Nieuwe ontslagen tonen oude problemen bij Gegevensbeschermingsautoriteit

Het is hommeles aan de top van de Belgische privacytoezichthouder. De Kamer van Volksvertegenwoordigers heeft twee bestuursleden van de Gegevensbeschermingsautoriteit ontslagen. Daardoor is de chaos in het bestuur compleet, maar die komt niet helemaal onverwacht.

De Belgische Kamer heeft woensdagavond besloten twee bestuursleden van de Gegevensbeschermingsautoriteit uit hun functie te ontheffen. Algemeen voorzitter David Stevens en Charlotte Dereppe van de Eerstelijnsdienst werden in een geheime stemming door de Kamer weggestuurd. Dat gebeurde naar aanleiding van de justitiecommissie, die het ontslag aanbeval. Daarmee is de top van de GBA in een klap flink kleiner geworden, want die gaat van vijf naar drie personen. Mogelijk gaan de twee ontslagen directieleden nog in beroep tegen de beslissing van de Kamer, maar dat is vooralsnog niet bekend.

De Gegevensbeschermingsautoriteit zegt in een reactie dat het de beslissing 'betreurt'. Opvallend is dat de GBA zegt dat het 'geen toegang had tot de door de Kamer samengestelde dossiers' rondom het ontslag. De toezichthouder heeft zich dus niet kunnen verdedigen en weet niet eens waarvan de twee ontslagen leden precies beschuldigd worden. De uitspraak is ook behoorlijk controversieel. Privacytoezichthouders moeten onafhankelijk kunnen opereren van de overheid, want ze moeten ook toezicht houden op die overheid. "De GBA hoopt dat bij de motivering van het ontslag van de directeuren rekening is gehouden met de vereisten van onafhankelijkheid van een orgaan als de GBA", schrijft de toezichthouder in de reactie.

Hoe werkt de GBA

De GBA is anders ingedeeld dan de Nederlandse Autoriteit Persoonsgegevens. Die is vrij eenvoudig. Het bestuur bestaat uit drie personen: voorzitter Aleid Wolfsen, een vicevoorzitter en een bestuurslid. Zij hebben samen de verantwoordelijkheid over de verschillende afdelingen van de toezichthouder, zoals toezicht, handhaving en klachtenafhandeling. Bij de Belgische Gegevensbeschermingsautoriteit zijn er vijf afdelingen met allemaal een eigen directie en daaronder eigen bestuursleden. De vijf directieleden van de losse afdelingen vormen samen het directiecomité. Er zit verder geen hiërarchie in de manier waarop die zijn georganiseerd: de ene afdeling is niet belangrijker dan de andere. Ook een belangrijk detail is dat bestuursleden van de GBA worden benoemd door het Belgisch parlement en niet door de toezichthouder.

Onderdeel	Functie	Leider
Algemeen secretariaat	Interne organisatie, bijvoorbeeld hr en begroting	David Stevens (directeur, ontslagen)
Eerstelijnsdienst	Klachtenafhandeling en voorlichting aan burgers	Charlotte Dereppe (directeur, ontslagen)
Kenniscentrum	Advies aan de overheid, voorlichting over maatschappelijke onderwerpen	Jean-Michel Serna (directeur)
Inspectiedienst	Onderzoek naar klachten en overtredingen	Peter van den Eynde (inspecteur-generaal)
Geschillenkamer	Behandelen van geschillen tussen burgers en GBA, bemiddelen tussen lidstaten onder één-loketmechanisme	Hielke Hijmans (voorzitter)

Los van alle wisselingen van de wacht die op woensdag en donderdag plaatsvonden, werd ook de directeur van het Kenniscentrum deze week vervangen. Plaatsvervangend directeur Jean-Michel Serna werd vervangen door Cédrine Morlière. Zij is nu, na het ontslag van Charlotte Dereppe, ook gelijk de nieuwe directeur van de dienst.

Het is niet zo gek dat het bestuur van België zoveel anders is dan dat in Nederland. De AVG, die uiteraard ook in België van toepassing is, maakt het voor lidstaten mogelijk om in te vullen hoe privacytoezichthouders worden samengesteld. Het is voor ieder land verplicht een toezichthouder te hebben, maar zaken als het budget of de interne samenstelling kunnen verschillen. In Nederland wordt dat geregeld in de UAVG; de U staat voor Uitvoeringswet. In België is er onder andere de Wet tot oprichting van de Gegevensbeschermingsautoriteit uit 2018, die voorschrijft dat de toezichthouder vijf losse onderdelen heeft waarvan de directeuren in het directiecomité zitten.

Ontslagen door het parlement

De twee directeuren zijn ontslagen door het parlementHet is onder die wet vrij uitzonderlijk dat de wetgever zich mag uitspreken over het bestuur. Zoals eerder gezegd, moet de toezichthouder ook de wetgevende macht controleren. Dat moet niet leiden tot een belangenconflict, maar juist daar schuurt het al jaren onder de bestuursleden. Hoewel wetgevers terughoudend moeten zijn met hun invloed op het bestuur, is het niet expliciet verboden dat te doen. De AVG voorziet zelfs in die mogelijkheid. Artikel 53, lid 4 van de AVG beschrijft: "Een lid wordt slechts ontslagen indien het op ernstige wijze is tekortgeschoten of niet langer aan de vereisten voor de uitvoering van de taken voldoet."

Het feit dat er vijf directiefuncties zijn, die een stuk minder hiërarchisch georganiseerd zijn dan bijvoorbeeld de Nederlandse toezichthouder, zijn deel van het probleem. De afgelopen maanden is duidelijk geworden dat de bestuursleden moeilijk met elkaar kunnen samenwerken en op sommige punten fundamenteel anders denken over hun functies. De recente ontslagen zijn daar de uitbarsting van, maar er is ook nog veel onbekend over de situatie.

Zo is nog steeds onbekend wat de exacte reden is dat algemeen voorzitter David Stevens en directeur van de Eerstelijnsdienst Charlotte Dereppe ontslagen zijn. De stemming van de Plenaire Kamer en de aanbevelingen die eerder door de justitiecommissie werden gegeven, zijn niet openbaar.

Klokkenluider

Onderling zijn er al sinds de oprichting van de GBA in 2018 strubbelingen, maar die kwamen de laatste jaren en maanden steeds meer aan het oppervlak. In 2020 schreven twee directeuren, Alexandra Jaspar en Charlotte Dereppe, een brief aan het parlement. Knack legde de hand op die brief. Jaspar en Dereppe luidden in tien pagina's de noodklok over de staat van de GBA. Ze maken zich 'ernstig zorgen' over de situatie bij de GBA. Die zou volgens de brief 'niet langer in staat zijn haar opdracht onafhankelijk te vervullen'.

Vorig jaar luidde een directielid al de noodklok over de afhankelijkheid van de GBADie onafhankelijkheid, daar zit het probleem. Jaspar en Dereppe vroegen om een externe audit naar de staat van de GBA en naar een audit naar de uitgaven van de toezichthouder. Maar opvallender is dat ze pleiten om algemeen directeur David Stevens te ontslaan uit zijn functie.

Jaspar en Dereppe beschuldigden hem ervan beslissingen van het directiecomité niet uit te voeren. Ook zou hij in sommige gevallen beslissingen nemen buiten dat comité om, ook al was hij daar zelf lid van.

Belangenverstrengelingen

Directeur Stevens zou daarnaast ook een probleem met belangenverstrengeling hebben. Hij zou vergaderingen volgen van de Vlaamse Toezichtscommissie en betrokken zijn bij een taskforce rondom corona. Dat is een probleem dat eerder bij de toezichthouder al speelde. Dat ging om Franck Robben. Die was geen directeur, maar zat als bestuurslid wel hoog in de boom van de Gegevensbeschermingsautoriteit. Robben was controversieel: hij werkte namelijk niet alleen voor de GBA, maar was ook directeur bij het overheidsplatform eHealth en bestuurslid bij een Belgische bank.

Vanwege een dubbelfunctie van een adviseur begon de Europese Commissie een inbreukprocedureDe controverse rondom Robben was niet alleen reden voor commotie onder de directie, maar ook op Europees niveau. Halverwege 2021 begon de Europese Commissie een inbreukprocedure tegen de Gegevensbeschermingsautoriteit. In de AVG staat beschreven dat toezichthouders onafhankelijk moeten zijn, maar omdat Robben dat niet zou zijn, zou de GBA dat mogelijk ook niet zijn. Naast Robben en directeur Stevens waren er nog meer bestuursleden die dubbelrollen hadden. Twee andere bestuursleden gaven advies aan ministers over de AVG bij het opstellen van wetsvoorstellen. Dat lijkt in de eerste plaats niet slecht, maar de GBA moet dat in een officiële functie doen, zodat er een evenwichtig toezicht kan bestaan. Als individuele bestuursleden op persoonlijke titel advies gaan geven, loopt het toezicht scheef. Die twee bestuursleden zouden, in tegenstelling tot Robben, wel al weg zijn toen het Europese onderzoek begon.

Ontslag genomen

De spanningen liepen later zo hoog op bij de toezichthouder dat Alexandra Jaspar uiteindelijk ontslag nam. Dat deed ze vanwege Robben, maar ook Stevens en in het algemeen vanwege een gevoel dat de Gegevensbeschermingsautoriteit niet onafhankelijk genoeg zou zijn.

Dat directeur Stevens nu ontslagen is, is in dat licht misschien niet zo vreemd. Maar des te opvallender is dat ook Charlotte Dereppe is weggestuurd, die een jaar eerder nog aan de bel trok over de vermeende belangenverstrengeling van het bestuur.

Het is niet bekend waarom Stevens en Dereppe ontslagen zijnHet is vooralsnog onduidelijk waarom zowel Stevens als Dereppe ontslagen zijn. Ook de klachten die de Europese Commissie ontving, zijn anoniem. Een ding is in ieder geval zeker: de Gegevensbeschermingsautoriteit heeft veel last van leden die zich niet alleen maar bezighouden met toezicht houden. "De GBA is geïnfiltreerd door leden van de publieke sector", zei Alexandra Jaspar toen ze daar vertrok. Sommige critici van de hele gang van zaken vinden dat juist een pre; in plaats van door politici benoemde bestuurders staan er ook bestuurders en adviseurs met hun poten in de modder, die technische kennis hebben en daarom juist goed advies kunnen uitbrengen.

Het is nog onduidelijk wie Stevens en Dereppe gaan vervangen. Mogelijk gaan de twee nog in beroep, maar dat er bij de Gegevensbeschermingsautoriteit ook in de cultuur iets moet veranderen, lijkt inmiddels duidelijk.