Tien gemeenten beboet: onrechtmatige verwerking gegevens islamitische inwoners

Op 5 februari 2026 heeft de Autoriteit Persoonsgegevens (AP) tien gemeenten gezamenlijk een boete van in totaal € 250.000 opgelegd wegens het onrechtmatig verwerken van gevoelige informatie over islamitische inwoners.

Volgens de AP hebben deze gemeenten in het kader van de aanpak van radicalisering zogenoemde ‘krachtenveldanalyses’ en ‘quickscans’ laten uitvoeren, waarin onder meer gegevens over geloofsovertuiging, religieuze stroming, familiebanden en vermeende spanningen binnen moskeeën zijn opgenomen. In enkele gevallen zijn ook foto’s met naamvermelding en uitgebreide persoonsprofielen verwerkt. De betrokken inwoners waren hiervan niet op de hoogte.

De AP kwalificeert deze werkwijze als een ernstige schending van de Algemene verordening gegevensbescherming.

Geen toereikende wettelijke grondslag (artikel 6 AVG)

De AP concludeert dat de gemeenten niet beschikten over een voldoende duidelijk en nauwkeurig geformuleerde wettelijke taak of verplichting die deze verwerking kon dragen. Daarmee is niet voldaan aan artikel 6 lid 1 AVG . Dit levert een schending op van het rechtmatigheidsbeginsel (artikel 5 lid 1 onder a AVG), gelezen in samenhang met artikel 6 AVG.

Ontbreken van een rechtmatige grondslag (artikel 6 AVG)

Naast het verbod van artikel 9 AVG vereist elke verwerking van persoonsgegevens een grondslag in de zin van artikel 6 lid 1 AVG. Gemeenten kunnen zich in beginsel beroepen op artikel 6 lid 1 onder e AVG: verwerking noodzakelijk voor de vervulling van een taak van algemeen belang of uitoefening van openbaar gezag.

Daarvoor geldt echter dat:

1. de taak een voldoende specifieke wettelijke basis moet hebben;
2. de verwerking noodzakelijk en proportioneel moet zijn;
3. de beginselen van artikel 5 AVG moeten worden nageleefd.

Uit de bevindingen van de AP volgt dat een expliciete wettelijke grondslag voor het systematisch in kaart brengen van religieuze gemeenschappen ontbrak. Daarmee strandt reeds de eerste toets. Bovendien rijzen ernstige vragen over de proportionaliteit en subsidiariteit van het verzamelen van gedetailleerde persoonsprofielen zonder concrete aanwijzingen van strafbare feiten.

Schending van fundamentele beginselen (artikel 5 AVG)

De beschreven werkwijze lijkt tevens in strijd met meerdere beginselen uit de AVG:

• Rechtmatigheid, behoorlijkheid en transparantie: betrokkenen waren niet geïnformeerd over de verwerking.
• Doelbinding: het in algemene zin “in kaart brengen” van gemeenschappen zonder concrete taakafbakening roept vragen op over doelafbakening.
• Dataminimalisatie: uitgebreide profielen en familie-informatie lijken verder te gaan dan noodzakelijk.

Voor overheden geldt bovendien een verhoogde motiverings- en zorgvuldigheidsplicht, mede gelet op het machtsonevenwicht tussen overheid en burger.

Verstrekking aan derden

In een aantal gevallen zijn de rapporten gedeeld met onder meer de politie, de Nationaal Coördinator Terrorismebestrijding en Veiligheid en het ministerie van Sociale Zaken en Werkgelegenheid. Iedere verstrekking kwalificeert als een afzonderlijke verwerking in de zin van artikel 4 lid 2 AVG en vereist een zelfstandige grondslag én, bij bijzondere persoonsgegevens, een aanvullende uitzondering onder artikel 9 AVG. Zonder expliciete wettelijke basis voor dergelijke gegevensdeling is ook deze verstrekking onrechtmatig.

Handhaving en verwerkingsverbod

De AP heeft bij het bepalen van de boetehoogte aansluiting gezocht bij artikel 83 AVG. Daarbij is rekening gehouden met de ernst van de overtreding (verwerking van bijzondere persoonsgegevens), maar ook met verzachtende omstandigheden zoals de beperkte duur en de bestuurlijke context. Daarnaast is een verwerkingsverbod opgelegd: de rapporten mogen uitsluitend nog worden bewaard en gebruikt voor lopende juridische procedures of ter facilitering van rechten van betrokkenen. Voor overige doeleinden is verdere verwerking verboden.

Juridische aandachtspunten voor overheden

Deze zaak onderstreept een aantal belangrijke aandachtspunten voor (semi-)publieke organisaties:

1. Verwerking van bijzondere persoonsgegevens vereist een expliciete wettelijke basis én een uitzondering van artikel 9 AVG.
2. Publiekrechtelijke taken rechtvaardigen niet automatisch diepgaande profilering van specifieke gemeenschappen.
3. Proportionaliteit en subsidiariteit moeten concreet en aantoonbaar worden onderbouwd.
4. Gegevensdeling binnen de overheid vergt een zelfstandige juridische toets.
5. Gevoelige maatschappelijke contexten verhogen de eisen aan transparantie en zorgvuldigheid.

Een DPIA had hier, gelet op de verwerking van bijzondere gegevens op mogelijk grote schaal, zeer voor de hand gelegen.

Een duidelijke waarschuwing

De boete aan de tien gemeenten laat zien dat ook in een complex politiek-bestuurlijk krachtenveld fundamentele privacy waarborgen onverkort gelden. De AVG biedt ruimte voor verwerking in het algemeen belang, maar stelt daarbij duidelijke grenzen, zeker waar het gaat om religieuze en andere bijzondere persoonsgegevens. Voor organisaties die werken met gevoelige doelgroepen of maatschappelijke spanningen is deze uitspraak een duidelijke waarschuwing: het ontbreken van een expliciete wettelijke basis en een zorgvuldige juridische analyse kan leiden tot handhavend optreden,  reputatieschade én, heel belangrijk, aantasting van het vertrouwen van betrokken inwoners.

 

Naar het overzicht