Niet voor het eerst en zeker niet voor het laatst zorgde een kwetsbaarheid in software voor de massale uitval van websites en diensten. Mede door AI zijn incidenten, zoals het PHP incident, geen uitzondering meer en leiden ze tot nog meer datalekken. De bestrijding daarvan is daarmee urgenter dan ooit geworden. De eerste natuurlijke reflex van organisaties is om extern terughoudend te informeren over zo'n incident. Maar bij ernstige datalekken moet juist de waarheid snel boven tafel komen, zodat ook de toezichthouder kan ingrijpen. Wie een datalekmelding doet bij de AP mag verwachten dat de uiterst gevoelige informatie over het incident daar vertrouwelijk blijft. Die cruciale garantie kan de AP echter niet geven. Het ontbreken van een expliciete uitzondering op de Wet open overheid (Woo) brengt de AP in een lastig parket. Organisaties kunnen om die reden besluiten terughoudend te zijn in de informatie die zij delen met de AP, waardoor de AP op haar beurt geen effectief toezicht kan uitoefenen. Dit komt de aanpak van cyberincidenten niet ten goede. Daarom moet de wetgever met een quick fix komen: de AP moet, net als de ACM, een wettelijk schild tegen Woo-verzoeken krijgen.
Effectief toezicht op datalekken staat op het spel
Wie een datalek meldt bij de Autoriteit Persoonsgegevens, moet erop kunnen vertrouwen dat gevoelige informatie niet op straat belandt. Toch is die vertrouwelijkheid niet gegarandeerd: ook toezichtsinformatie valt onder de Wet open overheid. Dat kan organisaties terughoudend maken en het toezicht ondermijnen, waarschuwen twee advocaten. Zij pleiten voor een wetswijziging die vertrouwelijke informatie bij de privacytoezichthouder beter beschermt.
De rechtbank oordeelde dat de AP voor elk document, zelfs op alineaniveau, alsnog zou moeten motiveren waarom zij niet tot openbaarmaking daarvan zou hoeven over te gaan
Kwetsbare positie van de AP
De benarde positie van de AP ten opzichte van de Woo is op scherp gezet door een recente uitspraak en een wetswijziging rondom de openbaarmaking van de sanctiebesluiten van de AP. Ook het op 30 oktober 2026 gepubliceerde handhavingsbeleid van de AP lost het probleem niet op. Daarbij komt dat de AP sinds 1 september 2026 haar boetes openbaar moet maken. Voor deze openbaarmakingsplicht heeft de privacywaakhond lang gepleit. Maar al te vaak stapten beboete bedrijven naar de rechter om publicatie tegen te houden, waardoor er veelal niets over de handhaving naar buiten kwam, terwijl transparantie juist andere organisaties helpt om betere maatregelen te treffen. De onderliggende gevoelige informatie die de AP gebruikt om tot handhaving over te gaan, zoals informatie over aangetaste systemen of hoe de aanvaller heeft kunnen binnendringen, zou echter niet door een Woo-verzoek in de openbaarheid moeten kunnen komen. Een uitspraak van 1 juli 2026 van rechtbank Amsterdam legde deze weeffout in de wetgeving pijnlijk bloot.
Vertrouwelijke toezichtsinformatie in gevaar
In de betreffende zaak vroeg een partij bij de AP op grond van de Woo toegang tot alle vertrouwelijke toezichtsdocumenten uit een groot datalekonderzoek. De AP weigerde dit terecht, omdat de effectiviteit van haar toezicht anders ernstig zou worden ondermijnd. De rechtbank gaf de verzoeker daarentegen gelijk en oordeelde dat de AP in een nieuw besluit voor elk document, zelfs op alineaniveau, alsnog zou moeten motiveren waarom zij niet tot openbaarmaking daarvan zou hoeven over te gaan. Dat is gebruikelijk bij reguliere Woo-besluiten, maar niet passend voor vertrouwelijke informatie die met een toezichthouder is gedeeld in het kader van een onderzoek. Uiteindelijk was het door de AP ingestelde hoger beroep niet meer nodig, omdat de verzoeker zijn bezwaar had ingetrokken. Dat doet echter niets af aan de uitspraak. Een wettelijke reparatie is daarom nu dringend nodig. De AP heeft intussen bij het ministerie van Justitie en Veiligheid aangeklopt voor deze wetswijziging, maar er lijkt geen haast te worden gemaakt.
Extra belasting voor de toezichthouder
Elke dag loopt de AP het risico op een nieuw Woo-verzoek, terwijl de druk bij de AP al erg hoog is. Het afhandelen van Woo-verzoeken kost veel capaciteit. De tijd die de AP moet besteden aan elk Woo-verzoek, gaat daarom onvermijdelijk ten koste van haar kerntaak, waardoor het toezicht door de AP nog meer in de knel komt.
Zolang de wetgever niet dezelfde bescherming aan de AP biedt, neemt anders het risico toe dat bedrijven nog strategischer gaan nadenken over wat zij delen met de AP
ACM heeft wel de mogelijkheid tot geheimhouding
Anders dan de AP kent de ACM dit probleem niet. Voor de ACM bestaat een expliciete uitzondering op de Woo. Dit uitgangspunt moet de wetgever ook voor de AP toepassen. Zolang de wetgever niet dezelfde bescherming aan de AP biedt, neemt anders het risico toe dat bedrijven nog strategischer gaan nadenken over wat zij zullen delen met de AP. Wanneer de AP daardoor niet alle noodzakelijke informatie verkrijgt, kan zij minder effectief optreden. Dat zal onherroepelijk ten koste gaan van de kwaliteit van haar optreden, en daarmee ook de bestrijding van incidenten en schendingen. Een vicieuze cirkel die alleen met een wetswijziging doorbroken kan worden. Het is cruciaal dat de wetgever dit voortvarend oppakt, in het belang van de algehele digitale veiligheid van onze samenleving.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.