Privacywaakhond kampt met spanning tussen ambitie en capaciteit

De Autoriteit Persoonsgegevens (AP) heeft de afgelopen jaren haar missie verbreed, maar worstelt met de balans tussen ambities en beschikbare middelen. Dat blijkt uit een onafhankelijke evaluatie over de periode 2018-2023, uitgevoerd door Tilburg University en Berenschot in opdracht van de AP.

Uit het onderzoek blijkt dat de AP haar oorspronkelijke taak – de bescherming van persoonsgegevens – heeft uitgebreid naar een bredere missie: het beschermen van burgers in de digitale wereld. Die koerswijziging brengt nieuwe uitdagingen met zich mee, zoals coördinerend toezicht op kunstmatige intelligentie. Hoewel de verbreding van taken maatschappelijk relevant is, vraagt het ook om extra middelen en een doordachte aanpak.

De evaluatiecommissie constateert dat de AP in de onderzochte periode steeds meer nadruk is gaan leggen op een juridische en repressieve toezichtstrategie. Waar voorheen voorlichting en ondersteuning centraal stonden, is nu de focus verschoven naar handhaving. De toezichthouder ziet zichzelf inmiddels meer als bewaker dan als facilitator. Die koerswijziging wordt niet door alle belanghebbenden positief ontvangen. Sommige respondenten pleiten voor een meer samenwerkende aanpak, waarbij bedrijven en instellingen handvatten krijgen om privacyregels beter na te leven.

Operationele uitdagingen

De evaluatie wijst op spanningen tussen wat de AP wil, wat de omgeving verwacht en wat daadwerkelijk haalbaar is. Hoewel interne werkprocessen zijn verbeterd, blijft de vraag of de toezichthouder voldoende capaciteit heeft om zijn uitgebreide takenpakket effectief uit te voeren. Momenteel worden prestaties vooral gemeten aan de hand van output, zoals het aantal opgelegde boetes en afgeronde onderzoeken. Er ontbreekt echter een meetinstrument om de daadwerkelijke impact op privacybescherming in kaart te brengen.

Ook de positie van de AP binnen het Nederlandse toezichtlandschap roept vragen op. De organisatie is onafhankelijk en valt direct onder Europese regelgeving, waardoor er geen directe verantwoordingsrelatie is met de Nederlandse overheid. Dit zorgt voor beleidsvrijheid, maar maakt ook dat de AP keuzes kan maken zonder directe politieke controle. Tegelijkertijd ervaren sommige betrokkenen de toezichthouder als afstandelijk en formeel, waardoor samenwerking met andere instanties en functionarissen gegevensbescherming (FG’s) moeizaam verloopt.

Reacties bedrijfleven

Onder meer branchevereniging NLdigital herkent zich sterk in de bevindingen van de evaluatie. IT-bedrijven ervaren dat de AP zich vooral richt op handhaving en juridische naleving, terwijl er weinig ruimte is voor dialoog en ondersteuning bij de implementatie van de AVG. Ondernemers geven aan dat zij vaker als potentiële overtreders worden gezien dan als partijen die begeleiding nodig hebben. Er is behoefte aan duidelijkere richtlijnen en meer overleg met de sector om de naleving van de privacyregels te verbeteren.

Daarnaast wordt de strikte interpretatie van de AVG door de AP als knelpunt ervaren, omdat deze niet altijd rekening houdt met de praktische realiteit en de risicogebaseerde benadering die de AVG zelf voorschrijft. NLdigital ziet echter ook positieve ontwikkelingen, zoals verbeterde informatievoorziening via de website van de AP en eerdere samenwerkingen, en staat open voor intensiever overleg om de relatie tussen sector en toezichthouder te verbeteren.