NL geeft relatief veel uit aan privacy

Maar AP deelt niet de meeste boetes uit

titel

Nederland heeft nog steeds een van de duurste privacytoezichthouders van Europa. De Autoriteit Persoonsgegevens krijgt per hoofd van de bevolking 2,47 euro, terwijl dat in het merendeel van de lidstaten significant minder is. Nederland blijkt nog steeds relatief weinig, maar hoge AVG-boetes op te leggen, al hebben toezichthouders steeds minder goede overzichten van hun boetebesluiten. Nederlandse boetes 'kosten' bovendien meer dan waar dan ook in Europa als je het budget vergelijkt met het aantal boetes.

Nederland is, op een handvol landen na, het Europese land waarvan de bevolking relatief het meest uitgeeft aan zijn nationale toezichthouder. In Liechtenstein, Ierland en IJsland betalen bewoners meer. Liechtenstein is daarbij een extreme uitschieter: het land heeft 40.000 inwoners, maar geeft bijna 1,4 miljoen euro per jaar aan zijn toezichthouder, wat uitkomt op meer dan 34 euro per hoofd van de bevolking. Ook Luxemburg heeft met 15,29 euro per inwoner een dure toezichthouder. Nederland is in dat opzicht nog goedkoop uit; de 18,2 miljoen Nederlanders betalen een budget van 49 miljoen euro aan de privacytoezichthouder, wat neerkomt op 2,47 euro per hoofd van de bevolking.

Dat blijkt uit een inventarisatie die Tweakers deed bij alle 28 Europese privacytoezichthouders. Het is een vervolg op een artikel dat in 2021 op Tweakers verscheen. Destijds klaagde het merendeel van de toezichthouders dat ze te weinig budget van hun overheid kregen. Onder de AVG moet iedere lidstaat in de Europese Economische Ruimte een nationale privacytoezichthouder aanstellen; in Nederland is dat de Autoriteit Persoonsgegevens, in België de Gegevensbeschermingsautoriteit. In dit artikel worden de jaarbudgetten van 2024 geïnventariseerd en, waar mogelijk, van eerdere jaren. De budgetten voor 2025 zijn voor veel toezichthouders nog niet definitief vastgelegd. De nationale parlementen moeten daar nog over stemmen. Daarom wordt in dit artikel uitgegaan van de budgetten van 2024. Die zijn nog nergens in jaarverslagen te vinden, want die volgen altijd pas later in het komende jaar; sommige toezichthouders, zoals de Poolse, publiceerden pas eerder deze maand hun jaarverslag over 2023.

Ontbrekende landen: België, Bulgarije, Cyprus, Estland, Kroatië, Malta, Oostenrijk, Slowakije en Tsjechië

De cijfers die voor dit artikel worden gebruikt, heeft Tweakers ontvangen van de toezichthouders. Hiervoor is navraag gedaan bij de privacytoezichthouders, maar ook gekeken naar openbare bronnen zoals jaarverslagen en websites zoals GDPR Hub. Dat betekent echter wel dat de gegevens niet helemaal compleet zijn. Lang niet alle toezichthouders reageerden op Tweakers' verzoek om informatie; van negentien toezichthouders is antwoord gekregen of waren de budgetten te vinden via alternatieve bronnen.

Wo ist Deutschland?

We maken in dit artikel een uitzondering voor Duitsland. Dat heeft namelijk een nationale toezichthouder op federaal niveau, maar de zestien deelstaten hebben ieder ook een afzonderlijke en onafhankelijke privacytoezichthouder. Die zijn in dit overzicht niet meegenomen.

Die budgetten liggen in Nederland, met 2,47 euro per hoofd, veel hoger dan in de meeste landen. Die variëren van 0,06 euro per persoon in Roemenië tot 1,41 euro in Zweden, maar 11 van de 19 lidstaten die in dit artikel worden onderzocht, betalen minder dan een euro per persoon per jaar voor hun privacywaakhond. Dat is al langer het geval. In 2021 bleek al uit een rapport van de European Data Protection Board dat Nederland een dure toezichthouder had. Alleen de achttien gezamenlijke Duitse toezichthouders en de Italiaanse Garante per la protezione dei dati personali kregen toen meer geld dan de Autoriteit Persoonsgegevens. Het verschil tussen de Nederlandse en Italiaanse toezichthouder is inmiddels flink kleiner geworden. De Italiaanse toezichthouder kreeg in 2024 een budget van 47.685.528 euro, een kleine 2 miljoen euro meer dan de 45.198.000 euro die de AP kreeg. Het Italiaanse budget voor 2025 is nog niet bekend, maar mogelijk krijgt de AP in dat jaar zelfs meer geld dan zijn Italiaanse tegenhanger. Het budget voor de AP gaat dan omhoog naar 49 miljoen euro.

Italië heeft ondertussen met 59 miljoen inwoners bijna drie keer het inwoneraantal van Nederland. Gemiddeld betalen de Italianen daarmee zo'n 80 cent per inwoner, veel minder dan de 2,47 euro per Nederlander.

Ierland en Liechtenstein

Italië is het enige Europese land dat in dit artikel is onderzocht waar het budget dit jaar hoger was dan in Nederland. Er zijn wel meerdere landen waar dat ook in relatieve zin zo is. In IJsland, dat minder dan 400.000 inwoners heeft, krijgt de privacytoezichthouder een budget van 2,5 miljoen euro, omgerekend 6,32 euro per inwoner. Ook de andere Scandinavische landen vallen op: Noorwegen, Zweden en Denemarken betalen respectievelijk 1,26, 1,41 en 1,32 euro per persoon per jaar voor hun toezichthouders. Daar lijkt geen duidelijke oorzaak achter te zitten, buiten het feit dat belastingen in Scandinavische landen over het algemeen hoger liggen dan in de meeste Europese landen.

Kleine landen

De landen waarvan geen budget te vinden is, zijn relatief kleine landen zoals Malta, Cyprus en Oostenrijk. Voor het artikel uit 2021 bekeek Tweakers deze data voor het laatst en toen stonden de meeste van die landen veel lager op de lijst dan Nederland als het ging om kosten per inwoner, op Malta na. Die toezichthouder kostte per inwoner nét iets minder dan de AP.

De uitschieter waar wel een goede verklaring voor is, is de Ierse Data Protection Commission. Die krijgt dit jaar een budget van 28,1 miljoen euro, terwijl het land zo'n 5,3 miljoen inwoners telt. Dat is omgerekend 5,32 euro per persoon per jaar, meer dan twee keer zoveel als in Nederland. Dat is een positieve ontwikkeling voor de AVG in zijn geheel, want Ierland is daar altijd de bottleneck geweest. Veel grote techbedrijven hebben hun hoofdkantoor in dat land zitten, vaak vanwege belastingredenen, maar ook deels vanwege de privacytoezichthouder. De Ierse DPC kreeg in het verleden veel kritiek vanwege zijn lakse houding tegen grote techbedrijven als Alphabet, Meta en Amazon. Die kritiek kwam van privacyactivisten, maar ook van andere toezichthouders in Europa die hardere actie eisten van hun Ierse collega's. Dat liep zelfs zo hoog op dat het Europees Hof van Justitie eraan te pas moest komen. Dat concludeerde in 2021 dat andere toezichthouders een onderzoek mochten overnemen als de hoofdtoezichthouder zou verzaken. In de praktijk bleek dat vaak Ierland te zijn.

De Ierse privacytoezichthouder heeft in de afgelopen vier jaar een opvallende groei in zijn budget gezien: dat steeg van 16,9 miljoen euro in 2020 naar 19,1 miljoen, 23,2 miljoen, 26 miljoen en uiteindelijk 28,1 miljoen euro in 2021, 2022, 2023 en 2024. Die structurele stijging is hoger dan de meeste landen in Europa, behalve weer in Nederland, waar het budget ook procentueel als een van de hoogste in Europa steeg.

Nederland en Ierland laten zich daarmee goed vergelijken. Het feit dat Nederland een dure toezichthouder heeft, ligt volgens de Autoriteit Persoonsgegevens zelf aan het feit dat Nederland veel techbedrijven heeft, sterk gedigitaliseerd is en een goede digitale infrastructuur heeft. "Nederland loopt op veel vlakken voorop als het gaat om digitalisering", zei AP-voorzitter Aleid Wolfsen in 2022 in een interview met Tweakers als reactie op de vraag waarom de toezichthouder zo duur is. "We doen gemiddeld veel meer digitale betalingen en er is hier veel en snel internet. Bovendien zitten veel hoofdkantoren van techbedrijven in Nederland. Daarmee hebben we ook veel verantwoordelijkheden."

Hoge of juist lage boetes

In 2021 onderzocht Tweakers ook het aantal boetes dat Europese toezichthouders uitdeelden. Het artikel richtte zich op het achterhalen of Nederland en België in vergelijking met hun Europese tegenhangers hoog of juist laag straften. Uit de resultaten bleek dat de Nederlandse AP relatief weinig boetes uitdeelde, maar dat die naar verhouding wel opvallend hoog lagen.

Tweakers vroeg voor dit artikel bij alle privacytoezichthouders naast hun budgetten ook om een overzicht van boetes die zij uitdeelden. Het was al lastig om alle informatie bij de jaarbudgetten te verzamelen, maar eind 2024 is het praktisch onmogelijk geworden om volledige en juiste data over Europese AVG-boetes te verzamelen. Dat heeft een paar redenen. Veel toezichthouders geven aan geen beschikbare overzichten te hebben, of in ieder geval niet te kunnen delen, van alle boetes die zij sinds 2018 uitdeelden. In plaats daarvan verwijzen ze vaak naar jaarverslagen.

Ze variëren sterk. De Hongaarse privacyautoriteit verwijst bijvoorbeeld naar de vijf jaarverslagen die sinds 2018 zijn gepubliceerd, maar die zeggen allemaal iets anders over uitgedeelde boetes. In het jaarverslag over 2021 staat bijvoorbeeld een lijst met alle uitgedeelde boetes, maar in het verslag over 2022 staat alleen een totaalbedrag genoemd en in dat van 2023 worden alleen een paar opvallende boetes genoemd, inclusief een hoogste en een laagste boete. De Noorse toezichthouder verwijst naar een nieuwspagina 'die redelijk actueel zou moeten zijn', naar eigen zeggen. Dat klinkt weinig hoopgevend. De Tsjechische Úřad pro ochranu osobních údajů zegt letterlijk dat 'zulke statistieken niet voorhanden zijn'.

Sommige toezichthouders reageerden helemaal niet op Tweakers' verzoek om informatie. Ook hebben zij nergens online een overzicht van boetes staan.

Externe datasets

De informatie van toezichthouders zelf komt in veel verschillende vormen en is vaak onvolledig
In Tweakers' vorige overzicht is uitgegaan van externe datasets. Er zijn meerdere partijen die zelf een overzicht bijhouden van AVG-boetes in Europa, zoals het Belgische Dailybits of advocatenkantoor CMS dat de gezaghebbende GDPR Enforcement Tracker bijhoudt. Die data is inmiddels een heel stuk minder betrouwbaar dan in 2021. De datasets worden gecureerd door bijvoorbeeld publicaties en rechtszaken bij te houden of, in het geval van Dailybits, door rss-feeds te volgen bij privacytoezichthouders. Het is juist dat proces dat minder toegankelijk is geworden en dat zie je terug in de data.

Neem de Roemeense toezichthouder. Die zegt in antwoord op vragen van Tweakers dat er in 2023 73 boetes werden uitgedeeld met een totale hoogte van 2.348.265 lei, omgerekend 471.837 euro. In CMS' Enforcement Tracker staan slechts 51 boetes, voor een totaalbedrag van 403.400 euro. In 2022 deelde de Roemeense toezichthouder naar eigen zeggen 69 boetes uit á 212.757 euro, maar de Enforcement Tracker meet er slechts 47 voor in totaal 179.100 euro. Dat is bij veel andere toezichthouders het geval; de openbare cijfers zijn soms heel anders dan wat er privé wordt aangegeven. De Letse toezichthouder deelt een lijst met 20 boetes, maar online worden er maar 8 weergegeven. De Luxemburgse toezichthouder reageert met enkel een overzicht van totale bedragen die het aan boetes uitdeelde, maar die bedragen zijn twee keer zo hoog als de totalen die openbare databases aanhouden. In 2022 deelde de Commission nationale pour la protection des données naar eigen zeggen voor 48.375 euro aan boetes uit, maar in de Enforcement Tracker worden boetes voor in totaal 26.000 euro geregistreerd.

Boetes in de rechtszaal

Een belangrijke oorzaak voor die discrepantie is dat meer boetes en sancties worden aangevochten door bedrijven en in sommige gevallen overheden, al doen die laatste dat steeds minder. Bedrijven kunnen aangeven dat ze het niet eens zijn met een boete en dan naar de rechter stappen. In zo'n geval kan een toezichthouder het boetebesluit openbaar maken; er lopen op dit moment nog meerdere rechtszaken tegen AP-boetes terwijl daar wel al een besluit over is gepubliceerd. Bedrijven kunnen echter ook aan de rechter vragen het besluit in zijn geheel of tijdelijk niet te openbaren. In sommige gevallen loopt er een rechtszaak, zonder dat het publiek weet dat er eerder een boete is uitgedeeld. Een tussenweg is dat het boetebesluit wel wordt geopenbaard, maar dan wel geanonimiseerd. Een van de eerste AVG-boetes in Nederland kwam voor rekening van een bedrijf dat vingerafdrukscanners gebruikte voor het in- en uitklokken van werknemers. Het is nog steeds niet bekend welk bedrijf dat is.

Veel bedrijven vechten boetes aan in de rechtszaal, waardoor ze onzichtbaar blijvenDaarnaast speelt mee dat sommige boetes na het uitdelen weer worden afgezwakt door de rechter. In Nederland gebeurde dat regelmatig. Onder andere de eerste AP-boete ooit, voor het HagaZiekenhuis, werd in 2021 door de rechter verlaagd. Ook een boete voor de politie uit 2022 bleek te hoog en de boetes voor de gemeente Enschede en DPG Media werden vernietigd omdat de AP te streng oordeelde. Zulke bezwaartrajecten kunnen jaren duren, waardoor het beeld dat ontstaat in openbare databases mogelijk vertekend is.

Desondanks lijken openbare databases zoals de Enforcement Tracker vrij structureel boetes uit alle landen zo'n dertig procent te laag in te schatten. Daaruit valt ongeveer af te leiden hoe de Nederlandse privacytoezichthouder zich qua boetes verhoudt tot andere landen.

Uit die cijfers blijkt bijvoorbeeld dat Spanje met kop en schouders boven andere toezichthouders uitsteekt in het aantal boetes: dat zijn er maar liefst 899. Dat steekt schril af tegen de 28 Nederlandse boetes in de Enforcement Tracker-database en al helemaal tegen de 6 boetes die Estland daar heeft geregistreerd. Maar het is ook meer dan twee keer zoveel boetes als Italië, dat er 389 uitdeelde en daarmee de op een na actiefste toezichthouder is. Nederland valt, vergeleken met andere landen, ergens in de middenmoot qua activiteit.

Ook valt Roemenië op, die als toezichthouder relatief het goedkoopst is van alle Europese toezichthouders. Met een budget van iets meer dan 1,1 miljoen euro, 0,06 euro per inwoner per jaar, wist de toezichthouder in de afgelopen zes jaar 193 boetes uit te delen, veel meer dan de meeste andere landen.

Weinig boetes, maar wel hoge

Drie jaar geleden viel op dat de Nederlandse Autoriteit Persoonsgegevens relatief weinig, maar wel opvallend hoge boetes uitdeelde. De AP beboette veel minder vaak een bedrijf of overheid, maar als het dat deed, lagen de boetebedragen altijd gemiddeld veel hoger dan elders in Europa. Daaruit kon je destijds concluderen dat de AP heel gericht op zoek ging naar overtredingen en daar ook hoge boetes voor gaf. Inmiddels is dat beeld veranderd. Nederland deelt in vergelijking met andere landen nog steeds niet veel, maar zeker ook niet weinig boetes uit.

Wel kun je inmiddels de conclusie trekken dat de boetes van de AP afgezet tegen het jaarbudget veel meer kosten dan in vrijwel alle andere Europese landen. De 28 boetes van Nederland tegenover het jaarbudget van 45 miljoen euro komen op 1,6 miljoen euro aan onkosten per boete uit. Die berekening moet je op zichzelf niet al te serieus nemen; het is bijvoorbeeld oneerlijk het totale aantal boetes van zes jaar tegenover het jaarbudget van één jaar te zetten, maar als je dezelfde rekensom doortrekt naar andere landen, kun je wel duidelijk zien dat Nederland veel meer geld per boete 'kost' dan andere landen.

Er zijn veel kanttekeningen bij die conclusie te plaatsen, waardoor je er ook geen eenduidige oorzaak voor kunt aanwijzen. Dat begint bijvoorbeeld al bij het feit dat landen met hogere salarissen, zoals Nederland, vanzelfsprekend een duurdere toezichthouder hebben. Maar het is ook zo dat boetes geen hoofddoel zijn van toezichthouders. Die kunnen zelf bepalen waar ze hun accenten leggen. Voor sommige toezichthouders, zoals de Spaanse, ligt dat klaarblijkelijk meer bij boetes, maar andere toezichthouders kunnen er bijvoorbeeld voor kiezen hun middelen te besteden aan voorlichting of een van de vele andere wettelijke taken die ze vanuit de AVG hebben. Zo moeten toezichthouders ook vergunningen verlenen voor dataoverdrachten, zijn ze aanspreekpunten voor functionarissen voor gegevensbescherming en moeten ze privacyklachten afhandelen.

Tot slot kan het ook zo zijn dat de ene toezichthouder de AVG coulanter interpreteert dan de ander en bijvoorbeeld eerder waarschuwingen of voorwaardelijke boetes geeft. Wat in ieder geval geen rol speelt, is dat boetes voor AVG-overtredingen naar de nationale schatkist gaan. Ze worden niet gebruikt om het budget van toezichthouders aan te vullen.

Hoogste versus laagste

Nederlands laagste boete is nog steeds hoger dan in de meeste landen
Als je gaat kijken naar de hoogste en laagste boetes, dan valt Nederland ook op. Het is ongeveer dezelfde conclusie als Tweakers in 2021 al konden trekken: Nederland geeft relatief hoge boetes. De laagste boete in Nederland ligt op 6000 euro. Er zijn maar twee andere landen die niet lager beboeten dan Nederland: Denemarken en Letland. In sommige landen zoals Slowakije, Tsjechië of Hongarije worden regelmatig boetes van enkele tientallen euro's uitgedeeld, vaak aan individuen. Nederland doet dat niet; de AP richt zich vanwege zijn beperkte capaciteit vooral op grote, symbolische zaken.

Het heeft verder weinig zin om te kijken naar de gemiddelden van boetes in Europa. Het gemiddelde ligt bijvoorbeeld in Ierland miljoenen euro's boven dat van andere Europese landen, maar dat komt bijvoorbeeld omdat het land vorig jaar een boete van 1,2 miljard euro oplegde aan Meta en ook veel hoge boetes heeft opgelegd aan andere bedrijven. Ook het Nederlandse gemiddelde aan boetes is relatief hoog in vergelijking met andere landen, maar dat cijfer wordt grotendeels vertekend door een boete van 290 miljoen euro eerder dit jaar aan Uber.

Conclusie

In tegenstelling tot een aantal jaar geleden, is het eind 2024 een stuk moeilijker voor buitenstaanders om te duiden hoe Europese privacytoezichthouders straffen opleggen. Complete, kloppende en actuele data over boetes is steeds moeilijker te vinden omdat zelfs toezichthouders ze niet altijd publiek beschikbaar maken, waardoor ze door derde partijen moeilijk kunnen worden gecategoriseerd. Ook speelt mee dat steeds meer beboete bedrijven een, vaak langdurig, bezwaartraject in gaan en daarom vaak niet openbaar zijn.

Uit data die wel beschikbaar is, komt een beeld naar voren dat heel anders ligt dan in 2021, toen Tweakers voor het laatst keek naar hoe Nederland boetes uitdeelt. Inmiddels blijkt dat de Nederlandse Autoriteit Persoonsgegevens een gemiddeld aantal boetes uitdeelt, al lijken dat er relatief weinig te zijn als je kijkt naar het budget dat de AP jaarlijks ontvangt. Dat budget is het op een na hoogste budget van de hele Europese Unie. Alleen Italië geeft iets meer geld uit aan zijn privacytoezichthouder, maar daar staat wel tegenover dat dat land bijna veertien keer zoveel boetes uitdeelt. Ook per hoofd van de bevolking heeft Nederland nog steeds een dure toezichthouder. Nederland betaalt 2,47 euro per persoon per jaar aan de AP. Slechts een handjevol kleine landen, specifiek Liechtenstein, Luxemburg en IJsland, betalen meer voor hun toezichthouder. Ook Ierland betaalt meer: 5,32 euro per persoon per jaar. Nederland mag dan sterk gedigitaliseerd zijn, maar het budget dat de AP krijgt, ligt nu al hoger dan je in het overgrote deel van Europa ziet.

Reacties (87)

[lenwar]

Op zich een interessant artikel, maar het heeft vooral veel aannames en data waar we weinig mee kunnen (beetje statistiekjes voor de statistiekjes voelt het.) Het is typisch data waar we weinig mee kunnen. Zeker gezien de hoeveelheid al-dan-niet benoemde kanttekeningen.

Ook voelt het gek om landen als IJsland en Lichtenstein mee te nemen, gezien dat geen EU-landen zijn. Het had logischer geweest om juist wel die 16 Duitse deelstaten mee te nemen en die gegevens te kwantificeren en desnoods een gemiddelde daarvan te nemen (als daar zinvolle gegevens uitkomen).

Sowieso wordt in mijn beleving de toon een beetje gezet alsof het doel van de AP 'boetes uitdelen' is, waar het slechts middel is, om ervoor te zorgen dat bedrijven zich aan bepaalde regels/wetten gaan houden.

Ik had het interessanter gevonden om te zien of de kosten per inwoner een toetsbaar verschil maken met verandering van gedrag van bedrijven/organisaties.

[Cheap Apps]

Persoonlijk denk ik dan ook niet dat de grote boetes die het AP uit deelt nou het gewenste effect hebben, een hoop bedrijven die kleinere fouten blijven maken komen hier namelijk continu mee weg omdat hun overtredingen maar een handjevol mensen benadeelt. Deels de reden waarom ik al aardig meld-moe ben geworden, bedrijven pakken het zelf al veelal niet serieus op, en voor het AP is het vergreep te kleinschalig.

[lenwar]

Het is denk ik vooral lastig, dat een copy-paste-vergissing van een lid van de kantklosclub, waarin iemand anders z'n voorletter en achternaam in een mailtje terrecht is gekomen, door dezelfde club behandeld moet worden als, bijvoorbeeld, een Amazon die per ongeluk z'n complete gebruikersdatabase (inclusief koopgeschiedenis en zoekopdrachten) op Github heeft gezet.

Als een partij echt structureel fout bezig is (al dan niet bewust) en ze krijgen hiervoor een boete, mag ik aannemen dat ze daarna gecontroleerd worden, en bij herhaling, dat er dan ook andere maatregelen getroffen kunnen worden dan alleen een geldboete.

Of die kleine partijen ermee 'wegkomen' weet ik niet. Dat zou opzet suggereren. Een vergissing is menselijk. En ook al is het niet wenselijk, gebeurd dat gewoon. Boetes zijn, naar mijn mening, ook lang niet altijd nodig. Als er maar een berisping komt. En dan in de hoop dat de volgende keer men beter oplet. (als het fout blijft gaan, dan wordt het een ander verhaal natuurlijk)

[feuniks]

Ik denk dat een fout van de kantklosclub niet zo gauw bij AP komt. Allereerst, omdat een hele hoop leden het niet eens als een fout zullen zien. Sterker nog: veel leden vinden de hele AVG lastig. Tenminste. zo is het in mijn vereniging. Als ik een mail stuur aan de leden of aan een groep en ik zet iedereen in bcc dan zijn er altijd wel mensen die mij vragen, waarom ik dat doe, want zo kunnen ze niet naar iedereen reageren. En hoe vaak ik al gevraagd ben naar het telefoonnummer of email adres van iemand en ze het raar vinden dat ik dat niet geef.
Ten tweede zal als iemand een fout ziet, dat primair aan de persoon doorsturen die die fout gemaakt heeft. Dat lossen we intern wel op. Daar hebben we AP niet voor nodig.

[Groningerkoek]

Vind het wat simplistisch, kosten kun je alleen gebruiken als redelijk goede indicatie als je een extra factor meeneemt welke het kostenniveau van een land meeneemt in de vergelijking.
Neem Liechtenstein, ja natuurlijk geven die het meeste uit. Het land is duur en de prijzen zijn er hoog (ongeveer niveau Zwitserland). Zet 3 juristen en 2 administratieve krachten in een appartementje in de binnenstad van Vaduz en het budget is al op.
Tevens blijkt hieruit dat de AP erg duur is, ook al neem je de lokale kostenfactor mee, maar is het terecht dat er zoveel geld heengaat, of is het nog veel te weinig? Zijn ze doeltreffend? Is de dure locatie op steenworp afstand van het binnenhof gerechtvaardigd etc..
Het artikel levert geen conclusies en is veel te beperkt om serieus discussie mee te kunnen voeren.

[ustinov]

Is er nog gekeken of het takenpakket van de AP vergelijkbaar is met die van de buitenlandse instituten? Ik krijg het idee dat de AP ook om advies gevraagd wordt door de regering. Ze doen met dan alleen bedrijven controleren.

[lDDQD]

De taken van de autoriteiten op het gebied van persoonsgegevens zijn vastgelegd in de AVG (en in sommige gevallen verder uitgewerkt in nationale wetgeving).

Het adviseren van overheden staat bijvoorbeeld expliciet in de AVG genoemd, en is dus van toepassing op elke lidstaat.

[R4gnax]

Het probleem hiermee is echter dat het budget van de AP als totaal vastgesteld wordt.
En het takenpakket van de AP is breder dan enkel het handhaven van de AVG/GDPR.

Zo is de AP ook de toezichthouder voor de Digital Services Act; alsmede voor de AI Act.
En ze zijn - voor Nederland specifiek - aangesteld als toezichthouder voor gebruik van geautomatiseerde beslissings-algoritmes binnen de overheid.
etc.

Zonder dat er van een publiek bekende verdeelsleutel van budget naar takenpakket gebruik gemaakt is voor iedere lidstaat die vergeleken wordt, zodat enkel naar het stuk budget gekeken wordt dat aan taken onder de AVG/GDPR besteedt wordt, zijn de gegevens die in dit artikel naar voren gezet worden dus to-ta-le nonsens.

Dus de premise van het artikel dat de redactie hier presenteert, namelijk dat de AP relatief duurder zou zijn dan vergelijkbare instanties in andere lidstaten, kun je waarschijnlijk bij het oud vuil zetten.


Zo ook de absurde vergelijking met het budget van de Itialiaanse toezichthouder.
Natuurlijk is dat budget veel lager. Want waar de Italiaanse toezichthouder boetes uitdeelt komen deze direct in hun eigen kas terecht. Zij worden geacht hun eigen broek op te houden in de vorm van boetes uit te delen en hun budget intern sluitend te krijgen. Van de centrale overheid en de Italiaanse schatkist krijgen ze daarom slechts het minimale.

Dat is anders in Nederland, want hier vloeien boetes die de AP uitdeelt terug naar de schatkist en kan de AP zelf er niet over beschikken. De AP is hier 100% afhankelijk van het budget dat ze van de overheid krijgen.

Vindt je het dan gek dat het budget hier veel hoger ligt dan in Italië?
Wat dit artikel doet is feitelijk dan ook appels met peren vergelijken. De achterliggende verschillen zijn van zo'n aard dat je op geen enkele manier deze budget gegevens voor een zinnige vergelijking in kunt zetten.

Om maar weer even een oude favoriet van stal te halen:

There are lies; damned lies; and statistics

[Reactie gewijzigd door R4gnax op 24 december 2024 12:37]

[ustinov]

Dit haalt dus de hele bodem onder het artikel vandaan.
Ik snap dat iemand hier heel hard zijn best op heeft gedaan, maar zelfs de nieuwe titel wordt hier niet mee onderbouwd. Er is niet gekeken naar welke kosten naar de AVG gaan en welke naar bijvoorbeeld de AI Act. Of je moet de kosten die andere landen maken voor de taken die de AP doet ook meenemen in de vergelijking.

[Freezerator]

Ik mis de duiding hoe er nu een koppeling wordt gemaakt tussen de effectiviteit en de middelen. Nu lijken er veel kwantitatieve gegevens te worden gebruikt om een beeld te schetsen, terwijl juist kwalitatieve gegevens voor de juiste context nodig zijn als je een wat inhoudelijkere conclusie wil trekken (misschien hier relatief duur ivm type zaken die men oppakt?)

[t14wo]

Precies. Er worden vergelijkingen gemaakt tussen de totale kosten en het aantal inwoners. Dat is ergens begrijpelijk omdat je probeert om een vergelijk te maken tussen landen. Maar het blijkt vervolgens een waardeloze ratio om te gebruiken.
- Landen met hoge kosten per inwoner (Ierland en Nederland) hebben ook veel techbedrijven.
- Kleine landen betalen veel per inwoner vanwege overhead die zo'n instantie sowieso meebrengt
- BBP per hoofd van bevolking is totaal verschillend.

Is nu de conclusie: Het ligt eraan hoeveel techbedrijven er in een land zijn? En daarnaast hoe meer inwoners, hoe beter je de kosten kan verdelen onder deze bevolking. (goh, sherlock )

Waarom richten jullie je in dit onderzoek op de kosten per inwoner, terwijl alles uit het artikel duidt op dat precies dit totaal niet interessant is. Richt je dan volledig op de uitgedeelde boetes. En gebruik ratio's tussen boetes en kosten dan. Dat is veel interessanter.

En als je dan toch (zinloos, vanwege bovenstaande) kosten wil vergelijken over landen heen, pak dan BBP / AP budget.

[Reactie gewijzigd door t14wo op 23 december 2024 09:52]

[Lisadr]

Er wordt ook geen vergelijking gemaakt met bijvoorbeeld salarissen, juridische kosten enz.

Daarnaast (had dit al eerder geplaats, maar de Tweakers heeft het verwijderd als bovenste reactie)
Een aantal cruciale punten ontbreken. Zo kan er in Spanje (en misschien andere landen) boetes gebruik worden als extra budget van hun autoriteit (AEPD). In andere landen zoals Denmark en Estland, mag de autoriteit zelf geen boetes uitdelen.

[Electrowolf]

Maar even een reactie op GoT geplaatst voor een makkelijker discussie: https://gathering.tweaker...message/81105776#81105776.

Een ding dat dit lastig maakt, en prima in het artikel kan worden vermeld, is dat veel van de effectieve werkzaamheden van de AP niet openbaar zijn. Zoals de strenge brieven die naar overheden worden gestuurd of het dreigen met beboeting richting bedrijven om te zorgen dat ze zich aan de AVG gaan houden. Hebben wel effect, maar leiden niet tot boetes (als het goed gaat).

Ook heeft AP in NL meer taken dan vele andere toezichthouders. Bijvoorbeeld het toezicht op algoritmes heeft in NL een sterkere nationale ontwikkeling (zoals nationale algoritmeregister) waardoor ze al eerder meer geld hebben gekregen.

Daarnaast heeft niet ieder land een losse privacy toezichthouder. In sommige EU landen is het een losse afdeling binnen een grotere toezichthouder, wat de kosten ook weer laat vertekenen.

[Kevinp]

Of de vraag voor prioriteit. Je kan als AP een kleine overtreder aanpakken een boete geven van 1000 euro. Die wordt wel betaald zonder rechtsgang.

Je krijgt dan veel kleine boetes binnen.

Je kan de grote aanpakken. Je geeft boetes van 100.000 euro. Die worden aangevochten. Dus moet je veel tijd steken in juridisch goede zaken.

[evers97]

Lijkt me ook logisch; je ziet dat landen met een kleiner inwoneraantal per hoofd meer moeten uitgeven (kleine uitzonderingen daar gelaten). Je kunt niet verwachten dat Liechtenstein, met haar 40.000 inwoners, maar €0,80 per hoofd van de bevolking aan haar toezichthouder gaat bijdragen. Het gemiddelde salaris is daar €100.000 per jaar, dus dan kun je mooi één medewerker voor drie maanden betalen.

[Xantis]

Je was me voor, maar precies dit was ook het eerste wat mij te binnen schoot om dit te verklaren.

[Sito]

Precies, je kunt landen qua absolute getallen niet een-op-een vergelijken door verschillen in modaal inkomen en koopkracht. Dat geeft een vertekend beeld. Natuurlijk betalen we allemaal in euro’s, maar dat betekent niet dat een euro in Nederland dezelfde ‘waarde’ heeft als een euro in Noorwegen of Liechtenstein = koopkracht.

Je moet een andere maatstaf gebruiken, zoals het percentage van BBP, of percentage van het modaal inkomen.

[Reactie gewijzigd door Sito op 23 december 2024 08:14]

[Groningerkoek]

Ook niet alle EU landen gebruiken de Euro, Denemarken en Zweden bijvoorbeeld.

[ocf81]

Je hebt helemaal gelijk. Dit artiekel had een aanpassing op basis van koopkrachtpariteit (in het Engels Purcharse power parity) moeten meenemen in de berekening. In dit geval zorgt het voor een artikel dat ernstige gebreken heeft, maar het vermogen om kritisch de denken lijkt op de redactie helaas maar al te vaak te ontbreken. Jammer om te zien dat men daar niet iets aan doet op een manier waarop dit soort fouten structureel worden voorkomen.

[Reactie gewijzigd door ocf81 op 23 december 2024 16:36]

[Blokker_1999]

Bij de grafiek over kosten wordt wel uitgelegd waarom Duitsland ontbreekt, maar ik kan niet zien waarom Belgie, toch een deel van jullie publiek, ontbreekt. Dat lijkt me ook weer een vreemde keuze.

[Lisadr]

Duitsland had federaal een budget van 45,7 miljoen, maar elke deelstaat heeft ook zijn eigen budget

[Mortis__Rigor]

Er wordt wel een korte uitleg gegeven dat de GBA tweakers niet geantwoord. Maar als de redactie wat moeite had willen doen, hadden ze perfect in het jaarverslag van 2023 kunnen terugvinden hoeveel het budget was (https://www.gegevensbesch...rslag/autoriteit#section3). Ook de boetes zijn allemaal openbaar en kunnen ze mits wat opzoekwerk terug vinden: https://www.dailybits.be/...pr-boetes-rechtszaken/#BE.

Maar zoals meestal vindt de tweakers redactie het niet nuttig om voor Belgisch nieuws zelf wat opzoekwerk te doen...

[ehtweak]

Wat velen voor mij al duiden: wat is nou het doel van dit artikel c.q. de effectiviteit van een toezichthouder, zoals de AP? Dat haal ik niet uit dit artikel.
Want behalve een opsomming van allerlei cijfers zie ik weinig duidelijke conclusies...

BTW:
"zijn relatief kleine landen zoals Malta, Cyprus en Oostenrijk."
Oostenrijk is notabene twee keer zo groot als Nederland! Dus hoezo klein?

[HuisRocker]

Wat velen voor mij al duiden: wat is nou het doel van dit artikel c.q. de effectiviteit van een toezichthouder, zoals de AP? Dat haal ik niet uit dit artikel.
Want behalve een opsomming van allerlei cijfers zie ik weinig duidelijke conclusies...

Dit artikel lijkt mij een mooi voorbeeld van 'willekeurig samengeraapte statistiek' te zijn, met of zonder conclusies doet er dan ook niet echt meer toe...

BTW:
"zijn relatief kleine landen zoals Malta, Cyprus en Oostenrijk."
Oostenrijk is notabene twee keer zo groot als Nederland! Dus hoezo klein?

Nederland heeft +/- 18 miljoen inwoners, Oostenrijk heeft +/- 9 miljoen inwoners, dat is wat men daar bedoeld moet hebben met "kleine landen". Maar dat is inderdaad niet 'onmiddelijk duidelijk voor iedereen', dus ook dat had veel beter gemoeten, net als de rest van het artikel!

[MaDMaRTiGaN648]

Oostenrijk heeft 'slechts' 9 miljoen inwoners, ongeveer half zo groot als Nederland dus.

[TheFoundation101]

Uit de website van de Belgische Gegevensbeschermingsautoriteit:

"Om haar werking te financieren, kon de GBA in 2023 beschikken over 13.274.000 EUR aan werkingskredieten".

Vermoedelijk werd dat in 2024 gewoon geïndexeerd. Met iets meer dan 11,7 miljoen Belgen komt dat op een prijs per hoofd van 1,14€

Met in dat jaar 694 klachten en 214 bemiddelingen, voor het gemak maken nemen we dat samen als 908 procedures, komt dat op een kost van 14169€ per procedure. Dat is best aanzienlijk.

[Admiral Freebee]

Als in dat budget ook heel wat vaste kosten zitten is het wel aannemelijk dat de marginale kost voor een extra procedure lager ligt dan de huidige gemiddelde kost.

Bovendien voert de Belgische GBA nog heel wat meer taken uit. Ze geven ook advies aan de wetgevende organisaties, voorzien een eerstelijnsdienst voor bemiddelingsverzoeken, volgen de wetgeving en maatschappijtrends op, enzovoort.

Uit het jaarverslag van 2023 haal ik bijvoorbeeld dat de eerstelijnsdienst 2686 informatiedossiers en 465 telefonische oproepen verwerkte. Vermoedelijk zijn dat vragen tot informatie van burgers en bedrijven.

Het kenniscentrum van de GBA heeft dan weer 546 adviezen verleend over het ontwerpen van wet- en regelgeving en men publiceerde een aanbeveling omtrent de verwerking van persoonsgegevens naar de aanloop van de verkiezingen in 2024. Niet onbelangrijk aangezien er ook gemeenteraadsverkiezingen waren en lokale kandidaten niet altijd goed geïnformeerd zijn over wat wel en niet mag. Ze kunnen ook niet altijd terugvallen op advies van een grotere partij als het om een lokale partij gaat.

Kortom, de GBA doet heel wat meer dan je omschrijft en we kunnen het budget niet zomaar extrapoleren naar x euro / procedure. Wellicht gaat het tweakers artikel ook wat kort door de bocht omdat we niet weten hoe breed de werking van elke organisatie is per land.

[Mathijs Kok]

Bovendien voert de Belgische GBA nog heel wat meer taken uit. Ze geven ook advies aan de wetgevende organisaties, voorzien een eerstelijnsdienst voor bemiddelingsverzoeken, volgen de wetgeving en maatschappijtrends op, enzovoort.

Zeer juist. Het takenpakket van de Belgische GBA en de Garante per la protezione dei dati personali in Italie is volkomen anders en daarom zijn de kosten ook heel uitlopend.

Tweaker gaat hier niet kort door de bocht, ze snijden de bocht geheel af.

[Tripledad65]

Jammer dat een op zich interessant artikel, weerstand opwekt door de clickbait titel.

"Nederland investeert veel in digitale veiligheid" zou bijvoorbeeld een hele anderen lading aan het artikel geven.

[R4gnax]

Jammer dat een op zich interessant artikel, weerstand opwekt door de clickbait titel.

"Nederland investeert veel in digitale veiligheid" zou bijvoorbeeld een hele anderen lading aan het artikel geven.

Nee -- ik durf het nog wel bouter te stellen: het artikel is niet eens interessant.

De gegevens waarop het gebaseerd is, deugen van geen kanten en zijn inherent onvergelijkbaar vanwege alle achterliggende verschillen in opzet van toezichthouders binnen de EU lidstaten. (Zie o.a. R4gnax in 'NL geeft relatief veel uit aan privacy - Maar AP deelt niet de meeste boetes uit')

Het onderzoek dat hieraan ten grondslag heeft gelegen deugt journalistiek en wetenschappelijk gezien, gewoon compleet van gaan kanten.

Wat resteert is feitelijk, sorry als dat bij de redactie hard binnenkomt - maar dit is simpelweg de objectieve observatie, een miserabel hoopje fake news dat enkel de Autoriteit Persoonsgegevens in diskrediet zal brengen bij hen die niet door de onvolkomenheden in de gebruikte gegevens, heen kunnen prikken.

Het zou de redactie dan ook sieren om het artikel terug in te trekken en er verder aan te werken zaken te verduidelijken; of op zijn minst te voorzien van een hele dikke disclaimer dat er aan de betrouwbaarheid van de gegevens veel en veel meer schort dan losgelaten wordt.

[Reactie gewijzigd door R4gnax op 23 december 2024 13:05]

[mrmrmr]

Grondig eens met je analyse. Het is uitermate suggestief zo te focussen op kosten. De laatste keer dat we dat deden in Nederland heeft dat niet goed uitgepakt; de Belastingdienst in 2015. De oude (IT) garde vertrok met premies en er was veel te weinig personeel om het over te nemen, een miskleun die nu nog steeds leidt tot niet in te voeren wetten en gemiste inkomsten. Daarnaast is het werkbudget te laag.

Het is natuurlijk kortzichtig om rücksichtslos op een overheidsonderdeel te bezuinigen dat inkomsten genereert. Dat spant het paard achter de wagen.

Helaas hebben we nu ook weer zo'n kabinet met beperkte intellectuele capaciteiten.

[Reactie gewijzigd door mrmrmr op 23 december 2024 21:57]

[R4gnax]

Het schrikbeeld van de aderlating bij de Belastingdienst waarmee er daar de bodem onderuit gegaan is, is inderdaad mede waarom ik voorgaande geschreven heb. Je moet gewoon niet de aanzet willen geven naar nog zo'n miskleun.

[Lisadr]

Een uitgebreide artikel, maar helaas met een clikbait sensationele titel, waarvan ik vermoed dat sommige politici het gaan gebruiken als argument om het budget van de AP niet te verhogen.

Een aantal cruciale punten ontbreken. Zo kan er in Spanje (en misschien andere landen) boetes gebruik als extra budget van hun autoriteit (AEPD). In andere landen zoals Denmark en Estland, mag de autoriteit zelf geen boetes uitdelen.

Admin-edit:

Bedankt voor je feedback. Commentaar voor de redactie hoort echter thuis in Geachte Redactie. Hier staat het de inhoudelijke discussie niet in de weg en kan de redactie het eenvoudig terugvinden.

[Reactie gewijzigd door Bor op 23 december 2024 09:29]

[Finraziel]

Inderdaad, niet te begrijpen eigenlijk, want ik had altijd het idee dat de Tweakers redactie juist voor privacy en de handhaving daarop was. Voelt nogal klungelig om dan op zo'n domme manier munitie aan de tegenstanders er van te geven. Ja het is feitelijk correct maar schept door de manier van schrijven en die kop al snel het idee dat we te veel betalen er voor...

[FreezeXJ]

Ik ben ook voor privacy, maar daarmee niet noodzakelijk voor de AP, of tegen andere partijen. Ik vind vooral dit stukje inzicht prettig, en als Tweakers nu concludeert dat de openheid van privacy-beschermende instanties achteruit gaat, lijkt me dat ook relevant.

AP is blijkbaar een dure instantie, en zo lang als zij kunnen uitleggen waarom ze zo duur zijn, is het verder aan de politiek om daar al dan niet budget voor vrij te maken. Er is genoeg te doen, ze komen volgens mij ook naar eigen zeggen om in het werk, en ik ben vooral benieuwd of bedrijven een beetje naar de AP luisteren. Gezien de prutkoekjesmuur hier op t.net heb ik daar zo mijn twijfels bij.

[Siaon]

Zonder een organisatie als Bits of Freedom was het al lang geleden goed mis gegaan.

Van de meerdere schendingen van de privacy die ik heb aangegeven bij de Autoriteit Persoonsgegevens (AP) heb ik exact van nul wat terug gehoord en van nul andere acties gezien. Het betroffen grove schendingen op relatief grote schaal.

Het is goed dat ze bestaan, maar wat doen ze nou eigenlijk?

Het is vast een misplaatste verwachting, maar ik had ook verwacht dat ze in de steigers waren geklommen tegen die Europese wetgeving die onze telefoons wil gaan scannen voor overtredingen. Of een van de vele belastingdienst debakels. Etc.

In die zin zouden we mogelijk beter af zijn met afschaffing van de AP. Ik had namelijk ook naar de rechter kunnen stappen... Nu gebeurt er niets meer, ik heb het in ieder geval losgelaten.

[Azenomei]

DPG is niet voor privacy of een club die een boete kan uitdelen tegen illegale cookiewalls of andere privacy schendende praktijken die tegen de wet zijn.

[Finraziel]

Ja ik overwoog al om te zeggen dat je dat zou kunnen denken als je een beetje conspiracy minded bent, maar ik zei dan ook specifiek de Tweakers redactie en niet hun moederbedrijf. Ik weet dat het in is om van iedereen het laagst mogelijke te denken maar ik geef ze toch nog steeds het voordeel van de twijfel dat ze inderdaad redactionele vrijheid hebben en geen mouthpiece zijn voor dpg.

[Azenomei]

Ze refereren zelf nog aan het "DPG overtrad de wet, maar had geen boete mogen krijgen" artikel. DPG heeft schijt aan de wet, omdat ze ermee weg komen. En dat doen helaas (of gelukkig) alle bedrijven. En ik noem gelukkig, want dan ik hoef mezelf niet een vals schuldgevoel aan te praten als ik met adblocker naar content kijk en/of de voorwaarden van een website van zo'n bedrijf negeer.

[debom]

Dat was zo voordat DPG media tweakers overnam.

[slowdive]

Goed dat je de feiten per land eens naast elkaar legt. Ik vermoed dat de budgetten slecht vergelijkbaar zijn, doordat de prijzen per vierkante meter voor de huisvesting en voor het gemiddeld salaris van de juristen flink uit elkaar lopen.

[Cio]

Deze reactie voegt toch vooral inhoudelijke context toe?

Dit soort berichten en mod-ingrepen lijkt een patroon bij artikelen over privacy en/of de AP, dus ik ga altijd even door de lijst heen maar vraag me dan toch wat ik mis omdat het al verwijderd is.

[Lisadr]

Ik vond mijn reactie ook inhoudelijk, aangezien het een inhoudelijk perspectief geeft en inhoudelijk aanvulling bevat. Tweakers geeft aan dat mijn artikel 'onbeleefd' was en als vervelend werd ervaren. Van +3 ging het naar 0 en blijft het permanent op 0. Titel is wel inmiddels veranderd door Tweakers.