Privacytoezichthouders willen meer geld

Europese waakhonden en hun budgetten

titel

De Autoriteit Persoonsgegevens heeft het zwaar. De privacywaakhond klaagt al jaren steen en been over het budget dat het jaarlijks krijgt. Dat is bij lange na niet genoeg om de toenemende stroom aan privacyklachten en -meldingen in behandeling te nemen. De Nederlandse toezichthouder staat daarin niet alleen. In het merendeel van Europese landen klagen nationale toezichthouders dat hun budget te laag is om effectief op te kunnen treden als beschermer en handhaver van privacyrechten. Hoe staat het dan met die budgetten? Tweakers dook de cijfers in.

Die cijfers zijn afkomstig uit een rapport van de European Data Protection Board, het samenwerkingsverband van de 29 Europese toezichthouders. De Nederlandse AP-voorzitter Aleid Wolfsen is tevens vicevoorzitter van de EDPB. De overkoepelende organisatie deelde de cijfers eerder dit jaar na een vraag vanuit het Europees Parlement. Ook hebben we jaarverslagen van toezichthouders gelezen. Daaruit ontstaat een beeld van toezichthouders die in bijna alle landen van de Europese Economische Ruimte vragen om meer geld omdat ze niet genoeg mensen en middelen hebben voor goed toezicht op de AVG. Het rapport onderschrijft dat; bij navraag van de EDPB gaven slechts vijf toezichthouders aan genoeg budget te krijgen. Dat waren bovendien kleine toezichthouders: die van Oostenrijk, Cyprus, Hongarije, Liechtenstein, en Luxemburg. Opvallend is dat die laatste drie in 2021 veel minder budget ontvingen dan een jaar daarvoor.

Onder de Europese privacywetgeving moet er in ieder land een officiële, nationale toezichthouder zijn die klachten, meldingen en vragen in behandeling neemt, en die sancties mag opleggen aan bedrijven of overheden die de wet overtreden. Er zitten veel verschillen in hoe die toezichthouders te werk gaan en wat hun wapenfeiten zijn; Tweakers zag eerder al dat Nederland relatief weinig, maar wel hoge boetes oplegde voor overtredingen. Er lijkt ook geen direct verband te zijn tussen het budget, het aantal werknemers en het aantal boetes die Europese toezichthouders opleggen. Belangrijk om te melden is dat de boetebedragen in de meeste Europese landen direct naar de schatkist gaan. Ze worden niet op de balans van de toezichthouder gezet, want dat zou kunnen zorgen voor een perverse prikkel om meer of hogere boetes uit te delen.

De cijfers

Voor dit artikel zijn we in de meeste gevallen uitgegaan van de cijfers in het EPDB-rapport. Die wijken soms af van wat landelijke toezichthouders zelf zeggen. Neem Nederland als voorbeeld: het rapport stelt dat de Autoriteit Persoonsgegevens in 2020 175 fte in dienst had, maar de AP heeft het zelf over 179. Ook het aantal datalekmeldingen verschilt: dat ligt in het rapport iets hoger dan wat de AP zelf zegt, maar de afwijking is minimaal.

Duitsland is een vreemde eend in de bijt, omdat het land naast een federale toezichthouder ook achttien regionale toezichthouders heeft. Iedere staat heeft zijn eigen toezichthouder. In het EPDB-rapport zijn de cijfers van die toezichthouders samengevoegd.

In sommige gevallen zijn de budgetten van toezichthouders omgerekend naar het inwonersaantal van een land. Die cijfers zijn afkomstig van Worldometers, een samenwerkingsverband van wetenschappers en vrijwilligers dat verschillende databronnen gebruikt.

Budgetten

Een paar dingen vallen direct op aan de cijfers. De Nederlandse autoriteit krijgt opvallend veel budget: 26,3 miljoen euro in 2021, waarbij alleen de toezichthouder van Italië met 35,6 miljoen euro als individueel land nog meer krijgt. Duitsland spant binnen Europa echter de kroon. Niet alleen hebben de achttien toezichthouders gezamenlijk een budget van 94,8 miljoen euro, ze hebben met 1083 fte's ook meer dan zes keer zo veel fte als Nederland. De Belgische Gegevensbeschermingsautoriteit heeft met 9 miljoen euro minder budget, maar de GBA moet het ook doen met slechts 67 fte.

Aantal werknemers

De AP heeft grootse plannen voor uitbreiding. De organisatie wil zijn budget verviervoudigd zien en wat fte betreft zou een toename van 184 in 2021 naar 470 in 2025 nodig zijn. De toezichthouder is nu al een van de grootste van Europa. Naast de Duitse lokale toezichthouders hebben alleen Polen, Frankrijk en Spanje een grotere nationale toezichthouder. België zit met 67 fte ergens in de middenmoot. Opvallend is vooral dat Nederland ongeveer net zoveel fte in dienst heeft als de Ierse toezichthouder. Die Data Protection Commission heeft de ondankbare taak om de meeste onderzoeken te doen naar grote techbedrijven, omdat die veelal in Ierland zijn gevestigd. Juist daar heeft de toezichthouder een beperkte slagkracht.

Kosten per inwoner

De Autoriteit Persoonsgegevens kost de Nederlandse belastingbetaler relatief veel. Omgerekend naar hoofd van de bevolking is de Nederlandse toezichthouder duur. Een Nederlander betaalt op jaarbasis zo'n 1,53 euro voor de privacywaakhond, terwijl dat in de meeste EU-landen minder is. Alleen in Liechtenstein, Luxemburg, IJsland en Ierland betalen burgers meer per jaar. Vooral Liechtenstein valt op; daar betalen inwoners gemiddeld bijna 30 euro per jaar voor de Datenschutzstelle. Roemenië is het goedkoopst; de Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal kost burgers daar een stuiver per jaar. België valt in het midden. De Gegevensbeschermingsautoriteit kost een Belg 77 eurocent per jaar.

Kosten per werknemer

De AP is eveneens duur als je het budget omrekent naar het aantal fte. Toegegeven, de Nederlandse toezichthouder heeft net zoveel fte als de Ierse en slechts vier andere Europese toezichthouders hebben er meer, maar per fte krijgt de AP relatief veel geld. Voor de 175 fte's krijgt de AP in 2021 26 miljoen euro, wat neerkomt op 150.140 euro per fte. Alleen Liechtenstein en Italië betalen met respectievelijk 163.285 en 267.874 euro méér per fte. Ook België scoort daar trouwens hoog; het komt met 134.361 per fte na Nederland op de lijst.

Dat wil uiteraard niet meteen zeggen dat Nederlandse ambtenaren hogere salarissen krijgen, en het resultaat zegt ook weinig over de effectiviteit van de toezichthouder. Een verklaring kan bijvoorbeeld zijn dat de Nederlandse toezichthouder buitengewoon veel klachten moet afhandelen, meer dan de meeste landen. Ook gaat uiteraard niet honderd procent van het budget naar werknemers, al gaat het wel om een significant deel. Van de 21 miljoen euro die de Nederlandse AP in 2020 ging een kleine 17 miljoen op aan personeelskosten. Het grootste deel van de rest ging naar ict en andere materiële kosten, blijkt uit het jaarverslag.

Meer of minder budget

Bij navraag door de EDPB zeggen bijna alle toezichthouders hetzelfde als de Autoriteit Persoonsgegevens: ze krijgen te weinig geld. Slechts vijf landen zeggen genoeg te krijgen. De drukte bij de toezichthouders schemert al een klein beetje door als we contact opnemen. Vooral kleine toezichthouders zoals die in Estland of Finland hebben geen persvoorlichting, dus moeten we het algemene e-mailadres benaderen voor vragen. De autoreply is ontmoedigend; het kan 60 dagen duren voor er iemand contact opneemt.

Toch lijken de cijfers niet in alle gevallen een toegenomen drukte te ondersteunen. Het aantal klachten en meldingen stijgt bij veel toezichthouders, maar als je kijkt naar het aantal meldingen van een datalek, dan meldt bijna de helft van de toezichthouders een daling van 2020 ten opzichte van 2019. Data over 2021 is op dit moment nog incompleet. Daar zit wel een kanttekening bij, want verschillende toezichthouders gebruiken verschillende methodes om hun werklast aan te geven. Meldingen, vragen en klachten van burgers worden soms apart geregistreerd, maar soms ook als één geheel. Bovendien nemen sommige toezichthouders de vragen van 'fg's', of functionarissen gegevensbescherming, apart mee in berekeningen. Waar in ieder geval wel een eenduidig beeld is, is het aantal meldingen van datalekken. Te zien is hoe dat aantal in een derde van de landen juist daalt in plaats van stijgt.

Land	Datalekmeldingen in 2019	Datalekmeldingen in 2020	Verschil
België	877	1.097	25.09%
Bulgarije	65	60	-7.69%
Cyprus	63	87	38.10%
Denemarken	7.408	9.118	23.08%
Duitsland	30.938	27.652	-10.62%
Estland	115	138	20.00%
Finland	3.836	4.267	11.24%
Frankrijk	29	12	-58.62%
Griekenland	132	131	-0.76%
Hongarije	781	871	11.52%
Ierland	6.257	6.628	5.93%
Ijsland	272	217	-20.22%
Italië	1.443	1.387	-3.88%
Kroatië	106	106	0.00%
Letland	107	113	5.61%
Liechtenstein	16	20	25.00%
Litouwen	175	181	3.43%
Luxemburg	379	379	0.00%
Malta	126	95	-24.60%
Nederland	27.095	24.055	-11.22%
Oostenrijk	923	860	-6.83%
Polen	6.039	7.507	24.31%
Roemenië	229	184	-19.65%
Spanje	79	81	2.53%
Tsjechië	416	292	-29.81%
Zweden	6	3	-50.00%

De toezichthouders mogen dan wel tegen de EDPB zeggen dat ze te weinig geld krijgen, in lang niet alle jaarverslagen is dat terug te lezen. De Autoriteit Persoonsgegevens is bijvoorbeeld vocaal, net zoals de Hongaarse autoriteit, die toegeeft nog 8467 zaken open te hebben staan, maar veel andere autoriteiten zoals die in Griekenland, Estland, Denemarken of de Franse melden niets over achterstanden in hun jaarverslagen. Ook autoriteiten die wél genoeg budget zeggen te krijgen, zoals Valstybinė duomenų apsaugos inspekcija, schrijven niets over eventuele overbezetting in hun jaarverslag.

Budgetverhogingen

Het is niet alsof nationale overheden helemaal niet luisteren naar hun toezichthouders. De meeste krijgen ieder jaar wel degelijk meer budget. Ook Nederland kreeg van 2020 op 2021 meer geld, al was het bij lange na niet de verhoging waar de AP om vroeg. In extreme gevallen steeg het budget met tientallen procenten, zoals Cyprus en Oostenrijk die respectievelijk 28 en 50 procent meer geld kregen in het afgelopen jaar.

In andere gevallen, waaronder uitgerekend Hongarije waar de toezichthouder klaagt over achterstanden, ging het jaarlijkse budget juist omlaag. Dat gebeurde bij zes toezichthouders. Van hen geeft alleen de Luxemburgse Datenschutzstelle aan dat zijn budget toereikend is.

Conclusie

Het is lastig om harde conclusies te trekken uit de bovenstaande gegevens, in ieder geval waar het gaat om oorzaken en gevolgen. Het is niet mogelijk een causaal verband te leggen tussen de budgetten die Europese privacytoezichthouders krijgen en hun resultaten of effectiviteit. We concludeerden eerder al dat er een groot verschil zit tussen Europese landen als het gaat om het uitdelen van boetes. Sommige landen delen er veel uit, maar met lage bedragen. Anderen, zoals Nederland, doen het tegenovergestelde.

Wel is te zeggen dat Nederland in totaal en per hoofd van de bevolking relatief veel betaalt voor de toezichthouder in vergelijking met veel andere landen, maar de verschillen zijn in ieder geval per inwoner op jaarbasis slechts een paar cent. Bovendien is Nederland een sterk gedigitaliseerd land, waardoor er logischerwijs meer aandacht voor technologie, datamisbruik en privacy is.

Hoewel de meeste privacytoezichthouders tegenover hun overkoepelende samenwerkingsorganisatie zeggen dat ze te weinig geld krijgen om hun werk uit te voeren, is dat in jaarverslagen lang niet altijd terug te lezen. Wel hebben de meeste toezichthouders in de afgelopen jaren meer geld gekregen om hun taken uit te voeren.

Dit artikel kun je gratis lezen zonder adblocker

Alle content op Tweakers is gratis voor iedereen toegankelijk. Het enige dat we van je vragen is dat je de advertenties niet blokkeert, zodat we de inkomsten hebben om in Tweakers te blijven investeren. Je hoeft hierbij niet bang te zijn dat je privacy of veiligheid in het geding komt, want ons advertentiesysteem werkt volledig zonder thirdpartytracking.

Bekijk onze uitleg hoe je voor Tweakers een uitzondering kunt maken in je adblocker.

Ben je abonnee? Log dan in.

Reacties (13)

Ik mis weer de diepgang en details die Plus artikelen beloven te brengen.

Wat @w.w.p. en @Skyaero zeggen ten aanzien van de kosten: welk deel is salaris, worden er ook personeels diensten ingekocht?

En op zich is/klinkt het natuurlijk als een goed idee dat boetes niet op rechtstreeks op het budget komen om verkeerde prikkels te voorkomen, maar aan de andere kant is het natuurlijk belachelijk dat je er vanuit moet gaan dat een professionele organisatie in een democratie zo corrupt zou zijn dat dat een reeel risico is!

Hoe dan ook is het voor ons als lezer toch wel verdomde interessant om te weten hoeveel er precies aan boetes is uitgedeeld om te kunnen zien in hoeverre deze diensten kostendekkend zijn!

Daarnaast mis ik ook compleet het overzicht van de verdeling van het soort zaken waar ze allemaal zo druk mee zijn, zeker Ierland om de in het artikel genoemde reden. En waarin verschillen beleid en focus van de verschillende landen, en wat speelt er op Europees niveau?

Wordt er bijvoorbeeld nagedacht om de manier om cookies te accepteren/weigeren makkelijker/eenduidiger te maken - of mijn persoonlijke nummer 1 ergernis: het zogenaamde "legitieme belang" - wat in principe gewoon een maas in de wet is en waarvoor je op sommige sites 10 vinkjes verstopt op een ander tabblad handmatig uit moet zetten! (de enige oplossing is gewoon keihard afdwingen dat iedere website je browserinstellingen controleert en respecteerd! Dat soort standaardisatie zou handhaving natuurlijk ook een stuk makkelijker en efficienter maken.

[Reactie gewijzigd door Alxndr op 2 september 2021 22:45]

belachelijk dat je er vanuit moet gaan dat een professionele organisatie in een democratie zo corrupt zou zijn dat dat een reeel risico is!

Je kunt het omdraaien. Stel er zijn 1000 man aan het werk. Op het moment dat je FTE's rechtstreeks gerelateerd zijn aan het uitdelen van boetes moet je dus mensen gaan ontslaan als er minder boetes zijn. De vraag is of dat wenselijk is. Daarnaast is er zeker wel ruimte in de interpretatie van regels en kun je verwachten dat die ruimte genomen wordt op het moment dat er ontslagen dreigen te vallen.

Als er echt structureel minder overtredingen zijn om te beboeten, heb je toch ook minder mensen nodig?

Natuurlijk is dat wenselijk, in de ideale wereld houdt iedereen zich zo goed aan de wet dat we aan sociale controle genoeg hebben en verdere handhaving overbodig is zodat we alle agenten om kunnen scholen naar een ander beroep waar op dat moment wel behoefte aan is.

Wat zich moeilijk in een cijfermatig grafiekje laat uitdrukken, is dat het werkveld per land verschilt. Denk aan de mate van digitalisering (hoog in Nederland), of het vestigingsklimaat van techreuzen (hoog in Ierland om fiscale redenen). Daardoor is het budget (of het aantal klachten) niet echt een graadmeter van effectiviteit.

Duitsland heeft naast dit ook nog eens een telecomwaakhond dat telefoonspammers aanpakt. Iets dat in Nederland totaal niet gebeurt.
Onze KVK verkoopt gewoon telefoonnummers aan die eikels, en we mogen nog betalen voor het privilege ook.

[Reactie gewijzigd door Wolfos op 2 september 2021 17:33]

"Ze worden niet op de balans van de toezichthouder gezet, want dat zou kunnen zorgen voor een perverse prikkel om meer of hogere boetes uit te delen."

Laat hier dan ook weer een toezichthouder op zetten een neutraal iemand. Die dan kan bepalen hoeveel iemand extra kan krijgen. Natuurlijk moet die toezichthouder ook weer getoezichhoudt worden om te kijken of die neutraal genoeg is.

Ik bedoel ermee te zeggen, wat is een CAO van zo'n toezichthouder op zo'n niveau? Denk toch wel 60k minimaal in Luxemburg sowieso wel. Hier zijn de salarissen vergeleken met Nederland 2x zo hoog. Kan dit uit ervaring zeggen omdat ik nu in Luxemburg werk

Laat hier dan ook weer een toezichthouder op zetten een neutraal iemand. Die dan kan bepalen hoeveel iemand extra kan krijgen. Natuurlijk moet die toezichthouder ook weer getoezichhoudt worden om te kijken of die neutraal genoeg is.

Quis custodiet ipsos custodes, 'm-i-rite?

Ja; als je dat gat in duikt, dan krijg je ineens heel veel extra kosten en commissies hier en daar; links en rechts, die allemaal iets mee zullen willen kunnen pakken.

[Reactie gewijzigd door R4gnax op 2 september 2021 17:28]

Mooi artikel!

De kosten per FTE kunnen snel vertekenen omdat er ook personeelsdiensten ingekocht kunnen worden. Het zou bijvoorbeeld zomaar kunnen dat de Nederlandse autoriteit de ICT heeft uitbesteed, terwijl de Duitse dit gewoon in-house heeft.

Dat zou in een vervolgartikel wel interessant kunnen zijn: hoe spenderen de autoriteiten hun gelden. Er zitten toch wat opvallende uitschieters bij.

Ik ben niet zo enthousiast over dit artikel. Het is me niet duidelijk wat ik nu voor nieuwe, toepasbare kennis heb opgedaan. Een paar punten, die toch ook inhoudelijk zijn en daarom volgens mij wel als reactie kunnen.:

De salarissen per land - ook binnen de EU- verschillen nogal. Zonder dat soort verschillen mee te nemen zegt een vergelijking van kosten per FTE (of: hoeveel EUR een burger betaalt op jaarbasis) m.i. weinig. In de tekst is weliswaar opgemerkt dat de kosten per FTE zeker niet enkel door de salarissen bepaald hoeven te worden. Dat kan dus van organisatie tot organisatie verschillen, alleen is het enkel van de AP aangegeven hoe de kosten in elkaar steken. Ook dan vraag ik me af: wat heb ik aan dat overzicht?

De eerste alinea van de conclusie suggereert dat er is gekeken naar een verband tussen kosten/uitgaven en “effectiviteit”. Althans, er wordt een alinea aan gewijd zonder dat er eigenlijk iets stelligs over te concluderen valt, volgens de auteur. Voor mijn gevoel is dat een beetje nutteloos, er is immers ook geen echte poging gedaan (in dit artikel) om er iets over te onderzoeken. Dat zou moeten beginnen met de vraag “over wat voor effectiviteit heeft de auteur het?” Bedoelen jullie boetes? Daar lijkt het wel een beetje op. Ik ben van mening dat dat alleen een slechte maatstaf voor effectiviteit is. De AP mikt ook op systeemtoezicht waarbij sturing door samenwerking met de markt wordt voorgestaan. Mijn voorstel zou zijn dat te onderzoeken en te kijken in een sector of acties op dat gebied effect hebben gehad; dus niet alleen maar hoeveel boetes voor welk bedrag zijn uitgedeeld. Nu is de alinea eigenlijk enkel een lippendienst bewijzen aan een mogelijk te onderzoeken onderwerp dat niet aan de orde is gekomen.

Het waarborgen van dat kleine stukje privacy wat we nog hebben is wat mij betreft een goede zaak die zeker uitgebouwd mag worden. Mogelijkerwijs kunnen zij spieken bij het OM en hun eigen bestaansrecht 'verdienen' door genoeg boetes op te leggen a la verkeersboetes?

Jammer genoeg is er weinig kans dat voorzitter Aleid (geld)wolfsen beweging gaat brengen. Deze meneer heeft in zijn politieke carriere een behoorlijke rap sheet aan corrupte acties verzameld. Als bestuurder berucht om zijn gebrek aan daadkrachtigheid zie lijst aan moties van wantrouwen. Hoe het kan dat hij vanuit zo'n positie voorzitter van een bij uitstek integere organisatie als de AP is geworden en voor de komende 5 jaar herbenoemd is blijft een raadsel.

Misschien kun je ff wat voorbeelden en bronnen toevoegen als je zulke snerende opmerkingen als "(geld)wolfsen" maakt en iemand van corruptie en gebrek aan daadkracht beschuldigd?

Alsjeblieft een kleine greep uit het nieuws van de afgelopen jaren

https://www.privacybarome...sen_heeft_de_schijn_tegen

https://www.netkwesties.n...s-de-verkeerde-man-op.htm

https://www.netkwesties.n...rloren-rechtszaken-en.htm

https://fd.nl/economie-po...toriteit-persoonsgegevens

https://www.nu.nl/politie...en-lag-geregeld-vuur.html

o.a. oplages van dagblad waarin zijn eigen gesjoemel besproken stond tegengehouden, politieverhoren zonder toestemming laten vernietigen, excessieve declaraties (theather tickets new york) en zo kan ik nog wel even doorgaan.

[Reactie gewijzigd door Otto1990 op 2 september 2021 23:35]

Ik wil niet de klagende Hollander zijn, maar dit vind ik geen best artikel. Meer dan een opsomming, samenvatting en visualisatie van de cijfers die jullie blijkbaar in de rapportages hebben gelezen, is dit niet.

Nu snap ik dat het moeilijk is om bij (alle, sommige) instanties moeilijk is om antwoorden te krijgen op meer specificaties van de cijfers en het hoe en waarom, maar dat is journalistiek. Het enige wat jullie nu, naar mijn mening, gedaan hebben is de rauwe, vaak langdradige, rapportages overzichtelijk gemaakt. Weinig tot geen poging om dieper in te gaan over het hoe en waarom van die cijfers.

Jammer en een gemiste kans.