Door Anoniem: Als de toezichthouder z'n werk niet doet en rechters dat niet repareren, gaan mensen doe-het-zelven.
Hoe kan men in zo'n situatie nog verwachten dat mensen vrijwillig regels serieus nemen? Autoriteiten moeten het goede voorbeeld geven.
Mee eens, met enkele kanttekeningen:
(1) De toezichthouder moet "onafhankelijk" zijn. Dat betekent dat de toezichthouder in concrete zaken een eigen positie kan innemen ten opzichte van de uitvoerende macht (de regering) en ook ten opzichte van de rechterlijke macht zolang er nog geen onherroepelijke rechterlijke uitspraak is op de relevante punten m.b.t. de betreffende zaak. Gezien de wettelijke taak van de privacy-toezichthouder (zie mijn bovenstaande commentaar op 25-08-2022 om 19:17 uur) mag van de AP als toezichthouder verwacht worden dat die een sterke bescherming van persoonsgegevens centraal stelt, zolang de rechter die niet verbiedt. Ik heb het hier over een morele plicht die te maken heeft met normen van professionaliteit, ook los van een juridische plicht. In deze morele plicht heeft de AP gefaald in de zaak waarover nu kamervragen zijn gesteld.
(2) Ter gedeeltelijke verontschuldiging van de AP kan worden aangevoerd dat de Nederlandse regering het budget van de AP, en daarmee de personeelscapaciteit van de AP, sinds jaar en dag zo klein houdt dat de AP haar taken niet naar behoren kan uitvoeren. Als ik de AP was, zou ik overwegen om daarover naar de rechter te stappen (denk aan de Urgenda-zaak).
Recentelijk heeft de AP wel wat geoormerkt budget erbij gekregen dat alleen mag worden gebruikt om enkele specifieke deeltaken uit te voeren. Zo'n geoormerkt budget helpt niet om de AP in staat te stellen
onafhankelijk te functioneren, terwijl dat wel de wettelijke taak van de AP is. Het helpt bijvoorbeeld niet om bij de AP capaciteit vrij te maken voor de zaak waar het hier over gaat. De AP zou als "onafhankelijke" instantie op grond van haar wettelijke taak een vrij besteedbaar budget moeten eisen dat toereikend is.
(3) Helaas zijn er ook aanwijzingen dat de AP haar wettelijke taak zelf niet eens echt WIL uitvoeren. In de hier besproken zaak verzon de AP na het eerste handhavingsverzoek allerlei smoesjes waarom zij dat verzoek zonder onderzoek mocht afwijzen. *Eerst verklaarde zij zichzelf onbevoegd omdat het om buitenlandse vervoerbedrijven zou gaan (terwijl de AVG voor zo'n situatie duidelijke aanwijzingen geeft in artikelen 55 en 56). **Vervolgens verklaarde de AP dat het handhavingsverzoek niet over internationale treintickets zou gaan, terwijl dat letterlijk in het verzoek stond. ***Daarna verklaarde de AP tegenover de rechter dat het handhavingsverzoek voor wat betreft buitenlandse tickets niet specifiek genoeg zou zijn. Dit laatste argument werd door de rechtbank overgenomen. Zie:
https://www.privacyfirst.nl/images/stories/PDFs/2020-03-06-prv-ABRS-hoger-beroep-AP-Connexxion-en-NS-versie-2020-03-13.pdf (paragrafen 6.3.1 en 6.3.2, pp. 149-167).
In hoger beroep kwam de Raad van State tot een ****vierde reden voor afwijzing van het handhavingsverzoek, namelijk dat er op het tijdstip van het besluit van de AP nog geen bewijs was dat NS of buitenlandse vervoerbedrijven persoonsgegevens opeisten (ook al was dat bewijs er al wel ten tijde van de behandeling door de Raad van State). Het kan zijn dat de AP te weinig personeelscapaciteit heeft. Maar dat maakt het juist extra verwerpelijk dat de AP schaarse personeelscapaciteit waarover zij wel beschikt, inzet om handhavingsverzoeken van tafel te vegen in plaats van ze goed te behandelen.
Nog iets anders: als alles gedigitaliseerd was en er helemaal geen balies meer zouden zijn, dan was het bijna onmogelijk geweest om het bewijs op deze manier (als "mystery guest") boven tafel te krijgen. Want een chatbot op internet herhaalt alleen de talking points van NS en gaat niet in op kritische vragen. Op die manier vormt de digitalisering van transacties een gevaar voor de rechtsstaat, omdat het organisaties in staat stelt zichzelf en de waarheid te verschuilen achter digitale systemen.
Mee eens, een zeer belangrijk punt. Wat je bij beslissingen tot het digitaliseren van werkzaamheden telkens ziet, is dat zogenaamd een volledige functie door het gedigitaliseerde proces wordt vervangen, terwijl in feite slechts een deel van die functie wordt vervangen. In dit geval wordt de functie van menselijke dienstverlening bij de verkoop van treintickets slechts voor een klein deel vervangen - bijvoorbeeld niet uitleg aan de klant of het beantwoorden van vragen en ook niet de aanspreekbaarheid van NS op eventuele problemen. Er wordt dan gedaan alsof de gedigitaliseerde werkwijze "efficiënter" en daardoor "goedkoper" zou zijn, terwijl er in werkelijkheid gewoon bepaalde diensten niet langer worden verleend.
Dit wordt ook wel het "externaliseren (socialiseren) van kosten" genoemd, dat altijd ook het "externaliseren (socialiseren) van problemen" behelst. Dat de klanten van NS met een kluitje in het riet worden gestuurd ("Red je maar met ons digitale systeem, wij zijn niet meer via een balie aanspreekbaar"), wordt door NS dan niet meer als een probleem van NS gezien, maar als een extern probleem van de klanten, waar NS niets mee te maken heeft. De salarissen van het bestuur en management van NS stromen toch wel binnen.
Op die manier wordt digitalisering ook gebruikt om toenemende ongelijkheid in de machtsverhoudingen te bewerkstelligen. De klanten van NS kunnen in geval van problemen niets anders meer doen dan ofwel een helpdesk bellen waar men het ook niet weet en verwijst naar "beleid" van NS, ofwel een digitaal klachtenformulier insturen, wat dan door NS op een zoveel mogelijk geautomatiseerde wijze zo minimalistisch en formalistisch mogelijk wordt "afgehandeld". Van een vertrouwensrelatie tussen klanten en NS, of van goed ondernemerschap, blijft op die manier steeds minder over.
NS verandert van een vervoerbedrijf dat aan klanten een dienst verleent, in (primair) een data-bedrijf dat over klanten controle uitoefent, waarbij NS en buitenlandse vervoerbedrijven in onderlinge samenwerking als monopolisten misbruik maken van de afhankelijkheid van mensen van het openbaar vervoer, om zo de afgifte van persoonsgegevens af te dwingen.
M.J.