De Autoriteit Persoonsgegevens gaat zich de komende jaren met name richten op datahandel, digitale overheid en kunstmatige intelligentie (ai). Dat heeft de toezichthouder vandaag in het visiedocument 'Dataprotectie in een digitale samenleving' bekendgemaakt (pdf).

Volgens de AP is de extra nadruk op deze onderwerpen nodig om de bescherming van persoonsgegevens in Nederland te borgen. "Misbruik of onverantwoordelijk gebruik van persoonsgegevens kan bijvoorbeeld leiden tot foutieve beslissingen, uitsluiting van mensen en discriminatie", aldus de toezichthouder.

Die ziet dat steeds meer apparaten en diensten persoonsgegevens verzamelen waardoor ze steeds meer over mensen weten. Vaak is het voor gebruikers onduidelijk wat er met die gegevens gebeurt en wie er toegang toe heeft. "Dit maakt ons en onze democratische rechtstaat kwetsbaar", zo waarschuwt de Autoriteit Persoonsgegevens. De toezichthouder ziet drie grote trends die van invloed zijn op de bescherming van persoonsgegevens: doorgroei van de datasamenleving, toename van digitaal onrecht en toename van privacybewustzijn.

Zo voelen burgers op dit moment nog onvoldoende handelingsperspectief om zelf het heft in handen te nemen en hun privacy te beschermen, merkt de AP op. "Ze voelen zich onvoldoende in staat om verantwoordelijkheid te nemen. De uitdaging voor consumenten wordt om de komende jaren meer privacybewust te worden. Dat gebeurt al, maar kan nog meer."

Datahandel

In het verlengde van deze trends koos de AP drie onderwerpen die tot en met 2023 extra aandacht krijgen, namelijk datahandel, digitale overheid en ai. Niet alleen wordt er meer data over mensen verzameld, deze gegevens worden ook steeds vaker ongeoorloofd doorverkocht aan derden. Mensen verliezen volgens de Autoriteit Persoonsgegevens hierdoor steeds meer grip op hun gegevens en daarmee op hun leven. Binnen dit onderwerp gaat het om de doorverkoop van data, Internet of Things, profilering en behaviorial advertising.

Zo verwacht de toezichthouder dat aanbieders op de IoT-markt voldoende transparant zijn over welke gegevens er worden verzameld en welke risico's er kleven aan het gebruik van de verschillende apparaten. Door de hoeveelheid verzamelde data te minimaliseren en goed om te gaan met de verzamelde gegevens kunnen steeds groter wordende problemen verderop in de dataketen worden voorkomen. Ook verwacht de AP dat IoT-apparaten voldoende worden beveiligd. Bedrijven die de wet niet naleven worden aangepakt, zo laat de toezichthouder weten.

Digitale overheid

De Autoriteit Persoonsgegevens kijkt ook naar de overheid die over grote hoeveelheden gevoelige gegevens van burgers beschikt. Hiermee moet verantwoordelijk worden omgegaan, zodat burgers niet in de knel komen. Specifiek gaat het in dit aandachtsgebied om databeveiliging, smart cities, samenwerkingsverbanden, verkiezingen en microtargeting. Zo verwacht de AP van overheidsorganisaties dat zij structureel en voldoende investeren in hun informatiebeveiliging.

Ook verwacht de toezichthouder dat overheidsorganisaties terughoudend zijn met het delen van bestanden. "Hoewel de intenties vaak goed zijn, kan het delen en koppelen van bestanden een schending zijn van het wettelijke beginsel van doelbinding. Dit principe houdt in dat gegevens die voor een bepaald doel zijn verzameld, niet voor een ander doel gebruikt mogen worden."

Kunstmatige intelligentie

Als laatste noemt de AP de risico's van kunstmatige intelligentie en algoritmes. Onverantwoordelijk gebruik hiervan kan leiden tot foutieve beslissingen, tot uitsluiting van mensen en tot discriminatie. Bedrijven en organisaties kunnen ai en algoritmes inzetten om mensen bijvoorbeeld gericht te sturen (nudging) en te profileren. Er zijn op dit terrein belangrijke vragen over de kwaliteit van de gebruikte data, de uitkomsten op basis waarvan beslissingen worden genomen en de inzichtelijkheid van het proces. Bij dit aandachtsgebied ligt de aandacht met name op toezicht.

"Deze thema’s passen bij de missie van de AP en spelen in meerdere sectoren. De AP kan hier het verschil maken door grenzen te markeren ten aanzien van wat er wel en niet kan onder de AVG. De focusgebieden geven onder meer richting aan de uitvoering van onze wettelijke taken", zo stelt de toezichthouder.