MEIKE: Wanneer voelde u zich voor het laatst bespied?
ALEID WOLFSEN (Autoriteit Persoonsgegevens): Oei. Nou, dat was eigenlijk toen ik hier net kwam werken.
VOICE-OVER
MEIKE: Dit is Aleid Wolfsen, de voorzitter van de Autoriteit Persoonsgegevens. Het interview waar ik zo lang naar uitgekeken heb. Gewapend met een enorme lijst vragen ging ik naar Den Haag.
ALEID WOLFSEN: Toen ontdekte ik dat ik mijn tv niet privacyvriendelijk genoeg had ingesteld. Dus dat degene, mijn provider in algemene termen, kon zien wanneer ik wat keek en ook wanneer ik wat stilzette en terugkeek. Dat had ik niet helemaal goed ingesteld. Dus dacht ik: dat is toch wel verrassend. Ik zit hier nietsvermoedend thuis met gesloten gordijnen spannende televisie te kijken en mijn provider kan precies meekijken met wat ik zie.
VOICE-OVER
MEIKE: Gelukkig, wij bij Trees zijn dus niet de enigen die zich bespied voelen. Maar ter zake. Want ik ben hier natuurlijk vooral omdat ik meer te weten wil komen over het toezicht op onze privacy door deze autoriteit. Aleid Wolfsen begint met een college over zijn organisatie. Hij legt me uit dat ze de toezichthouder zijn. Nu kijken ze nog naar de huidige wet: de Wet Bescherming Persoonsgegevens. Maar vanaf 25 mei gaat volgens hem alles veranderen. Je hebt er al uitgebreid over kunnen horen in de laatste redactie, nummer drie in deze reeks. 25 mei gaat namelijk de nieuwe Europese privacywet in, de Algemene Verordening Gegevensbescherming, de AVG. Aleid vertelt me over een van de belangrijkste veranderingen voor hen.
ALEID WOLFSEN: Wij doen nu eigenlijk, als je het een beetje huiselijk zegt, doen we alleen iets met tips of klachten van mensen als het grote groepen mensen betreft, wij het verschil ook kunnen maken. En het om maatschappelijk belangrijke thema's gaat. Dus betekent dat we met heel veel dingen niks doen. En met heel weinig dingen wel wat. En straks doen we met alles iets.
MEIKE: Wat lastig daaraan is, is dat heel veel mensen vaak niet weten dat gegevens over hen verzameld worden. Dus mensen wisten niet dat er camera's in de reclamezuilen op de stations zaten. Mensen wisten niet dat Eindhoven een living lab is. Als ze daar uitgaan op Stratumseind, dat ze gevolgd worden. Of mensen wisten niet dat er een camera van blowUP op het hoteldak staat aan de overkant. Dat maakt het dan toch heel lastig om daarvanuit te gaan?
ALEID WOLFSEN: Ja dat klopt. En daarom blijven we ook spontaan onderzoek doen. Maar wij zijn natuurlijk wel afhankelijk van tips en meldingen. En wij gaan straks ook meer natuurlijk naar buiten. Ja, je moet het wel zien. Dat is waar. Daar hebt u gelijk in. Als mensen heel stiekem, verborgen, onrechtmatig met je data omgaan. Ja, dat moet wel worden ontdekt door iemand. Dat kan door ons worden ontdekt. Dat kan door iemand worden ontdekt die ons erover tipt. Van: pas op, ga daar eens kijken. Of dat kan door iemand worden ontdekt van wie de data worden verwerkt. Ik word gefilmd of ik krijg een mailtje, onaangekondigd. Of ik.. data van mij zijn gelekt. Daar hebt u gelijk in. Maar dat geldt altijd voor alles. Dus dat blijft ingewikkeld.
MEIKE: Maar als we naar de onderzoeken kijken: weet u zo hoeveel onderzoeken jullie per jaar doen? Hoeveel hebben jullie er in 2017 bijvoorbeeld gedaan?
ALEID WOLFSEN: Zeg ik even uit mijn hoofd. Kijk ik even met een schuin hoofd naar mijn medewerker. Volgens mij rond de 200 onderzoeken staat in ons jaarverslag.
MEIKE: Ik heb het hier liggen ook. Even kijken, dit is die van 2016. Deze is van 2017. Dus 200 onderzoeken. Dus dat zijn onderzoeken en uit jullie zelf en naar aanleiding van meldingen?
ALEID WOLFSEN: Ja. Klopt.
MEIKE: Vindt u dat voldoende? 200?
ALEID WOLFSEN: Nou, dat is het aantal wat we hebben gedaan met de mensen die we hebben. En dat is nooit genoeg. Maar ja. Dus, elke organisatie is altijd ‘onderbemenst’. Zo ook wij.
VOICE-OVER
MEIKE: Ik pak de papieren van de jaarverslagen er nog eens bij. Er staat een productietabel in, oftewel: wat ze dat jaar allemaal gedaan hebben. Die zie je nu in de Trees-app. En als je zin en tijd hebt om het hele jaarverslag door te spitten, dan vind je de link in het i’tje. Wat me opvalt in die tabel is het stukje over ‘sancties’. Ik vraag Aleid Wolfsen waarom er bij de boetes alleen maar nullen staan.
ALEID WOLFSEN: We kunnen nu alleen een boete opleggen als we eerst gewaarschuwd hebben. En dan moet er sprake zijn van opzet of grove schuld. Gelukkig is dat vaak niet het geval.
MEIKE: En daarom heeft u geen boete opgelegd?
ALEID WOLFSEN: Ja. Daarom leggen we… waarschuwen we wel bijvoorbeeld. We hebben naar aanleiding van datalekken ook heel vaak gewaarschuwd. En dan, mensen verbeteren hun gedrag. Gelukkig. Dat is precies wat we beogen natuurlijk. En mensen moeten zich daar niet in vergissen. Maar straks vervalt die drempel om een boete op te kunnen leggen. Dus dat je pas een boete kunt opleggen bij opzet of grove schuld. Die drempel valt weg. Fout is fout. Dus daarom ben ik er zeker van dat er straks altijd wat met onze onderzoeken wordt gedaan. Omdat dat gevolgd kan worden... of opgevolgd zal worden, door boetes. Ja het is heel spijtig. Dat het af en toe zal moeten. Maar dat zal ook gebeuren.
VOICE-OVER
MEIKE: Weet je nog dat ik onderzoek deed naar Exterion – die van de camera’s in digitale reclamezuilen op de stations? En dat de Autoriteit Persoonsgegevens helemaal niks wilde vertellen, zelfs niet of ze onderzoek deden? Nou, de voorzitter durft er wel wat opener over te zijn.
ALEID WOLFSEN: Ja. Dat loopt nog omdat daar de discussie is: worden daar persoonsgegevens verwerkt ja of nee? En we zijn wat krap bemenst dus het duurt wat lang. Misschien wel iets te lang. Maar we proberen dat wel voor 25 mei ook af te ronden. Want iedereen zal snappen dat je zomaar in de openbare ruimte.. daar kan de overheid filmen - politie en justitie. Maar een private partij mag u en mij zonder onze instemming niet zomaar filmen in de openbare ruimte.
MEIKE: En in dit geval: ik heb dus onderzoek gedaan naar een ander bedrijf: blowUP. De vragen heb ik ook eerder al aan jullie voorgelegd. Jullie gaven toen aan: de uitslag van het onderzoek naar Exterion komt eraan. Dat moeten we eigenlijk even afwachten. Wat het lastige daaraan is, is dat wat Exterion doet niet hetzelfde is als wat blowUP doet. Exterion zet de beelden meteen om in data. Daarom is de discussie ook zo moeilijk. Zijn het persoonsgegevens of niet als het meteen omgezet wordt? In het geval van blowUP zijn het camerabeelden, die ook live meegekeken kunnen worden, die opgeslagen kunnen worden. Er wordt ingezoomd waardoor mensen echt herkenbaar in beeld kunnen komen. Dus dat maakt het heel erg lastig als de uitkomst van het onderzoek er dadelijk is. Dan hoeft dat bedrijf daar niet per se iets uit te leren omdat het een ander voorbeeld is.
ALEID WOLFSEN: Nee. Wij hebben dit bedrijf hebben we niet onderzocht inderdaad. Maar in het algemeen kan ik er wel over zeggen.. Dat als je op straat loopt en je wordt zomaar gefilmd. dan mag dat in beginsel niet. Punt. Tenzij je toestemming voor hebt gegeven. Of het onderdeel is van een contract. Of er een wet onder ligt. En een wet is vaak voor overheden. dus politie mag dan camera's zetten in de openbare ruimte in het kader van veiligheid. Als dat niet het geval is, dan mag het niet. Punt.
MEIKE: Nou, dat is allemaal niet het geval hier. Maar wat betekent dat dan voor de Autoriteit Persoonsgegevens. Wat kunnen jullie dan met zo'n zaak doen?
ALEID WOLFSEN: We hangen alles nu een beetje rond die 25e mei omdat het dan voor ons allemaal veel makkelijker maakt om ergens tegen op te treden. Dus als na 25 mei dit gedrag wordt vertoond, filmen in de openbare ruimte zonder toestemming, dan is er een vrij simpele methode om daartegenop te treden.
MEIKE: Hoe dan?
ALEID WOLFSEN: Dat kan zijn dat iemand een klacht bij ons inlevert. Die gaan we dus onmiddellijk behandelen ook. Of we gaan spontaan dat soort bedrijven aanschrijven en zeggen: u moet hiermee stoppen.
MEIKE: Maar in dit geval. Ik leg het hier voor u neer. Dit is een vrij duidelijke casus. U zegt het ook. Dit mag niet. Waarom kunt u dan niet gewoon zeggen: dit is iets wat we gaan onderzoeken? Of hier gaan we op handhaven? Waarom bent u daar dan terughoudend in?
ALEID WOLFSEN: Nou, omdat we in het algemeen terughoudend zijn om via de media te communiceren over concrete bedrijven. Dus we gaan niet zeggen tegen bedrijf X zoals tegen bedrijf Y: we gaan tegen u optreden. Het is veel chiquer, veel netter, veel zorgvuldiger, om dat naar het bedrijf direct te doen. Dus het feit dat ik hier nu niks over zeg wil nog niet zeggen dat we er niks aan doen.
MEIKE: Dat vroeg ik me nog af: u zegt: we kunnen dadelijk meer, he, onder die nieuwe wet. Gaat u ook kritischer zijn? Vorig jaar in de zomer zijn een aantal uitspraken door een rechter geweest. Die u hebben teruggefloten dat u niet genoeg heeft gehandhaafd of niet kritisch genoeg bent geweest.
ALEID WOLFSEN: Ja, klopt niet helemaal. Klopt wel dat we.. omdat we gewoon.. eerlijk: te krap bemenst waren, konden we niet alles oppakken. En daar heeft de rechter een paar keer van gezegd: hier moet je wel wat mee doen. En ook terecht.
VOICE-OVER
MEIKE: Het gaat om ieder geval drie rechtszaken, vorig jaar. In één maand werd de Autoriteit drie keer op de vingers getikt. Ze zouden niet genoeg hebben opgetreden in een zaak over de afvalpas van de gemeente Arnhem, over zorgverzekeraars die medische persoonsgegevens in declaraties verwerkten en over de Nederlandse Zorgautoriteit die niet zorgvuldig genoeg om zou zijn gegaan met medische persoonsgegevens.
ALEID WOLFSEN: Waar gewerkt wordt gaan dingen mis. Vinden we ook heel fijn dat een rechter daar kritisch mee kijkt. We hopen alleen wel dat straks niet of nauwelijks voorkomt dat de rechter gaat zeggen tegen ons: dit had u moeten onderzoeken, hebt u niet gedaan. Omdat wij straks onder die nieuwe verordening.. moeten we alles onderzoeken. Gaan we ook doen.En als dan de rechter zegt: u hebt iets terzijde gelegd wat u had moeten onderzoeken. Dan zijn we fout bezig.
MEIKE: Ik hoop dat ik over een jaar weer langs mag komen. U belooft veel. U gaat alles doen. Alle klachten worden in behandeling genomen.
ALEID WOLFSEN: Als we natuurlijk wel daar de voldoende mensen voor krijgen. En als we natuurlijk worden overspoeld door klachten dan zal elk normaal denkend mens ook snappen dat dat je dat niet allemaal kunt verwerken. Tenzij je er heel veel mensen bij krijgt. Waar staat die burgers anders? Tegen zo'n machtige overheid? Tegen zo'n groot bedrijf? Dat past dan ook bij dat we daar voldoende middelen voor krijgen. Daar zijn we zeer van afhankelijk. Maar ik vertrouw er wel op dat dat gaat gebeuren.
MEIKE: Hoeveel klachten mogen er per dag binnen komen dat u het aankunt?
ALEID WOLFSEN: Poeh. We hebben schattingen gemaakt. Even uit mijn hoofd doen. Die houden rekening met aantallen klachten 8-9-10 duizend klachten per jaar.
MEIKE: Gaan we kijken of dat gaat lukken allemaal. Dank u wel voor uw tijd in ieder geval. U moet weer door naar de volgende afspraak he? Drukke agenda..
VOICE-OVER
MEIKE: Ik had nog veel meer willen vragen, maar de tijd is helaas op. Voorzitter Aleid Wolfsen geeft dus toe dat ze niet overal aan toe kwamen, omdat ze te klein zijn. Hij verwacht wel veel verbetering na 25 mei, omdat ze dan met meer mensen zijn en meer bevoegdheden hebben. Ik vraag me af of je met 140 mensen het hele land af kunt gaan, alle bedrijven en overheidsinstellingen kunt controleren en 10.000 tips kunt onderzoeken. En die tips moeten dus van ons komen, oplettende burgers. Terwijl we waarschijnlijk vaak bespied worden zonder dat we het weten. Dus, als je wel wat weet, laat het weten aan de Autoriteit Persoonsgegevens. Want het fijne is wel dat de Autoriteit straks verplicht is om wat te doen met je tips. Maar wacht dus even tot de 25e.