Interview - Tien jaar AVG: privacy telt, maar voor handhaving is nauwelijks geld

In dit artikel:

Aleid Wolfsen vertrekt per 31 juli als voorzitter van de Autoriteit Persoonsgegevens (AP) na twee termijnen van in totaal tien jaar. Hij stond aan het roer toen de Algemene Verordening Gegevensbescherming (AVG/GDPR) in Europa werd ingevoerd en toezichthouders vanaf 2018 konden handhaven. In een afsluitend, uitgebreid gesprek blikt Wolfsen terug op de ontwikkeling van privacy van een vrij abstract thema naar een volwaardige sector met grote economische en maatschappelijke belangen.

Wolfsen schetst hoe digitalisering – recent met de opkomst van grote taalmodellen en agentische AI – het speelveld razendsnel verandert en het bewustzijn bij burgers en organisaties sterk is toegenomen, met name sinds de coronaperiode. Tegelijk wijst hij op structurele knelpunten binnen toezicht: de AP kampt al jaren met onderbezetting en beperkte middelen. Volgens een door KPMG opgesteld rapport is voor een basistoezicht jaarlijks ongeveer 100 miljoen euro nodig; het huidige budget voor 2026 is echter 53,5 miljoen en dreigt te dalen. Wolfsen blijft hoopvol dat de Tweede Kamer het benodigde extra geld zal toekennen, mede verwijzend naar aanbevelingen uit de parlementaire enquête naar de toeslagenaffaire, maar erkent dat het uitblijven van middelen de handhavingsmogelijkheden belemmert.

Die beperkte capaciteit heeft concrete gevolgen: de pakkans op boetes is klein, en de AP kan minder proactief onderzoeken opstarten. Wolfsen benadrukt dat veel datalekken voorkomen doordat basisbeveiliging bij organisaties niet op orde is; daarom moet databeveiliging volgens hem een bestuurlijke prioriteit worden, met expertise in raden van bestuur en mogelijk persoonlijke aansprakelijkheid bij ernstige overtredingen (zoals in de aankomende Cyberveiligheidswet wordt geregeld). Hij juicht ook de toename van massasclaims na datalekken toe als aanvullend mechanisme om misstanden aan te pakken.

Op Europees niveau ziet Wolfsen de AP en soortgelijke toezichthouders als een nieuwe, onafhankelijke pijler naast regering, parlement en rechtspraak: een 'vierde macht' die bevoegdheden heeft om vooraf wetten te toetsen en grondrechten digitaal te beschermen. De AVG fungeert bovendien als voorbeeld voor andere regelgeving (DMA, DSA, de AI-verordening) en beïnvloedt gedrag van bedrijven wereldwijd.

Wolfsen noemt het werk van de AP stevig verankerd: de organisatie staat er, de AVG is ingebed in Nederland en samenwerking met andere toezichthouders is verbeterd. Kritiek dat de AP te terughoudend zou zijn met boetes erkent hij, maar plaatst dat in de context van beperkte middelen. Zijn opvolger is Geert Potjewijd, een privacyadvocaat met een verleden als raadsman voor grote techbedrijven zoals Meta en Uber; die aanstelling is om die reden omstreden.

Wolfsen benadrukt dat de AP een nieuwe fase ingaat door de AI-verordening – wat hij aanduidt als de overgang van ‘AP 3.0 naar 4.0’ – en waarschuwt dat er nog veel werk ligt voor zijn opvolger. Hij vertrekt met de overtuiging dat gegevensbescherming niet meer ter discussie staat, maar met de zorg dat effectiever toezicht meer politieke en financiële steun vergt.