Interview met Aleid Wolfsen, Voorzitter Autoriteit Persoonsgegevens.
Inleiding van de redactie
Dit artikel is een weergave van een interview dat redacteur Guus Schrijvers heeft gehad met Aleid Wolfsen op 21 augustus jl. ter gelegenheid van zijn afscheid als voorzitter van de Autoriteit Persoonsgegevens vanwege pensionering.
GS: Wat was het moment waarop jij het meest realiseerde hoe groot de impact van de AP kan zijn op het leven van gewone mensen?
AW: “Dat was eigenlijk al vrij snel, toen we een klacht ontvingen over de toeslagenaffaire. Ik werkte één of twee jaar bij de AP. Het was nog voor de inwerkingtreding van de AVG dus nog onder de Wet bescherming persoonsgegevens. Toen heette de AP ook nog Collegebescherming persoonsgegevens. Er was iemand die aangaf: “Ik heb het idee dat ik er bij de Belastingdienst ben uitgepikt en dat mijn achtergrond, kleur of tweede nationaliteit daar een rol bij heeft gespeeld.” De eerlijkheid gebiedt te zeggen dat die klacht in eerste instantie te kort is afgedaan, na contact met de belastingdienst. Onze medewerkers hadden onvoldoende zicht op wat er speelde en konden het zich niet voorstellen. De belastingdienst had hen afgescheept. Op de vraag “Verwerken jullie dubbele nationaliteiten van mensen en gebruiken jullie die bij profilering?” antwoordde de Belastingdienst “Nee, dat doen we niet. Die gegevens hebben we überhaupt niet en gebruiken we niet bij profilering.” Dat werd in eerste instantie ook door onze mensen geloofd. Maar toen ging de klager in kwestie reclameren en kregen we toch een niet pluis gevoel. Inmiddels waren er ook rapporten van de Ombudsman. Toen realiseerden we ons dat als de klacht terecht was, er echt iets heel groots aan de hand was. Op dat moment realiseerden we ons ook dat de impact van het verwerken van persoonsgegevens buitengewoon groot kan zijn op mensen.”
GS: Welke zaak of casus heeft je het meest veranderd in hoe je over privacy en toezicht denkt?
AW: “Dat is de toeslagenzaak. Omdat die ging over gebruik van gevoelige gegevens zoals de tweede nationaliteit waar dat niet had gemoeten. Daardoor zijn mensen gediscrimineerd. Dit is een hele impactvolle zaak geweest.”
GS: Wat zou je 10 jaar geleden anders hebben aangepakt met de kennis van nu?
AW: “Ik denk niet dat ik zaken anders zou aanpakken. Toen ik werd benoemd in 2016 was de AVG al aangenomen en wisten we dat die in 2018 van kracht zou worden. We zijn vrij snel gestart met de voorbereidingen om onze rol in het kader van die wet te implementeren. Dat zouden we met de kennis van nu niet heel anders hebben gedaan. Het klinkt wat gek, maar zo is het wel.”
GS: Je was 10 jaar lang AP-Voorzitter. Waren in die periode fases te onderkennen?
AW: “Zeker. Eind jaren 80, begin jaren 90 van de vorige eeuw werd een voorloper van de start, zeg maar AP 1.0. Dat was eigenlijk een adviesorgaan, een registratiekamer binnen de toenmalige Wet persoonsregistraties. In 2001 kwam de Wet bescherming persoonsgegevens, geïnitieerd door de Europese data-protectierichtlijn. De registratiekamer werd toen het Collegebescherming persoonsgegevens, wat je zou kunnen zien als AP 2.0. AP 3.0 ging in toen de Algemene Verordening Gegevensbescherming (AVG) kwam in 2016, samen met de richtlijn gegevensbescherming voor rechtshandhaving. Toen kreeg de organisatie de naam Autoriteit Persoonsgegevens. AP controleerde vanaf dat moment ook de overheid, bv de naleving van de Wet politiegegevens, en kon o.a. boetes opleggen. In heel Europa werden vergelijkbare organisaties opgericht en de AP werd ook in heel Europa bevoegd.
Op dit moment, zit AP weer in een volgende fase, met de implementatie van de nieuwe Europese AI verordening in Nederland. We zitten nu in een transitie van AP 3.0 naar AP 4.0. Naast het toezicht op het verwerken van persoonsgegevens gaat AP ook toezicht houden op producten die zijn bedoeld voor verwerking van persoonsgegevens. Nog voordat er gegevens mee worden verwerkt. Dergelijke producten moeten aan allerlei voorwaarden voldoen. Als ze daaraan niet voldoen, kan de AP verbieden dat het product op de markt wordt gebracht of zeggen dat het product van de markt moet worden gehaald. Dat is een extra preventieve taak.
GS: Wat heeft dit werk met jou persoonlijk gedaan? Na 10 jaar aan het hoofd van een toezichthouder die voortdurend onder druk staat?
AW: “Het is fijn dat de AP een college is en bestaat uit drie personen (net als in veel andere landen). Bovendien heeft de AP hele goede toegewijde en deskundige medewerkers. Ik heb gewoon geprobeerd mijn werk goed te doen, maar ik deed dat zeker niet alleen. Ik ben me wel bewust geworden hoe kwetsbaar mensen zijn in een digitale wereld. Dat begon met de toeslagenaffaire, waar één discriminerende regel in een risicoselectiemechanisme zat. Ik zie ook dat er in de zorg niet altijd goede beveiliging is en dat in massale datalekken hypergevoelige zorginformatie kan lekken en hoe kwetsbaar mensen daarin kunnen zijn. Die bewustwording is heel groot geworden.”
GS: De afgelopen jaren hebben we ervaren dat onzekerheid over interpretatie van AVG in de zorgsector heeft geleid tot de risicomijdend gedrag en als gevolg daarvan een behoorlijke rem op het hergebruik van gezondheidsgegevens voor beleid, onderzoek en zorg. Kun je je voorstellen dat AP in de toekomst een meer richtinggevende rol kan vervullen, met andere woorden, niet alleen toetsend achteraf, maar meer adviserend aan de zorg vooraf. Ook in relatie met de Europese European Health Data Space wetgeving.
AW: “Een zeer terechte en goede vraag. Ja, dat kan ik me heel goed voorstellen. Daarom ben ik heel druk geweest om AP te laten groeien. Toen de AVG werd ingevoerd, was de AP een kleine kwetsbare club die nauwelijks tijd en ruimte had om voorlichting te geven. Aan voorlichting was wel behoefte omdat AVG algemene wetgeving is met soms wat brede vage termen. Mensen hebben – zeker in de zorg – het recht om goed uitgelegd te krijgen wat onder bepaalde begrippen wordt verstaan. De afgelopen jaren hebben we die kanteling echt gemaakt en inmiddels schat ik dat AP de helft van haar capaciteit inzet voor voorlichting. Dat is best veel. Dat doen we door in overleg te gaan bv met Functionarissen Gegevensbescherming (FG’s) van zorgorganisaties en door guide lines te schrijven. We zijn ook druk met de EHDS die is aangenomen en nu wordt geïmplementeerd. We hebben gesproken met mensen uit de zorgsector over de invoering van AI, en we zijn zelf ook in ziekenhuizen gaan kijken wat er gebeurt en om uitleg te geven. Ik ben er zeker van dat mijn opvolger die lijn van meer uitleg geven goed gaat voortzetten.”
“We gaan nog meer contact zoeken met FG’s in zorginstellingen. Die hebben best vaak handelingsverlegenheid en weten ook niet wat wel of niet goed kan. AP kan ter plekke uitleg geven. Als FG’s beter begrijpen hoe ze de wetgeving moeten toepassen, kunnen zij dokters in hun organisaties helpen met vragen. En als de FG er niet uitkomt kan die weer bij de AP terecht. We zijn dag en nacht voor de FG’s beschikbaar.”
GS: Voel je dat de AP echt kan optreden tegen grote techbedrijven of blijft het vaak bij symbolische stappen?
AW: “Het blijft zeker niet bij symbolische stappen. Toevallig is vandaag bekend geworden AP de grootste boete ooit heeft opgelegd. (Redactie: van 950 miljoen euro aan Uber. Bij Uber gaat het om de derde boete in successie). Die boetes helpen echt. We zien dat door ons optreden, zelfs los van die boetes, dingen in bedrijven veranderen. We kunnen dingen stilleggen, we kunnen dingen veranderen. Belangrijk is ook dat we in Europa samen met collega toezichthouders optreden. De AVG heeft ertoe geleid dat er een European Data Protection Board bestaat. Daarin zitten formeel alle voorzitters in van alle AP’ s, van elk land één. Duitsland heeft heel veel toezichthouders, maar er zit ook maar één iemand uit Duitsland in die Board. In Ierland zitten bijvoorbeeld veel grote techbedrijven. Daar hebben onze collega’s, in goed overleg met ons en met de andere collega’s in Europa, recent een boete opgelegd aan een tech bedrijf voor meer dan 1 miljard. En dan kun je zeggen, wat betekent zo’n boete voor zo’n groot techbedrijf? Toch vinden grote techbedrijven het echt vervelend om boetes opgelegd te krijgen en er worden bijvoorbeeld ook dingen stilgelegd bij bedrijven. Het gaat langzaam. Maar we kunnen echt handhavend optreden.”
GS: Welke uitdagingen in het kader van Cyberbedreiging en AI vind je het meest onderschat door de politiek?
AW: “De politiek onderschat soms hoe snel ontwikkelingen gaan. En men is zich lang niet altijd bewust van de risico’s van bijvoorbeeld de inzet van AI. De AP heeft niet lang geleden onderzoek gedaan naar hoe DUO controleert of studenten wel of niet thuis wonen, omdat uitwonenden hogere vergoedingen krijgen. Uit dit onderzoek bleek dat DUO tien jaar lang alleen maar MBO studenten heeft gecontroleerd met een migratieachtergrond. En dus heeft gediscrimineerd. De Kamer heeft de Minister tien jaar lang gevraagd of de fraudebestrijding wel op orde is, maar bewindslieden hebben nooit interesse getoond hoe die fraudebestrijding heeft gewerkt. Het is buitengewoon spijtig dat dit zo lang heeft kunnen gebeuren. Inmiddels is een hersteloperatie ingezet waarbij alle toeslagen opnieuw worden bekeken en boetes worden terugbetaald. Die operatie kost de Nederlandse belastingbetaler 80-90 miljoen euro. Er zitten ongetwijfeld fraudeurs onder MBO studenten met een migratieachtergrond, maar je mag iemand niet gaan controleren vanwege enkel zijn achternaam of vanwege zijn mbo-opleiding als daar geen objectieve rechtvaardiging voor is. Dit soort studenten hadden een hoger risico op controles dan iemand die een Academische opleiding volgde, terwijl daar geen onderbouwing voor was. De interesse van de overheid voor de transparantie bij de inzet van AI kan echt beter, bij overheidsinstellingen en bij bedrijven.”
GS: Stel dat een bedrijf dat ziekenhuissoftware levert met veel patiëntengegevens in buitenlandse handen komt, mag dat? Hoe moet ik dit vergelijken met de DigiD bestanden waarover onlangs grote onrust bestond vanwege verkoop van digiD software aan een Amerikaans bedrijf.
AW: “Dit is een discussie die nu gaande is, niet alleen in Nederland maar ook Europees. Ik vind dat we in Europa minder afhankelijk moeten worden van buitenlands gezag, we moeten emanciperen. Rutte noemde Donald Trump een tijdje geleden daddy. We moeten ons los– en vrijmaken van buitenlandse (d.w.z. niet-EU) politieke daddies, maar ook van tech–daddies. Alle informatie die cruciaal is of fundamenteel is voor onze samenleving – en dat is overheidsinformatie, maar zijn ook zorg gegevens – moet wat mij betreft binnen Europa blijven. Omdat die informatie in Europa het beste wordt beschermd. Ik zou er zelfs wel voor willen pleiten dat het verplicht wordt dat alle zorginstellingen die werken met een vergunning vanuit de Wet Toelating Zorginstellingen (WTZi), zorgen dat hun informatie binnen Europa blijft. Bijvoorbeeld door dit op te nemen in de vergunning voorwaarden, zodat de vergunning kan worden ingetrokken als hun data buiten Europa gaan. Aan de andere kant vind ik dat Europa meer moet investeren om dataopslag binnen Europa mogelijk te maken. De Rabobank klaagde onlangs terecht dat zij voor hun opslag soms afhankelijk zijn van niet Europese partijen. Die klacht snap ik wel. Europa moet bedrijven faciliteren zodat de opslag van de meest gevoelige gegevens en zorggegevens binnen Europa blijft.”
GS: Hoe kwetsbaar zijn Nederlandse overheidsdata eigenlijk voor buitenlandse druk en geopolitieke spanningen?
AW: “We zijn zeker kwetsbaar. Een tijdje geleden zagen we dat bij het Internationale Strafhof in Den Haag waar nu een aantal leden persoonlijk worden gepest: ze kunnen hun creditcard niet meer gebruiken en evenmin Amerikaanse software. Die mensen worden dan digitaal doodverklaard, want die kunnen niet meer gebruik van maken van hun creditcard en hun mail wordt afgesloten. Dan kun je bijna niet meer functioneren. Met een knipoog naar de vroegere vakbonden van 100 jaar geleden: “Als Donald Trump dat wil, ligt morgen heel Nederland stil. Overheidsinstellingen maken heel veel gebruik van digitale infrastructuur die linken heeft naar Amerika en dat is niet van vandaag op morgen af te bouwen. De beweging die nu in Europa wordt ingezet om autonomer te worden vind ik heel goed. Emanciperen en de handen ineenslaan. Digitale soevereiniteit roept iedereen, en is niet zomaar iets, het is heel fundamenteel. Juist vanwege die kwetsbaarheid.”
GS: De Europese Artificiële Intelligence Act en daarbij passende Nederlandse uitvoeringswet gaan ervan uit dat mensen verantwoordelijk blijven voor AI. Stel, een AI-toepassing levert een ernstige fout op in de diagnostiek van een patiënt.
Waar moet deze patiënt of de professional dan terecht met klachten?
AW: “De AI Act vereist dat iedereen die gebruik maakt van AI, AI geletterd moet zijn. Je moet je scholen in AI, wil je er gebruik van kunnen maken. Iedereen die gebruik maakt van AI moet weten hoe AI werkt. Als een bedrijf bijvoorbeeld aan een zorginstelling niet wil vertellen hoe de algoritmen in zijn product werken vanwege intellectueel eigendom, dan moet een zorginstelling dat product niet kopen. Want als een zorginstelling of dokter gebruik maakt van zo’n product, dan is deze zelf verantwoordelijk. De dokter kan niet zeggen dat het de fout is van de AI. De dokter is en blijft verantwoordelijk voor zijn diagnose. “
GS: Hoe gaat AW zich voorbereiden op taak van preventieve controle?
Wil de Autoriteit de AP-preventie tegen cyberaanval en datalekken bevorderen door vooraf te controleren hoe organisaties hun beveiliging hebben geregeld? Komt er nog twee keer zoveel personeel bij de AP bij?
AW: “Naast de AI Act is ook een cyber-beveiligingswet. Die wet regelt dat bestuurders, ook bestuurders van zorginstellingen, persoonlijk aansprakelijk worden als ze hun kennis niet op orde hebben. Ook van die digitale wereld moet je je als bestuurder zo persoonlijk vergewissen. Dat betekent scholing en trainen. Als je dat niet doet kun je ook persoonlijk beboet worden. Dat vind ik heel goed. De AP bereidt zich op dit moment voor op de implementatie van de AI wet. We hebben in dat kader net een uitvoeringstoets gedaan. Het resultaat is nog niet openbaar en ik kan nog geen concrete cijfers noemen. Deze toets is afgerond in de laatste weken dat ik in functie was en ik heb het document zelf ondertekend.
“De uitkomst is onder andere dat de AP in het kader van die transitie naar 4.0 opnieuw fors moet worden uitgebreid. Ik vertrouw erop dat dat ook gaat gebeuren, want ik had een uitstekend gesprek met de nieuwe staatssecretaris van Economische Zaken Willemijn Aerdts die alles met digitalisering in de portefeuille heeft. Ze begon er zelf over dat zo’n grote nieuwe taak niet zonder nieuwe middelen kan – dat heb ik nog niet eerder meegemaakt bij bewindspersonen. Mevrouw Aerdts heeft ook de Solvinity overname van de DigiD-software verboden. Ze heeft echt verstand van zaken en zit goed in de wedstrijd. Ze begrijpt dat als je AP niet uitbreidt, er geen goede voorlichting kan plaatsvinden en de pakkans klein blijft. Dan kunnen we in Nederland geen goede uitvoering geven aan de AI act en dat is niet goed.”
GS: De laatste vraag is een persoonlijke. Wat zijn je toekomstplannen?
AW: “Ik ga eerst twee maanden reizen door Zuid-Europa. En ik blijf een aantal nevenfuncties uitvoeren die ik nu ook doe. Eén daarvan is in de zorg: ik blijf Voorzitter van Utrecht Zorg, een regionale werkgeversorganisatie voor zorg en welzijn waar alle werkgevers in Midden-Nederland bij zijn aangesloten. Utrecht zorg moet ervoor zorgen dat er meer mensen in de zorg gaan werken, minder mensen uitstromen, slagingspercentages verhogen, et cetera. Daar mag ik nog twee jaar actief blijven. Verder ben ik onder andere nog arbiter in bouwzaken als lid van de Raad van arbitrage van de bouw. Dit soort kleine klussen blijf ik doen. Ik heb me ook aangemeld voor een aantal vrijwilligersklussen. Met name van die maatjes-projecten dat je één op één mensen kunnen begeleiden.”
GS: Dank voor dit interview
AW: “Graag gedaan.”
Met dank aan auteur Lies van Gennip voor de eindredactie van bovenstaande tekst en aan de auteurs Lisette van Gemert, Marcel de Krosse en ook weer aan Lies van Gennip voor het formuleren van de vragen.
Over de geïnterviewde
De jurist Aleid Wolfsen (Kampen, 1960) was van 23 mei 2002 tot 1 januari 2008 lid van de Tweede Kamer voor de PvdA. Op 2 januari 2008 werd hij geïnstalleerd als burgemeester van de gemeente Utrecht, welke functie hij vervulde tot eind 2013. Van 1 augustus 2016 tot 1 augustus 2026 was hij voorzitter van de Autoriteit Persoonsgegevens.
Zoektermen voor het internet:
Aleid Wolfsen, Guus Schrijvers, interview afscheid AP, Autoriteit Persoonsgegevens AVG zorg, AI Act toezicht Nederland AP, Privacy en persoonsgegevens in de zorg, Impact toeslagenaffaire Autoriteit Persoonsgegevens, Digitale soevereiniteit Europese zorgdata, Aansprakelijkheid AI medische diagnostiek, Voorlichting AVG Functionaris Gegevensbescherming, Boetes grote techbedrijven AVG Uber, Transitie AP 4.0 Cyberbeveiligingswet