De AP op zoek naar de juiste regie in een veranderend privacy-landschap
De Autoriteit Persoonsgegevens (AP) heeft zichzelf onder de loep laten nemen. Eind 2023 heeft het bestuur van de AP de onafhankelijke Begeleidingscommissie Evaluatie Autoriteit Persoonsgegevens ingesteld en haar gevraagd een brede inhoudelijke evaluatie van de AP uit te voeren. De conclusie? De AP staat voor de uitdaging om een beter evenwicht te vinden bij het uitvoeren van haar kerntaken het verduidelijken van haar strategische koers, en haar rol in een digitale wereld scherper te definiëren.
Hieronder bespreken wij onze eerste bevindingen over de aanbevelingen en adviezen van de Begeleidingscommissie en het onderliggende onderzoek van Tilburg University en Berenschot.
De AP als bewaker én gids?
Een belangrijke conclusie uit de evaluatie is dat de AP de afgelopen jaren steeds meer als handhaver heeft opgetreden. Waar de toezichthouder oorspronkelijk een balans moest vinden tussen bewaken en bevorderen, is de nadruk steeds meer op de juridische en repressieve kant van haar taak komen te liggen. Dit is een duidelijke koerswijziging ten opzichte van eerdere jaren, waarin de AP als pragmatischer en preventiever werd gezien. Uit het rapport van de Begeleidingscommissie blijkt verder dat veel betrokken partijen waardering hebben voor het werk van de AP, maar tegelijkertijd ook kritiek leveren op de manier waarop handhaving plaatsvindt. Met name het ontbreken van een goed omschreven handhavingsbeleid en de achterstanden in klachtbehandeling worden als aandachtspunten genoemd. De Begeleidingscommissie adviseert daarom een evenwichtigere benadering: beschermen door zowel te helpen als te handhaven. Een proactieve rol in het informeren en begeleiden van bedrijven en instellingen zou kunnen bijdragen aan een betere naleving van privacywetgeving.
Maatschappelijk regisseur is complexe rol (en wellicht te complex)
Uit de evaluatie blijkt dat de AP haar missie sinds haar oprichting langzaamaan heeft verbreed. De AP wil zich profileren als een “maatschappelijk regisseur” die richting geeft aan de bescherming van persoonsgegevens. Waar de focus eerder lag op de bescherming van persoonsgegevens, is deze verschoven naar het beschermen van mensen in de digitale wereld. Dit betekent dat de AP zich niet alleen richt op naleving van de AVG, maar ook op bredere maatschappelijke vraagstukken zoals kunstmatige intelligentie (AI) en digitale autonomie. Geheel in lijn hiermee, presenteert de AP zich ook sterk als de coördinerende toezichthouder algoritmes. De evaluatie concludeert dat deze ruimere taakopvatting leidt tot spanningen tussen wat de AP wil bereiken, wat belanghebbenden verwachten en wat daadwerkelijk haalbaar is. Een breder takenpakket vraagt namelijk om extra capaciteit en middelen, terwijl de operationele mogelijkheden van de AP beperkt blijven. Bovendien voelen betrokken organisaties en individuen zich soms onvoldoende geïnformeerd over wat hen te wachten staat, waarbij de breedte van het takenpakket de regisseursrol complex maakt. Daarnaast wordt in het rapport benadrukt dat de AP in de praktijk vaak als een gesloten organisatie wordt ervaren, wat haaks staat op het zijn van “maatschappelijk regisseur”.
Dit alles maakt prioritering binnen het toezicht noodzakelijk. De Begeleidingscommissie adviseert de AP dan ook om in haar brede takenpakket telkens haar eigen positie te identificeren en per taak de daarvoor meest geëigende instrumenten en strategieën scherper te definiëren, met als resultaat de prioriteiten tussen de taken en binnen iedere taak nader te bepalen.
Wie regisseert de regisseur (of controleert de controleur)?
De AP heeft een bijzondere positie binnen het landschap van Nederlandse toezichthouders: ze is een onafhankelijke toezichthouder die geen verantwoording aflegt aan de Nederlandse overheid, maar opereert binnen Europese wetgeving. Dit geeft haar een grote beleids- en handelingsvrijheid, maar roept ook vragen op over de controle op haar functioneren.
Daarnaast blijkt uit het rapport dat de legitimiteit van de AP voor de evaluatiecommissie ook afhangt van de waardering van partijen waarmee zij werkt. Terwijl sommige respondenten de verbreding van de missie en de juridische koers ondersteunen, vragen anderen zich af of de nadruk op ‘bewaken’ niet te ver doorschiet en ten koste gaat van samenwerking met bedrijven en overheidsinstanties. Een nauwere dialoog met andere toezichthouders wordt aanbevolen om deze spanningen te verkleinen.
Het rapport stelt verder dat de AP gebaat zou zijn bij een Raad van Advies met meer bevoegdheden (als ware een Raad van Toezicht), zodat er een betere maatschappelijke verankering komt. Ook wordt voorgesteld om wetenschappelijke en maatschappelijke commissies in te stellen, die als klankbord kunnen dienen voor de AP en bijdragen aan een bredere legitimiteit.
Meer regie met beperkte middelen
Het moge duidelijk zijn dat de AP een groeiend takenpakket heeft, maar haar operationele capaciteit blijft achter. Om effectief toezicht te houden moet de organisatie keuzes maken en prioriteiten stellen. Dit geldt niet alleen voor haar aanpak van gegevensbescherming, maar ook voor nieuwe technologieën zoals kunstmatige intelligentie (AI). Hier ontbreekt nog een duidelijke positionering, terwijl AI een steeds grotere rol speelt in privacyvraagstukken.
Daarnaast wordt in het rapport gewezen op de noodzaak van een betere afstemming tussen de AP en functionarissen gegevensbescherming. De AP zou deze professionals actiever kunnen ondersteunen en betrekken bij het toezicht zodat er een effectiever nalevingskader ontstaat.
Reactie van de AP
De AP neemt de conclusies en aanbevelingen van de evaluatie ter harte. De AP erkent de noodzaak tot verduidelijking van het beleid over normen en handhaving, en is van plan om vaker consultaties uit te zetten om de ideeën en verwachtingen van betrokken actoren mee te nemen. De AP is in 2024 al begonnen met een nieuwe werkwijze, met verbeterde informatievoorziening en persoonlijk contact. Ook wordt de aanbeveling voor het instellen van een maatschappelijke commissie en een wetenschappelijke commissie overgenomen. De AP is zich bewust van de noodzaak om een balans te vinden tussen onafhankelijkheid en samenwerking, tussen helpen en bestraffen, altijd met het belang van de burger voorop.
Goed regisseren
De evaluatie biedt waardevolle inzichten en aanbevelingen voor de AP om haar functioneren als regisseur en controleur te verbeteren. De AP lijkt de aanbevelingen serieus te nemen en lijkt bezig met concrete verbeteringen. Over vijf jaar zal er opnieuw een brede, externe evaluatie plaatsvinden. Dan zullen we zien of de AP de aanbevelingen ter harte heeft genomen, en of ze haar rol als maatschappelijk regisseur met voldoende draagvlak kan uitdragen. Wij geven de AP graag mee: goed regisseren betekent niet alleen de touwtjes in handen hebben, maar ook weten wanneer je ruimte laat voor improvisatie en vrijheid.
