Van trouw.nl van 25 januari 2021:

Aleid Wolfsen, voorzitter van de Autoriteit Persoonsgegevens, vreest dat het Inlichtingenbureau zijn zaakjes niet in orde heeft. ‘Je kunt niet in het wilde weg burgers gaan controleren.’

Het Inlichtingenbureau (IB) verzamelt overheidsdata van onder andere bijstandsgerechtigden, vroege schoolverlaters en Tozo-aanvragers. Ze koppelt deze vaak gevoelige persoonsgegevens met elkaar, onder meer om mogelijke fraude op te sporen. Bij een verdachte combinatie geven de computers van het IB een ‘signaaltje’ naar de desbetreffende gemeente. Maar mag dat wel, vroeg Aleid Wolfsen zich af toen hij in Trouw las dat dat het IB zijn zaken nog steeds niet op orde lijkt te hebben. De voorzitter van de Autoriteit Persoonsgegevens (AP) schrok van het bericht, zegt hij, juist omdat hij het bureau bijna drie jaar geleden al een waarschuwing had gegeven.

Waarom eist de AP precies nu opheldering aan het Inlichtingenbureau?

“Eén: door wat we lazen in Trouw. Twee: door de uitspraak van de rechter rondom de vrouw in Wijdemeren, dat begon ook met een signaal van het IB. Drie is dat we een link zagen, tot onze eigen verrassing ook, tussen de afdeling Toeslagen en het IB. We weten niet wat voor dataverkeer daar plaatsvindt. En het lijkt uit de berichtgeving – we moeten voorzichtig zijn en niemand onnodig aan de schandpaal nagelen – dat bij het IB niet alles op orde is. Dus daar zijn we nieuwsgierig naar.”

“Het lijkt erop dat het is uitgegroeid tot een oceaan van data. Die hier een signaal afgeeft aan een gemeente, daar een tip geeft. Waarvan de burger soms geen idee heeft wat voor signaal het is geweest waardoor er ineens een handhaver voor de deur staat. Het wordt een soort balletje-balletje voor burgers, tussen al die overheidsinstanties. De gemeente zegt: wij kregen een signaal van het IB. Dat zegt: we hebben het van die. En de burger heeft geen idee.”

Wat moet het IB jullie precies binnen een maand laten zien?

“Ze moeten ons kraakhelder maken wat ze verwerken. Namens wie ze dat doen. Op basis van welke wetgeving. De burger moet erop kunnen vertrouwen dat men netjes, zorgvuldig en zeker binnen wetgeving met zijn of haar data omgaat. Dus we hebben in de brief ook tegen het IB gezegd: leg je analyse voor aan jullie functionaris gegevensbescherming, de interne toezichthouder. Vraag expliciet of het kan wat jullie doen. Als dat niet kan, dan moet het IB daar onmiddellijk mee stoppen.

“We hebben geen klachten over het IB gehad. Maar betekent dit dat alles goed gaat? We zagen bij de Belastingdienst ook een serieus en discriminatoir element in het algoritme, dat verwachtte ook geen burger. Die zaak kwam bij ons aan het rollen door een vrouw die zei: ik vroeg de ambtenaar of mijn nationaliteit er iets mee te maken had. De ambtenaar zei: geen idee, ik heb de zaak ook maar op mijn bureau gekregen. Maar het voelde voor haar niet goed. De rechter vroeg niet door over waarom die ambtenaar bij haar kwam. Dus er zit een groot gat in de rechtsbescherming.”

“Wanneer burgers aan de bel trekken, spelen overheidsinstanties een soort balletje-balletje: u moet niet bij mij zijn. Dat is best een serieuze constatering, moet ik eerlijk zeggen. Wat er met gevoelige data van burgers gebeurt, dat moet niet iets mysterieus zijn.”

U zegt: er zijn signalen dat het IB hun boekje te buiten gaat. Welke signalen zijn dat precies?

“Het valt in hun eigen jaarverslagen te lezen. Daarin zeggen ze zelf dat ze de AVG nog niet allemaal helemaal op orde hebben. Dat is heel openhartig, maar die privacywet geldt inmiddels meer dan twee jaar.”

Wat ook te lezen valt in documenten van het IB, is dat het verwerkingen van data uitvoert waar het wellicht helemaal niet toe bevoegd is. Juridisch gezien lijkt het bureau namelijk niet verantwoordelijk te zijn voor de data die het verwerkt – dat zijn waarschijnlijk de gemeenten. Vergelijk het met een postkantoor, zegt Wolfsen. Het bureau verwerkt grote stromen postpakketjes, maar mag daar zelf niet in neuzen, en er al helemaal geen nieuwe pakketjes van samenstellen.

Toch schrijft het bureau in het Jaarplan voor 2020 dat de ‘feitelijke situatie’ is dat het Inlichtingenbureau ‘op een aantal punten optreedt als verwerkingsverantwoordelijke’. Daarom, zo schrijft het IB, zou de Autoriteit Persoonsgegevens aan de minister ‘dringend in overweging gegeven’ hebben om de wettelijke status van het IB aan te passen van ‘verwerker’ naar ‘verwerkingsverantwoordelijke’.

Als het IB nu al zegt: we doen feitelijk dataverwerkingen die we niet mogen doen, dan zijn ze toch al illegaal bezig?

“Ja. Als blijkt dat ze dat doen, dan plegen ze strafbare feiten. Ze worden geacht dat ook te weten. Ik moet voorzichtig zijn, maar het lijkt erop – tot onze schrik – dat het nog steeds niet op orde is. Dan hebben we wel een kwestie te pakken.”

Als IB stelt dat ze niet wettelijk bevoegd zijn, was het dan niet een betere reactie om met die verwerkingen van data te stoppen?

“Niet de betere reactie. Dat is dé reactie. Een overheidsinstelling – in dit geval een private stichting, die gerund wordt door overheidsinstanties – mag natuurlijk nooit de grondrechten van burgers schenden. Dan plegen ze een strafbaar feit. Eenvoudiger kan ik het niet zeggen.”