033 200 30 83
AP ziet aantal privacyklachten met 75% stijgen
Uit de Klachtenrapportage 2025 van de Autoriteit Persoonsgegevens (AP) blijkt dat de toezichthouder in 2025 ruim 13.500 klachten en tips ontving over mogelijke overtredingen van privacywetgeving. Dat is een stijging van 75 procent ten opzichte van een jaar eerder. De meeste klachten gingen over organisaties die onvoldoende informatie verstrekken over het gebruik van persoonsgegevens, niet reageren op inzageverzoeken of gegevens niet verwijderen wanneer daarom wordt gevraagd. Daarnaast ontving de AP veel meldingen over datalekken, met name in de zorgsector.
De forse stijging roept de vraag op wat deze cijfers precies zeggen. Zijn organisaties slechter gaan omgaan met persoonsgegevens, of weten burgers hun privacyrechten beter te vinden?
Privacybewustzijn neemt toe
Volgens AP-voorzitter Aleid Wolfsen laat de stijging zien dat mensen zich steeds bewuster worden van het belang van de bescherming van hun persoonsgegevens en de weg naar de toezichthouder weten te vinden. Dat is op zichzelf een positieve ontwikkeling. Tegelijkertijd constateert de AP dat veel organisaties in eerste instantie niet adequaat reageren wanneer betrokkenen hun privacyrechten willen uitoefenen.
Dat is juridisch relevant. De AVG geeft betrokkenen verschillende rechten, waaronder het recht op inzage (artikel 15 AVG) en het recht op gegevenswissing (artikel 17 AVG). Daarnaast moeten organisaties transparant zijn over de verwerking van persoonsgegevens.
De meeste klachten hadden betrekking op deze privacyrechten. Daarnaast zag de AP ook een toename van klachten over cameratoezicht en cookies. Dat wijst erop dat burgers niet alleen vaker gebruikmaken van hun AVG-rechten, maar ook kritischer kijken naar de manier waarop organisaties persoonsgegevens verzamelen en monitoren.
Niet reageren op inzageverzoeken kan duur worden
Opvallend is dat de AP expliciet aandacht vraagt voor de afhandeling van inzageverzoeken. Organisaties reageren volgens de toezichthouder regelmatig niet of te laat op dergelijke verzoeken. De AVG schrijft echter voor dat een verzoek van een betrokkene in beginsel binnen één maand moet worden afgehandeld.
De AP heeft begin 2026 dan ook een onderzoek verricht naar de naleving van het recht op inzage. Op basis daarvan beoordeelt de AP deze zomer of een lik-op-stukaanpak met boetes nodig is om het inzagerecht duurzaam te verbeteren. Daarmee lijkt de toezichthouder steviger te willen handhaven bij overtredingen die in de praktijk veel voorkomen.
Voor organisaties is dit een belangrijk signaal. Een goed privacybeleid alleen is niet voldoende; processen rondom de behandeling van verzoeken van betrokkenen moeten ook daadwerkelijk functioneren.
Betalen voor inzage? Dat mag meestal niet
De rapportage bevat ook een concreet voorbeeld van een internationale organisatie die betrokkenen een aanzienlijk bedrag liet betalen om hun persoonsgegevens te kunnen inzien. Naar aanleiding van een klacht onderzocht de AP deze praktijk en concludeerde dat de organisatie daarmee het inzagerecht onnodig bemoeilijkte. De organisatie kreeg een officiële waarschuwing en stopte met het vragen van de vergoeding.
Datalekken blijven een belangrijke bron van klachten
Naast klachten over privacyrechten ontving de AP veel meldingen die verband hielden met datalekken. De meeste klachten hadden betrekking op de zorgsector. Meer dan de helft daarvan hield verband met het datalek bij Clinical Diagnostics (bevolkingsonderzoek). Daarna volgden klachten over zakelijke dienstverleners en overheidsinstanties.
Volgens de AP zijn klachten over overheidsorganisaties extra zorgelijk. Burgers kunnen er immers niet voor kiezen om geen gebruik te maken van de diensten van de overheid, terwijl overheidsinstanties vaak grote hoeveelheden persoonsgegevens verwerken. Dat geldt in het bijzonder wanneer sprake is van gevoelige of bijzondere persoonsgegevens, waarvoor op grond van artikel 9 AVG aanvullende bescherming geldt.
AP grijpt regelmatig informeel in
Niet iedere klacht leidt tot een formeel onderzoek. De AP meldt dat bij ongeveer een derde van de klachten werd ingegrepen door uitleg te geven aan de betrokken organisatie of door te bemiddelen tussen partijen. In die gevallen was een uitgebreider onderzoek niet nodig. Daarnaast voerde de AP verschillende verdiepende onderzoeken uit naar klachten over Nederlandse organisaties.
Dat laat zien dat de klachtenprocedure niet alleen een handhavingsinstrument is, maar ook een manier om organisaties alsnog tot naleving van de AVG te bewegen.
Toenemende druk op de toezichthouder
De sterke stijging van het aantal klachten heeft ook gevolgen voor de AP zelf. De toezichthouder erkent dat het steeds moeilijker wordt om iedereen tijdig van een reactie te voorzien. De AP geeft hierbij zelf aan dat lange wachttijden een punt van zorg zijn.
De AVG geeft betrokkenen immers het recht om een klacht in te dienen bij een toezichthoudende autoriteit. Wanneer de capaciteit van die toezichthouder onder druk staat, kan dat ook gevolgen hebben voor de effectiviteit van het toezicht.
Wat betekent dit voor organisaties?
De Klachtenrapportage 2025 laat zien dat privacyrechten steeds vaker worden uitgeoefend door betrokkenen. Tegelijkertijd maakt de AP duidelijk dat organisaties hun processen voor het behandelen van inzageverzoeken, verwijderingsverzoeken en andere AVG-rechten beter op orde moeten hebben. Met de aangekondigde mogelijkheid om niet-beantwoorde inzageverzoeken direct te beboeten lijkt de toezichthouder bovendien een volgende stap te zetten in de handhaving van deze verplichtingen.
Voor organisaties is de boodschap helder: niet alleen de juridische documentatie moet op orde zijn, maar ook de dagelijkse uitvoering van privacyrechten.