Begrotingsperikelen bij de Autoriteit Persoonsgegevens: iets over financiering van privacytoezicht en ministeriële verantwoordelijkheid

Lachwekkende achterstanden

‘De achterstanden zijn zo groot dat het lachwekkend is’, zo stelde voorzitter Aleid Wolfsen i onlangs in een kranteninterview over de Autoriteit Persoonsgegevens i (AP).¹ ’s Lands privacytoezichthouder kampt met een groot tekort aan mankracht en budget. Dat heeft forse werkdruk en flinke procesvertragingen tot gevolg. Recent constateerde accountantsbureau KPMG ook dat de AP qua omvang en middelen ‘nog in de kinderschoenen’ staat.² Het is een pijnlijke constatering – zeker als men bedenkt dat de AP, eerst Registratiekamer geheten en later omgedoopt tot College bescherming persoonsgegevens, al sinds de late jaren tachtig actief is en daarna haar werkterrein alsmaar zag uitdijen door de digitalisering van samenleving en overheid alsook door de nieuwe (Europese) privacywetgeving.

Dat de AP ondanks haar goede bedoelingen tekortschiet in de taakvervulling, is op zichzelf geen nieuws. Al jaren klinken kritische geluiden over het suboptimaal functioneren van deze toezichthouder. Zo is de AP in juridische literatuur nogal eens gekenschetst als ‘tandeloze tijger’ en ‘waakhond zonder tanden’, ³ en door onderzoeksjournalisten gekarakteriseerd als ‘toezichthouder die bijna dertig jaar klein en machteloos is gehouden’. ⁴ Momenteel lijkt het bevoegdhedeninstrumentarium niet zozeer het probleem te zijn. De AP beschikt op basis van de Algemene Verordening Gegevensbescherming (AVG) over een tamelijk breed palet aan toezichts- en handhavingsbevoegdheden en kan hoge boetes opleggen. Het zijn nu vooral de beperkte financiële middelen die haar knevelen.

Beperkte financiële armslag

Bij de AP is het sinds de millenniumwisseling, vooral – meer recent – na de inwerkingtreding van de AVG, nogal druk geworden. Kort samengevat komt dat door de opmars van nieuwe technologieën en de daarmee gepaard gaande dataverwerkingen. Tegenwoordig houdt de AP zelfs toezicht op méér organisaties dan welke andere Nederlandse toezichthouder dan ook. Toch heeft de werklastverzwaring zich nooit vertaald in een structurele capaciteitsuitbreiding. Toegegeven: het budget nam enkele jaren geleden toe met € 3,4 miljoen, zodat naleving van de AVG kon worden verzekerd. Maar dit was een druppel op een gloeiende plaat. De AP vroeg aanvankelijk om een stevige kapitaalinjectie, maar kreeg slechts een financieel doekje voor het bloeden. Het resultaat anno 2020: de AP voldoet niet aan haar wettelijke taken. De toezichthouder loopt al geruime tijd achter de feiten aan, kampt met achterstallig werk en ontplooit nauwelijks voorlichtingsactiviteiten. Om dit falen te verhelpen, zo becijferde KPMG, moet de AP groeien van 184 fte naar 470 fte en in 2025 jaarlijks beschikken over ruim € 66 miljoen. Nu moet ze het doen met pakweg € 18,5 miljoen.

Afstand tot de politiek

De discussie over de begrotingsperikelen bij de AP raakt aan een vraagstuk dat mijns inziens nadere doordenking verdient: de budgettaire (on)afhankelijkheid van toezichthouders. Zonder al te zeer in detail te treden, wil ik daarbij enkele kanttekeningen plaatsen. Ik zoom eerst kort uit. De wetgever heeft de afgelopen decennia delen van de overheidsorganisatie losgeweekt van politieke beïnvloeding – in concreto: bemoeienis van de minister – door ze vorm te geven als zelfstandig bestuursorgaan. Hoewel goede redenen kunnen bestaan om zo’n bijzondere structuur op te tuigen, wordt de keuze voor deze organisatievorm in de doctrine regelmatig gehekeld. Niet zonder reden, zo meen ik. Afgezien van het feit dat mettertijd een grote variëteit – noem het wildgroei – aan zbo-constructies is ontstaan, vertroebelt door een toenemend aantal zbo’s de democratische controle op de uitoefening van publieke taken. Enige terughoudendheid is dus geboden. ⁵

Budgettaire verwevenheid en afhankelijkheid

De voornoemde problematiek kan ook spelen in het toezichtsdomein, simpelweg omdat veel toezichthouders zijn opgetuigd als zbo. Dat laatste is wel verklaarbaar. Bij toezichthoudende activiteiten is een juridisch gewaarborgde afstand tot de politiek – lees: de verantwoordelijk minister – juist wenselijk. Zelfstandigheid en onafhankelijkheid vallen zelfs te beschouwen als condicio sine qua non voor adequaat toezicht. Een slager hoort nu eenmaal niet zijn eigen vlees te keuren. Niettemin bestaat er nog altijd een bepaalde verwevenheid tussen minister en toezichthouder. Vanouds vallen toezichthoudende instanties namelijk begrotings- en verantwoordingstechnisch onder vakdepartementen. Zo zit de Autoriteit Consument & Markt (ACM) in de portefeuille van de minister van Economische Zaken, komen kosten van de Autoriteit Financiële Markten (AFM) voor rekening van de minister van Financiën en handelt de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) onder verantwoordelijkheid van de minister-president.

Uiteindelijk is een toezichthouder afhankelijk van de politiek. Het is immers de begrotingswetgever die beslist hoe hoog het budget is dat aan een toezichthoudende instantie wordt toegekend. Dat is wat de AP betreft niet anders. Zij staat in de boeken bij Justitie en Veiligheid. Onder invloed van Europese privacyregelgeving heeft de AP naar de letter van de wet wel een ietwat geprivilegieerde positie gekregen. De toezichthouder kwalificeert als zbo mét rechtspersoonlijkheid, kan zelf personeel aanstellen en is bovendien bij wet verzekerd van een eigen budget. ⁶ Het pijnpunt is echter dat de precieze hoogte van dat wettelijk ‘gegarandeerde’ budget op generlei wijze vaststaat. De begrotingswetgever moet steeds die knoop doorhakken. En daar wringt de schoen. Want is het wenselijk dat politici beslissen over de financiële armslag van een toezichthouder die is ingesteld om henzelf te controleren?

Kan het ook anders?

In de literatuur is weleens het idee geopperd om de Algemene Rekenkamer i voortaan het noodzakelijke budget voor een toezichthouder te laten bepalen. Dat rekenkameroordeel zou vervolgens bindend of zwaarwegend moeten zijn bij de vaststelling van de begroting. ⁷ Ik vind dat een verstandige oplossing. Nu heb ik niet de illusie dat daarmee alle problemen van de AP plotsklaps zouden zijn opgelost. Méér geld leidt op zichzelf niet tot beter toezicht. Ik denk echter dat een verruiming van de financiële middelen een (verdere) professionalisering kan bevorderen of in ieder geval vergemakkelijken. Een budgetverhoging stelt de AP bijvoorbeeld in staat om deskundigen aan te trekken, interne expertise uit te breiden en nieuwe inspecteurs op te leiden. Dat is bij een zo specialistisch vakgebied als het gegevensbeschermingsrecht – dat door ‘big data’ zienderogen in complexiteit toeneemt – beslist geen overbodige luxe.

Besluit

Uitgaande van de Prinsjesdagstukken, krijgt de AP voorlopig niet meer spek op de botten. Nu was (en is) kabinet-Rutte III sowieso niet zo scheutig qua financiering van het privacytoezicht – althans, als men het AP-budget vergelijkt met dat van de ACM en de AFM of dat van buitenlandse privacytoezichthouders. Zo bezien verbaast het niet dat de regering zich betrekkelijk stilhield na het KPMG-onderzoek. Groen licht voor de voorgestelde groei kwam er niet. De minister beloofde slechts dat het huidige aantal beschikbare fte’s komend jaar zal worden bestendigd. Kennelijk is handhaving van de status quo het enige dat hij in coalitieverband kon (of wilde) uitonderhandelen.

Het is jammer dat de minister niet méér geld heeft losgepeuterd om de capaciteitsproblemen van de AP te verhelpen. Hier ligt mijns inziens een opdracht voor een nieuw kabinet. Als politici privacy werkelijk serieus nemen – volgens mij zouden ze dat in dit digitale tijdperk zeker moeten doen – dan moet de bekostigingssystematiek van de AP worden heroverwogen. Enkele verkiezingsprogramma’s bieden alvast hoop. ⁸ D66, GroenLinks en PvdA beloven de geldkraan open te zetten voor de AP. De toezichthouder kan dan eindelijk de waakhond worden die ook echt gaat bijten. Durft politiek Den Haag na de verkiezingen nog een stap verder te gaan en een onafhankelijke derde bindend te laten adviseren over de budgettaire behoefte van de AP? Misschien kan de privacytoezichthouder dan in de toekomst nóg onafhankelijker van politieke beslommeringen opereren.

Rowin Jansen is als docent en promovendus verbonden aan het Onderzoekcentrum voor Staat en Recht van de Radboud Universiteit.

• (1) 

  ‘Voorzitter Autoriteit Persoonsgegevens: ‘De achterstanden zijn zo groot dat het lachwekkend is’ en ‘Aleid Wolfsen: Gestolen data zijn veel erger dan een gestolen fiets’, Trouw (10 november 2020).
• (2) 

  ‘Groei AP noodzakelijk voor bescherming burgers in digitaliserend Nederland’, Persbericht Autoriteit Persoonsgegevens (19 november 2020).
• (3) 

  • B. 

    Heilbron en E. Koopman, ‘De Autoriteit Persoonsgegevens is nog altijd onvolwassen. De tragedie van het privacytoezicht’, De Groene Amsterdammer (16 januari 2019).
• (4) 

  Zie bijvoorbeeld B.H.M. Custers, ‘Privacywaakhond krijgt geld, nu nog tanden’, Privacy & Informatie 2019, afl. 4, p. 151-152 en J. Holvast, ‘Privacywaakhond krijgt geld en heeft al tanden. Nu nog goed kauwen!’, Privacy & Informatie 2019, afl. 5, p. 209-210.
• (5) 

  Vgl. Ministeriële verantwoordelijkheid. Een ongevraagd advies van de Afdeling advisering (15 juni 2020), zie m.n. par. 3.2, 3.6 en 4.3.
• (6) 

  Artikel 11 Uitvoeringswet Algemene Verordening Gegevensbescherming. Vgl. Kamerstukken II 2017/18, 34 851, nr. 9.
• (7) 

  N.A.N.M. van Eijk, ‘Naar echt onafhankelijk toezicht’, Tijdschrift voor Toezicht 2018, afl. 2/3, p. 86-87.
• (8) 

  Op het moment van schrijven zijn nog niet alle verkiezingsprogramma’s vastgesteld en gepubliceerd.