Lisa van Ginneken (D66): “Betrek Autoriteit Persoonsgegevens eerder bij wetgeving”

Januari vorig jaar ging Lisa van Ginneken aan de slag als Tweede Kamerlid voor D66. Ze is, samen met collega Hind Dekker-Abdulaziz, verantwoordelijk voor digitalisering, cyberveiligheid en privacy. Data&Privacyweb ging op bezoek bij Van Ginneken voor een gesprek over digitalisering, de positie van de Autoriteit Persoonsgegevens (AP) en wat het betekent om als IT’er in de politiek te zitten.

In haar portefeuille zit onder meer ICT, privacy en digitale veiligheid en sinds een paar maanden ook infrastructuur, verkeer en mobiliteit. Vandaar ook haar nachtelijk werkbezoek. Haar partijgenoot Hind Dekker-Abdulaziz nam dit voorjaar de digitale economie van haar over. Samen zitten ze in de vaste Kamercommissie Digitale Zaken.

Voordat Van Ginneken in de Kamerbankjes belandde, was ze werkzaam in de IT-sector. Ze kan dus bouwen op een flinke dosis technische expertise en ervaring. Iets dat de meeste parlementariërs niet kunnen zeggen.

Je zal de vraag vast vaker horen, maar hoe belangrijk is het om, met deze portefeuille, een IT-achtergrond te hebben?

“Ik heb in mijn IT-carrière zo’n tien jaar gewerkt als consultant op het gebied van digitaliseringsvraagstukken binnen de publieke sector. Hoe zetten we technologie in voor de publieke zaak. Welke afwegingen maak je daarbij? Dat soort vragen. Je ziet die één op één terugkomen in mijn huidige werk.

Daarnaast opent mijn tech-achtergrond deuren. Je spreekt dezelfde taal en gebruikt dezelfde woorden. Je hoeft, kortom, niet alles uit te leggen. Dan heb je al snel een verbinding gemaakt en ben je ‘binnen’. En ik neem natuurlijk een netwerk mee. Dat is ook wel lekker, kan ik je zeggen.”

Laten we naar de actualiteit gaan. De Algemene verordening gegevensbescherming (Avg) bestaat op de kop af vier jaar. Er klonk rond deze verjaardag nogal wat kritiek van privacy-activisten. Die vinden dat de wet niet goed wordt nageleefd. Terwijl experts zeggen: bezie die jonge verordening ook met wat mildheid. 100 procent compliance – de mate waarin de organisatie handelt in de geest van de wet – is volgens hen nooit te bereiken. Hoe sta jij in die discussie?

“

Vier jaar later merk ik dat die aanvankelijke koudwatervrees voorbij is. Ik zie wel dat bedrijven soms moeite hebben om de compliance te behalen. Terwijl dat wel móet. Als je met verstrekkende data werkt, moet je compliance gewoon op orde zijn. Zo zijn we dat ook al sinds jaar en dag gewend in de financiële sector, bijvoorbeeld in de accountancy.”

Klinkt mooi, maar is volledige compliance eigenlijk wel te bereiken?

“

Je moet ook altijd kijken naar de administratieve lastendruk van regelgeving, bijvoorbeeld binnen gemeenten. Het gaat om maatwerk. Je moet met elkaar in gesprek blijven en aanpassen waar mogelijk. Ik vind het wel een goed idee als organisaties ter verantwoording worden geroepen als ze in gebreke blijven.”

Vanuit die gemeenten hoor je: we willen het graag goed doen, maar we missen ook capaciteit en kennis. Er komt al zoveel op ons bordje door de decentralisatie.

“Ik begrijp het sentiment dat gemeenten de laatste jaren een stuk meer moeten doen, maar je organisatie op Avg-terrein op orde brengen heeft niet zo veel met decentralisatie te maken. Want dat is waar het uiteindelijk om gaat: zorgen dat je je zoveel mogelijk houdt aan die privacy-verordening. Gemeenten hadden ook al even de tijd om er zich op voor te bereiden. De Wet bescherming persoonsgegevens – de voorganger van de Avg – bestond al sinds 2001.”

Dan is er de onvermijdelijke vervolgvraag: hoe kun je het gemeenten makkelijker maken?

“Ik zie hier een taak voor de Vereniging van Nederlandse Gemeenten (VNG). Die doet natuurlijk al allerlei dingen, bijvoorbeeld als het gaat om het vergroten van kennisniveau rond digitale vraagstukken. Als brancheorganisatie kun je ervoor zorgen dat gemeenten onderling kennis delen. Tools helpen daarbij. Zo zie je in één oogopslag wat de best practices zijn. Wel zo efficiënt, en iedereen kan ervan leren. Zo levert die hele Avg-naleving ook niet al te veel bureaucratie op.”

De VNG zette al een kennisnetwerk data en smart society op, en er loopt een project waarbij gemeenten samenwerken aan een blauwdruk voor gestandaardiseerde open datasets, nu steeds meer organisaties overgaan op datagestuurd werken.

Van Ginneken: “Dit soort initiatieven hebben we nodig. De VNG heeft een faciliterende rol, en die zie ik graag uitgebreid.”

Een ander heikel punt bij de naleving van de Avg is de Autoriteit Persoonsgegevens (AP). Die klaagt over stelselmatig te weinig geld en slagkracht om alle datalekken en Avg-overtredingen te kunnen aanpakken.

“Ik geloof heel erg in privacy by design. Dat je privacyvraagstukken aan de voorkant inbouwt. Daar kan de AP wat mij betreft een rol bij spelen. Ik wil de AP sowieso meer betrekken in het wetgevingsproces, het liefst al in het prille begin. Bij elke wet stel ik vanaf nu de vraag: wat is hierbij de rol van de toezichthouder?”

Kan de privacywaakhond dat er nog wel bij hebben? De AP lijkt vast te lopen onder de hoge werkdruk en gebrek aan capaciteit.

“Kijk, de AP werd ooit opgericht als toezichthouder van onze persoonsgegevens, met een zak geld en de woorden: succes! Maar in de tussentijd is de overheid in rap tempo allemaal wet- en regelgeving gaan maken, met allemaal valide redenen omwille van de bescherming van persoonsgegevens. Maar de capaciteit van de toezichthouder blijft daarbij achter. Sterker nog, je zou de afgelopen jaren zelfs kunnen spreken van een structurele uitholling.

Er worden wel eens wetsvoorstellen ingediend waarbij toezichthoudende taken bij komen kijken. Laatst ging het bijvoorbeeld over de vrachtwagenheffing. Ik vroeg toen aan minister Harbers (Infrastructuur en Waterstaat): ‘heeft u eigenlijk uitgerekend hoeveel extra capaciteit het toezicht hierop van de toezichthouder vraagt?’ ‘Nee’, zei hij met verschrikte blik. Nou, dan moet je hem in de toekomst beloven dat wel te doen.

Wat we nu zien, is dat de AP wordt gedwongen om wel heel scherpe prioriteiten te stellen. En in de beleving van de publiek gaat het dan vaak om verkeerde prioriteiten. Voor mij zijn dat allemaal duidelijke signalen dat de AP moet worden versterkt.”

Met meer geld?

“

Big Tech trekt aan de touwtjes

“

Eind maart sloot de overheid zodat ambtenaren gebruik kunnen blijven maken van de diensten van Google. Denk aan opslag en tekstverwerking. Is het, gezien de kritiek op Big Tech, dan niet gek dat het kabinet, met daarin D66, een akkoord sluit met dit bedrijf?

“Ik moet je eerlijk zeggen dat ik me daar nog niet echt in heb verdiept. Ik heb begrepen dat er aanvullende afspraken zijn gemaakt over de naleving van de AVG. Google zal zich beter houden aan de privacymaatregelen die gelden onder de Europese wetgeving. Die afspraken hebben we ook gemaakt met Microsoft, voor onder meer het onderwijs.”

Kun je hen wel op hun spreekwoordelijke blauwe ogen geloven? De manier waarop ze met onze data omgaan belooft niet veel goeds.

“

In maart stelde Van Ginneken vragen aan staatssecretaris van Digitale Zaken (en partijgenoot) Alexandra van Huffelen over de clouddiensten van een ander groot en marktbepalend techbedrijf, Microsoft (1). Daar heeft ze nog niets op gehoord. “Het blijft stil, maar ik houd het in de gaten en zal nog eens om een reminder vragen,”

Wanneer ben je tevreden aan het eind van je eerste Kamertermijn?

“

Persoonsgegevens zijn koopwaar geworden. Mensen die gebruik maken van online diensten, hebben daar heel weinig grip op. Hun data is nu een betaalmiddel. En dat brengt allerlei publieke waarden in gevaar, met als uiterste consequentie ondermijning van de democratische rechtstaat. De komende jaren zet ik me in om dát te voorkomen.”