Het gat tussen wat de wet eist en wat wordt gecontroleerd¶

Op papier is Nederland goed geregeld. Er is een Algemene verordening gegevensbescherming. Er is een Telecommunicatiewet met artikel 11.7a voor cookies. Er is een toezichthouder, de Autoriteit Persoonsgegevens, met de bevoegdheid om boetes op te leggen. Wie alleen de wetteksten leest, zou denken dat het datagebruik in dit land stevig is ingekaderd.

De praktijk is anders. Tussen wat de wet eist en wat daadwerkelijk wordt gecontroleerd, zit een enorm gat. Keihard innoveren was jarenlang de norm. Sneller bouwen, meer meten, meer data. Nu zien we wat dat opleverde. Als zelfs de Belastingdienst zijn gegevensverwerking niet op orde had, met alle juristen en middelen die een ministerie heeft, dan is de relevante vraag niet of andere organisaties het wel op orde hebben. De relevante vraag is wie het ooit zou merken.

Die vraag is scherper dan hij klinkt. De toezichthouder kan onmogelijk alles controleren. Er zijn te weinig mensen. Doorlooptijden lopen op tot maanden. Elke stap is gebonden aan procedures, aan hoor en wederhoor, aan zorgvuldigheid die terecht is maar traag maakt. Een verwerker die vandaag de fout in gaat, kan er jaren mee wegkomen voordat er ook maar een blik op valt. Dit is geen aanklacht tegen de mensen bij de AP. Het is een structureel gegeven. Een handjevol toezichthouders staat tegenover een sector die per dag miljoenen datastromen opent.

Waarom handhaving het geld niet inhaalt¶

Er wordt heel veel geld verdiend met tracking en cookies. De hele keten van real-time bidding, cookie-sync en profielhandel draait op het volgen van mensen. Zie Real-time bidding biedt jouw toestel in een veiling aan, in milliseconden en Cookie-sync laat losse partijen dezelfde persoon herkennen voor het mechanisme. Tegenover dat commerciele belang vormen wet en handhaving op dit moment geen echte tegenkracht.

Dat is een sterke uitspraak, dus ik zeg erbij op welk niveau ik het bedoel. Dit is een afgeleide observatie, gebaseerd op wat ik in scans terugzie en op wat er publiek over handhaving bekend is. Het is geen bewezen stelling over motieven van individuele partijen. Wat ik wel hard kan maken, is de verhouding. De opbrengst van tracking is doorlopend en groot. De kans op een sanctie is klein en de sanctie komt laat.

Lobby hoort bij dit beeld. Belangenbehartiging rond privacywetgeving is een realiteit, geen complot. Grote partijen hebben de middelen om mee te schrijven aan de kaders waaraan ze zich later moeten houden. Dat verschuift de wet richting het haalbare voor de sector, en dat is precies waar toezicht al zwak staat.

Wat je aan de buitenkant ziet, is vaak etalage. Een keurige cookiebanner. Een privacyverklaring in nette taal. Een lijstje verwerkers dat volledig oogt. Maar de banner kan liegen over het aantal partijen dat meekijkt, zie De cookiemuur toont minder partners dan de code telt. En de tracking kan uit het zicht zijn geschoven naar de server, zie Server-side tagging verplaatst de tracking uit het zicht. Wie het echt wil weten, kijkt achter de vitrine. Naar wat de code doet. Naar wat een overtreding werkelijk kost. Dat is de reden dat ik met HAR-files en meetopstellingen werk in plaats van met de nette verklaring op de pagina. De verklaring en de uitvoering zijn twee verschillende dingen, zie Papier versus code: de verklaring en de uitvoering.

Een boete kan een rekening zijn¶

Stel dat een overtreding wel wordt opgemerkt en beboet. Dan nog is het gat niet gedicht. Voor een verwerker met een winstgevend datamodel is een boete vaak een kostenpost die tegen de opbrengst wordt weggestreept. Ik heb dat eerder uitgewerkt in Een boete is voor een groot bedrijf geen straf, maar een rekening. Zolang de verwachte opbrengst van het volgen groter is dan de verwachte boete maal de pakkans, is doorgaan de rationele keuze.

Dat rekensommetje valt op dit moment bijna altijd de verkeerde kant op. De pakkans is laag, want de toezichthouder komt tijd tekort. De boete komt laat, soms jaren na de feiten, en is dan een fractie van wat er in de tussentijd is verdiend. Het probleem hierbij is fundamenteel en het raakt aan iets wat ik vaker tegenkom. De inbreuk op iemands privacy laat zich in euro's uitdrukken via de boete. Het nut van privacy laat zich niet in euro's uitdrukken. Die asymmetrie werk ik uit in ANPR-kentekencamera’s: de inbreuk is te meten, het nut niet. Zolang alleen de ene kant een prijskaartje heeft, verliest de burger elke afweging die op geld wordt gevoerd.

Dit is waarom ik denk dat handhaving in de huidige vorm het geld niet inhaalt. Niet omdat de regels te slap zijn op papier. Op papier kan de AVG stevig uitpakken. Het probleem zit in de snelheid, de pakkans en de weging achteraf.

Een misstand kan al beboet zijn voordat hij opvalt¶

Er is een kant van dit verhaal die de andere kant op werkt, en die vergeten mensen makkelijk. Als iets in het nieuws komt als een gloednieuw schandaal, betekent dat niet dat de toezichthouder er nog nooit naar heeft gekeken. Een misstand die als nieuw wordt gepresenteerd, kan door de AP al eerder zijn onderzocht en beboet.

Dat verandert de weging. Voordat je iets nieuw noemt, hoort de vraag of er al een besluit over bestaat. Bestaat er een eerder boetebesluit, een eerdere uitspraak, een eerder onderzoek naar hetzelfde type verwerking, dan is er een precedent. En een precedent doet twee dingen tegelijk.

Het is enerzijds geruststellend. De handhaving is dus niet volledig afwezig. Er ligt een besluit, er is een norm getoetst, er is een grens getrokken die je kunt aanhalen. Anderzijds is het verontrustend. Als een praktijk al beboet is en je ziet dezelfde praktijk terug, dan is de boete het gedrag niet gaan veranderen. Dan bevestigt het precedent precies het punt uit de vorige sectie. De boete was een rekening en die is betaald, waarna het volgen gewoon doorging.

Voor mijn eigen onderzoek is dit een concrete werkregel. Ik behandel een vondst niet als uniek voordat ik heb gecheckt of de AP er al iets over heeft gezegd. Een bestaand besluit is bruikbaar bewijsmateriaal. Het tilt een vermoeden op naar iets wat een toezichthouder eerder heeft bevestigd. Mijn werkwijze gaat sowieso van vermoeden naar bevinding, zie Mijn werkwijze: van vermoeden naar bevinding, en een eerder boetebesluit is een van de hardste schakels die je in dat spoor kunt vinden.

De Wet open overheid werkt wel¶

Tegenover al dit tekort staat een instrument dat wel doet wat het belooft. Via een verzoek onder de Wet open overheid kun je inzage vragen in wat de overheid digitaal doet. Tot het gebruik van trackers aan toe. Je vraagt de documenten op, de verwerkersovereenkomsten, de afwegingen, en de overheid moet leveren of gemotiveerd weigeren.

Dat werkt in de praktijk. En het werkt op een tweede, subtielere manier. Wat opvraagbaar is, wordt beter op orde gehouden. Alleen al de mogelijkheid dat een burger de stukken kan opeisen, legt een gezonde druk op de organisatie om die stukken te laten kloppen. De Woo is daarmee meer dan een leesrecht achteraf. Het is een prikkel vooraf.

Dat maakt de Woo een uitzondering op het sombere beeld. Bij commerciele partijen sta je met lege handen als je achter de vitrine wilt kijken. Bij de overheid heb je een wettelijke hefboom. Ik heb die hefboom gebruikt om te meten wat er op overheidssites gebeurt, en wat dat opleverde staat in Wat de meting op overheidssites liet zien. Dat de tracking ook achter een DienstID-omgeving doorloopt, werk ik uit in Achter je DigiD loopt de tracking gewoon door.

Belangrijk voor de toon van dit stuk. De burger hoeft niet te zeuren. Klagen over de overheid is makkelijk en het verandert weinig. De Woo geeft je iets beters dan een klacht. Het geeft je een onderzoeksmiddel. Je kunt opvragen, meten, melden en meedenken. Je verschijnt aan tafel met documenten en metingen in plaats van met een mening. Dat is de houding die ik zelf probeer aan te houden, en het is ook waarom ik vind dat aanklagen alleen te weinig is, zie Apple, Google en Meta verdienen aan tracking binnen de wet.

Dezelfde meetlat voor iedereen¶

Er zit een risico in het vorige punt. Als het enige instrument dat echt werkt de Woo is, en de Woo geldt alleen voor de overheid, dan ga je de overheid strenger meten dan de markt. Dat zou het beeld vertekenen. De overheid oogt dan slecht omdat je haar kunt controleren, terwijl de commerciele partij vrijuit gaat omdat je niet naar binnen kunt kijken.

Daar houd ik bewust rekening mee. Ik leg dezelfde meetlat langs de overheid en langs een willekeurige app, zie Dezelfde meetlat voor de overheid en de app in je broekzak. De Woo is een handige toegang tot bewijs. Het is geen reden om de overheid harder te beoordelen dan de rest. Wat ik meet, meet ik op de techniek, en de norm is voor iedereen dezelfde.

En daar komen de draden samen. Het gat tussen wet en controle is echt en het is groot. Handhaving loopt achter op het geld, in snelheid, in pakkans en in de weging achteraf. Een overtreding kan al beboet zijn voordat hij als nieuw wordt gepresenteerd, en dat precedent snijdt beide kanten op. En de burger staat niet machteloos. De Woo werkt, en meten werkt. Zolang de toezichthouder tijd tekortkomt, is onafhankelijk onderzoek de tegenkracht die er nog bij moet. Ik zie het als mijn taak om dat onderzoek te leveren op een niveau dat een besluit kan dragen. Waar de burger zelf geen uitweg heeft, hoort iemand toch te kijken, zie De sterkste bevindingen liggen achter DigiD en vitale publieke diensten.

Zie ook Een boete is voor een groot bedrijf geen straf, maar een rekening, ANPR-kentekencamera’s: de inbreuk is te meten, het nut niet en Wat de meting op overheidssites liet zien.