Informatiebeveiliging bij de overheid

De voorzitter:

Goedemorgen. Ik open de vergadering van de vaste commissie voor Digitale Zaken. Vandaag spreken we over informatiebeveiliging bij de overheid. Ik heet de staatssecretaris Digitalisering, Alexandra van Huffelen, welkom. Ik heet de Kamerleden die aanwezig zijn ook welkom. Dat zijn mevrouw Van Weerdenburg van de PVV, de heer Rahimi van de VVD, mevrouw Bouchallikh van GroenLinks en de heer Slootweg van het CDA. Ik voer zelf aan het eind ook nog het woord. We spreken vier minuten spreektijd en twee setjes interrupties van twee af. Ik geef het woord aan mevrouw Van Weerdenburg.

Mevrouw Van Weerdenburg (PVV):

Dank u wel, voorzitter. Vandaag spreek ik weer mede namens BVNL.

Ik ga proberen om er geen rommeltje van te maken, maar eerlijk gezegd heb ik wel moeite gehad met de voorbereiding van dit debat. Er staan namelijk veel stukken op de agenda, die ook allemaal belangrijk zijn. We zitten al een tijdje met een DPIA en HRIA over Facebook. We hebben die lang voor ons uitgeschoven. Vandaag staan die eindelijk op de agenda. Eerlijk gezegd vond ik het sowieso moeilijk om me in vier minuten toe te spitsen op de punten waarover ik vragen heb bij een best belangrijk Engels stuk van zo'n 160 pagina's met hele taaie kost. Dat stuk is juridisch-technisch namelijk best ingewikkeld.

Toen bedacht ik dat de reden dat het indertijd in het Engels naar de Kamer is gestuurd, was omdat de staatssecretaris heeft gezegd dat ze dat dan direct kon delen met haar Europese collega's. Daar nam ik al een beetje aanstoot aan. Er werd ons echter een vertaling toegezegd, dus ik dacht: oké. Vervolgens hebben we drie maanden gewacht. In februari kwam eindelijk de vertaling.

Tot mijn verbazing zag ik van de week pas dat het geen vertaling van die 160 pagina's is, maar een Nederlandse samenvatting in jip-en-janneketaal van 9 pagina's. De redenering om dat in begrijpelijke taal, in jip-en-janneketaal, te doen, is omdat de staatssecretaris het belangrijk vindt dat de inhoud van het document begrijpelijk is voor een breed publiek. Dat vind ik natuurlijk heel goed. Dat zouden ze vaker moeten doen met Kamerbrieven. Alleen, het probleem is nu dat wij als Kamer over een best wel inhoudelijk stuk … Dat stuk is belangrijk, omdat de beslissing die hieraan hangt, best wel grote gevolgen kan hebben. We hebben het er namelijk over of de Facebookpagina's van de overheid wel of niet blijven bestaan. De overheid bereikt daar namelijk 5,5 miljoen Nederlandse burgers mee. Ik vind dat dus nogal wat.

We hebben natuurlijk al eerder tegen de staatssecretaris gezegd dat we hier eerst over willen spreken voordat er besluiten over worden genomen. Nu spreken we erover, maar eigenlijk vind ik niet dat wij een stuk hebben gekregen op basis waarvan wij als Kamer een gesprek kunnen voeren met deze bewindspersoon. De Engelse versie van het stuk is namelijk voor de Europese collega's. Vervolgens is de Nederlandse samenvatting — ik weiger dit een vertaling te noemen — voor het publiek. Dat is op zich goed. Maar de Kamer dan? Wat moeten wij dan?

Natuurlijk, ik heb het Engelse stuk wel gelezen. Nogmaals, ik vond het heel moeilijk om daardoorheen te komen. Maar goed, dat is nou eenmaal het karakter van dat soort stukken. Maar om dit goed te kunnen bespreken … Ik heb er echt moeite mee om dat stuk te vertalen in een spreektekst waar ik maar vier minuten voor heb. Ik heb daar gewoon heel veel vragen over. Die kan ik niet allemaal stellen.

Eén. Is de staatssecretaris bereid om een volledige vertaling van het Facebook-DPIA naar de Kamer te sturen? Kan zij dat toezeggen? Ik hecht daar namelijk echt aan. Ik kijk de collega's even aan. Daar moeten we gewoon echt op staan als Kamer. Wil de staatssecretaris dat dus alsnog doen? Dan kunnen we daar op een later moment ook nog inhoudelijk over spreken.

Verder wil ik graag van haar weten hoe de onderhandelingen met Meta gaan. Ze zijn namelijk in gesprek. Hoe staat het ermee? Naar mijn weten zou er in het eerste kwartaal van dit jaar een besluit genomen worden of zouden daar uitkomsten van zijn. Ik heb echter nog niets gezien. Ik hoorde via via dat de staatssecretaris in januari op de radio heeft gezegd dat het pas eind dit jaar wordt. Graag had ik daar ook eventjes wat over gehoord. Ik wil daar dus graag even duidelijkheid over.

Voorzitter, ik rond af. Wie heeft de Nederlandse samenvatting gemaakt? Uit de beslisnota blijkt namelijk dat de opstellers van het rapport ook de samenvatting hebben gemaakt. Dat hebben zij gedaan aan de hand van openbare informatie. Dat begrijp ik ook niet helemaal.

Tot zover, voorzitter.

De heer Rahimi (VVD):

Dank u wel, voorzitter. Allereerst felicitaties aan mevrouw Leijten. Zij is namelijk politicus van het jaar. Ik vind het toch mooi om dat even te benoemen. Ik hoop dat dit niet van mijn tijd af gaat.

Voorzitter. Geen vrijheid zonder veiligheid, zowel fysiek als thuis. Daar staat de VVD wat mij betreft ook voor. Als er ingebroken wordt, dan weet je wat er gestolen wordt. Dat gebeurt echter ook digitaal. Je weet niet wat er digitaal gestolen wordt. Wat je thuis hebt, dat is van jou. Wat wij hier hebben van burgers en ondernemers is van hen. Beveiliging van IT-systemen is dus superbelangrijk.

Voorzitter. In de brief van 29 september 2022 is toegezegd dat informatiebeveiliging bij de overheid een wettelijke status krijgt. Wat is de stand van zaken? Komt daar aparte wetgeving voor of gaan we wetgeving aanpassen? Zo ja, welke? Op pagina 2 staat ook iets anders. Daar heb ik een vrij technische vraag over, dus ik hoop dat ik daar antwoord op kan krijgen. Er staat: "Daardoor komt de focus meer te liggen op feitelijk beveiligen in plaats van administratief beveiligen." Kan de staatssecretaris dit specificeren? Kan zij toelichten wat daarmee bedoeld wordt met betrekking tot de BIO? Is de staatssecretaris voornemens om ook te kijken naar concrete richtlijnen vanuit de VS? Is zij voornemens om die in ogenschouw te nemen? Daarmee bedoel ik bijvoorbeeld de zerotrustpolicy op apps, netwerk en al die onderdelen.

Voorzitter. Daarnaast hebben we de hack bij ID-ware, waarbij de gegevens van de rijkspassen van Kamerleden en ambtenaren van de Eerste en de Tweede Kamer op straat lagen. De getroffenen zijn bericht via een brief. Er zijn verschillende maatregelen genomen. Wij vroegen ons wel af aan de hand waarvan is bepaald dat alles goed geregeld is en dat de veiligheid van de getroffenen geborgd wordt. ID-ware geeft ook aan dat zij maatregelen hebben genomen en dat zij gaan monitoren om herhaling te voorkomen. Wij zijn benieuwd welke maatregelen zijn genomen. Daar zien wij namelijk niet veel over staan. Ik vind dat belangrijk. Fouten maken kan. Dat hebben we natuurlijk liever niet, maar je leert er wel van. Andere ministeries en andere overheidsinstanties kunnen daar ook van leren, zodat ze fouten kunnen voorkomen. Dat zijn momenten om dingen te leren. Dan worden daar in ieder geval geen fouten meer gemaakt.

Voorzitter. Dan DigiD. Dat is zeker belangrijk bij het vorige agendapunt. De kwetsbaarheid van overheidssystemen is zeer cruciaal. De technische en organisatorische fouten op authenticatie en autorisatie in DigiNotar — ik weet niet of jullie dat nog allemaal kennen — waren best heftig. Hoe stellen we met een hoge mate van zekerheid vast dat de DigiD-app voor 99,9% veilig is?

Voorzitter. De broncode van de DigiD-app is na een Woo-verzoek openbaargemaakt. DigiD moet voor iedereen veilig zijn, vinden wij. Hoe is dat gewaarborgd? Enkele fragmenten van die broncode kunnen echt een beveiligingsrisico hebben. Er moet een continuïteit zijn op het gebied van de veiligheid daarvan. Het moet blijven werken. Denk daarbij ook aan informatie over infrastructuur en waar de app op draait. Dat is best een risico voor hackers. Hoe gaat de overheid om met dit soort Woo-verzoeken? Dat geldt ook voor andere applicaties. Wat mij betreft is het: Woo tot hier en niet verder. Niet alles hoeft altijd openbaar.

Ik ga wat dingen overslaan, voorzitter. Dat is het nadeel van een IT'er.

De heer Rahimi (VVD):

Ik maak me als IT'er zorgen om het volgende. We willen alles openbaar hebben. Dat lijkt soms goed, maar soms kan het ook best dingen prijsgeven over de infrastructuur die wij hebben, de codes die wij gebruiken en de parameters die worden doorgestuurd. Daar kan een hacker best wel wat mee. Daar kan een regering ook best wel wat mee. Daar maak ik me gewoon zorgen om. Ik vind dat openbaarheid goed is. We moeten wel echt naar het volgende kijken. De broncode van de DigiD-app is gepubliceerd op GitHub. Daar kan iedereen bij. Daar zitten letterlijk fragmenten bij waarop "security" staat. Dat kan ervoor zorgen dat sommige dingen eruit worden gehaald. Iemand kan dan iets bouwen. Denk even aan de websites met phishing. Dan staat er: log in op Mijn ING. Als jij die code hebt, dan kan jij als programmeur dingen ontwikkelen. Als je net iets te veel info hebt, kan je dingen neerleggen. Over een paar jaar hebben we dan heel veel narigheid. Daarom zei ik ook, voor de grap: Woo tot hier en niet verder. Dit soort dingen moeten we niet doen.

De heer Rahimi (VVD):

Als oud-IT'er zou ik zeggen dat het echt heel slechte software is. Ik zou die niet laten testen door mensen. Dan is je hele watervalstraat — ik verval even in oude IT-termen — niet goed geweest. Dat wil je gewoon niet. Als je fragmenten publiceert van die broncode, kun je zaken herleiden. Daarmee kan je ook dingen doen waardoor je bij privacygevoelige gegevens komt. Dat is mijn angst. Ik vind dat de software die wij maken goed moet zijn. Die moet goed getest zijn. Anders moet je die niet publiceren. Als die gepubliceerd is, dan wil ik niet uitgaan van mensen die die dan testen, waardoor we fouten ontdekken. Ik zei al dat als er thuis ingebroken wordt, je eigen spullen dan gejat worden. Het gaat hier echter om gegevens van burgers. Er moet dus gewoon geen fout in de software zitten. Deze broncode geeft heel veel informatie aan heel veel mensen en aan heel veel overheden, waarmee zij dus veel dingen kunnen doen. Dat is mijn angst.

De heer Rahimi (VVD):

Voorzitter. Omdat software continu evalueert en aan kwetsbaarheid onderhevig is, vinden we de volgende vraag ook relevant. Is de broncode onderhevig aan ons eigen responsible dislosure programme? Daar wordt in de notities niets over gezegd.

Voorzitter, als laatste. Ik heb die 160 pagina's in het Engels wél gelezen. Ik heb daar toch wel een aantal vragen over. Ik denk dat de conclusie goed is. Ik denk dat het goed is dat we in gesprek blijven. Ik vind het goed dat de Nederlandse overheid dat doet. Ik moet wel zeggen dat de Facebookpagina's niet groter zijn dan die van elke andere overheid. Mijn laatste vraag is hoe het met andere socialmediaplatforms zit. Hoe bewaken wij de oplossingen van de in 17.1 genoemde maatregel op de zeven hoge risico's?

Ik moet afronden.

De heer Rahimi (VVD):

Zeker, aangezien ik nog negen vragen had over dat punt. Ik had zelf ook nog vragen over Google en andere dingen. Ja, dat verzoek zal ik dus zeker steunen.

Mevrouw Bouchallikh (GroenLinks):

Dank, voorzitter. Deze bijdrage is mede namens de PvdA. "Het ministerie van Privacy" bestaat niet, maar ik vond het wel mooi gevonden. Met die naam werd in opdracht van het ministerie een testaccount op Facebook gemaakt om te onderzoeken wat de risico's zijn. Goed dat dit gedaan is, want de risico's zijn groot. Daar kom ik later op terug.

Eerst een ander punt over waarom privacy zo belangrijk is. De afgelopen twee weken zagen we namelijk — weliswaar niet bij de overheid maar bij bedrijven — hoe verkeerd het kan gaan als informatie en in dit geval persoonsgegevens niet goed genoeg beveiligd zijn en via een datalek op straat komen te liggen. Het is dus erg belangrijk dat bedrijven, maar zeker ook overheden, zorgen dat hun informatiebeveiliging goed op orde is.

Kan de staatssecretaris aangeven of ook overheden samenwerken met het bedrijf waarvan nu zo veel gegevens zijn gelekt? Hoe zorgen overheden dat de informatiebeveiliging op orde is bij de externe bedrijven waarmee zij samenwerken?

In het verlengde hiervan de vraag bij wie de verantwoordelijkheid precies ligt voor het waarborgen dat IT-producten voldoen aan de wet- en regelgeving en de standaarden voor informatiebeveiliging. Wat GroenLinks betreft moet die verantwoordelijkheid liggen bij de leveranciers van IT-diensten. Zij moeten actief kunnen aantonen dat hun diensten voldoen aan onze voorwaarden. Deelt de staatssecretaris dit uitgangspunt?

Voorzitter. Ik kom op social media. Er wordt al langere tijd terechte kritiek geuit op het gebruik van socialmediaplatforms zoals Facebook en TikTok. De staatssecretaris heeft ons een zogeheten Data Protection Impact Assessment en een Human Rights Impact Assessment toegestuurd die zijn uitgevoerd op het gebruik van Facebookpagina's door de overheid. Hieruit komen grote risico's naar voren en voorstellen voor maatregelen. Wat gaat de staatssecretaris precies met alle aanbevelingen doen? GroenLinks is van mening dat er stevige regulering nodig is van de digitale wereld. We moeten af van de gedachte dat de techbedrijven zichzelf kunnen reguleren. De regie moet worden teruggepakt. De EU Digital Services Act is wat ons betreft daarom ook erg belangrijk. Hiermee moeten overheden de veel te grote rol van de techplatforms inperken en onze persoonsgegevens beter beveiligen. Kan de staatssecretaris aangeven hoe het met de Digital Services Act staat? Denkt zij dat met de komst hiervan de informatiebeveiliging ook substantieel verbetert?

Tot slot op dit vlak nog één punt. Zowel social media als bijvoorbeeld clouddiensten zijn erg vaak afhankelijk van bedrijven van buiten de EU. Dit levert extra risico's op voor onze informatiebeveiliging. Ziet de staatssecretaris mogelijkheden om als Europa digitaal autonomer te worden door technische ontwikkelingen hier te stimuleren, zodat we in Europa in de toekomst ook meer voor Europese aanbieders kunnen kiezen?

Voorzitter. Ook de decentrale overheden en de uitvoeringsorganisaties bezitten veel persoonsgegevens van inwoners. Het is daarom erg belangrijk dat ook zij goede informatiebeveiliging hebben. Wij krijgen echter vanuit decentrale overheden soms bezorgde signalen dat zij onvoldoende capaciteit en middelen hebben om alles goed op orde te krijgen. Kan de staatssecretaris garanderen dat gemeenten, provincies en waterschappen voldoende middelen hebben? Of ziet zij ook knelpunten? Wat gaat zij eraan doen om hen te ondersteunen?

Verder geven de decentrale overheden zelf ook aan dat zij zich zorgen maken over de hoeveelheid nieuwe wetgeving op het gebied van digitalisering die op hen afkomt. Kan de staatssecretaris hen en ons als Kamer geruststellen dat de andere overheden de noodzakelijke acties die voortvloeien uit de wetgeving goed kunnen implementeren?

Voorzitter. Tot slot nog een vraag over het cloudbeleid. De Autoriteit Persoonsgegevens heeft afgelopen najaar een advies uitgebracht over het rijksbrede cloudbeleid. In de kabinetsreactie op dit advies schrijft de staatssecretaris dat overheden die niet tot de rijksdienst behoren, geadviseerd wordt zich aan dat beleid te houden. Maar zij zijn daartoe niet verplicht. Zou het niet logisch zijn dat de richtlijnen die we hebben opgesteld voor het gebruik van clouddiensten waaraan risico's verbonden zijn voor alle overheden gelden, en dat zij dus niet enkel als advies gelden?

Ik zie uit naar de beantwoording. Dank u wel.

De heer Slootweg (CDA):

Dank u wel, voorzitter. Ook ik wil mevrouw Leijten feliciteren met de status van politicus van het jaar. Toch blij dat je dat in zo'n commissie kunt doen waar je samen in zit; dan kun je toch proberen om die meetlat zelf ook te gaan bereiken.

Voorzitter. De overheid bezit veel informatie over ons als inwoners en die informatie heeft ze nodig, zodat we een beroep kunnen doen op onze rechten en zodat zij ons kan aanspreken op onze plichten. Ze bezit ook informatie waarmee ik kan aantonen dat ik ík ben en niet een ander. Die informatie is niet opgeslagen in ordners in een brandveilige bunker, maar op computers of in clouds. Informatie die allerlei medewerkers van de overheid, wanneer ze daartoe geautoriseerd zijn, kunnen inkijken en zo nodig verwerken. Als inwoner van dit land wil je dan zeker weten dat deze informatie veilig is. Hacks en datalekken zorgen ervoor dat er onrust ontstaat bij de bevolking.

Ik begin met datalekken. Zeker 2 miljoen Nederlandse klantgegevens blijken betrokken bij een groot Nederlandse datalek. Niet alleen private bedrijven als VodafoneZiggo zijn getroffen, maar ook publieke organisaties als de NS en de Rijksdienst voor Ondernemend Nederland. De oorzaak lijkt te liggen bij een softwareleverancier die diensten aan marktonderzoekers levert. Dat is zorgwekkend. Heeft de staatssecretaris al een eerste beeld van welke organisaties zijn getroffen? Wanneer worden de eerste bevindingen van de Autoriteit Persoonsgegevens verwacht?

Er zit een principieel vraagstuk achter, namelijk waar precies de verantwoordelijkheid van wie ligt voor de gegevens van onze inwoners. Nu wordt snel gewezen naar de marktonderzoekers, maar de getroffen Nederlanders zijn toch eerst en vooral klant van dat grote bedrijf of die grote organisatie. Is het wel verantwoord om zulke enorme hoeveelheden data te delen met of uit te besteden aan marktonderzoekbureaus? Zijn er extra waarborgen voor deze organisaties voordat zij data met onderzoekers delen en, zo nee, moeten die er niet komen?

Voorzitter. In Het Financieele Dagblad stond een prachtig artikel — het leek wel een advertorial — over hoe het kleine Nederland big tech weet te beteugelen. In een aantal sectoren onderhandelen we collectief over de inkoop van digitale diensten, wat onze positie sterker maakt. De overheid bijt haar tanden vast in de techniek met de zogeheten DPIA's. Kunnen we het collectief inkopen en onderhandelen uitbreiden naar andere sectoren, zoals de zorg?

Er klinkt ook kritiek. Daar zou enkele vragen over willen stellen. Het CDA heeft met name zorgen over de marktmacht van enkele partijen. Ondanks scherpe onderhandelingen van onderwijsorganisatie SURF zit nu bijna 95% van de Nederlandse universiteiten in de cloud van Microsoft. Is de staatssecretaris het ermee eens dat we ook hier goed moeten kijken als we big tech willen temmen? Wat kan zij leren van andere landen, zoals Duitsland en België, die op sommige punten verder zijn met het ontwikkelen van eigen digitale diensten?

Markttoezichthouder ACM waarschuwde onlangs voor het lock-ineffect: wie nu data eenmaal in de Amerikaanse cloud heeft, krijgt die er moeilijk uit. Het is dus belangrijk dat we werk maken van de eigen Europese clouddiensten. Wil de staatssecretaris voortmaken met de IPCEI-cloud? Wat is de status hiervan? Ik had het ongetwijfeld in het Engels moeten uitdrukken, maar ik dacht: anders gaat mevrouw Van Weerdenburg misschien vragen wat de Nederlandse vertaling is. Nee, het is een zeer terecht punt dat zij heeft.

De heer Slootweg (CDA):

Ik heb helemaal niet mevrouw Van Weerdenburg op deze manier ... Als het badinerend klonk, dan bied ik daarvoor mijn excuses aan, want dat is helemaal niet de bedoeling geweest. Ik vind dat u een zeer terecht punt heeft. Ik weet niet helemaal of ik het met u eens ben dat de samenvatting die is gestuurd nu alleen in jip-en-janneketaal was. Ik denk dat het op zichzelf een degelijke samenvatting was, maar ik vind wel dat wij in Nederland op het moment dat we de overheid moeten controleren ... Iedere Nederlander moet met ons kunnen meekijken en meedenken. Dus op het moment dat u verzoekt om dat te vertalen, kan ik u daar alleen maar in bijstaan.

De heer Slootweg (CDA):

Voorzitter. De eisen om in te loggen bij bijvoorbeeld Mijn Belastingdienst worden best complex. Dat heeft alles met veiligheid te maken. De staatssecretaris geeft aan dat ze zich realiseert dat de veranderingen voor veel mensen lastig zijn. Belangrijk om de mensen die dit lastig vinden te helpen, zijn de Informatiepunten Digitale Overheid, de IDO's, bij de bibliotheken. De staatssecretaris zegt: we werken aan alternatieven voor mensen die niet mee kunnen komen. Is dat eigenlijk niet de verkeerde volgorde? Door eerst de alternatieven op orde te hebben en dan het authenticatieniveau te verhogen zorg je ervoor dat je de mensen niet in de steek laat. Hoeveel mensen hebben er in 2022 eigenlijk gebruik gemaakt van IDO's? Hoeveel uur is een IDO bemenst? Zijn er rond de belastingaangifte extra mensen beschikbaar om mensen te kunnen helpen?

Dank u wel, voorzitter.

Mevrouw Leijten (SP):

Voorzitter, dank u wel. Dank ook aan deze commissie. Deze commissie heeft wel degelijk door haar bestaan en door ons samenwerken betere debatten opgeleverd over digitale zaken. Het helpt natuurlijk dat we een staatssecretaris hebben. Het helpt ook zeer zeker voor de controlefunctie van het parlement dat wij bestaan. Ik wil deze prijs dus ook deels doorgeven aan jullie. Het is natuurlijk een grote eer, maar, eerlijk is eerlijk, ik had die niet gekregen zonder deze commissie.

Waar staan we nou precies op het gebied van cyberveiligheid en de overheid? Dat zou ik eigenlijk aan de staatssecretaris willen vragen. Hoe vliegen we dit aan? Wat verstaat zij onder veiligheid? We kijken bijvoorbeeld naar de vitale sector. We kijken naar de fysieke gevolgen. Er moeten 1.000 mensen dood, gewond of chronisch ziek zijn. Ik denk dan: wauw! Als ik de impact zie van gisteren bij Voorschoten, dan denk ik: wat is dat voor een raar criterium? Er moet een criterium voor zijn, maar denkt de staatssecretaris dat dat nog van deze tijd is? Ik denk dat een hack bij een ziekenhuis en andere hacks die we de afgelopen tijd hebben gehad — mevrouw Bouchallikh had het daar al over — ook grote impact hebben gehad. Die laten zien hoezeer data met elkaar verweven zijn. Data worden doorverkocht, gedeeld of geveild. Denk aan het artikel waar de voorzitter gisteren zelf een debat over heeft aangevraagd.

We worden ons meer bewust van wat data zijn. We weten beter wat de waarde is van het delen van data. We weten ook beter wat de risico's zijn van het delen van data. Die kunnen namelijk ergens komen te liggen waar we ze niet willen hebben liggen. Waar vindt de staatssecretaris dat we staan op het gebied van veiligheid? Dat zou ik graag van haar willen horen.

Wat de SP betreft ontbreekt de fundamentele discussie over de wenselijkheid van allerlei nieuwe technologieën. Volgen wij de technologie of hebben wij bepaalde waarborgen waarbij we zeggen dat we technologie wel of niet toepassen? We hebben nu bijvoorbeeld een discussie over TikTok op telefoons. Je kunt via TikTok namelijk mogelijk bij andere documenten komen. Waarom voeren we geen debat over alle foto's en filmpjes die wij van onszelf delen, waardoor de gezichtsherkenning in de kunstmatige intelligentie beter wordt? Daardoor kunnen staten of commerciële partijen ons volgen tot waar we ook zijn. Zij weten onze behoeftes soms beter in te schatten dan wijzelf. Die discussie ontbreekt.

Natuurlijk, we hebben het nu over TikTok en China. Maar ik heb het advies van de Autoriteit Persoonsgegevens over het Rijksbreed cloudbeleid 2022 gelezen. Zij zeggen dat er risico's zijn als onze persoonsgegevens — de heer Slootweg had het er al over — gedeeld worden door de overheid en in allerlei systemen uit het cloudbeleid staan. Als ze eenmaal bij een Amerikaanse aanbieder hangen, dan krijgen we ze misschien nooit meer terug. Onze eigen Autoriteit Persoonsgegevens wijst daarop. Wat is precies de reactie van de staatssecretaris? Op 22 augustus 2022 stelt zij in de ministerraad het Rijksbreed cloudbeleid 2022 vast. Ik stel vast dat er dus geen overleg is geweest met de Autoriteit Persoonsgegevens. Er is ook geen overleg geweest met de Tweede Kamer. De Tweede Kamer kan nu de evaluatie van later dit jaar afwachten. Ik vind dat nogal wat. Dit gaat namelijk over wat de overheid doet met onze gegevens.

Je kunt opschrijven dat je een algoritme of dataminimalisatie wil, maar wat nou als die gehackt worden? Is dat vitale infrastructuur? Er zullen namelijk geen 1.000 doden vallen, om het maar even heel hard te zeggen, maar de impact daarvan kan wel gigantisch zijn. Ik zou dus graag aan de staatssecretaris willen vragen waar wij nu precies staan. Waar staat de overheid precies?

Ik wil nog een principiële vraag neerleggen. Misschien is het een beetje een rare vraag, op de dag dat ik IT-politicus van het jaar ben geworden. Moeten wij wel door met de strategie van de overheid en de politieke opvatting dat je altijd alles digitaal moet doen wat digitaal kan? Moeten we niet gewoon zeggen: nee, dat is niet de automatische weg? Dan kom je ook bij de discussie die de heer Slootweg had over zwaardere authenticatiesystemen bij de Belastingdienst. Hartstikke fijn en hartstikke prettig voor iedereen. Voor sommige mensen is het gewoon niet bij te houden. Kunnen we dit wel bijpassen met flankerend beleid? Of moeten we gewoon zeggen: het kan wel digitaal, maar dat hoeft niet? Kan dat niet het standpunt worden als men contact heeft met de overheid? Dat is misschien handig vanuit het veiligheidsperspectief.

Dank u wel, voorzitter.

Mevrouw Dekker-Abdulaziz (D66):

Dank, voorzitter. Vorige week was er elke dag van de week een nieuw datalek, zowel bij private partijen als bij publieke organisaties zoals de GGD en het Kadaster. Het digitale leven vraagt van ons als overheid dat wij onze systemen goed beveiligd hebben, want als overheid zijn wij verzot op data. Dan moet men er ook op kunnen vertrouwen dat die in goede handen zijn. Ik heb vandaag een overzichtelijke bijdrage met drie onderwerpen: ten eerste DPIA, dan de end-to-end-encryptie en ten derde de datalekken.

Voorzitter. Naar aanleiding van een goed voorbeeld bij onze oosterburen gaat de overheid een zogeheten DPIA uitvoeren naar het gebruik van Facebookpagina's door de overheid. Een data protection impact assessment is bedoeld om te beoordelen of er privacyrisico's zijn voor burgers bij de gegevensverwerking op overheidspagina's, in dit geval dus op Facebookpagina's. Het DPIA laat geen spaan heel van het privacybeleid: zeven hoge risico's en één laag risico. Facebook informeert burgers niet over wat men met de gegevens op die pagina's doet en gebruikt bijvoorbeeld cookies op een misleidende manier, aldus het rapport. Het mag geen verrassing zijn, want in Duitsland roept de data protection commissioner al sinds 2019 dat de overheid haar Facebookpagina's moet sluiten. Mijn vraag is heel simpel: hoeveel tijd wil de staatssecretaris aan Meta bieden om veranderingen door te voeren? Is zij het met D66 eens dat hier onvoldoende voortgang wordt geboekt en, zo ja, dat de overheid moet overwegen om wellicht van Facebook af te gaan?

Ten tweede, voorzitter. End-to-end-encryptie is voor D66 een groot goed. Het garandeert privacy in onze communicatie. Zo kunnen we er bijvoorbeeld zeker van zijn dat Meta — ja, daar zijn ze weer — niet mee kan lezen als wij whatsappjes sturen. Het zorgt ervoor dat cybercriminelen niet zomaar namens ons iets kunnen verzenden. De keerzijde is ook waar: berichten zijn privé, ook als de inhoud niet deugt. Nog steeds worden berichten van criminelen ontcijferd, zoals we recentelijk hebben kunnen zien met de arrestaties van criminele kopstukken. Echter, het lijkt alsof het ministerie van JenV gefixeerd blijft op het verbreken van de encryptie. Eerder was het ministerie bezig met het inbouwen van een achterdeur in de encryptie. Nu heeft het ministerie wat nieuws: client-side scanning. Dat is een beetje alsof je een pakketje voordat je het verstuurt eerst door de scanner op de luchthaven haalt. Die scanner zoekt dan naar tekenen van dingen die niet mogen, in dit geval illegale praktijken. Dat klinkt misschien mooi, maar het compromitteert onze privacy in enorme mate. Er wordt dan immers op grote schaal meegelezen in berichten. Je leest ze dus van tevoren en vervolgens zeg je dat encryptie nog steeds werkt. Maar dan heb je het al gelezen, waarmee encryptie waardeloos is geworden. Wat ons betreft is dit een slecht idee. Deelt de staatssecretaris dit? Kan zij toezeggen dat end-to-end-encryptie wat haar betreft intact blijft en er niet zoiets als client-side scanning wordt toegevoegd?

Voorzitter, ten slotte. Zoals ik zei, was het vorige week elke dag raak. De NS, Vodafone, het Kadaster, de GGD en noem maar op: overal gingen persoonsgegevens van klanten en burgers verloren. De gevolgen daarvan zijn nu nog niet te overzien. Daarom wil D66 dat hiervan werk wordt gemaakt. Wij zullen op korte termijn een plan lanceren om persoonsgegevens beter te beschermen. Dat willen wij met drie maatregelen doen. Eén: het recht om vergeten te worden. Iedereen zou bij niet noodzakelijke bedrijven of diensten moeten kunnen aangeven om vergeten te willen worden. Twee: het datadieet. Overheid en bedrijven vragen meer data dan nodig en bewaren ze langer dan nodig. Wat ons betreft komt hierover strenge wetgeving. Drie: een verbetering in cookiewetgeving. Nu klikken Jan en alleman ongezien op het opslaan van cookies. Dat is onnodig; dat kan veel beter. Kan de staatssecretaris op deze punten reflecteren?

Dank u wel.

De voorzitter:

Inderdaad. Ik ben ook verrast. Ik zie geen interrupties. Staatssecretaris, hoeveel tijd heeft u nodig?

De voorzitter:

Geen probleem. Dan schorsen we de vergadering tot 11.00 uur.

De voorzitter:

Ik geef het woord aan de staatssecretaris Digitalisering, voor de beantwoording van de vragen in eerste termijn.

Staatssecretaris Van Huffelen:

De ironie: we hadden en hebben last van een storing in ons e-mailsysteem. Ik heb geprobeerd om de vragen zo veel mogelijk te verzamelen. Er komt zo meteen nog wat aan, maar ik hoop dat ik uw vragen zo veel mogelijk kan beantwoorden.

Natuurlijk ook van mijn kant felicitaties aan mevrouw Leijten, die IT-politicus van het jaar is geworden. Van harte! Ik ben het met haar eens dat het heel fijn is dat we ook een aparte commissie hebben die hierover praat, want in de meeste gevallen levert dat interessante en goede debatten op over een onderwerp dat gelukkig steeds meer in de publieke belangstelling staat.

Vandaag gaat het over het onderwerp informatiebeveiliging bij de overheid. Dat is een zeer belangrijk thema. De kern is dat burgers en bedrijven erop moeten kunnen vertrouwen dat de overheid niet alleen zorgvuldig met gegevens omgaat, maar ook systemen en processen heeft die werken, zodat er systemen en processen beschikbaar zijn wanneer je zaken wilt doen met de overheid, dat die veilig en betrouwbaar zijn en dat je de regie kunt behouden over wat je met de overheid deelt.

Wat veiligheid betreft zijn er natuurlijk veel beren op de weg. Er zijn veel problemen. We zien digitale dreigingen van statelijke actoren en van criminelen. We zien die steeds vaker plaatsvinden, op allerlei manieren: aanvallen op onze infrastructuur, op onze programma's, pogingen om gegevens van mensen te ontfutselen. Dat is een heel zorgelijke ontwikkeling, waar ik zo meteen nog op terugkom, die ook laat zien dat het niet ophoudt. Steeds weer, iedere dag weer, is er werk aan de winkel om ervoor te zorgen dat de veiligheid verbetert. Of het nu gaat om hacking, om phishing, om aanvallen op systemen: alles moet worden aangepakt. We hebben ook gezien dat cybercrime toeneemt. Dat geldt niet alleen voor de overheid, maar ook in het algemeen. Zo'n 2,5 miljoen mensen in ons land geven aan dat zij weleens slachtoffer zijn geworden van cybercriminaliteit en ook dat is iets wat ons zorgen baart.

Vorige week hebben we met de commissie van Justitie en Veiligheid ook over dit onderwerp gesproken. Ook bij de overheid is op dit vlak veel te doen. Dat zal ook zo blijven, want als wij onszelf beter weten te beschermen, wordt er altijd weer naar nieuwe manieren gezocht — soms worden ze ook gevonden — om ons aan te vallen. De oorlog die Rusland voert tegen Oekraïne, de cyberoorlog, laat ons zien hoe hard wij die bescherming nodig hebben.

Het is goed om dat in het openbaar bestuur goed te regelen. Informatiebeveiliging is daarbij belangrijk, zoals gezegd. We moeten onze systemen en processen op orde houden. We hebben in de werkagenda Waardengedreven Digitaliseren gezegd dat versterken van cybersecurity een belangrijk onderwerp is. Dan gaat het om de combinatie van systemen, processen en gegevens. In al die vormen moeten we kijken hoe we dat doen. We werken op dit moment aan een wettelijke basis voor informatiebeveiliging van de overheid. Ik kom daar nog op terug naar aanleiding van vragen die door de heer Rahimi werden gesteld. We hebben natuurlijk ook al van alles gedaan de afgelopen tijd, bijvoorbeeld het kader opgesteld, dat Baseline Informatiebeveiliging Overheid heet. Verder oefenen we op allerlei manieren en werken we aan het veilig houden van de overheid.

Mijn ambitie is om niet alleen toe te werken naar meer inzicht in financiën rondom digitalisering, maar ook om een IT-verslag en een IT-auditverklaring te maken. Daarmee willen we bekijken hoe we ervoor kunnen zorgen dat er aandacht en tijd wordt besteed aan allerlei aspecten, waaronder zeker ook veiligheid. Jaarlijks oefenen we. Inmiddels doen al vele, vele overheidsorganisaties mee aan die oefeningen: vijf jaar geleden begonnen we met zo'n 700 deelnemers en nu zijn het er zo'n 3.000. Vorig jaar oktober hebben we geoefend en we gaan ook dit jaar weer oefenen op het gebied van cyberveiligheid en het bestrijden van cybercriminaliteit.

Daarmee wil ik de inleiding afronden. Vanuit de rijksoverheid hebben wij een stelselverantwoordelijkheid voor het openbaar bestuur en daarmee ook voor veiligheid. Ik vind het van belang dat we op basis daarvan niet alleen zorgen voor een wet, maar ook inhoudelijk blijven samenwerken. Gelukkig hebben we ook afgesproken met alle lagere overheden om samen te gaan werken aan die informatiebeveiliging en cyberveiligheid.

Ik heb op dit moment drie blokjes die ik wil aflopen. Nogmaals, er komen nog een paar vragen aan, maar ik ga proberen op basis van de vragen die u gesteld heeft, zo goed mogelijk antwoord te geven. Ik wil beginnen met het blokje informatie en beveiliging. Dan heb ik een blokje privacy en dan een blokje open source.

Het blokje over informatie en beveiliging begint met de vraag van de heer Rahimi van de VVD. Hij vroeg: wat is nou de stand van zaken rondom de voorbereiding van wetgeving op dit gebied? Komt er ook aparte wetgeving? Het antwoord daarop is dus ja. We zijn voornemens dat te doen, ook omdat alle overheden binnen de scope van de zogenaamde NIB2 moeten vallen. Dat is de wetgeving die we in Europa hebben afgesproken op dat gebied. Ik wil daarmee een versnelling maken om te verankeren dat informatieveiligheid voor de publieke sector ook wordt gerealiseerd.

Een tweede vraag op dit gebied van de heer Rahimi was of er op één plaats een algemene zorgplicht voor informatieveiligheid bij de overheid kan worden geregeld en wat ik bedoel met "daardoor". Het is de bedoeling dat die NIB2-richtlijn ervoor zorgt dat we allerlei interbestuurlijke regelgeving goed harmoniseren. We zien het dus vooral als een kans. Uiteindelijk werkt het op het punt van cyberveiligheid natuurlijk pas wanneer we het als overheden met elkaar doen en zo veel mogelijk combineren. Daar hebben we dus ook al afspraken over gemaakt met onder andere de VNG en een aantal gemeentes. We willen juist die harmonisatie gebruiken om het daarmee haalbaarder, betaalbaarder en uitvoerbaarder te maken, omdat het voor heel vele lagere overheden ingewikkeld is om het allemaal zelf te bedenken, zelf de aanbestedingen te doen en zelf te zorgen voor verbetering van de informatieveiligheid.

De heer Rahimi vroeg ook of wij van plan waren de richtlijnen rondom dit thema vanuit de Verenigde Staten in ogenschouw te nemen, zoals zero trust. Wat wij aan het doen zijn, is een nieuwe versie maken van die Baseline Informatiebeveiliging Overheid. Daarin nemen we ook die concretere richtlijnen uit de Verenigde Staten mee, zoals die veiligheidsstrategie zero trust. De bedoeling is om in 2024, dus volgend jaar, een geactualiseerde BIO beschikbaar te hebben. Dat doen we met experts vanuit binnen- en buitenland. Met die expertaanpak kunnen we garanderen dat het zo veel mogelijk aansluit op de hedendaagse praktijk, hoewel we natuurlijk ook steeds opnieuw moeten bekijken of we voldoen aan de meest recente eisen en ontwikkelingen. Daarom doen we ook deze vernieuwingsslag.

Een andere vraag van de heer Rahimi ging over ID-ware en de hack die heeft plaatsgevonden waar ook de Tweede Kamer en u als leden last van hebben gehad. De Beveiligingsautoriteit Rijk en de CISO, onze cybersecurity officer, hebben nog recent contact gehad met ID-ware. Ze hebben zich in detail laten informeren over alle maatregelen die ze hebben genomen, onder meer de continue monitoring die moet plaatsvinden om te zorgen dat het systeem niet opnieuw gehackt kan worden of dat nieuwe aanvallen in ieder geval kunnen worden afgewend. Om dit verder in de gaten te houden doet de CISO Rijk dat continu, niet alleen maar voor ID-ware, maar ook voor andere, rijksbrede voorzieningen.

Er was ook de vraag wat er nou precies gebeurd is met de gegevens rondom die hack van ID-ware. Ik geloof dat dat een vraag was van een van de andere leden, maar ik kom daar dan maar gelijk op. Het ging vooral over gegevens als foto's, namen, geboortedata, dus eigenlijk gegevens die ook wel anderszins in het publieke domein beschikbaar zijn. Het is daarmee niet minder vervelend, maar het geeft wel aan dat het bijvoorbeeld niet echt mogelijk is om de passen die er zijn na te maken of op een of andere manier onder valse voorwendselen hier in de Kamer of bij gebouwen van het Rijk binnen te komen. Maar goed, we blijven dit soort ontwikkelingen natuurlijk in de gaten te houden en proberen daar ook steeds van te leren. Dat was ook de vraag van de heer Rahimi: wat doen jullie nou om inzicht te krijgen in wat hier gebeurd is en hoe kun je ervan leren, zodat volgende aanvallen niet meer plaatsvinden of in ieder geval zo veel mogelijk worden voorkomen?

Een vraag van GroenLinks ging over …

Staatssecretaris Van Huffelen:

Ik kan op dit moment geen antwoord geven op de vraag wat zij zelf doen. Wij monitoren wel bij hen. Ik zal in de tweede termijn even terugkomen op de vraag wat zij precies aan het doen zijn.

Wat betreft de Baseline: natuurlijk zijn dat richtlijnen die we op papier zetten. Maar dat doen we natuurlijk niet om het alleen maar papier te laten zijn. We willen ze daadwerkelijk gebruiken, niet alleen bij de rijksoverheid maar ook bij de gemeentes en de provincies, om ervoor te zorgen dat we zo goed mogelijk zijn gewapend tegen aanvallen van buitenaf. Het is natuurlijk helder dat we dat steeds moeten updaten.

Staatssecretaris Van Huffelen:

Ik denk dat we het daar ook over kunnen hebben bij de wet die we aan het maken zijn. Hoe kunnen we ervoor zorgen dat we de juiste maatregelen treffen en niet iedereen denkt: hoe kom ik hier zo snel mogelijk vanaf? Want dat is natuurlijk precies datgene wat we niet willen.

Staatssecretaris Van Huffelen:

Ik kom zo meteen nog even terug op het onderwerp cookies.

Vanuit GroenLinks werd de vraag gesteld: hoe kun je ervoor zorgen dat IT-producten voldoen aan de wet- en regelgeving en aan de standaarden voor informatiebeveiliging? U zei: die verantwoordelijkheid moet vooral liggen bij de leverancier. Dat ben ik zeer met u eens. Overheden worden op allerlei manieren geholpen om de juiste eisen te stellen, maar het gaat er natuurlijk om dat de leveranciers voldoen aan de vereisten en dat er van alles wordt gedaan om ervoor te zorgen dat ze daaraan voldoen. Daar is allerlei regelgeving voor, met name op Europees niveau. De Cyber Resilience Act gaat ervoor zorgen dat leveranciers van hard- en software worden gedwongen om veilige producten te leveren. Het is heel belangrijk dat dat gebeurt.

Mevrouw Bouchallikh vroeg of wij mogelijkheden zien om als Europa digitaal autonomer te worden. Dat is zeker een heel belangrijke ontwikkeling, die meer aandacht heeft gekregen binnen de Europese Commissie naar aanleiding van de situatie die ontstaan is door de oorlog in Oekraïne. We zagen toen als Europa hoe afhankelijk we zijn, bijvoorbeeld van energieleveranties. Dat heeft ertoe geleid dat er opnieuw wordt gekeken naar dit thema. Het gaat niet alleen over autonomie wat betreft de hardware en de infrastructuur, zoals datacenters, maar ook wat betreft de software. Het is relevant om te kijken hoe we op onszelf kunnen vertrouwen als dat nodig is. Op dit moment werkt het ministerie van EZK samen met ons aan het verder uitwerken van beleid op het gebied van digitale autonomie en infrastructuur. Dat wordt naar verwachting in de tweede helft van dit jaar opgeleverd.

Mevrouw Bouchallikh vroeg of gemeenten, provincies en waterschappen voldoende middelen hebben om er daadwerkelijk voor te zorgen dat ze veilig digitaal kunnen werken. Ik kan natuurlijk niet garanderen dat dat altijd zo is, want ze hebben natuurlijk hun autonome taken en keuzes wat betreft hun bedrijfsvoering. Maar we zorgen er natuurlijk wel voor dat we medeoverheden ondersteunen met kennis en met allerlei vormen van informatie, en natuurlijk ook met het uitvoeren van grote cyberoefeningen. Het is niet onbelangrijk om te vermelden dat de minister van Justitie en Veiligheid en ik in december een convenant hebben gesloten met de gemeentes om ervoor te zorgen dat we niet alleen kijken naar wat er inhoudelijk moet gebeuren om veilig te zijn, maar ook naar hoe we ervoor kunnen zorgen dat daarvoor voldoende kennis, kunde en middelen ter beschikking komen. Het is dus een punt waar we aandacht voor moeten hebben en houden. We kunnen niet zeggen dat er gegarandeerd altijd voldoende middelen zijn. We moeten er vooral voor zorgen dat we de goede keuzes maken, zodat de gemeenten en de provincies die veiligheid kunnen invoeren.

Staatssecretaris Van Huffelen:

Ik vind "niet mogelijk" niet een goed woord hiervoor. Ten eerste hebben we met gemeenten en provincies natuurlijk een convenant afgesloten. We doen er ook alles aan om gemeenten en provincies te laten meedoen aan datgene wat wij voor onszelf als beleid maken. Dat geldt bijvoorbeeld ook voor de recente afspraken die we gemaakt hebben voor de rijksoverheid zelf rondom het gebruik van apps uit landen met een offensief cyberprogramma. Daarbij hebben we ook aan gemeenten gevraagd om dat beleid te volgen. Wij willen hen waar dat nodig is ondersteunen met kennis, kunde, handreikingen, enzovoorts, enzovoorts. We gaan ook die wet maken. Die gaat natuurlijk ook gelden voor lagere overheden. Maar ik vind het in de komende tijd natuurlijk vooral van belang ... U vraagt: is er altijd een garantie dat alle middelen er zijn? Dat is natuurlijk te moeilijk en te breed om te beantwoorden. Maar ik ben het zeer met u eens dat we natuurlijk willen dat dit op alle niveaus in de overheid goed geregeld is, want anders kunnen problemen die in een gemeente of in een provincie ontstaan ook doorwerking hebben voor het Rijk. Wij blijven daar dus heel goed over in overleg met hen, om te zorgen dat dat wat we wensen, namelijk voldoen aan een hoog niveau van veiligheid, ook geldt voor onze medeoverheden.

Dan ...

Staatssecretaris Van Huffelen:

Ik zou ook willen zeggen dat die NIS2-richtlijn, die dus ook gaat gelden voor provincies en gemeenten, ons ook de kans biedt om de regelgeving op dit gebied veel meer te harmoniseren. Ik ben daar blij mee, want dat zou ook weer kunnen bijdragen aan ervoor zorgen dat we de haalbaarheid en de uitvoerbaarheid maar zeker ook de betaalbaarheid van die informatiebeveiliging beter op orde kunnen krijgen.

Dan de vraag van mevrouw Bouchallikh over het gebruik van clouddiensten, waaraan risico's verbonden zijn: zouden we die richtlijnen alleen voor de rijksoverheid moeten laten gelden of ook voor provincies, gemeenten en andere delen van de overheid? Wij hebben hen geadviseerd om dat te doen. We hebben daar overleg over gehad. Ik heb daarbij met hen afgesproken dat we elkaar daarvan op de hoogte houden. Uiteraard hebben de verschillende onderdelen van het Rijk zelfstandige posities, dus een gemeente kan er bijvoorbeeld voor kiezen om ervan af te wijken. Maar gegeven het feit dat wij er zelf niet alleen maar heel goed over hebben nagedacht maar ook zeer goed hebben gekeken naar wanneer wat wel of niet zou kunnen, raden wij hen vooral ook aan om te zorgen dat ze dat beleid volgen. Ik hoop natuurlijk dat de lokale gemeenteraden of Provinciale Staten daar ook goed op letten.

Staatssecretaris Van Huffelen:

Uiteindelijk zou dat dan natuurlijk moeten via bijvoorbeeld een wet. Die zou dan namelijk ook voor hen gelden. Maar op dit moment hebben we daar nog niet voor gekozen, ten eerste omdat het ook veel tijd kost om zo'n wet te maken en wij vooral alvast aan de slag wilden om duidelijk te maken onder welke zeer strikte condities het mogelijk zou moeten zijn om gebruik te maken van clouddiensten en ook van clouddiensten van leveranciers die niet in Europa gevestigd zijn. Maar ik hoop vooral — ik zie dat ook steeds meer gemeenten en provincies dat graag willen — dat we met elkaar gaan optrekken en samenwerken, juist omdat deze zorgen net zo goed bij provincies en gemeenten leven als hier. Dan doel ik op zorgen over de veiligheid, over hoe er met de gegevens wordt omgegaan en over hoe zeker men ervan is dat de beschikbaarheid groot blijft. Ik zie dus juist dat er steeds meer behoefte is om samen te werken, en om niet allemaal eigen beleid en eigen keuzes te maken maar om zo veel mogelijk te teamen. In het kader van die NIS2 werken we de komende tijd samen ook verder aan het maken van die wetgeving. We zouden daarbij ook kunnen kijken naar de veiligheid van clouddiensten.

Dan een vraag van de heer Slootweg, ook over de cloud en dan met name over het onderwijs. Hij zei: ondanks scherpe onderhandelingen van de onderwijsorganisatie SURF zit 95% van de Nederlandse universiteiten in de cloud van Microsoft. Hij vroeg of ik het ermee eens ben dat we daarnaar moeten kijken en of ik daarbij zou kunnen leren van bijvoorbeeld Duitsland en België, als landen die daarmee aan het werk zijn.

Misschien mag ik eerst even specifiek inzoomen op die onderwijsinstellingen, want universiteiten zijn natuurlijk verantwoordelijk voor hun eigen keuzes op dit gebied. Die keuzevrijheid betreft natuurlijk zowel grotere als kleinere diensten. Er is ook een risico dat de afhankelijkheid van marktpartijen te groot wordt. Dat is ook de reden waarom wijzelf zo inzetten op risicoanalyses en op het bevorderen van concurrentie. Overigens is SURF, de leverancier van vele clouddiensten voor universiteiten, daarmee aan het werk. Zij hebben ook al een mix van clouddiensten in de aanbieding. Dat zijn dus niet alleen maar Amerikaanse maar ook Nederlandse en Europese aanbieders en leveranciers. Ze hebben bovendien nog hun eigen clouddiensten. Maar goed, het is dus wel van belang om het onderwijs er steeds op te blijven wijzen dat ze goede afwegingen moeten maken bij het gebruik van clouddiensten.

Misschien is het ook goed om te weten dat wij in het kader van andere landen inderdaad in Europa hard aan het werk zijn om te kijken of wij Europese clouddiensten verder kunnen ontwikkelen. Daar lopen verschillende projecten voor. U had het zelf ook over zo'n project: de IPCEI CIS. Dat is de Important Project of Common European Interest Cloud Infrastructure and Services, om dat nog maar eens in goed Nederlands toe te lichten. De bedoeling is dat we in het tweede kwartaal van dit jaar horen welke projecten op basis hiervan kunnen worden gehonoreerd en van start zullen gaan. Binnen dat programma is het idee namelijk dat er verschillende Europese clouddiensten worden ontwikkeld. De minister van Economische Zaken en Klimaat gaat u daar ook verder over informeren. Er zijn natuurlijk ook andere ontwikkelingen, met name wetgeving gericht op de cloud, om ervoor te zorgen dat er een goed en volwaardig Europees aanbod komt in die cloudmarkt, want dit is zeker een onderwerp waar we in Europa in brede zin maar ook in Nederland graag aan willen werken om daarmee te voorkomen dat je op basis van relatief weinig concurrentie bijna automatisch terechtkomt bij clouddiensten van Amerikaanse leveranciers.

Dan een vraag van mevrouw Leijten op dat gebied, namelijk of er risico's zijn voor het delen of het niet goed omgaan met persoonsgegevens. Ze zei: als je ze aan een Amerikaanse aanbieder aanbiedt, krijg je ze misschien niet meer terug. Dit gaat ook over het cloudbeleid dat we hebben afgesproken. Wij hebben samen met de andere departementen dat cloudbeleid ontwikkeld. Ik heb er ook een gesprek over gevoerd met de Autoriteit Persoonsgegevens. U heeft hier op 20 oktober ook een technische briefing over gehad. Er is ook nog schriftelijk overleg over geweest. Ik denk dat het van belang is dat wij risico's zien bij cloudgebruik. Dat maakt ook dat we in het beleid dat we hebben geformuleerd, hebben gezegd dat het ongelofelijk belangrijk is dat wanneer je ervoor kiest om iets in de cloud te zetten en gebruik te maken van een zogenaamde private cloud, dus clouddiensten van bedrijven die dat leveren, je dan ook hele goede keuzes maakt. Sommige van die persoonsgegevens of bijzonder gevoelige gegevens kunnen dus niet zomaar worden geplaatst in een cloud en al helemaal niet in een cloud buiten de zogenaamde economische ruimte. Dat is ook precies in lijn met wat de European Data Protection Board wil.

Dan is er de vraag van mevrouw …

Staatssecretaris Van Huffelen:

Het is natuurlijk ontzettend belangrijk dat we hebben gezegd dat we cloudbeleid maken. We vinden het belangrijk om goed te omschrijven hoe wij als overheid op een veilige manier gebruik kunnen maken van clouddiensten, zowel clouddiensten binnen de Europese ruimte als clouddiensten van bedrijven die met name in de Verenigde Staten zijn gevestigd. Wij vinden het juist heel erg belangrijk dat we dat beleid niet alleen maar gemáákt hebben. We hebben dat uiteraard ook met de Kamer gedeeld en we praten er vandaag ook over. Dat is, denk ik, niet onbelangrijk. We hebben er ook voor gezorgd dat u goed op de hoogte bent gebracht via die technische briefing. Maar als we gaan evalueren, nemen we daarin natuurlijk alles mee. Dan gaat het zeker ook over de adviezen van de Autoriteit Persoonsgegevens en over de evaluatie en de ontwikkelingen die we daarin zelf zien. Dan gaat het bijvoorbeeld over de vragen: werkt dat cloudbeleid nu ook goed voor de departementen en hoe kunnen we andere overheden, provincies en gemeenten, meenemen in het verder vormgeven van dat cloudbeleid?

Ik denk dat het oogmerk dat we hebben heel helder is. Dat is namelijk dat we wanneer we gebruikmaken van clouddiensten, die ons soms heel erg kunnen helpen in termen van efficiency of bijvoorbeeld het eenvoudiger maken van het inzetten van nieuwe programmatuur of nieuwe beveiligingstools, er ook voor zorgen dat het veilig blijft omdat er met de gegevens van onze burgers wordt gewerkt, of met data en programma’s die gebruikt worden door de overheid. We willen ervoor zorgen dat dat op een goede manier gebruikt kan worden.

Kort en goed samengevat in antwoord op de vraag van mevrouw Leijten: we betrekken al die ontwikkelingen en ervaringen daar natuurlijk ook bij, evenals de aanbevelingen van de AP.

Staatssecretaris Van Huffelen:

Uiteraard kijk ik juist ook naar die waarschuwingen, want ik ben heel blij dat de Autoriteit Persoonsgegevens ook vindt dat dit beleid nodig is. Als het gaat over die uniformering en harmonisering, is het natuurlijk ontzettend belangrijk dat we in de uitvoering en verdere evaluatie van dat cloudbeleid zo veel mogelijk samen optrekken. Gelukkig hebben we in het cloudbeleid heel veel afspraken gemaakt over hoe we dat, als het bijvoorbeeld gaat over die harmonisering over de departementen heen, gaan doen met de rol die er is voor de CIO Rijk, de CISO enzovoorts, enzovoorts. Maar uiteraard vind ik het ontzettend belangrijk dat we juist ook kijken naar: waar maakt de AP zich zorgen over en hoe zorgen we ervoor dat we die zorgen zo goed mogelijk meenemen in het beleid en de evaluatie daarvan in dit najaar?

Staatssecretaris Van Huffelen:

Dan kom ik bij de vraag van mevrouw Dekker-Abdulaziz over end-to-end-encryptie: blijft die intact? Laat ik daar het volgende over zeggen. Het kabinet is een enorme voorstander van die sterke encryptie, want die heeft een grote beschermende waarde en moet niet ter discussie staan. Op 31 januari heeft de minister van JenV uw Kamer een brief daarover gestuurd die uitvoering geeft aan de motie-Van Raan. Tegelijkertijd, zegt de minister van JenV, moeten we de mogelijkheid houden om effectief te kunnen blijven opsporen. Daarom wordt er gekeken naar manieren om binnen wat is afgesproken op basis van de motie-Van Raan, dus met behoud van encryptie, rechtmatig toegang te kunnen krijgen tot versleutelde informatie. Daarbij speelt natuurlijk een rol dat fundamentele rechten, dataprotectie, behoud van cybersecurity, enzovoorts, enzovoorts, niet worden geschonden.

Dan is er nog de vraag van GroenLinks over de Digital Services Act: verbetert de komst hiervan de informatiebeveiliging substantieel? De Digital Services Act wordt in fases ingevoerd; de regulering is al afgesproken. De grote onlineplatforms zijn vanaf eind van dit jaar aan die regelgeving gebonden. Voor deze onlineplatforms, bijvoorbeeld socialmediaplatforms en onlinezoekmachines, geldt dat ze jaarlijks een risicoanalyse moeten uitvoeren om te onderzoeken welke risico's voortkomen uit de algoritmes die zij gebruiken, waaronder de risico's op het gebied van desinformatie, kinderen, het publieke debat en fundamentele rechten. Zij moeten zorgen dat die risico's worden beperkt op last van boetes wanneer ze dat niet doen. Wij gaan ervan uit dat dat ook effecten zal hebben op de informatiebeveiliging, omdat de risico's daarvoor ook in kaart moeten worden gebracht. De wetgeving gaat nu van start. We zullen goed in de gaten moeten houden of dat daadwerkelijk op deze wijze nog effecten zal hebben.

Dan de vragen van mevrouw Leijten en van mevrouw Bouchallikh over de strategieën die we hebben op het gebied van cybersecurity of beter gezegd de vragen over: wat zien we nou wanneer het veilig is? Daar hebben we in Nederland een aantal dingen over afgesproken. We hebben in Nederland de cybersecuritystrategie, die in oktober van vorig jaar naar uw Kamer is gestuurd met een actieprogramma erbij. We hebben onlangs ook een Nederlandse veiligheidsstrategie vastgesteld. Die heeft uw Kamer vorige week ontvangen. Die strategieën gaan erop in dat we willen zorgen dat we digitaal veilig zijn, of het nu gaat om beveiligingen tegen hacks of om zorgen dat er geen data gedeeld kunnen worden met partijen die daar geen recht op hebben, dat we veilige IT-middelen gebruiken, dat we voldoende deskundigheid ontwikkelen en allerlei andere maatregelen, bijvoorbeeld om ransomwareaanvallen tegen te gaan, enzovoorts, enzovoorts, enzovoorts. Natuurlijk zijn die strategieën erop gericht om ons veilig te houden, maar we zien dat de dreigingen toenemen. Dat vraagt dat we er steeds meer aan moeten blijven werken om die dreigingen tegen te gaan, of het nou dreigingen zijn vanuit criminele organisaties of dreigingen vanuit statelijke actoren. Het uitwerken van die strategieën zal betekenen dat we steeds weer verder moeten gaan om te zorgen dat we ons verder blijven bewapenen en onszelf veilig houden. Dat zal een ontwikkeling zijn die ook in de komende jaren nog heel veel aandacht zal vergen.

Dan wilde ik doorgaan naar het blokje over privacy. Ik begin met de vraag van mevrouw Van Weerdenburg over Facebook Pages. U vraagt of u de volledige vertaling in het Nederlands kan krijgen. Dat kan natuurlijk. We hoopten u enigszins te bedienen door alvast een samenvatting te sturen, maar uiteraard kunnen we dat doen. Ik denk, ook naar aanleiding van de punten die u noemde, dat het goed is om iets meer en vooral iets meer in diepte met uw Kamer te delen wat deze onderzoekers precies hebben gevonden, welke risico's ze zien en wat onze strategie is om daarmee aan het werk te gaan. Ik zou willen aanbieden om daarover een zogenaamde technische briefing te organiseren. Wellicht vragen we de onderzoekers om u dan te informeren over wat ze hebben gezien en hoe ze daartegen aankijken, zodat er meer helderheid komt over dit onderwerp.

Staatssecretaris Van Huffelen:

Dat kan ook, want dit onderzoek is natuurlijk niet onbelangrijk, om het maar even zo te zeggen. Wij willen heel graag dat als Nederlanders gebruikmaken van een dienst als Facebook, dat veilig kan en dat de dienstverlening voldoet aan de Nederlandse of in Nederland geldende regelgeving. In dit geval gaat het over de privacyregelgeving ofwel de AVG. Wij hebben gezien dat ... Dat kunnen wij onderzoeken, omdat wij zelf gebruikmaken van dit kanaal om Nederlanders van informatie te voorzien. Dat doen we omdat heel veel Nederlanders gebruikmaken van Facebook. We hebben vele kanalen om informatie te delen met inwoners van het land en dit is er een van. Wij hebben op basis van dat onderzoek gezien dat er niet wordt voldaan aan de privacyregelgeving. Dat maakt dat wij het belangrijk vinden om niet zomaar te zeggen dat we het dan niet meer gebruiken, maar om te kijken of we samen met dit bedrijf kunnen komen tot een veilige dienstverlening, in de hoop dat daarmee niet alleen maar het gebruik van de overheid van deze dienst verbetert, maar ook dat de dienstverlening van dit bedrijf gaat voldoen aan de wet- en regelgeving en dat dit ook voor de Nederlanders gaat gelden. Dat is ons oogmerk met dit traject.

Als u zegt dat u niet meer informatie hoeft te hebben over het onderzoek, prima. Ik dacht dat u daarnaar op zoek was. Maar als dat niet zo is, dan is dat op zich begrijpelijk. Ik zal in ieder geval zorgen dat u wordt voorzien van een vertaling.

Staatssecretaris Van Huffelen:

Ik heb mevrouw Van Weerdenburg al toegezegd dat die vertaling er komt.

Misschien even iets over wat mijn intentie is, want kennelijk is dat niet goed helder. Het is niet onze intentie om Nederlanders of Nederland van Facebook af te halen. Onze intentie is te zorgen dat de producten en diensten die dit bedrijf levert — in dit geval is dat dienstverlening — voldoen aan de Nederlandse wetgeving. Dat is ook de reden waarom we met hen in gesprek zijn. Zijn dat eenvoudige gesprekken? Nee, dat zijn het niet. Het zijn indringende gesprekken, die ook tijd kosten. Dat hebben we ook gezien bij eerdere trajecten die we hebben doorlopen, bijvoorbeeld met Google en Microsoft. Het vereist namelijk dat we het niet alleen maar met elkaar eens worden over welke problemen we zien, maar ook over de mogelijke aanpassingen die het bedrijf kan doen. Dat vergt dus tijd. Nogmaals, wij zijn daar dus over in gesprek. Dat betekent dat we aan beide kanten vertegenwoordigers moeten hebben. Het heeft even tijd gekost voordat Facebook ook iemand had met wie we kunnen praten. Die hebben we nu en wij hopen vooral dat we er met hem uit komen in lijn met de eerdere keren dat we dit hebben gedaan. Want nogmaals, onze strategie is niet gericht op dingen verbieden. Dat kan uiteindelijk altijd de consequentie zijn, maar onze strategie is juist bedoeld om ervoor te zorgen dat dienstverlening die beschikbaar is voor Nederlanders en de Nederlandse overheid ook voldoet aan de Nederlandse regelgeving.

Staatssecretaris Van Huffelen:

Ik ben daarin ook wel vrij eenvoudig, want natuurlijk is dit een gesprek, namelijk over hoe wordt er door deze dienst voldaan aan de Nederlandse wet- en regelgeving. Volgens mij is de AVG helder over wat je bijvoorbeeld mag doen met de gegevens van de mensen die gebruikmaken van jouw diensten. Ik denk dat we daarin heel scherp moeten zijn, want we, u en ik, hebben die wetten niet voor niks opgesteld. We hebben dat gedaan om te zorgen dat je gegevens beschermd zijn als je ergens gebruikmaakt van een bepaalde dienst. We hebben het net over hacks gehad en over data delen. Dus het is ontzettend belangrijk dat we zeker weten dat wanneer de overheid gebruikmaakt van Facebook Pages, Facebook op zo'n manier omgaat met de data van Nederlandse burgers dat het in lijn is met de Nederlandse wetgeving op dat gebied. En nogmaals, we hebben dit soort trajecten eerder gedaan. Daar zijn we goed uit gekomen en ik hoop dat dat ook zo zal zijn bij dit traject.

Staatssecretaris Van Huffelen:

Om even op uw vraag in te gaan: u moet als commissie zelf bepalen wat u gaat doen met die wel of niet technische briefing. Het is natuurlijk zo dat wij die checks niet maar één keer willen doen. We willen dat blijven herhalen, want de dienstverlening wordt ook aangepast. Dat betekent dat je blijvend moet kijken of er wordt voldaan aan de wetten en regels die gelden voor de privacy.

Staatssecretaris Van Huffelen:

De vraag die net werd gesteld, was of daar inderdaad continuïteit in zit. Die heb ik dus beantwoord.

Dan de vraag van mevrouw Bouchallikh van GroenLinks of ik kan aangeven of door overheden wordt samengewerkt met de bedrijven waar vorige week dataleks hebben plaatsgevonden. Op basis van een interdepartementale inventarisatie hebben we geconstateerd dat vijf partijen van de rijksoverheid getroffen zijn door dit datalek. Op dit moment wordt er onderzoek verricht naar de effecten daarvan. Ik heb nog geen signalen gekregen van andere overheden, dus van gemeenten of provincies, maar ik zal voor u navraag doen om te zien of zij daardoor geraakt zijn. Maar u wordt in ieder geval op de hoogte gehouden van wat dit betekent voor de rijksoverheid.

De heer Slootweg vroeg wat de Autoriteit Persoonsgegevens doet met dat datalek van vorige week. Zij is natuurlijk een onafhankelijke toezichthouder en bepaalt dus ook zelf of en wat ze ermee gaat doen. Het feit dat het gemeld is, is natuurlijk conform de regels over wat te doen wanneer er een datalek heeft plaatsgevonden.

Is er sprake van een overtreding van de AVG? De Autoriteit moet natuurlijk haar werk doen om te bepalen of dat aan de orde is. Maar daar kan ik geen opdracht of instructies toe geven.

De heer Slootweg en deels ook mevrouw Leijten vroegen of het verantwoord is om zo veel data te delen met marktpartijen. Moeten er niet extra waarborgen zijn voor het delen van data, aangezien er zoals vorige week dataleks plaatsvinden? Ik ben het zeer met u eens dat het nodig is dat er extra waarborgen komen. Dat is ook waarom er heel veel nieuwe wetgeving is opgesteld, zoals de Data Governance Act, de Digital Markets Act en de Data Act. Daarmee willen we extra waarborgen op datadelen organiseren. De verplichtingen die er zijn, zijn met name bedoeld om ervoor te zorgen dat er meer vertrouwen kan zijn in de data die worden gedeeld, niet alleen direct maar ook via tussenpersonen. De Data Act zal meer regie geven aan burgers en in de Digital Markets Act wordt het makkelijker gemaakt voor burgers om te zorgen dat ze hun data zelf meenemen naar andere diensten als ze dat zouden willen. Er worden ook extra verplichtingen gesteld aan het zorgen dat er data moeten worden gedeeld.

Dus ja, kort en goed: er moet meer worden gedaan om te beschermen. Ook het onderwerp "dataminimalisatie" is een belangrijk onderwerp. Dat geldt overigens ook voor ons als overheid. Daar waar we data met elkaar moeten delen om diensten of producten te kunnen uitwisselen, moeten we er ook voor zorgen dat dat gebeurt op basis van zo weinig mogelijk data en dus niet op basis van hele grote hoeveelheden en datasets.

Staatssecretaris Van Huffelen:

Nee, want als we het over de overheid specifiek hebben, geldt dat vandaag de dag al. Heel zorgvuldig omgaan met data is iets wat we verwachten van niet alleen de rijksoverheid, maar ook van gemeentes en provincies. U vroeg of er nog extra waarborgen moeten komen. Ja, die moeten er nog komen. Overigens geldt de Digital Markets Act al. Maar als het gaat om het voortdurend blijven nadenken over de vraag hoe we zo gering mogelijke hoeveelheden data kunnen delen en hoe we kunnen zorgen dat er extra waarborgen zijn: dat werk moeten wij natuurlijk nu al doen. Dat blijft iets wat van kracht is, ook voor de rijksoverheid.

Staatssecretaris Van Huffelen:

Ik begrijp uw punt. We hebben het in dit geval niet zozeer over de overheid zelf, maar over partijen die wij inhuren om diensten of taken voor ons te verrichten. Deze partijen blijken dan onvoldoende te voldoen aan de bescherming die nodig is om te zorgen dat je geen datalekken hebt. Nu is 100% bescherming natuurlijk altijd ingewikkeld. Als het gaat over aanbestedingen en het vragen aan anderen om voor ons activiteiten te doen, hebben we daar allerlei regels over. Ik wil er graag nog even op kauwen of de aanbestedingsregels voldoende zijn en of wanneer je dat doet, je niet alleen goede afspraken maakt over bescherming, maar ook nog een soort extra waarborgen inregelt en in hoeverre we dat kunnen invullen op basis van al dan niet reeds bestaande regelgeving. Kijk, het is helder dat bedrijven dit niet mogen doen. Je mag geen data lekken. Dat is helder. Daar is de AVG voor, die allang geldt. Data lekken mag niet. Het gaat erom hoe wij, als we iemand vragen werk voor ons te doen, wat we altijd zullen blijven doen omdat we als overheid nu eenmaal vaak opdrachten geven aan partijen om iets te doen, beter kunnen zien of het vooraf zo kunnen beschermen dat er niks fout gaat. Ik wil daar graag nog even op kauwen. Daarna kom ik daar graag bij u op terug. Dat zal ik niet à la minute kunnen doen, dus niet in de tweede termijn, maar ik zal daar een brief over sturen.

Dan was er nog de vraag van de heer Slootweg over het beteugelen van big tech. Die ging erom of we die collectieve inkoop niet ook in andere sectoren zouden kunnen doen, bijvoorbeeld in de zorg. We delen daar actief kennis over. In het DPIA dat we gemaakt hebben over Google Workspace, een programma dat gebruikt wordt in het onderwijs, hebben we samengewerkt met een aantal andere internationale partijen. We hebben onze kennis en kunde daar gedeeld. We doen dat niet alleen in het kader van bijvoorbeeld dit soort onderhandelingen, maar we weten ook dat daar bijvoorbeeld in de zorg gebruik van wordt gemaakt.

Staatssecretaris Van Huffelen:

Dan wil ik er wel even scherp op zijn. Er is nu een datalek voorgekomen, bij een marktpartij, die werd ingehuurd door andere marktpartijen en voor een deel ook door de overheid. Dat is niet oké; dat is niet goed. We willen dat ook zo veel mogelijk voorkomen. Maar het is niet zo dat alle data van de overheid nu voortdurend op straat liggen of dat alle aanbestedingen voor dit soort dingen fout gaan. Aan de heer Slootweg heb ik toegezegd om nog eens te bekijken waarom het toch nog fout kan gaan, want allerlei wet- en regelgeving geeft aan dat dit op orde moet zijn wanneer je iets aanbesteedt, en of er dan een extra waarborg nodig zou zijn. Ik wil dus ook een beetje het beeld wegnemen alsof de overheid voortdurend partijen inhuurt om daarmee de data van burgers te grabbel te gooien. Dat beeld zou niet goed zijn. Ik wil wel bekijken of het verstandig is om extra waarborgen of checks in te bouwen, om wat nu toch is fout gegaan een volgende keer te voorkomen.

Staatssecretaris Van Huffelen:

Dat kan ik niet helemaal overzien. Dat ligt natuurlijk ook altijd aan de interrupties. Ik denk tien, vijftien minuten.

De heer Slootweg had nog een vraag over de beveiliging van persoonsgegevens en de mens die vaak de zwakste schakel is. Dat ging met name over de medewerker bij de IDO's, dus de Informatiepunten Digitale Overheid bij bibliotheken. Hoe voorkomen we dat mensen die daar werken aan de haal gaan met data van de burgers die bij hen informatie vragen? Laten we er helder over zijn: de mensen die daar werken, krijgen een training om burgers te helpen met problemen, bijvoorbeeld wanneer ze moeite hebben met inloggen of niet goed weten hoe de digitale overheid werkt. Ze nemen nooit activiteiten of datgene wat de burger moet doen, over. Eerlijk gezegd is mijn eigen ervaring — ik heb inmiddels vele IDO's bezocht en blijf dat ook met grote regelmaat doen — dat mensen daar ook echt heel precies mee omgaan. Soms vinden ze dat zelfs ook wel een beetje ingewikkeld. Ze zeggen: ik zou de burger nog een stapje verder kunnen helpen als ik wat meer zou mogen doen, bijvoorbeeld bij het aanvragen van een DigiD, omdat ik nu iemand weliswaar kan vertellen hoe je het moet doen, maar niet zelf even kan meekijken of dit kan doen. Ik vind het dus belangrijk dat we samen met de gemeenten gaan bekijken hoe we die hobbel oplossen. Dat wil ik niet doen om daarmee bevoegdheden te geven die ervoor zorgen dat dingen fout gaan, maar juist om mensen ook op een goede manier te helpen. Het is dus eerder zo dat de mensen die bij die IDO's werken, vinden dat ze te weinig kunnen doen dan te veel.

Dan was er ook de vraag hoeveel IDO's er op dit moment zijn. Er zijn er op dit moment 673. Er zijn in 2022 ongeveer 45.000 vragen gesteld, en meer dan 80.000 sinds 2019. Daartussen was er de coronaperiode, waarin er minder mogelijkheden waren voor mensen om naar de bibliotheek te gaan en vragen te stellen. Ze zijn gemiddeld zestien uur per week open. We hebben de gemeenten nu structurele financiering gegeven voor deze informatiepunten. Het is juist onze ambitie om samen met de gemeenten te bekijken hoe we het netwerk verder kunnen uitbreiden. Dat hoeft niet altijd alleen een bibliotheek te zijn. Het kan ook gebeuren op andere plekken dicht bij burgers, dus in een buurthuis of op een andere plek waar mensen gemakkelijk naartoe komen. Ik was deze week in Rotterdam en zag ook dat het nodig zal zijn om zelf naar burgers thuis toe te gaan. We ontwikkelen en rollen een programma uit om te zorgen dat iedereen kan meedoen in de digitale wereld. We zien ook dat het nodig kan zijn om bij mensen thuis te komen, omdat lang niet iedereen naar een bibliotheek, buurthuis of andere plek gaat. Dat willen we in de komende tijd ook verder gaan ontwikkelen.

U vroeg ook: waren er extra mensen rondom de belastingaangifte? Ja, dat hebben we ook samen met de Belastingdienst gedaan om te bekijken of er op die plekken extra mensen beschikbaar waren om vragen te beantwoorden.

Dan was er nog een vraag. Het gaat een beetje door elkaar heen, want ik kom weer terug op het thema van Facebook en Meta. De vraag van D66 was: hoeveel tijd willen we aan hen geven? We hebben het traject gestart met het idee dat we aan het eind van dit jaar een stap verder hopen te zijn. We zien wel dat dit soort trajecten tijd kosten. We zijn hier natuurlijk niet alleen zelf aan de bal. Het is een gesprek tussen twee partijen. Maar we hopen vooral aan het eind van dit jaar u meer te kunnen vertellen over waar we dan staan.

Dan was er de vraag van mevrouw Dekker-Abdulaziz over hoe je bij niet-noodzakelijke bedrijven zou kunnen aangeven dat je vergeten wil worden. Ze vroeg of ik op dat punt kan reflecteren. De AVG bevat al eisen daarover en zegt dat de hoeveelheid data die wordt gevraagd, de termijn daarvan en dataminimalisatie een rol spelen, en dat bij organisaties waar je zegt "ik wil vergeten worden" dat ook mogelijk is. Voor een deel is dat dus afgedekt in de AVG. Ook in de DSA, de Digital Services Act die voor online platforms gaat gelden, wordt niet alleen geregeld dat je vergeten kunt worden, maar ook dat je de aanbevelingsalgoritmes kunt uitzetten. Datzelfde geldt voor het gebruiken van data van minderjarigen voor advertentieprofilering. Met andere woorden, even heel kort reflecterend: ik vind het een belangrijk punt. Dat vergeten worden is dus onderwerp van de AVG en proberen we verder uit te werken in andere regelgeving. Ik bedoel niet alleen dat je helemaal vergeten kunt worden, maar ook dat je voorkeuren vergeten kunnen worden doordat je algoritmes kunt uitzetten.

Dan ga ik naar het laatste blokje over open source. De heer Rahimi had een vraag over DigiD en de broncode. De vraag is of dat niet leidt tot grotere kwetsbaarheid. Onze strategie bij open source is om broncodes te delen om daarmee de kwetsbaarheid van overheidssystemen te verminderen, door ervoor te zorgen dat partijen, al dan niet door onszelf daartoe uitgenodigd — we hebben dat in een eerder debat al besproken — mee kunnen kijken naar hoe onze programmatuur eruitziet. Daarmee kunnen ze fouten eruit halen en aangeven of er zwaktes in die programma's zitten. Dat wil niet zeggen dat je daarmee de beveiligingssleutels ook openbaar maakt. Dat hebben we bij DigiD ook niet gedaan. Dat zou namelijk kunnen leiden tot veiligheidsrisico's. Dat willen we natuurlijk vooral voorkomen. Dus ons idee is vooral om open source te gebruiken om daarmee programma's veiliger te maken. Opensourcesoftware of combinaties van verschillende opensourceprogrammatuur is overigens ook iets wat heel veel partijen gebruiken. Maar we doen dat vanuit veiligheid en natuurlijk op een manier die verantwoord is, door ervoor te zorgen dat informatie die afbreuk doet aan de veiligheid van systemen, zoals versleutelingsmechanismes, wachtwoorden, verwijzingen naar technische infrastructuur enzovoorts, natuurlijk niet wordt gedeeld.

Staatssecretaris Van Huffelen:

Dat is precies wat het is. We willen niet ervoor zorgen dat daarmee de mogelijkheid ontstaat om juist het omgekeerde te doen van wat je wil, waarmee je het onveiliger in plaats van veiliger maakt. Die broncodes maken we openbaar om daarmee de programma's die wij gebruiken veiliger te maken. En we maken zelf ook gebruik van open source en van door anderen ontwikkelde software, bijvoorbeeld voor het aanbieden van diensten. Ik weet dat we bijvoorbeeld open source hebben gebruikt voor de corona-app.

Dan over DigiD en de toegankelijkheid daarvan. DigiD moet natuurlijk toegankelijk, betrouwbaar en veilig zijn. In 2022 was er een beschikbaarheid van 99,9%. Wij willen dat natuurlijk behouden. We zorgen ervoor dat DigiD steeds weer verder wordt ontwikkeld, niet alleen om ervoor te zorgen dat de beschikbaarheid groot blijft, maar ook om te zorgen dat het veilig blijft. Dat is wat ik daarover zou willen zeggen, ook naar aanleiding van een vraag van de heer Rahimi.

Volgens mij ben ik er dan doorheen. Ik dacht dat ik hiermee alle vragen had beantwoord. Maar als dat niet zo is, dan hoor ik het graag.

Staatssecretaris Van Huffelen:

Misschien toch nog weer even, zeg ik dan tegen mevrouw Van Weerdenburg. Het is niet onze bedoeling om het onmogelijk te maken voor wie dan ook, inclusief de overheid zelf, om gebruik te maken van socialmediaplatforms, want we weten dat veel mensen daarvan gebruikmaken. Ons oogmerk is dat dat veilig kan op een manier waarbij die diensten voldoen aan de wetgeving die we in Nederland en in Europa hebben op dit gebied. Op dit moment loopt in een startfase een onderzoek naar de brillen die door Google worden gebruikt, sorry, door Meta worden gebruikt. Ik moet het goede bedrijf noemen. Dat zijn van die brillen die je gebruikt voor augmented reality of anderszins. Die worden in het onderwijs ingezet. Wij willen kijken of dat op een veilige manier gebeurt. Dat is het onderzoek dat op dit moment loopt.

Mevrouw Van Weerdenburg (PVV):

Dank u wel voorzitter. Alvast de aankondiging dat hier nog niet het laatste woord over gezegd is, ook niet na mijn tweede termijn, want ik vind dit echt heel erg onbevredigend. Op mijn laatste vraag welke andere DPIA-onderzoeken er lopen, ook LinkedIn en Twitter, krijg ik alleen maar terug: nee, nog eentje naar Meta en dat is dan de Quest. Ik weet niet of de staatssecretaris cijfers heeft over hoeveel jongeren rondlopen met zo'n Quest-headset. Het lijkt mij redelijk vroeg, dus ik hoor dat graag. Nu komt het een beetje over alsof het een soort onderhandelingstactiek is in de al lopende onderhandelingen.

Voorzitter. De PVV heeft zich ook in deze commissie al vaker verzet tegen de kruistocht die er gaande is tegen bigtechbedrijven. Het zijn nagenoeg allemaal Amerikaanse bedrijven. Ik vraag me af: wanneer hebben we besloten dat we ineens concurreren met de VS, dat het een soort vijandige ... We hebben gedeelde waarden. Het is altijd een bevriend land geweest. We hebben altijd samengewerkt. Ook Nederlandse bedrijven zijn daar groot mee geworden en door geworden. Ik denk dat die weerzin voortvloeit uit antiamerikanisme en afgunst, en vooral dat een groepje machtswellustelingen in Brussel die wereldregerinkje willen spelen dit allemaal instigeren. Nou moet er ineens overal een Europees alternatief voor komen. Wij zien graag de lijn die de staatssecretaris wél volgt bij het cloudbeleid. Op dit moment zijn de beste en de veiligste aanbieders nou eenmaal big tech, de grote Amerikaanse bedrijven. Natuurlijk blijven we de Europese initiatieven financieren en wie weet komt er ooit een volwaardig Europees alternatief. Dat zou mooi zijn; daar hopen wij ook op. Maar tot die tijd gaan we gewoon in zee met degenen die het beste product kunnen leveren, een volwaardig alternatief. En die lijn ...

Mevrouw Van Weerdenburg (PVV):

Dank aan de heer Slootweg voor de vraag. Natuurlijk moet aan de Nederlandse wet worden voldaan. Ik heb ook helemaal niets anders beweerd. Maar we moeten niet doen alsof hier een rechterlijke uitspraak voorligt die constateert dat Facebook daar niet aan voldoet. Dat is wel de waarde die hier nu gehangen wordt aan een rapport van twee mensen. Nogmaals, daar is genoeg op aan te merken. Dat ga ik niet nu doen. Begrippen worden daarin op een andere manier geïnterpreteerd. Nogmaals, dit is geen rechterlijke instantie die the be-all and end-all is, waardoor we moeten zeggen: ach, nou kunnen we niet anders dan weggaan van Facebook. Zo wordt dat hier wel neergezet, en daar verzet ik me tegen. Daar heb ik me vaker tegen verzet. Ik wil alleen maar aangeven dat dit ingegeven is door motieven die niet de mijne zijn en waar de PVV gewoon vraagtekens bij zet. Natuurlijk zou het mooi zijn als overal een werkend, volwaardig Europees alternatief voor was, en natuurlijk moet ook Amerikaanse big tech voldoen aan regelgeving. Ik zie dus niet in waar we op dit punt anders over denken dan het CDA.

Mevrouw Van Weerdenburg (PVV):

Dat is iets te kort door de bocht. Nogmaals, er is een privacyonderzoek uitgevoerd, en dat is uiteindelijk de basis van het politieke besluit dat de staatssecretaris hopelijk wel in gesprek met de Kamer gaat nemen. In ieder geval wil ik daar als Kamerlid ook iets over te zeggen hebben. Ze mag het natuurlijk als basis nemen, maar ze moet niet doen alsof ze niet anders kan dan van Facebook af gaan nu uit dit rapport blijkt dat het allemaal niet in de haak is. Zo is het niet. Dat is ook niet eerlijk. En als het zo'n waarde heeft — ik vind van niet, maar goed — dan is het helemaal belangrijk dat we als Kamer allemaal alle 150 pagina's in het Nederlands lezen en uitpluizen en alle vragen stellen die we daarover willen stellen. Dan krijgt het namelijk een soort waarde die het niet zou moeten hebben, en dan vind ik het raar dat dit alleen bij Facebook, bij Meta, wordt ingezet en niet bij al die andere socialmediaplatforms.

Mevrouw Van Weerdenburg (PVV):

Ik had van een heleboel mensen hier aan tafel de Trump-angst verwacht, maar niet van mijn collega van de VVD. Dat is een beetje teleurstellend, maar goed. Ik ben het er natuurlijk mee eens dat er altijd een regime change kan komen, ook in de Verenigde Staten. Ik zeg ook niet dat we niet moeten proberen om een volwaardig Europees alternatief te bereiken. Je moet dan overigens ook nog maar hopen dat het in Europa allemaal koek en ei blijft. Op dit moment is er geen Europees alternatief voor een heleboel dingen. Het is een gegeven, een fact of life, dat het allemaal Amerikaanse grote bedrijven zijn die deze ontwikkelingen, bijvoorbeeld in de cloud, leveren. Daar kun je van balen — dat doe ik ook wel een beetje — maar het is nou eenmaal zo. Gaan we nou daadwerkelijk zeggen: eigenlijk is dit het beste alternatief, eigenlijk is dit de enige oplossing, maar ja, het is zo'n groot Amerikaans bedrijf en je weet maar nooit, dus we doen het maar niet? Dit is een politieke discussie die we hier uitgebreid gehad moeten hebben voordat we dat soort beslissingen nemen.

Mevrouw Van Weerdenburg (PVV):

Oké, voorzitter. In reactie op mevrouw Leijten: zo wordt het wel in de media ingezet. Met mevrouw Leijten hoop ik dat de soep niet zo heet gegeten wordt. In Het Financieele Dagblad en op AG Connect zie je termen als big tech enzovoort. Ik neem daar aanstoot aan, want dan kom je niet tot een fatsoenlijke onderhandeling. Dit is een heel groot bedrijf dat echt wel wil meedenken in de zin van "wat kunnen we doen om jullie te accommoderen". Het bedrijf heeft er geen baat bij dat de overheid zegt: aju paraplu. Dan moet je het niet via de media spelen en zeggen: wij eisen dit en dat. Dat is toch geen onderhandeling? Daar neem ik aanstoot aan. Ik hoop het niet, maar ik vrees dat we die kant opgaan. Nogmaals, ik hoop dat ik aan het overreageren ben, maar better safe than sorry.

Mevrouw Van Weerdenburg (PVV):

Dank voor die vraag, want dat willen we heel graag ophelderen. Vanaf dag één heeft de PVV dit naar voren gebracht. Er zijn ruim 5 miljoen mensen die hun informatie van de overheid krijgen via Facebook. Ik heb geen Facebookaccount — nooit gehad — en ik ben het er ook niet mee eens, maar het is wel zo. Die burgers hebben recht op informatie. Ik heb het gevoel dat dat niet genoeg wordt meegewogen in deze beslissing. Ik snap de reactie van "boe, rotbedrijf, veel te veel macht", maar helemaal achteraan staan die burgers daar. Daar is de PVV altijd voor opgekomen. Die burgers hebben straks dat informatiekanaal niet meer en die krijg je ook niet allemaal naar Mastodon. Het is prima als de overheid als primair kanaal de eigen website gebruikt of Mastodon, maar zet dan een kopietje op alle andere socialmediakanalen. Ik vind het belangrijk om dat in het oog te houden: dat informatiekanaal is een recht en dat moet blijven bestaan. Natuurlijk kunnen we erover praten hoe dat beter kan. Daar hebben we ons nooit tegen verzet. Omdat de PVV de enige partij is die dit redelijke argument hier inbrengt, is het misschien net alsof ik gestuurd wordt door Facebook, Meta of wat dan ook, maar ik kan mevrouw Bouchallikh geruststellen: dat is zeer niet het geval.

Mevrouw Van Weerdenburg (PVV):

Ik had denk ik het meeste wel genoemd. Nogmaals, ik wil deze discussie op een later moment in rust kunnen voeren. Dan kunnen we het ook hebben over alle overige vragen die nu nog blijven liggen. Maar dit moet dus een politieke discussie zijn en niet, zoals het nu wordt ingestoken, in de trant van "kijk, hier ligt een oordeel; we kunnen niet anders". Dat is echt niet het geval. Ik hoop dat ook de andere collega's hier aan tafel, ook al zijn ze het niet allemaal met ons eens, zichzelf serieus willen nemen en vinden dat we over dit soort beslissingen hier moeten discussiëren. Ik wil geen stukken in de media lezen terwijl we zelf niet eens een briefje hebben gehad over hoe de onderhandelingen verlopen.

Tot slot hoor ik graag van de staatssecretaris wanneer we de Nederlandse vertaling kunnen ontvangen.

De heer Rahimi (VVD):

Dank u wel, voorzitter. Ik kreeg niet de gelegenheid voor een interruptie — dat snap ik — maar ik was degene die vroeg of u naast Facebook ook wilt kijken naar andere platforms en of u dat wilt onderzoeken. Dat antwoord kreeg ik niet, maar gelukkig werd die vraag alsnog gesteld. Ik heb ook gevraagd hoe wij de oplossingen bewaken in het kader van de zeven hoge en het ene lage privacyrisico. Ik hoef daar nu niet per se een antwoord op; ik vind het fantastisch als wij een technische briefing krijgen.

In de IT wordt vaak een tegenstelling gecreëerd: je wilt het veilig, maar dan wordt het minder gebruiksvriendelijk. Ik roep u op om daar niet in te trappen. Er hoeft geen tegenstelling te zijn tussen toegankelijkheid en een makkelijk systeem. Dan heb je minder vaak extra hulp nodig of mensen die bij je thuis moeten komen, wat op zichzelf mooi is. Maak het systeem meteen toegankelijk en goed. Dat is geen contradictie.

Voorzitter. Het is goed om het structureel in de gaten te houden. Wij hebben niks tegen big tech. Big tech kan goed gebruikt worden. Er zijn hier ook hele mooie grote bigtechbedrijven. Ik noem geen namen, maar ze zijn er gewoon. Het zijn grote bedrijven die veel banen hebben gecreëerd. Daar staan wij als VVD ook echt voor. We moeten die bedrijven niet weren, maar we moeten wel opletten en in gesprek blijven: in dit land vinden we dit belangrijk en daar moet u aan voldoen. Dat is wat wij vanuit de VVD zeggen.

Wij zijn ook benieuwd wanneer wij de vertaling krijgen en de extra input.

De heer Rahimi (VVD):

Dat vind ik echt ontzettend moeilijk. Alsof ik zou weten wat het beste is voor de Nederlandse burger. U gaf aan dat 5 of 5,2 miljoen mensen willen communiceren. Dat moeten we niet zomaar aan de kant schuiven. Het is niet zo dat wij moeten weten wat het beste op elk gebied is voor de Nederlandse burger.

Mevrouw Bouchallikh (GroenLinks):

Dank u wel, voorzitter. Dank aan de staatssecretaris en haar team voor de beantwoording van de vragen. In mijn bijdrage heb ik het gehad over de verschillende niveaus waarop we beleid en politiek aan het maken zijn, zowel op Europees als op nationaal niveau, ook als het gaat om overheden. Ik vind het ontzettend belangrijk om op dat laatste punt terug te komen. Ik ben niet helemaal gerustgesteld als de staatssecretaris zegt dat zij niet kan garanderen dat lagere overheden de capaciteiten en de middelen hebben om te voldoen aan datgene wat we hier met z'n allen besluiten. Ik betwijfel niet dat er in alle lagen van de samenleving en de overheid sprake is van goede wil, maar we zien toch te vaak dat het misgaat. Die zorg wordt ook vanuit de lagere overheden zelf geuit. Ik wil mijn tweede termijn gebruiken om aan te geven dat juist die lagere overheden vaak het gezicht van de onlineoverheid voor de burger zijn. Ik doe nog een keer de oproep om toch een stok achter de deur te bedenken, om manieren te vinden om toch te faciliteren en de capaciteit te vergroten, juist ook om te voorkomen dat de burger uiteindelijk het vertrouwen in de onlineoverheid verliest.

Mevrouw Bouchallikh (GroenLinks):

Toen ik als Kamerlid begon met dit dossier heb ik me heel vaak verbaasd over hoe vaak er een gebrek aan capaciteit, kennis en kunde is als het gaat om ICT en online organisatie van overheden. Op nationaal niveau gaat het helemaal niet goed, laat staan als het gaat om lagere overheden die, zoals ik net al aangaf, beperkte capaciteit, kennis en kunde hebben. Dus op dit moment lijkt het mij niet verstandig om dat te doen. Wat ik wél heel belangrijk vind, is dat we kijken naar hoe we al die overheden kunnen helpen om in ieder te voldoen aan de eisen die we nu met z'n allen stellen en dat we misschien later kunnen kijken naar de ontwikkeling. Laten we eerst orde op zaken stellen.

Mevrouw Bouchallikh (GroenLinks):

Dank voor deze vraag. Ik vind het ook een belangrijke vraag, juist omdat ik de staatssecretaris heb gevraagd of zij kan garanderen dat dingen opgelost worden. Als dit een oplossing zou kunnen zijn, dan wil ik daar best naar kijken. Ik moet eerst weten wat de alternatieven zijn, vandaar mijn constante vraag aan de staatssecretaris. Zij geeft aan dat we in gesprek moeten gaan, maar dat vind ik nog niet voldoende.

Mevrouw Bouchallikh (GroenLinks):

Ik vroeg net aan de PVV of zij opstaat voor de belangen van de big tech of van de burger. Wij proberen beide te doen. Althans, we staan niet op voor de belangen van de big tech, maar we willen dat zij zich aan de regels en de wetten gaan houden. Zo kan de burger nog steeds met Facebook omgaan. Maar we zien gewoon dat het constant en structureel niet gebeurt. Dus ja, de toegang van de burger tot informatie is belangrijk, maar we hechten ook ontzettend veel aan diens privacy. We willen die zaak in balans brengen. Dat is een zoektocht die we hier, volgens mij met z'n allen, aan het doen zijn.

De heer Slootweg (CDA):

Dank u wel, voorzitter. Ik wil de staatssecretaris bedanken voor de toezeggingen. Wat ik met name belangrijk vind om te horen, is dat vanuit het IDO outreachend gewerkt gaat worden, ook voor mensen die daar eigenlijk niet naartoe kunnen gaan. Ik denk dat dat echt een hele belangrijke voorwaarde is. Het is misschien wel een beetje de verkeerde volgorde, want in eerste instantie wil je dat iedereen gewoon kan deelnemen en dat digitaliseren een hulpmiddel is. Nu is het vaak de enige polsstok waarmee je eigenlijk een riviertje over kunt komen. Dat blijft gewoon raar.

Ik wil de staatssecretaris nog wel even vragen of ik haar nu goed begrijp als het gaat om de marktmacht die bij een aantal partijen ligt. Vanuit het CDA vinden wij dat je zelf eigenaar bent over je persoonsgegevens. Ik vind het zorgelijk dat je nu ziet dat heel veel van die data toch opgeslagen zijn bij Amerikaanse bedrijven en dat het moeilijk is om die data terug te kunnen krijgen. Ik begrijp de inzet om te zorgen voor andere partijen waar je terechtkunt, want dat is misschien ook wel de eerste voorwaarde. Daarna moeten we nog wel dat eigenaarschap, dat jij zelf eigenaar ben van jouw data, terug zien te krijgen. Hoe ziet de staatssecretaris het traject voor zich waarin we uit dat lock-ineffect komen? Ik hoop dat ze daar nog enkele woorden aan zou kunnen wijden.

Mevrouw Leijten (SP):

Ik vond het een goed en helder betoog van het CDA. Ik kan me daar grotendeels bij aansluiten. Het heeft niets te maken met antiamerikanisme. Het heeft vooral te maken met datgene doen wat de technologie je aanbiedt of zelf beslissen over wat je wenselijk vindt voor snelheid in de samenleving. Die vraag is niet beantwoord door de staatssecretaris. We hebben altijd gezegd "digitaal waar het kan" maar moeten we het niet omdraaien? Moeten we niet zeggen: moet het altijd digitaal als het kan? Ik snap wel dat het een heel ander denkparadigma is, maar de bypasses die we nu hebben, via de bibliotheken en digitale ondersteuning, zijn uiteindelijk een hulpmiddel voor contact met een overheid die gewoon beschikbaar moet zijn. Het is altijd wel de Kamer die zegt: hou sowieso ook de analoge optie open. We weten dat dat eigenlijk bij belastingaangifte helemaal niet meer kan. Mevrouw Dekker-Abdulaziz zegt als voorzitter: het kan wel. Ja, maar ga eens proberen wat je moet opvragen. Feitelijk kan het niet meer. Als het gaat over die authenticatie met DigiD dan willen we natuurlijk ook dat het veilig is. Maar als je ziet dat er zoveel waarborgen nodig zijn dat dit ook weer groepen gaat uitsluiten, dan heb je juist dat politieke debat nodig. Waartoe hebben we de digitale ondersteuning? Of is het een digitale voorkeur? Daar heb ik de staatssecretaris nog geen duidelijk antwoord op horen geven. De staatssecretaris kent mij als volhardend en vasthoudend om dit onder haar aandacht te blijven brengen.

Dan de veiligheidsstrategie. Ik heb haar gevraagd over de vitale functies in onze samenleving. We hebben dan die zoveel duizend doden en 5 miljard impact op het bruto binnenlands product. Ik vroeg haar in alle serieusheid: is dat nog de juiste graadmeter? Het kan best zijn dat ze daar nu geen antwoord op heeft en dat ze daar nog op terugkomt. Maar ik vraag me dat echt serieus af.

Voorzitter, ik ben al over de tijd. Dank u wel.

Mevrouw Dekker-Abdulaziz (D66):

Dank, voorzitter. Ik heb nog een aantal vragen. Laat ik de staatssecretaris eerst bedanken voor de antwoorden. Ik wil het eerst over de encryptie hebben. Het is ons bekend wat JenV vindt, want dat is wat de staatssecretaris vertelde over client-side scanning. Maar we zijn zo benieuwd of deze staatssecretaris het met D66 eens is dat client-side scanning, hoewel legaal, de encryptie en daarmee de veiligheid van de gegevens ondermijnt?

Dan over de cookiewetgeving. De cookies worden nu klakkeloos door iedereen uitgegeven. Wat zijn precies de concrete plannen van de staatssecretaris?

Tot slot wilde ik zeggen wat wij vinden van die discussie over Facebook. D66 vindt dat een bedrijf niet groter is dan een land. Dat heeft een andere collega ook al gezegd. Bedrijven moeten zich houden aan de wet, maar we zijn wel benieuwd hoe de staatssecretaris kijkt naar de afhankelijkheid van deze platformen voor de informatie voor de burgers. Wat gaan we doen om de juiste informatie bij die 5,5 miljoen burgers te krijgen? Hoe kijkt ze bijvoorbeeld aan tegen ontwikkelingen als PublicSpaces?

Dank, voorzitter.

De voorzitter:

Dank. We zijn door de tweede termijn heen. Ik schors de vergadering voor vijf minuten.

De voorzitter:

Ik zie dat de staatssecretaris er al is. Ik geef haar het woord.

Staatssecretaris Van Huffelen:

Dank u wel, voorzitter. Ik zou graag nog de vragen beantwoorden die in tweede termijn zijn gesteld.

De vraag van mevrouw Van Weerdenburg was waarom we nu al aan het werk gaan met het kijken naar de mate waarin bijvoorbeeld die Metabrillen voldoen aan de vereisten die wij daaraan stellen. De belangrijkste reden daarvoor is dat het in dit geval gaat om de inzet voor kinderen en dus ook over kinderrechten. Wij achten het in dat verband van belang. We vinden het natuurlijk ontzettend belangrijk om juist dat te bereiken wat mevrouw Van Weerdenburg volgens mij ook wil. We willen dit soort ontwikkelingen niet tegenhouden, maar juist mogelijk maken. Maar we willen er wel voor zorgen dat de bedrijven die dit soort diensten of producten aanbieden voldoen aan de Nederlandse wet- en regelgeving, juist om mensen te beschermen.

Zij stelde, net als de heer Rahimi, ook de vraag voor welke andere platforms ik aan het werk ben. Ons idee is inderdaad om dit verder te gaan ontwikkelen. Ik zou u eigenlijk willen toezeggen dat ik een voorstel daarvoor zal opsturen naar uw Kamer, zodat u weet wat de volgende stappen zijn die wij willen zetten en wat de volgende bedrijven, of beter gezegd services, zijn die wij onder de loep willen nemen.

Mevrouw Van Weerdenburg maakte ook nog het volgende punt. Ze vroeg: wat gebeurt er nu, en is het zo dat de staatssecretaris hier een strategie kiest waarbij de rechterlijke macht geen rol speelt? In het geval van Facebook is dat wel degelijk ook aan de orde, want de rechtbank in Amsterdam heeft de constateringen van onze DPIA recentelijk nog onderschreven.

Dan ga ik naar de vragen van de heer Rahimi.

Staatssecretaris Van Huffelen:

U hoeft er niks anders achter te zien dan wat wij u vertellen. Ik denk dat het heel belangrijk is dat wij ons werk in alle opzichten in alle transparantie doen. Daar informeren we u ook over. Nogmaals, ik vind het zo belangrijk dat we dit doen en ook zo vroegtijdig doen omdat dit zich de komende tijd wellicht verder gaat ontwikkelen. We gebruiken de instrumenten die we daarvoor hebben, maar we gaan daar ook niet meer tijd voor nemen dan nodig is. We hopen dat dus zo snel mogelijk in te zetten. We doen dit overigens ook samen met scholen, want scholen zijn degenen die deze brillen gaan gebruiken. We doen dat op hun verzoek. Daarom vind ik het belangrijk om dat door te zetten. Ik ben blij dat mevrouw Van Weerdenburg dat ondersteunt.

Staatssecretaris Van Huffelen:

Dan ga ik door met de vraag van de heer Rahimi over dat voorstel rondom andere platforms. Ik heb net al gezegd dat ik met een aanpak daarvoor zou willen komen. Wij gaan de vertaling zo snel mogelijk naar u toe sturen. Ik weet niet precies hoelang dat duurt. Die juridische vertalingen zijn altijd een beetje complex, maar ik hoop dat het niet meer dan enkele weken duurt. Wat betreft uw oproep over de balans tussen veilig en gebruikersvriendelijk: wij willen dat natuurlijk zo veel mogelijk in balans brengen, maar we zien wel dat er soms toch uitdagingen zijn. Het is niet zo dat veilig niet gebruikersvriendelijk kán zijn, maar we zien tegelijkertijd ook, bijvoorbeeld bij de beveiligingseisen voor DigiD, dat veiligheid wel degelijk kan leiden tot minder gebruikersvriendelijkheid voor een deel van de inwoners van dit land. Daarom moeten we daar goed naar kijken. Als er problemen ontstaan, dan weet u mij te vinden. Dan dat hebben we ook in dit debat gezien. Tegelijkertijd willen we er ook voor zorgen dat mensen gewoon gebruik kunnen blijven maken van onze dienstverlening.

Dan de oproep van mevrouw Bouchallikh. In het kader van het convenant dat is gesloten met de gemeenten ben ik, samen met het ministerie van JenV, hard aan het werk om gemeenten zo veel mogelijk te ondersteunen. Daarin speelt een rol dat gemeenten zeker ook hun eigen afweging kunnen maken. Ik vind het belangrijk dat gemeenteraden kritisch blijven kijken naar de dienstverlening en de beveiliging van de digitale diensten die worden geleverd door een gemeente. Daar roep ik ze ook steeds toe op. Ik wil dus vooral dat we niet alleen maar in gesprek blijven — dat is het niet, zoals u zegt — maar dat het ook leidt tot goede afspraken. Ik hou u daar graag van op de hoogte. Niet alleen dat; ik wil er ook vooral samen voor zorgen dat de wetgeving die we aan het ontwikkelen zijn ertoe leidt dat we zeker weten dat er voldoende waarborgen blijven bestaan op het gebied van veiligheid. Ik denk dat we hier nog niet mee klaar zijn, maar dat we hier de komende tijd met elkaar over in gesprek moeten blijven.

Dan de opmerkingen en vragen van de heer Slootweg. U zei: kiezen we niet de verkeerde volgorde? Dat is toch een balans die je elke keer blijft zoeken, denk ik. We weten namelijk dat ongelofelijk veel Nederlanders het heel fijn vinden dat ze digitaal zaken kunnen doen met de overheid, niet alleen in de rest van hun leven, maar ook met de overheid. Het maakt dat je het kunt doen op een moment dat je zelf prettig vindt, dat je er de deur niet voor uit hoeft en dat het in heel veel gevallen ook veel makkelijker is. Dat niet iedereen mee kan komen, is ook helder. We moeten er dus alles aan doen om mensen daarmee te helpen. Dat hebben we afgesproken. Dat doen we niet alleen door ervoor te zorgen dat dienstverlening ook altijd offline kan, dus gewoon met face-to-facecontact aan een loket of door te bellen, maar ook door mensen te helpen die graag digitaal vaardiger willen worden. Dat willen we ook blijven doen. Dat is eigenlijk mijn antwoord daarop. Die combinatie willen we altijd blijven behouden.

Dan was er nog de vraag over het eigendom van persoonsgegevens. Daarover is er in het verleden al een grote juridische discussie geweest: wie is nou eigenlijk de eigenaar van persoonsgegevens? Daarbij is vooral het volgende van belang. Het is niet zo dat je persoonsgegevens als eigendom van jezelf kunt beschouwen. We willen er wel voor zorgen dat mensen in staat zijn en het recht hebben om hun persoonsgegevens te beschermen en te bepalen wie die persoonsgegevens wel en niet heeft. De overheid heeft die natuurlijk altijd. Maar het is vooral ook van belang dat je tegen private instellingen moet kunnen zeggen dat ze je moeten vergeten, dus dat je persoonsgegevens daar niet meer mogen worden opgeslagen, en dat gegevens die je hebt, kunnen worden verhuisd van de ene dienst naar de andere. Daar gaat de Europese regelgeving over. Als je gebruikmaakt van een dienst als WhatsApp, is de bedoeling van de regelgeving dat als je daar niet meer gebruik van wilt maken, je je gegevens kunt verplaatsen naar een andere berichtenservice. Ik denk dat het ongelofelijk belangrijk is dat we dat blijven invullen, omdat we er ook voor willen zorgen dat mensen, als het bijvoorbeeld specifiek over de overheid gaat, niet alleen maar weten welke gegevens de overheid over hen heeft, maar ook wat daarmee gebeurt, welke inzichten er zijn en hoe ze er regie over kunnen houden welke data er bij wie zijn.

Dan de vraag van mevrouw Leijten. Die ging over het onderwerp waar ik het net ook over had. Het blijft ontzettend belangrijk dat mensen ook niet digitaal, dus analoog, gewoon in het normale leven, bij een loket of via de telefoon, terechtkunnen bij de overheid. Het is ook van belang dat dat op een hele goede manier mogelijk blijft. Wil ik daarmee zeggen dat we niet ook digitale dienstverlening moeten inzetten? Jawel, want heel veel mensen vinden dat juist heel erg prettig.

Dan specifiek over de veiligheidsstrategie. Er zijn inderdaad definities gemaakt om aan te geven wat behoort tot de vitale functies. Die hebben we ook in Europa afgesproken. Het is van belang dat we daar wel kritisch naar blijven kijken, want bij processen die misschien niet vitaal zijn, maar waarbij wel heel veel persoonsgegevens worden gedeeld, de zogenaamde hoogrisicocategorieën, is zorgvuldigheid natuurlijk ontzettend belangrijk. Ik vind het dus ook van belang dat we daarnaar blijven kijken en dat we de vereisten die we daaraan stellen, of het nou gaat over die biorichtlijn of andere dingen, juist willen inzetten. Juist daar waar de impact van bijvoorbeeld langdurige onbeschikbaarheid heel groot kan zijn, is het wat mij betreft goed om na te denken over extra eisen en extra toezicht. Ik ben daarnaar onderzoek aan het doen, dat ik graag in juni met uw Kamer wil delen.

Dan de vragen van mevrouw Dekker-Abdulaziz over een speciale vorm van encryptie. Encryptie gaat over de dienstverlening ...

Staatssecretaris Van Huffelen:

Dit ging over veiligheid en processen. Ik heb daarbij aangegeven: ook al definiëren we iets niet als een heel hoog risico of zit het niet in de vitale sector, de impact van bijvoorbeeld langdurige onbeschikbaarheid zou wel degelijk heel groot kunnen zijn. Dat ben ik eens met mevrouw Leijten. Het is dus ook belangrijk om daar aanvullende afspraken over te maken. Daar wordt onderzoek naar gedaan. Ik hoop dat in juni met uw Kamer te kunnen delen.

Dan de vragen van mevrouw Dekker-Abdulaziz over encryptie. Ik vind het heel belangrijk dat we hier als overheid een duidelijk antwoord over geven. We zijn daarover aan het nadenken en we zijn er ook over in discussie wat we nou precies vinden van die specifieke vorm van encryptie en de vraag of je wel mag meelezen als iemand iets aan het typen is. Het gaat namelijk niet zozeer om de encryptie die ontstaat wanneer je een bericht van A naar B stuurt, maar juist om de encryptie als je aan het typen bent. Dat vraagstuk is bij ons in onderzoek. Daar komen we dan ook graag bij u op terug. Een definitief antwoord daarop kan ik op dit moment nog niet geven.

Dan iets over cookies. Met u vind ik de manier waarop de cookiewetgeving in de praktijk uitwerkt heel ingewikkeld. Anderen gaven dat ook al aan. Het is niet alleen maar ingewikkeld; het is gewoon irritant. Wanneer je een website bezoekt en iets wil bestellen of regelen, dan komen die cookies voorbij. Het is vaak heel erg lastig of een stuk lastiger om nee te zeggen, omdat je dan heel veel vragen moet beantwoorden en dat steeds opnieuw moet doen als je zo'n website bekijkt. Er zijn ook websites die je, wanneer je "nee, nee, nee" zegt, vervolgens een tijdje in de wacht houden voordat je van de dienstverlening gebruik kan maken. Er is in Europa onderhandeld over een zogenaamde e-Privacyverordening, waarin verbetering werd beoogd op dit gebied. Die richtlijn ligt eigenlijk nog vast. Ik ben van mening dat dat niet goed is. Ik heb daarover gesproken met de Europese Commissie. Die is daar overigens zelf mee aan het werk, maar ik ben, samen met de minister van Economische Zaken, ook aan het werk om te kijken of wij vooruitlopend op wat er nu in Europa wordt besproken een soort voorstel kunnen doen voor hoe we hier verder mee kunnen. Want nogmaals, de ergernis die velen van ons ondervinden — dat speelt ook in uw Kamer — rondom de huidige uitwerking van de cookiewetgeving moet wat mij betreft worden aangepakt. Dat wil ik niet doen door te zeggen dat cookies weg moeten en al onze gegevens vervolgens zomaar door iedereen kunnen worden gebruikt, doorverkocht enzovoort enzovoort, maar door ervoor te zorgen dat het veel makkelijker wordt om nee te zeggen, zonder dat dat iets afdoet aan de dienstverlening.

Mevrouw Dekker-Abdulaziz vroeg ook nog hoe we nou omgaan met het delen van informatie als veel Nederlanders ook gebruikmaken van Facebook om overheidsinformatie binnen te krijgen. Mensen gebruiken natuurlijk nooit één kanaal; heel vaak worden er veel meer kanalen gebruikt. We weten dus dat Facebook een kanaal is. Zoals ik al eerder in dit debat heb aangegeven, denk ik, is het ook helemaal niet mijn bedoeling dat we zomaar gaan stoppen met Facebook. Ik wil alleen dat Facebook, Meta, zich houdt aan de Nederlandse wetten en regels. Daarom zijn we ook met hen in gesprek. Maar ik denk dat het altijd belangrijk blijft dat wij als overheid nadenken over een strategie waarin we meerdere kanalen blijven gebruiken en we uiteindelijk alleen maar de keuze maken om een kanaal niet meer in te zetten wanneer we het niet voor elkaar krijgen dat zo'n kanaal, dat in dit geval door veel Nederlanders wordt gebruikt, zich niet houdt aan de regels. Onze eerste strategie en ons eerste oogmerk is vooral om ervoor te zorgen dat de kanalen die veel gebruikt worden en door mensen ook worden gezien als belangrijke kanalen, voldoen aan onze wetten en regels.

Dan ben ik volgens mij aan het einde gekomen van de beantwoording van de vragen.

Staatssecretaris Van Huffelen:

De coördinatie van die strategie ligt bij de minister van EZK. Ik kan daar dus niet iets meer over zeggen. Ik denk dat het niet langer nodig zal hebben dan het nodig heeft, maar ik kan het niet precies zeggen.

Staatssecretaris Van Huffelen:

Die vertaling moeten wij laten maken en die moet ook juridisch kloppen, dus ik doe het gewoon zo snel mogelijk.

Staatssecretaris Van Huffelen:

Er moet eerst nog wat uitzoekwerk worden gedaan. Ik kan dus niet helemaal zeggen wanneer dat is, maar het komt zodra dat er is.

Staatssecretaris Van Huffelen:

Ik zou zeggen: in de zomer of voor de zomer. We doen het zo snel mogelijk. We moeten er even goed naar kijken en er ook met de verschillende partijen over overleggen.

Staatssecretaris Van Huffelen:

Die komt voor de zomer, ja.