Het jaar 2018 was een mijlpaal voor de bescherming van persoonsgegevens. Dat zegt voorzitter Aleid Wolfsen van de Autoriteit Persoonsgegevens (AP), die donderdag haar jaarverslag presenteerde. De nadruk lag op voorlichting, maar vanaf dit jaar zal ook worden gehandhaafd.

Op 25 mei 2018 werd de nieuwe privacywet van toepassing: de Algemene verordening gegevensbescherming (AVG). Voor de Autoriteit Persoonsgegevens (AP) stond het jaar dan ook in het teken hiervan. Enerzijds om organisaties te stimuleren de noodzakelijke voorbereidingen te treffen en de nieuwe wet na te leven. Anderzijds om als toezichthouder klaar te zijn voor nieuwe taken op het gebied van Europese samenwerking, voorlichting en behandeling van privacyklachten.

Voorlichting en normuitleg
Voorzitter Aleid Wolfsen: “Wij hebben er in 2018 bewust voor gekozen om ons vooral te richten op voorlichting, normuitleg en normoverdracht in de eerste periode nadat de nieuwe privacywet ging gelden. In 2019 blijven we voorlichting geven om de naleving van de privacywetgeving te bevorderen. Tegelijkertijd gaan we steviger inzetten op handhaving nu organisaties bekender zijn met de nieuwe privacywet.
De AP bevordert dat organisaties, maar ook mensen zelf, hun verantwoordelijkheid nemen om persoonsgegevens te beschermen. 27.000 mensen hebben de AP het afgelopen jaar telefonisch benaderd over de privacywet. In 2017 waren dat er ‘maar’ 9.500.

Digitale regelhulp
Met de campagne ‘Privacy gaat iedereen wat aan’ heeft de AP mensen bewuster gemaakt van hun privacyrechten en organisaties praktische hulp geboden om aan de AVG te voldoen. Bijvoorbeeld met een digitale ‘regelhulp’, waarmee organisaties snel in kaart konden brengen wat zij nog moesten doen voor 25 mei 2018.
Daarnaast heeft de AP in 2018 over diverse onderwerpen uit de AVG uitleg gegeven, zoals wifitracking, direct marketing en grootschalige gegevensverwerkingen in de zorg. De AP adviseerde in 2018 meer dan 80 keer de overheid – zowel gevraagd als ongevraagd – over nieuwe wet- en regelgeving die over de verwerking van persoonsgegevens gaat.

Ruim 11.000 klachten sinds AVG
Sinds de invoering van de AVG neemt de AP elke privacyklacht in behandeling. In 2018 heeft de AP ruim 11.000 klachten ontvangen. De klachten gingen vooral over een schending van privacyrechten, zoals het recht op inzage.
Omdat het aantal klachten zo groot was, lag de focus in 2018 op manieren om de klachten zo effectief en efficiënt mogelijk te behandelen. De AP heeft onder meer uitleg gegeven over de regels, gesprekken gevoerd met organisaties en concrete tips gegeven om de problemen achter de klachten succesvol op te lossen.
Wolfsen: “De AP heeft zich in 2018 voornamelijk gericht op het beëindigen van mogelijke overtredingen door aan te sturen op herstelmaatregelen door organisaties zelf. Klachten zullen in de toekomst vaker leiden tot onderzoek en sancties van de AP.”

Onderzoek en sancties
Mede afhankelijk van de wens van degene die een klacht heeft ingediend, kan de AP kan ervoor kiezen om een interventie te doen, zoals een brief met normuitleg aan een organisatie sturen of een normoverdragend gesprek voeren. Zo’n interventie is vaak al genoeg om de overtreding te laten stoppen. In 2018 heeft de AP 720 klachten en 298 datalekmeldingen op deze manier afgehandeld.
Daarnaast heeft de AP in 2018 zestien onderzoeken afgerond en zeventien handhavingstrajecten gestart. Deze hebben geleid tot sancties voor onder meer Uber, de Belastingdienst en het UWV.
Verder startte de AP direct na 25 mei 2018 met controles op de verantwoordingsplichten uit de AVG. De AP controleerde bijvoorbeeld bij 400 overheidsorganisaties, 91 ziekenhuizen en 33 zorgverzekeraars of zij een FG hadden aangemeld. Ook is de AP in december 2018 gestart met onderzoek naar het privacybeleid van een aantal IVF-klinieken, politieke partijen en bloedbanken.

Internationale samenwerking
Op 25 mei 2018 is de European Data Protection Board (EDPB) opgericht. In de EDPB werken de privacytoezichthouders uit de EU samen bij hun toezicht op de AVG. In 2018 stond het internationale werk van de AP vooral in het teken van de EDPB. De AP speelde een actieve rol bij vergaderingen van de EDPB, de bijbehorende subgroepen en verschillende werkgroepen. Bijvoorbeeld door als (hoofd)rapporteur op te treden voor verschillende Europese projecten.
In 2018 heeft de AP 781 internationale zaken ontvangen, zoals klachten, datalekken en ambtshalve onderzoeken met een grensoverschrijdend karakter, afkomstig uit Nederland en van andere Europese toezichthouders. De meeste internationale zaken gaan over rechten van betrokkenen (verwijder- en inzageverzoeken) en over de grondslagen (toestemming, gerechtvaardigd belang en contract).

Reorganisatie toezichthouder
De AVG heeft ingrijpende veranderingen meegebracht voor het toezicht en de toezichthouder. De AP heeft er diverse nieuwe taken en bevoegdheden bij gekregen, onder meer op het gebied van Europese samenwerking, voorlichting en bij de behandeling van klachten van burgers.
In 2018 is de AP daarom gegroeid van 109 naar 157 fte en gereorganiseerd naar een andere structuur en rechtspersoonlijkheid, met een nieuwe missie en toezichtkader.
Op dit moment is de AP nog volop in ontwikkeling. Nieuwe medewerkers worden ingewerkt, de nieuwe structuur daalt in en werkprocessen voor nieuwe taken worden helder. Er lopen constructieve gesprekken met het ministerie van Justitie en Veiligheid over de verdere groei van de organisatie.