AP deed in 2024 amper onderzoek op eigen initiatief ondanks eerdere beloftes

De Autoriteit Persoonsgegevens heeft 'zo goed als geen ruimte' om privacyonderzoeken uit eigen beweging te starten. Het is niet bekend hoeveel dergelijke onderzoeken de AP ambtshalve deed, maar dat lijkt bij lange na niet de 'balans' die voorzitter Wolfsen eerder tegen Tweakers noemde.

De Autoriteit Persoonsgegevens schrijft in haar jaarverslag over 2024 dat ze in dat jaar 'zo goed als geen ruimte heeft voor het op eigen initiatief uitvoeren van onderzoek'. Dat komt door het jaarbudget, dat volgens de toezichthouder nog steeds structureel minder dan de helft is van wat ze nodig zou hebben.

Door dat lage budget kan de AP vrijwel geen onderzoek ambtshalve uitvoeren, al schrijft de toezichthouder niet hoeveel dergelijke onderzoeken ze in 2024 begon, had lopen en afrondde. De Autoriteit Persoonsgegevens kan een officieel onderzoek op twee manieren beginnen: naar aanleiding van een klacht of datalekmelding, of op eigen initiatief. Dat laatste kan bijvoorbeeld na berichten in de media of door steekproeven. Het is belangrijk dat de AP regelmatig ambtshalve onderzoek doet, omdat het anders voor privacyschenders loont om een datalek te verzwijgen. Maar voor die rol heeft de AP naar eigen zeggen nog steeds weinig tijd.

Dat staat haaks op wat AP-voorzitter Aleid Wolfsen de afgelopen jaren meermaals heeft gezegd en beloofd, onder andere in interviews met Tweakers. In 2021 zei Wolfsen dat er 'balans begon te komen' tussen onderzoek reactief en ambtshalve doen. In 2022 bleek echter dat de toezichthouder 'amper onderzoek' deed naar datalekken die niet worden gemeld.

Tegelijkertijd merkt de AP op dat ambtshalve onderzoek uitvoeren juist nu steeds belangrijker wordt. Dat heeft te maken met de opkomst van AI. "Privacyschendingen die hiermee te maken hebben, zijn namelijk vaak minder zichtbaar, en komen dus niet tot ons in de vorm van een klacht. We moeten daar zelf op onderzoek uit." De AP zette het afgelopen jaar onder andere extra in op algoritmetoezicht. Sinds 2023 heeft de toezichthouder ook een nieuwe afdeling die zich specifiek richt op algoritmetoezicht, wat een verplichting is vanuit de aankomende AI Act en een wens vanuit de Nederlandse politiek.

De AP wijt haar gebrek aan onderzoek op eigen initiatief aan het te lage budget, maar het lijkt er niet op dat dat in de toekomst zal stijgen. Het kabinet verhoogt het budget voor de toezichthouder vanaf dit jaar naar 49 miljoen euro structureel tot 2029. De AP wil meer dan het dubbele. De toezichthouder pleit al jaren voor een budget van minimaal 100 miljoen euro per jaar om aan al haar taken te kunnen voldoen.

Dat bedrag is niet uit de lucht gegrepen: dat komt uit een rapport van KPMG dat de AP zelf liet opstellen, maar werd ook onderschreven door de politiek. De parlementaire-enquêtecommissie naar de toeslagenaffaire zei vorig jaar dat instituten zoals de AP financieel versterkt zouden moeten worden. Aleid Wolfsen zei vorig jaar in een interview met Tweakers dat hij verwachtte dat de Tweede Kamer die conclusies in de Prinsjesdag-begroting zou overnemen, maar dat gebeurde niet. De regering begint volgende maand met onderhandelingen voor de Voorjaarsnota, maar vooralsnog zijn er weinig signalen dat het budget van de AP daarbij wordt verdubbeld.

Reacties (34)

[WillySis]

Dat de AP moet blijven aangeven dat het budget bij lange na niet voldoende is, toont wel aan hoe belangrijk de politiek de handhaving van onze privacy vindt. Neem daarbij hoe vaak de AP overheidsinstanties op de vingers tikt en je weet hoe de vlag erbij hangt.
De AP krijgt er ook nog eens taken bij (zoals de controle op AI), maar voldoende budget om fatsoenlijk te kunnen functioneren is er niet bij.
In theorie kan de AP zelfs winstgevend zijn. De boetes kunnen behoorlijk oplopen, zeker als het om internationale bedrijven gaat kan een boete het jaarbudget gemakkelijk overstijgen. Boetes gaan weer naar de staatskas.

[Tc99m]

In theorie kan de AP zelfs winstgevend zijn. De boetes kunnen behoorlijk oplopen, zeker als het om internationale bedrijven gaat kan een boete het jaarbudget gemakkelijk overstijgen. Boetes gaan weer naar de staatskas.

Dat werkt voor alle overheidsdiensten zo, en is ook een goede zaak want anders is er een enorme perverse prikkel voor organisaties om de meest makkelijk te beboeten overtredingen zo vaak als maar kan te beboeten, en complexe zaken links te laten liggen (want die 'renderen' minder).

[supersnathan94]

om de meest makkelijk te beboeten overtredingen zo vaak als maar kan te beboeten

We zijn nu hoeveel jaar verder? En nog steeds is de meest makkelijk te beboeten overtreding (de cookiemuur) nog steeds het meest irritante ding ter wereld en de "Pakkans" is nagenoeg 0.

[lariekoek]

Schijt irritant zijn die cookiemuren met 2 tot 4 lagen van heen en weer om alles na te lopen en uit te zetten.
Is gewoon doelbewust design, "cookie moeheid" uitbuiten. Verplicht 3 knoppen, afwijzen, accepteren (functioneel), bewerken (opt in).

Als je er één stevig aanpakt voor een precedent en ervolgens een systeem online zet om klachten naartoe te sturen, vervolgens een gepersonifieerde template brief afleveren.
Na verloop van tijd nog één keer een check en anders kassa, toch?

Dan ben je toch al een heel eind op weg of missen we iets?

[supersnathan94]

ja dat zou je zeggen toch?

Ff 1 keer toetsen bij een rechter wat mag nou wel en wat mag nou niet, briefje schrijven met dit is hoe jij het nu k*t doet, pas het aan zodat het wel voldoet, je hebt 3 maanden, anders 2% revenue + 1K per week, NEXT!

Ben je er zo vanaf toch?

[lariekoek]

Ja geen idee, mijn vak is het niet, wel een dikke ergernis. Tussendoor wat lezen zit er gewoon niet meer in. Moet je meteen rotzooi accepteren en/of abbo's afsluiten.

[SJCE]

Ja,de gebruikers van die cookiewalls laten betalen voor het verwijderen van de onterecht verzamelde informatie, inclusief alle verder verwerkte vormen.

[Zer0]

Boetes gaan weer naar de staatskas.

En daar wordt het AP weer van betaald. Lijkt me ook de juiste manier, een toezichthouder die "winst" kan maken lijkt me niet gewenst... boetes uit gaan delen om een eigen budget te spekken kan tot rare situaties leiden.

[Fliepke]

Ik denk dat het op dit moment zorgelijker is dat eigenlijk iedereen er wel van overtuigd is dat er zoveel overtredingen in de markt zijn dat je daarmee de broek van de AP makkelijk op kan houden.
Dat dat op termijn tot ongewenste bijeffecten zou leiden is ook evident, maar volgens mij zitten we nu dus aan de andere kant. Dat vind ik zelf zorgelijker.

[Zer0]

Maar de oplossing is simpel, ze moeten meer budget krijgen als dat noodzakelijk is, niet zelf voor "budget" gaan zorgen.

[WillySis]

Daar heb je volledig gelijk in. Die hoge boetes aan internationale boetes zijn leuke extraatjes voor de staatskas, maar je kan er geen (financieel) beleid op maken. Als ik alleen al naar de Nederlandse sites kijk en hoe die omgaan met de cookiewetgeving, dan is dat om te huilen. Officieel moet weigeren net zo gemakkelijk zijn als accepteren. In de praktijk kan accepteren met een tik op een knop terwijl je voor weigeren drie knoppen aangetikt moeten worden. Met een beetje pech blijven er bij weigeren toch nog een aantal cookies actief (neem als voorbeeld AndroidWorld.nl).
Ook het opslaan van niet noodzakelijke gegevens is mag niet, maar is heel gebruikelijk. Als je bij een webwinkel iets besteld wordt daar nog steeds naar gegevens gevraagd die er helemaal niet toe doen.

[Floort]

Het is terecht om ook naar het budget te kijken. Maar dit is niet de de oplossing vanwege principiele redenen die @Zer0 al noemt, maar ook omdat de output van de AP enorm is afgenomen met het toegenomen budget. De werkwijze van de AP moet anders. En dan pas moet er budget bij om de betere werkwijze op te schalen.
https://x.com/floorter/status/1903047884913676688

[CivLord]

Er staan niet voldoende privacy-deskundigen met hun duimen te draaien en te wachten op vacatures van de AP.
Nieuwe mensen moeten geworven, opgeleid en ingewerkt worden. Dat vergt inzet van de medewerkers die nu al bij de AP werken. Elke verhoging in het budget die het mogelijk maakt een substantieel aantal nieuwe medewerkers aan te nemen zorgt voor een tijdelijke maar substantiéle daling van de effectieviteit van de AP,omdat de bestaande medewerkers een deel van hun tijd bezigg zijn met de nieuwe medewerkers.
Verhoging van het budget moet dus stapje voor stapje gebeuren en niet in één klap, om te voorkomen dat de AP de komende paar jaar enkel een opleidingsinstituut wordt dat nauwelijks aan toezicht toe komt.

[Floort]

Het budget wordt al geleidelijk opgehoogd. Dat is ook duidelijk zichtbaar in de grafieken waar ik naar link.

Wat gevaarlijk is is als je mensen binnenhaalt en ze verkeerd opleid omdat de organisatie verkeerde gewoontes heeft geadopteerd. Dan wordt het nog lastiger bijsturen als je alvast begin met groeien voordat je er inhoudelijk klaar voor bent.

[Reactie gewijzigd door Floort op 23 maart 2025 08:47]

[Tomatoman]

De AP zet heel wat meer medewerkers in dat het ons doet geloven. En wat zegt het jaarverslag 2024 daarover op pagina 24? Doelstelling externe inhuur: 10%; uitkomst: 15%. Heel cryptisch, want uit datzelfde jaarverslag blijkt zonneklaar dat het om maar liefst 31% gaat.

Het aantal medewerkers bij de AP groeide vorig jaar van 238 fte naar 260 fte – dat is gemiddeld 249 medewerkers. In 2024 ontving de AP € 34.359.432 aan bijdragen van Justitie en andere departementen [bron: AP jaarverslag 2024, pag. 37]. Die bestaat voor € 20,0 miljoen uit personeelskosten en voor ruim € 6,2 miljoen uit inhuur van personeel. De externe inhuur kost dus 31% van de uitgaven ten behoeve van het eigen personeel, volgens de door de AP gehanteerde definitie op pagina 24.

Het probleem is mijn inziens maar ten dele dat de AP te veel taken heeft voor haar huidige omvang. Het daaraan ten grondslag liggende probleem is dat de AP er kennelijk niet in slaagt om een goed personeelsbestand op te bouwen en voortdurend moet teruggrijpen op een groot aantal inleners. De oplossing is niet meer geld, maar meer eigen personeel en minder inhuur.

[WillySis]

Voor meer personeel is meer geld nodig. Personeel is echter moeilijk te krijgen en dan wordt inhuren of het uitbesteden van projecten een mogelijkheid om een deel van het werk toch gedaan te krijgen. Als een onderzoek specialistische kennis vereist is het uitbesteden soms beter.
Als de financiering voor de lange tijd duidelijk is, dan heeft eigen personeel meestal de voorkeur. Voor specialiteiten die niet vaak nodig zijn blijft het uitbesteden of inhuren van personeel de voorkeur houden.

[RogerWilco2]

Een goede manier om een rechstaat uit te hollen en meer corruptie toe te staan is door wel toezichthouders te hebben, maar die niet de funding te geven die nodig is. Dan lijkt het voor de burger allemaal prima en wordt er in de praktijk geen toezicht gehouden.

[The Zep Man]

Een goede manier om een rechstaat [sic] uit te hollen en meer corruptie toe te staan is door wel toezichthouders te hebben, maar die niet de funding te geven die nodig is. Dan lijkt het voor de burger allemaal prima en wordt er in de praktijk geen toezicht gehouden.

De rechtsstaat heeft geen toezichthouders omdat het voor de burger prima moet lijken. De rechtsstaat heeft toezichthouders omdat de EU dit oplegt in wet- en regelgeving. Helaas gaat die wet- en regelgeving voor privacy niet voldoende in op hoe effectief toezichthouders moeten zijn.

[BiLLY_daKid]

Ik denk dat de oplossing vrij eenvoudig is. Ook voor de politie: opbrengsten uit de prenten niet volledig naar het ministerie van financien, maar een deel naar de afzender. Dus een incentive om meer controles te draaien.

[The Zep Man]

Dat zet de deur open voor corruptie, want kijk ons eens goed bezig zijn (en daardoor beter gefinancierd worden).

We hebben meermaals bij bijvoorbeeld de Politie en de Belastingdienst gezien dat die niet goed met situaties zonder harde grenzen en overzicht om kunnen gaan. Met ambtenaren die absolute bescherming genieten (met "ik deed wat mij was opgedragen" als excuus) is dat bijzonder gevaarlijk. Je verliest dan snel het menselijke aspect zoals bij de bonnenquota, de toeslagenaffaire, etc.

[Reactie gewijzigd door The Zep Man op 21 maart 2025 13:04]

[BiLLY_daKid]

Beide voorbeelden zeggen niets over het niet terecht zijn van die boetes. Als je je aan de regels houdt, krijg je geen boete.

De toeslagenaffaire kwam vooral doordat de personen hun toeslagaanvraag hadden uitbesteed aan de gastouder/opvang en daarna genadeloos geflieerd werden door de belastingdienst omdat die niets te maken heeft met dat bedrijf.

[Martijn033]

De toeslagenaffaire kwam ook doordat de politiek (lees: de Tweede Kamer) naar aanleiding van de Bulgarenfraude had verordonneerd dat iedere vorm van fraude met toeslagen heel zwaar en vrijwel onmiddellijk moest worden bestraft. En dat daarbij geen ruimte mocht zijn voor een zogenaamde "menselijke maat".

[kodak]

Dat er meer budget nodig is om in verhouding toe te kunnen zien lijkt me duidelijk. Maar het nieuws is dat er nauwelijks op eigen initiatief onderzoek is gedaan. En dan kan een toezichthouder wel stellen dat dit door te weinig budget zou komen, maar voor zover ik weet kiezen ze zelf waar ze het budget wat ze hebben aan besteden. Ze lijken het zelf liever te besteden aan andere taken, terwijl ze ook kunnen kiezen het meer te verdelen over hun verschillende taken.

Het doel van eigen onderzoek is onder andere het kunnen voorkomen van problemen. Om dus minder achteraf problemen te hoeven verwerken en bestraffen, als het al te laat is.

[CivLord]

Geen enkele afdeling van welk bedrijf of organisatie ter wereld krijgt het budget waarvan ze zelf vinden dat het nodig is om optimaal te kunnen functioneren. Dat daar over geklaagd wordt is ook niets nieuws.
Dat het niet zondermeer geven van het gevraagde budget jou meteen aan uithollong van de rechtstaat doet denken betekent dat dhr. Wolfsen goed geslaagd is in zijn mmanipulatie.

Het is niet alsof het verdubbelen van het budget er voor zorgt dat de AP opeens dubbel zo effectief wordt.
Het is niet alsof er in de coulissen honderden deskundigen in privacyrecht staan te springen om door de AP aangenomen te weorden. Die mensen moeten geworven en opgeleid worden. Ik weet niet of je in een organisatie/ bedrijf zelf wel eens een instroom van nieuwe mensen hebt meegemaakt die niet megteen 'plug-and-play' waren, maar het vergt aardig wat inspanningen om iedereen op het gewenste niveau te laten werken. Een flinke boost in het budget van de AP zal de eerste jaren eerder een flinke daling betekenen voor de effectiviteit.
Geleidelijke groei is veel beter. Het het budget van de AP is recentelijk verhoogd van iets rond de 30 mln. naar bijna 50 mln.

[Floort]

Het is jammer dat de bias in klachten wordt gekoppeld aan AI. Er zijn genoeg relevante onderwerpen waar betrokkenen waarschijnlijk geen klachten over indienen. Datalekken waarover betrokkenen niet worden geinformeerd zullen relatief vaak niet resulteren in een klacht. Er zijn verschillende manieren waarop een FG niet goed kan functioneren waar betrokkenen niet over mogen klagen. Er zijn verwerkingsverantwoordelijken die betrokkenen niet informeren over verwerkingen (bijvoorbeeld stilletjes data scrapen). Er zijn verwerkingsverantwoordelijken die onder valse naam werken waardoor betrokkenen nooit een klacht over de juiste verwerkingsverantwoordelijke indienen, etc. etc.

Dit probleem speelt al lang voor de AI boom/hype/whatever en is de belangrijkste reden om te vragen om proactief toezicht. Door alleen te reageren op klachten beloont de AP effectief het gebrek aan transparantie.

[pimlie]

De AP zou daadkrachtiger kunnen zijn als ze sneller boetes zouden uitdelen bij overtredingen. Soort van Wet Mulder voor AVG overtredingen, de politiek zou daarbij moeten kunnen helpen als je dat zouden willen. Denk b.v. aan cameratoezicht maar geen waarschuwingsborden daarvoor? Niet tijdig reageren op privacy vragen/klachten? Uberhaupt geen privacy verklaring gepubliceerd? Gewoon meteen een boete uitdelen. Probleem hierbij lijkt echter helaas te zijn dat het huidige bestuur van de AP liever belerend dan handhavend is, waardoor de pakkans en/of mogelijke gevolgen eigenlijk gewoon te klein is.

[herpiederpienow]

Ik blijf erbij dat het bewust beleid betreft om toezichthoudende organisaties structureel onder te financieren.

Onze volksvertegenwoordigers (collectief, of althans de gene die het voor het zeggen hebben) willen niet dat deze toezichthouders voldoende capaciteit hebben om hun taak goed te kunnen vervullen, dit alles om de pakkans van overtreders negatief te beïnvloeden. Men wil dat er voldoende ruimte is om zich niet aan de regels te hoeven houden. We zien dit ook aan de overheid die regelmatig de regels die zij zelf gesteld hebben overtreden. Het is helemaal niet de bedoeling dat toezichthouders hun taken goed kunnen vervullen. Het doel lijkt voornamelijk dat men stokken heeft om mee te slaan als een partij op één of andere manier lastig lijkt te zijn daar wordt dan wel toezicht op gehouden.

Wat mij betreft is dit het toonvoorbeeld dat aantoont dat we met een corrupte (niet per se in juridische, maar vooral in morele zin) overheid te maken hebben.

[Farmeur]

U krijgt van mij een 10.

U hebt gelijk. Een extra aanwijzing is dat dit gedrag op meer fronten voorkomt. Niet alleen bij AP.

Wat de huidige populistische regering / volksvertegenwoordiging doet, is een beleid van "de ander kan barsten". Dat uit zich vooral in "meer koopkracht, ook als anderen daarvoor moeten bloeden". Die aanpak houdt onder andere in dat deugen niet mag, want met deugen beperk je je vrijheid (NB dit is dus de aanpak van de huidige regering / volksvertegenwoordiging. Het is niet de mijne).

Het beleid is dus "de ander kan barsten" en "deugen mag niet, want dat beperkt je eigen vrijheid". Het uit zich vooral in de wensdroom: uw leven (dat van PVV-ers en BBB-ers) komt weer helemaal op orde als we:
- asielzoekers blokkeren
- klimaatwetten negeren
- milieuregels negeren
- niet meedoen met Brussel.

Dit doe je door grenzen te sluiten, normen op te rekken. Wetten en verdragen zijn iets om te negeren. Je hoort het elke maand wel eens in de Tweede Kamer: nep-parlement, nep-rechters, tuig van de richel (journalisten). Als je dat soort dingen zegt, ben je bezig de democratische rechtsstaat te ondermijnen. Iets wat we vroeger al niet konden hebben, maar het kan tegenwoordig al helemáál niet meer.

En HIER komt om de hoek wat er gebeurt. Normen en wetten worden niet meer beschouwd als regelgevend, maar zijn vooral lastig. Een AP die de wet wil handhaven: och waarom? Dat geld kunnen we beter ergens planten waar onze PVV-er en BBB-er het graag wil hebben. En mensen die de werkelijkheid willen tonen, zijn vooral lastig - die deugen.

Asielbeleid is een probleem? Het antwoord is niet: oplossen. Er wordt zelfs niet eens over de hoofdoorzaken gesproken. Oneerlijkheid staat bovenaan, is geen probleem. Faber was 1-2 maanden geleden een schaamteloos, verschrikkelijk voorbeeld van hoe het niet moet.
En intussen proberen de lieden in Den Haag te scoren. Geen groot beleid, nee scoren met kleinigheden. Dat is wat ze doen. Voorbeeld: de oorzaak van woningnood wordt niet gezocht in de scheve machtsverhouding van woningbouwverenigingen tegenover commerciële project ontwikkelaars, of in de hypotheekrente-aftrek. NEE, de minister wijst op de verplichte nestkastjes, op bouwvoorschriften en op de voorrangsregeling voor erkende vluchtelingen (slechts een klein percentage van alle woningnood). Kleinigheden, maar het scoort goed voor de bühne. De aandacht voor deze kleinigheden moet de werkelijke oorzaken en het eigen onvermogen van onze ministers, maskeren.

Wat AP overkomt, overkomt velen. Het is ondermijning van de democratische rechtsstaat, maar dat interesseert Den Haag niet. "Deugen" kan niet meer - vinden onze ministers en Tweede Kamer. Wetten en regels zijn er om te overtreden. Kwetsbare groepen zijn er om van te profiteren. "Dat heet vrijheid" zeggen onze ministers en Tweede Kamer. Zeer fout.

bronnen: NRC, NOS, Groene Amsterdammer, enz, diverse artikelen.

Copyright 2025 mijzelf. Ik verbied ieder gebruik door AI in welke vorm dan ook. Ik ben eigenaar en wens niet dat statistische, crimineel ingezette machines mijn tekst/inzicht opnemen en gebruiken.
PS ik ben misschien wat pittig of off topic. Mogelijk houden de mods hier niet van. Daarom zal ik het wss bij deze ene post laten.
EDIT: zin beter begrijpelijk gemaakt

[Reactie gewijzigd door Farmeur op 21 maart 2025 20:21]

[Quintiemero]

Maar wel tijd besteden aan een afvalpasje…

[WillySis]

Als daarom gevraagd wordt moet dat gewoon gebeuren. Zoveel tijd neemt zo´n onderzoek nu ook weer niet in beslag. De registratie van het gebruik van een afvalpas kan wel een inbreuk zijn op de privacy en daarom goed dat het gebeurd.

[Quintiemero]

Gevraagd door wie? Ze wijzen tig zaken af omdat ze voor de maatschappij niet belangrijk zijn.

[WillySis]

Ik weet dat er in de omgeving van Arnhem diverse mensen zijn geweest die hun data van de afvalpas hebben opgevraagd en daarna de AP hebben ingeschakeld omdat er meer informatie werd opgeslagen dan (in hun ogen) meer gegevens werden opgeslagen dan noodzakelijk.

[Quintiemero]

Klachten hebben ingediend bedoel je? Je kunt de AP niet echt ‘inschakelen’. Precies, dus de AP pakt zulke zaken wel op terwijl er toch wel echt dringendere zaken zijn:

[PlasticPimple]

Ik vraag me af of sommige zaken niet onderzocht worden om zo iets te creëren dat op jurisprudentie lijkt. Ik ken de casus van het afvalpasje niet, maar de uitkomsten daarvan zijn wellicht van toepassing op heel wat andere zaken.