De interne oorlog die de privacywaakhond verlamt

De Gegevensbeschermingsautoriteit (GBA), de opvolger van de vroegere Privacycommissie, ligt onder vuur. De Europese Commissie heeft deze week de eerste stappen gezet in een procedure die zou kunnen eindigen voor het Europees Hof van Justitie. De reden: de GBA zou niet onafhankelijk genoeg zijn, omdat enkele zittende leden met mogelijke belangenconflicten zitten.

Niet alleen Europa wil duidelijkheid, ook in het federaal parlement is de GBA een zorgenkind. Volgende week vindt een speciale zitting plaats waarbij de Kamer zich buigt over een audit van de GBA en een aantal juridische adviezen.

In beide gevallen wordt vooral Frank Robben geviseerd. Hij is administrateur-generaal van de Kruispuntbank van de Sociale Zekerheid en van het eHealth-platform. Maar behalve topambtenaar is hij als gedelegeerd bestuurder van Smals ook de belangrijkste IT-leverancier voor de overheid. Daardoor is hij volgens de Europese Commissie niet onafhankelijk genoeg om in de GBA te zetelen.

Europese procedure

De onderzoeken die gestart werden in de Kamer zijn de uitloper van een interne oorlog binnen de GBA die al woedt van kort na de oprichting in 2019. Op papier staat de Europese procedure daar los van: die werd gestart na twee anonieme klachten vorig jaar. Maar intern maken weinigen zich illusies over waar ze vandaan komen. De klachten komen namelijk nagenoeg volledig overeen met de klachten die twee directeurs van de GBA – Alexandra Jaspar en Charlotte Dereppe – eerder overmaakten aan de Kamer, die bevoegd is voor de controle op de instelling.

Jaspar en Dereppe zijn twee van de vijf directeurs bij de privacywaakhond. Jaspar staat aan het hoofd van het Kenniscentrum, waar onder meer Robben in zetelt. Die afdeling geeft advies over de verwerking van persoonsgegevens. Dereppe leidt de Eerstelijnsdienst.

Dereppe en Jaspar vormen samen een as in het intern conflict. Ze staan daarbij lijnrecht tegenover de voorzitter van de instelling, David Stevens. Een van de redenen is dat er geen consensus is over wie de baas is. De voorzitter van de toenmalige Privacycommissie, Willem Debeuckelaere, waarschuwde daar al voor bij de oprichting van de GBA: de nieuwe structuur is de beste manier om vechtend over straat te rollen. Officieel vormen de vijf directeurs samen het directiecomité en is een van hen – David Stevens – voorzitter van de hele GBA. Maar sommige directeurs vinden dat iedere afdeling onafhankelijk moet kunnen zijn, en dat iedere directeur mag doen en zeggen wat hij of zij wil. Ook als dat betekent dat ze elkaar vierkant tegenspreken.

Dat is steeds vaker het geval. Meerdere Kamerleden vroegen zich de voorbije maanden luidop af wat ze nog moeten aanvangen met de adviezen van de GBA. Uitgerekend op een moment dat de GBA broodnodig was. Het beheer van de pandemie leverde erg moeilijke vraagstukken op over privacy en het delen van medische gegevens, zoals testresultaten en quarantaineverplichtingen.

Contacttracing

Toen een databank opgericht moest worden voor de contacttracing, werd die in een advies van het Kenniscentrum helemaal afgebrand. De databank was illegaal, zo concludeerde de tekst die ondertekend was door Jaspar. Toen deze krant voor commentaar belde naar directeur David Stevens, was het antwoord evenwel dat die tekst wat te scherp geschreven was. Het ging volgens hem wel om een verregaande ingreep in de privacy, maar “zolang het tijdelijk en uitzonderlijk is, kan ik er nog enig begrip voor opbrengen dat het voor een keer zo gaat. Hier is immers ook het recht op gezondheid in het spel”.

Ook bij de parlementaire hoorzittingen over de pandemiewet was de tweespalt overduidelijk, zegt een Kamerlid. “David Stevens zat fysiek in de vergadering, Alexandra Jaspar sprak via Zoom. Terwijl Jaspar toelichting gaf, zat Stevens de hele tijd met zijn hoofd te schudden. Op de duur wordt het wel problematisch dat zij het zo oneens zijn.”

Strikt vs. pragmatisch

Achter die onenigheid schuilt een fundamenteel debat over privacy en hoe persoonlijke gegevens gebruikt kunnen worden. Jaspar en Dereppe behoren tot een erg strikte stroming waarbij persoonlijke gegevens zowat volledig afgeschermd moeten worden. Iedere toegift is dan een inbreuk op de privacy. Of zoals één kritische ingewijde het omschrijft: “Niks mag, en de wereld gaat naar de kloten.”

Stevens en Robben, maar ook de vroegere baas Willem Debeuckelaere, zijn van een pragmatischer strekking. De overheid heeft veel data over ons – kunnen we die data niet ten goede gebruiken zonder de privacy wezenlijk te schenden? Niet elk gebruik van gevoelige data is voor hen ook echt een aanval op de privacy. Het hangt er maar van af wat je er precies mee doet.

Er is meer dat de GBA plaagt dan enkel een juridische discussie. Het conflict werd het voorbije jaar erg persoonlijk, waarbij Jaspar en Dereppe de Kamer talloze brieven stuurden waarin ze hun grieven uit de doeken deden. Robben wordt in een van zulke brieven omschreven als iemand die helemaal niet geeft om privacy en wiens voorstellen ervoor zouden zorgen dat “ons land zou verworden tot een rechteloze staat”.

Vete

Volgens Jaspar leidt de situatie ertoe dat het Kenniscentrum van de GBA adviezen aflevert die nooit afgeleverd zouden mogen worden, ingaan tegen de wet en “indruisen tegen de principes van de bescherming van persoonsgegevens.” Nochtans is net die bescherming van persoonsgegevens een essentiële taak van de GBA.

Volgens ingewijden is het vooral Dereppe die hoegenaamd niet met Robben door één deur kan. Vanwaar die vete? Het antwoord hangt af van wie je de vraag stelt en gaat van politieke discussies, gefnuikte ambities, wantrouwen over de vele petjes van Frank Robben.

Ook tussen Stevens en Dereppe botert het al lang niet meer. Hoe dat komt? “Volgens mij komt dat door de discussies over haar vete met Frank Robben. Er is bij mijn weten niet echt een andere discussie”, zegt Stevens. “In het begin konden wij wel goed samenwerken. Maar die vete tussen hen dateert al van voor wij allemaal benoemd zijn bij de GBA, en het is blijven duren. Dat is precies wat ik Charlotte (Dereppe, SK) verwijt.”

Intimidatiepogingen

Net als Robben wordt Stevens in de brieven van Dereppe en Jaspar aan het parlement flink op de korrel genomen. In een brief op 26 januari verweten ze Stevens onder meer een “verfoeilijke mix van vergelding en provocatie”, “onophoudelijke intimidatiepogingen”, en “pogingen tot destabilisatie en bashing”. De opvallendste klacht ging over de dienstwagen van Stevens – een klacht die het Rekenhof uiteindelijk verticaal klasseerde.

Stevens reageerde in een eigen brief dat de twee directeurs het parlement “wetens en willens foutieve informatie verschaffen”.

Het conflict liep zo hoog op dat een bemiddelaar aangesteld werd. Maar die bemiddeling mislukte, zo stelden de twee overige directeurs – Peter Van den Eynde en Hielke Hijmans – vast in een interne brief die dateert van september. Helemaal aan het eind staat te lezen: “Zie deze brief als een noodkreet van directeuren die enthousiast verder vooruit willen.”

Tandeloos

Buiten de instelling wordt vastgesteld dat de GBA door de interne conflicten tandeloos is. Een hoge politieke bron: “Ik denk dat ze op dit moment veel te veel intern gehakketak hebben om goed te functioneren. Er gaat veel te veel energie op aan interne discussies.” Elke dag worden er meer en meer digitale data over ons verzameld en verspreid. Maar net de instelling die in ons land moet waken over onze gegevensbescherming en privacy, wordt in beslag genomen door onderlinge ruzies. 

Voorzitter David Stevens beseft dat die situatie niet kan blijven duren. “Mijn voorganger heeft gewaarschuwd dat het met deze structuur alleen maar miserie kon worden. We hebben het nog twee jaar gerekt, dan vind ik dat we het nog niet zo slecht gedaan hebben”, zegt Stevens.  “We moeten met één stem spreken. Als we dat niet doen, ondergraven we enkel de effectiviteit van ons werk. Hoe lang moet dit allemaal nog duren? Hoe kapot moet de GBA gaan voor er opgetreden wordt?”

Alexandra Jaspar en Charlotte Dereppe wilden geen commentaar kwijt.