledig mee eens. Ik vind dat daar een rol ligt voor de AP,
maar ik leg het ook een beetje terug. Er ligt natuurlijk ook een belangrijke rol voor
koepelorganisaties. We hebben heel veel nieuwe wetgeving. Op dit moment gaat er bijvoorbeeld
nieuwe wetgeving in rond de eisen die gesteld worden aan verenigingen en stichtingen
over bestuur en toezicht. Ik zie heel veel koepelorganisaties die hun leden informeren
over wat dit betekent en wat er op hen afkomt. Ik denk bijvoorbeeld aan VNO-NCW, MKB-Nederland
en specifieke koepelorganisaties, samen met de AP. Als er specifieke vragen liggen,
bijvoorbeeld wat je kunt doen om goed voor te lichten ... Ik vind dat dit meer moet
zijn dan alleen een telefoonnummer. Daar moet natuurlijk de telefoon worden opgepakt
en je moet er met je vragen terechtkunnen. Maar er moet ook actieve voorlichting zijn.
Als er wat verandert – en er is veel veranderd – moet je weten waaraan je moet voldoen.

Mevrouw Kuik (CDA):

Misschien nog even als vervolg hierop. We voelen volgens mij allemaal dat er onzekerheid
is over hoe je alles precies moet interpreteren. Zou de EDPB, de European Data Protection
Board, niet meer richtsnoeren moeten uitvaardigen om hier meer helderheid over te
creëren?

Minister Dekker:

Ja, voor een deel gebeurt dat, maar ik vind het volgende ook belangrijk. Dit is een
van de argumenten die ik ook vanuit het bedrijfsleven vaak terughoor. Dan wordt er
gezegd: wij mogen in Nederland iets niet van onze AP, terwijl onze collega's in België
en Duitsland het wel mogen en kunnen. Dat vind ik gek. We hebben dat bijvoorbeeld
weleens gehad met corona: mag je bij binnenkomst van een bedrijf de temperatuur meten?
Onze AP had daar een heel stevig standpunt op ingenomen, terwijl op de websites van
de AP's in Duitsland en België heel andere teksten stonden. Dat is natuurlijk toch
gek: zelfde wetgeving, andere uitleg. Er ligt echt een belangrijke opdracht voor de
autoriteiten om daar onderling in dat Europese samenwerkingsverband, waar al die AP's
een afvaardiging in hebben, goede afspraken over te maken. Het idee was harmonisatie,
en niet grotere verschillen.

Mevrouw Kuik (CDA):

Mooi, volgens mij zijn we het daarover eens. De vraag is dan: wanneer zien we dat
terug? En moeten we een signaal geven richting de partij om ervoor te zorgen dat we
daar de volgende keer stappen op zien?

Minister Dekker:

Ik denk niet dat het nodig is om expliciet te vragen of daar ... Ik wil het best volgen.
Ik wil het bijvoorbeeld ook wel meenemen in mijn evaluaties. Ik zie namelijk dat het
steeds meer gebeurt. Een aantal van u vroegen: heeft u de AP dan niet de opdracht
gegeven om dit en dat te doen? Een van de meest essentiële punten van de AVG is de
volstrekt onafhankelijke positie van de toezichthouder. Daar heeft het ook mee te
maken. Ik kan de toezichthouder dus geen opdracht geven. Ook dat is een onderdeel
van onze rechtsstaat. Maar ik zie wel dat het gebeurt. Ik heb natuurlijk ook overleggen
en ik weet zeker dat de AP ook meekijkt met dit commissiedebat. Maar ik hoor ook in
mijn gesprekken dat er echt behoefte is aan verdere Europese afspraken over hoe die
wet uitgelegd moet worden.

Mevrouw Koekkoek (Volt):

Ik wil hier even op doorgaan. We weten natuurlijk ook dat ons Nederlandse AP juist
weleens afwijkt van richtsnoeren van de European Data Protection Board. Dat was in
de zaak van VoetbalTV, die eerder werd genoemd, heel duidelijk. We wisten van tevoren:
bij de European Data Protection Board liggen al bepaalde richtsnoeren. Maar daar heeft
de AP bewust van afgeweken. Dan ligt het niet zozeer bij het overleg tussen de verschillende
AP's in de verschillende lidstaten, maar ook heel erg bij onze inzet vanuit Nederland
richting verdere harmonisatie. Ik begrijp dat er geen opdracht gegeven kan worden
aan een onafhankelijke toezichthouder, maar we kunnen die harmonisatie wel veel bewuster
nastreven. Want ik ben het met u eens dat hét grote voordeel van de AVG is dat je
juist minder verschillen ziet tussen de lidstaten, juist ook in de manier waarop de
AVG wordt toegepast.

Minister Dekker:

Eens. Als er een Europese afspraak wordt gemaakt tussen de AP's, dan is het principe
dat je je daar wel aan moet houden. Anders wordt het een beetje een rommelig geheel.
Mevrouw Koekkoek begint zelf over deze zaak; de heer Ellian vroeg daar ook naar. Ik
ga niet al te veel op de zaak in, omdat die nog onder de rechter is. Ik hoop dat u
dat begrijpt. Ik kan ook niet het pleidooi gaan houden dat de AP in deze zaak houdt.
Ik constateer alleen dat zij in de eerste aanleg in het ongelijk is gesteld door de
rechter. Maar er ligt nog geen definitief oordeel. Laten we die zaak gewoon afwachten.
Laat ik het zo zeggen: wat het onafhankelijke oordeel van de rechter in hoger beroep
ook moge worden, het schept in ieder geval duidelijkheid over hoe de wet moet worden
uitgelegd.

Voorzitter. De heer Azarkan vroeg: moeten die publieke lijsten niet standaard worden
aangemeld? Het is zo ingericht dat het gaat om accountability; dat is ook de term
die wordt gebruikt. De verantwoordelijkheid om de boel op orde te hebben, ligt bij
de organisatie zelf. Daar zijn de toezichthoudende mechanismes op ingericht. Je zou
misschien zelfs kunnen zeggen dat de functionaris gegevensbescherming een soort vooruitgeschoven
post is van de AP: als er iets niet op orde is en de functionaris gegevensbescherming
merkt dat op, of er wordt een klacht ingediend bij de AP, dan moet je je boeken ook
opengooien. De AP moet in dat geval altijd toegang hebben tot wat er is. Dat is een
effectieve manier, misschien wel een effectievere manier dan dat er bij de AP een
hele grote database gaat ontstaan van alle bestanden en gegevensbewerkingsvormen die
daar zijn. Het is een systematiek die ik goed vind en waar ook in de recente evaluatie
van de commissie zelf van wordt gezegd: daar willen we eigenlijk wel aan vasthouden.

Voorzitter. Dan was er een vraag over gemeentes en of die eraan moeten voldoen. Voor
gemeentes geldt hetzelfde als voor de rijksoverheid. Ook die vervullen in mijn ogen
een voorbeeldfunctie. Afgelopen week was er veel discussie over het volgen van burgers.
Recent heeft de AP ook een boete opgelegd aan de gemeente Enschede over weer een andere
zaak. Ik wil eigenlijk herhalen wat mijn collega van Binnenlandse Zaken in het vragenuurtje
heeft gezegd: gemeentes moeten gewoon zo snel mogelijk voldoen aan de AVG. Daar waar
het onder de maat is, moet het snel op peil worden gebracht. De Minister van BZK heeft
ook aangegeven daarover actief in gesprek te gaan met zowel gemeentes als de VNG,
maar ook met mijn collega van Justitie. Je ziet soms namelijk dat je bepaalde verwerkingen
of dingen eigenlijk wel wilt hebben, maar dat een goede wettelijke grondslag daarvoor
ontbreekt. Tot die tijd moet je het dan niet doen, maar dat betekent niet dat je het
in de toekomst niet zou moeten doen als je de wettelijke grondslag goed op orde hebt
gebracht.

De heer Ellian vroeg naar crosssectorale gegevensdeling. Dat gaat om het delen tussen
verschillende branches, verschillende private sectoren en, naar ik begrijp, ook om
publiek-private samenwerking, bijvoorbeeld het delen van informatie over fraude. Het
opstellen van zwarte lijsten van notoire fraudeurs om andere ondernemers te kunnen
waarschuwen is daar een voorbeeld van. Binnen het privacyrecht moet juist het delen
van gegevens met meerdere partijen altijd zorgvuldig worden bezien. Als er sprake
is van crosssectoraal delen, dus over verschillende branches heen, dan dient dit misschien
wel extra zorgvuldig te gebeuren, omdat de gevolgen voor burgers natuurlijk groot
kunnen zijn. Het is een goede dienstverlening, maar het moet wel goed in elkaar zitten.
Er is ook veel discussie geweest – ik geloof dat een aantal anderen die inbreng leverden –
over wat er gebeurt als je op een zwarte lijst staat, terwijl je er niet op hoeft
te staan. Ik begrijp dus wel dat je wat wil doen aan fraude, maar tegelijkertijd moet
dat op een zorgvuldige manier gebeuren. De consequenties voor burgers kunnen namelijk
enorm zijn. Nu bestaat er in de UAVG een mogelijkheid om een vergunning aan te vragen
bij de AP. De AP heeft wel diverse vergunningen afgegeven voor het delen van strafrechtelijke
gegevens binnen een branche. Er loopt nu een aanvraag voor een crosssectorale vergunning.
Ik heb begrepen dat daarover ook regelmatig contact is met de AP. Ik wil die vergunningverlening
graag afwachten.

De heer Ellian (VVD):

Dank voor dit antwoord. Waar ik even naar zoek, is de appreciatie van de Minister
als het gaat om die crosssectorale gegevensdeling. Die mis ik een beetje. Dat is voor
mijn beoordeling in ieder geval wel relevant. U geeft de nodige voorbehouden, maar
bent u het met me eens dat crosssectorale gegevensdeling, als dat zorgvuldig en met
de nodige waarborgen iets meer zou worden toegestaan, in ieder geval de bestrijding
en de voorkoming van fraude enorm ten goede kan komen? Met uw welvinden, voorzitter,
een minivoorbeeld: iemand die een auto huurt, betaalt contant en brengt de auto niet
terug. Dan is de autoverhuurder de dupe. Diegene gaat vervolgens naar Vodafone, koopt
een telefoon en betaalt ook niet. Telefoon weg. Ik doe het nu even heel snel, maar
u begrijpt allemaal de casus die ik probeer te schetsen. Het zou toch mooi zijn als
je zo'n voorbeeld kan voorkomen? Ik merk daarbij natuurlijk op – anders wijst de heer
Azarkan daarop, hoewel hij mij niet kan interrumperen – dat je moet uitkijken met
zwarte lijsten. Laat ik dat benadrukken. We hebben gezien dat dat ook heel erg fout
kan gaan. Maar het delen van gegevens over bepaalde personen waarvan je weet dat het
geen zuivere koffie is, zou de ondernemersbranche enorm kunnen helpen. Wat vindt u
daarvan?

Minister Dekker:

Ik ben het met u eens dat dat enorm zou kunnen helpen, maar ik ben niet bereid om
te zeggen: dan nemen we maar even een loopje met de wet of dan gaan we de wet maar
even wat soepeler toepassen. Dus ja, het kan helpen, maar het moet wel aan bepaalde
vereisten voldoen. Want overal worden fouten gemaakt. Wij maken fouten en de rijksoverheid
doet dat ook met grote regelmaat. Dan weet u mij altijd te vinden. Dat kan daar natuurlijk
ook gebeuren. Als je werkt met dit soort systemen, dan vind ik dat dat helder moet
zijn, binnen kaders. Wie heeft daar toegang toe, waar kun je je op beroepen als er
een fout wordt gemaakt, hoe ga je er weer vanaf en hoe hard is de informatie die daarop
komt? Dat zijn dingen waarvan ik echt wil dat die goed gecheckt worden voordat je
daarmee gaat beginnen. Dat is onderdeel van zo'n vergunningsproces.

Voorzitter. Tot slot nog twee specifieke vragen over de AVG. De ene vraag, van mevrouw
Kathmann, gaat over softwarepakketten en systemen die niet voldoen aan de AVG en of
je daar niet generiek, Europees, wat aan zou kunnen doen. Dat is een heel complex
verhaal. Daar zijn ook Kamervragen over gesteld. Ik zeg alvast toe dat ik verwacht
dat de antwoorden op zeer korte termijn uitgebreider naar uw Kamer toe komen, zodat
ik meer tekst en uitleg kan geven over wat er wel en niet kan en waar we tegen aanlopen.
Als ik een kleine voorzet kan geven, dan constateren we dat het niet altijd mogelijk
is om aan de hand van de Europese markt te bepalen of software aan de AVG voldoet.
Sommige software kan wel aan de AVG voldoen, maar daar zit het risico in dat de afnemer
het vervolgens niet AVG-compliant toepast. Dat is een ingewikkeld verhaal, maar het
komt erop neer dat de leverancier eerlijk en open moet zijn over hoe gegevens moeten
worden verwerkt. Als hij bijvoorbeeld toestemming vraagt om gegevens verder te verwerken
om een product te verbeteren, dan is dat op zich niet verboden. Het kan wel zo zijn
dat de afnemer dit niet mag toestaan, omdat de AVG verbiedt dat hij zijn klantgegevens
verder laat verwerken. Dat is eigenlijk de interactie die je daar ziet. Dan is het
dus niet zo dat de software op zichzelf niet AVG-proof is. Je kunt dus niet altijd
bepalen of iets wel of niet AVG-proof is, omdat het veel meer zit in de manier waarop
het wordt toegepast. Ik ga daar uitvoeriger op in – u heeft vast een hoop vervolgvragen –
in de beantwoording van de schriftelijke vragen die zijn gesteld. Mocht er nog een
vervolg nodig zijn, dan kom ik daar graag op terug.

Mevrouw Kathmann (PvdA):

Ik hoop in de basis dat u in de uitvoerige beantwoording het volgende meeneemt. Twee
zaken zijn belangrijk. Een. We geven bakken met publiek geld uit om samen met een
grote softwareontwikkelaar à la Microsoft AVG-proof pakketten te ontwikkelen. Dat
doen wij als overheid. Vervolgens hebben we zo'n pakket ontwikkeld, hebben we ongelofelijk
veel belastinggeld uitgegeven en dan mogen we van die grote softwaregigant zo'n pakketje
niet geven aan een ziekenhuis of een andere semioverheidsinstelling omdat wij niet
het eigenaarschap hebben, terwijl wij er wel heel veel belastinggeld tegenaan hebben
gegooid. Ik zou heel graag zien dat in de beantwoording wordt meegenomen hoe we dit
kunnen stoppen. Dat zullen we waarschijnlijk op Europees niveau moeten doen. Wij als
Nederland of als Nederlandse overheid moeten de baas zijn van dat softwarepakket en
niet langer die grote ontwikkelaar, want dat is van de gekke.

Het tweede is dat bedrijven hetzelfde probleem hebben als de overheid. Zij hebben
niet genoeg slagkracht en ook niet genoeg geld om continu AVG-proof te blijven ontwikkelen.
Er is nu ook een markt ontstaan – men weet dit gewoon – voor bedrijven om dit voor
elkaar te krijgen. De vraag gaat in de basis over: zorg er nou voor dat er überhaupt
geen softwarepakketten meer op de markt mogen komen die niet AVG-proof zijn.

Minister Dekker:

Dat laatste ligt ingewikkelder, want het gaat er niet om dat een softwarepakket AVG-proof
is of niet. Het gaat er ook om hoe je dat vervolgens toepast. Ik zal er nader op ingaan
in mijn beantwoording, net als op de ontwikkeling in Nederland en wat dat betekent
voor bijvoorbeeld het eigendom van pakketten. Daar zijn heel veel varianten in. Vaak
ontwikkelen wij iets mede op het platform van een ander en dat betekent niet onmiddellijk
dat dan ook het platform van jou is. Maar ik zal het meenemen in de beantwoording
van de schriftelijke vragen.

Voorzitter. Voordat ik het overstapje maak naar de AP, beantwoord ik nog de vraag
van de heer Van Nispen over de relatie tussen de AVG en het bestuursrecht. Binnen
de AVG, de UAVG en de Awb is er een systeem van rechtsbescherming opgenomen. Er kan
een klacht worden ingediend bij de AP. De mogelijkheid in de AVG voor de uitoefening
van rechten van betrokkenen kan ook worden uitgeoefend. Ook is er nog de civiele rechter
als restrechter. U vraagt naar het zelfstandig verantwoording afleggen door het bestuursorgaan.
Dat gebeurt met enige regelmaat. Er is de meldplicht bij datalekken. Bijvoorbeeld
de Belastingdienst heeft onlangs betrokkenen op de hoogte gesteld van het feit dat
ze op een lijst voorkwamen. Ik begrijp dat u zegt dat er recent een aantal wetenschappelijke
artikelen zijn verschenen waarin ervoor wordt gepleit om die twee meer met elkaar
te integreren. Ik ben bereid om daar serieus naar te kijken en daar schriftelijk op
terug te komen.

Voorzitter. Dan wilde ik het stapje maken naar de AP. Er ligt een vraag van mevrouw
Kuik die daar een mooi bruggetje voor biedt. Een van de vragen was ...

De voorzitter:

Excuus, Minister, dat ik u even onderbreek. Er is nog een interruptie van mevrouw
Koekkoek. Ik moet wel opmerken dat het uw laatste vraag is. Bedenk goed wat u met
uw laatste vraag doet.

Mevrouw Koekkoek (Volt):

Dank voor de waarschuwing. Ik wil het inderdaad nu vragen, omdat we nu naar de AP
toe gaan. Ik had nog een vraag gesteld over de UAVG. Dat hoort dus eigenlijk bij het
vorige onderwerp nog. Zijn er voldoende handvatten om rechtszekerheid te bieden in
sectorspecifieke gevallen? Ik noemde daarbij het voorbeeld van notarissen of accountants,
maar ook bijvoorbeeld curatoren. Het is nu niet voldoende duidelijk wat de rechten
en plichten zijn, dus met name de plichten van de sector en de rechten van de mensen
die met deze beroepen te maken krijgen. Ik begreep eerder van u dat er voorstellen
zijn gedaan door Nederland voor aanpassingen aan de AVG en dat dit wat vertraagd is
in Brussel. Maar de UAVG ligt natuurlijk in Nederland. Daar zouden we flexibeler mee
om kunnen gaan. Zijn er voldoende handvatten om een sectorspecifieke aanpak te creëren?
Wat ligt er nu aan voorstellen? Die vraag heb ik eerder gesteld in mijn eerste termijn.

Minister Dekker:

Ik doe even de hulplijn. Dan kom ik er in de tweede termijn uitvoeriger op terug.
Maar de UAVG is niet een vehikel waarmee we de AVG even kunnen verbouwen. De AVG is
de AVG. Die is generiek, voor alle sectoren. De UAVG biedt een zeer beperkte mogelijkheid
om een aantal specifiekere keuzes te maken, bijvoorbeeld over leeftijdsvereisten.
Dat zijn relatief kleine zaken. Ik vermoed dat de mogelijkheid om sectorspecifiek
wat te doen beperkt is, maar ik ga dat na en dan kom ik daar in tweede termijn op
terug.

Dan kom ik bij de brugvraag van mevrouw Kuik. Zij zei dat we te maken hebben met verschillende
AP's in verschillende lidstaten en vroeg of het niet beter zou zijn om één centrale
autoriteit te krijgen. Zij haalde aan dat in Ierland bijvoorbeeld veel techbedrijven
zitten vanwege het belastingklimaat. Dan dreigt Ierland door de hoeven te zakken,
want dat krijgt dan heel veel van die zaken, terwijl je dat onder een soort Europese
waakhond zou kunnen brengen. Er is bij het maken van de AVG bewust voor deze constructie
gekozen. Aan de ene kant begrijp ik dat wel. Misschien was men huiverig om weer een
enorm grote Europese autoriteit, een soort bureaucratie op te richten. Maar ook omdat
je een laagdrempelige voorziening wilt hebben in de verschillende lidstaten waar mensen
naartoe kunnen. Ik denk dat de drempel voor Nederlanders naar Brussel iets kleiner
is dan voor mensen uit veel andere lidstaten, maar het is toch fijn dat je hier op
de Bezuidenhoutseweg terechtkunt bij je eigen AP, waar mensen je eigen taal spreken.
Daarom is het belangrijk om die te hebben. Wat doe je dan om het probleem van mevrouw
Kuik te ondervangen? De AP's stemmen onderling af hoe ze de regels uitleggen, maar
ze kunnen elkaar ook bijstaan in het doen van onderzoek. Dus het kan zo zijn dat Nederland
helpt bij een onderzoek van een klacht in Ierland of tegen een in Ierland gevestigd
bedrijf. Of als de Ierse autoriteit zegt dat ze meer nodig hebben en of het overgenomen
kan worden door een andere AP, dan bestaat die mogelijkheid.

Mevrouw Kuik (CDA):

Misschien nog even mijn punt iets verder aanscherpen. Ik denk dat de AP zich ook een
hoedje schrikt als het zo wordt uitgelegd dat er dan alleen een grote overkoepelende
toezichthouder is. Ik snap helemaal dat wij hier ook die AP hebben. Alleen, ik vraag
meer of het niet van belang zou zijn om een overkoepelende toezichthouder toezicht
te laten houden op zulke grote techbedrijven. Die vervangt dus niet de AP hier. Hoe
kijkt de Minister naar een sterkere rol voor een overkoepelende toezichthouder?

Minister Dekker:

Ik ben wat aarzelend, omdat je dan weer toezicht op toezicht krijgt. Dan krijg je
de nationale toezichthouders en apart weer een Europese toezichthouder. Wat dat betreft
vind ik het ook wel slim gevonden. Je moet eigenlijk kiezen. Of je doet één grote
Europese toezichthouder die het voor de hele Europese Unie doet. Of je kiest voor
een meer gedecentraliseerd stelsel, waarbij iedereen zijn eigen toezichthouder heeft,
maar waarbij je hele goede afspraken maakt over hoe je het werk verdeelt en hoe je
ervoor zorgt dat de uitleg van de AVG eenduidig is om zo veel mogelijk rechtszekerheid
en harmonisatie te bieden in Europa.

Dat is de reden – dan kom ik bij de AP – waarom wij een eigen AP hebben. Wij moeten
instanties hebben die toezicht kunnen uitvoeren op de AVG. Daar hebben we de AP voor.
De organisatie van de AP is met de komst van de AVG behoorlijk gegroeid. Het kabinet
heeft in de afgelopen jaren aanzienlijk geïnvesteerd in de AP. Het aantal fte is in
vier jaar gestegen van ruim 70 naar ruim 180. Het structurele budget is in diezelfde
tijd van bijna 8 miljoen naar bijna 19 miljoen gestegen. Als we het vergelijken met
de AP's in andere Europese landen, dan is de Nederlandse AP een van de best gefinancierde.

Eind november stuurde ik uw Kamer het afgeronde budgetonderzoek van KPMG toe, over
die AP. Dat onderzoek laat zien dat de organisatie van de AP echt wel een organisatie
is die nog steeds in opbouw verkeert. Ik had de afspraak gemaakt met de AP om te kijken
wat er echt nodig was, maar eerlijk gezegd komt er geen eenduidig antwoord op de vraag
wat er nodig is voor de taken en de financiële middelen van de AP, en om die goed
met elkaar in evenwicht te brengen. Wel biedt het rapport een aantal belangrijke aanbevelingen,
bijvoorbeeld over het versterken van de datapositie en de bedrijfsvoering. Denk hierbij
aan risicoanalyses en effectmetingen, maar ook aan een goede tijdregistratie, zodat
je op basis van wat het werkelijk kost om iets op een goede manier te doen ... Dat
is natuurlijk ook een proces dat je nog verder kunt optimaliseren, bijvoorbeeld door
een goede prioriteitstelling en door efficiency. Dat mogen we ook van onze uitvoeringsorganisaties
vragen. Dan kunnen we een beter beeld krijgen, om uiteindelijk driver-based, op basis
van datgene wat er concreet gebeurt, meer uitspraken en meer gefundeerde uitspraken
te doen over wat er nodig is. Ik herken dat beeld van KPMG wel. Ik vind het eerlijk
gezegd ook niet zo gek dat een organisatie die in zo'n korte tijd zo'n enorme groei
heeft doorgemaakt, nog een aantal punten heeft waaraan het moet werken.

Wij nemen de aanbevelingen van het rapport over. Daarmee wil ik ook stabiliteit creëren
bij de AP. Dat vraagt ook wat extra's. Daarvoor heb ik in 2020 een bedrag van bijna
5 miljoen extra ter beschikking gesteld, waarmee de AP incidentele problematiek kan
oplossen en ook een investering kan doen in haar bedrijfsvoering. Het is verder van
belang dat de AP de taken die zij nu uitvoert, kan blijven voortzetten. Ik heb daarom
met de AP de afspraak gemaakt dat we dit jaar de huidige afspraak over 184 fte in
stand houden. Ook dat geeft rust in de organisatie. Er zijn verschillende moties ingediend
die zeggen: misschien zou de AP verder moeten doorgroeien. Daarvan hebben we gezegd:
we sluiten dat als kabinet helemaal niet uit, maar we zitten nu natuurlijk wel in
de overgang van het ene naar het andere kabinet. Ook een nieuw kabinet zal daarin
weer allerlei keuzes moeten maken. Ik weet dat er meerdere moties in uw Kamer liggen
die zeggen: hier moet extra geld naartoe en daar moet extra geld naartoe. Dan is het
ook fair om te zeggen: binnen de beschikbaarheid aan middelen is het aan een nieuw
kabinet om daar een finale knoop over door te hakken.

De heer Azarkan (DENK):

Als het gaat om de rol van de Autoriteit Persoonsgegevens, dan zit er toch veel licht
tussen wat de Minister hier vertelt en wat de Autoriteit Persoonsgegevens bij monde
van haar voorzitter, de heer Aleid Wolfsen, hier vertelt. Daar zit echt een heel groot
verschil tussen. We moeten ook niet ontkennen dat er op 9 februari een motie is aangenomen
die gewoon oproept om meer middelen vrij te maken. De afdoening van die motie middels
een brief waarin wordt gezegd dat het om de datapositie gaat, is gewoon niet goed.
Het gaat ook gewoon om de personeelscapaciteit. Als er in de samenleving veel onrust
is omdat er zwarte lijsten zijn en de Autoriteit Persoonsgegevens doet er een jaar,
soms anderhalf jaar, over om dat uit te zoeken, dan kunnen we dat niet accepteren.
Als de voorzitter van de AP hier zegt dat hij zo weinig capaciteit heeft dat hij amper
kan bestaan en het werk maar nauwelijks aankan, dan kan de Minister toch niet zeggen:
weet u, we doen het hartstikke goed en er is veel geld naartoe gegaan, dus ik laat
het over aan de opvolgers? Dat is gewoon niet de strekking van de motie. Er ligt gewoon
een duidelijke motie. Mijn vraag aan de Minister is: gaat hij die nu gewoon uitvoeren
en hier meer middelen voor vrijmaken?

Minister Dekker:

Het antwoord op die vraag heb ik zojuist gegeven. De discussie over een eventuele
toename van middelen voor een volgend jaar doe je altijd bij de begroting. De begroting
wordt gepubliceerd in september. Ik ga ervan uit dat er dan een nieuw kabinet is.
Als dat niet het geval is en wij zouden er bij wijze van spreken nog zitten, dan moeten
we natuurlijk weer kijken hoe we omgaan met de wensen en vragen die er in de Kamer
liggen. Maar we zitten nu midden in een formatie. Ik hoop dat we daar een beetje tempo
achter kunnen zetten.

De vraag bij dit rapport was: kunnen we objectiveren wat er nou precies nodig is voor
de AP? Eigenlijk zegt dat rapport: nee, dat kan op dit moment niet. Vervolgens is
er gewerkt met een aantal scenario's. Maar dat is ook gedaan met heel veel input en
met heel van de wensen van de AP. Ik begrijp natuurlijk ook best dat de voorzitter
van de AP in formatietijd z'n wensen op tafel legt. Dat zie ik ook bij de rechterlijke
macht en in de zorg. Er zijn natuurlijk heel veel instanties die op dit moment zo'n
case maken: we zouden zoveel extra nodig hebben om het goed te doen. De optelsom is
waarschijnlijk dat we daar toch keuzes in moeten maken, of we moeten de belasting
naar 80% brengen. Dat wil ook niemand. Ik wil hiermee zeggen dat ik de bedragen van
de heer Wolfsen, zoals ik ze vanochtend ook weer in de krant zag, niet rechtstreeks
uit dit rapport haal als zijnde: dat is wat er absoluut bij moet. Dat zegt het rapport
gewoon niet. Maar het kan natuurlijk best een wens zijn van de AP om te groeien.

De voorzitter:

Dit roept veel vragen op. Ik zie achtereenvolgens: een vervolgvraag van de heer Azarkan,
dan mevrouw Van Ginneken, dan de heer Ceder en dan mevrouw Kathmann. In die volgorde
heb ik jullie genoteerd.

Eerst de heer Azarkan voor zijn laatste vraag.

De heer Azarkan (DENK):

Ik vind het echt een wat bijzondere opvatting als de Minister zegt: ik begrijp de
wens van de AP om te willen groeien. Dat is niet wat er aan de hand is. We hebben
te maken met een maatschappelijk probleem. Er worden door overheden, maar ook door
bedrijven, data verzameld en verwerkt op een manier die tegen de wet ingaat. Het is
de taak van de AP om dat te constateren, dat goed te analyseren en daar vervolgens
een rapportage over uit te brengen, zodat we dat kunnen verbeteren, aan de voorkant.
Ik vind het te beperkt om te zeggen: we zitten nu eenmaal in een formatie. Het pleidooi
van de Autoriteit Persoonsgegevens kwam veel eerder en had niets te maken met de formatie.
Dat was in een technische briefing naar aanleiding van de toeslagenaffaire. Daar ging
het over. Dat was dus daarvóór. Ik denk dat de Minister zich veel meer verantwoordelijk
moet achten voor het aanpakken van het probleem. Daarvoor is de Autoriteit Persoonsgegevens
een middel. En of hij het nou ziet als een autoriteit die zelf wil groeien of dat
de Kamer dat graag wil, de Minister moet dat probleem gewoon willen aanpakken. Daar
hoort een goede analyse bij. Dan kunnen we niet wegkijken en zeggen: tja, we zitten
nu in een formatie. Volgens mij wordt er al aan de begroting gewerkt. De Minister
zegt: ik ga ervan uit dat er in september een kabinet zit. Nou, dat weet ik helemaal
niet. Bovendien moet er volgend jaar ook weer een begroting zijn. Ook daarbij vraagt
de Autoriteit Persoonsgegevens om een fatsoenlijk budget. Gaat de Minister dat organiseren?

Minister Dekker:

Als wij een begroting moeten maken, dan gaan we natuurlijk die begroting maken. Dan
kijken we ook naar zoiets als de AP. Dan kijken we ook naar de wensen die er leven
in de Kamer. Dat is volgens mij een toezegging in de richting van de heer Azarkan.

Mijn enige punt is dat ik soms nog weleens een discussie heb met de AP over wat nou
een toereikend budget is. Daar hebben we onderzoek naar willen doen. Dat onderzoek
zegt eigenlijk: de bedrijfsvoering en de informatie binnen de AP is onvoldoende om
daar goede, harde uitspraken over te doen. Dan staat het de autoriteit natuurlijk
volledig vrij om toch te zeggen: ondanks dat we het niet hard kunnen onderbouwen,
vinden wij wel dat er zoveel bij moet. Daar neem ik dan kennis van. Ik voer gewoon
ieder jaar weer een goed gesprek met de AP over de stappen die moeten worden gezet
om de wettelijke taken op een goede manier uit te voeren. Daarbij constateer ik ook
dat er in mijn termijn, onder mijn verantwoordelijkheid, ieder jaar extra geld naar
de AP toe is gegaan, dat de organisatie gegroeid is van 70 naar bijna 180 mensen,
dat het budget bijna verdriedubbeld is en dat we daarmee een van de best gefinancierde
AP's in Europa hebben. Nogmaals, daarmee zeg ik niet naar de toekomst toe: daarom
is het zoals het blijft en genoeg is genoeg. Dat zeg ik ook maar even ter relativering
over het feit dat we als Nederland niet voorop zouden lopen in het goed uitrusten
van onze instanties. Zijn er dan geen problemen, ook als het gaat om de capaciteit?
Ja, natuurlijk wel. Ik zie ook dat sommige dingen lang duren en dat bepaalde klachten
lang blijven liggen. Maar dan zeg ik erbij: net als iedere andere organisatie moet
je kritisch kijken hoe je klachten behandelt. Wat doe je intensief? Wat kan sneller?
Welke klachten moet je echt behandelen? Dat schrijft de wet voor. Dat zijn niet al
die 25.000 klachten. Het is ongeveer een vijfde daarvan. Welke klachten gebruik je
veel meer als signalen? Hoe ga je meer risicogestuurd toezicht houden? Dat vragen
we echt niet alleen aan de AP. Dat is een hele logische vraag die we ook aan onze
politie stellen. Ook de politie krijgt heel veel klachten en tips. U weet net als
ik: ook zij moet keuzes maken.

Mevrouw Van Ginneken (D66):

Ik ontken niet dat deze Minister de afgelopen jaren het budget voor de AP verruimd
heeft. Het is helder dat hij de signalen wel oppikt, alleen naar mijn idee pakt hij
daar onvoldoende op door. Ik hoorde de Minister net zeggen: de status quo handhaven
geeft even rust en dat heeft deze organisatie in ontwikkeling misschien nodig. Dat
denk ik niet. Dat ben ik niet met de Minister eens, want we stellen vast – het is
net ook al door al mijn collega's benadrukt – dat de dienstverlening, de rol die de
autoriteit uit moet voeren erg onder druk staat. Ik kan me dus niet voorstellen dat
er rust in die organisatie is op het moment dat je platgebeld wordt, maar de telefoon
niet kunt opnemen. Ik begrijp ook niet zo goed dat de Minister zegt dat een harde
onderbouwing van hoeveel er dan precies nodig is te veel tijd kost. We hebben het
hier namelijk niet over een onzekerheidsmarge van 0 euro tot 5 miljoen euro die erbij
moet. Denkend in een groeimodel zou de Minister wat mij betreft op basis van de beschikbare
cijfers op dit moment echt al een forse stap kunnen zetten. Ik zou dus willen vragen
aan de Minister of hij dat in de begrotingsvoorbereiding in ieder geval ambitieuzer
zou willen neerzetten dan dat hij nu lijkt te gaan doen.

Nog even voor het perspectief, de Minister maakt een vergelijking tussen de budgetruimte
van de AP en die van de collega's in andere landen. Ik denk dat dat een verkeerde
voorstelling van zaken is, of in ieder geval een eenzijdige. Nederland is binnen Europa
namelijk een van de meest gedigitaliseerde landen, dus dat betekent ook dat er meer
gebruik wordt gemaakt van data en dat de rol van de toezichthouder belangrijker is.
Ik denk dat je de vergelijking zou moeten maken met andere toezichthouders zoals we
die in Nederland hebben. Als je kijkt naar het budget van de AP ten opzichte van ACM,
AFM en de Voedsel- en Warenautoriteit, dan krijgen ze maar een schijntje, terwijl
het aantal organisaties dat ze moet bewaken een veelvoud is van wat andere organisaties
moeten doen.

De voorzitter:

Ik wijs de leden erop dat de interrupties iets korter mogen, want er is ook nog een
tweede termijn. Althans, als we een tweede termijn willen, dan moeten de interrupties
in ieder geval wat korter. Dan kunnen we dit soort beschouwingen daarin kwijt.

Minister Dekker:

Volgens mij heb ik ook geen vraag gehoord. Ik zie het standpunt van D66. Ik ben het
met mevrouw Van Ginneken eens dat je altijd moet kijken hoe je kunt bepalen wat redelijk
is en wat er echt nodig is. Daarbij moeten we ook altijd keuzes maken. Je kunt je
euro maar één keer uitgeven. Iedere euro die we aan de AP uitgeven, kunnen we dus
niet uitgeven aan de zorg, het onderwijs, de politie. Ik vind dat we steeds kritisch
moeten kijken waar we onze middelen inzetten. Dat is niet een argument om dan te zeggen
dat we geen euro extra naar de AP doen. Sterker nog, op mijn voorstel en in mijn gesprekken
richting uw Kamer heb ik ieder jaar meer geld aan de AP gevoteerd. Maar ik heb in
de discussie over nog meer geld ook gevraagd of we dat dan goed kunnen onderbouwen.
Kun je op basis van de uren die worden gemaakt, op basis van je data en je ICT, zoals
we dat bij iedere andere normale overheidsorganisatie vragen, objectiveren wat er
nodig is? Daarvan zegt dit rapport: nee, dat kan niet. Dat heeft ermee te maken dat
de AP een jonge organisatie is, die nog veel van haar bedrijfsprocessen en ICT beter
op orde moet krijgen. Ik vind dat we moeten kijken wat er allemaal op de AP afkomt,
maar ook hoe we ervoor kunnen zorgen dat de AP dat dan beter op orde krijgt. De AP
moet, net als iedere andere overheidsorganisatie, kunnen zorgen dat ze binnen budget
blijft. Daar heeft ze de afgelopen jaren veel moeite mee gehad. Dat is nog wat anders
dan de discussie of er meer geld bij zou moeten in de toekomst. Maar als het parlement
aan de voorkant heeft gezegd «dit is het budget voor die organisatie», ga ik ervan
uit dat ze er aan het einde van het jaar voor zorgt dat ze met dat budget uitkomt.
Dat was ingewikkeld de afgelopen jaren. Dat is wat mij betreft ook een belangrijke
indicator dat er op het gebied van bedrijfsvoering nog veel moet gebeuren.

Mevrouw Van Ginneken (D66):

Excuses dat ik zojuist geen hele concrete vraag aan het einde heb gesteld. Bij deze
dan. Is de Minister bereid om bij de begrotingsvoorbereiding, dan wel bij de overdracht
naar zijn opvolger, meer ambitie te tonen als het gaat om het verruimen van het budget
van de AP in plaats van een pas op de plaats te maken tot precies helder is hoeveel
er nodig is?

Minister Dekker:

Er ligt een heldere uitspraak van de Kamer. Ik heb altijd de ambitie om te kijken
wat er nodig is voor deze organisatie. Ik constateer bijvoorbeeld dat ik binnen de
Justitiebegroting enorm heb moeten schrapen om, boven op datgene wat in de begroting
stond, extra geld naar de AP te laten gaan dit jaar. Ik hoop dat u dat gezien heeft.
Dat betekent dat als we in de komende begroting niks doen, het budget volgend jaar
weer naar beneden gaat. Structureel staat er niet de 24 of 25 miljoen die we er nu
aan betalen, maar een budget van ongeveer 19 of 20 miljoen. Dat probleem staat mij
natuurlijk helder op het netvlies. Ik zie ook dat er een motie ligt van uw Kamer.
Dat begrijp ik allemaal heel goed. Mijn enige punt is dat dit een discussie is die
wij straks bij de totale begroting binnen het kabinet moeten hebben. Daar vind ik
AP belangrijk, daar vind ik politie belangrijk, daar vind ik ondermijning belangrijk,
daar vind ik toegang tot het recht belangrijk, daar vind ik rechtspraak belangrijk,
daar vind ik reclassering belangrijk, daar vind ik IT belangrijk. Ik vind het allemaal
ongelofelijk belangrijk. Ik weet zeker dat u in alle debatten die we de komende weken
gaan voeren allemaal aan mij gaat vragen of ik me wil inzetten om echt serieus te
kijken of daar meer nodig is. En mijn antwoord is: dat ga ik doen.

De heer Ceder (ChristenUnie):

Ik luister aandachtig naar de Minister en ik vind het toch ingewikkeld, omdat er een
motie ligt, niet richting de Minister zelf, maar richting de regering, waarin een
oproep is gedaan aan de regering – daar behoort u toe, maar ook uw collega's – om
de opdracht uit te voeren. U geeft aan: mogelijk is dat niet aan mij. Daar kan ik
in meegaan. We weten niet hoelang het formatieproces duurt. Ik heb dus een hele concrete
vraag. Mocht het zo zijn dat het formatieproces niet voor september is afgerond, bent
u dan, als u dan nog de bewindspersoon bent – ik ga er wel van uit – van plan de motie
gewoon uit te voeren? Kunnen wij daar een concrete toezegging op krijgen?

Minister Dekker:

Er liggen meerdere moties waar de AP in wordt genoemd. Er ligt bijvoorbeeld een recente
motie-Klaver/Ploumen, zeg ik uit mijn hoofd, uit het debat van twee weken terug. Daarin
wordt de AP ook genoemd, overigens in een hele lange lijst van organisaties waar we
meer aan zouden moeten doen. Daar gaan we als kabinet serieus naar kijken. Als het
gaat om de andere motie die er ligt over meer geld naar de AP, hebben wij gezegd:
dat is nu even niet aan ons; dat is aan een komend kabinet. Als wij als kabinet straks
de begroting zouden moeten maken, dan mag u mij bij het uitkomen van die begroting
natuurlijk weer herinneren aan alles wat u mij en dit kabinet heeft opgedragen. Maar
ik kan aan de voorkant geen garanties geven.

Ik geef een aantal overwegingen aan u mee. Het kan best zo zijn dat dit kabinet, als
het er nog zit, van de komende begroting – volgens mij is dat een suggestie geweest
van uw eigen partijleider – een hele beleidsarme begroting zou moeten maken. Met andere
woorden, dat zou een begroting worden met weinig intensiveringen om die keuzes dan
uiteindelijk te laten aan een kabinet dat dan wellicht enkele maanden na de begroting
alsnog met een nieuwe begroting komt. Dan zal het regeerakkoord waarschijnlijk een
financiële tabel voor de jaren daarna bevatten. De eerlijke boodschap zal zijn dat
wij, met alle moties die er liggen over meer geld daarnaartoe, meer geld daarnaartoe,
meer geld daarnaartoe, die opdracht toch naar een volgend kabinet doorschuiven. Het
kan ook anders zijn. Misschien doen we het ook wel in een informeel overleg met de
dan formerende partijen, want die zullen voor een deel in het kabinet zitten en voor
een deel in de oppositie, maar wel constructief meedenken. Dan komt misschien de vraag
van de Kamer: maak toch een wat beleidsrijkere begroting, want wij zien dat er een
aantal hele knellende punten zijn, zoals corona, maar ook een aantal andere punten.
In dat samenspel heb ik heel helder in het vizier welke verzoeken van uw Kamer er
liggen. Ik ga niet op voorhand garanties geven dat dit ook goed geregeld wordt in
dat scenario. Ik ben altijd bereid om daar achteraf verantwoording over af te leggen.

Mevrouw Kathmann (PvdA):

Ik wil op voorhand wel even zeggen dat ik de Minister inderdaad wel wil prijzen dat
het steeds gelukt is om het bedrag op te hogen. De Minister zegt terecht dat hij zich
daarvoor ingespannen heeft. Maar toch, ik wil het wel even wat makkelijker maken dan
hoe moeilijk het nu wordt voorgesteld. A. In een door de overheid gevraagd rapport
zijn er wel degelijk heel duidelijk bedragen genoemd. Daarin stond niet wat de AP
precies nodig heeft, nu en in de toekomst, maar wel de ultieme ondergrens om überhaupt
te kunnen functioneren zoals gevraagd. Aan die ultieme ondergrens is een bedrag gekoppeld.
Wat wij nu voor de AP uittrekken, is minder dan de helft van dat bedrag. Nou, daar
hebben we al een bedrag! En dan vraagt een motie van de Kamer om iets te doen en om
ervoor te zorgen dat in ieder geval al de maatschappelijke problemen die de heer Azarkan
net ook weer benoemde, worden opgelost. Want de AP is niet een doel op zich. Het gaat
om de maatschappelijke problemen die er nu zijn. Die moeten we oplossen. We hebben
een ultieme ondergrens van volgens mij 49 komma zoveel miljoen nodig zodat de AP in
ieder geval haar taken kan uitvoeren. Nou, daar hebben we al een uitvoeringsmotie
gekoppeld aan een bedrag! En dan zegt de regering steeds: ja, maar er zijn zo veel
vragen voor zo veel potjes. Maar op dit terrein is er één koepel en dat is de AP.
Die doet haar werk op al die andere terreinen die genoemd worden. Iedereen vindt de
AP nu even het belangrijkst, omdat dat de koepel is. Wil de AP überhaupt aan de wettelijke
kunnen voldoen, dan staat daar een ultiem minimumbedrag voor. Er ligt ook een motie
om dat uit te voeren. Volgens mij hebben we dan toch één plus één is drie? We moeten
het toch niet zo ingewikkeld maken?

De voorzitter:

Minister, is één plus één drie?

Minister Dekker:

Ik herinner mij dit van de rekentoets. Die discussie ga ik niet opnieuw doen, want
uiteindelijk is die een zachte dood gestorven.

Ik maak een paar opmerkingen richting mevrouw Kathmann. Dat rapport is een prima rapport,
maar het geeft ook klip-en-klaar aan dat heldere antwoorden geven over wat er exact
nodig is op basis van de huidige bedrijfsvoering van de AP, niet mogelijk is. Het
is niet een kwestie van met één bedrag komen. Het kan ook met bandbreedtes zijn. De
onderzoekers van KPMG geven aan dat de bedrijfsinformatie eigenlijk te zacht en te
diffuus is om daar heldere uitspraken over te doen. Maar dat vind ik wel belangrijk,
want je moet toch ook een beetje vaste grond onder de voeten hebben. Vervolgens is
er met een aantal scenario's gewerkt. Daar zijn bedragen aan geplakt. Dat zie ik ook.
Er zit een soort trap van scenario's: als je dit zou doen en deze aannames zou doen,
dan kom je daar-, daar- en daarop. Dat zie ik ook wel. Dat is iets voor het komende
kabinet om rekening mee te houden.

Wat ik eigenlijk het allerliefst heb, is wat hardere informatie, ook vanuit de AP,
over wat er nou precies nodig is. Dan kunnen we ook kijken wat het nou gemiddeld kost
om een klacht af te handelen; gewoon kostprijsberekeningen. Het klinkt een beetje
economisch. Er wordt weleens tegen me gezegd: je bent te veel een boekhouder. Nou
ja, maar we willen toch ook gewoon dat onze belastingcenten op een doelmatige manier
worden uitgegeven? Ik kan heel goed verantwoorden dat er meer geld moet naar de AP
als ik dat ook goed kan onderbouwen. Daar zie ik echt nog wel een probleem. Ik moet
dus aan de slag en in gesprek met de AP, ook over dit soort kwesties. Daarbij neem
ik uw moties mee. Het zal dan aan mij zijn of aan een nieuw kabinet om daar ook een
knoop over door te hakken. Ik zeg dit even ter nuancering van uw uitspraak dat het
KPMG-rapport een harde ondergrens geeft, want dat doet het niet.

De voorzitter:

De Minister vervolgt zijn betoog.

Minister Dekker:

Ik denk dat we al heel veel vragen over het budget van de AP hebben gehad en beantwoord.
Ik ga misschien nog even in op een paar kleine vragen die meer gaan over het inhoudelijke
werk van de AP en over de proportionaliteit. De heer Ellian vraagt of de keuzes van
de AP over waar ze onderzoek naar doet en welke instrumenten ze daarvoor inzet, wel
proportioneel genoeg zijn. Ik vind dat dat proportioneel moet zijn. Dat zal de AP
overigens ook zelf vinden, want uiteindelijk toetst de rechter ook of iets proportioneel
is. Het meest in het oog springen de boetes met vijf nullen erachter. De AP doet heel
veel werk om organisaties ook op een zachtere manier te wijzen op hun verantwoordelijkheid.
Er zit een soort getraptheid in. Er vinden gesprekken plaats en er worden aanwijzingen
gegeven. Het is vaak gericht op herstel, zoals de last onder dwangsom, waarbij gezegd
wordt: je moet dat nu echt binnen zoveel tijd hersteld hebben; anders krijg je een
boete. Maar waar een inbreuk is geweest, bestaat de mogelijkheid om een boete op te
leggen, ook om normerend te kunnen optreden. Dan laat ik me even niet uit over de
specifieke individuele casussen die nog onder de rechter zijn, waar de heer Ellian
naar vroeg.

De heer Ellian (VVD):

Ik heb nog één interruptie, geloof ik. Dat had ik goed voorzien. Dank voor het antwoord,
zeg ik tegen de Minister. Ik snap dat u niet op die individuele zaken kan ingaan;
dat zou ook raar zijn in het licht van de scheiding der machten. Ik sla aan op wat
u zegt, namelijk: bij de last onder dwangsom is het voortraject van belang. Als het
gaat om rechtszekerheid kunnen wij hier met elkaar natuurlijk een bijdrage leveren
aan het creëren daarvan. U zegt dat de AP proportioneel moet handelen. Ik wijs op
de brief die mijn collega's en ik hebben gekregen van de tennisbond, maar ook op het
punt van VoetbalTV. Beide stellen: bij ons is nooit een voornemen tot boeteoplegging
geuit. Ze zeggen: we hebben gesprekken gehad, maar we werden elke keer verrast door
de handelwijze van de AP. Ik zeg het u maar. Ik ben niet helemaal in de processtukken
gedoken, maar ik vertrouw op de informatie die tot mij is gekomen. Ook uit het vonnis
van de rechter blijkt een en ander. Ik vind de gang van zaken niet helemaal zuiver.
Ik weet dat u hier niet kunt zeggen dat u iets anders verwacht van de AP, maar ik
vind het volgende wel in het belang van de rechtszekerheid. Mevrouw Koekkoek vroeg
daar ook naar. VoetbalTV is wel ter ziele gegaan. Als zij straks in appel gelijk krijgen,
hebben ze daar helemaal niets meer aan. De tennisbond is een beetje van ons allemaal.
Als die de boete moet betalen, heeft dat consequenties. Ik besef dat mijn interruptie
veel te lang is, meneer Van Nispen; vergeeft u mij als nieuw Kamerlid. Ik wil graag
duidelijk van de Minister horen dat als het gaat om de proportionaliteit bijvoorbeeld
de last onder dwangsom en een normoverdragende brief tot de mogelijkheden behoren
en dat u verwacht van de AP dat die middelen eerst ingezet worden voordat de getallen
met vijf nullen ons om de oren vliegen. Excuus voor de lange interruptie.

De voorzitter:

Oké. De Minister.

Minister Dekker:

Wat betreft het eerste: ja, die staan allemaal tot haar beschikking. Ik vind dat de
AP daar gebruik van moet maken. Ik constateer ook echt wel dat ze dat doet. Twee.
Is er dan altijd een dwingende volgordelijkheid der dingen, dus dat je pas een boete
zou mogen opleggen als je al die andere minder zware trapjes hebt doorlopen? Ik denk
dat dit niet het geval is. Dat gebeurt niet alleen in de casus die u aanhaalt, maar
ik denk ook bijvoorbeeld aan een casus waarbij het medisch dossier van een bekende
Hagenaar werd ingekeken door een ziekenhuis en waarin een flinke boete is uitgedeeld
aan het desbetreffende ziekenhuis omdat er gezegd werd: dit is een flagrante schending
van de privacyrechten. En waarom? Als dat is gebeurd, valt er ook weinig meer te repareren.
Ook is het belangrijk dat een AP af en toe een hele duidelijke norm stelt. Hoe loopt
dit dan in deze specifieke zaken? Dat weet ik niet. Ik ben echt voorzichtig om daar
uitspraken over te doen, omdat ik zomaar vermoed dat ook een rechter daar wat van
gaat vinden en daar een uitspraak over zal doen. Als de AP dan zo'n zaak verliest,
zou ik dat wel enorm pijnlijk vinden, maar ik sluit niet uit dat er wel weer vervolgstappen
zullen plaatsvinden. Mensen hebben wellicht schade geleden als gevolg van overheidshandelen.
Maar goed, ook dat is een juridisch proces. Ik wil daar allemaal niet in treden. Ik
ga ervan uit dat de AP haar zaakjes goed op orde heeft en goed weet waar zij mee bezig
is. Laten we kijken wat uiteindelijk de uitkomst is van de zaken waar de heer Ellian
net aan refereerde.

De voorzitter:

Ik kijk even naar de Minister en werp een blik op de klok, want ik denk dat we nog
een tweede termijn willen. Hoeveel vragen heeft hij nog te beantwoorden?

Minister Dekker:

Ik ga snel door een paar vragen heen. In de categorie overig valt de vraag van de
heer Ellian over een laagdrempelige voorziening in het kader van horizontale privacy.
Daar heb ik onderzoek naar laten doen. Ik heb ook aangegeven dat er een aantal stappen
kunnen worden doorlopen om daartoe te komen. Dat vraagt Europeesrechtelijk het een
en ander, want het is natuurlijk heel fijn als we het als Europese landen erover eens
zijn wat voor soort content verwijderd zou moeten worden als er sprake is van strafbare
en onrechtmatige content. Samen met de AP kijken we wat de beste manier is om te beoordelen
of content al dan niet rechtmatig is, zodat de civiele rechter ook meer houvast krijgt
wanneer die een uitspraak kan doen. Ten slotte kan dit alles ook aan de andere kant
worden afgesloten met een campagne waarin we mensen vertellen wat online hun rechten
zijn. Het gaat niet alleen over de vraag of je formeel het recht hebt om dat te laten
verwijderen, maar ook om wanneer je in je recht staat en hoe je je recht uiteindelijk
kunt halen.

De voorzitter:

Mag ik als voorzitter op dit punt vragen of wij hier op enig moment als Kamer meer
over kunnen horen, over de voortgang op dit punt?

Minister Dekker:

Absoluut.

De voorzitter:

Op welke termijn kunnen we dat verwachten?

Minister Dekker:

Daar kom ik in tweede termijn op terug. De geagendeerde brief over horizontale privacy
is al van enige tijd terug. Ik kijk even wanneer de volgende rapportage op de rol
staat.

Dan de vraag van de heer Van Nispen over Burgernet. Dat is weliswaar de portefeuille
van mijn collega, maar ik heb daar toch wat antwoorden op meegekregen. De berichtgeving
van Privacy First schijnt niet juist te zijn. De politie slaat geen gegevens op van
de Burgernetappgebruikers en de politie houdt niet bij waar appgebruikers zich bevinden.
Burgers kunnen anoniem gebruikmaken van de Burgernetapp en moeten vervolgens expliciet
toestemming geven om hun gps-locatie te kunnen gebruiken. In dat geval is de privacy
dus geborgd, omdat daarmee is voldaan aan het toestemmingsbeginsel.

De heer Ceder vroeg naar algoritmen. Om te beginnen sprak hij de wens uit voor een
Minister voor digitalisering. Algoritmen gaan weer verder dan alleen maar persoonsgegevens,
maar raken natuurlijk aan dat grote dossier van de digitalisering. Misschien een beetje
plagend zou ik in de richting van de heer Ceder willen zeggen, als hij vindt dat er
een Minister van digitalisering moet komen: kom aan tafel bij de formatiebesprekingen
in plaats van aan de zijlijn te blijven staan. Maar dat doe ik een beetje over zijn
hoofd, misschien ook naar de heer Segers. Dat is plagend bedoeld, maar ik vind het
wel interessant dat deze Kamer heeft gezegd: we gaan een aparte commissie doen. Of
dat straks dan met één Minister is of met meerdere bewindspersonen, valt te bezien.

Welke besluiten worden nu genomen over mensen op basis van algoritmen? Dat is heel
uiteenlopend. Dat maakt de hele discussie over algoritmen ook zo ingewikkeld. Dat
gaat van eenvoudige besluiten bij «wanneer kom je in aanmerking voor een uitkering?»
tot hele ingewikkelde algoritmen die bijvoorbeeld gebruikt worden om na te denken
over hoe je ervoor zorgt dat hulpdiensten snel ter plaatse zijn. Maar het gebeurt
bijvoorbeeld ook in de fraudebestrijding. Daar hebben we natuurlijk echt wel gezien
dat daar ook risico's op de loer liggen.

Ik werd uitgedaagd door de heer Ceder en volgens mij ook door mevrouw Kathmann of
mevrouw Koekkoek. Sorry als het iemand anders is geweest; dat is mij even ontschoten.
De vraag was wat we op het punt van die algoritmen nou kunnen doen in het kader van
de Digital Services Act om ook pionier te zijn in Europa en daarin vooruit te lopen.
We zijn daar wel degelijk mee bezig. Ten aanzien van het gebruik van algoritmen zijn
we op dit moment bezig met het maken van bepaalde richtlijnen waarvan wij vinden dat
overheidsorganisaties daaraan moeten voldoen als zij van algoritmen gebruikmaken.
Daarbij gaat het over uitlegbaarheid en transparantie, over hele fundamentele waarden.
Waar wij nu eigenlijk tegen aanlopen, is dat wij op het punt staan dat een aantal
van die dingen wellicht wettelijk kunnen worden vastgelegd, maar dat ook Europa bezig
is met zo'n wetgevingstraject en dat we goed moeten kijken waar we nou verstandig
aan doen. Want je wil burgers, bedrijven en ook overheidsorganisaties niet eerst met
dit regime confronteren en dan weer met dat regime. Hoe die twee samenkomen, is dus
nog best een puzzel, maar wel met het uiteindelijke doel om zeker bij hoogrisicobewerkingen
via algoritmen meer waarborgen te bieden. Wat mij betreft loopt Nederland daar inderdaad
in voorop. In ieder geval in de ideeënvorming bespreek ik regelmatig met mijn collega's
in Europa dat er op dat vlak meer nodig is.

Voorzitter. Dan de gezichtsherkenning. Daar is inmiddels al een heel streng regime
op. Daaronder valt ook de surveillancetechnologie, zoals gezichtsherkenning, als het
gaat om de biometrische gegevens die verwerkt moeten worden. Gezichtsherkenning in
horizontale verhoudingen, dus tussen burgers, bedrijven en private organisaties, is
in ieder geval heel erg actueel. Verandert er iets? Nee, we blijven op dit punt heel
erg streng. Het verwerken van bijzondere persoonsgegevens blijft in principe verboden.
Ik wil in de UAVG dan ook nog eens duidelijk naar voren brengen dat er door de introductie
van wat «een dubbele noodzakelijkheidstoets» heet, een hoge drempel geldt voor het
gebruikmaken van dit soort gegevens. Die toets zegt dat die gegevensherkenning alleen
gebruikt mag worden voor de authenticatie van beveiligingsdoeleinden. Maar dat is
niet voldoende. Het moet ook voldoen aan een algemeen zwaarwegend belang, zoals de
publieke veiligheid of de volksgezondheid, zodat er geen misverstand over kan bestaan
dat je het bij wijze van spreken voor de beveiliging van een pand van een particulier
niet kunt gebruiken. Maar dat is anders bij bijvoorbeeld de gezichtsherkenning op
vliegvelden, waar je het met al die duizenden reizigers toch wel prettig vindt als
die mogelijk risicovolle persoon of terrorist eruit gevist wordt. Met dat dubbele
vereiste zou je dat onderscheid beter kunnen maken.

Dan de persoonsgegevens van kinderen. Ik vind dat een belangrijk thema, zeg ik tegen
de heer Ceder. De AVG biedt een wettelijke basis op grond waarvan persoonsgegevens
van kinderen tot 16 jaar beschermd worden. In overweging 38 van de AVG wordt nog eens
specifiek aandacht besteed aan kinderen vanuit de overweging dat kinderen zich minder
bewust kunnen zijn van de betrokken risico's, gevolgen en waarborgen, en van hun rechten
in verband met de verwerking van persoonsgegevens. Hieruit is een aantal bepalingen
voortgevloeid die specifiek zijn gericht op de bescherming van kinderen. Je zou kunnen
zeggen dat de AVG daarmee het belang erkent van de rechten van het kind, waarbij ook
een rol voor ouders is vastgelegd.

De voorzitter:

Er is een interruptie van de heer Ceder. En ik kijk nogmaals naar de klok, zeg ik
even voorzichtig.

De heer Ceder (ChristenUnie):

Ik zal het kort houden, voorzitter. Ik ben blij dat het in de AVG staat, maar de praktijk
is wat weerbarstiger. Ik merk dat kinderen toch getarget worden en dat ze heel vaak
ook kunnen aangeven dat ze ouder zijn dan 16 jaar door gewoon een vinkje te zetten,
waarna ze gewoon door kunnen gaan. Ik vroeg me dus af of de Minister op dit moment
vindt dat kinderen voldoende beschermd zijn. Of erkent hij, samen met de ChristenUnie,
dat er meer nodig is? Zo ja, wil hij zijn aanpak daarop dan intensiveren?

Minister Dekker:

Ik constateer dat dat beschermingsniveau hoog is en dat er ook echt extra waarborgen
zijn als het gaat om kinderen. Het gaat niet alleen maar via de AVG, maar er is bijvoorbeeld
ook de Code voor kinderrechten voor de verschillende platforms die de persoonsgegevens
van kinderen verwerken. Tegelijkertijd sta ik er altijd voor open om te kijken waar
het beter kan. Dus misschien mag ik de uitdaging van de heer Ceder zo opvatten dat
hij zegt: ik wil eigenlijk dat de Minister daar eens even goed in duikt en kijkt of
het afdoende is en misschien ook eens even met een aantal instanties praat om te zien
wat er nog meer mogelijk is. De technologie staat natuurlijk ook niet stil. Dat is
het punt. We hebben wetgeving, en wetgeving maken gaat altijd traag en loopt soms
achter de feiten aan. Maar omdat er steeds meer kan – de heer Ceder haalde zelf een
aantal voorbeelden daarvan aan – moeten we ook steeds weer nadenken over wat er nodig
is om weer een volgende stap te zetten. Ik ben bereid om daarnaar te kijken en daarop
in mijn volgende rapportage terug te komen.

Dan ben ik ook door de vragen heen.

De voorzitter:

Dank u wel. Mevrouw Koekkoek, u bent door uw interrupties heen, maar misschien kunt
u het meenemen naar de tweede termijn? Of gaat het om een niet beantwoorde vraag?
Dan geef ik u daar nog even het woord voor.

Mevrouw Koekkoek (Volt):

Er was net even onduidelijkheid over de vraag over de reflectie in het kader van de
Digital Services Act. Mijn vraag ging niet over algoritmes, maar over de overdraagbaarheid
van gegevens. Die valt ook onder de Digital Services Act. Daar was mijn vraag aan
gerelateerd. Waar liggen de verbeterpunten voor Nederland en waarin kan Nederland
gidsland zijn? Het ging dus niet over de algoritmes maar over de gegevensoverdraagbaarheid.

De voorzitter:

Misschien kan de Minister het antwoord op deze vraag meenemen in tweede termijn. Is
dat goed?

Minister Dekker:

Ja, dat wil ik doen, maar misschien is het nog handiger om te verwijzen naar de uitgebreide
kabinetsreactie op de Digital Services Act waarmee wij binnenkort komen. Ook Brussel
vraagt namelijk wat wij daarvan vinden. Ik zal dit punt daarin expliciet meenemen.

De voorzitter:

Dat staat genoteerd. Dan kijk ik naar de leden. Ik denk dat er behoefte is aan een
tweede termijn. Die moet wel heel kort zijn. We zijn met een hoop woordvoerders, dus
we doen één minuut per persoon. Ik geef als eerste het woord aan mevrouw Van Ginneken.

Mevrouw Van Ginneken (D66):

Dank, voorzitter. Ik zal het kort houden. Ik wil twee opmerkingen maken en een vraag
stellen.

Ik wil de Minister even wijzen op de position paper op de website van de Autoriteit
Persoonsgegevens. Daar staan staatjes in over het groeipad ten aanzien van de capaciteit.
Dat zou zomaar eens inspiratie kunnen bieden voor begrotingsbesprekingen.

Daarnaast wil ik de opmerking maken dat ik blij ben dat de Minister in zijn beantwoording
van onze vragen heeft aangetoond dat hij voor zichzelf een rol ziet om dit thema binnen
het kabinet af te stemmen. Ik zou hem daarbij het verzoek willen meegeven om zijn
Staatssecretaris van EZK nog even aan te sporen om een betere oplossing te vinden
voor het afschermen van privéadressen in het Handelsregister. Dat loopt namelijk nog
niet goed, ondanks het voorstel van mevrouw Keijzer.

De voorzitter:

Dank u wel. De heer Azarkan.

De heer Azarkan (DENK):

Dank, voorzitter, en dank aan de Minister voor de beantwoording van de vragen. De
collega's dank ik voor hun scherpe vragen. Ik moet nog zien hoe we dit met elkaar
gaan aanpakken, maar dat geldt altijd. Ik hoor vaak mooie woorden en goede intenties,
maar ik ga ook goed kijken naar de begroting.

Waar we niet over gesproken hebben, is dat bijzondere inlichtingenbureau dat een jaar
of twintig geleden is georganiseerd. Daar zijn Kamervragen over gesteld door collega
Ceder. Daarvan heeft ook de Autoriteit Persoonsgegevens gezegd dat het een soort oceaan
van data is: niemand weet precies wat daar verzameld wordt en met welk doel en of
het ook proportioneel is. Daar hebben we niet over gesproken. Het is mij niet helemaal
duidelijk of daar nog informatie, een brief over komt. Als dat niet zo is, dan zou
ik daar graag om willen vragen en die de volgende keer betrekken bij een debat over
de bescherming van persoonsgegevens.

De voorzitter:

Dank u wel. De heer Ellian.

De heer Ellian (VVD):

Dank u wel, voorzitter. Ook dank voor de beantwoording van de Minister. Als het gaat
om de AP hebben een paar collega's een duit in het zakje gedaan. Daar heeft de Minister
op geantwoord. Ik vertaal het even vrij: ik neem ambitie altijd mee en die ambitie
heb ik. Namens de VVD wil ik graag dat de Minister de constateringen van KPMG meeneemt
dat bijvoorbeeld effectmeting, prioritering en risicoanalyse elementair zijn en nauwelijks
nog plaatsvinden, maar ook bijvoorbeeld dat de automatiseringsgraad laag is en men
nog weinig datagedreven werkt. Ambitie is top, maar neemt u ook wel deze evidente
verbeterpunten voor de AP zelf alstublieft mee.

Dan nog één punt. Ik zou graag een Kamerbrief willen vragen. Als de procedures waar
we het net over hadden voorbij zijn en de Minister rustig heeft kunnen reflecteren
op de gerechtelijke uitspraken, zou ik graag aan de hand van een Kamerbrief in de
commissie nader willen praten over proportionaliteit.

Dat was ’m.

De voorzitter:

Dank u wel. Mevrouw Kathmann.

Mevrouw Kathmann (PvdA):

Dank u, voorzitter. Ik had het al eerder gezegd en dat ga ik nog een keer doen, want
dat vind ik ook echt: het siert de Minister dat hij al een aantal keren geld heeft
opgehaald voor de Autoriteit Persoonsgegevens. Ondertussen weten we dat het niet genoeg
is. We leven op dit moment van incident naar incident. Ik ben er ook bang voor dat
als we dit niet oppakken of in ieder geval die ultieme ondergrens die in het rapport
wordt genoemd, niet gaan uittrekken hiervoor, we elke week bij het mondelinge vragenuurtje
vragen staan te stellen, waar weer handelingen uit gaan volgen die ongelofelijk veel
geld gaan kosten. Er is misschien een makkelijke oplossing. Ik hoop dat de Minister
dit wil meenemen. Collega-Minister Ollongren komt snel bij ons terug naar aanleiding
van de mondelinge vragen over wat er allemaal misgaat bij gemeenten en hoe mensen
gevolgd worden. Daar zou ook deze Minister bij betrokken worden en de Minister van
Veiligheid. Ik zou het een hele fijne oplossing vinden als u met uw collega's om tafel
gaat zitten en zegt: «Mensen, ik heb hier best een goedkope oplossing. We leven niet
meer van incident naar incident. Geef mij die zak geld. Dan ga ik dat zaakje tackelen.»
Ik ben benieuwd hoe de Minister hierin staat.

De voorzitter:

Dank u wel. Mevrouw Koekkoek.

Mevrouw Koekkoek (Volt):

Dank u wel, voorzitter. Allereerst sluit ik me aan bij de oproep van collega Van Ginneken
over de uitvoering van de motie ten aanzien van het KvK-handelsregister en de adressen
die daar zichtbaar zijn.

Er is veel gesproken over de AP en met name over wat er niet mogelijk is, omdat we
nu eenmaal moeten wachten op een nieuw budget. Maar zou het wel mogelijk zijn om in
het kader van het KPMG-rapport en de driver-based oplossing die daarin wordt voorgesteld
duidelijker mee te geven welk waardenkader we ten grondslag leggen aan het takenpakket
van de AP? De AP is natuurlijk toezichthouder, maar geeft ook richtlijnen. Zou het
mogelijk zijn om nog voor het bespreken van een nieuw budget te reflecteren op wat
de AP nu kan? Niet alleen een efficiëntieslag, maar ook door beter te kijken naar
best practices van andere lidstaten en beter aan te sluiten op de European Data Protection
Board. Collega Kuik gaf het ook al aan. Daar liggen wellicht ook nog verbeterslagen
die vanuit een duidelijk waardenkader vanuit de overheid kunnen worden meegegeven.

De voorzitter:

Over collega Kuik gesproken: die heeft nou het woord.

Mevrouw Kuik (CDA):

Dank, voorzitter. Dank ook voor de beantwoording, al interpreteerde de Minister mijn
vraag over toezicht nét even iets anders. Dat heb ik in een interruptie misschien
nog even rechtgezet. Het gaat mij om de wijze waarop er toezicht is in Europa op de
naleving van de AVG. Dus prima dat we hier de AP hebben, maar mijn vraag is dus wel:
kunnen we niet een sterkere rol creëren voor een overkoepelende toezichthouder, zeker
als het gaat om die grote techbedrijven? De Minister gaf aan: het is het een of het
ander. Ik vraag of er niet een tussenvorm mogelijk zou zijn.

De voorzitter:

De heer Ceder.

De heer Ceder (ChristenUnie):

Dank u wel, voorzitter. Ik dank de Minister voor zijn reactie. Nog even een vraag.
Hij zou in gesprek gaan met een aantal organisaties. Dat vind ik mooi. Een van de
organisaties die het punt van kinderrechten en de persoonsgegevens heeft genoemd,
is de Consumentenbond. De vraag is of u expliciet in gesprek zou willen gaan met de
Consumentenbond.

Ik heb nog een aantal ideeën over hoe we de persoonsgegevens beter kunnen borgen,
maar ik zal daar op een later moment op terugkomen.

Dank u wel.

De voorzitter:

Dank u wel. Ik kijk even naar de heer Azarkan met de vraag of hij het voorzitterschap
overneemt en mij het woord geeft.

Voorzitter: Azarkan

De voorzitter:

Ja, ik neem dat over en ik geef u het woord voor uw tweede termijn.

De heer Van Nispen (SP):

Dank u wel. Van mijn kant zijn er nog twee punten. Allereerst ben ik blij met de toezegging
van de Minister om een brief te sturen over gegevensbescherming in het bestuursrecht.
Dat dat hard nodig is, heeft de toeslagenaffaire onderstreept. Ik snap natuurlijk
dat er al gegevensbescherming is, maar het gaat erom dat mensen natuurlijk wel bezwaar
en beroep kunnen aantekenen tegen een besluit, maar dat ze vaak niet weten hoe tot
een besluit is gekomen. Dus het gaat om die voorfase. Mensen kunnen dan zeggen dat
ze inzage in en correctierecht van hun gegevens hebben, maar daar zijn weer zo veel
weigeringsgronden voor dat dat soms illusoir is. Ik wil de Minister een artikel overhandigen
met daarin een pleidooi voor meer gegevensbescherming in het bestuursrecht van Fatma
Çapkurt uit het Nederlands Tijdschrift voor Bestuursrecht. Dat kan helpen bij de brief
die de Minister aan de Kamer heeft toegezegd.

Tot slot wil ik nog iets zeggen over de Autoriteit Persoonsgegevens. Eigenlijk constateer
ik dat er Kamerbreed ongenoegen bestaat over het feit dat de SP-motie uit februari
van het lid Hijink en anderen niet wordt uitgevoerd. De Minister was daar heel concreet
over. Natuurlijk ligt er een veelheid aan taken. En natuurlijk is het zo dat er veel
onderzoeken zijn gedaan. Maar de realiteit is – daar heeft mevrouw Kathmann helemaal
gelijk in – dat alle onderzoeken in dezelfde richting wijzen, namelijk dat de Autoriteit
Persoonsgegevens het nu niet aankan. Zij kan met de middelen die zij heeft, niet alles
doen wat er gedaan moet worden, ook op het gebied van voorlichting, waar de VVD terecht
aandacht voor vraagt. Dat kost ook capaciteit. Dus nogmaals een dringende oproep:
voer alstublieft die motie uit! En dat hoeft niet te wachten tot de begroting. Dat
kan ook gewoon bij de Voorjaarsnota.

De voorzitter:

Dank voor uw bijdrage, meneer Van Nispen. Ik moet wel constateren dat u twee keer
over de tijd heen bent gegaan. Dus voor een volgende keer: hij die zonder zonde is
werpe de eerste steen. Ik zal u eraan houden. Ik geef het voorzitterschap terug.

Voorzitter: Van Nispen

De voorzitter:

Met excuses aan de andere woordvoerders. Ik kijk even naar de Minister of hij meteen
kan antwoorden. Dat kan. Het woord is aan de Minister.

Minister Dekker:

Voorzitter. Dank voor het artikel. Ik neem dat mee en kom daar ook in de brief op
terug. Er is een aantal oproepen om even bij de collega's te rade te gaan. Mevrouw
Van Ginneken en de heer Azarkan hebben gesproken over het bijzondere inlichtingenbureau.
Dat zit volgens mij bij SZW, bij Koolmees. Ik zal in ieder geval aan hen vragen op
welke termijn zij u daarover nader zullen informeren.

De heer Ellian vroeg naar de verbeterpunten voor de AP. Hij somde er een aantal op.
Dat zijn precies de dingen waarvan ook ik vind: dat moet en kan beter. We hebben natuurlijk
niet voor niets afgesproken dat het extra geld voor een aantal verbeterslagen natuurlijk
ook wat moet opleveren. Ik verwacht in de gesprekken die wij daarover voeren met de
AP, dat ze daar echt wel verbeteringen laten zien. Na afloop is het sowieso goed om
te reflecteren op de uitkomsten daarvan. Wat betekent dat eigenlijk voor de uitleg
van de wet en hoe gaan we daarmee verder? Ik heb overigens niet precies in het vizier
hoelang dat duurt. Zeker bij beroepszaken kan dat natuurlijk wel even tijd kosten.

Mevrouw Kathmann noemde een terecht punt. Ik kom samen met mijn collega van Binnenlandse
Zaken terug op dat gemeentepunt. Zij heeft al direct een hele snelle oplossing voor
elkaar, en dat is meer geld. Ik denk dat dat wat eenvoudig is. Ik denk dat er vooral
ook veel moet gebeuren binnen de gemeenten zelf. Het is dus niet een kwestie van:
als je de AP maar sterker maakt, dan voorkom je dit soort dingen in gemeenten. Ik
zou het misschien wel willen omdraaien: misschien moet je meer investeren in gemeenten
om ervoor te zorgen dat die informatiefunctie en gegevensbescherming worden opgetild.
Want daar begint het uiteindelijk. Nu loop ik al vooruit op wat er moet en wat er
kan, maar ik kom daar samen met mijn collega's op terug.

Mevrouw Koekkoek vroeg naar het waardenkader best practices. Als we straks kijken
naar wat er in de komende tijd voor de AP nodig is, dan moeten we ons ook realiseren
dat als we meer willen, dat ook meer geld kost. En als er bepaalde problemen zijn,
moet je kijken wat je extra kunt doen om daarop in te zetten. Ik maak maar even de
vergelijking met de politie. Als we vinden dat er meer moet gebeuren tegen ondermijning,
dan trekt een kabinet extra geld uit voor de bestrijding van ondermijnende criminaliteit
en dan ga je ervan uit dat daarop wordt ingezet met goede afspraken. Ik vermoed dat
als straks een nieuw kabinet zegt, in lijn bijvoorbeeld met de motie die er ligt,
dat er wat meer zou moeten gebeuren in de richting van de AP, er ook gekeken wordt
waar dat dan uiteindelijk naartoe moet. De AP heeft natuurlijk een grote onafhankelijke
positie, maar ik denk dat we in een goed gesprek, ook vanuit die waarden, best een
eind kunnen komen.

Mevrouw Kuik vroeg of er een tussenvorm mogelijk is van de extremen die ik aanduidde.
Ik vind dat nog te voorbarig, maar ik zie wel dat ook de Commissie zelf in de evaluatie
aangeeft dat de European Board nog niet optimaal functioneert en dat we een intensief
gesprek aan moeten gaan over hoe we dat beter laten functioneren. Ik ben nog niet
toe aan een stelselwijziging. Laten we eerst kijken wat er binnen deze kaders kan
om een aantal van die problemen te ondervangen voordat we zeggen dat we naar een tussenvorm
moeten of helemaal moeten overstappen naar een andere vorm. Dit soort dingen leert
vaak dat het even tijd kost om het goed uit te laten trillen en in te laten werken.

De tip over de Consumentenbond neem ik mee. Wellicht hebt u ook nog een aantal andere.
Als u zegt «ga ook nog eens een keer met die praten», weet u me te vinden.

Tot slot had ik mevrouw Koekkoek nog beloofd om terug te komen op een vraag uit de
eerste termijn, namelijk over de sectorspecifieke gevallen. Ik gaf al aan dat de AVG
voor iedereen geldt. Dat punt loopt, maar dat betekent niet dat er helemaal niets
kan gebeuren. In sectorspecifieke wetgeving kan dat vaak wel. Ik ben op dit moment
bezig met het opstellen van een verzamelwet gegevensbescherming. In die wet, eigenlijk
een wijziging van de UAVG maar ook van een aantal sectorwetten, komen verschillende
onderwerpen van uiteenlopende aard aan de orde. In die verzamelwet zijn bijvoorbeeld
voorstellen opgenomen over de mogelijkheden die accountants en curatoren hebben in
de omgang met persoonsgegevens, vooral als het gaat om de bijzondere categorieën van
persoonsgegevens. Er wordt ook voorzien in een wijziging van de Faillissementswet,
waarbij voorstellen worden gedaan over de positie van de curator bij waardevolle gegevensbestanden.
Het voorstel is nog in consultatie, dus we wachten heel erg op de feedback vanuit
de praktijk en dus ook vanuit die sectoren. Tot slot wordt in dat voorstel ook een
aantal voorstellen gedaan over de overdracht van medische gegevens bij faillissementen
in de zorgsector. Dat zijn hele specifieke situaties waarvoor je toch iets moet regelen
om ervoor te zorgen dat bijvoorbeeld patiëntgegevens niet ergens in een zwart gat
verdwijnen.

De voorzitter:

Dank u wel voor deze beantwoording in tweede termijn. Dan rest mij nog het voorlezen
van de toezeggingen die zijn gedaan. Let u allemaal goed op of de griffier en ik het
goed hebben gehoord en genoteerd. Zo niet, dan bestaat de gelegenheid om nog kort
aan te vullen. Dat hoeft niet bij iedere toezegging, want dan redden we het nog steeds
niet.

– In de beantwoording van schriftelijke vragen hierover zal de Minister uitgebreid ingaan
op de mogelijkheden om softwarepakketten AVG-proof te maken in Europees verband. Een
toezegging in de richting van mevrouw Kathmann.

– De Minister zal de mogelijkheden voor meer gegevensbescherming in het bestuursrecht
bekijken en zal daarbij ook schriftelijk reageren op het artikel dat is overhandigd.
Een toezegging in mijn richting.

– De Kamer zal worden geïnformeerd over horizontale privacy en de laagdrempelige voorziening.
Een toezegging in de richting van de heer Ellian. We missen nog een termijn op dat
punt. Hebben wij dat gemist? De Minister zegt «derde kwartaal». Dat staat genoteerd.

– In de volgende rapportage wordt de Kamer geïnformeerd over de mogelijkheden om de
bescherming van persoonsgegevens van kinderen te intensiveren. Een toezegging in de
richting van de heer Ceder.

– In de kabinetsreactie op de Digital Services Act zal ook worden ingegaan op de overdraagbaarheid
van gegevens. Een toezegging in de richting van mevrouw Koekkoek.

Dat waren ze. Heeft iemand iets gemist? Ik zie de heer Ellian.

De heer Ellian (VVD):

Eentje. Een Kamerbrief na afloop van de gerechtelijke procedures.

De voorzitter:

De Minister knikt bevestigend. Daar kan vanzelfsprekend geen termijn aan worden gekoppeld.

Minister Dekker:

Of het een aparte brief wordt of een bredere over de AP, we hebben het genoteerd.

De voorzitter:

Daarmee is ook de heer Ellian akkoord. Ik kijk nog een keer om me heen. Dan sta ik
op het punt deze vergadering te sluiten, maar niet dan nadat ik alle ondersteuning
van harte heb bedankt, de bodes en alle anderen, de griffier, de leden voor hun bijdragen,
de Minister en zijn ambtenaren. Dank u wel allemaal en een fijne dag verder.

Sluiting 12.55 uur.