Inzage in een klachtdossier: wat het arrest Lindenberg betekent voor uw gemeente

Stel: u bent privacy officer bij een gemeente. Een inwoner heeft een melding gedaan en om handhaving gevraagd vanwege overlast door een bedrijf in zijn straat. De gemeente heeft het bedrijf aangesproken en de inwoner laten weten dat er maatregelen zijn genomen. De inwoner wil meer weten en stuurt een inzageverzoek: "Geef mij alles wat u in dit dossier over mij hebt." Uw collega's zeggen dat klachtdossiers intern zijn. Mag u weigeren?

Op 5 november 2026 gaf het Hof van Justitie van de EU in de zaak Lindenberg (C-205/25) een duidelijk antwoord, al ging het daar over een privacytoezichthouder en niet over een gemeente. De lessen gelden voor iedere organisatie die klachten, meldingen of bezwaren behandelt.

Wat het Hof besliste

Joachim Lindenberg, een journalist die over gegevensbescherming blogt, had bij de Beierse privacytoezichthouder een klacht ingediend over een derde. De toezichthouder stelde inbreuken vast en liet hem dat weten. Lindenberg vroeg daarna inzage op grond van artikel 15 AVG. De toezichthouder weigerde met een beroep op de Beierse privacywet, die bepaalt dat er geen recht op informatie of inzage bestaat in dossiers en bestanden van de toezichthouder. Later gaf de toezichthouder toch inzage, zonder een plicht te erkennen. Lindenberg wilde dat de rechter vaststelde dat de weigering onrechtmatig was.

Het Hof beantwoordde twee vragen (arrest van 5 november 2026, ECLI:EU:C:2026:933, voorlopige editie):

1. Een toezichthouder die een klacht behandelt, is voor de persoonsgegevens van de klager verwerkingsverantwoordelijke en moet in beginsel inzage geven in die gegevens en in de informatie van artikel 15.
2. Een nationale regel die de klager elk recht van inzage in zijn persoonsgegevens bij de toezichthouder ontzegt, mag niet. Geen van de drie doelen uit artikel 23 lid 1 die het Hof besprak, rechtvaardigt een volledige uitsluiting: de bescherming van anderen (onder i), de goede werking en onafhankelijkheid van de toezichthouder (onder h) en de openbare veiligheid (onder c).

Les 1: het klachtdossier valt gewoon onder de AVG

De toezichthouder voerde aan dat hij tegenover de klager alleen toezichthouder was, en geen verwerkingsverantwoordelijke. Het Hof ging daar niet in mee. Bij de behandeling van een klacht worden gegevens van de klager vastgelegd, geraadpleegd, bewaard en gebruikt, en doel en middelen volgen in wezen uit het Unierecht (punten 37 tot en met 39). Zou dat anders zijn, dan had de klager geen enkel recht uit hoofdstuk III van de AVG en golden de beginselen van artikel 5 en de beveiligingsregels niet voor die gegevens (punt 41).

Voor een gemeente was dat al duidelijk: zij is verwerkingsverantwoordelijke voor de gegevens in haar klachten-, meldingen- en bezwaardossiers. De les zit in wat daaruit volgt. Ook een klachtdossier moet voldoen aan doelbinding, juistheid, bewaartermijnen en beveiliging, en de klager heeft er alle rechten die de AVG geeft.

Voor uw gemeente: neem klachten over de gemeente zelf (hoofdstuk 9 Awb), meldingen en verzoeken om handhaving, en bezwaar op in het verwerkingsregister, met een bewaartermijn. Een interne afspraak dat "klachtdossiers niet worden ingezien" is geen grond om inzage te weigeren.

Les 2: inzage gaat over gegevens, niet over het hele dossier

Het Hof zegt het uitdrukkelijk: artikel 15 geeft recht op de eigen persoonsgegevens en informatie over de verwerking, niet op inzage in het administratieve dossier of op alle documenten van een overheidsinstantie (punt 46).

Wat persoonsgegevens van de klager zijn, is wel ruim. Opmerkingen en beoordelingen over iemand horen erbij: zo zijn de opmerkingen van een examinator bij examenantwoorden persoonsgegevens van de kandidaat (Nowak, C-434/16). De juridische analyse in een ambtelijke notitie is zelf geen persoonsgegeven, de gegevens over de betrokkene daarin wel (YS e.a., C-141/12 en C-372/12). En de kopie van artikel 15 lid 3 moet een getrouwe en begrijpelijke weergave van de gegevens zijn. Dat kan betekenen dat u uittreksels of zelfs hele documenten geeft, maar alleen als dat onmisbaar is om de betrokkene zijn rechten uit de AVG echt te laten uitoefenen (F.F., C-487/21).

Voor uw gemeente: de klager krijgt zijn gegevens: zijn klacht, de aantekeningen over hem, de gespreksverslagen voor zover die over hem gaan, en wat de gemeente over zijn klacht aan anderen heeft doorgegeven. Hij krijgt niet zonder meer het hele dossier.

Les 3: geen algemene weigering, wel afwegen en zwartlakken

In een klachtdossier staan bijna altijd gegevens van anderen: het bedrijf of de buurman over wie geklaagd wordt, medewerkers, getuigen. Artikel 23 lid 1 onder i AVG laat de wetgever toe het inzagerecht te beperken om de rechten van anderen te beschermen, en volgens artikel 15 lid 4 mag de kopie geen afbreuk doen aan hun rechten en vrijheden. Maar die bescherming mag er niet toe leiden dat de klager alle informatie wordt onthouden (punten 56 en 58, overweging 63).

Het Hof wijst de weg: de belangen tegen elkaar afwegen en zo mogelijk de gegevens verstrekken op een manier die anderen niet schaadt, bijvoorbeeld door gegevens van derden onleesbaar te maken of te anonimiseren (punten 58 en 59). Een regel die elke inzage weigert zonder die afweging, mag niet (punt 60).

In Nederland is die beperking geregeld in artikel 41 UAVG; een gemeente kan zich dus niet rechtstreeks op artikel 23 beroepen. De verwerkingsverantwoordelijke kan de rechten buiten toepassing laten voor zover dat noodzakelijk en evenredig is voor een van de doelen die ook in artikel 23 AVG staan, en houdt daarbij rekening met onder meer de doelen van de verwerking, de soorten gegevens en de risico's voor de betrokkene. Dat is dus steeds een afweging per geval.

Voor uw gemeente: lak de naam van de melder of de medewerker zwart waar dat nodig is, en leg vast waarom. Weiger nooit het hele verzoek omdat er ook gegevens van anderen in staan.

Les 4: drukte is geen reden, misbruik moet u aantonen

De toezichthouder vreesde dat inzageverzoeken zijn werk zouden belemmeren. Het Hof erkent dat de goede werking en onafhankelijkheid van een toezichthouder een legitiem doel is (punt 62), maar een regel die elke inzage verbiedt, is daarvoor niet evenredig (punt 64). Zelfs als de administratieve last aanzienlijk is, moet de lidstaat zorgen voor voldoende mensen en middelen (punt 65). Voor kennelijk ongegronde of buitensporige verzoeken is er artikel 12 lid 5: een redelijke vergoeding vragen of weigeren (punt 66). U moet dan zelf aantonen dat het verzoek kennelijk ongegrond of buitensporig is (artikel 12 lid 5, laatste zin). In een andere zaak, over klachten bij een toezichthouder, oordeelde het Hof dat veel klachten op zich nog niet buitensporig zijn: de toezichthouder moet aantonen dat iemand misbruik wil maken (Österreichische Datenschutzbehörde, C-416/23). Dat arrest ging niet over inzageverzoeken, maar de gedachte is goed bruikbaar.

Voor uw gemeente: vaak klagen maakt iemand nog geen misbruiker. Herhaalde inzageverzoeken kort na elkaar kunnen wel buitensporig zijn. Wilt u een verzoek om die reden weigeren, onderbouw dat dan per verzoek.

Les 5: openbare veiligheid vraagt een echte en ernstige dreiging

Ook de openbare veiligheid (artikel 23 lid 1 onder c) kan een beperking rechtvaardigen, maar alleen bij een werkelijke en voldoende ernstige bedreiging die een fundamenteel belang van de samenleving raakt (punt 68). In de zaak Lindenberg was daar niets van gebleken.

Voor uw gemeente: gaat een klacht of melding over een veiligheidskwestie, bijvoorbeeld een melding van bedreiging of ondermijning, dan kunt u onderdelen achterhouden op grond van artikel 41 UAVG, bijvoorbeeld om de melder of een strafrechtelijk onderzoek te beschermen (onderdelen i en d), als u per geval aanwijst welk concreet risico inzage oplevert. Een algemene verwijzing naar "veiligheid" is niet genoeg.

Les 6: uw beslissing is een besluit

Een schriftelijke beslissing van een bestuursorgaan op een inzageverzoek geldt als een besluit in de zin van de Algemene wet bestuursrecht (artikel 34 UAVG). De inwoner kan er dus bezwaar en beroep tegen instellen. U beslist zonder onnodige vertraging en uiterlijk binnen een maand. Bij ingewikkelde of veel verzoeken mag u met twee maanden verlengen, als u dat binnen de eerste maand met redenen meldt (artikel 12 lid 3 AVG).

Daarnaast bestaan er andere routes naar stukken, met eigen regels. In een bezwaarprocedure legt het bestuursorgaan vóór de hoorzitting minstens een week het bezwaarschrift en alle verder op de zaak betrekking hebbende stukken ter inzage voor belanghebbenden, tenzij geheimhouding om gewichtige redenen nodig is (artikel 7:4 leden 2 en 6 Awb). En iedereen kan een verzoek om openbaarmaking doen onder de Wet open overheid. Het AVG-inzagerecht staat daar los van en verdwijnt niet doordat er ook een andere route is.

Ook voor de Autoriteit Persoonsgegevens

Het arrest gaat over een privacytoezichthouder. In Nederland is dat de Autoriteit Persoonsgegevens (AP). Wie bij de AP een klacht indient, heeft dus ook bij de AP recht op inzage in zijn persoonsgegevens in het klachtdossier, met dezelfde afweging voor gegevens van de organisatie of personen over wie hij klaagt. Het Hof merkt op dat het niet onmogelijk lijkt dat een toezichthouder zijn organisatie zo inricht dat zijn eigen omgang met gegevens van klagers door een ander onderdeel binnen de toezichthouder onafhankelijk wordt gecontroleerd (punt 43).

Wat de AI Act toevoegt, en wat niet

De AI Act verandert niets aan het inzagerecht. De AVG blijft onverlet, met artikel 4 bis en artikel 59 als enige voorbehoud (artikel 2 lid 7 AI Act).

Wel raakt het arrest gemeenten die AI gebruiken bij klachten en meldingen, bijvoorbeeld een hulpmiddel dat meldingen sorteert, een urgentie toekent of gesprekken samenvat. Wat zo'n hulpmiddel over de klager vastlegt, zoals een label, een samenvatting of een score, kan een persoonsgegeven van de klager zijn, net als de opmerkingen van een beoordelaar in Nowak. Dan valt het onder de inzage. Zorg dus dat u die uitvoer per persoon kunt terugvinden. Uitleg over de onderliggende logica moet u op grond van artikel 15 lid 1 onder h in elk geval geven bij geautomatiseerde besluiten in de zin van artikel 22 AVG.

Een hulpmiddel dat klachten sorteert of samenvat, is meestal geen hoog-risicosysteem. Let wel op bij systemen die noodoproepen beoordelen of de inzet van hulpdiensten bepalen: die zijn wel hoog risico (bijlage III punt 5 onder d). Is een AI-systeem bedoeld om te beoordelen of inwoners recht hebben op een essentiële overheidsuitkering of -dienst, of om die toe te kennen, te beperken, in te trekken of terug te vorderen, dan is het in beginsel wel hoog risico (bijlage III punt 5 onder a), tenzij de uitzondering van artikel 6 lid 3 geldt; die uitzondering geldt nooit als het systeem mensen profileert. Voor de systemen uit bijlage III gelden de hoog-risicoplichten vanaf 2 december 2027. Een systeem dat vóór die datum in de handel is gebracht of in gebruik is gesteld, valt er pas onder bij een aanzienlijke wijziging van het ontwerp; aanbieders en gebruiksverantwoordelijken van systemen die bedoeld zijn voor gebruik door overheidsinstanties voldoen uiterlijk 2 augustus 2030 (artikel 111 lid 2). Met de hoog-risicoplichten komt in de praktijk ook het recht op uitleg van artikel 86 bij een besluit met rechtsgevolgen of vergelijkbaar ernstige gevolgen, voor zover het Unierecht niet al in zo'n recht voorziet.

Voor een bank en een school

Een bank behandelt klachten van klanten over bijvoorbeeld een geweigerde lening of een geblokkeerde rekening. Vraagt de klant inzage, dan krijgt hij zijn gegevens in het klachtdossier, met de notities over hem. Gegevens van medewerkers en derden kunnen worden afgeschermd na afweging. Een beperking om fraudeonderzoek te beschermen kan, maar dan per geval en onderbouwd (artikel 41 lid 1 onder d UAVG, de Nederlandse uitwerking van artikel 23 lid 1 onder d AVG).

Een school of hogeschool behandelt klachten van ouders of studenten, soms over een docent. De klager krijgt zijn eigen gegevens in het dossier. Wat over de docent wordt gezegd, weegt de school af, bijvoorbeeld door delen zwart te lakken; volledig weigeren mag niet.

Wat u nu doet

1. Ga na of uw organisatie een regel of gewoonte heeft dat klacht-, meldingen- of bezwaardossiers niet worden ingezien. Vervang die door een afweging per verzoek.
2. Leg vast hoe u gegevens van derden afschermt: wie lakt, met welk hulpmiddel, en hoe u de keuze motiveert.
3. Neem klachtbehandeling, meldingen en bezwaar op in het verwerkingsregister, met bewaartermijnen.
4. Zorg dat uitvoer van AI-hulpmiddelen bij klachten en meldingen per persoon is terug te vinden.
5. Gebruik artikel 12 lid 5 alleen met een onderbouwing per verzoek, en bewaar die.
6. Vermeld in de beslissing op een inzageverzoek dat bezwaar mogelijk is.

Wilt u voor een eigen verwerking nagaan welke plichten onder de AVG en de AI Act gelden, gebruik dan de gratis casus-check. Uitspraken van het Hof over de AVG vindt u bij AVG-richtsnoeren.

Wat open blijft

• Voorlopige tekst. Het arrest staat als voorlopige editie op EUR-Lex. De definitieve tekst kan redactioneel nog wijzigen.
• Hoe ver de afweging gaat. Het Hof zegt dat afwegen en zwartlakken moet, maar niet hoe ver een organisatie moet gaan als gegevens van de klager en van een ander in dezelfde zin staan. Een Nederlandse uitspraak die het arrest toepast, kennen wij nog niet.
• Het voorstel om artikel 12 lid 5 te wijzigen. De Europese Commissie stelde in november 2025 voor dat een organisatie een inzageverzoek mag weigeren of er een vergoeding voor mag vragen als iemand het inzagerecht misbruikt voor andere doelen dan de bescherming van zijn gegevens (COM(2025) 837). Dat voorstel is nog niet aangenomen; tot die tijd geldt de AVG zoals het Hof haar uitlegt.