Tweede Kamer der Staten-Generaal

2

Vergaderjaar 2018–2019

32 761

Verwerking en bescherming persoonsgegevens

Nr. 149

BRIEF VAN DE MINISTER VOOR RECHTSBESCHERMING
Aan de Voorzitter van de Tweede Kamer der Staten-Generaal
Den Haag, 16 september 2019
Tijdens het algemeen overleg van 13 juni jongstleden sprak ik met uw
Kamer over de bescherming van persoonsgegevens. Ik heb toegezegd u
– zoals de motie van het lid Van Nispen verzoekt – inzicht te bieden in de
taakuitbreiding en groeiscenario’s van de Autoriteit Persoonsgegevens
(AP), het voorziene groeipad te schetsen en zo nodig een verklaring te
geven voor dit eventuele verschil.1 Tevens geef ik hiermee uitvoering aan
de motie van het lid Verhoeven c.s. over de capaciteit en middelen voor
de privacytoezichthouder, mede in het licht van de scenario’s AEF,
ingediend tijdens de behandeling van de Uitvoeringswet algemene
verordening gegevensbescherming (UAVG).2
Privacybescherming is belangrijk, omdat bedrijven en overheden grote
hoeveelheden gegevens verwerken die te herleiden zijn tot personen,
zoals medische of financiële gegevens. In een vrije, democratische
samenleving moeten mensen erop kunnen vertrouwen dat organisaties
zorgvuldig omgaan met hun gegevens. Samen met de AP werk ik aan
deze opgave.
De AP in transitie
De AVG heeft ertoe geleid dat er veranderingen zijn opgetreden in de
bescherming van persoonsgegevens en het toezicht daarop. Met de
invoering van de AVG heeft de AP een toename in taken gekregen. Het
jaar 2018 betekende voor de AP een jaar van transitie. Niet alleen
wettelijk, maar ook organisatorisch heeft dit veranderingen gebracht. De
AP heeft eigen rechtspersoonlijkheid verworven, diverse interne ontwikkelingen ingezet en een stevige personele groei doorgemaakt.
Het toezicht van de AP omvat zowel multinationals, als overheden,
bedrijven, ZZP’ers en verenigingen. In de kern is het werk van de AP terug
1
2

kst-32761-149
ISSN 0921 - 7371
’s-Gravenhage 2019

Motie van het lid Van Nispen, Kamerstuk 32 761, nr. 139.
Motie van het lid Verhoeven c.s., Kamerstuk 34 851, nr. 23.

Tweede Kamer, vergaderjaar 2018–2019, 32 761, nr. 149

1

te brengen tot een twintigtal wettelijke taken. Deze lopen uiteen van het
behandelen van klachten, datalekmeldingen, tot het geven van
voorlichting, wetgevingsadviezen, onderzoek, handhavend optreden en
internationaal werk als gevolg van taken van de European Dataprotection
Board.
In 2017, voorafgaand aan de inwerkingtreding van de AVG, heeft
adviesbureau Andersson Elffers Felix (AEF) in opdracht van de AP de
consequenties van de AVG voor het budget en de capaciteit van de AP
onderzocht. AEF heeft op basis van verschillende aannames de consequenties van de verordening uitgewerkt in drie scenario’s voor het
benodigde budget, te weten: een scenario laag (€ 19,6 miljoen) een
scenario midden (€ 23,7 miljoen) en een scenario hoog (€ 29,4 miljoen).
AP heeft die prognose recent laten herijken, waarbij de consequenties van
de AVG voor het benodigde budget en capaciteit van de AP zijn geraamd
op € 21,6 miljoen in 2019 oplopend naar € 27,8 miljoen in 2022. De in
opdracht van de AP ontwikkelde scenario’s gaan logischerwijs uit van
verschillende aannames en veronderstellingen en het is van belang te
bezien hoe een en ander in de praktijk uitwerkt en of ontwikkelingen al
dan niet bestendigen.
Eerste ervaringen met AVG positief, maar ook nog uitdagingen
Inmiddels heeft de AP ruim een jaar ervaring met de AVG. Het toezicht
van de AP is goed op stoom gekomen, evenals de bekendheid van de AP
in Nederland. Op 9 september 2019 heeft de AP cijfers over het eerste
halfjaar 2019 naar buiten gebracht, waaruit blijkt dat het aantal privacyklachten toeneemt: ruim 15.000 mensen hebben in de eerste zes maanden
van 2019 een klacht ingediend bij de AP.3 Daarnaast blijkt de AP een
voorloper in Europees verband. Zo is de AP relatief vaak de leidende
toezichthouder voor klachten en neemt ze veelal een eerste, tweede of
derde positie in binnen de EU als het gaat om het bevorderen van
bekendheid met de AVG en de toezichthouder.4
De AP ervaart knelpunten en risico’s in deze fase van de implementatie
van de AVG. Mogelijk zal blijken dat een aantal knelpunten incidenteel is.
Indicaties daarvoor kunnen zijn een verwachte afname van de werkdruk
door goed opgeleide nieuwe werknemers en een dalend ziekteverzuim.
Knelpunten kunnen echter ook langduriger aanhouden of structureel
blijken.
De klachteninstroom blijft bijvoorbeeld aanzienlijk hoger dan voorzien: de
AP verwacht 28.000 klachten in 2019 ten opzichte van 15.600 klachten in
2018. Hierdoor is er sprake van een verder oplopende werkvoorraad van
nu ruim 3.000 klachten. Ook stijgt het aantal datalekmeldingen ten
opzichte van 2018 (van 20.000 naar 24.000).5
Een derde knelpunt dat de AP ervaart is dat met het van kracht worden
van de AVG het aantal aanvragen voor goedkeuring van zogenaamde
Binding Corporate Rules (BCR’s) is gestegen. De toestroom is zodanig dat
een wachttijd is ontstaan van 3 tot 5 jaar, die als gevolg van de Brexit nog
verder kan toenemen. Een toename van wachttijden geldt ook voor

3

Circa 1/3e van het genoemde aantal is een echte privacyklacht die op grond van de AVG in
behandeling moet worden genomen.
4
EU barometer: onderzoek uitgevoerd door TNS NIPO naar onder andere het percentage
respondenten dat bekend is met de AVG in het algemeen en met de rechten die het beschermt
in het bijzonder en de bekendheid met de Autoriteit Persoonsgegevens.
5
De meldplicht datalekken is op 1 januari 2016 ingegaan en stamt dus al van voor de AVG.

Tweede Kamer, vergaderjaar 2018–2019, 32 761, nr. 149

2

voorafgaande raadplegingen, gedragscodes en goedkeuring van
certificeringsschema’s.
Op het gebied van sanctionering, Europese samenwerking en systeemtoezicht heeft de AP minder capaciteit ingezet.
Budget AP
Om de taken uit de AVG te kunnen uitvoeren is bij de implementatie van
de AVG in de Uitvoeringswet AVG voor 2018 en volgende jaren
€ 7 miljoen structureel toegevoegd aan het budget van de AP. Tijdens de
behandeling van de wet heb ik aan uw Kamer aangegeven de ontwikkelingen rondom de AVG en de gevolgen voor de capaciteit en het budget
van de AP nauwlettend te volgen en hierover het gesprek met de AP te
voeren.6Uitkomst van de gesprekken daarover is voor 2019 geweest dat ik
bij Voorjaarsnota 2019 heb besloten de AP een extra budget van
€ 3,4 miljoen, inclusief loonbijstelling, toe te kennen. Daarmee bedraagt
het budget van de AP voor 2019 en volgende jaren € 18,6 miljoen. Het
budget van de AP is daarmee hoger dan dat van landen als Frankrijk en
Spanje.7
Bij de toekenning van het budget voor de AP is er rekening mee gehouden
dat het eerste jaar na de invoering van de AVG onvoldoende representatief is als basis voor de bepaling van structurele financiering. Enerzijds is
de instroom aan zaken nog niet uitgekristalliseerd. Anderzijds is een deel
van de lasten incidenteel als gevolg van de forse groei van de organisatie
in korte tijd en het nog niet optimaal ingericht zijn van de werkprocessen.
Daarnaast moet rekening worden gehouden met het absorptievermogen
van de AP. De AP kan niet alles tegelijk oppakken en moet – net als
overigens alle andere organisaties in het domein van Justitie en
Veiligheid – prioriteiten stellen bij de bestemming van schaarse middelen.
Verder onderzoek noodzakelijk
Inmiddels beschikken we over cijfers en ervaringen van het eerste jaar na
de invoering van de AVG. De organisatie van de AP heeft het afgelopen
jaar ervaring opgedaan met de nieuwe werkprocessen en een groot aantal
nieuwe medewerkers kunnen inwerken. Daardoor ontstaat een steeds
beter beeld van wat de AP nodig heeft voor een goede taakvervulling. De
AP en ik hebben dan ook afgesproken dat we een gezamenlijk extern
onderzoek starten naar de grondslagen van de financiering van de AP, de
omvang van het budget en de risico’s behorende bij de verschillende
scenario’s. Daarbij wordt ook gekeken naar efficiencyverbetering die
mogelijk nog kan worden behaald, bijvoorbeeld door verdere stroomlijning van werkprocessen, de inzet van technologie en innovatiemogelijkheden. Ook kijken we naar mogelijke alternatieve wijzen van financiering,
zoals het heffen van leges voor de behandeling van BCR’s. Met dit
onderzoek willen we komen tot een gedeeld beeld van een gezonde
financiële basis voor de uitoefening door de AP van haar wettelijke taken.
Daarbij betrekken we ook een vergelijking met de toerusting van
collega-privacytoezichthouders in Europa.

6
7

Handelingen II 2017/18, nr. 59, item 4.
Het budget van de toezichthouder in Frankrijk bedraagt € 17 miljoen, in Spanje € 15,5 miljoen
en in Zweden € 8,3 miljoen.

Tweede Kamer, vergaderjaar 2018–2019, 32 761, nr. 149

3

Over de uitkomsten van dit onderzoek verwacht ik u begin 2020 te kunnen
berichten.
De Minister voor Rechtsbescherming,
S. Dekker

Tweede Kamer, vergaderjaar 2018–2019, 32 761, nr. 149

4