Klacht bij de Autoriteit Persoonsgegevens: tip, klacht en de snellere route

Een klacht bij de Autoriteit Persoonsgegevens (AP), de Nederlandse toezichthouder voor gegevensbescherming, is gratis, kan in het Nederlands of in het Engels worden ingediend, en is de route waar de meeste mensen naartoe worden verwezen wanneer een organisatie hun persoonsgegevens verkeerd behandelt. Zij is ook trager en beperkter dan de meeste lezers verwachten, en voor één veelvoorkomend probleem is het niet de route die de AP zelf aanbeveelt.

Twee beslissingen gaan aan het formulier vooraf. De eerste is of de situatie vraagt om een tip, een klacht of een datalektip, want die drie verschillen in anonimiteit, in het vereiste bewijs en in de vraag of iemand u terugschrijft. De tweede is of de AP überhaupt het juiste instrument is, want waar een organisatie een inzageverzoek heeft geweigerd of genegeerd, wijst de AP zelf naar een gang naar de rechter die op een termijn van zes weken loopt in plaats van zes maanden.

Informatie voor het laatst gecontroleerd op 21 juli 2026. Deze pagina geeft algemene juridische informatie over het Nederlandse recht en vormt geen juridisch advies in een individueel geval.

Tip, klacht of datalektip: kies voordat u het formulier opent

De AP werkt met één formulier met drie ingangen, en de keuze bepaalt wat er vervolgens gebeurt. Het is de beslissing met de meeste gevolgen in de hele procedure, en zij wordt in de eerste minuut genomen.

Anonimiteit is de afruil, en die werkt in één richting. Een klacht gaat over uw eigen persoonlijke situatie, zodat de AP uw identiteit bekendmaakt aan de organisatie en een kopie van de klacht en van haar besluit met haar deelt, zoals de Algemene wet bestuursrecht (Awb) vereist. Wie die bekendmaking niet kan accepteren, kiest voor een tip, en een tip brengt geen persoonlijk antwoord over wat de AP ermee heeft gedaan.

Eén routeringsregel is het waard om vooraf te weten: blijkt een klacht niet over de eigen persoonsgegevens van de klager te gaan, dan wijst de AP haar niet af, maar zet zij haar in de fase van het vooronderzoek om in een tip en behandelt zij haar op die manier.

Wat de AP vereist voordat zij een klacht in behandeling neemt

De AP verwacht dat de betrokkene eerst de organisatie heeft benaderd en haar de kans heeft gegeven het probleem op te lossen, hetzij door bij de organisatie zelf te klagen, hetzij door een verzoek te doen zoals een inzageverzoek. Haar formulering is ondubbelzinnig: heeft u dat niet gedaan, dan wordt de klacht niet in behandeling genomen.

Bewijs van die stap maakt deel uit van de indiening: een kopie van de e-mail of brief die u heeft verstuurd, het antwoord van de organisatie, of het antwoord van haar functionaris gegevensbescherming (FG), samen met het bewijs van de vermoede inbreuk zelf, zoals schermafbeeldingen. De AP verklaart dat een klacht die zonder voldoende bewijs wordt verstuurd, niet kan worden behandeld.

Eén ongebruikelijke instructie staat ernaast in richtlijnen die op 18 april 2025 zijn bijgewerkt. Wordt generatieve AI gebruikt om de indiening op te stellen, dan vraagt de AP om de uitkomst te controleren, want een tekst die onnodig lang of onbegrijpelijk is, loopt het risico helemaal niet in behandeling te worden genomen.

Hoe u indient, en wat erin moet staan

Het online formulier is de belangrijkste route, en de AP raadt aan het op een computer in te vullen in plaats van op een telefoon. Een privacyklacht kan ook per brief worden verstuurd, aan Autoriteit Persoonsgegevens, Postbus 93374, 2509 AJ Den Haag, in het Nederlands of in het Engels.

Een brief moet vermelden om welke persoonsgegevens het gaat, welke organisatie het betreft, of er al bij die organisatie is geklaagd en hoe zij heeft gereageerd, of de verwerking of het nadelige effect ervan nog voortduurt, wat de klacht beoogt te bereiken, en de naam, het adres en het telefoonnummer van de afzender. Indienen kost niets, want artikel 57 lid 3 AVG verplicht elke toezichthoudende autoriteit haar taken kosteloos uit te voeren voor de betrokkene.

Iemand anders mag namens u indienen, waaronder een advocaat, Het Juridisch Loket of een belangenorganisatie, en de machtiging wordt bij de indiening gevoegd. Een eerdere tip of klacht kan via hetzelfde formulier worden gewijzigd of ingetrokken, bijvoorbeeld zodra er verder bewijs is of de zaak is opgelost.

Wat de AP met een klacht doet

Na het vooronderzoek worden de meeste klachten afgehandeld zonder onderzoek: de AP kan uitleggen wat de klager zelf kan doen, de organisatie bellen of haar een waarschuwingsbrief sturen, haar FG of brancheorganisatie benaderen, of tussen beide partijen bemiddelen. Haar eigen uitgewerkte voorbeeld is het veelvoorkomende geval van een bedrijf dat niet reageert op een verzoek om inzage, waarbij de AP de organisatie alsnog kan bevelen te reageren, en zij stelt dat dit vaak direct tot een oplossing leidt. Klachten worden ook soms gebundeld met soortgelijke klachten, of opgenomen in een onderzoek dat al over dat onderwerp loopt, zodat een dossier stil kan vallen zonder te worden afgesloten.

Of een klacht een uitgebreid onderzoek krijgt, is een prioriteringsbeslissing, en de AP publiceert de criteria: hoe ernstig de inbreuk op de privacy is, of de mogelijke inbreuk nog voortduurt, de impact ervan op de maatschappij, of de AP voldoende ruimte heeft om tegen die organisatie op te treden, en of het onderwerp binnen een thema van het jaarplan van de AP valt. Een inbreuk die al is gestopt, weegt tegen verder onderzoek.

In de weinige zaken die verder gaan, vertelt de AP de organisatie wat zij onderzoekt en waarom, vraagt zij schriftelijke informatie op, en kan zij een onderzoek op locatie uitvoeren, waarbij systemen worden geïnspecteerd en directie en personeel worden ondervraagd. Zij stelt vervolgens een onderzoeksrapport op, de organisatie reageert met een zienswijze die dat rapport nog kan wijzigen, en pas daarna beslist de AP over maatregelen. Stelt zij een inbreuk vast, dan loopt de ladder van een uitnodiging voor een gesprek, een berisping, verscherpt toezicht, een last onder dwangsom of een verwerkingsverbod, tot een boete binnen de AVG-maxima, die uiteengezet staan op de AVG in Nederland.

De drie termijnen, en waarom het niet één tijdlijn is

Drie afzonderlijke termijnen zijn in omloop en worden regelmatig samengevoegd tot één onjuiste zin. Zij meten verschillende dingen en geen daarvan is een uiterste termijn voor een besluit.

De praktische lezing is dat contact strak is ingepland en een inhoudelijk resultaat niet. Artikel 77 lid 2 AVG verplicht de autoriteit de klager te informeren over de voortgang en het resultaat en over het rechtsmiddel van artikel 78; zij stelt geen datum vast waarop het resultaat er moet zijn.

De snellere route wanneer een bedrijf een inzageverzoek weigert

Dit is het punt waarop de AP klagers vertelt ergens anders naartoe te gaan, en zij zegt dit tweemaal op haar eigen indieningspagina. Het is het nuttigste om te weten voordat u indient.

Drie termen dragen de route. Een verzoekschrift is een verzoek aan de rechter, in tegenstelling tot een vordering die bij dagvaarding wordt ingesteld. Bij de rechtbank wordt dat verzoekschrift behandeld. Bij de bestuursrechter komt in beroep terecht wie het oneens is met een besluit van een bestuursorgaan.

Weigert of negeert een bedrijf een verzoek onder artikelen 15 tot en met 22 AVG, dan staat via artikel 35 van de Uitvoeringswet AVG voor de betrokkene een verzoekschrift aan de rechtbank open voor een beslissing dat het verzoek wordt toe- of afgewezen, binnen zes weken na het antwoord van het bedrijf, en zonder enige termijn wanneer het bedrijf niet binnen de termijnen van artikel 12 lid 3 heeft geantwoord. Artikel 35 lid 4 bepaalt dat het verzoekschrift niet door een advocaat hoeft te worden ingediend. De Autoriteit Persoonsgegevens wijst deze route zelf aan als de snellere. Is de organisatie een bestuursorgaan, dan is de route bezwaar en vervolgens beroep bij de bestuursrechter op grond van artikel 34 van de Uitvoeringswet AVG.

De termijn van artikel 12 lid 3 waarnaar hier wordt verwezen, is één maand vanaf ontvangst van het verzoek, die de verwerkingsverantwoordelijke met nog eens twee maanden mag verlengen wanneer het verzoek complex is of er veel verzoeken zijn, mits hij de persoon binnen de eerste maand daarvan op de hoogte stelt. Stilzwijgen na afloop van die termijnen is wat de termijn van zes weken doet vervallen, zodat een organisatie die nooit heeft geantwoord de route van artikel 35 voor onbepaalde tijd openhoudt.

Artikel 36 UAVG voegt een brug tussen beide routes toe. Binnen de termijn van artikel 35 lid 2, of binnen de termijn voor het instellen van administratief beroep, kan de betrokkene in plaats daarvan de AP vragen te bemiddelen of te adviseren in het geschil, of gebruikmaken van een geschillenregeling onder een goedgekeurde gedragscode. Het verzoekschrift van artikel 35 kan dan alsnog worden ingediend nadat de AP meldt dat haar behandeling is beëindigd, en uiterlijk zes weken na dat moment.

Betreft de klacht een camerageschil met buren, dan stelt de AP op haar eigen indieningspagina dat zelf stappen zetten de betere eerste zet is, en die stappen staan uiteengezet op beveiligingscamera's van de buren.

Wat een klacht wel en niet oplevert

Wat een klager realistisch kan verwachten, is een beoordeling van elke klacht, contact binnen drie maanden, en in het veelvoorkomende geval van een geweigerde inzage een instructie aan de organisatie om te reageren. Die uitkomsten zijn reëel en zij zijn degene die de meeste dossiers oplossen.

Wat een klacht niet oplevert, is geld. De Autoriteit Persoonsgegevens houdt toezicht en handhaaft, maar kent geen schadevergoeding toe aan een individu. Een vergoeding voor een privacyschending is een civiele vordering op grond van artikel 6:162 BW, ingesteld bij de civiele rechter en beoordeeld op haar eigen bewijs.

Zij levert evenmin anonimiteit, een gegarandeerd onderzoek, of snelheid op. Zelfs een geslaagde klacht eindigt in een maatregel tegen de organisatie, en een boete die de AP oplegt, is verschuldigd aan de Staat en niet aan degene die heeft geklaagd. Of een opname of een document kan worden gebruikt om een privacyschending te bewijzen bij de civiele rechter, is een aparte vraag, behandeld op opnames als bewijs, en welke instantie welk rechtsmiddel kan geven, staat in kaart gebracht op privacyrecht in Nederland.

Het oneens zijn met de uitkomst

Zowel de klager als de organisatie kan bezwaar maken tegen het besluit van de AP op de klacht. De termijn is zes weken, gerekend vanaf de dag na de datum van de besluitbrief, die zelf vermeldt of bezwaar openstaat en hoe het moet worden ingediend. De AP heeft vervolgens zes weken om te reageren en mag die termijn waar nodig met zes weken verlengen, en daarna nogmaals.

Is de beslissing op het bezwaar nog steeds onbevredigend, dan staat beroep open bij de bestuursrechter, en de AP bevestigt dat dit zonder advocaat kan. De organisatie waarop het rapport betrekking heeft, heeft hetzelfde recht van beroep.

Klachten over een organisatie die buiten Nederland is gevestigd

Ligt het Europese hoofdkantoor van de organisatie in Nederland, dan behandelt de AP de klacht zelf. Ligt het elders, dan draagt de AP de zaak over aan de toezichthoudende autoriteit van dat land, terwijl zij het aanspreekpunt voor de klager blijft, en zij merkt op dat een internationaal behandelde zaak langer kan duren. Het recht om te klagen wordt daardoor niet aangetast: artikel 77 lid 1 AVG staat een klacht toe in de lidstaat van gewone verblijfplaats, van de werkplek, of van de vermeende inbreuk.