Aleid Wolfsen zwaait na tien jaar af als voorzitter van de Autoriteit Persoonsgegevens. Hij begon toen de bekende AVG-wetgeving werd ingevoerd, maar nu zitten zijn twee termijnen erop en maakt hij plaats voor een opvolger. Tweakers sprak de vertrekkende toezichthouder nog één laatste keer uitgebreid.Het was 2015 of 2016 toen ik Aleid Wolfsen voor het eerst interviewde. Het jaartal weet ik niet meer exact, maar het was rond zijn aantreden. Voor de computertijdschriften waarvoor ik toen schreef, vroeg ik een interview aan met de kersverse voorzitter van de eveneens gloednieuwe Autoriteit Persoonsgegevens.
Aleid Wolfsen zwaait na tien jaar af als voorzitter van de Autoriteit Persoonsgegevens. Hij begon toen de bekende AVG-wetgeving werd ingevoerd, maar nu zitten zijn twee termijnen erop en maakt hij plaats voor een opvolger. Tweakers sprak de vertrekkende toezichthouder nog één laatste keer uitgebreid.In mijn aantekeningen lees ik nog duidelijk terug hoe Wolfsen uitlegde dat er 'een grote, Europese privacywet aan zat te komen', de zogenoemde Algemene Verordening Gegevensbescherming. Ik schreef braaf mee. "Europese wet, of nee, verordening, privacy, wordt in 2018 actief, de AP mag boetes gaan opleggen." Voor mij als jonge journalist was het allemaal nieuwe informatie.
Was ik nog jong en onervaren en had ik me gewoon slecht voorbereid op het interview? Misschien. Maar logischer is het dat 'privacy' in 2016 voor de meeste mensen nog een abstract concept was. Inmiddels is privacy een industrie met grote belangen, die ons dagelijks leven aan alle kanten raken en waar grote techbedrijven en juristen omheen draaien. Maar een decennium geleden? Toen had, op professionals als Wolfsen na, niemand gehoord van de AVG.
Nu is het 2026 en ik spreek opnieuw met Aleid Wolfsen. Beter voorbereid, met meer ervaring op zak. Die ervaring zit in de tien interviews met hem die ik inmiddels achter de rug heb. Ieder jaar, zo rond de verjaardag van de AVG, sprak ik Wolfsen, eerst voor websites en tijdschriften en sinds 2019 voor Tweakers. Dit is de laatste keer.
Want Aleid Wolfsen stapt op. De voorzitter van de Autoriteit Persoonsgegevens heeft op 31 juli zijn laatste werkdag. Hij heeft er dan twee termijnen van in totaal tien jaar op zitten en moet daarom stoppen. Hij is 66. Hij kan nog niet helemaal met pensioen, maar wel bijna. In augustus wordt Wolfsen opgevolgd door Geert Potjewijd, een privacyadvocaat die grote techbedrijven verdedigde. Zijn aantreden is dan ook een niet onomstreden keus.
Met Potjewijd hoop ik de komende jaren vooruit te kunnen kijken, naar de grote uitdagingen voor de privacywereld. Maar nu zit ik nog één keer met Aleid Wolfsen, juist om terug te blikken. Niet alleen voor mij is er veel veranderd op privacygebied.
Voor de AP en Wolfsen zelf geldt dat minstens zo. In de tien jaar dat de AVG nu officieel bestaat, is het privacylandschap drastisch veranderd. Overheid en bedrijfsleven zijn sterker doordrongen geraakt van het belang van privacy. Tegelijkertijd zijn er steeds meer taken bijgekomen voor de toezichthouder en komen er nieuwe wetten aan die het leven voor bedrijven misschien nóg moeilijker maken.
Toen ik u voor het eerst sprak, moest u me uitleggen wat de AVG was. Was ik slecht voorbereid, of was dat in die tijd normaler?
Toen ik u voor het eerst sprak, moest u me uitleggen wat de AVG was. Was ik slecht voorbereid, of was dat in die tijd normaler?"Ik denk niet dat dat naïef was, zeker toen. Over de AVG werd al heel lang onderhandeld, al sinds 2012. Een tijd lang dreigde de wet zelfs te bezwijken onder de lobby van grote techbedrijven, dat was toen dus al een kwestie die speelde. In 2016 voerde Europa de wet in, maar pas in 2018 konden wij daarop handhaven. Toen kwam het ook pas echt in het nieuws, met al die bedrijven die toestemming kwamen vragen voor het behoud van gegevens. Voor journalisten is het dus begrijpelijk dat de wet toen pas zichtbaar werd."
Inmiddels zijn we tien jaar verder. Hoe is het maatschappelijk debat rondom privacy veranderd in die tijd, hoe speelt privacy nu in de samenleving?
Inmiddels zijn we tien jaar verder. Hoe is het maatschappelijk debat rondom privacy veranderd in die tijd, hoe speelt privacy nu in de samenleving?"Maatschappelijk gezien is er veel veranderd. Digitalisering grijpt veel om zich heen en blijft ook vernieuwen. Twee jaar geleden kwamen bijvoorbeeld AI-taalmodellen op, en die veranderen nu ook weer door de komst van agentische AI. Die digitalisering gaat in rap tempo door. De AVG is, met de kennis van nu, een briljante wet. De politici van toen hadden heel goed in de gaten wat de gevaren van automatisering en digitalisering konden worden.
Je ziet ook dat burgers vroeger nog wat naïef waren over de gevaren van die digitalisering en algoritmes. Het bewustzijn bij hen is nu veel groter geworden. Dat gebeurde zeker tijdens de coronacrisis. Toen vonden veel bestuurders het toch wel handig dat al die burgers telefoons hadden die veel locatiedata verzamelden. Daarmee zouden we corona beter kunnen beheersen, was toen de gedachte [Tweakers schreef daar toen een achtergrondverhaal over, red.]. We werden daar toen veel over gebeld, burgers hadden veel zorgen daarover. Mede door onze kritiek daarop zijn die plannen toen stopgezet.
Je ziet dus zeker veel meer bewustzijn ontstaan. Het AD plaatste laatst een poll met de vraag of de AVG tot onnodige lastenverzwaringen leidt. Duizenden mensen reageerden daarop en vonden van niet."
Hoe zit dat bewustzijn bij bedrijven en overheden? Zijn die daar net zo van doordrongen als burgers?
Hoe zit dat bewustzijn bij bedrijven en overheden? Zijn die daar net zo van doordrongen als burgers?'Ik schrik ervan hoe vaak zelfs de meest basale beveiliging niet op orde is.'"Ik schrik er soms van als ik zie hoe bij sommige bedrijven de beveiliging heel basaal niet op orde is. Daardoor ontstaan heel ernstige datalekken. Niet ieder datalek is een fout van een bedrijf hoor, soms heb je statelijke actoren die heel vernuftig te werk gaan. Maar het komt wel te vaak voor.
Ik vind dat databeveiliging bij bedrijven en overheden chefsache moet zijn, dat moet veel meer prioriteit krijgen. In iedere boardroom en in iedere raad van toezicht en commissarissen moet iemand zitten die daar verstand van heeft. Net zoals er iemand moet zitten die verstand heeft van financiën. Daarom vind ik het ook goed dat er in de komende Cyberveiligheidswet staat dat bestuurders en toezichthouders bij bedrijven bij ernstige privacyovertredingen persoonlijk aansprakelijk kunnen worden gesteld.
Ik hoop daarnaast dat er meer massaclaims gaan komen na datalekken. Dat gebeurt nu aan alle kanten. De Consumentenbond begon er onlangs een. Het is heel goed dat datalekken ook via zulke claims worden aangepakt."
De pakkans bij een boete is natuurlijk nog klein. Jullie schrijven al jaren in jaarverslagen dat de AP 'zo goed als geen ruimte heeft voor het op eigen initiatief uitvoeren van onderzoek'. Heeft dat ook invloed op de naleving van de AVG?
De pakkans bij een boete is natuurlijk nog klein. Jullie schrijven al jaren in jaarverslagen dat de AP 'zo goed als geen ruimte heeft voor het op eigen initiatief uitvoeren van onderzoek'. Heeft dat ook invloed op de naleving van de AVG?"Dat is zeker een pijnpunt. We horen dat ook vaak terug, van bijvoorbeeld organisaties zoals Bits of Freedom. De parlementaire enquêtecommissie naar de toeslagenaffaire heeft al eens benadrukt dat databescherming onderbezet is en dat we daar meer geld voor zouden moeten krijgen. Er moet een goede balans komen: dat je ook kunt worden beboet als je de beveiliging van gegevens niet op orde hebt terwijl er nog geen lek is geweest."
De discussie over geld speelt bij de AP al jaren. Jaar in, jaar uit pleit de AP voor hetzelfde: meer geld. Sinds 2019 beroept de toezichthouder zich op een rapport van KPMG, uitgevoerd in opdracht van het ministerie van Justitie & Veiligheid en de AP zelf.
Het ministerie en de AP lieten onderzoeken hoeveel geld de toezichthouder minimaal zou moeten krijgen om aan de basale functie van toezicht te kunnen voldoen. Honderd miljoen euro per jaar, was de conclusie.
Met dat getal schermt de AP nu vaak, maar dat krijgt ze niet. Het budget voor 2026 ligt op 53,5 miljoen euro, maar neemt de komende jaren juist weer af, als er tijdens Prinsjesdag niets verandert.
Toch noemt Wolfsen dat beoogde bedrag constant. In de eerdere interviews met Tweakers noemde hij het keer op keer, telkens met dezelfde opmerking: ja, dat geld komt er. Hij was ervan overtuigd. Ook in dit interview zegt hij dat hij 'hoopvol' is dat de Tweede Kamer de AP twee keer zoveel budget zal geven, tegen alle realiteit en voorgaande politieke besluiten in.
Weer verwijst hij naar de parlementaire onderzoekscommissie. In haar eindrapport in 2021 schrijft die commissie dat toezichthouders zoals de AP moeten krijgen waar ze om vragen: 100 miljoen euro. De Tweede Kamer stemde er unaniem mee in om de conclusies uit het rapport te volgen. Daaraan ontleent Wolfsen zijn rotsvaste geloof in een budgetverhoging: de Tweede Kamer heeft daar in feite mee beloofd dat ze de AP 100 miljoen euro gaat geven.
Dat gebeurde niet: niet in 2022 en 2023 na het KPMG-rapport, niet in 2024 toen de Kamer instemde met de conclusies uit het enquêterapport en niet in 2025. Dus nu Wolfsen zegt dat hij nog steeds 'hoopvol' is dat het budget er komt, klinkt dat ieder jaar wat ongeloofwaardiger.
Sterker nog, vorig jaar kregen jullie alsnog onverwacht meer budget, maar dat noemde u 'feitelijk juist een verlaging'.
Sterker nog, vorig jaar kregen jullie alsnog onverwacht meer budget, maar dat noemde u 'feitelijk juist een verlaging'."Dat klopt. Maar met de 360 mensen die nu bij de AP werken, kunnen we alsnog veel doen. We adviseren ook veel, bijvoorbeeld aan brancheverenigingen en over wetgeving in Brussel. Of we geven vergunningen uit aan bedrijven zodat die data mogen overdragen naar andere landen. Over dat laatste hoor je nooit iemand, in tegenstelling tot bij boetes, maar dat doen we wel."
U zei onlangs op een congres van de Vereniging Privacy Recht dat toezichthouders zoals de AP een 'vierde macht' worden in Europa. Wat bedoelt u daarmee?
U zei onlangs op een congres van de Vereniging Privacy Recht dat toezichthouders zoals de AP een 'vierde macht' worden in Europa. Wat bedoelt u daarmee?'Er ontstaat in Europa een vierde macht, naast de regering, het parlement en de rechter. Dat is de toezichthouder.'"Je ziet heel duidelijk dat Europa een nieuwe pijler creëert naast de trias politica. Je hebt de wetgever, de uitvoerder en de rechter, maar inmiddels ook onafhankelijke toezichthouders. Ik vind dat heel goed van Europa. Het Europees Parlement zegt daarmee heel duidelijk: de gevaren van de digitale wereld zijn zó groot en het kan zoveel discriminatie opleveren. Er kunnen verkiezingen mee worden gemanipuleerd ...
De bescherming die je daartegen nodig hebt moet je niet overlaten aan ministers of aan inspecties. Die laatsten werken juist onder de verantwoordelijkheid van de ministers.
Rechters werken bovendien reactief, achteraf. Nu zie je een vierde instantie ontstaan, toezichthouders, die eigen bevoegdheden krijgen en ook onafhankelijk werken, maar die ook vooraf wetten kunnen toetsen."
De rechterlijke macht heeft veel waarborgen om haar eigen onafhankelijkheid te bewaren. Hoe zit dat met toezichthouders?
De rechterlijke macht heeft veel waarborgen om haar eigen onafhankelijkheid te bewaren. Hoe zit dat met toezichthouders?"De onafhankelijkheid van toezichthouders staat op meerdere manieren vastgelegd, bijvoorbeeld in het Europees Handvest. Daar staat letterlijk in dat toezichthouders in Europa onafhankelijk moeten zijn."
Er is natuurlijk een verschil tussen de papieren wet en de werkelijkheid. Zoals we al jaren zien, bepaalt jullie budget de effectiviteit. En jullie budget is een politieke beslissing.
Er is natuurlijk een verschil tussen de papieren wet en de werkelijkheid. Zoals we al jaren zien, bepaalt jullie budget de effectiviteit. En jullie budget is een politieke beslissing."Dat raakt onze effectiviteit, niet onze onafhankelijkheid. Vorige week sprak ik in Brussel met een Eurocommissaris die erkende dat veel toezichthouders in Europa onderbezet waren. Dat speelt op meer plekken. In de AVG staat ook dat lidstaten hun toezichthouders voldoende budget moeten geven. In theorie kunnen we dus tegen de Nederlandse staat procederen om dat af te dwingen. Dat doen we niet, want dat is een lange procedure."
Voorbeeld voor andere wetgevingIn een van onze eerdere interviews heeft u uitgelegd hoe de AVG 'technologieneutraal' is geschreven. Dat betekent dat veel begrippen niet specifiek worden uitgelegd, omdat ze dan al snel achterhaald raken en de wet niet meer actueel is. Nu zien we veel andere Europese wetten, zoals de DMA, de DSA, de AI-verordening, die allemaal ook zo neutraal zijn beschreven. Is dat toe te schrijven aan het succes van de AVG?
In een van onze eerdere interviews heeft u uitgelegd hoe de AVG 'technologieneutraal' is geschreven. Dat betekent dat veel begrippen niet specifiek worden uitgelegd, omdat ze dan al snel achterhaald raken en de wet niet meer actueel is. Nu zien we veel andere Europese wetten, zoals de DMA, de DSA, de AI-verordening, die allemaal ook zo neutraal zijn beschreven. Is dat toe te schrijven aan het succes van de AVG?"Zeker. De AVG is een voorbeeld voor andere wetgeving. Niet alleen op dat vlak, trouwens. In veel andere wetten staat bijvoorbeeld vaak een zin als: 'De AVG mag hierdoor niet worden aangetast'. In de AI-verordening wordt de AVG volgens mij wel dertig keer genoemd. De wet heeft ook invloed op andere delen van de wereld, zoals in Amerika of Japan. Bedrijven passen hun gedrag niet alleen in Europa, maar ook daar aan."
U noemde toezichthouders net al een nieuwe macht. Critici zeggen wel eens dat die open normen de toezichthouder juist wel erg veel macht geven. Neem bijvoorbeeld de langlopende discussie over wat een 'gerechtvaardigd belang' is, waar jullie een strenge definitie aan gaven. Is dat niet juist te veel macht?
U noemde toezichthouders net al een nieuwe macht. Critici zeggen wel eens dat die open normen de toezichthouder juist wel erg veel macht geven. Neem bijvoorbeeld de langlopende discussie over wat een 'gerechtvaardigd belang' is, waar jullie een strenge definitie aan gaven. Is dat niet juist te veel macht?Onder de AVG bestaan er zes 'grondslagen' op basis waarvan bedrijven of overheden data mogen verwerken. Als een bedrijf gegevens wil verzamelen of gebruiken, moet het voldoen aan een van die eisen.
Dat kan bijvoorbeeld een wettelijke verplichting zijn, maar er is ook het 'gerechtvaardigd belang'. Dat is een soort jokercategorie: een verwerker moet dan zelf uitleggen waarom die het 'rechtvaardig' vindt om gegevens te verzamelen. Maar wát dan precies rechtvaardig is, is heel moeilijk.
De meeste juristen dachten bijvoorbeeld dat direct marketing een gerechtvaardigd belang kon zijn, totdat de AP daar een boete voor uitdeelde. Tweakers schreef eerder al een achtergrondartikel over hoe verbaasd juristen daarover waren.
"Nee, het geeft ons juist verplichtingen. De Europese Unie heeft toezichthouders juist in het leven geroepen om grondrechten te waarborgen en burgers te beschermen. Nu gebeurt dat ook weer met de AI-verordening, juist omdát privacyschending zo invasief is. Wij maken het beleid niet, we passen alleen de wet toe. En ja, daar zitten open definities in. Wie het daar niet mee eens is, kan altijd naar de rechter stappen."
Tot slot, terugkijkend op de afgelopen tien jaar, waar bent u het meest trots op?
Tot slot, terugkijkend op de afgelopen tien jaar, waar bent u het meest trots op?"Trots vind ik ongemakkelijk. De Autoriteit Persoonsgegevens staat nu echt als organisatie, en de AVG is goed geïmplementeerd in Nederland. We werken ook beter samen met andere toezichthouders en treden inmiddels meer naar buiten. Het belangrijkste is dat we niet meer ter discussie worden gesteld en dat het belang van gegevensbescherming duidelijk is."
En wat had u beter kunnen of moeten doen?
En wat had u beter kunnen of moeten doen?"Poeh ... Ik heb vaak gehoord dat we vaker en meer boetes hadden moeten uitdelen. Dat is terechte kritiek. Maar heel flauw, en heel plat: dat ligt vooral aan ons budget. We willen heel graag meer naar buiten treden, meer voorlichting geven en meer datalekken bekijken, maar ja ..."
Wolfsen is nu 66 jaar. Hij gaat nog niet met pensioen, zegt hij. "Eerst nog wat klussen afmaken hier en daar. En meer fietsen."
In augustus begint zijn opvolger, Geert Potjewijd. Zijn aanstelling is controversieel. In het verleden werkte Potjewijd als advocaat in het privacyrecht, maar hij stond juist aan de kant van bedrijven zoals Meta en Uber. Dit zijn bedrijven die berucht zijn om hun privacyschendingen. Sterker nog, Uber kreeg juist ooit een van de hoogste AVG-boetes ooit van uitgerekend de AP.
Voor mij was het de laatste keer dat ik Aleid Wolfsen sprak, in ieder geval in zijn rol als AP-voorzitter. Tien jaar AVG, tien jaar AP, tien jaar Wolfsen en acht interviews later is er een nieuwe voorzitter. Hij zal ongetwijfeld zijn eigen accenten leggen bij de Nederlandse privacywaakhond. De nieuwe voorzitter gaat zich eerst inwerken en niet direct na zijn aantreden al interviews geven, zegt de AP-woordvoerder. Wellicht mag ik eind van het jaar met hem om tafel. Dan kan ik tot 2036 door met vragen stellen.
Wat geeft u uw opvolger nog mee?
Wat geeft u uw opvolger nog mee?"Hij komt echt weer in een overgangsfase terecht. De AP 3.0 verandert door de AI-verordening in de AP 4.0. Hij komt in een mooie organisatie, maar er is ook nog veel werk aan de winkel. Hij staat voor grote opgaven."
Redactie: Tijs Hofmans • Eindredactie: Monique van den Boomen
Source: Tweakers.net