Een betrokkene die vermoedt dat zijn persoonsgegevens worden verwerkt op een manier die in strijd is met de privacywet (AVG) kan een klacht indienen bij de Autoriteit Persoonsgegevens (AP) (artikel 77 lid 1 AVG). De AP is verplicht alle klachten in behandeling te nemen en iedereen die een klacht heeft ingediend informatie te verschaffen omtrent de vooruitgang en de resultaten van het onderzoek (artikel 57 lid 1 aanhef en onder f AVG). De verplichte inhoudelijke reactie betekent overigens niet dat het onderzoek dat daaraan ten grondslag ligt altijd even uitgebreid is. De AP mag namelijk bij het behandelen van klachten een afweging maken ten aanzien van de mate van intensiteit van het onderzoek. In de nieuwe beleidsregels licht de AP nader toe hoe zij bij het behandelen van klachten haar onderzoekscapaciteit inzet.
Aanpak AP
De AP zal zich primair gaan richten op het bereiken van normconform gedrag bij het behandelen van klachten. De AP stuurt aan op een pragmatische benadering waarbij doeltreffendheid en efficiency een belangrijke rol spelen. Daarbij kan worden gedacht aan telefonisch contact met de (vermeende) overtreder of een (publieke) waarschuwingsbrief als de klacht daarmee kan worden afgedaan. De AP maakt daarmee duidelijk dat zij niet meteen naar zware middelen gaat grijpen indien dat niet nodig is.
Behandeling klachten
Bij het behandelen van een klacht onderzoekt de AP de klacht in de mate waarin dat gepast is. Wat gepast is, kan per geval verschillen en is afhankelijk van alle concrete feiten en omstandigheden. In ieder geval begint de AP met een eerste beoordeling.
Aan de hand van een eerste beoordeling bepaalt de AP of er mogelijk sprake is van een overtreding. Wanneer uit de eerste beoordeling van de klacht blijkt dat er sprake is van een overtreding, zal de AP in beginsel handhavend optreden. Mocht al snel duidelijk zijn dat er geen sprake is van een overtreding, dan beëindigt de AP de behandeling van de klacht.
Het is ook mogelijk dat uit de eerste beoordeling blijkt dat er voldoende aanleiding is om te kunnen spreken van een overtreding, maar dat nader onderzoek nodig is om het definitief vast te kunnen stellen. In dat geval zal de AP als vervolgstap aan de prioriteitscriteria toetsen.
Prioriteitscriteria
De prioriteitscriteria zijn ontstaan omdat de AP niet altijd een nader onderzoek kan uitvoeren omdat haar mankracht en middelen beperkt zijn. Door het toetsen aan deze criteria kan de AP dan een weloverwogen besluit nemen om een klacht verder te behandelen of niet.
De criteria zijn als volgt:
- Hoe schadelijk is de vermeende overtreding voor de betrokkene(n);
Daarbij kijkt de AP of mogelijk sprake is van een ernstige overtreding en of de overtreding nog voortduurt of structureel van aard is. Verder weegt mee om wat voor persoonsgegevens het gaat en of het persoonsgegevens betreft van een kwetsbare groep. - Wat is de omvang van de bredere maatschappelijke betekenis van een eventueel optreden van de AP;
Hierbij kijkt de AP of de overtreding valt binnen de aandachtspunten uit het Toezichtkader. Verder kijkt de AP naar de hoeveelheid betrokkenen, de mate waarin zij worden getroffen en of sprake is van een grensoverschrijdend karakter. - In hoeverre is de AP in staat doeltreffend en doelmatig op te treden.
Ten aanzien van doeltreffendheid zal de AP een inschatting maken welk handhavingsinstrument geschikt is om op korte termijn het gewenst effect te bereiken. De AP kan daarbij gebruik maken van informele interventies om normconform gedrag te realiseren, naast haar wettelijke handhavingsinstrumenten. Bij doelmatigheid gaat het om de beschikbare menskracht en financiële middelen van de AP en het evenwichtig verdelen daarvan gelet op het aantal signalen en de klachten die aanleiding zijn voor nader onderzoek.
De prioriteringscriteria zijn niet cumulatief, maar een klacht die op meerdere criteria hoog scoort zal eerder nader worden onderzocht. Dit betekent dat een aanleiding voor het niet verder behandelen van een klacht kan zijn dat deze klacht op één criteria een lage(re) score heeft. Wel kan in het geval van bijzondere omstandigheden een klacht toch nader onderzocht worden als het op alle criteria laag scoort.
Nader onderzoek
Het nader onderzoek kan op verschillende manieren plaatsvinden, maar resulteert doorgaans in een concept rapport. De vermeende overtreder kan daarop reageren, waarna het definitieve rapport wordt vastgesteld. Wanneer in het definitieve rapport van bevindingen is vastgesteld dat sprake is van een overtreding, dan volgt de handhavingsfase. In het geval geen sprake is van een overtreding, dan wordt het onderzoek gesloten en de behandeling van de klacht beëindigd.
Sectorale wetgeving
Goed om te weten is dat wanneer de AP een verzoek om handhaving ontvangt over sectorale wetgeving, de AP hetzelfde stramien volgt als bij afhandeling van klachten in de zin van de AVG. Dit geldt ook voor verzoeken van belanghebbenden die niet als betrokkene zijn aan te merken.
Bronnen: Autoriteit Persoonsgegevens,1 oktober 2018 en Stcrt. 2018, 54 287
Dit artikel is geschreven door mr. Kim Reijnen van Kim Reijnen – Legal Support en Training.