Universiteit Tilburg en Bureau Berenschot deden de verplichte vijfjaarlijkse evaluatie. Daarvoor tekenen Stavros Zouridis, Ronald Leenes en Bert-Jaap Koops van de universiteit en Pepijn van der Beek en Roeland Stolk (algemeen directeur) van Berenschot.

Ze interviewden voor hun rapport vooral privacyjuristen, zoals wetenschappers, FG’s van gemeenten, zorg en onderwijs, bedrijven (Meta), overheden (Politie, Belastingdienst), VNO-NCW, de Ombudsman en directie en medewerkers van de AP zelf gevraagd. Meest opvallend is een ‘groepsgesprek’ met vier experts van ING Bank, zonder enige motivatie voor die keuze.

Kritiek staatssecretaris

De nette toonzetting van de rapportage heeft wellicht te maken met de opdrachtgever van de evaluatie. Dat is de AP zelf. Voor de slager de externe keuring openbaar maakt, gingen vier maanden heen. Het rapport was eind oktober 2024 gereed en is gisteren (3 maart 2025) naar de Tweede Kamer gestuurd door Teun Struycken, staatssecretaris van Justitie en Veiligheid (Rechtsbescherming) namens NSC.

De AP vertraagt volgens de staatssecretaris, en bovendien is het de vraag of de beoordeling volstaat omdat de AP-voorzitter Aleid Wolfsen zichzelf opdrong als opdrachtgever: “De discussie tussen het ministerie en de AP richt zich op het opdrachtgeverschap...Nu vanuit de AP zelf een brede evaluatie is afgerond, moet beoordeeld worden of deze evaluatie inzicht geeft of de AP doelmatig en doeltreffend functioneert…

Doordat het geheel pas maandag 17 februari jl. onder embargo ambtelijk aan het departement is aangeboden, is het niet mogelijk om gelijktijdig met de publicatie door de AP de evaluatie van onze zijde van een inhoudelijke reactie te voorzien.”

Toezicht op voorzitter Wolfsen

Niet alleen op de procedure van Wolfsen, ook op zijn opstelling als AP-voorzitter en baas is forse kritiek. De Autoriteit Persoonsgegevens voert de kerntaken niet goed uit. Klachten blijven te lang liggen en het boetebeleid is ongewis waardoor er veel angst voor overtreding van de AVG in de markt is. De AP onder Wolfsen is bovendien te arrogant in haar juridisch starre houding, want wordt “als belerend of als betweter” ervaren.

Voorzitter Wolfsen baseert zijn houding immers ten onrechte op het feit dat de Europese wetgeving hem ‘volledig onafhankelijk’. Zijn wil is wet, maar de buitenwereld wil meer overleg. Een deel van de respondenten vindt dat uitspraken van Wolfsen buiten de scope van de AVG of (te) stellige uitspraken over nieuwe ontwikkelingen niet goed zijn voor het gezag van de AP.

Hij moet niet zijn goddelijke gang kunnen gaan. Dat moet veranderen, onder meer met stringenter toezicht op het bestuur. Daartoe moet de huidige Raad van Advies worden verzwaard naar een Raad van Toezicht. Die kan bijvoorbeeld optreden als de AP blundert en volhardt.

Maatschappelijke en wetenschappelijke invloed nodig

In het advies van de begeleidingscommissie staat ook de suggestie om een maatschappelijke commissie op te tuigen met betrokken sectoren en partijen als bijvoorbeeld de Consumentenbond, VNO-NCW en mensenrechtenorganisaties. “Burgers, maatschappelijke organisaties en bedrijfsleven worden daarmee stake-holders van de AP.”

Daarnaast zou er een Wetenschappelijke Commissie moeten komen met “vertegenwoordigers van intra- en extra-universitaire onderzoeksinstituten op het gebied van privacy en persoonsgegevensbescherming, justitie, veiligheid en informatica”.

De begeleidingscommissie – onder voorzitterschap van Paul Schnabel - noemt ook de moeizame relatie tussen de AP als zelfstandig bestuursorgaan en het ministerie van Justitie en Veiligheid. J&V mag zich niet inhoudelijk bemoeien met het werk van de AP en heeft moeite met kritische adviezen van de AP over wetsvoorstellen van J&V. Ze stelt voor dat de AP bij Binnenlandse Zaken (BZK) komt. Ook de naam moet dan veranderen in Autoriteit Bescherming Persoonsgegevens, want dat geeft voor burgers beter weer wat de AP doet.

Effect AP-werk ongewis

De Autoriteit Persoonsgegevens laat steken vallen met de uitvoering van sommige van haar belangrijkste taken. Bedrijven krijgen daardoor soms onverwacht boetes. Ook duurt het veelal te lang voordat klachten over het gebruik van persoonsgegevens in behandeling worden genomen.

De AP zou regelmatig handhavingsbeleid moeten publiceren waarmee bedrijven en overheden handvatten krijgen hoe ze zich het best aan de AVG kunnen houden. Bovendien moet de AP meer met bedrijven en overheden in gesprek gaan in plaats gaan in plaats van haar macht laten gelden.

De onderzoekers vinden het moeilijk om een uitspraak te doen over het daadwerkelijke effect van de AP op naleving van de AVG of breder de zorgvuldige omgang met persoonsgegevens, laat staan of burgers in de digitale wereld als gevolg van de AP-interventies beter beschermd zijn. De AP moet veel meer indicatoren inzetten om vast te stellen of ze haar werk naar tevredenheid van de betrokken burgers en organisaties uitvoert.

Te veel taken?

Met doorklinkende verbazing stelt de evaluatiecommissie vast dat de AP ondanks haar klagen over gebrekkige bezetting steeds meer taken naar zich toetrekt en breder gaat opereren in plaats van doelgerichter. Het is bijvoorbeeld twijfelachtig of de AP bij machte is om het toezicht op AI, waarvoor voorzitter Wolfsen streed in de lobby bij de Tweede Kamer, goed zal kunnen uitvoeren.

Zo schetsen Berenschot en Universiteit Tilburg hoe complex en groot de wereld van AI zal worden. Het is de vraag of de AP de enorme groei ven verwerking van persoonsgegevens kwantitatief, qua complexiteit en normering wel zal aankunnen.