De Autoriteit Persoonsgegevens (AP) adviseerde het kabinet in 2021 maar liefst 95 keer over wetgeving waarin verwerking van persoonsgegevens aan de orde was. In 18 gevallen adviseerde de AP het kabinet een wetsvoorstel flink aan te passen. Of anders niet aan te bieden aan de Tweede Kamer. De AP heeft de indruk dat het kabinet wetsvoorstellen vaak ziet als een vrijbrief voor de overheid om bijna ongelimiteerd persoonsgegevens van burgers te verzamelen, op te slaan of te verspreiden.
Dat blijkt uit het jaarverslag van de AP over 2021. Het kabinet adviseren over wetsvoorstellen is een vorm van preventief toezicht en een van de belangrijkste taken van de AP, naast klachten behandelen, onderzoek doen en voorlichting geven over bescherming van persoonsgegevens.
95 adviezen over nieuwe wetgeving
Van de 95 adviezen waren er 18 zeer kritisch. In 37 gevallen had de AP enkele opmerkingen en 40 keer had de AP geen opmerkingen. In bijna 20 procent van de gevallen werden persoonsgegevens dus onvoldoende beschermd. Of was onduidelijk hoe het zat met de bescherming. Ook kwam het voor dat onvoldoende was onderbouwde waarom het verwerken van persoonsgegevens überhaupt nodig zou zijn. Impactvolle adviezen in 2021 gingen onder andere over de Wet gegevensverwerking
door samenwerkingsverbanden (WGS), de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV), de afscherming van persoonsgegevens in het Kadaster en Handelsregister, tegen doxing, en het coronatoegangsbewijs. Het voorstel voor de WSG, waarover de Eerste Kamer nu moet besluiten, geeft overheidsorganisaties én private partijen zeer ruime bevoegdheden om persoonsgegevens met elkaar te delen. Dit kan grote gevolgen hebben voor mensen die ‘op het verkeerde lijstje’ terechtkomen. De minister van Justitie en Veiligheid heeft aangegeven problemen met het wetsvoorstel later te willen oplossen in algemene maatregelen van bestuur. Dat maakt de AP niet geruster over dit wetsvoorstel. Hetzelfde geldt voor het wetsvoorstel dat een basis moet vormen voor de verwerking van persoonsgegevens door de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV). In het advies over een wetsvoorstel voor de strafbaarstelling van doxing wees de AP op het gemak waarmee mensen in het Handelsregister en in het Kadaster adressen van anderen kunnen opzoeken. Met tot gevolg dat mensen thuis geïntimideerd of bedreigd kunnen worden.
Boetes
De AP legde in 2021 11 boetes opgelegd. Onder meer TikTok, UWV, Booking.com en de gemeente Enschede kregen een boete. Het meest in het oog springend is echter de boete die de Belastingdienst kreeg die nooit persoonsgegevens had mogen verwerken in de Fraude Signalering Voorziening (FSV) – een zwarte lijst – op de manier waarop dit jarenlang gebeurde. Veel van de kernbeginselen van de privacywet AVG werden daarmee door de Belastingdienst op ernstige wijze geschonden.
Gegevens voor altijd openbaar
In andere gevallen wees de AP erop dat persoonsgegevens die de overheid openbaar maakt, voor altijd openbaar zijn. Een voorbeeld is de wijziging van het Handelsregisterbesluit. Volgens dit wetsvoorstel blijven de woonadressen van thuiswerkende zzp’ers vrij toegankelijk voor iedereen.
Datalekken en klachten
In 2021 ontving de AP 24.866 meldingen over datalekken, ruim meer dan het jaar daarvoor. De datalekken hadden ook meer impact.
De AP ontving bijna 19.000 klachten van mensen over organisaties die hun privacy schenden. 774 daarvan hadden een internationaal karakter.
Publicaties
De AP bracht diverse publicaties en tools uit, waaronder:
• Handreiking Wet gemeentelijke schuldhulpverlening
• Aanbevelingen voor smart cities
• Uitgangspunten voor inrichten sterk intern toezicht
• Privacyboekje voor ondernemingsraden
• Handleiding voor privacy in verkiezingscampagnes