Rutte IV: toezichtreflex en Autoriteit Persoonsgegevens

Laat ik beginnen met het plan om de Autoriteit Persoonsgegevens (AP) als algoritme-autoriteit aan te wijzen. Alhoewel de keuze op het eerste gezicht een logische lijkt, zijn er redenen om deze te heroverwegen. Allereerst vanuit het belang van ministeriële verantwoordelijkheid en parlementaire controle. Afgelopen juni heb ik op deze plaats, voortbouwend op een ongevraagd advies van de Raad van State, gewezen op de staatsrechtelijke implicaties van het groeiend aantal en de steeds grotere rol van (Europese) toezichthouders. Kort gezegd: met het uitdijend arsenaal aan toezichthouders en activiteiten die daar worden belegd, kalft de ruimte voor ministeriële verantwoordelijkheid af. Sowieso is het wat mij betreft problematisch dat de AP nagenoeg zonder enige serieuze controle of reflectie standpunten uitdraagt die zich soms maar moeizaam verhouden met wat rechters of wetgever daarover hebben gezegd. Slechts spaarzaam kunnen deze standpunten door de rechter worden gecorrigeerd. Kortom, voor een adequate (parlementaire) controle op – en daarmee vooral ook maatschappelijk debat over – het gebruik van algoritmen is de AP niet de aangewezen keuze.

Een tweede overweging heeft te maken met de ambitie zelf: meer transparantie van en controle op algoritmen. Los van wat we precies onder algoritmen verstaan: ze hebben vaak niets met privacy van doen en zitten vrijwel overal (in). Dus hoe willen we de geformuleerde ambitie überhaupt realistisch bij deze specifieke toezichthouder beleggen? Bovendien: moet het kabinet wel direct met een toezichthouder willen schermen? Inzicht in, begeleiding van en controle op de werking en effecten van algoritmen veronderstelt niet per se toezicht. Initiatieven zoals het algoritmeregister van de gemeente Amsterdam laten zien dat het ook anders kan.

Dat brengt mij op mijn derde, wat bredere, punt. Moeten de AP en vooral de hardwerkende medewerkers niet eerst de ruimte krijgen de bestaande taakopdracht beter ter hand te nemen, in plaats van weer een nieuwe klus erbij? Het kabinet wil de AP versterken en geeft structureel extra geld. Weliswaar niet het budget van 100 miljoen euro waar de AP voor had gepleit, maar wel meer dan de nul op het rekest die de toezichthouder bij de recente miljoenennota kreeg. Toch, voor het versterken van de AP is meer nodig dan extra financiële armslag. Onlangs nog bleek de toezichthouder niet te hebben voorzien in essentieel instrumentarium als een systeem voor kwaliteitszorg en audits op het primaire proces. Ook ontbreken volgens het evaluatierapport een volwaardige controlfunctie en een geautomatiseerd zaakvolgsysteem. Daarbij komt dat de AP in de discussie over extra middelen steevast de nadruk legt op activiteiten, aantallen en budgetten. Nauwelijks op (maatschappelijke) doelen en resultaten. Andere toezichthouders en inspecties lijken daarin verder te zijn. Zo wordt uit de recente doorlichting van het Agentschap Telecom duidelijk dat men actief stuurt op kwaliteit van dienstverlening aan de hand van indicatoren voor klantwaarde en maatschappelijke waarde. En voor de ACM geldt dat er weliswaar kritiek op ‘de afschrikwekkende werking’ van het toezicht was, maar het veld zegt deze autoriteit wel te ervaren als een toegankelijke, deskundige en navolgbare toezichthouder. Min of meer vergelijkbaar is de conclusie in de evaluatie van de AFM.

Een doorlichting aan de hand van soortgelijke indicatoren komt voor de AP al jaren niet beschikbaar. Waarom is mij niet duidelijk. Iedere lerende organisatie, ook als deze een onafhankelijke positie heeft, laat zich af en toe een spiegel voorhouden. En afgaand op signalen uit het veld vallen juist bij de AP nog wel stappen te zetten. Illustratief zijn de berichten over het meldloket voor datalekken dat daar is ondergebracht. Afgelopen november verscheen een open brief aan de AP die leest als een noodkreet, maar ook talloze waardevolle suggesties ter verbetering van dit meldloket bevat. Twee maanden zijn verstreken, maar de afzenders – de Vereniging voor Privacyrecht Advocaten en de Vereniging Privacyrecht – hebben tot op heden geen reactie mogen ontvangen. Ook is, voor zover de opstellers van de brief konden nagaan, niets met de suggesties gedaan. Op antwoord wachten ook de juristen die een WOB-verzoek bij de AP hebben ingediend om vast te kunnen stellen of sprake is van een beveiligingslek bij de AP zelf. Het vermoeden bestaat dat via het digitale formulier bedoeld om datalekken te melden, sprake is van onrechtmatige (namelijk bovenmatige) gegevensverwerking door de AP zelf. Eerder al kwamen via dit meldformulier persoonsgegevens beschikbaar voor daartoe onbevoegde derden. Momenteel loopt de evaluatie van de uitvoeringswet AVG. Ondanks dat de AP een cruciale rol speelt bij de uitvoering van deze wet, vormt het functioneren van deze toezichthouder geen onderdeel van deze evaluatie. Wellicht komt dit aspect zijdelings wel aan de orde bij de doorlichting van de regeling voor de meldplicht datalekken (deze is onderdeel van de evaluatie).

In talloze TV-praatprogramma’s is momenteel steevast de vraag: waar gaan de miljoenen die Rutte IV op diverse beleidsdossiers uittrekt nu precies naartoe? Wat betreft het privacytoezicht is dat hopelijk niet alleen: meer toezicht. Maar vooral ook toezicht dat voldoet aan meetbare indicatoren als responsiviteit, transparantie, consistentie, voorspelbaarheid en zorgvuldigheid. En: toezicht waarin de samenleving zich gerepresenteerd kan voelen.

^1. Op www.njb.nl is een versie met voetnoten opgenomen, soms met een nadere toelichting