De Autoriteit Persoonsgegevens (AP) is in Nederland belast met toezicht op iedereen die persoonsgegevens verwerkt. Sinds de invoering van de Algemene Verordening Gegevensbescherming (AVG), in mei 2016, heeft ieder land binnen de EU zo’n instantie.

De nieuwe privacy-wetgeving vanuit de EU waren volgens toenmalig minister van Veiligheid en Justitie Van der Steur ‘ongelooflijk belangrijk’ voor de bescherming van onze persoonlijke gegevens. Om dat te onderstrepen, kreeg de AP de bevoegdheid om forse boetes op te leggen. Bovendien werden organisaties verplicht ernstige datalekken direct bij de AP te melden.

Anno 2021 is de Autoriteit Persoons­gegevens zelf niet langer overtuigd van de autoriteit waarmee ze stelling kan nemen tegen misbruik van persoonsgegevens. Al in 2017, ruim voor het verstrijken van de officiële overgangsperiode van de invoering van de AVG in mei 2018, trok de AP aan de bel over een tekort aan capaciteit. Extern onafhankelijk onderzoeksbureau Andersson Elffers Felix (AEF) berekende toen al dat de AP 2,5 tot 3,5 maal zou moeten groeien om “op een efficiënte en effectieve wijze invulling kan geven aan haar (nieuwe) taken en bevoegdheden”.

Dat beeld werd op verzoek van de AP in 2018 bevestigd door PwC, en in 2020 liet de AP, samen met het ministerie van Justitie en Veiligheid, zelfs nog een derde onafhankelijke adviseur aantreden. Op basis van het onderzoek van KPMG concludeerde de AP toen dat het moest groeien van 184 fte naar 470 fte en een budget van ruim 66 miljoen euro in 2025.

Op 3 februari dienden negen Tweede Kamerleden, namens de SP, D66, Partij voor de Dieren, Partij van de Arbeid, Partij voor de Vrijheid, DENK, 50Plus, GroenLinks en de ChristenUnie, een motie in. Daarin werd de regering gevraagd “het budget van de AP dusdanig te verhogen, dat zij in staat wordt gesteld om aan het realistische groeipad te kunnen voldoen” dat in het KPMG-onderzoek werd geschetst.

De motie werd met 96 stemmen vóór aangenomen (alleen VVD, CDA en FVD stemden tegen). De minister voor Rechtsbescherming, Sander Dekker, vond het KPMG-rapport echter niet concreet genoeg en schoof een beslissing door naar een volgend kabinet. Mede als gevolg hiervan legde het kabinet de wens van de kamer naast zich neer. In de Miljoenennota 2022 blijft het budget voor de Autoriteit Persoonsgegevens ongewijzigd.

Michiel van Nispen, initiatiefnemer van de motie, noemt dit tegenover AG Connect een schoffering van alle Nederlanders die verwachten dat hun persoonsgegevens goed beschermd worden. “Bij de AP is één persoon, één dag in de week belast met het actief zoeken naar alle vormen van signalen. Van tips, tot lekken, tot klachten etc. Datalekken zelf zijn hier slechts een onderdeel van”, zegt Van Nispen. “In 2019 kreeg de AP 27.000 meldingen van datalekken binnen. Daarvan heeft de AP maar 0,3% kunnen onderzoeken. En dat is nog knap als je bedenkt dat ze daar nog geen 3fte voor hadden!”

De regering gaf de Autoriteit Persoons­gegevens in 2016 poten om op te staan, maar weigert er de tanden bij te voegen om werkelijk iets uit te richten. Van Nispen noemt dat ‘echt heel erg’: “Als de AP haar taken niet goed uit kan voeren, is uiteindelijk de burger de dupe die verwacht dat zijn persoonsgegevens goed beschermd.”