Willemijn Aerdts

Bescherming persoonsgegevens en grote datalekken

Staatssecretaris Aerdts: Dank u wel, voorzitter. Het internet kenmerkt zich door een vrij en open karakter. Zolang je betaalt voor verbinding, is een groot deel van de wereld online vrij toegankelijk. Maar vrij toegankelijk betekent niet dat het gratis is. Redacties moeten worden betaald, servers moeten draaien en voor de financiering daarvan worden onder andere advertenties ingezet. Het Rathenau Instituut heeft op verzoek van uw commissie het rapport De prijs van gratis internet geschreven. Het Rathenau Instituut concludeert dat consumenten profiteren van vrij toegankelijke diensten zoals sociale media, zoekmachines en AI, maar dat publieke waarden zoals privacy, autonomie, veiligheid, democratie en de vrije markt onder druk staan. De conclusies en de aanbevelingen uit het rapport zijn helder. Volgens het Rathenau Instituut schiet de naleving van de kaders voor onlinetracking tekort. Ze zien ruimte voor verbetering binnen de bestaande kaders, maar reiken ook alternatieve beleidsrichtingen aan. Ik herken de risico's van onlinetracking die het Rathenau Instituut schetst. Het is wel belangrijk om daarbij op te merken dat de wettelijke kaders grotendeels in Europees verband zijn vastgelegd. Mijn collega ging er net ook al op in. Onze inzet ziet dus ook voor een aanzienlijk deel op Europese beïnvloeding op dit terrein. De Nederlandse inzet is daarbij het verbeteren van de privacypositie van burgers, bijvoorbeeld door effectievere handhaving en het stroomlijnen van cookie- en trackingregelgeving. Over de ontwikkelingen rondom het beleid ten aanzien van online tracking zal ik uw Kamer uiteraard informeren. Ik hoor ook graag — dat zijn we vandaag volgens mij met elkaar aan het uitwisselen — wat uw perspectief hierop is, zodat we ook gezamenlijk kunnen werken aan het tegengaan van de risico's. Het CDA had ook nog een vraag over dit rapport. Daarop wil ik eerst even ingaan. Dan heb ik drie onderwerpen: bescherming minderjarigen online en privacy, de ID-wallets en een overig of algemeen setje. Ik ga op de vraag van mevrouw Zwinkels in. Het Rathenau Instituut laat zien dat internet vaak helemaal niet gratis is. Ze vraagt of ik het met het CDA eens ben dat het huidige systeem van online tracking te veel uitgaat van doorklikken en toestemming en te weinig van echte bescherming. Ik herken de risico's van online tracking die het Rathenau Instituut schetst. Onlineadvertenties hebben ook voordelen, zoals het gratis toegankelijk zijn van veel websites, apps en diensten, maar ik vind het belangrijk dat mensen, en zeker ook kinderen en jongeren, hierbij effectief beschermd worden. Daarom zetten we ons ook in Europees verband in om de privacypositie van burgers te verbeteren. Dat doen we bijvoorbeeld met die effectievere handhaving en het stroomlijnen van de regels. Dit doen we op dit moment in de huidige onderhandelingen rond het Omnibuspakket. U heeft daarvan het BNC-fiche. Ik kan over onze exacte onderhandelingspositie op dit moment niet heel veel zeggen, maar onze inzet bestaat uit de uitgangspunten die in het BNC-fiche staan. Over de voortgang van de onderhandelingen wordt u ook volgens de informatieafspraken door ons geïnformeerd. Aangaande de onlinebescherming van minderjarigen en hun privacy vroeg het CDA hoe die online tracking nou verder kan worden teruggedrongen, juist ook omdat kinderen geen verdienmodel mogen zijn. Binnen de huidige wetgeving bieden bijvoorbeeld op dit moment de AVG, waarover mijn collega sprak, maar ook de DSA, bescherming aan minderjarigen tegen online tracking. Op grond van artikel 28, lid 3 van de DSA mogen gegevens van minderjarigen niet worden gebruikt om hen te profileren en gericht advertenties te tonen. Momenteel lopen er vanuit de Europese Commissie, als de toezichthouder op dit terrein, verschillende onderzoeken, ook naar de onlinebescherming van minderjarigen. We volgen die onderzoeken natuurlijk op de voet. Een andere vraag van het CDA ging over die privacyvriendelijke alternatieven, zoals contextueel adverteren, waarbij de advertenties worden gebaseerd op de inhoud van de pagina en niet op de persoon die op de pagina aan het kijken is. In Europa is mijn inzet voornamelijk het versterken van de privacypositie van burgers. Ik zet mij daar dan ook in voor de versterking van dit model, maar ook met specifieke aandacht voor de alternatieven zoals dit contextueel adverteren. Dat doen we onder andere in de onderhandelingen over de wijziging van de e-Privacyrichtlijn en de AVG in het kader van dat Omnibustraject, waarover ik net al eventjes sprak. Ik ga naar de volgende vraag. PRO en het CDA hadden de vraag gesteld of het kabinet het ermee eens is dat we naar een internet zonder trackingcookies moeten gaan. Ik herken de problemen rondom onlinetracking zoals die in het rapport naar voren komen, ook als het gaat om consentmoeheid, het maar doorklikken zonder echt te kijken waar je naartoe gaat, het gebruik van dark patterns en natuurlijk hele ingewikkelde gebruikersvoorwaarden met zo veel pagina's dat het eigenlijk niet realistisch is dat iedereen het snapt en helemaal leest. De beleidsrichtingen die door het Rathenau Instituut worden omschreven, hebben voor- en nadelen. Twee van die drie richtingen vragen in feite om een verbod of beperking van gepersonaliseerde advertenties. Een totaalverbod daarop is wel echt heel ingrijpend. Tegelijkertijd zijn die wettelijke kaders ook grotendeels in Europees verband vastgelegd. Daarom is alleen de beleidsoptie om het huidige systeem te verbeteren op dit moment realistisch, maar we nemen dit natuurlijk wel mee naar Brussel, ook als het gaat om die evaluatie en als het dus niet blijkt te werken. Ik wil daarin ook echt wel heel graag de Omnibuswetgeving afwachten, om daarna te kijken of het werkt. Als het inderdaad niet blijkt te werken, dan nemen we dat natuurlijk mee, zowel in de evaluatie, als in onze inzet die daarna zal komen. De inzet is natuurlijk altijd het versterken van de rechten van burgers binnen de verschillende systemen. Ik heb dit verhaal over de Omnibuswetgeving volgens mij net al uitgebreid aan u verteld.

Staatssecretaris Aerdts: Daar moet ik even op terugkomen in de tweede termijn.

Staatssecretaris Aerdts: Op dit moment loopt dat Omnibustraject, waarin juist ook deels deze wet- en regelgeving wordt aangepast. Volgens mij is nu de verwachting dat er eind juni, dus komende week ergens, een akkoord op komt en dan gaat dat geïmplementeerd worden. Sowieso zullen wij de Kamer volgens de informatieafspraken daarover informeren. Daarbij zal ik inderdaad ook wel even meenemen wat er nou concreet op het gebied van die trackingcookies is meegenomen. Vervolgens wil ik dat wel afwachten, voordat ik allerlei nieuwe maatregelen toe ga zeggen. Die Omnibuswetgeving moet ook wel even zijn werk kunnen doen, voordat ik weer extra dingen ga toepassen of extra inzet ga plegen. We zullen u informeren over de uitkomsten van de Omnibusonderhandelingen. Als u dat onvoldoende vindt, ga ik daarna natuurlijk heel graag met u in gesprek over het vervolg. Voorzitter. Dan kom ik bij de vragen over de wallets. Mevrouw El Boujdaini stelde een vraag over de actuele stand van zaken rondom de ID-wallets. We werken aan de ontwikkeling van het stelsel Europese Digitale Identiteit, het EDI-stelsel, en de publieke wallet. We wachten daarbij ook nog op een aantal specifieke richtlijnen over hoe die eruit moet gaan zien en wat de specifieke technische vereisten van die wallets zijn vanuit de Europese Commissie. Dat is dus het eerste waarop we nog wachten. We streven ernaar om eind 2026 een uitvoeringswet in consultatie te brengen. Na parlementaire behandeling kunnen de wet, en dus ook het stelsel, in werking treden. Voorzitter. Mevrouw El Boujdaini sprak ook over het initiatief ID010, dat we nu zien. Ik kijk heel positief aan tegen dat initiatief. Voor de maatschappelijke meerwaarde en de werking van het EDI-stelsel als geheel is het nodig dat partijen met verschillende use cases meedoen. Rotterdam is een van hen. Zo zorgen we er ook voor dat er gegevens in de wallets komen en dat die ook onderdeel uit gaan maken van het dagelijks proces, waarvan mensen dus gebruik kunnen maken. Al deze initiatieven moeten gecertificeerd worden om binnen dat stelsel te kunnen functioneren. Dat gebeurt op basis van de criteria waarop we nu nog wachten, maar we volgen dit initiatief op de voet en met heel veel interesse. Dan kom ik bij mijn laatste setje met nog een aantal overige vragen. Ik pak even de laatste details erbij. Het gaat nog over de AP en het AI-toezicht. Daarop zou ik nog even terugkomen. Mijn collega heeft er al het een en ander over gezegd. De AP heeft sinds een aantal jaar de coördinerende rol in het toezicht op algoritmen en AI. Die heeft vanuit de opdracht een hele proactieve houding naar het veld. Ik vind het belangrijk dat dit wordt voortgezet als de AP de toezichthouder wordt op de AI-verordening. Daar zitten we nu namelijk zo'n beetje. Ze doen nu al algoritmes. Er komen straks met de implementatie van de AI-verordening nog taken bij. We hebben uw Kamer daarover ook een brief gestuurd. Hieruit blijkt dat de RDI, de Rijksinspectie Digitale Infrastructuur, en de AP de leidende toezichthouders zijn, maar dat een deel van het AI-toezicht ook bij de bestaande toezichthouders zal zitten. Denk aan speelgoed en gasinstallaties bij de NVWA, liften en drukapparaten bij de NLA et cetera. Daar wordt dus naar gekeken. De internetconsultatie is recentelijk afgerond. Deze week is ook de uitvoerings- en handhaafbaarheidstoets van de AP ontvangen. Daar moeten we als kabinet echt nog naar kijken voordat ik u daar meer over kan zeggen. We streven ernaar dat we de uitvoeringswet van de AI-verordening later dit jaar aan de Raad van State sturen. Daarover zullen we dan nog uitgebreid met uw Kamer in gesprek gaan. Dan had ik nog de vraag van de VVD over de gesprekken die we met de Amerikaanse ambassadeur hebben gevoerd over Meta en Microsoft. Ik ga ervan uit dat u doelt op het bericht dat Microsoft de namen van Nederlandse ambtenaren aan de Amerikaanse overheid heeft verstrekt. Daar kan ik op zeggen dat we begrepen hebben dat Microsoft die informatie heeft verstrekt. Het gaat om informatie die verstrekt is om opvolging te geven aan een overheidsbevel, zoals wij het hebben begrepen. Deze informatie is vervolgens deels terechtgekomen in een rapport van het Huis van Afgevaardigden. Daarbij zijn namen van individuele medewerkers van toezichthouders, zoals de ACM, ten onrechte niet altijd weggelakt. Er is via verschillende kanalen contact geweest met de Amerikaanse vertegenwoordigers over de publicatie van deze namen. In die contacten heeft het kabinet zijn zienswijze op de casus uitgedragen. Wanneer er een dispuut is over beleid of regelgeving, moet de discussie daarover via politici en beleidsmakers gevoerd worden. Toezichthouders en natuurlijke personen moeten als uitvoerders van dat beleid nooit onder druk gezet kunnen worden. De inzet van het kabinet is en blijft dat toezichthouders en ngo's hun wettelijke en maatschappelijke taak zonder belemmering kunnen uitvoeren. Conform de Kamerbrief die gisteren door mijn collega, de staatssecretaris van BZK, is verstuurd, gaat hij hierover ook verder in gesprek met de Amerikaanse ambassadeur. Dan was er nog de vraag, ook van de VVD, hoe het staat met de EU en Nederlandse alternatieven. In de Agenda Digitale Open Strategische Autonomie zet het kabinet in op tien prioriteiten die vanuit het geopolitieke en geo-economische perspectief het meest cruciaal zijn, bijvoorbeeld cloud en AI. Hiertoe zet het kabinet in op het versterken van het concurrentievermogen van de digitale sector door onder andere de realisatie van de AI-fabriek in Groningen. Als beschermende maatregel is de investeringstoets om ongewenste technologieoverdracht te voorkomen uit de Wet vifo een van de middelen die kan worden ingezet. Ook kijkt het kabinet naar maatregelen voor het verdiepen van internationale samenwerking, bijvoorbeeld door het sluiten van vrijhandelsverdragen. Bovendien zet het kabinet onder meer via de Nederlandse Digitaliseringsstrategie in op het versterken van de digitale autonomie van de overheid, bijvoorbeeld via de inzet op opensourcealternatieven en het digitalcommonssysteem. We hebben net ook het European Tech Sovereignty Package gezien, dat nu geapprecieerd wordt en dat daarna met uw Kamer in een BNC-fiche wordt gedeeld. Ik heb de afgelopen maanden ook gezien dat bedrijven hier zelf heel erg actief in zijn. We hebben een initiatief rond cloud gezien waarbij ze samen optrekken. Ik ben ook heel blij dat die open source nadrukkelijk in het Tech Sovereignty Package terechtgekomen is, juist ook om het makkelijker te maken om het aanbod te vergroten, ook voor bedrijven. Hierdoor kunnen we weer onze eigen keuzes maken. Dan heb ik een laatste vraag over de telecombedrijven, van de heer Van den Berg van JA21. Hij vroeg waarom er voor de telecombedrijven andere regels gelden dan in de financiële sector. Telecombedrijven hebben ook strenge wet- en regelgeving. De Telecommunicatiewet kent een algemene zorg- en meldplicht om veiligheid en integriteit van telecomnetwerken en -diensten te borgen. Onder de zorgplicht dienen de aanbieders passende technische en organisatorische maatregelen te nemen om risico's voor de beveiliging van hun netwerken en diensten te beheersen. Via het Besluit veiligheid en integriteit telecommunicatie en de Regeling veiligheid en integriteit telecommunicatie is die zorgplicht met enkele specifieke vereisten nog nader aangescherpt. Ook in dit domein is de RDI de toezichthouder. Daarmee ben ik aan het einde gekomen van mijn beantwoording.

Staatssecretaris Aerdts: Ik moet hier even in tweede termijn op terugkomen om te bekijken wat precies de laatste stand van zaken is. Overall is natuurlijk het testen … Er zijn ook pilots geweest vanuit het Rijk, de overheid, om die omgeving te testen, maar voordat die wallets echt in werking kunnen treden, moeten ze aan een aantal specificaties voldoen, en die hebben we nog niet. Ik ga even kijken of ik daar qua data meer over te weten kan komen, en dan kom ik er graag op terug in de tweede termijn.

Staatssecretaris Aerdts: Die vragen worden zo snel mogelijk beantwoord. Ik verwacht de antwoorden nog voor het zomerreces met u te kunnen delen. Ik kom graag in de tweede termijn eventjes terug op deze specifieke voorbeelden.

Staatssecretaris Aerdts: Voorzitter, zal ik dan doorgaan met de …

Staatssecretaris Aerdts: Mevrouw El Boujdaini vroeg of ik iets specifieker kan zijn over de exacte datum. We hebben van de Europese Commissie geen datum gekregen, maar in de gesprekken is wel naar voren gekomen dat het de verwachting is dat dat wel gaat gebeuren. We hopen eind dit jaar een uitvoeringswet in consulatie te brengen en daar hebben we die datum voor nodig. Het is misschien wel goed om nog even op te merken dat het gebruik van EDI-wallet vrijwillig is en blijft. De heer Van den Berg vroeg naar de Kamervragen. De staatssecretaris beantwoordt nog deze week de vragen over de Belastingdienst. CISO Bijvoet gaat hier ook een aantal gesprekken over voeren en dan juist over de bredere casuïstiek van dit specifieke voorbeeld. Verder zal ik met mijn ambtsgenoot van Defensie in gesprek gaan over Werken bij Defensie. En ik zal dan ook uw vraag aan hem doorgeleiden. Dan over het Rathenau Instituut en de Omnibuswetgeving. Het is een beetje moeilijk, hè. We hebben een kabinetsappreciatie gegeven …

Staatssecretaris Aerdts: Ik voel zeker mijn coördinerende rol, want ik heb een belangrijke taak bij het voeren van de gesprekken. Mijn collega-staatssecretaris van Binnenlandse Zaken kijkt natuurlijk in dit geval naar de Rijksoverheid. Dat is echt iets waarin we nadrukkelijk samen zullen optrekken. Maar ik hoor van hem dat hij daar zo ook nog iets over gaat zeggen. Dan over het Rathenau Instituut, de Omnibuswetgeving en de cookies. Ik kan daar nog iets meer over zeggen, maar we zitten wel midden in de onderhandelingen. Wat daar precies uit gaat komen, weet ik dus niet. Maar we zullen de informatieafspraak gebruiken om de Kamer daarover te informeren. De kern blijft dat er toestemming nodig is voor het plaatsen van cookies. In het Omnibustraject is voorgesteld om dat geven of weigeren te versimpelen: niet langer 26 keer klikken, maar 1 keer. De Commissie stelt voor om het mogelijk te maken om met één klik en zonder dark patterns toestemming voor het plaatsen van cookies te weigeren of om dit zelf centraal via de browserinstellingen mogelijk te maken. En daar staat Nederland positief tegenover. Maar op wat daaruit gaat komen, kom ik dus nog terug. De VVD sprak nog even over kwantum. We sprake daar vorige week in deze commissie ook over. Er komt, zeg ik uit mijn hoofd, in Q3 een strategie naar de Kamer. Mevrouw Kathmann van PRO vroeg naar het basispakket digitale veiligheid.

Staatssecretaris Aerdts: Daar kom ik graag in een briefje vlak na het reces bij u op terug. De laatste vraag voor mij is de vraag van mevrouw Kathmann, PRO, over het basispakket digitale veiligheid. Kunnen wij daar een rol in gaan spelen? Diverse marktpartijen bieden al veiligheidspakketten aan. Een deel van die producten wordt gratis aangeboden. Het kabinet wil met de aanbieders van die producten de inhoud en de toegankelijkheid van het aanbod bezien en bekijken of dit eventueel verbeterd kan worden. Maar ik wil nadrukkelijk gezegd hebben dat wij als overheid natuurlijk niet gaan concurreren met de markt. Het is dan ook belangrijk dat die pakketten door de markt zelf worden aangeboden. Verder zijn we bezig met maatregelen voor de digitale weerbaarheid van burgers, bijvoorbeeld via veiliginternetten.nl. Gisteren spraken we daar al over in het verband met je digitale nalatenschap. Maar verder is er ook de campagne Phishkraam, waar ik laatst zelf was. U heeft terecht in dit debat gezegd dat het natuurlijk nooit de verantwoordelijkheid van burgers zelf is dat hun gegevens worden gelekt. Maar we willen ze wel graag weerbaarder maken en dat past, denk ik, ook heel goed in de strategie die we hier besproken hebben. Ook wordt in dit kader een nationale cursus Digitale Weerbaarheid georganiseerd voor alle Nederlanders van 12 jaar en ouder. Ten slotte is er de cursus Digisterker voor de doelgroep senioren. Deze cursus is specifiek bedoeld voor de bibliotheken. Bedrijven worden op de website van het NCSC geïnformeerd over de cyber-basismaatregelen die zij kunnen nemen. Ook biedt het kabinet via Mijn Cyberweerbare Zaak jaarlijks subsidie aan voor de aanschaf van cybersecuritymaatregelen door kleine mkb'ers.

Staatssecretaris Aerdts: Misschien een korte reactie. Er gebeurt misschien al veel, maar ik heb al toegezegd dat ik met de partijen in gesprek zal gaan, juist ook om te kijken waar het mogelijk nog aan schort en waar wij mogelijk bij zouden kunnen helpen. Meer kan ik daar op dit moment niet over toezeggen. Het is nu in beweging en daarom zou ik mevrouw Kathmann willen vragen om nog even te wachten met het indienen van die motie.

Staatssecretaris Aerdts: In de tweede helft van dit jaar, voor het kerstreces.

Staatssecretaris Aerdts: Mag ik daar kort op reageren? De aanpassing van de cookiewetgeving en de Europese wetgeving: we verwachten nog deze maand een Omnibuscompromis. Daar zullen we u volgens de informatieafspraken over informeren, zodat we daar na het reces met elkaar over in gesprek kunnen gaan.

Staatssecretaris Aerdts: Het tweede stuk heb ik even niet goed gehoord. Op de opt-in kom ik schriftelijk terug.

Staatssecretaris Aerdts: De vraag over de AVG en de overheid ligt, denk ik, bij mijn collega Van der Burg. Op de opt-in kom ik dus nog even schriftelijk terug.

Staatssecretaris Aerdts: Dat wordt dus gecombineerd met wat er met die Omnibuswetgeving gedaan is. Als we de Kamer informeren, zal ik een link leggen met het Rathenau Instituut. Maar dat gaat op dit moment voor mij wel samen, omdat die aanbevelingen over cookies ook echt in Europees verband plaatsvinden. En daar loopt nu dus dat Omnibustraject voor.