Autoriteit Persoonsgegevens krijgt volgend jaar 3,8 miljoen euro meer budget

De Autoriteit Persoonsgegevens krijgt volgend jaar 3,8 miljoen euro meer budget dan begroot. Het budget van de privacytoezichthouder zou in 2024 36,3 miljoen euro worden, maar op Prinsjesdag blijkt dat bedrag te stijgen naar 40,1 miljoen euro.

Het nieuwe budget is opgenomen in de Miljoenennota, de Rijksbegroting die dinsdag door het Nederlandse ministerie van Financiën werd gepresenteerd. Daarin staat dat de Autoriteit Persoonsgegevens in 2024 een budget van 40.121.000 euro krijgt. Dat is meer dan het eerder was toegezegd; vorig jaar zegde het kabinet toe dat de AP in 2024 nog 37.829.000 euro zou krijgen, maar later werd dat bijgesteld naar een budget van 36.361.000 euro.

Meer dan de helft van die stijging is te verklaren door het extra toezicht op algoritmes dat de AP sinds vorig jaar moet houden. De algoritmetoezichthouder ging in januari dit jaar van start, maar dat is feitelijk een aparte directieafdeling binnen de Autoriteit Persoonsgegevens. De privacytoezichthouder kreeg al de toezegging dat het twee miljoen euro extra kreeg op het budget voor dat specifieke algoritmetoezicht. In de Rijksbegroting is die twee miljoen euro op een hoop gegooid in het algehele budget van de toezichthouder, wat de scheidslijn tussen de AP en de algoritmetoezichthouder nog diffuser maakt. De AP hoort onafhankelijk te zijn en zelf te bepalen waar het zijn budget aan uitgeeft en prioriteiten legt, maar doordat de overheid nu het volledige budget op een enkele kostenpost zet, lijkt het er sterk op dat de overheid de toezichthouder opdraagt waar het zich mee bezig moet houden.

Het extra geld voor algoritmetoezicht ligt op twee miljoen euro. De rest van de verhoging is een 'toekenning van loon- en prijsbijstelling' en 'voor het overige deel is het de resultante van de toevoeging van oplopende gelden uit het Coalitieakkoord', schrijft de minister.

Het budget van de AP groeit volgens de nieuwe Rijksbegroting tot 43,8 miljoen euro in 2026. Vanaf dat moment blijft het budget daarop steken en zit er geen verdere groei meer in. Die 43,8 miljoen euro zijn ook al twee miljoen euro méér dan vorig jaar begroot werd. De Autoriteit Persoonsgegevens zegt zelf minimaal 100 miljoen euro per jaar nodig te hebben. De privacytoezichthouder heeft al jaren last van grote achterstanden en kan daardoor veel van zijn taken niet of nauwelijks meer vervullen.

Reacties (35)

[Patriot]

De AP hoort onafhankelijk te zijn en zelf te bepalen waar het zijn budget aan uitgeeft en prioriteiten legt, maar doordat de overheid nu het volledige budget op een enkele kostenpost zet, lijkt het er sterk op dat de overheid de toezichthouder opdraagt waar het zich mee bezig moet houden.

@TijsZonderH Ik snap deze conclusie niet. Het extra budget is toch juist gewoon toegewezen aan de hele AP? Dat de Tweede Kamer de keuze voor het extra budget moet verantwoorden en dat doet middels het feit dat ze de AP heeft belast met een extra taak, is toch niet automatisch te vertalen als een soort verkapte instructie voor het bestuur?

Het alternatief is dat de Tweede Kamer zijn budgetkeuzes voor zbo's niet meer gaat verantwoorden omdat dat indirect zou kunnen worden vertaald naar een instructie voor een organisatie die zelfstandig behoort te opereren. Dat vind ik onder de streep geen verbetering.

Er is uiteraard nog genoeg te zeggen over het feit dat de AP met of zonder de extra belasting van het algoritmetoezicht niet het budget krijgt om haar taak fatsoenlijk uit te voeren, maar dat staat hier volgens mij los van.

[ViNOK16Bit]

Dit is best wel zorgelijk eigenlijk.

"De AP hoort onafhankelijk te zijn en zelf te bepalen waar het zijn budget aan uitgeeft en prioriteiten legt, maar doordat de overheid nu het volledige budget op een enkele kostenpost zet, lijkt het er sterk op dat de overheid de toezichthouder opdraagt waar het zich mee bezig moet houden."

[Rhinosaur]

Maar dit soort verzoeken of signalen komen regelmatig vanuit de Kamer. Die geeft aan dat ze bijvoorbeeld voor algoritmes meer geld willen en dat daar meer op moet gebeuren. Algoritme was afgelopen jaar sowieso een van de heetste onderwerpen. Kan me prima voorstellen dat er nu specifiek voor dit onderwerp meer geld komt.

[TijsZonderH]

De politiek zou helemaal geen invloed mogen hebben op een zbo. Wat als de Tweede Kamer de AP zou opdragen alleen nog maar naar het bedrijfsleven te kijken maar niet naar privacyschendingen bij de overheid 'omdat dat hete onderwerpen zijn'?

En dat is nog hypothetisch. Concreet moet de AP nu schaarse middelen naar algoritmetoezicht sturen, terwijl ze ook veel andere dingen zouden kunnen doen met die middelen. Want die twee miljoen extra die ze krijgen is niet genoeg voor algoritmetoezicht...

[MennoE]

Je doet voorkomen alsof het vanzelfsprekend is dat de politiek geen invloed mag uitoefenen op een zbo. Zo vanzelfsprekend is dat volgens mij niet. Het bestaan van een zbo vindt zijn basis in politieke besluitvorming. Dit betekent dat een zbo een bepaalde maatschappelijke verantwoordelijkheid heeft, die is vastgesteld door de wetgever. Het is dan toch niet zo vreemd dat er door de wetgever via budget indirect gestuurd wordt op welke verantwoordelijkheden prioriteit zijn?

[Xbeek]

Helaas heb je gelijk: juridisch gezien valt een zbo onder de verantwoordelijkheid van een minister.

In een (naar mijn mening) gezonde rechtsstaat zijn politiek en rechtspraak gescheiden.

In mijn ogen zou een zbo ook onafhankelijk en kritische moeten kunnen zijn naar hun “eigen” ministerie…

Misschien zouden ze organisatorisch wel in het rechtssysteem geplaatst moeten worden. Ook onze populistische politiek heeft een onafhankelijke handhaver nodig!

[Patriot]

In een (naar mijn mening) gezonde rechtsstaat zijn politiek en rechtspraak gescheiden.

Wat heeft dat ermee te maken? De AP is geen onderdeel van de rechtspraak.

[mjtdevries]

Maar het lijkt er wel erg op.
Ze stellen vast of je je wel of niet aan de wet gehouden hebt (AVG/GDPR) en leggen boetes op.
Dat lijkt toch wel erg op wat een rechter ook doet.

Als je hetzelfde soort werk doet als een rechter, dan geld daarmee ook dezelfde reden om gescheiden te zijn van de politiek.

[Patriot]

Maar het lijkt er wel erg op.
Ze stellen vast of je je wel of niet aan de wet gehouden hebt (AVG/GDPR) en leggen boetes op.
Dat lijkt toch wel erg op wat een rechter ook doet.

Als je hetzelfde soort werk doet als een rechter, dan geld daarmee ook dezelfde reden om gescheiden te zijn van de politiek.

Het lijkt er niet echt op. Het is niet heel anders dan dat je een parkeerboete krijgt van een BOA. Die BOA is ook niet opeens onderdeel van de rechterlijke macht. Daarnaast zijn er rechtsmiddelen aan te wenden waarmee de boete kan worden aangevochten.

Het enige verschil is dat er bij bestuursrechtelijke zaken geen schorsende werking uitgaat van het aanwenden van die rechtsmiddelen, waar dat in bijv. het strafrecht vaak wel zo is (alleen in bepaalde gevallen niet, het gegeven voorbeeld van de parkeerboete is er daar overigens wel één van).

[ALRD]

De AP is bevoegd om den bestuursrechtelijke boete op te leggen. Daartegen kun je bezwaar aantekenen en uiteindelijk ook in beroep gaan bij een bestuursrechter.

[WillySis]

Dat een zbo onder de verantwoordelijkheid van een minister valt, betekend niet automatisch dat die minister invloed kan uitoefenen op het werk van die zbo. In principe moet de minister alleen controleren of de zbo goed functioneert en de opgelegde taken naar behoren uitvoert. Wanneer de zbo de taken wegens beperkingen (financieel of anders) niet kan uitvoeren moet de minister in actie komen. Als de minister buiten zijn boekje gaat en zich gaat bemoeien met het werk van de zbo, kan de laatste een brandbrief naar de kamer sturen, die op haar beurt de minister om uitleg zal vragen.

Ook als de AP in het rechtssysteem wordt geplaatst blijven ze onder de verantwoordelijkheid van een minister vallen.

[R4gnax]

Die discussie is hier eigenlijk niet relevant omdat de AP niet als een zelfstanding bestuursorgaan (ZBO) georganiseerd kan zijn.

Bij de wettelijke constructie van een ZBO is de minister verantwoordelijk voor het aanstellen van personeel en dat is niet vereenzelvigbaar met artikel 52 (meen ik me zo uit het hoofd) van de AVG/GDPR inzake onafhankelijkheid. Dat artikel stelt dat aanstelling autonoom door de autoriteit zelf geregeld moet worden.

Dit is een eis van de AVG juist omdat de autoriteit ook de verantwoordelijkheid heeft de rechtsstaat en in het bijzonder de uitvoerende macht te controleren. Als een regering vervolgens haar eigen stromannetjes zou aan mogen stellen, dan maakt dat e.e.a. wel iets te makkelijk te corrumperen.

[Reactie gewijzigd door R4gnax op 25 juli 2024 16:21]

[FONfanatic]

Ik deel die aanname van @TijsZonderH niet. Juist doordat er een lumpsumbedrag op de begroting staat krijgt de AP meer zeggenschap over de besteding. Want juist bij doelbestemmingen gaat het mis met de autonomie van toezichthoudende autoriteiten.

Overigens, terzijde, een andere autoriteit, de NZA, zou door de Kamer eens geradbraakt mogen worden over hoe die toezicht uitoefenen, op de stoel van artsen, psychologen en psychiaters gaan zitten, en patiëntencasussen dwingend proberen te stroomlijnen tot standaardzorgpakketten. Ronduit schandalig hoe men daar boekhouddiscipline oplegt aan persoonlijke zorg en aandacht. Maar ja, zorg voor de zwakkeren, dat scoort niet bij de protofascistische rechtspopulisten.

[FrostyPeet]

Ik hoop dat de AP er wat zinnigs mee doet, en het niet uitgeeft aan externe consultants en adviesbureautjes. Hoewel... Sommige materie is zo complex, vraag me af of de AP genoeg deskundige medewerkers kan behouden. Helemaal als commerciële partijen grof inzetten op bijvoorbeeld AI.

[jochemd]

Ik hoop dat de AP er wat zinnigs mee doet, en het niet uitgeeft aan externe consultants en adviesbureautjes.

Ik moet je teleurstellen. Dat staat exact in het jaarverslag en de doelstelling luidt:

Omvang externe inhuur maximaal 10% van uitgaven t.b.v. het eigen personeel

De realisatie: in 2021 6,8% en in 2022 20,9%.

[Tintel]

AP genoeg deskundige medewerkers kan behouden.

Als dat niet kan dan moeten ze meer betalen....alsof externe mensen goedkoop zijn....
Natuurlijk heb je bij in dienst treding te maken met nog meer kosten maar toch....kennis verlies kost ook geld.

Eigenlijk is het gek dat commerciele partijen een hoger salaris zouden kunnen betalen: de overheid heeft eigenlijk oneindig diepe zakken...

[R4gnax]

Als dat niet kan dan moeten ze meer betalen...

Klopt. Dat is ook mede waarom de AP al jaren aangeeft een hiaat van zo'n grove 70 miljoen in haar toegekende budget te hebben. Ze hebben het geld niet om het loon te kunnen bieden wat die mensen zou behouden.

Mede met dank aan Sander 'Sloopkogel' Dekker.

[Reactie gewijzigd door R4gnax op 25 juli 2024 16:21]

[cool0]

Wat doen ze met het geld eigenlijk? Want wij hebben al bedrijf er tal van meldingen gemaakt dat onze data bij andere partijen was gestolen. Je kent het wel je krijgt een mail van een leverancier ja iemand heeft toegang gehad tot onze mailserver jullie gegevens zaten daarbij... sorry . De leverancier doet GEEN melding bij de AP dus doen wij dat en er gebeurd helemaal niks mee. Je krijgt na weken een melding dat er geen boetes zijn of dergelijke dus het is een grote wassenneus.

[DaWizza]

Dat ligt eraan welke gegevens gestolen zijn en welke negatieve effecten dat kan hebben. Als er een analyse is gemaakt van de gegevens en wat ermee kan gebeuren, daar komt uit dat het allemaal niet zo spannend is (ze hebben een telefoonnummer, een naam en een email adres, wat kan een kwaadwillend persoon daar precies mee?) Dan hoeft daar geen melding van te komen.

Sterker nog, een melding maken terwijl het niet zo spannend is gaat tegen de AVG in.

Er zit best vele nuance in de AVG, over het algemeen hoef je geen melding te maken, tenzij...

[R4gnax]

Er zit best vele nuance in de AVG, over het algemeen hoef je geen melding te maken, tenzij...

Het is juist andersom. De AVG stelt dat je binnen 72 uur van een inbreuk melding bij de aangestelde autoriteit gegevensbescherming moet maken, tenzij het onwaarschijnlijk is dat de inbreuk een risico vormt voor de rechten en vrijheden van natuurlijke personen.

[R4gnax]

In dat geval treden deze partijen als verwerker op en niet als gegevensverantwoordelijke.
Als afnemer van zo'n dienst zijn jullie de gegevensverantwoordelijke.
Een verwerker is enkel verplicht melding te doen bij de gegevensverantwoordelijke.

De gegevensverantwoordelijke is vervolgens verplicht de ernst in te schatten en te besluiten of zij melding moeten maken bij de aangestelde autoriteit gegevensbescherming. Daarnaast is de gegevensverantwoordelijke ongeacht of er melding gemaakt wordt of niet, sowieso verplicht om interne verslagvoering te houden inzake de inbreuk; incl. feiten, gevolgen, en genomen correctieve maatregelen. Deze documentatie moet later alsnog aan de autoriteit ter beschikking gesteld worden, mochten zij bijv. steeksproefsgewijs controleren op de naleving van de wetgeving.

(En ja; dat recht hebben ze. Alleen is in NL de aangestelde autoriteit, de Autoriteit Persoonsgegevens, zo kommerlijk onder-gebudgeteerd dat ze er logischerwijs nauwelijks of gewoon niet aan toekomen om dat ook te doen.)

[Reactie gewijzigd door R4gnax op 25 juli 2024 16:21]

[ari3]

De Autoriteit Persoonsgegevens (en vele andere toezichthouders) zouden makkelijk budgetneutraal kunnen opereren. Als je een substantieel deel van de overheidsbegroting uit boetes wil financieren (zoals ook kleinschalig met verkeersboetes gebeurd) dan geef je bij iedere toegekend budget voor handhaving een target mee zodat de handhaving zichzelf en andere overheidsuitgaven bekostigd.

Het is gewoon zot dat hardwerkende en spaarzame burgers en bedrijven opgezadeld worden met hoge belastingen terwijl organisatie en burgers die wetten overtreder lage boetes krijgen of geheel geen boete door gebrek aan handhaving.

Ik zie graag een deel van de belastingambtenaren ingezet worden bij toezichthouders (de AP, de NZA, de VWA, enz.) zodat de inkomsten- en vermogensbelastingen significant omlaag kunnen.

[Dekar]

Als dat de loonbelasting omlaag moet brengen, dan moeten ze vele miljarden aan boetes opleggen. Dat lijkt mij verre van mogelijk.

[Reactie gewijzigd door Dekar op 25 juli 2024 16:21]

[ALRD]

Er gaat ook een behoorlijke perverse prikkel vanuit als ZBO's hun begroting rond moeten krijgen met boeteopbrengsten. De naleving van regels moet het doel zijn van sancties en sancties moeten proportioneel zijn.

[Patriot]

De Autoriteit Persoonsgegevens (en vele andere toezichthouders) zouden makkelijk budgetneutraal kunnen opereren.

In beginsel niet. Dan zou je het punitieve deel van de boetes al variabel moeten maken op basis van de operationele kosten van de AP.

Hoe redelijk dat is kun je afleiden uit hoe redelijk het zou zijn om de volledige kosten van het politieapparaat (verdeeld) te verhalen op de mensen die in een jaar met de politie te maken hebben gehad.

EDIT: Dat neemt overigens niet weg dat ik vind dat er meer geld naar de AP moet om de handhaving beter te maken.

[Reactie gewijzigd door Patriot op 25 juli 2024 16:21]

[Splorky]

Heb het idee dat de AP maar een beetje half dood werdt gehouden. Zorgt alleen maar voor problemen bij het bedrijfsleven. Voor het idee bestaat het maar het mag nooit meer worden dan een papieren tijger die verdrinkt in achterstallig onderhoud. Ik wil de schuld geven aan een dominante politieke partij die er graag voor grote bedrijven is, maar weet niet of dat echt klopt.

[latka]

Alle toezichthouders draaien op hun tandvlees: de overheid stuurt al een jaar of 20 op 'ondernemers zijn verantwoordelijke mensen die de kantjes er niet vanaf lopen'. Dat dat niet altijd zo blijkt te zijn is men vervolgens doof voor. Met als gevolg dat excessen te lang doorlopen omdat er te weinig menskracht is en alleen dossiers die de krant halen de aandacht krijgen die nodig is.

[Peatsmoke]

Da's niet meer of minder dan een inflatiecorrectie.

[Dragony]

Aha, 3.8 miljoen.

In de tussentijd... nieuws: Nederland stelt 930.000 euro beschikbaar voor cybersecurityverbeteringen

[fwsmit]

Eigenlijk best gek dat (Amerikaanse) bedrijven miljarden verdienen aan onze persoongegevens en wij zijn maar bereid een paar miljoen euro uit te geven om onze gegevens te beschermen. Persoonsgegevens zijn veel waardevoller dan menig persoon door heeft. Maar de overheid zou hier toch wel meer aandacht aan moeten besteden.

[Roel1966]

Eigenlijk vind ik er iets dubbels aan zitten dat er zoveel geld gaat naar de Autoriteit Persoonsgegevens die er dan op toe ziet op onze privacy. Maar eigenlijk zou toch de veroorzaker hier voor moeten betalen en niet de staat. Dan vraag ik mij vervolgens af waar dan de opgelegde boetes naartoe gaan en blijkbaar niet, of niet volledig naar de Autoriteit.

Verder vraag ik mij af waar dan 100 miljoen euro allemaal naartoe gaat binnen die Autoriteit en misschien dat daar ook eens naar gekeken moet worden. En tja, mede omrede van extra werk door controle van algoritmes heb ik ook zo mijn bedenkingen bij. Ik heb in elk geval niet gevraagd voor AI wat ons aan alle kanten door de strot geduwd word.