‘Internet is een fundamenteel mensenrecht. Het moet tegen politiek en commercieel misbruik worden beschermd.’
Een uitspraak van Tim Berners-Lee, bedenker en grondlegger van het World Wide Web. Hij werkte hieraan toen hij in dienst was van CERN in Zwitserland. Een leuk weetje is dat zijn ouders elkaar hebben ontmoet toen ze aan de Ferranti Mark I werkten, de eerste commercieel beschikbare computer in de wereld. ‘It runs in the family’, zullen we maar zeggen.
Berners-Lee richtte in 2012 het Open Data Institute op, dat het gebruik van open data stimuleert. Hij had vanaf het begin kritiek op Big Tech, juist ook vanwege privacyoverwegingen. Data horen bij de gebruiker en niet bij bedrijven, vond hij. Een wereldberoemde man in de IT-wereld, en hopelijk ook bij u in privacy-land.
Blijft privacy ook de komende jaren overeind door AI, quantum en automatisering?
Een interessant vraagstuk om deze bijeenkomst mee af te mogen sluiten. Er is vandaag al veel zinnigs over privacy gezegd, door ieder vanuit haar of zijn eigen expertise. Ik ben zo vlak voor de borrel niet van plan dat nog eens dunnetjes over te doen.
Daarom houd ik het puur bij mijn rol als collegelid van de Algemene Rekenkamer. Ik kijk naar de feiten en onderzoek. Want dat is wat we doen: de Algemene Rekenkamer onderzoekt of publiek geld zinnig, zuinig en zorgvuldig wordt besteed. Welk resultaat heeft beleid opgeleverd voor burgers en bedrijven? Doet de overheid wat zij belooft, en belooft de overheid alleen wat zij kan waarmaken?
Dat is van groot belang voor het vertrouwen in en de geloofwaardigheid van de overheid. De basis van een goed werkende democratie en rechtsstaat. Bij vertrouwen hoort dat er rechtmatig en respectvol met privacy om wordt gegaan. Ook bij de digitale overheid.
We doen sinds 1991 onderzoek naar digitalisering en de inzet van ICT bij de overheid. Van cybersecurity en informatiebeveiliging tot AI en digitale identiteit.
Wat valt in al onze onderzoeken op? Ik deel een aantal conclusies en observaties uit de meest recente onderzoeken en licht een tipje van de sluier op van een belangrijk onderzoek dat 2 december verschijnt. Daarna ga ik graag met u in gesprek.
Als eerste onderwerp noem ik de AVG. We zien dat de uitvoering van overheidstaken regelmatig in de knel komt, omdat uitvoeringsorganisaties de AVG als obstakel ervaren. Dit heeft grote gevolgen.
Zo werden ouderen die onder het bestaansminimum leven er niet op gewezen dat ze recht hebben op een aanvullende uitkering. Onder het mom: ‘we mogen niet in die gegevens’. En konden zorgfraudeurs juist makkelijk onder de radar blijven, met hetzelfde excuus.
De balans tussen privacy en de uitvoering van overheidstaken is precair, dat begrijpen we allemaal, maar veel problemen kunnen voorkomen worden als er duidelijkere keuzes worden gemaakt. De AVG is een helder kader, met daarbinnen ruimte om van alles uit te zoeken. Als de politiek bijvoorbeeld vindt dat bepaalde gegevens nodig zijn om overheidstaken uit te voeren dan moet zij daarvoor een wettelijke basis creëren. Daar is de AVG geen belemmering voor.
Welke persoonsgegevens hebben organisaties nodig om hun werk goed te kunnen doen? Wat hebben ze juist niet nodig en is echt te privacygevoelig? Is het nodig dat overheidsorganisaties telkens opnieuw dezelfde informatie aan burgers en bedrijven vragen? Kan dat niet beter?
Dáár zou de discussie over moeten gaan. Dat vraagt van uitvoeringsorganisaties dat ze voldoende kennis in huis hebben over de bescherming van privacy. Wat kan en niet kan. Welke gegevens ze echt nodig hebben en wat niet.
Wij kregen in meerdere onderzoeken de indruk dat organisaties zich uit angst voor de AVG terughoudender opstelden dan nodig. Natuurlijk: er is een wettelijke basis nodig om data te delen, en daar moet je je aan houden. Maar daarbinnen is vermoedelijk meer ruimte om mensen proactief te benaderen dan organisaties nu nemen.
Positief nieuws is dat onlangs de Wet proactieve dienstverlening is aangenomen. Gemeenten, UWV en de SVB krijgen hierdoor meer mogelijkheden om inwoners actief te wijzen op regelingen en ondersteuning waar ze waarschijnlijk recht op hebben. Zodat minder mensen uitkeringen mislopen. Een hoopvol begin!
De voorzichtigheid waarmee nu met gegevens van burgers en bedrijven wordt omgegaan - waarvan de AVG één voorbeeld is - wordt gevoed door een wirwar aan regels en richtlijnen, en overlap in wetgeving. Veel van die wetgeving komt uit Europa: AVG, AI Act, Data Act, NIS2.
Wij blijken als land niet heel goed in het omzetten van die Europese regelgeving in onze eigen wetgeving. Het lijkt alsof het ons opeens overkomt. We lopen achter bij het invoeren van deze wet- en regelgeving. Terwijl de digitale wetgeving intussen wel landt op de borden van de uitvoeringsorganisaties, zonder voldoende middelen om dat uit te voeren.
25 jaar geleden benoemden we als rekenkamer deze kloof tussen beleid en uitvoering al. Dat is helaas nog te vaak de dagelijkse praktijk. In plaats van ons te richten op de grootste risico’s en die snel op te lossen, wordt er langs elkaar heen gewerkt, is er een overlap aan regels en wetten, en is IT nog steeds niet genoeg chefsache.
Veel overleg in vergaderzalen, veel beleidsnotities, veel verschillende schijven. Met als gevolg: niet goed werkende algoritmes en AI, ondoordacht cloudgebruik, onduidelijke coördinatie en grote beveiligingsrisico’s.
Wij denken dat er veel winst te behalen valt als de wetgever, oftewel Tweede Kamer en het kabinet, meer doet aan het versimpelen van de wetgeving. ‘Vereenvoudiging’ noemt men dat in politiek Den Haag. Dit is niet geheel verrassend het hoofdthema van ons huidige verantwoordingsonderzoek.
Ook is het belangrijk dat er vooraf bij het formuleren van een conceptwetsvoorstel goed wordt nagedacht welke gegevens eventueel nodig zijn voor overheidsorganisaties om nieuwe taken te kunnen uitvoeren. Want dan moet daarvoor een wettelijke basis gecreëerd worden. Vooraf weten wat nodig is vereist goed contact tussen beleid en uitvoering. Precies waar het nu nog wel eens aan schort.
Ik wil u kort iets vertellen over ander onderzoek op het gebied van digitalisering, los van de eerdergenoemde AVG. Ik licht 3 van onze onderzoeken uit: AI, Quantum en Weerbaarheid.
AI
Ik hoef u niet te vertellen dat AI ons inhaalt terwijl we hierover met elkaar spreken. In ons Focusonderzoek naar AI-gebruik bij de rijksoverheid van eind 2025 zagen we al dat AI aanzienlijke kansen biedt. Met name voor het efficiënter maken van de interne bedrijfsvoering.
Organisaties zien mogelijkheden om processen te automatiseren, informatieverwerking te verbeteren en zelfs toekomstige personeelstekorten op te vangen. Tegelijkertijd brengt de inzet van deze technologie ook risico's met zich mee, zoals privacyschendingen en discriminatie.
Het is daarom essentieel dat de overheid de kansen optimaal benut, terwijl zij tegelijkertijd de risico's zorgvuldig beheerst en de inzet van AI verantwoord uitvoert. Noblesse oblige.
Quantum
Minder bekend, maar wellicht veel bedreigender, is de ontwikkeling van quantumcomputers. Quantumcomputers kunnen de vertrouwelijke informatie en vitale infrastructuur van het rijk bedreigen. Dusdanig, dat maatschappelijke ontwrichting op de loer ligt. De dag dat quantumcomputers zó krachtig zijn dat ze alle digitale codes kunnen kraken, Q-day, is dichterbij dan we denken.
De AIVD en Amerikaanse inlichtingsdiensten denken dat Q-day al in 2030 kan zijn. Dat kan betekenen dat niet alleen websites, maar ook bankgegevens, staatsgeheimen en privacygevoelige informatie worden gehackt.
Om dat te voorkomen, is post-quantum cryptografie nodig. Een vorm van versleuteling die quantumcomputers niet kunnen kraken. In ons rapport Focus op quantum van begin dit jaar concludeerden we dat de meeste overheidsorganisaties werken aan hun informatiebeveiliging, maar bijna geen maatregelen hebben getroffen die specifiek gericht zijn op quantumcomputers. Daarmee beginnen is wel nodig.
Ik zei het al: we lopen achter. Gelukkig heeft het kabinet in de recent verschenen Rijksbrede Quantumstrategie hardere deadlines gesteld.
Weerbaarheid
Het kost tijd en geld om alles goed te regelen. En het is een illusie om te denken dat we alle risico’s kunnen beheersen. De vraag is dus niet óf het fout gaat, maar wanneer. Zoals in Denemarken al de gegevens van 8,8 miljoen mensen gehackt zijn uit het Bevolkingsregister. Over gebrek aan privacy gesproken. We hebben in Nederland ons eigen debacle gehad rondom het bevolkingsonderzoek naar baarmoederhalskanker.
Het rapport dat 2 december uitkomt is Weerbaarheid Overheidsregistraties. We kijken daarin naar de effecten voor burgers en bedrijven als gegevens niet beschikbaar zijn, of juist toegankelijk zijn voor onbevoegden. We onderzoeken de weerbaarheid van maar liefst 23 overheidsregistraties, niet alleen de bekende basisregistraties. Ik kan u al verklappen dat niet alles op orde is. Maar ook dat we op 2 december niet precies gaan vertellen wat bij welke overheidsregistratie niet op orde is. Want we willen ook geen handboek voor kwaadwillenden schrijven.
We controleren of beveiligingsmaatregelen in de praktijk werken. We onderzoeken of de afhankelijkheid van IT-leveranciers niet te groot is. En of er voorbereidingen zijn getroffen voor een crisissituatie of calamiteit. Ik kan u nú al vertellen dat de resultaten voor uw werk van belang zijn, dus houd het nieuws op 2 december vooral in de gaten.
Al onze onderzoeken staan overzichtelijk op onze website. Daar leest u ook over hoe algoritmes kunnen discrimineren als je ze verkeerd inzet. En dat de toegang tot de onderliggende gegevens binnen de overheid ook zó geregeld moet zijn dat ambtenaren die geen toegang nodig hebben, deze ook niet krijgen. Het zogenaamde toegangsbeheer, ook dát raakt aan onze privacy.
Maar u kunt in onze onderzoeken ook lezen over hoe ondoordacht de overheid is gaan werken in de Cloud, en onvoldoende nadenkt over risico’s. Risico’s bijvoorbeeld op de toegang door niet-Europese staten met extraterritoriale wetgeving. Dat weet u wel over wie ik het heb.
Voor maar liefst twee derde van de clouddiensten zijn vooraf niet de vereiste risicoafwegingen gemaakt. Onze afhankelijkheid van niet-Europese aanbieders is zorgelijk en moet worden beperkt.
Gelukkig begint dat besef breed door te dringen en wordt daar op veel plaatsen in de overheid al aan gewerkt. Ik hoef u niet uit te leggen: ook dit gaat uiteindelijk over de privacy van Europese burgers.
Beste mensen,
Het heeft geen zin om te doemdenken, maar we mogen veel meer urgentie voelen. Het draait om weerbaarheid en verantwoordelijkheid nemen. Om gevoelige gegevens van burgers en bedrijven. Een plan bij calamiteiten. Oefenen. Wat doen we bij een hack? Wat is de back-up? Wat staat offline, wat online? We kunnen niet alles meteen oplossen, dus dit vraagt om prioritering en focus.
Hebben organisaties hun belangrijkste en meest kritieke processen in beeld? Wie gaat daar over? Waar is de ambtelijke coördinatie? Hoe verzilveren we kansen en verkleinen we risico’s?
We hebben als mens altijd al moeten werken aan onze eigen weerbaarheid. Wilde dieren, overstromingen, vulkaanuitbarstingen. Oorlog, epidemieën, aardbevingen. We hebben geleerd ons aan te passen, veerkrachtig en wendbaar te zijn.
Maar toen we stap voor stap de digitale ruimte ontdekten, hebben we niet altijd even kritisch nagedacht over onze veiligheid en privacy. In ieder geval niet op het niveau waar de beslissingen worden genomen. Met die achterstand hebben we nog steeds te maken.
Het abstracte en onvoorstelbare wat we vroeger in sciencefictionfilms zagen wordt door quantum en AI ineens werkelijkheid. Een wake-up call. Dat er iets moet gebeuren is duidelijk. U heeft hierin als privacyexperts een belangrijke rol.
U weet wat mag en kan, wat ondenkbaar is of ronduit verkeerd. U trekt als het goed is aan de bel als iets niet klopt, legt risico’s en zwakke plekken bloot. Niet altijd een makkelijke rol, want DPO’s en FG’s worden vaak als dwarsligger of hinderpaal gezien. Ten onrechte.
Ik hoop desondanks dat u ook naar kansen blijft kijken. Want ondanks alle gevaren, bieden AI, quantum en digitalisering veel mogelijkheden. Kansen om de maatschappij een beetje mooier, eerlijker en veiliger te maken, of de overheid dienstbaarder en goedkoper. Of het nu gaat om kennis, gezondheid, defensie, communicatie, sociale zekerheid of duurzaamheid.
Ik ga hierover graag met u in gesprek!