Besluit van de Autoriteit Persoonsgegevens van 20 september 2018, houdende de vaststelling van beleidsregels met betrekking tot de prioritering van klachtenonderzoek (Beleidsregels prioritering klachtenonderzoek AP)

De Autoriteit Persoonsgegevens,

Gelet op artikel 57, eerste lid, onder a, f, h, en v, en artikel 58, eerste en tweede lid, van de Algemene verordening gegevensbescherming, de artikelen 6, 14 en 15 van de Uitvoeringswet Algemene verordening gegevensbescherming, de artikelen 31a, 35, 35b en 35c, van de Wet politiegegevens, artikel 27 gelezen in samenhang met de artikelen 39r, 51, 51d en 51h, van de Wet justitiële en strafvorderlijke gegevens en artikel 4:81, eerste lid, van de Algemene wet bestuursrecht;

Besluit:

Artikel 1

In deze beleidsregels wordt verstaan onder:

AVG:

verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (algemene verordening gegevensbescherming) (PbEU 2016, L 119);

UAVG:

Uitvoeringswet Algemene verordening gegevensbescherming;

Awb:

Algemene wet bestuursrecht;

Wpg:

Wet politiegegevens;

Wjsg:

Wet justitiële en strafvorderlijke gegevens;

AP:

Autoriteit Persoonsgegevens als bedoeld in artikel 6 van de UAVG;

Klacht:

klacht als bedoeld in artikel 57, eerste lid, aanhef en onder f, en artikel 77, eerste lid, van de AVG, artikel 31a, eerste lid, van de Wpg en artikel 26a, eerste lid, gelezen in samenhang met artikel 39r, eerste lid, artikel 51, eerste lid, artikel 51d, eerste lid en artikel 51h, eerste lid, van de Wjsg;

Verzoek om handhaving:

aanvraag als bedoeld in artikel 1:3, derde lid, van de Awb waarin de AP wordt verzocht om handhavend op te treden.

Artikel 2

• 1. De AP onderzoekt de inhoud van een klacht in de mate waarin dat gepast is.

• 2. De AP beoordeelt eerst op basis van de inhoud van de klacht of het gaat om een verwerking van persoonsgegevens die de klager betreft en of er al dan niet sprake is van een overtreding van de AVG.

• 3. Indien uit de eerste beoordeling volgt dat mogelijk sprake is van een overtreding, maar deze nog niet kan worden vastgesteld, maakt de AP een afweging of er aanleiding is voor een nader onderzoek. Daarbij hanteert de AP de volgende, niet cumulatieve, factoren:

  • a) De mate waarin de betrokkene wordt geraakt door de vermeende overtreding;

  • b) De bredere maatschappelijke betekenis van een eventueel optreden van de AP, mede bezien vanuit de aandachtspunten die de AP op periodieke basis bekend maakt;

  • c) De mate waarin de AP in staat is doeltreffend en doelmatig op te treden.

Artikel 3

Indien in het kader van het toezicht op de verwerking van persoonsgegevens overeenkomstig het bij of krachtens de wet bepaalde een verzoek om handhaving, niet zijnde een klacht, wordt ingediend, zijn op dat verzoek deze beleidsregels van overeenkomstige toepassing.

Artikel 4

De Beleidsregels handhaving door het CBP, vastgesteld op 17 januari 2011 (Stcrt. 2011, nr. 1916), worden ingetrokken.

Artikel 5

Deze beleidsregels treden in werking met ingang van de dag na de datum van uitgifte van de Staatscourant waarin zij worden geplaatst.

Artikel 6

Deze beleidsregels worden aangehaald als: Beleidsregels prioritering klachtenonderzoek AP.

Deze beleidsregels zullen met de toelichting in de Staatscourant worden geplaatst.

Den Haag, 20 september 2018

Autoriteit Persoonsgegevens, A. Wolfsen Voorzitter

TOELICHTING

Inleiding

De Autoriteit Persoonsgegevens (de AP) heeft op grond van artikel 6 van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) tot taak toe te zien op de verwerking van persoonsgegevens overeenkomstig het bij of krachtens de Algemene verordening gegevensbescherming (AVG) en de wet bepaalde. De taken en bevoegdheden van de AP vloeien voor het overgrote deel rechtstreeks voort uit de AVG en zijn verder uitgewerkt in de UAVG. De belangrijkste wetten waarop de AP toezicht houdt zijn naast de AVG en de UAVG, de Wet politiegegevens (Wpg), de Wet justitiële en strafvorderlijke gegevens (Wjsg), de Kieswet en de Wet basisregistratie personen.

Eén van de taken van de AP is het behandelen van klachten van betrokkenen of van belangenorganisaties. Dit houdt in dat de AP de inhoud van de klacht onderzoekt in de mate waarin dat gepast is en de klager binnen een redelijke termijn in kennis stelt van de voortgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is (artikel 57, eerste lid, aanhef en onder f, van de AVG). In deze beleidsregels licht de AP toe hoe zij bij het behandelen van klachten haar onderzoekscapaciteit inzet.

De AP merkt hierbij uitdrukkelijk op dat ze zich bij het behandelen van klachten primair richt op het bereiken van normconform gedrag. Daarbij stuurt de AP aan op een pragmatische benadering waarbij doeltreffendheid en efficiency een belangrijke rol spelen. Kan de AP in een specifiek geval normconform gedrag bijvoorbeeld al realiseren door telefonisch contact met de (vermeende) overtreder, dan zal de AP dat doen en kan een klacht daarmee worden afgedaan.

Klachtrecht

Iedere betrokkene heeft op grond van artikel 77 van de AVG het recht een klacht in te dienen bij de toezichthoudende autoriteit, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevens inbreuk maakt op de AVG. De AP is op grond van artikel 57, eerste lid, aanhef en onder f, van de AVG belast met het behandelen van dergelijke klachten.

Het behandelen van klachten is niet vrijblijvend. Uit artikel 57, eerste lid, aanhef en onder f, van de AVG, volgt dat de AP verplicht is de inhoud van de klacht te onderzoeken in de mate waarin dat gepast is. Ook moet de AP de klager in kennis stellen van de voortgang en het resultaat van de klacht. Hieruit volgt dat de AP, als van een klacht in de zin van de AVG sprake is, een inhoudelijke reactie zal moeten geven op de desbetreffende klacht. In dit verband wijst de AP er nog op dat uit het vierde lid van artikel 57 van de AVG volgt dat in het geval een verzoek om behandeling van een klacht kennelijk ongegrond of buitensporig is, de AP kan weigeren aan het verzoek gevolg te geven of de klager een redelijke vergoeding kan aanrekenen.

Dat op de klacht steeds een inhoudelijke reactie volgt, betekent niet dat het onderzoek dat daaraan ten grondslag ligt in alle gevallen even uitgebreid zou moeten zijn. Het onderzoek dat naar aanleiding van een klacht wordt uitgevoerd, gaat – zo blijkt uit de overwegingen bij de AVG¹ – niet verder dan in het specifieke geval passend is. De AP kan bij het behandelen van klachten een afweging maken ten aanzien van de mate van intensiteit van het onderzoek dat op een klacht volgt.² De AP voert daarom een prioriteringsbeleid.

Het prioriteringsbeleid maakt inzichtelijk waarom de AP sommige klachten niet aan een uitgebreider onderzoek onderwerpt. De AP vindt het voeren van een prioriteringsbeleid belangrijk en noodzakelijk omdat haar middelen beperkt zijn en het toezichtveld veelomvattend is. De AP moet daarom de mogelijkheid hebben haar middelen zodanig in te zetten dat zij kan optreden in die gevallen waarin de bescherming van de verwerking van persoonsgegevens naar haar oordeel het meest geboden is. Het hanteren van prioriteringscriteria zoals die in deze beleidsregels worden vastgesteld, is ook op grond van de rechtspraak in beginsel toegestaan.³

Een klacht wordt ingediend omdat een klager meent dat inbreuk is gemaakt op zijn rechten uit hoofde van de AVG. Er is dan naar zijn mening sprake van een verwerking van zijn persoonsgegevens die niet rechtmatig is en tot handhaving noopt. Een klacht waarbij de AP wordt verzocht handhavend op te treden is in de terminologie van het algemene bestuursrecht in de praktijk vaak een verzoek om handhaving.⁴

Klachten over grensoverschrijdende verwerking

Het kan voorkomen dat een klacht betrekking heeft op een grensoverschrijdende verwerking in de zin van artikel 4, lid 23, van de AVG. Tegen die achtergrond is het van belang op te merken dat onderhavig beleid niet afdoet aan de samenwerkingsbepalingen uit de AVG zoals die volgen uit de artikelen 56 en 60 tot en met 62 van de AVG. Hieruit volgt dat de nationale toezichthoudende autoriteiten waar nodig samenwerken en elkaar informeren, bijstaan en betrekken.

Afbakening

Onderhavig prioriteringsbeleid gaat niet over de vraag op welke wijze de AP handhavend optreedt of welke interventie(s) zij inzet als uit het onderzoek blijkt dat sprake is van een overtreding.

Eerste beoordeling klacht

Klachten kunnen telefonisch, per post of digitaal via een (elektronisch) klachtenformulier worden ingediend. Bij het behandelen van een klacht onderzoekt de AP de klacht in de mate waarin dat gepast is. Wat gepast is, kan per geval verschillen en is afhankelijk van alle concrete feiten en omstandigheden van het geval.

Aan de hand van een eerste beoordeling van de klacht bepaalt de AP of mogelijk sprake is van een overtreding, waartegen de AP kan optreden. Daarbij onderzoekt de AP in ieder geval de ontvangen informatie van de klager en beschikbare informatie van de vermeende overtreder. Bijvoorbeeld de website of bij de AP bekende informatie uit eerdere onderzoeken en signalen. Verder kan, voor zover daar naar het oordeel van de AP aanleiding toe is, de AP een of meer van de volgende bronnen onderzoeken:

• informatie bij andere (inter)nationale toezichthouders;

• algemene informatie op internet of uit andere openbare bronnen en media (zoals relevante wet- en regelgeving en jurisprudentie en relevante (wetgevings)adviezen van de AP; en

• vergelijkbare dossiers bij de AP.

Zo nodig neemt de AP contact op met de klager en/of de vermeende overtreder en vraagt zij hen schriftelijk of telefonisch om nadere informatie om zo voldoende inzicht te krijgen in de vermeende overtreding, de gevolgen van deze vermeende overtreding en de betrokkenheid van de vermeende overtreder.

Het is mogelijk dat al na een eerste beoordeling van de inhoud van een klacht blijkt dat sprake is van een overtreding en de AP deze (direct)naar tevredenheid kan afhandelen. Zo kan bijvoorbeeld telefonisch contact worden opgenomen met de klager waarbij de AP hem informatie en advies geeft, bijvoorbeeld om de (Functionaris Gegevensbescherming van de) vermeende overtreder te benaderen en hoe hij dat het beste kan doen. Op die manier kan de klager er zelf voor zorgen dat zijn klacht wordt opgelost.

In andere gevallen kan de AP bijvoorbeeld aansturen op bemiddeling. Ook is het mogelijk dat, nadat de AP contact met de klager heeft opgenomen, aanstonds duidelijk is dat er geen sprake is van een overtreding en hem uitlegt waarom, en vervolgens de klacht beëindigt.

Deze voorbeelden maken duidelijk dat de klager, zonder dat sprake hoeft te zijn van een diepgravend onderzoek, toch voldoende kan zijn geholpen. De klacht is ook hiermee op passende wijze en daarmee in overeenstemming met de AVG onderzocht. Daarnaast kan de AP, als aanstonds duidelijk is dat van een overtreding sprake is, gebruik maken van de inzet van informele interventies richting de (vermeende) overtreder. Die kunnen vaak betrekkelijk snel en met een inzet van een geringe toezichtcapaciteit worden ingezet. Hierbij valt te denken aan telefonische confrontatie, een norm overdragend gesprek of een waarschuwingsbrief. Ook deze vorm van klachtafhandeling kan in een voorkomend geval als passend worden gekwalificeerd.

Uit de eerste beoordeling van de klacht, dan wel een verzoek om handhaving kan, zonder dat daarvoor aanvullende informatie nodig is, al voldoende blijken dat geen sprake is van een overtreding, of dat dat juist wel het geval is. In het eerste geval wijst de AP het verzoek om handhaving af of beëindigt de behandeling van de klacht. In het tweede geval start de AP een handhavingstraject en treedt zij in beginsel handhavend op, tenzij sprake is van bijzondere omstandigheden zoals concreet zicht op legalisatie of wanneer handhavend optreden onevenredig zou zijn.

In het geval uit de eerste beoordeling blijkt dat er in het dossier voldoende aanwijzingen zijn dat sprake is van een overtreding, maar een nader onderzoek nodig is om de overtreding te kunnen vaststellen, dan komt het onderzoek in de volgende fase terecht. In die fase wordt getoetst aan de prioriteringscriteria.

Prioriteringscriteria

Omdat de AP veel signalen, klachten en verzoeken om handhaving ontvangt en haar toezichtveld veel omvattend is, zal zij gelet op haar beperkte middelen, niet steeds een nader onderzoek kunnen uitvoeren. Daarom toetst de AP in situaties waarin mogelijk sprake is van een overtreding, maar waarvoor nader onderzoek nodig is om de overtreding vast te stellen, eerst aan haar prioriteringscriteria. Dit zijn:

• Hoe schadelijk is de vermeende overtreding voor de betrokkene(n);

• Wat is de omvang van de bredere maatschappelijke betekenis van een eventueel optreden van de AP; en

• In hoeverre is de AP in staat doeltreffend en doelmatig op te treden.

Schadelijkheid gedrag voor de klager(impact voor het individu)

Hierbij maakt de AP een inschatting hoe schadelijk de vermeende overtreding voor de klager is in het licht van de bescherming van persoonsgegevens. In dat kader neemt de AP onder meer in aanmerking of mogelijk sprake is van een ernstige overtreding en of de vermeende overtreding nog voortduurt of structureel van aard is. De AP weegt in dit verband mee om wat voor soort persoonsgegevens het gaat en of het persoonsgegevens betreft van een kwetsbare groep, zoals kinderen. Bij bijzondere categorieën persoonsgegevens als bedoeld in artikel 9 van de AVG of bij persoonsgegevens van strafrechtelijke aard zal sneller meer gewicht aan dit criterium worden toegekend dan bij andere categorieën persoonsgegevens. Opgemerkt zij dat schadelijkheid zich niet beperkt tot financiële schade.

De bredere maatschappelijke betekenis (impact voor de maatschappij)

Onder de bredere maatschappelijke betekenis worden (mede) begrepen de aandachtspunten die de AP op periodieke basis (jaarlijks)bekend maakt. Er wordt gekeken of de vermeende overtreding valt binnen die aandachtspunten of plaatsvindt binnen een van de sectoren die zij volgens haar (jaarlijkse) Toezichtkader als aandachtspunt heeft. In het kader van de bredere maatschappelijke betekenis neemt de AP verder onder meer mee of er door de vermeende overtreding veel mensen zijn of kunnen worden getroffen, hoe schadelijk de vermeende overtreding dan voor hen is en of sprake is van een klacht met een grensoverschrijdend karakter.⁵

Doeltreffendheid en doelmatigheid

De AP wil in haar optreden doeltreffend en doelmatig zijn. Ten aanzien van doeltreffendheid zal de AP een inschatting maken welk handhavingsinstrument geschikt is om op korte termijn het gewenst effect te bereiken. Bij de doelmatigheid maakt de AP een afweging of een nader onderzoek mogelijk is met de beschikbare menskracht en toegekende financiële middelen. Daarbij houdt de AP ook rekening met het aantal signalen, klachten en verzoeken om handhaving die aanleiding zijn voor nader onderzoek en waarbij de AP haar beschikbare capaciteit en financiële middelen evenwichtig zal moeten verdelen. Ook hiervoor geldt dat de AP niet alleen gebruik maakt of hoeft te maken van haar wettelijke handhavingsinstrumenten. Ook het inzetten van informele interventies zoals een telefonische confrontatie, een norm overdragend gesprek of een (openbare)waarschuwingsbrief kan een effectieve manier zijn om normconform gedrag te realiseren.

Toepassing prioriteringscriteria

Een klacht hoeft niet op alle criteria ‘hoog te scoren’ voordat de AP overgaat tot een nader onderzoek. Als een klacht op meerdere criteria hoog scoort, is er wel eerder aanleiding voor een nader onderzoek. In het geval er echter sprake is van een lage(re) score op één criterium, dan kan dit voor de AP in veel gevallen reeds daarom aanleiding zijn een nader onderzoek achterwege te laten. Verder zij nog benadrukt dat de criteria niet cumulatief zijn en dat de AP, als bijzondere omstandigheden daartoe aanleiding geven, ook een nader onderzoek kan starten wanneer een klacht bijvoorbeeld op alle drie de criteria laag scoort.

Als de toetsing aan de prioriteringscriteria leidt tot het oordeel dat de klacht of het verzoek om handhaving daar in onvoldoende mate aan voldoet, dan wordt de klacht niet verder behandeld dan wel wordt het verzoek om handhaving afgewezen.

Nader (uitgebreid) onderzoek

In deze fase wordt nader onderzoek verricht om vast te stellen of sprake is van een overtreding waartegen de AP handhavend kan optreden. Voor dit onderzoek wordt – veelal – gebruik gemaakt van de bevoegdheden van artikel 58 AVG en/of titel 5.2 van de Awb. Het onderzoek kan dan bestaan uit een uitgebreid inlichtingenonderzoek bij de vermeende overtreder, een onderzoek ter plaatse, een uitgebreid (forensisch) digitaal onderzoek of een verhoor met het oog op het opleggen van een boete. Zo nodig vindt samenwerking met andere (inter)nationale toezichthouders plaats. Het nadere onderzoek resulteert dan doorgaans in een concept rapport van bevindingen waarop de vermeende overtreder de mogelijkheid krijgt te reageren, gevolgd door het vaststellen van het definitieve rapport van bevindingen. Wanneer in het definitieve rapport van bevindingen is vastgesteld dat sprake is van een overtreding, dan volgt de handhavingsfase. Op deze fase heeft het prioriteringsbeleid geen betrekking. In het geval geen sprake is van een overtreding, dan wordt het onderzoek gesloten en het handhavingsverzoek afgewezen dan wel de behandeling van de klacht beëindigd.

Onderzoeksfases en prioriteringscriteria van overeenkomstige toepassing op sectorale wetgeving

De AP is op grond van artikel 6, derde lid, van de UAVG, naast haar (generieke) toezichthoudende taak op grond van de AVG en de UAVG ook belast met het toezicht op de naleving van zogenoemde sectorale regelgeving voor zover het de bescherming van persoonsgegevens betreft, zoals specifieke bepalingen uit de Telecommunicatiewet. De AP beschikt in dat kader ook over specifieke handhavingsbevoegdheden⁶.

Als bij de AP een verzoek om handhaving⁷ wordt gedaan over sectorale wetgeving, die niet als klacht in de zin van de AVG kan worden gekwalificeerd, volgt de AP hetzelfde stramien als bij klachten. Ditzelfde geldt voor verzoeken om handhaving van een belanghebbende die niet als betrokkene in de zin van de AVG kan worden aangemerkt. De AP beoordeelt dergelijke verzoeken overeenkomstig deze beleidsregels. De AP toetst eerst of aan de formele eisen uit de Awb is voldaan. Vervolgens wordt, net als bij klachten in de zin van de AVG, een eerste beoordeling gedaan. Blijkt daaruit al dat geen sprake is van een overtreding, dan wijst de AP het verzoek om handhaving af. Als al uit de eerste beoordeling blijkt dat sprake is van een overtreding dan treedt de AP in beginsel handhavend op.⁸ In het geval uit de eerste beoordeling blijkt dat er mogelijk sprake kan zijn van een overtreding, maar een nader onderzoek nodig is om de overtreding te kunnen vaststellen, dan wordt net als bij klachten getoetst aan de prioriteringscriteria.

Autoriteit Persoonsgegevens, A. Wolfsen Voorzitter

---

1 Vgl. overweging 142 van de considerans van de AVG.

2 Kamerstukken II 2017/18, 34 851, nr. 3, p. 28.

3 Vgl. ABRvS 19 oktober 2016 (ECLI:NL:RVS:2743), ABRvS 4 juni 2014 (ECLI:NL:RVS:2014:1982) en CBb, 20 augustus 2010 (ECLI:NL:CBB:2010:BN4700).

4 Het betreft een aanvraag (tot handhavend optreden) in de zin van artikel 1:3, derde lid, van de Awb en er wordt tegen die achtergrond getoetst of aan de formele eisen van de Awb is voldaan (meer in het bijzonder de artikelen 1:2, 4:1, 4:2, 4:5 en 4:6).

5 Hierbij kan bijvoorbeeld worden gedacht aan de situatie waarin sprake is van een grensoverschrijdende verwerking en de mogelijke overtreding (veel) burgers uit meerdere lidstaten raakt.

6 Zo is in de Telecommunicatiewet de toezichthoudende taak neergelegd in artikel 15, tweede lid en staan de handhavingsbevoegdheden in artikel 15.2, derde lid, artikel 15.4, vierde lid en artikel 15.7.

7 Een aanvraag als bedoeld in artikel 1:3, derde lid, van de Awb waarin de AP wordt verzocht om handhavend op te treden.

8 Tenzij sprake is van bijzondere omstandigheden zoals concreet zicht op legalisatie of wanneer handhavend optreden onevenredig zou zijn.