Bescherming persoonsgegevens en grote datalekken

Brontekst

De heer Van den Berg (JA21): Even tussendoor: ik heb er inderdaad even mee zitten worstelen welke staatssecretaris ik moet aanspreken. Uiteindelijk heb ik het maar bij "hij" gelaten en laat ik het aan het kabinet. Maar dat was niet aan de staatssecretarissen persoonlijk. Mijn excuus! Voorzitter. Mijn vraag is dus: deelt zíj dat meer rechtszekerheid nodig is voor burgers, bedrijven en overheden? Is zij bereid zich in Europees verband in te zetten voor duidelijke begrippen en concrete handvatten binnen de AVG? Dan ten tweede de Autoriteit Persoonsgegevens. De AP heeft een belangrijke taak, maar het takenpakket is fors gegroeid: AVG-toezicht, klachten, datalekken en nu ook voorbereiding op toezicht onder de AI-verordening. Tegelijkertijd worden de problemen alleen maar groter. Ondanks extra budget voldoet nog altijd een groot deel van de websites en apps niet aan de privacyregels. De kernvraag is echter niet wat de AP doet, maar of burgers daardoor beter worden beschermd, zeker in het AI-tijdperk. Ik kom op mijn vragen. Heeft de AP volgens de staatssecretaris voldoende capaciteit én technische expertise voor privacy- en AI-toezicht? Welke concrete verbeteringen voor burgers verwacht zij van de extra middelen voor de AP? Hoe wordt gemeten of het toezicht daadwerkelijk leidt tot betere bescherming van persoonsgegevens? Hoe voorkomen we dat de AP vooral reactief optreedt nadat gegevens al zijn gelekt? Voorzitter. Dat brengt mij bij mijn derde punt: de cyberveiligheid. In discussies over privacy wordt vaak gesproken over digitale soevereiniteit en de afhankelijkheid van buitenlandse technologie. Dat is een belangrijk debat. Maar soms ontstaat daarbij de indruk dat privacyproblemen vanzelf verdwijnen wanneer we overstappen op Europese technologie. JA21 deelt die conclusie niet. Buiten het feit dat bijvoorbeeld de Amerikaanse autoriteiten niet zomaar onze gegevens kunnen inzien, blijft één punt overeind staan: de grootste privacy-incidenten van de afgelopen jaren zijn niet vaak veroorzaakt door buitenlandse overheden, maar door beveiligingsproblemen, kwetsbaarheden in systemen en onvoldoende databeheer. Zo werd de gemeente Epe getroffen door een ernstige hack, waarbij persoonsgegevens van vrijwel alle inwoners werden buitgemaakt. De Autoriteit Persoonsgegevens, de rechtspraak en de DJI werden geconfronteerd met de gevolgen van kwetsbaarheden in de Ivantisoftware. Deze incidenten laten zien dat beveiligingsproblemen zich niet beperken tot één leverancier, één land of één continent. Uiteindelijk wordt een organisatie niet gehackt omdat software Amerikaans, Nederlands of Europees is. Organisaties worden gehackt omdat kwetsbaarheden niet tijdig worden ontdekt, omdat systemen onvoldoende worden gemonitord, omdat gegevens te lang worden bewaard of omdat de basisbeveiliging tekortschiet. Voorzitter. De kwaliteit van beveiliging is belangrijker dan de nationaliteit van technologie. Dit betekent ook dat we kritisch moeten kijken naar onze eigen organisaties. De voorbeelden van de afgelopen jaren laten ook zien dat Nederlandse overheden, gemeenten en toezichthouders kwetsbaar zijn. Wie privacy serieus neemt, moet daarom niet alleen kijken naar de herkomst van technologie, maar vooral investeren in cyberweerbaarheid. Dat begint bij goed databeheer, het beperken van gegevensopslag, tijdige beveiligingsupdates, onafhankelijke audits en voldoende technische expertise binnen die organisaties. Daarnaast rijst de vraag waarom sommige sectoren veel strengere eisen kennen dan andere. In de financiële sector gelden uitgebreide eisen op het gebied van risicobeheer, auditing en gegevensbewaring, terwijl veel persoonsgegevens worden verwerkt. Ik ben de tijd even kwijt door de onderbreking van net, maar ik ga gewoon rustig door. Erkent de staatssecretaris dat Europese technologie op zichzelf geen garantie biedt tegen datalekken of cyberaanvallen en dat de kwaliteit van de beveiliging uiteindelijk belangrijker is dan de herkomst van de technologie? Welke investeringen zijn volgens de staatssecretaris nodig om de cyberweerbaarheid van vitale aanbieders te vergroten? Kan de staatssecretaris toelichten waarom voor telecombedrijven niet dezelfde strenge beveiligings- en vernietigingsplichten gelden als voor de financiële sector? Is de staatssecretaris bereid om te onderzoeken of periodieke, onafhankelijke IT-audits voor vitale aanbieders kunnen bijdragen aan een betere bescherming van persoonsgegevens? En deelt zij de opvatting dat investeringen in cyberweerbaarheid en informatiebeveiliging uiteindelijk meer bijdragen aan de bescherming van persoonsgegevens dan uitsluitend het vervangen van buitenlandse technologie door Europese alternatieven? Voorzitter, nog een half blaadje. Ten vierde AI. AI biedt kansen voor overheid, economie en dienstverlening, maar AI brengt ook risico's met zich mee voor transparantie, controle en persoonsgegevens. We zien dat AI-functionaliteiten steeds vaker standaard worden ingeschakeld door grote technologiebedrijven. Gebruikers worden daar niet altijd over geïnformeerd en hebben niet altijd een reële keuze. JA21 wil die innovatie niet afremmen, maar wel duidelijke spelregels. Burgers moeten weten welke gegevens worden verwerkt, met welk doel en hoe ze daar invloed op hebben. AI-functies die persoonsgegevens verwerken, horen niet standaard aan te staan. Dat moeten opt-ins zijn en niet opt-outs. Ook het trainen van AI-modellen met persoonsgegevens vraagt duidelijke, handhaafbare regels. Niet achteraf bijsturen als data al is verwerkt, maar vooraf controle en toestemming regelen. Ik heb alleen nog een vraag en dan rond ik af. Vindt de staatssecretaris dat AI-functionaliteiten die persoonsgegevens verwerken standaard opt-in moeten zijn? Hoe voorkomt de staatssecretaris dat burgers ongemerkt persoonsgegevens afstaan voor training van AI-systemen? Welke concrete eisen stellen zij aan de transparantie over datagebruik in AI-toepassingen? Heeft de AP voldoende capaciteit om effectief toezicht te houden op zulke complexe AI-systemen? Ik rond af, voorzitter. Privacy vraagt om duidelijke keuzes, minder vaagheid in de wet, scherper toezicht, betere uitvoering en meer cyberweerbaarheid. Als we dat niet regelen, blijft de bescherming van persoonsgegevens achter bij de digitale werkelijkheid. Dank u wel.

Versie 79bd8b627a9c2401b61287a4bceafd4df006c6b70546691ac4d81d30a1990e95 · Voorlopig verslag; de tekst kan nog wijzigen.