Klacht indienen bij de Autoriteit Persoonsgegevens: dit zijn de uitgangspunten

Het klachtrecht
Een betrokkene kan een klacht indienen bij de Autoriteit Persoonsgegevens (AP) op het moment dat hij of zij aanwijzingen heeft dat een organisatie zijn of haar persoonsgegevens niet in overeenstemming met de AVG verwerkt. Bijvoorbeeld omdat de betrokkene geen inzicht krijgt in zijn of haar eigen persoonsgegevens, de organisatie niet duidelijk kan uitleggen wat er met de persoonsgegevens gebeurt of omdat de organisatie niet op een juiste manier toestemming van de betrokkene heeft gevraagd voor de verwerking van de persoonsgegevens.

 

De invoering van het klachtrecht heeft gezorgd voor de nodige opschudding in privacy-land. Organisaties die het privacybeleid niet op orde hebben, lopen het risico dat een betrokkene gaat klagen bij de AP, met alle gevolgen van dien. Sinds de invoering van de AVG zijn er ruim 600 klachten ingediend bij de AP. De AP is belast met de afhandeling van deze klachten en het eventuele onderzoek naar de organisatie.

 

De beleidsregels van de AP
Op 1 oktober 2018 heeft de AP beleidsregels gepubliceerd over hoe zij omgaat met ingediende klachten. En dat schept meer duidelijkheid.

 

Uit de beleidsregels volgt dat de AP zich in beginsel richt op het bereiken van normconform gedrag. Het doel dat de AP met de klachtenbehandeling wil bereiken, is dat organisaties zich in de toekomst wel zullen houden aan de regels van de AVG. De AP wil dit doel op een praktische wijze bereiken door organisaties bijvoorbeeld te bellen en handvatten te geven over wat die organisatie moet veranderen om wél AVG-compliance te zijn. De AP richt zich dus duidelijk niet op het uitdelen van boetes, maar op het teweegbrengen van verandering en stelt daarbij de bescherming van de persoonsgegevens voorop.

 

Iedere klacht wordt door de AP in behandeling genomen en de klager krijgt een inhoudelijke reactie van de AP. Niet iedere klacht wordt even uitgebreid onderzocht; dit is afhankelijk van de aard en de inhoud van de klacht en wat in dat specifieke geval passend is. Impliciet kan hieruit worden afgeleid dat alleen de 'ernstigere' klachten uitgebreid worden onderzocht. De AP noemt zelf de gevallen waarin de bescherming van persoonsgegevens 'het meest wordt gevraagd'. Dit laatste wordt door de AP aangeduid als het prioriteitsbeleid met bijbehorende prioriteitscriteria en vormt een belangrijk punt in de beleidsregels. Hierover later meer.

 

Eerst terug naar het begin. Stel, u wilt als betrokkene een klacht indienen tegen een organisatie en u vraagt zich af hoe dat in zijn werk gaat.

 

Hoe dient u een klacht in bij de AP?
Klachten kunnen eenvoudig digitaal, per post of telefonisch worden ingediend bij de AP.

 

Wat gebeurt er als u een klacht bij de AP hebt ingediend?
De AP gaat eerst na of er sprake is van een overtreding waartegen de AP kan optreden en onderzoekt daarbij de informatie van de klager en de vermeende overtreder. De AP kan ook andere bronnen onderzoeken, zoals websites of informatie uit vergelijkbare dossiers.

 

Vervolgens probeert de AP te bemiddelen tussen de klager en de vermeende overtreder om te zien of de klacht eenvoudig kan worden opgelost. Daar komt de praktische aanpak van de AP weer terug.

 

Indien de klacht na bemiddeling niet kan worden opgelost en er voldoende aanwijzingen zijn voor een overtreding, komt de klacht in de volgende fase terecht en wordt deze getoetst aan de prioriteitscriteria, voordat een klacht uitgebreid wordt onderzocht door de AP.

 

De prioriteitscriteria
De prioriteitscriteria zijn de volgende:

1. impact individu; hoe schadelijkheid is de vermeende overtreding voor de betrokkene(n)? Hierbij slaat de AP ook acht op het soort persoonsgegevens (gevoelig of niet), van wie de persoonsgegevens afkomstig zijn (minderjarige) en of de overtreding nog steeds voortduurt of inmiddels is beëindigd;
2. impact maatschappij; wat is de omvang van de maatschappelijke betekenis van een eventueel optreden van de AP?;
3. de mate waarin de AP doeltreffend en doelmatig kan optreden; doeltreffend betekent in dit verband dat de AP een inschatting maakt welk handhavingsinstrument nodig is en doelmatig betekent dat de AP onderzoekt of een nader onderzoek mogelijk is met de beschikbare capaciteit en toegekende financiële middelen.

Met inachtneming van deze drie criteria besluit de AP om de klacht al dan niet verder te onderzoeken.

 

Op het moment dat de AP besluit de klacht verder te onderzoeken, zal de AP het onderzoek verrichten en van haar bevindingen een concept-rapport uitbrengen. De vermeende overtreder mag daar vervolgens op reageren, waarna het definitieve rapport volgt.

 

Als uit het uiteindelijke rapport blijkt dat er sprake is van een overtreding, gaat de AP over tot handhaving. In die fase kan de AP bijvoorbeeld een boete opleggen. De prioriteitscriteria gelden niet in de handhavingsfase.

 

Conclusie
Kortom, de klachtenbehandeling van de AP is gericht op normconform gedrag. Alleen de klachten die niet door bemiddeling kunnen worden opgelost en vervolgens de toets van de prioriteitscriteria doorstaan, worden verder onderzocht en afgehandeld.

 

Als u een klacht hebt over een organisatie, is het belangrijk om deze altijd te melden aan de AP, aangezien een klacht aanleiding kan zijn voor de AP om een organisatie aan te sporen veranderingen door te voeren.

 

Door Nine Bennink

 

Hebt u naar aanleiding van deze blog nog vragen over het klachtrecht of wilt u zelf een klacht indienen? Of hebt u uw privacy-documentatie nog niet helemaal op orde en bent u bang voor een klacht? Wij helpen u graag!