Overheid & open data
Autoriteit Persoonsgegevens (AP)
De Autoriteit Persoonsgegevens is de Nederlandse privacytoezichthouder en de nationale toezichthouder onder de AVG. Op autoriteitpersoonsgegevens.nl staat het documentenarchief met alle openbare stukken vanaf 25 mei 2018, de dag waarop de AVG van toepassing werd: boetes, lasten onder dwangsom, waarschuwingen, besluiten op bezwaar, goedgekeurde gedragscodes, wetgevingstoetsen, normuitleg, handreikingen en jaarverslagen. Voor IT- en privacyrecht is dat het punt waar de handhavingspraktijk van de toezichthouder zichtbaar wordt naast de verordening zelf.
Naar de website van de bronWelke producten deze bron raadplegen
LEO — Direct raadplegen
De bron wordt tijdens het werk rechtstreeks geraadpleegd.
BEVER — Direct raadplegen
De bron wordt tijdens het werk rechtstreeks geraadpleegd.
IRMA — Direct raadplegen
De bron wordt tijdens het werk rechtstreeks geraadpleegd.
Beschikbaarheid hangt af van de inrichting en toegangsrechten van uw organisatie.
Wat deze bron niet geeft
Het archief begint bij 25 mei 2018; wat daarvóór onder de Wbp is gepubliceerd staat alleen nog in het webarchief van de AP. En belangrijker: de AP is toezichthouder, geen rechter. Normuitleg, handreikingen en standpunten zijn het oordeel van de AP over hoe de AVG gelezen moet worden — gezaghebbend, maar toetsbaar; de bestuursrechter en het Hof van Justitie hebben het laatste woord en hebben AP-standpunten ook daadwerkelijk gecorrigeerd.
Rechtsgebieden waarvoor LEO deze bron raadpleegt
Elke link opent het rechtsgebied op leo.prudai.com.
Veelgestelde vragen
- Welke soorten documenten publiceert de Autoriteit Persoonsgegevens?
- Het documentenoverzicht is ingedeeld naar documenttype, en dat onderscheid is juridisch relevant. Er zijn handhavingsstukken (boete, sanctie, last onder dwangsom, waarschuwing, verwerkingsverbod), besluiten (waaronder vergunningen, besluiten op bezwaar, besluiten over gedragscodes en Woo-besluiten), beleidsmatige stukken (beleidsdocumenten, beleidsregels, normuitleg), adviezen aan de wetgever (wetgevingstoetsen, veruit de grootste categorie), rapportages en jaarverslagen, en praktische hulpmiddelen zoals handreikingen, voorbeeldbrieven en infographics. Een wetgevingstoets en een boetebesluit dragen niet hetzelfde gewicht en horen niet als gelijksoortige bron geciteerd te worden.
- Is een standpunt van de AP bindend recht?
- Nee. Bindend recht is de AVG, de Uitvoeringswet AVG en de rechtspraak daarover. Een standpunt of normuitleg van de AP vertelt u hoe de toezichthouder de norm toepast en dus wat u bij een onderzoek kunt verwachten — praktisch zeer relevant, maar niet hetzelfde als een rechterlijk oordeel. Een boetebesluit is wél bindend, maar alleen voor de partij tot wie het gericht is, en is aanvechtbaar in bezwaar en beroep. Voor een advies betekent dat: citeer de verordening voor de norm, het AP-stuk voor de handhavingsverwachting.
- Is de informatie van de AP ook in het Engels beschikbaar?
- De AP voert een volwaardige Engelstalige versie van de site, met eigen thema's, nieuwsberichten en een documentensectie. Dat is niet een woord-voor-woord vertaling van het Nederlandse archief: de Engelse kant bevat een selectie, en veel besluiten en wetgevingstoetsen blijven alleen in het Nederlands beschikbaar. Voor een internationale cliënt is de Engelse pagina bruikbaar als toelichting, maar het brondocument blijft de Nederlandse versie.
- Waarom staan er zoveel wetgevingstoetsen in het archief?
- De AP moet op grond van artikel 36 lid 4 AVG worden geraadpleegd over voorstellen voor wet- en regelgeving die persoonsgegevens raken. Dat gebeurt structureel, bij vrijwel elk relevant voorstel, waardoor de wetgevingstoetsen numeriek de grootste categorie in het archief vormen. Ze zijn nuttig om te zien hoe de AP over een aanstaand regime denkt, maar ze zeggen niets over hoe de wet uiteindelijk is vastgesteld: het advies gaat over het concept, niet over de uiteindelijke tekst.
- Vind ik hier ook meldingen van datalekken?
- Individuele datalekmeldingen zijn niet openbaar en staan niet in het archief. Wat wel wordt gepubliceerd zijn geaggregeerde datalekrapportages: aantallen, sectoren, soorten incidenten over een periode. Die zijn bruikbaar voor context en risico-inschatting, niet om na te gaan of een specifieke organisatie iets heeft gemeld.