De grote toezichtsinterviewestafette – deel 4: de Autoriteit Persoonsgegevens

Monique Verdier is sinds 1 januari 2019 vicevoorzitter en lid van het bestuur van de Autoriteit Persoonsgegevens (AP). Voordat Verdier bij de AP kwam werken, was zij actief als bestuurder, adviseur en toezichthouder in de zorg. Zij was jarenlang lid van de raad van bestuur van het Groene Hart ziekenhuis in Gouda en het Albert Schweitzer ziekenhuis in Dordrecht.



Katja Mur is sinds 1 februari 2019 lid van het bestuur van de Autoriteit Persoonsgegevens (AP). Mur werkt sinds 1993 in het openbaar bestuur. Voordat zij bestuurslid werd bij de AP, was zij directeur Macro-Economische Vraagstukken en Arbeidsmarkt bij het ministerie van Volksgezondheid, Welzijn en Sport. Daarvoor werkte zij als programmadirecteur, afdelingshoofd en inspecteur bij diverse ministeries.

Elianne en Frans: Om met de actualiteit te beginnen: de coronacrisis brak uit, Nederland ging op slot. Hoe was dat voor jullie? Wat gebeurde er allemaal?

Katja: Gelukkig hebben we de kans gehad om nog net voordat de persconferentie kwam met het hele MT bij elkaar te komen. Dat is ook de laatste keer dat we elkaar fysiek in die samenstelling hebben gezien. We zijn eigenlijk van de ene op de andere dag thuis gaan werken, behalve sommige collega’s die dat qua werkzaamheden niet konden. We zijn erg trots hoe onze werknemers vanuit huis, in ingewikkelde omstandigheden, toch heel goed aan de slag zijn gegaan. we hebben het vervolgens erg druk gekregen. Het privacyvraagstuk hangt immers met veel aan corona verwante vraagstukken samen.

Elianne en Frans: Welke specifieke vraagstukken doemden op?

Katja: Het begon in eerste instantie met het medische patiëntendossier. De vraag was of dat kon worden opengesteld voor mensen die zich bij de eerste hulp of de huisarts melden. Dat kan wel, maar je moet daar uiteraard wel toestemming voor vragen. Daarnaast hebben we discussies gehad over de corona-app en zijn we een dialoog aangegaan met de veiligheidsregio’s over de telecomgegevens. Ook hebben we gekeken naar het temperaturen van medewerkers door werkgevers. De lijst is nog veel langer, want niet alles wat we doen is zichtbaar.

Elianne en Frans: Jullie zijn ook heel veel in de media geweest hè?

Monique: Gelukkig wel ja. In het begin van de crisis werden heel veel personen geïnterviewd die hun mening gaven, waarna wij daarop moesten reageren. Dat is ingewikkeld, aangezien er nog veel misverstanden zijn over de AVG. Veel mensen spreken voor hun beurt, en je ziet dat mensen gebruikmaken van de crisis om dingen erdoorheen te drukken die niets met de crisis te maken hebben. Het is daarom voor ons van belang dat we aan de voorkant van de discussie zitten. Privacy is in crisistijd juist erg belangrijk. Dus aan de ene kant willen we meebewegen en ruimte geven om de crisis te bezweren, maar tegelijkertijd zijn we zelfs nog alerter. De crisis speelde met name in ziekenhuizen en specifiek op de ic’s. Daar zagen wij mogelijkheden om iets ruimte te geven binnen de privacyeisen.

Katja: Hier speelt ook wel een beetje een valse tegenstelling. Je hebt volgens mij een reclame op tv met een uitspraak over een grote enquête: ‘Wat vindt u belangrijker, privacy of gezondheid?’. Dan denk ik: juist in de gezondheidszorg is privacy heel belangrijk. We zijn als AP altijd erg op zoek naar en/en, niet naar of/of.

Elianne en Frans: Kunnen jullie toelichten waarom het voor jullie veel meer en/en is dan of/of?

Katja: Er speelt vaak een soort geloof dat, als alle informatie kan worden gedeeld, we alle problemen kunnen oplossen. Dat is vaak helemaal niet zo. Bovendien, mensen vinden het toch niet fijn als er helemaal geen reden voor is, dat vreemden in hun medische dossiers kunnen gaan snuffelen en deze informatie op straat ligt. Eigenlijk geldt hetzelfde voor het volgen van mensen. Moet je als overheid nu meer data beschikbaar hebben over locatiegegevens van burgers? Dan heb je eigenlijk een soort opsporingstaak. Is dat wel de bedoeling? Is dat proportioneel? Zijn mensen dan zo erg de regels aan het overtreden om deze stap te rechtvaardigen? Dit zijn immers heel ingrijpende instrumenten.

Monique: Als je naar een eenvoudig iets kijkt als het meten van de temperatuur. Stel nou dat temperatuur meteen de onderscheidende factor was voor het diagnosticeren van corona. Dan hadden wij waarschijnlijk anders gereageerd dan nu. Maar dat is niet zo, slechts 20% van de coronapatiënten heeft koorts. Dus wij vinden dat voordeel te klein om de privacy ervoor op te geven. Op die manier moeten we steeds dingen wegen. Voor ons is dat relatief eenvoudig, naar buiten toe is dat helemaal niet zo. Maar de regels blijven de regels en de wet blijft de wet. De omstandigheden zijn veranderd, waardoor je weliswaar kijkt of je wat ruimte kan geven. Maar daarmee blijven de wetten en regels nog steeds overeind.

Elianne en Frans: Er waren wat polls waaruit bleek dat burgers hun privacy (locatiegegevens delen) willen opgeven als dit ten goede zou komen aan de volksgezondheid (corona-app). Als de publieke opinie zo is, hoe gaan jullie dan met een dergelijke opinie om? Hebben mensen dan niet door wat het belang van privacy is?

Monique: Ik denk dat mensen de consequenties niet overzien. Zie bijvoorbeeld het gebruik van de sociale media. Mensen doen van alles op het internet en beseffen niet dat alles wat ze doen over tien tot twintig jaar nog steeds beschikbaar is. Het is niet makkelijk om beide doelen te dienen, maar het is absoluut mogelijk.

Katja: Misschien heb je hiervoor ook wel specifieke wetgeving nodig. Je moet dan goede afspraken maken over welke gegevens je verzamelt, wat je bewaart en hoe snel je ze weer vernietigt. Dat maakt het een veel bredere afweging. Vaak is het ook niet zo duidelijk wat mensen er nou mee willen bereiken en of ze dan alle belangen goed hebben afgewogen. Zijn er bijvoorbeeld ook minder ingrijpende mogelijkheden? Dit zijn basale dingen, maar omdat het een crisissituatie is denken ze: doe maar alles.

Elianne en Frans: Hoe maak je die verschrikkelijk moeilijk belangenafweging? Wat helpt jullie daarbij?

Monique: Ik denk het feit dat we als bestuur alle drie heel verschillend zijn. Aleid Wolfsen is natuurlijk rechter geweest, die kijkt dus erg naar hoe zaken zich verhouden tot wetten. Katja kijkt altijd erg politiek en ik kijk naar bestuurlijke consistentie. Ik heb geen juridische kennis. Wat ik heb, is logica en moreel kompas. Daar vaar ik op. Daarnaast krijgen we natuurlijk advies van onze privacyjuristen en beleidsmedewerkers. Als je de afweging maakt, moet je dat bewust doen, met goede argumenten tot een besluit komen.

Katja: Er zit ook een heel logische afweging in. Is de doelstelling bijvoorbeeld scherp? Is er een noodzaak, of kan hetzelfde gerealiseerd worden op minder ingrijpende manieren? Tevens is het belangrijk om goed door te vragen hoe dingen nou in de praktijk gaan werken. Dit zijn basale afwegingen die goed doordacht moeten worden. Omdat we nu in een crisissituatie zitten, schiet men in een crisishouding en kan dit worden vergeten. Vaak kom je erachter dat er over dingen gewoon echt niet goed is nagedacht.

Elianne en Frans: Voelden jullie je aangevallen in deze crisissituatie? Met berichten als ‘de AP ligt weer dwars, de app mag niet, temperaturen mag niet.’ Of kunnen jullie dat van je af laten glijden?

Monique: Ik voel mij niet aangevallen. Het doet mij beseffen hoeveel wij nog moeten doen in de voorlichting en in de aandacht voor het onderwerp.

Katja: Ik vind het wel heel kwetsbaar soms, in de zin dat we ook heel snel moeten reageren om dingen recht te zetten. Als het bijvoorbeeld om leven of dood gaat, mag je altijd de privacy doorbreken. Dat zijn dingen die we moeten rechtzetten, dus dan moeten we er bovenop zitten. Vaak moeten we voorkomen dat dingen een eigen leven gaan leiden. We zitten daarom veel meer aan de communicatiekant, we proberen in deze crisistijd goed zichtbaar te zijn. We proberen heel erg aan de voorkant richting te geven, om te voorkomen dat het alle kanten op gaat

Elianne en Frans: Bij het voorbeeld van de temperatuurmeting bleek later dat het wel mocht als de data niet opgeslagen werden. Is dat ook zo’n voorbeeld geweest waarvan je zegt: dat hadden we liever meteen duidelijk willen communiceren, of hadden wij liever eerder geïnterviewd willen worden voordat het een eigen leven ging leiden?

Monique: Dat ontstond, ons standpunt is niet gewijzigd over de tijd, maar vanwege de haast hebben we een korte boodschap gegeven waarmee aan de haal gegaan is. Achteraf gezien hadden we beter later kunnen communiceren met meer detailinformatie. Ach, weet je, achteraf kun je het altijd beter gedaan hebben. De afweging had in eerste instantie moeten zijn: Maar dat is de afweging, is tempo het belangrijkste of is detaillering belangrijker?

Elianne en Frans: Jullie hebben ook een onderzoek gedaan hebben naar de verschillende applicaties die beeldbellen mogelijk maken. Denken jullie dat er genoeg bewustzijn is dat sommige van die apps niet veilig zijn en dat de privacy niet altijd volledig gewaarborgd wordt?

Katja: Nou genoeg bewustzijn, dat is er denk ik niet zo snel. Er is een vergelijkbaar patroon rondom vraagstukken rondom privacy en digitalisering. De toepassingen zijn heel zichtbaar, prettig en nuttig en er zit veel gebruiksgemak aan. Maar de nadelen voor de privacy zijn nog steeds slechts zichtbaar. Je data kunnen bijvoorbeeld worden opgeslagen en op basis daarvan kan je beïnvloed worden. Dus ik denk dat er op het gebied van bewustzijn nog echt wel een weg te gaan is. Digitalisering is een ontwikkeling die alleen maar doorzet. Wij strijden eigenlijk voor iets wat niet direct zichtbaar is. Dat maakt dat het een uitdaging is de nadelen over het voetlicht te brengen.

Monique: Wat ik wel mooi vond, was toen een van de kinderen appte: ‘Dit zijn de voorwaarden waar ik aan moet voldoen om tentamen te doen vanuit huis’. Ze moest met haar beeldscherm door de hele kamer lopen, om te laten zien dat ze alleen was en dat er geen schilderijen aan de muren hingen, om spieken tegen te gaan. En nog meer voorwaarden. Dat gaat echt heel ver. Uiteindelijk zijn er 5000 handtekeningen verzameld om te protesteren en kwam er een alternatief.
We krijgen ook klachten van enkele eenpitters, psychologen en psychiaters, die nu bij het thuiszitten via WhatsApp hun spreekuur doen. Fijn dat de zorg door kan gaan, maar hoe veilig is dat? WhatsApp versleutelt weliswaar de berichten, maar op het moment dat je de berichten opslaat in de cloud zijn ze weer zichtbaar. Voices Notes en images zijn eenmaal opgeslagen op de telefoon gewoon te raadplegen buiten WhatsApp om. Tja en dat heeft niemand in de gaten. Dat gaat over gezondheidsgegevens en vertrouwelijke gesprekken, dat vinden wij ernstig.

Elianne en Frans: Gaat privacy altijd boven andere publieke belangen?

Monique: Ik denk dat Katja eigenlijk al antwoord heeft gegeven door te zeggen dat wij die tegenstelling niet zien. Misschien goed om te noemen dat wij gaan over gegevensbescherming. Ik heb een zwager met het syndroom van Down en die zei laatst in de auto, ‘Jij beschermt mijn privacy, kun jij ervoor zorgen dat niemand meer mijn kamer binnenkomt?’. Daar gaan wij dus niet over. Maar dat is wel wat er onder privacy wordt verstaan. Wij zien dat deze publieke waarden naast elkaar kunnen bestaan, waardoor er geen tegenstellingen zijn. Bescherming van privacy is ook een veiligheidsaspect, net zo goed als gezondheid een veiligheidsaspect is. En wij zeggen dus: onze democratische maatschappij is gebouwd op waarden en daar is privacy er een van.

Katja: Wij willen echt uit die tegenstelling inderdaad. Je ziet dat privacy heel voorwaardelijk is voor allerlei andere belangen. Dus ook voor de democratie, als je ziet dat verkiezingen kunnen worden beïnvloed. Ook voor discriminatie, als je ziet dat artificiële intelligentie allerlei patronen en automatisering inbouwt, waardoor op basis van persoonsgegevens mensen gediscrimineerd kunnen worden. Het gaat ook om het je onbespied kunnen voelen.

Elianne en Frans: Stel nou dat er een corona-app zou zijn die niet veilig is, maar die wel heel effectief is in het voorkomen van coronadoden. Hoe moet je het dan wegen?

Monique: Hier spelen ook andere dingen een rol. Als je oplegt dat iedereen het moet doen, dan is dat heel wat anders dan wanneer de deelname vrijwillig is. Want jij hebt dan de keuze om in een onveilige situatie te stappen. Wij vinden het van belang dat je je bewust bent van het feit dat het een onveilige situatie is. Maar stel nou dat deze app vrijwillig is, dan zou een werkgever kunnen denken: al mijn medewerkers moeten die app hebben, anders mogen ze bij mij niet werken. Dan wordt het een arbeidsvoorwaarde. Dan zeggen we: dan is het niet meer vrijwillig. Dus wij vinden er wat van als dit een arbeidseis is. Privacy zit op zoveel niveaus. Daar waar een leven in gevaar is, mag veel meer dan waar geen leven in gevaar is. In acute situaties mag dus veel meer. De vraag is dan wel: hoe acuut is dit? Dat is dan ingewikkeld, want waar is dan die grens?

Elianne en Frans: Is dat moeilijk voor jullie, dat het zo genuanceerd ligt?

Katja: Het feit dat het zo ingewikkeld is, maakt het bijzonder leuk en we hebben weleens wat strijd met onze woordvoerders. De AVG is immers gewoon een nieuwe wet met heel open normen. Het legt ook heel veel verantwoordelijkheid neer bij degenen die de gegevens beheren. Het vraagt heel veel professionaliteit van allerlei organisaties, die daar vaak nog erg aan moeten wennen. Ik denk dat de complexiteit een reden is waarom Monique en ik het zo leuk vinden in deze fase. Een fase waarin alles zich aan het ontwikkelen is. We zijn echt aan het pionieren en aan het duiden. Maar daardoor zit er ook nog een hele hoop onduidelijkheid in.

Elianne en Frans: Wat vinden jullie leuk aan deze rol? En wat trekt jullie minder?

Monique: Het feit dat het ingewikkeld is, vind ik inderdaad erg leuk. Het feit dat het over alles gaat ook; er zijn echt heel veel onderwerpen. We hadden laatst bijvoorbeeld een wetgevingsadvies rondom sekswerkers; daar kwamen dingen aan de orde waar ik nog nooit over had nagedacht. Dan ga je daar wat over opzoeken en wat lezen, waardoor je wereld groter wordt. Ook vind ik het ontzettend leuk dat het een jonge organisatie is. Feitelijk zijn wij van een start-up naar een scale-up gegroeid. En dat geeft een heel andere dynamiek. Er moet nog heel veel gebouwd worden in de organisatie aan cultuur, verantwoordelijkheid nemen, en zelfstandig je werk doen. Wat betekent werken voor al die jonge mensen die hun eerste baan bij ons hebben? Het is heel leuk om daaraan te bouwen. Ik heb in verschillende besturen gewerkt en ik heb nog nooit zo’n bestuur gehad als dit. Waar iedereen zijn eigen kleur heeft. Waar het nooit zo is dat de een altijd vooroploopt en de ander conservatief is en zich terugtrekt. Die rollen wisselen continu. Ik vind dat het heel erg evenwichtig gaat.

Elianne en Frans: En aspecten die je wat minder leuk vindt?

Monique: Ik had mij een beetje zorgen gemaakt over de vergaderingen, met name in Brussel. Je vergadert dan namelijk twee dagen over vier of vijf agendapunten. Ik zal nooit vergeten dat Aleid op mijn eerste ochtend appte: ‘Hoe is het?’, en dat ik terug appte: ‘Ik vind het geweldig.’ Dat had ik nooit verwacht, want ik ben nogal van het tempo. Maar het mooie is, er gaan altijd juristen met ons mee en die geven ons dan een soort ondertiteling van wat er gebeurt. Want dan dacht ik: jongens, wat zitten jullie nou te zeuren over zo’n minidetail. Zo konden ze me uitleggen dat in Italië de wet zo is, waardoor het conflicteert met de AVG, en dat het in Duitsland weer anders is, waardoor die twee elkaar in de haren zaten. Dit was erg leerzaam voor mij waardoor het dus weer meeviel. Maar voor mij zou het allemaal wat sneller mogen.

Elianne en Frans: Katja, heb jij nog punten die je specifiek leuk vindt aan deze rol?

Katja: Ik herken heel erg wat Monique zegt. Ik vind het ingewikkelde heel erg leuk, het pionieren, het kijken waar we heen moeten in de toekomst. Het is zo leuk dat alles in beweging is. Dan probeer je de organisatie op koers te houden en tegelijkertijd te bouwen en te ontwikkelen. Dat geeft ontzettend veel vrijheid. Het is mijn eerste bestuursfunctie en de ervaring is zeer positief. Het gaat bij ons heel goed, het is heel open. We leggen eigenlijk alles op tafel en dat werkt heel prettig. Eigenlijk moet ik het meeste leren van de hele juridische wereld. Ik ken de hele financieel-economische kant en de politiek-bestuurlijke. Ik heb wetstrajecten gedaan bij het Rijk of zaken met de landsadvocaat, maar hier zijn we echt een toezichthouder. Hier staat wetgeving centraal; dit is natuurlijk bij uitstek hoe we de Nederlandse samenleving vormgeven. Ik vind het daarom erg interessant om vanuit dit perspectief dingen te doorgronden.

Elianne en Frans: Er was veel te doen om hoe moeten we die AVG nou precies toepassen. Hoe kunnen ondertoezichtgestelden op een redelijke wijze compliant zijn?

Katja: Ik denk dat we uit de sfeer van de afvinklijstjes moeten blijven, maar dat data zo in de kern van je organisatie zitten tegenwoordig dat je aan de voorkant goed moet bedenken wat je daarmee wilt en hoe je dat ook verder ontwikkelt. Het is inderdaad lastig, maar het is ook iedere keer verstandig nadenken, hoe het privacyvraagstuk nou op een slimme manier kan worden ingericht. Dat je niet voor ieder wissewasje toestemming gaat vragen, maar gewoon centraal aan het begin. Ik leg veel verantwoordelijkheid bij de professional neer, en tegelijkertijd is het ook de kunst om dat met gezond verstand te doen, en aan het begin. Omdat data zo belangrijk zijn geworden, moeten we echt gaan voor privacy by design; dat voorkomt een hoop ellende aan de achterkant. Deze problematiek gaat niet meer weg en zal alleen maar belangrijker worden. Dus ondanks dat het onzichtbaar is, moet het een soort standaardonderdeel van onze praktijk gaan worden.

Monique: De AVG is een wet die verantwoordelijkheid legt bij de gebruiker. Dat is heel fijn, want dat maakt de gebruiker zelfstandiger en dat past erg in ons moderne denken. Maar tegelijkertijd duurt het ook een tijd voordat je daar richting op gegeven hebt als AP. Nu wij allerlei vragen krijgen en ervaring hebben opgedaan met allerlei situaties, kunnen wij ook kijken naar verbeteringen, of naar mogelijkheden om dingen anders te doen. Je wordt als organisatie ook slimmer. Toen Katje en ik bij de AP kwamen was het, heel zwart-wit gezegd: ‘U voldoet niet aan de wet, punt.’ En dan kwam een hele juridische verhandeling. Onze instelling is om meer mee te denken. In de haven van Rotterdam wilde men bijvoorbeeld drugs- en alcoholtesten doen. Wij begrijpen dat de veiligheid in de haven van Rotterdam van groot belang is, maar de manier waarop ze deze veiligheid wilden uitvoeren mag niet van de AVG. Er is mogelijk een oplossing, want ook piloten en machinisten worden getest, maar dat is vastgelegd in de wet. Wij stellen dan dat het slim is om met het ministerie te gaan praten om te kijken of hier een wet voor gemaakt kan worden. En dan zie je dus niet meer ‘stomme AP’ of ‘ze snappen er niks van’ of ‘kom uit je ivoren toren’. Ik denk dat dat onze grootste bijdrage is geweest het afgelopen jaar; om met normale taal duidelijker te zijn en waar we kunnen helpen.

Elianne en Frans: De AVG gaat natuurlijk ook over Big Tech en over nieuwe technologieën, zoals artificial intelligence, VR/AR en blockchain. Hoe kijken jullie tegen dit soort technologische ontwikkelingen aan? Wat is de rol van privacy en de AP in die ontwikkelingen?

Monique: Het belangrijkste is dat privacy geborgd moet worden in de ontwikkeling van nieuwe technologieën. Achteraf eisen stellen is buitengewoon ingewikkeld, maar privacy meenemen als basiseis bij de bouw is veel simpeler. En daarom is voor ons bewustwording het allerbelangrijkste. Mensen moeten zich bewust zijn van het feit dat ze privacy in het begin moeten inbouwen. Dus wij willen steeds meer naar die voorkant toe. Maar dan moet je ook de capaciteit hebben om dat te kunnen doen. En wij zijn eigenlijk nu nog klein.

Elianne en Frans: Welke estafettevraag zouden jullie willen stellen aan de directie van de volgende toezichthouder in deze reeks, De Nederlandse Bank?

Katja: DNB is ook een toezichthouder in Nederland, maar DNB zit ook in de Europese Centrale Bank (ECB). Europees kunnen natuurlijk andere dingen worden besloten dan de Nederlandse tak misschien verstandig of fijn vindt. Dus hoe gaat DNB om met die spanning tussen in Nederland toezichthouder zijn en tegelijkertijd ook als collectief in Europa moeten optreden? En wat vindt DNB van de consequenties die deze Europese besluitvorming voor haar eigen beleid heeft?

Elianne en Frans: Dank voor dit gesprek!