Bescherming persoonsgegevens en grote datalekken

Brontekst

Staatssecretaris Van Bruggen: Dank. Dan ben ik bij het blokje overig. Dat zijn nog best wat vragen. Dat geeft ook de breedte van het onderwerp aan. Er was een vraag van de heer Van den Berg over het trainen van AI-systemen. Hij vroeg vooral het volgende. Vindt de staatssecretaris dat AI-functionaliteiten die persoonsgegevens verwerken standaard opt-in moeten zijn, hoe voorkomt ze dat burgers ongemerkt persoonsgegevens afstaan voor training aan AI-systemen en welke concrete eisen stelt hij — "zij" dus, daar hadden we het net al even over — aan transparantie over datagebruik in AI-toepassingen? Zodra gegevens van mensen in AI-systemen zitten, zijn ze er gewoon niet zomaar meer uit te halen. Ik vind het belangrijk dat gebruikers echter wel op de een of andere manier controle over die gegevens houden. Standaard opt-in kan daar zeker aan bijdragen. Ook de toezichthouder, de Autoriteit Persoonsgegevens, is hier alert op. Ze werkt in Europees verband nauw samen om hier goed mee om te gaan. Het is juist mijn gesprek met de autoriteit en mijn werk in Europa om ervoor te zorgen dat men hier alert op is. Zo werken de Europese toezichthouders samen aan het toezicht op de generatieve AI. De eisen aan transparantie over datagebruik in AI-toepassingen zijn hetzelfde als de eisen die de AVG stelt aan alle andere grote verwerkingen. Het concrete toezicht op veel van die grote AI-bedrijven ligt echter bij de Ierse privacytoezichthouder, omdat de Europese hoofdkantoren veelal daar gevestigd zijn. Daar kan de autoriteit dan dus weer niet zo veel aan doen. O ja, er is samenwerking. Dat is inderdaad vollediger. De cyberbeveiligingsvraag van de heer Van den Berg was of de staatssecretaris erkent dat Europese technologie op zichzelf geen garantie biedt tegen datalekken of cyberaanvallen en dat de kwaliteit van de beveiliging uiteindelijk belangrijker is dan de herkomst van de technologie. Ik erken dat Europese technologie op zichzelf staand geen garanties biedt tegen datalekken of voor cyberveiligheid. Wel zorgt de aankomende Cyberbeveiligingswet er wat betreft de kwaliteit van de beveiliging voor dat de bedrijven en organisaties die onder die wet vallen, wettelijk verplicht zijn om passende maatregelen te nemen en risico's voor de beveiliging van hun netwerk en informatiesystemen te beheersen. Daarbij gaat het ook om de plicht om maatregelen te treffen om incidenten, bijvoorbeeld een cyberaanval, te voorkomen en de gevolgen van aanvallen zo veel mogelijk te beperken. Echter, ook met deze verplichtingen kan ik natuurlijk geen garantie bieden dat bij bedrijven of organisaties die onder de wet vallen, nooit meer een geslaagde cyberaanval zal plaatsvinden. U ziet dat het wel zo zorgvuldig en volledig mogelijk moet worden ingekaderd. Dan de IT-auditsvraag, ook van den heer Van den Berg. Hij vroeg of de bereidheid tot periodieke onafhankelijke IT-audits voor vitale aanbieders zou kunnen bijdragen aan betere bescherming van persoonsgegevens. Jazeker, periodieke onafhankelijke IT-audits dragen hieraan bij. Een bekend voorbeeld is de ISO-certificering, ISO 27001 om heel specifiek te zijn. Daarbij wordt door een onafhankelijke auditor de beveiliging van de netwerk- en informatiesystemen vastgesteld. Doordat persoonsgegevens in deze netwerk- en informatiesystemen worden verwerkt, wordt er juist ook bijgedragen aan de betere bescherming van de persoonsgegevens. Dan nog een vraag die niet op mijn terrein ligt. Die ging over de uitvoering van de motie-Tielen. Dat was een vraag van de heer Verkuijlen. Hij vroeg ook of de zorginstellingen wel voldoende voorbereid zijn op grootschalige cyberincidenten. De uitvoering van de motie wordt opgepakt door VWS. In de Kamer wordt er op een later moment informatie gedeeld over de uitvoering van de motie. Als zorginstellingen kwalificeren als essentiële entiteiten of belangrijke entiteiten, vallen ze straks onder de Cyberbeveiligingswet. Dan hebben ze bepaalde verplichtingen, zoals ons allemaal bekend is, zoals de zorgplicht, die bijdraagt aan de voorbereiding op grootschalige cyberincidenten. Maar zoals gezegd komt VWS hier nog op terug. Dan de vraag van PRO over de massaclaim. Hoe kijkt de staatssecretaris naar het nieuws over Pokémon GO? Ik heb de meest tot de verbeelding sprekende vraag tot het eind bewaard. Wat kan de politiek doen om dit soort gedrag van bedrijven te voorkomen en te bestrijden? Ik heb het nieuws gevolgd en ik heb de procedure met belangstelling gevolgd. Ik heb daarin formeel geen rol. Het toezien op de rechtmatigheid van de gegevensbescherming in de private sector is geen rol van het kabinet of van de regering, maar ook weer van de onafhankelijke toezichthouder. Het is nu aan de rechtspraak. De rechter gaat tot een beoordeling komen, ook in dit geval. Die zal alle feiten en omstandigheden daarin wegen. Het is dus ook niet aan mij om daarop vooruit te lopen. Met die zorg begon ik natuurlijk wel mijn inleiding; als zoiets laagdrempeligs als een Pokémonapp, die eigenlijk alleen maar leuk zou moeten zijn, deze gevolgen kent, deel ik natuurlijk ook gewoon de maatschappelijke zorg, en zeker ook de politieke zorg die hier geuit wordt. Het is afwachten hoe de rechter daarin oordeelt.

Versie 79bd8b627a9c2401b61287a4bceafd4df006c6b70546691ac4d81d30a1990e95 · Voorlopig verslag; de tekst kan nog wijzigen.