Handhaving
Formele waarschuwing aan minister van OCW om oorlogsarchief CABR niet online doorzoekbaar te maken
- Datum
- Status
- definitief
- Instantie
- Autoriteit Persoonsgegevens
- Kenmerk
- AP kenmerk z2024-010120, Formele waarschuwing CABR (brief 26 november 2024, gepubliceerd 6 december 2024)
Waar het over gaat
Het Nationaal Archief wilde het Centraal Archief Bijzondere Rechtspleging (CABR), het grootste oorlogsarchief van Nederland met ongeveer 485.000 dossiers, vanaf 2 januari 2025 stapsgewijs voor iedereen online zetten en full-text doorzoekbaar maken. De AP gaf de minister van OCW als verwerkingsverantwoordelijke een formele waarschuwing. Volgens de AP gaat deze manier van openbaarmaking verder dan artikel 14 Archiefwet noodzakelijk maakt, en is die daarom waarschijnlijk in strijd met artikel 6(1)(e) AVG. De dossiers bevatten bijzondere en strafrechtelijke gegevens, ook over nog levende derden. Daarvoor bestaat geen wettelijke uitzondering, en artikel 2a Archiefwet verbiedt het beschikbaar stellen van zulke gegevens. Daarom is de publicatie volgens de AP ook in strijd met de artikelen 9 en 10 AVG. Verder ontbraken een FG-advies en een voorafgaande raadpleging. Tegen de waarschuwing staat geen bezwaar open.
Wat dit betekent voor de praktijk
Een wettelijke openbaarheidstaak betekent niet dat u gegevens over levende personen zonder beperkingen online mag zetten en doorzoekbaar mag maken. De grondslag van artikel 6(1)(e) dekt alleen wat noodzakelijk is. Kan het doel ook op een minder ingrijpende manier worden bereikt, bijvoorbeeld via inzage in de studiezaal, dan valt de verdergaande publicatie buiten die grondslag. Kijk niet alleen of de hoofdpersoon van een dossier is overleden: ook levende derden in het dossier zijn beschermd. Een geboortedatum is niet nodig om iemand herleidbaar te maken. Vraag bij een DPIA advies aan de FG en raadpleeg de AP vooraf als hoge risico's blijven bestaan. De formele waarschuwing is een instrument dat de AP inzet voordat een overtreding plaatsvindt.
De AVG-artikelen waar het om gaat
- Artikel 6: Rechtmatigheid van de verwerking
- Artikel 9: Verwerking van bijzondere categorieën van persoonsgegevens
- Artikel 10: Verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten
- Artikel 35: Gegevensbeschermingseffectbeoordeling
- Artikel 36: Voorafgaande raadpleging
- Artikel 38: Positie van de functionaris voor gegevensbescherming
- Artikel 58: Bevoegdheden
Bron: Autoriteit Persoonsgegevens, Formele waarschuwing Nationaal Archief (met brief z2024-010120 als PDF)gecontroleerd op 15 september 2026
Samenvatting en praktijkduiding door Praxikon. Geen juridisch advies; de bron gaat voor.
Samenhang
Wat samenhangt met deze ontwikkeling
Thema’s waarin dit terugkomt
- Bijzondere persoonsgegevens gebruiken om bias op te sporen
- Biometrie en emotieherkenning
- Datakwaliteit, minimalisatie en data governance
- Geautomatiseerde besluiten en menselijk toezicht
- Kennis in de organisatie: functionaris gegevensbescherming en AI-geletterdheid
- Toezicht en boetes
- Vooraf risico's beoordelen: DPIA en FRIA
De tegenhanger in de andere wet
- Artikel 2 AI Act: Toepassingsgebied
via Bijzondere persoonsgegevens gebruiken om bias op te sporen
- Artikel 3 AI Act: Definities
- Artikel 4 AI Act: AI-geletterdheid
via Kennis in de organisatie: functionaris gegevensbescherming en AI-geletterdheid
- Artikel 5 AI Act: Verboden AI-praktijken
- Artikel 6 AI Act: Classificatieregels voor AI-systemen met een hoog risico
- Artikel 9 AI Act: Systeem voor risicobeheer
- Artikel 10 AI Act: Data en datagovernance
- Artikel 14 AI Act: Menselijk toezicht
- Artikel 26 AI Act: Verplichtingen van gebruiksverantwoordelijken van AI-systemen met een hoog risico
- Artikel 27 AI Act: Beoordeling van de gevolgen voor de grondrechten van AI-systemen met een hoog risico
- Artikel 50 AI Act: Transparantieverplichtingen voor aanbieders en gebruiksverantwoordelijken van bepaalde AI-systemen
- Artikel 70 AI Act: Aanwijzing van nationale bevoegde autoriteiten en centrale contactpunten
- Artikel 74 AI Act: Markttoezicht op en controle van AI-systemen op de markt van de Unie
- Artikel 86 AI Act: Recht op uitleg bij individuele besluitvorming
- Artikel 99 AI Act: Sancties
Rechtspraak8 van 18
- Rechtbank Den Haag verlaagt AP-boete voor politie om mobiele camera-auto's zonder afgeronde GEB naar 30.000 euro
2024-10-08 · status niet vastgesteld, Rechtbank Den Haag
- Hof van Justitie EU over KNLTB: zuiver commercieel belang kan gerechtvaardigd belang zijn
2024-10-04 · definitief, Hof van Justitie van de Europese Unie
- Kort geding Reddit tegen AP over last onder dwangsom en verschoningsrecht afgewezen
2026-03-04 · status niet vastgesteld, Rechtbank Den Haag, voorzieningenrechter
- Rechtbank Noord-Nederland houdt AP-boete voor dorpslivestream in stand, verlaagt naar 375 euro
2025-01-09 · status niet vastgesteld, Rechtbank Noord-Nederland
- Schrems tegen Meta: geen onbeperkt bewaren en combineren van gegevens voor gerichte advertenties
2024-10-04 · definitief, Hof van Justitie van de EU (Vierde kamer), Maximilian Schrems tegen Meta Platforms Ireland Limited
- Raad van State: boete van 600.000 euro voor wifi-tracking Enschede blijft van tafel
2026-07-29 · definitief, Raad van State, Afdeling bestuursrechtspraak
- Mousse: aanhef meneer of mevrouw vragen bij een treinkaartje is niet noodzakelijk
2025-01-09 · definitief, Hof van Justitie van de EU (Eerste kamer), Mousse tegen Commission nationale de l'informatique et des libertés (CNIL) en SNCF Connect
- Voorzieningenrechter schorst AP-last onder dwangsom aan Northwave: eerst bevoegdheden bij hostingprovider uitputten
2024-03-26 · definitief, Rechtbank Midden-Nederland, voorzieningenrechter (zittingsplaats Utrecht)
Richtsnoeren8 van 15
- EDPB sjabloon voor een gegevensbeschermingseffectbeoordeling (DPIA template)
2026-04-14 · in consultatie, European Data Protection Board (EDPB)
- Richtsnoeren voor gegevensbeschermingseffectbeoordeling (DPIA) en bepaling of een verwerking waarschijnlijk een hoog risico inhoudt
2018-05-25 · definitief, Article 29 Working Party, bekrachtigd door de European Data Protection Board (EDPB)
- Richtsnoeren 03/2026 over webscraping in het kader van generatieve AI
2026-07-07 · in consultatie, European Data Protection Board (EDPB)
- Richtsnoeren 05/2020 over toestemming onder Verordening 2016/679
2020-05-04 · definitief, European Data Protection Board (EDPB)
- Consultatie conceptlijst van verwerkingen waarvoor geen DPIA verplicht is (AP)
2026-06-24 · in consultatie, Autoriteit Persoonsgegevens (AP)
- Consultatie handhavingsbeleid Autoriteit Persoonsgegevens (april 2026)
2026-04-13 · in consultatie, Autoriteit Persoonsgegevens
- Autoriteit Persoonsgegevens publiceert position paper over Omnibus Digitaal en Omnibus AI
2026-01-13 · definitief, Autoriteit Persoonsgegevens
- Opinie 28/2024 over bepaalde gegevensbeschermingsaspecten van de verwerking van persoonsgegevens in het kader van AI-modellen
2024-12-17 · definitief, European Data Protection Board (EDPB)
Handhaving en boetes8 van 9
- Tien gemeenten beboet (totaal 250.000 euro) voor illegale dossiers over islamitische inwoners
2026-02-03 · definitief, Autoriteit Persoonsgegevens
- Boete van 150.000 euro voor ICS wegens ontbrekende DPIA bij digitale identificatie
2023-12-18 · definitief, Autoriteit Persoonsgegevens
- AP en KNLTB beëindigen rechtszaak: boete verlaagd van 525.000 naar maximaal 250.000 euro
2025-10-18 · status niet vastgesteld, Autoriteit Persoonsgegevens
- Boete van 600.000 euro voor AS Watson (Kruidvat) om tracking cookies zonder toestemming
2024-05-02 · vernietigd, Autoriteit Persoonsgegevens
- Boete van 500 euro en last onder dwangsom voor Stichting Oud Lemmer om webcam-livestream
2021-07-09 · status niet vastgesteld, Autoriteit Persoonsgegevens
- AP verlaagt Kruidvat-boete in bezwaar naar 50.000 euro
2025-05-27 · status niet vastgesteld, Autoriteit Persoonsgegevens
- Experian Nederland krijgt boete van 2,7 miljoen euro voor kredietscores zonder grondslag en zonder informatie
2025-10-16 · definitief, Autoriteit Persoonsgegevens
- Coolblue krijgt in bezwaar boete van 40.000 euro voor cookies zonder toestemming
2024-12-23 · status niet vastgesteld, Autoriteit Persoonsgegevens
Wetgeving in beweging6 van 10
- Voorstel: uitzondering voor biometrische verificatie onder eigen controle (artikel 9, lid 2, onder l AVG)
2025-11-19 · voorstel, Europese Commissie
- Raad: Iers voorzitterschap zet onderhandelingen voort met herzien compromis, Antici-groep 11 september 2026
2026-09-11 · in onderhandeling, Raad van de Europese Unie, Iers voorzitterschap
- Voorstel: uitzondering voor incidentele bijzondere persoonsgegevens bij AI (artikel 9, lid 2, onder k, en lid 5 AVG)
2025-11-19 · voorstel, Europese Commissie
- Wijziging UAVG: AP verplicht om AVG-sancties openbaar te maken vanaf 1 september 2026
2026-09-01 · van kracht, Wetgever (Tweede Kamer) en Autoriteit Persoonsgegevens
- Voorstel: gerechtvaardigd belang voor ontwikkeling en gebruik van AI (nieuw artikel 88c AVG)
2025-11-19 · voorstel, Europese Commissie
- Voorstel: cookieregels van ePrivacy naar de AVG, met nieuwe uitzonderingen en zesmaandenregel (nieuw artikel 88a AVG en artikel 5, lid 3 ePrivacy)
2025-11-19 · in onderhandeling, Europese Commissie
Analyses
- DPIA voor AI-systemen: wanneer verplicht en hoe uit te voeren (2026)
2026-03-23
- Artikel 26 EU AI Act: gids voor deployer verplichtingen
2026-03-21
- FRIA vs DPIA: 5 cruciale verschillen plus gratis FRIA-template (2026)
2025-08-05
- AP-uitvraag over AI of algoritmes: welke documenten moet je kunnen laten zien?
2026-07-07
- Wat is FRIA? Grondrechtentoets AI Act artikel 27 uitgelegd
2026-02-28
- LinkedIn AI en AP-waarschuwing: wat je moet weten
2025-09-25