Gegevensbeschermingsautoriteit ontving vorig jaar 604 privacyklachten

De Gegevensbeschermingsautoriteit ontving in 2022 604 privacyklachten, iets minder dan een jaar eerder. De Belgische privacytoezichthouder opende verder 1426 onderzoeken naar datalekken, waarvan zes op basis van eigen onderzoek. De GBA deelde voor 738.900 euro aan boetes uit.

Dat schrijft de Gegevensbeschermingsautoriteit in zijn jaarverslag over 2022. De GBA kreeg in dat jaar 604 klachten. In 2021 waren dat er 1928, maar 1120 daarvan gingen over een datalek bij Facebook waardoor het aantal zaken waarover een klacht binnenkwam op 808 lag. Dat zijn er een stuk minder dan in Nederland; de Autoriteit Persoonsgegevens kreeg in 2022 13.113 klachten binnen en dat was ondanks het feit dat de toezichthouder zich noodgedwongen minder vaak bereikbaar moest maken.

De GBA begon 1420 onderzoeken naar datalekken. Opvallend is dat de toezichthouder in zes gevallen uit eigen beweging zo'n onderzoek startte. Toezichthouders hebben het recht dergelijke ambtshalve onderzoeken te beginnen, maar in Nederland bleek onlangs dat de toezichthouder dat in de praktijk nooit doet. De meeste datalekken waren in België het gevolg van een menselijke fout. In een kwart van de gevallen werd een gemeld datalek veroorzaakt door een hack of phishing.

De toezichthouder gaf verder in 321 gevallen advies aan een overheid over een wetsvoorstel en moest in 2985 informatie geven over een privacyvraagstuk. Het aantal van zulke informatievragen daalt sterk. Dat waren er 2021 nog 4207, en in 2019 5016. In een op de vijf gevallen werd er een vraag gesteld over direct marketing en in nog eens 22 procent over het gebruik van camerabeelden.

De Gegevensbeschermingsautoriteit rondde 189 onderzoeken af. De GBA merkt vooral op dat het soms lang kan duren voor een onderzoek af is. 72 van die onderzoeken werden in 2021 gestart. Nog eens 46 onderzoeken liepen al in 2020 en 10 onderzoeken begonnen zelfs al in 2018 en hadden dus vijf jaar nodig om afgerond te worden. In totaal deelde de GBA voor 738.900 euro aan boetes uit.

De toezichthouder zegt nog steeds problemen te hebben met de invulling van de directie. Het is daar al jaren chaotisch, beschreef Tweakers vorig jaar al. De Belgische waakhond kent vijf afdeling met ieder een eigen directie, maar in 2022 werden twee van die directieleden ontslagen. Daarom moesten de overgebleven drie directieleden de leiding nemen over de twee andere afdelingen. De toezichthouder kreeg vorig jaar wel extra geld voor zijn taken. De toezichthouder heeft 66 werknemers en had vorig jaar een budget van iets minder dan 10 miljoen euro.

Reacties (8)

[kodak]

Wettelijk hebben personen onafhankelijk van elkaar recht een klacht in te dienen over wat een ander met hun persoonsgegevens doet. Dat het voor een toezichthouder handig is om een gemeenschappelijke oorzaak bij een organisatie menen te zien lijkt me geen reden om dan ook maar net te doen alsof het een klacht betreft. Als een bedrijf van 1 miljoen personen het recht aan hun laars lapt, dan gaat het 1 miljoen keer mis, niet slechts 1 keer bij een miljoen personen. De wet is niet dat je ongeacht het aantal personen die je treft maar 1 overtreding hebt.

[Orangelights23]

Ik snap je gedachtegang. Wat als het om 1 dataset gaat welke per ongeluk opengezet is naar het publieke internet door een verkeerd doorgevoerde change, waar toevallig 100.000 mensen in staan? Is het één fout, of 100.000 fouten?

[robertlinke]

het is 1 fout die 100.000 mensen raakt. er moet gekeken worden naar de impact van een lek, niet alleen naar wat er fout is gegaan

[batjes]

GBA heeft nog minder tanden dan het AP zo te lezen.

Het lijkt me allemaal weinig, hebben onze landen zo'n lak aan onze privacy?

[jochemd]

Dat hangt van je definitie van tanden af. De GBA heeft inderdaad slechts ongeveer een derde van het budget van de AP. Maar van de andere kant slaagt de GBA er wel in om daarmee 4 maal zo veel onderzoeken af te ronden (45 vs 189). Ook publiceerde de GBA 203 besluiten terwijl de AP slechts 5 besluiten publiceerde. (Al komt dat natuurlijk ook omat de AP medio 2022 heeft besloten om veel sancties geheim te houden.)

[Floort]

Het is op zich niet zo opvallend dat de GBA uit eigen beweging onderzoeken start. Dat is gewoon een bevoegdheid die noodzakelijk is voor effectief toezicht omdat er systematische blinde vlekken in de klachten zitten. Onderzoeken starten op eigen initiatief is onder de Europese toezichthouders eigenlijk altijd de norm geweest. Wat opvallend is is dat sinds de invoering van de AVG in Nederland de focus bijna volledig is omgeslagen naar onderzoeken naar aanleiding van klachten.

[jochemd]

Ik zie iets heel anders. De AP geeft in haar jaarverslagen het volgende aan voor de onderzoeken afgerond per jaar (alle onderzoeken bij elkaar, dus klacht- en ambtshalve):
2018: 16
2019: 87
2020: 68
2021: 27
Tot en met 31 december 2021 zijn dat er dus 198.

Als we dan gaan kijken naar de hoeveelheid ambtshalve (ex-officio) onderzoeken die de AP start zijn dat de volgende getallen:
2018: 20 (vanaf 25 mei)
2019: 110
2020: 48
2021: 8 (t/m Q1)
Verder wordt aangegeven dat er per 31 mei 2021 142 ambtshalve onderzoeken zijn afgerond,

Minimaal 70% van de afgeronde onderzoeken is dus een ambtshalce onderzoek geweest. Dat zie je ook terug in het KPMG rapport over de taken en middelen van de AP uit 2020 waarin expliciet gesteld wordt dat er onderzoekscapaciteit nodig is voor grote geplande onderzoeken. Dat moeten ambthalve onderzoeken zijn, want klachtonderzoeken worden niet gepland, die overkomen je op het moment dat er een klacht wordt ingediend.

Het lijkt me dus niet juist te zeggen dat de focus volledig is omgeslagen. In tegendeel, ik zou eerder zeggen dat ik het opvallend vind dat de AP zo weinig klachtonderzoek (een wettelijk verplichte taak zonder keuzevrijheid) doet en zo veel ambthalve onderzoek (een taak die de AP naar eigen keuze mag invullen). De AP geeft immers zelf aan dat ze haar wettelijk verplichte taak niet vervult op de wijze die zou moeten, dus waarom wordt er capaciteit ingezet op een optionele taak?

[Floort]

Die statistieken zijn lastig te vergelijken. De ene gaat over e.o. onderzoeken die zijn gestart, de andere over onderzoek die zijn afgerond. Daar zit bijvoorbeeld een gat in van onderzoeken die nog lopen, zijn afgekapt zonder netjes af te sluiten, eerstelijns onderzoek, alternatieve interventies, etc.. Ook capaciteit voor klachten onderzoek moet gepland worden. En niet klachtgestuurd onderzoek is zeker niet optioneel maar een essentieel onderdeel van de taken van de toezichthouder. En behalve dat het een expliciete taak is is het noodzakelijk voor effectief toezicht omdat er in klachten significante blinde vlekken en meer subtiele vormen van bias zitten die het toezicht ondermijnen als er niet voor gecorrigeerd wordt.