Aleid Wolfsen heeft een glansrijke carrière achter de rug, waarin hij vanuit verschillende maatschappelijke dimensies werkt. Zo heeft Wolfsen het ambt van burgemeester, Tweede Kamerlid en rechter bekleed. Inmiddels is hij ruim acht jaar voorzitter van de Autoriteit Persoonsgegevens (AP) en daarnaast vervult hij de functie van vicevoorzitter van het European Data Protection Board (EDPB). Als Nederlandse toezichthouder zet de AP zich in voor een belangrijk Europees grondrecht: de bescherming van persoonsgegevens. De instantie ontleent haar taken en bevoegdheden aan het Handvest van de Grondrechten van de EU en aan de Algemene Verordening Gegevensbescherming (AVG). Zo kan de AP boetes oplegggen aan organisaties die de verordening niet naleven. Wolfsen deelt in dit interview zijn visie op verschillende privacygerelateerde thema’s, zoals de toeslagenaffaire en de verhouding tussen publiekrechtelijke en privaatrechtelijke handhaving.
Handhavingstekort
Nederland is een van de meest gedigitaliseerde landen in Europa. Wolfsen benadrukt dat digitalisering ons welzijn vergroot en innovaties bevordert, bijvoorbeeld bij medische behandelingen. ‘Maar het gaat ook gepaard met grote gevaren, zeker als er algoritmen en AI aan te pas komen en mensen in oneindig veel bestanden worden opgenomen. In een digitale wereld gaat alles snel en dus moet handhaving gelijke tred houden, dat gebeurt nog onvoldoende.’ In zijn brief van 4 april 2024 wijst Wolfsen de informateurs van de kabinetsformatie op een aantal zorgwekkende risico’s van digitalisering. Hoewel Wolfsen van mening is dat de AVG voldoende waarborgen biedt om de privacyrechten van individuen te beschermen, is de AP door een gebrek aan middelen niet in staat haar wettelijke taken goed en volledig uit te voeren. ‘De afgelopen jaren zijn we veel groter geworden, maar nog niet groot genoeg.’ De parlementaire enquêtecommissie Fraudebeleid en Dienstverlening heeft het kabinet daarom unaniem geadviseerd het jaarbudget van de AP te verhogen naar minimaal 100 miljoen euro per jaar. ‘Dat voelt als een steun in de rug’, aldus Wolfsen.
AI en algoritmische besluitvorming
In zijn brief beschrijft Wolfsen onder andere de gevaren van AI en algoritmische besluitvorming. ‘AI kan worden vergeleken met wapens en messen: op zichzelf zijn ze niet gevaarlijk, maar je kan er gevaarlijke dingen mee doen en grondrechten op ernstige wijze schenden. Bepaalde wapens en messen zijn zó gevaarlijk, dat ze om die reden zijn verboden.’ Op diezelfde manier is de AI-verordening van belang, zodat kan worden voorkomen dat versies van AI op de markt worden gebracht die bijvoorbeeld persoonsgegevens op een zeer onrechtmatige wijze kunnen verwerken. Op 21 mei 2024 heeft de Europese Raad goedkeuring gegeven aan deze verordening. Een schrijnend voorbeeld van algoritmische besluitvorming door een AI-systeem is de toeslagenaffaire. Uit het rapport ‘Blind voor Mens en Recht’ van de parlementaire enquêtecommissie blijkt dat de Belastingdienst algoritmes op een onjuiste wijze heeft ingezet. ‘Je raakt de rechtsstaat in het hart.’
‘Dan wordt je recht op effectieve rechtsbescherming feitelijk illusoir’
De AP heeft onderzoek verricht naar de verdenkingen tegen de Belastingdienst. Wolfsen spreekt van een ‘ongekende hardheid van de overheid bij het terugvorderen van de voorschotten’. De Belastingdienst heeft van 1,4 miljoen Nederlanders ten onrechte hun tweede nationaliteit geregistreerd. Daarnaast zijn mensen op discriminatoire wijze eruit gepikt en aan extra controle onderworpen. ‘Het recht op bescherming van persoonsgegevens fungeert als hoeksteen voor andere grondrechten in de digitale wereld. Als je niet weet op basis waarvan je bent geselecteerd en algoritmen ondoorzichtig zijn, dan wordt je recht op effectieve rechtsbescherming feitelijk illusoir.’ Ook kan worden gedacht aan schending van het recht op eerlijke verkiezingen, zoals bij het Cambridge Analytica schandaal. ‘Al deze grondrechten worden beschermd door het grondrecht van bescherming van persoonsgegevens en dat is ontzettend mooi.’ Door het toeslagenschandaal zijn de schijnwerpers in ieder geval gericht op het gebruik van algoritmen. Hierdoor heeft de huidige regeringscoalitie in het regeerakkoord opgenomen dat toezicht hierop moet worden versterkt. Daarnaast juicht Wolfsen het algoritmeregister toe, waarbij overheidsinstellingen (vrijwillig) openbaar maken dat ze algoritmen gebruiken.
Schadevergoeding?
Hoewel de AP verschillende bevoegdheden heeft, kan zij geen schadevergoeding aan gedupeerden van AVG-schendingen toewijzen. In een Kamerbrief verzoekt Wolfsen de wetgever om de AP meer bevoegdheden te geven bij de toekenning van schadevergoeding aan gedupeerden. ‘Het is belangrijker dat de schade wordt vergoed dan dat de inbreukmaker wordt gestraft. Bij de straf houd je namelijk rekening met het feit dat de schade al dan niet vergoed is en de boete moet altijd evenredig zijn.’ Wolfsen noemt als voorbeeld dat het Openbaar Ministerie een schadevergoedingsmaatregel kan opleggen. ‘Dat kan de AP niet, maar dit willen we wel. Als bijvoorbeeld sprake is van een datalek, kunnen we stimuleren dat de schade wordt vergoed.’
‘Je moet dan wel weten dat de AVG is overtreden, maar vaak weten mensen dat niet en dan valt er weinig privaatrechtelijk te handhaven’
Naast publiekrechtelijke handhaving door de AP is privaatrechtelijke handhaving door individuen of belangenorganisaties mogelijk. Gedupeerden van AVG-schendingen kunnen op grond van artikel 82 AVG aanspraak maken op schadevergoeding voor de geleden materiële of immateriële schade. ‘Je moet dan wel weten dat de AVG is overtreden, maar vaak weten mensen dat niet en dan valt er weinig privaatrechtelijk te handhaven. Als je fiets is gestolen of je bent slachtoffer geworden van mishandeling, dan merk je dit en kan je aangifte doen bij de politie.’ Schendingen van je grondrechten in de digitale wereld zijn daarentegen vaak onzichtbaar.
Volgens Wolfsen staat de mooiste zin van de AVG in overweging 7 van de preambule: ‘Natural persons should have control of their own personal data’. Bij Rechtencircuit.nl hoef je je in ieder geval geen zorgen te maken over het verlies van ‘controle over je persoonsgegevens’. Zolang je geen reactie onder de publicaties achterlaat, hebben wij geen van jouw persoonsgegevens. Als hoeder van de bescherming van persoonsgegevens roept Wolfsen ons verder op niet naïef te zijn. ‘Zorg ervoor dat je grip hebt op je data, net zoals je grip hebt op andere eigendommen, zoals je geld en je huis. Ga niet te makkelijk overal mee akkoord en wees professioneel en achterdochtig, al helemaal als iets zogenaamd gratis is.’
