De Nederlandse toezichthouder op de privacy, de Autoriteit Persoonsgegevens, wordt sinds de invoering van de nieuwe Europese privacywet overspoeld door klachten en meldingen van datalekken. De organisatie ontving per maand zo’n 1.610 privacyklachten en 1.483 meldingen van datalekken. De privacy-waakhond is daarvoor niet uitgerust, blijkt uit onderzoek van Investico voor De Groene Amsterdammer. Ondanks een verdubbeling van het personeel worstelt de organisatie nog steeds met te veel werk voor te weinig mensen.

Het ministerie van Justitie gaf de toezichthouder in 2017 geld om maandelijks 667 klachten en 500 meldingen van datalekken te kunnen behandelen. In werkelijkheid blijken er 40 procent méér meldingen en klachten te zijn. Het tekort aan geld en personeel is niet nieuw. De toezichthouder is in haar dertigjarig bestaan structureel genegeerd en kreeg tot voor kort te weinig middelen om effectief op te treden, blijkt uit het Investico-onderzoek.

De Autoriteit Persoonsgegevens staat sinds 2016 onder voorzitterschap van Aleid Wolfsen, voormalig PvdA-kamerlid en oud-burgemeester van Utrecht. Met de nieuwe Europese privacywet in aantocht zegde hij toe de ‘ombudsman voor de privacy te worden’ maar kan die belofte niet nakomen, blijkt nu. Ruim veertig procent van de klachten is nog niet behandeld. Bovendien stuurde de autoriteit ruim een derde van de behandelde klachten terug naar de organisatie waar de klacht over ging.

Beeld door:
Visualisatie: Adriana Homolova

Vorige voorzitters van de toezichthouder lieten klachten van burgers bewust onbehandeld omdat de organisatie structureel onderbemand was, en anders niet aan haar belangrijkste werk als toezichthouder zou komen. De waakhond voor privacy is de kleinste belangrijke, landelijke toezichthouder in Nederland. Haar toezichtgebied – van gemeenten tot ziekenhuizen en grote techbedrijven – is echter het grootste. De pakkans voor bedrijven, overheden en andere organisaties is dus klein, waarschuwde de waakhond in het jaarverslag van 2015. De kans dat de toezichthouder aan de deur klopt is ‘kleiner dan eens in de duizend jaar’.

Beeld door:
Visualisatie: Adriana Homolova

In tegenstelling tot andere toezichthouders mocht de privacy-autoriteit tot 2016 geen boetes opleggen, ondanks jarenlange waarschuwingen van de organisatie dat zonder deze boetebevoegdheid toezichthouden ‘een fictie wordt’. Het enige sanctiemiddel was een ‘gele kaart’. Met een zogeheten last onder dwangsom werd de overtreder eerst gewaarschuwd. Als ze haar gedrag beterde, verviel de dwangsom.

Bedrijven voor wie datahandel hun businessmodel is, zoals Facebook en Google, konden hierdoor wachten tot de toezichthouder aanklopte om vervolgens alleen het minimum toe te geven. Dat gold ook voor overheidsinstanties die hun databanken slecht beveiligen, waaronder het UWV en de Nationale politie.

Beeld door:
Visualisatie: Adriana Homolova