Het handhavingsbeleid van de AP: wat uw gemeente moet weten als de toezichthouder komt

Stel: u bent functionaris gegevensbescherming (FG) bij een gemeente. De Autoriteit Persoonsgegevens (AP) heeft onderzoek gedaan naar het selectiemodel waarmee uw gemeente bijstandsdossiers kiest voor een heronderzoek. Vandaag ligt er een onderzoeksrapport op het bureau van de gemeentesecretaris, met een brief: de AP is van plan handhavend op te treden. Wat gebeurt er nu, wat kan de gemeente nog doen, en wat wordt er van u verwacht?

Sinds 30 oktober 2026 staat dat op papier. De AP publiceerde toen haar definitieve handhavingsbeleid, na een consultatie die op 13 april 2026 begon en twaalf reacties opleverde.

Wat de AP publiceerde

Het beleid beschrijft zes uitgangspunten, de instrumenten waarover de AP beschikt (van berisping en last onder dwangsom tot verwerkingsverbod en boete), de factoren die de keuze bepalen en het verloop van de procedure. Bij het beleid hoort een verantwoordingsdocument waarin de AP uitlegt wat zij met de reacties deed.

Belangrijk om te weten: het beleid zegt niets over hoe de AP kiest welke zaken zij onderzoekt. Dat is een bewuste keuze, schrijft de AP in het verantwoordingsdocument. Het beleid begint pas als de AP een overtreding heeft vastgesteld, en in een paar gevallen al daarvoor, bijvoorbeeld met een formele waarschuwing bij een verwerking die nog moet beginnen.

Les 1: een overtreding moet stoppen, een boete is een aparte keuze

Stelt de AP een overtreding vast, dan moet die in beginsel worden beëindigd. Dat heet de beginselplicht tot handhaving. Een boete hoort daar niet automatisch bij. De AP verwijst naar het arrest Land Hessen van het Hof van Justitie (C-768/21, 26 september 2024): een toezichthouder hoeft geen corrigerende maatregel zoals een boete op te leggen als dat niet passend, noodzakelijk of evenredig is.

Andersom geldt ook: het lichtste middel is niet het uitgangspunt. Een zaak afsluiten met alleen een eindbrief kan volgens het beleid alleen bij bijzondere omstandigheden, want "in de regel zijn overtredingen te ernstig" daarvoor. En de AP kan middelen stapelen, bijvoorbeeld een last onder dwangsom en tegelijk een boete.

Les 2: voor gemeenten gelden de Boetebeleidsregels van de AP

De AVG laat elke lidstaat zelf bepalen of overheden een boete kunnen krijgen (artikel 83 lid 7 AVG). In Nederland kan dat: het beleid zegt uitdrukkelijk dat de AP ook aan de overheid boetes kan opleggen. In februari 2026 kregen tien gemeenten elk een boete, samen 250.000 euro, voor rapporten over islamitische inwoners die zij zonder grondslag hadden.

Voor de hoogte van de boete gebruikt de AP bij overheden niet de Europese rekenregels (EDPB-richtsnoeren 04/2022), maar de Boetebeleidsregels Autoriteit Persoonsgegevens 2023. De Europese regels gelden volgens het beleid niet voor overheden en niet voor mensen die niet als onderneming handelen. De factoren van artikel 83 lid 2 AVG weegt de AP wel volgens Richtsnoeren 04/2022.

Les 3: overleg over herstel loopt naast de procedure, niet in plaats ervan

De AP staat open voor overleg met een overtreder die de overtreding wil beëindigen. Dat kan tijdens het handhavingstraject en ook nog in bezwaar of beroep. Er zijn twee voorwaarden, en één dringend advies:

• Het voorstel is een helder en specifiek plan: welke maatregelen u neemt en wanneer. In het concept stond nog "voldragen voorstel"; de AP maakte duidelijk dat het plan in het overleg kan worden aangepast.
• Heeft de organisatie een FG, dan voegt u een advies van de FG bij. Dat is geen wettelijke plicht, schrijft de AP, maar een voorwaarde voor dit aanbod.
• De AP raadt aan vroeg te beginnen, bijvoorbeeld tegelijk met de schriftelijke zienswijze. Het overleg houdt de procedure niet op; neemt de AP een besluit, dan stopt het overleg.

Een voorstel geldt niet als erkenning van de overtreding. Maar de AP houdt de mogelijkheid om toch een boete op te leggen. Wel kan zij de feitelijke gevolgen van het beëindigen meewegen bij de keuze van het middel. De medewerkers van de AP geven in het overleg geen advies; zij toetsen alleen of uw plan de overtreding beëindigt.

Les 4: de FG zit niet aan tafel, maar leest alles mee

Heeft de gemeente een FG bij de AP aangemeld, dan krijgt de FG bij de start een afschrift van het onderzoeksrapport of het conceptbesluit en het voornemen tot handhaving. Daarna ook de voortgangsberichten, een afschrift van het verslag van een zienswijzezitting en het eindbesluit of de brief waarin de AP afziet van handhaving. De FG mag een zienswijzezitting bijwonen als toehoorder.

De AP benadert de FG nadrukkelijk niet als vertegenwoordiger van de gemeente. Dat past niet bij de onafhankelijke positie van de FG (artikel 38 AVG). De gemeente moet de FG wel zelf betrekken bij de zienswijze.

De definitieve tekst maakt expliciet: bij de keuze van het middel weegt de AP mee in hoeverre de FG de organisatie eerder op de risico's heeft gewezen, bijvoorbeeld in een DPIA of advies, en wat de organisatie daarmee deed. Voor een FG betekent dat: leg uw adviezen schriftelijk vast. Voor de gemeente: volg ze op, of leg vast waarom niet.

Les 5: erkennen en berusten levert korting op, maar u geeft veel op

Wil de AP een boete opleggen, dan kan zij de zaak afronden met de erkennings- en berustingsprocedure. De overtreder erkent de overtreding en berust in de boete; de AP verlaagt die met maximaal 35 procent. De zaak moet zich ervoor lenen en er moet tijdwinst te halen zijn. De AP stelt eerst zelf het boetebedrag vast volgens de gewone regels; over de hoogte wordt niet onderhandeld.

De voorwaarden zijn streng:

1. U erkent duidelijk en ondubbelzinnig de overtredingen uit het rapport.
2. U ziet af van bezwaar, beroep en hoger beroep.
3. U stemt in met openbaarmaking van het boetebesluit op de website van de AP, met een persbericht dat ook via sociale media gaat. U mag de tekst van het persbericht vooraf alleen controleren op feitelijke fouten.

Er bestaat geen recht op deze route, de AP beslist per zaak, en wordt de route afgebroken, dan start zij in die zaak niet opnieuw. De verkenning is vertrouwelijk: nieuwe informatie die u daarin naar voren brengt, gebruikt de AP niet in de gewone procedure als het niets wordt, tenzij u daar toestemming voor geeft. Voor een gemeente is punt 3 vaak het zwaarste: u stemt vooraf in met openbaarmaking en een persbericht. Ook in de gewone route publiceert de AP, maar daar neemt zij eerst een apart besluit over de openbaarmaking. Bespreek de route dus vroeg met het college.

Les 6: reken op negen tot achttien maanden

Een handhavingsprocedure duurt volgens de AP gemiddeld negen tot achttien maanden. Een paar termijnen uit het beleid:

• De Awb geeft de AP dertien weken na de datum van het onderzoeksrapport om over de boete te beslissen (artikel 5:51 lid 1 Awb); het beleid rekent vanaf de verzending van het voornemen, dat meestal met het rapport meekomt. Die termijn wordt niet altijd gehaald, en de bevoegdheid vervalt daardoor niet.
• Voor elk volledig half jaar na die termijn krijgt de overtreder 5 procent korting op de boete, met een maximum van 5.000 euro per half jaar. Over het eerste halfjaar kan de AP de korting weigeren als de vertraging door de omstandigheden van de zaak komt.
• Neemt de AP niet binnen de wettelijke beslistermijn een besluit, dan informeert zij de overtreder minstens elke zes maanden over de voortgang.
• De bevoegdheid om een boete op te leggen vervalt vijf jaar na de overtreding (artikel 5:45 Awb); tijdens bezwaar of beroep staat die termijn stil. Bij een voortdurende overtreding telt dat pas vanaf het einde. Een datalek dat nooit is gemeld, is volgens de AP zo'n voortdurende overtreding.

Les 7: een klacht tegen uw gemeente leidt niet vanzelf tot nader onderzoek

Op 12 november 2026 deed Rechtbank Oost-Brabant uitspraak over een klacht van een particulier tegen een zorginstelling (ECLI:NL:RBOBR:2026:8068). Een klacht onder artikel 77 AVG is een verzoek om handhaving en dus een aanvraag in de zin van de Awb. De AP moet de klager op de hoogte houden van de voortgang en het resultaat (artikel 77 lid 2 AVG); hoort de klager binnen drie maanden niets, dan kan die naar de rechter (artikel 78 lid 2). Na een voortgangsbericht moet de AP binnen een redelijke termijn beslissen. Wat redelijk is, hangt af van de aard van de klacht. Omdat de AP tijdig een voortgangsbericht stuurde en de klacht 25 keer was aangevuld, was de redelijke termijn nog niet verstreken; de ingebrekestelling kwam te vroeg.

Inhoudelijk mocht de AP de klacht afwijzen zonder verder onderzoek. Zonder nader onderzoek viel geen overtreding vast te stellen, de bredere maatschappelijke impact was beperkt, de capaciteit van de AP is beperkt, en het onderwerp viel niet onder haar aandachtspunten voor 2026: massasurveillance, betrouwbare digitale diensten en de snelle ontwikkeling van AI. De AP bleef binnen haar beleidsruimte.

Voor een gemeente snijdt dat aan twee kanten. Een losse klacht over een dossierfout leidt niet vanzelf tot nader onderzoek. Maar klachten over camera's, algoritmes en AI bij de gemeente vallen juist onder die aandachtspunten. Volgens het beleid krijgt de klager bij een handhavingsbesluit een afschrift. Wilt u dat gegevens worden zwartgelakt, dan moet u motiveren waarom ze vertrouwelijk zijn; de AP toetst dat aan artikel 5.1 lid 1 onder c en lid 2 onder f van de Wet open overheid. Tegen de uitspraak staat nog hoger beroep open bij de Raad van State.

Wat de Europese richtsnoeren toevoegen

Op 17 september 2026 nam de EDPB een consultatieversie aan van Richtsnoeren 04/2026 over de vraag wanneer een toezichthouder een boete oplegt, naast of in plaats van andere maatregelen. De richtsnoeren geven vijf stappen. Een boete kan alleen bij opzet of nalatigheid, en nalatig is ook wie had moeten weten dat iets niet mocht. Is de overtreding gering, dan volgt in de regel geen boete. Is zij dat niet, dan geldt een sterk vermoeden dat er wel een boete komt.

Dit is nog geen definitieve tekst; reageren kan tot en met 13 november 2026. Voor overheden gelden de richtsnoeren alleen voor zover het nationale recht boetes aan overheden toelaat, en dat doet Nederland. In een voetnoot zegt de AP het beleid zo snel mogelijk aan te passen als de EDPB Richtsnoeren 04/2022 herziet; Richtsnoeren 04/2026 noemt het beleid niet.

Wat de AI Act toevoegt, en wat niet

Het handhavingsbeleid gaat nu over de AVG en een reeks andere wetten, zoals de Digitaledienstenverordening en de Dataverordening. Volgens de AP volgt de AI Act later, met de Nederlandse uitvoeringswet.

Die uitvoeringswet is er nog niet. Nederland heeft nog geen markttoezichthouder voor de AI Act aangewezen. Het kabinet stelde op 20 april 2026 voor om per domein bestaande toezichthouders te gebruiken, met de AP waar er geen is, en de AP en de Rijksinspectie Digitale Infrastructuur als coördinatoren. De uitvoeringswet is gepland voor het tweede kwartaal van 2027. Ook voor de AI Act beslist elke lidstaat zelf of overheden een boete kunnen krijgen (artikel 99 lid 8 AI Act).

Intussen blijft de AVG het kader waarmee de AP optreedt tegen AI-gebruik met persoonsgegevens. Een selectiemodel voor bijstandsdossiers is daar een voorbeeld van. Is zo'n systeem bedoeld om te beoordelen of inwoners recht hebben op een uitkering, of om die toe te kennen, te beperken, in te trekken of terug te vorderen, dan is het onder de AI Act in beginsel hoog risico (bijlage III punt 5 onder a), tenzij de uitzondering van artikel 6 lid 3 geldt; die uitzondering geldt nooit als het systeem mensen profileert. De hoog-risicoplichten voor systemen uit bijlage III gelden vanaf 2 december 2027; draait een overheidssysteem al vóór die datum, dan gelden ze pas bij een aanzienlijke wijziging en uiterlijk op 2 augustus 2030 (artikel 111 lid 2).

Voor een bank en een school

Een bank is een onderneming. Voor de boetehoogte gelden daarom de Europese rekenregels van Richtsnoeren 04/2022, waarin de omzet het wettelijk maximum en het startbedrag mede bepaalt. Ligt de hoofdvestiging in Nederland en is de verwerking grensoverschrijdend, dan stemt de AP als leidende toezichthouder haar ontwerpbesluit af met de andere toezichthouders. Dat kost volgens het beleid vier tot zes weken, en bij een geschil via de EDPB nog eens tot zestien weken.

Een school of hogeschool heeft vaak ook een FG. De lessen over het herstelplan, het FG-advies en vastgelegde adviezen gelden dan net zo. Of de AP bij een school de Europese rekenregels of haar eigen Boetebeleidsregels gebruikt, hangt af van de vraag of de school als overheid geldt. Het beleid werkt dat niet per sector uit.

Wat u nu doet

1. Zorg dat uw FG bij de AP is aangemeld, zodat de FG de afschriften krijgt.
2. Leg FG-adviezen en DPIA's schriftelijk vast, en ook wat de gemeente ermee deed.
3. Spreek af wie bij een voornemen tot handhaving de zienswijze schrijft, met de FG erbij.
4. Begin bij een vastgestelde overtreding meteen aan een helder en specifiek herstelplan, met tijdpad.
5. Bespreek vooraf met het college of erkennen en berusten een optie is, inclusief de openbaarmaking.
6. Leg bij elk handhavingsbesluit vast welke passages vertrouwelijk zijn, en waarom.
7. Controleer of er overtredingen doorlopen, zoals een niet gemeld datalek: de verjaring loopt pas vanaf het einde.

Wilt u voor een eigen verwerking nagaan welke plichten onder de AVG en de AI Act gelden, gebruik dan de gratis casus-check. Besluiten en richtsnoeren over de AVG vindt u bij AVG-richtsnoeren.

Wat open blijft

• Hoe de AP prioriteert. Het beleid zegt daar bewust niets over. De AP maakt periodieke aandachtspunten bekend; voor 2026 noemt de uitspraak van Rechtbank Oost-Brabant massasurveillance, betrouwbare digitale diensten en AI.
• De Europese richtsnoeren. Richtsnoeren 04/2026 zijn een consultatieversie. De definitieve tekst kan anders uitvallen.
• Hoger beroep. De uitspraak van Rechtbank Oost-Brabant is nog niet onherroepelijk.
• Toezicht op de AI Act. Zolang de uitvoeringswet er niet is, staat niet vast wie in Nederland op welk deel toeziet.