Hoe wij uw klacht afhandelen

Hieronder vindt u stap voor stap wat er gebeurt als u een klacht indient bij de Autoriteit Persoonsgegevens (AP). Wat doet de AP met uw klacht? En waarom duurt het soms lang voordat de AP uw klacht heeft afgehandeld?

Heeft u een klacht over hoe een organisatie omgaat met uw persoonsgegevens? Ga dan eerst met deze organisatie in gesprek, of vraag schriftelijk om een reactie. U moet eerst een klacht indienen bij de organisatie zelf, of een inzageverzoek doen. Reageert de organisatie niet op tijd op uw inzageverzoek? Of vindt u dat de organisatie uw klacht niet goed heeft afgehandeld? Dan kunt u een klacht indienen bij de AP.

Heeft u een klacht ingediend, dan hoort u altijd binnen 3 maanden van ons. De meeste klachten kunnen we behandelen met een eenvoudig onderzoek. Bij enkele klachten doen we een uitgebreid onderzoek.

1. Vooronderzoek 

Nadat wij uw klacht hebben ontvangen, starten wij een vooronderzoek. Hierbij kijken wij onder meer:

• Of uw klacht gaat over uw eigen persoonsgegevens.
• Of uw klacht valt onder de AVG, of onder andere privacywetgeving, zoals de Wet politiegegevens (Wpg).

Voldoet uw klacht niet aan deze voorwaarden? Dan kunnen wij uw klacht niet behandelen. Als het niet om uw eigen persoonsgegevens gaat, behandelen wij uw klacht als een tip. 

Genoeg informatie

Tijdens het vooronderzoek kijken wij ook of u genoeg informatie heeft gestuurd om uw klacht te behandelen. Als u ons te weinig informatie geeft, kunnen wij uw klacht niet goed onderzoeken. Stuur bij het indienen van uw klacht daarom zoveel mogelijk bewijs mee van de mogelijke overtreding. En informatie waaruit blijkt dat u de organisatie zelf heeft aangesproken op het niet goed afhandelen van uw klacht of verzoek. 

Op de pagina Een tip of klacht indienen bij de AP vindt u meer informatie over het voorbereiden en indienen van uw klacht. 

Uw klacht is altijd waardevol. Iedere klacht of tip is een belangrijk signaal voor ons. Klachten geven ons een goed beeld van de privacyproblemen die mensen ervaren.

2. Hoe wij uw klacht oplossen

De ene klacht is de andere niet. Wij kunnen uw klacht op verschillende manieren oplossen. De meeste klachten lossen wij zo op:

• We nemen contact met u op en leggen uit wat u zelf kunt doen om de klacht op te lossen.
• We nemen contact op met de organisatie waarover uw klacht gaat. Dit kunnen we doen door de organisatie te bellen of door een waarschuwingsbrief te sturen. Wij spreken de organisatie dan aan op de manier van werken en leggen de privacyregels uit. Zo kan de organisatie zelf stappen ondernemen om aan de wet te voldoen. Heeft de organisatie een functionaris gegevensbescherming (FG)? Of is de organisatie lid van een brancheorganisatie? Dan kunnen we ook contact opnemen met de FG of brancheorganisatie.
• We bemiddelen tussen u en de organisatie waarover uw klacht gaat. Wij proberen een gesprek op gang te brengen tussen u en de organisatie waarover uw klacht gaat en vlot tot een oplossing te komen.

Een veelvoorkomende klacht is dat een bedrijf niet reageert op een verzoek om inzage te geven in iemands persoonsgegevens. Wij kunnen de organisatie dan opdragen alsnog te reageren. Vaak leidt dit direct tot een oplossing.

Soms lossen we uw klacht niet direct op. Bijvoorbeeld omdat we kijken of er vergelijkbare klachten binnenkomen. We behandelen die klachten dan samen met uw klacht. Dat is effectiever. Het kan ook zo zijn dat wij al een onderzoek zijn gestart naar het onderwerp van uw klacht. Bijvoorbeeld door een eerdere klacht, tip of mediabericht. Uw klacht wordt dan meegenomen in dit onderzoek. 

3. Hoe wij uw klacht onderzoeken

Wij ontvangen elk jaar duizenden klachten. De AP onderzoekt elke klacht, maar kan niet alle klachten even uitgebreid onderzoeken. We moeten daarin keuzes maken. Zodat we mensen zo goed mogelijk helpen, maar ook niet te lang laten wachten. Wij gebruiken criteria om te bepalen of wij uw klacht uitgebreid onderzoeken, namelijk:

• Hoe ernstig de inbreuk is op uw privacy.
• Of de mogelijke overtreding nog aan de gang is.
• Wat de mogelijke overtreding voor impact heeft op onze samenleving.
• Of wij genoeg mogelijkheden hebben om op te treden tegen de organisatie waarover uw klacht gaat.
• Of het onderwerp van uw klacht valt binnen een van de thema’s uit ons jaarplan.

4. Wij houden u op de hoogte

Privacy is een grondrecht en uw klacht verdient een goede afhandeling. U krijgt altijd binnen 3 maanden bericht over uw klacht via e-mail, brief of telefoon. Soms gaat de afhandeling snel, maar sommige klachten zijn erg ingewikkeld en vragen veel onderzoek. Ook kan het zijn dat we klachten die op elkaar lijken gebundeld willen afhandelen. Het kan een tijd duren voordat uw klacht is afgehandeld.

Tijdens de behandeling van uw klacht houden wij u op de hoogte van de voortgang. Wij houden u regelmatig op de hoogte over hoe het met de afhandeling van uw klacht gaat. Doen wij een uitgebreid onderzoek en maken wij een onderzoeksrapport? Dan laten wij dat aan u weten. 

U hoeft hierover niet zelf contact op te nemen met ons. Vindt u het niet nodig dat wij u op de hoogte houden? Dan kunt u zich hiervoor afmelden. 

5. Uitgebreid onderzoek

In enkele gevallen doen we een uitgebreid onderzoek. 

Als wij een uitgebreid onderzoek starten, leggen wij de organisatie uit waarom wij dit doen en wat wij precies gaan onderzoeken. Ook vragen wij informatie op bij deze organisatie. Zie ook de criteria onder Hoe wij uw klacht onderzoeken.

• Meestal vragen wij de organisatie om schriftelijke informatie. Met deze informatie maken we een onderzoeksrapport en nemen we een besluit over uw klacht.
• Soms doen wij ook een onderzoek op locatie. Dit betekent dat we bij de organisatie langsgaan. Met de informatie die we tijdens dit bezoek verzamelen en de schriftelijke informatie, maken we een onderzoeksrapport. Daarna nemen we een besluit over uw klacht. 

Een onderzoek op locatie 

Tijdens een onderzoek op locatie gaan onze medewerkers op bezoek bij de organisatie waarover uw klacht gaat. Onze medewerkers verzamelen dan relevante informatie en kijken onder meer in de systemen van de organisatie. Ook kunnen wij bestuurders en medewerkers ondervragen.

Werkt een organisatie niet mee? Dan kunnen wij de organisatie opdragen om dit alsnog te doen. 

Nadat onze onderzoekers informatie hebben verzameld, gaan zij aan de slag met het analyseren. Wij bekijken of de klacht terecht is. We moeten eerst vaststellen of de organisatie persoonsgegevens verwerkt. En zo ja, welke persoonsgegevens dat zijn en op basis van welke grondslagen de organisatie die verwerkt. 

Ook bepalen we of de organisatie de AVG of andere privacywetgeving heeft overtreden. En zo ja, op welke manier. Soms is het ingewikkeld om alle informatie te analyseren en uit te zoeken hoe het zit. En uiteraard moet het onderzoek zorgvuldig gebeuren. Dat kost tijd.

Nationaal of Europees onderzoek

Staat het (Europese) hoofdkantoor van de organisatie in Nederland? Dan handelen wij de klacht af. Anders geven wij de klacht door aan de privacytoezichthouder in het land waar de organisatie een (Europees) hoofdkantoor heeft. Als uw klacht internationaal wordt afgehandeld, blijven wij uw contactpunt. Wij houden u dus op de hoogte van de voortgang. Wij voeren het onderzoek alleen niet zelf uit.

Behandelt een andere Europese privacytoezichthouder uw klacht? Of hebben ook mensen uit andere Europese landen een klacht over de organisatie ingediend en doen wij het onderzoek? Dan werken wij samen met andere Europese toezichthouders om uw klacht zo goed mogelijk af te handelen. 

Het onderzoeksrapport 

Als het uitgebreide onderzoek klaar is, maken wij een rapport. In dit onderzoeksrapport staan de uitkomsten en welke mogelijke overtredingen van de AVG (of andere privacywetgeving) we hebben vastgesteld.

Dan krijgt de organisatie waarover de klacht gaat de mogelijkheid om op ons onderzoeksrapport te reageren. Dit noemen we een zienswijze. De meeste organisaties geven hun zienswijze per brief, maar het kan ook tijdens een bespreking bij ons op kantoor. Met de zienswijze kunnen wij het rapport nog aanpassen. Na de zienswijze bepalen wij welke maatregelen nodig zijn.

Verschillende maatregelen

Heeft de organisatie waarover uw klacht gaat de privacywetgeving overtreden? Dan kunnen wij de organisatie verschillende maatregelen opleggen om ervoor te zorgen dat de overtreding stopt: 

• Een uitnodiging voor een gesprek. Hierin spreken wij de organisatie aan op de manier van werken en leggen we de privacyregels uit. Zo kan de organisatie zelf stappen ondernemen om aan de wet te voldoen.
• Een berisping. Bij een kleinere, minder ernstige overtreding van de AVG kunnen wij een organisatie een berisping opleggen. Hiermee keuren wij de overtreding van de AVG af. Wij leggen een berisping op wanneer dit passender is dan een boete.
• Verscherpt toezicht. Ook kunnen wij een organisatie onder verscherpt toezicht plaatsen. Hierbij krijgt een organisatie de kans om de problemen op te lossen die wij hebben gezien. De organisatie krijgt niet direct een boete of andere maatregel. De organisatie moet regelmatig een rapport over de voortgang delen met ons.
• Een last onder dwangsom. Hierbij verplichten wij een organisatie om te stoppen met het overtreden van de wet. Gebeurt dit niet binnen de termijn die wij hebben gesteld? Dan moet de organisatie een geldbedrag betalen. Wij kunnen ook een last opleggen, dus zonder dwangsom. Hierbij krijgt de organisatie een termijn waarbinnen de organisatie moet stoppen met het overtreden van de wet. Doet de organisatie dit niet? Dan kunnen wij een andere maatregel opleggen, zoals een boete.
• Een verwerkingsverbod. Hiermee verbieden wij een organisatie om bepaalde (soorten) persoonsgegevens te verwerken.
• Een boete. Hiermee bestraffen we de organisatie voor het begaan van een of meerdere ernstige overtredingen. 

Heeft de organisatie waarover uw klacht gaat de privacywetgeving niet overtreden? Dan leggen wij uiteraard geen maatregel op en sluiten wij het onderzoek af.

Lees verder: Boetes en andere sancties van de AP

6. Bezwaar maken tegen het resultaat

Het kan gebeuren dat u het niet eens bent met hoe wij uw klacht hebben afgehandeld. Of dat de organisatie waarover de klacht gaat het niet met ons besluit eens is. Daarom kunnen zowel u als de organisatie bezwaar maken tegen ons besluit over uw klacht. In de brief met ons besluit staat of u bezwaar bij ons kunt maken. En zo ja, hoe u dit doet. 

U kunt bezwaar maken binnen 6 weken nadat het besluit is genomen. Deze periode gaat in op de dag na de datum waarop wij het besluit aan u hebben gestuurd. Dat is de datum die bovenaan de brief staat. Wij hebben 6 weken om te reageren op uw bezwaar. Wij kunnen deze periode verlengen met 6 weken, als dat nodig is. Ook hierna kunnen we de periode verlengen, als u het daarmee eens bent. U hoeft hier niet mee akkoord te gaan.

Na ontvangst van uw bezwaar kunnen wij u bellen om uw bezwaren te bespreken. We kijken dan of we direct een oplossing kunnen vinden. Hiervoor moeten zowel u als de organisatie waarover de klacht gaat met elkaar willen overleggen. Lukt dit niet? Dan behandelen we uw bezwaar inhoudelijk. 

Lees verder: Bezwaar maken

7. Beroep

Bent u het niet eens met ons besluit over uw bezwaarschrift? Dan kunt u bij de bestuursrechter in beroep gaan. Dit kan zonder advocaat. Ook de organisatie waarover het onderzoeksrapport gaat, kan in beroep gaan tegen ons besluit over het bezwaar. 

Op de website van de Rechtspraak leest u hoe u een beroepschrift indient.