Autoriteit Persoonsgegevens legt verscherpt toezicht vast: zo werkt het instrument tussen gesprek en boete

De Autoriteit Persoonsgegevens heeft het instrument verscherpt toezicht vastgelegd in een procesbeschrijving. Daarin beschrijft de AP wat verscherpt toezicht inhoudt, in welke situaties de toezichthouder het inzet en welke processtappen daarbij horen. Het instrument vult een gat dat in de toezichtspraktijk al langer voelbaar was. Tussen een vrijblijvend gesprek over de norm en een formeel handhavingstraject met boetes zat tot nu toe weinig. Verscherpt toezicht gaat daar tussenin zitten.

Voor juridische teams is dat relevant, ook als je dagelijks met AI bezig bent. De onderwerpen waar de AP bij verscherpt toezicht naar kijkt, zijn precies de plekken waar AI-gebruik een organisatie kwetsbaar maakt: gegevensverwerkingen zonder goede grondslag, ontbrekende DPIA's, te lange bewaartermijnen en een functionaris gegevensbescherming die te weinig positie heeft. Hieronder lees je hoe het instrument werkt en wat de inzet ervan voor jouw praktijk betekent.

Wat verscherpt toezicht is en wanneer de AP het inzet

Verscherpt toezicht is een vorm van toezicht die intensiever is dan het reguliere systeemtoezicht, maar lichter dan een onderzoek gericht op handhaving. De AP zet het in bij organisaties die op één of meer AVG-onderdelen niet compliant lijken, waarbij de problemen niet snel zijn op te lossen en de ernst een formele handhavingszaak niet rechtvaardigt. Soms speelt ook mee dat de AP de capaciteit mist om meteen een onderzoek te starten, terwijl er wel behoefte is om de organisatie tot verbetering aan te sporen. Volgens Recht.nl wil de AP met het instrument organisaties bijsturen en zo voorkomen dat achteraf boetes moeten worden uitgedeeld.

Een kenmerk dat de hele werkwijze bepaalt: de AP zet het instrument in zonder dat met feitenonderzoek formeel is vastgesteld dat er een overtreding is. De toezichthouder werkt dus op basis van signalen en zorgen, niet op basis van een vaststaand oordeel. Dat verklaart waarom de AP terughoudend wil zijn met openbaarmaking. Negatieve publiciteit kan reputatieschade veroorzaken bij een organisatie die formeel nog niets verweten is.

De scope ligt meestal bij wat de AP de basishygiëne van AVG-naleving noemt. Dat duidt volgens de toezichthouder op een inrichtingsprobleem of cultuuraspecten in de organisatie, waardoor overtredingen kunnen ontstaan omdat de waarborgen niet goed staan. De AP verwacht het beste resultaat bij organisaties die zelf inzien dat er een probleem is. Wie de problemen niet erkent of niet bereid is te verbeteren, krijgt geen verscherpt toezicht. Dan ligt een formeel traject meer voor de hand.

De stappen: van bureauonderzoek tot beëindiging

Het traject begint met bureauonderzoek. De AP verzamelt een beeld uit media, openbare publicaties, jaarverslagen en adviezen van de FG, relevante DPIA's en binnengekomen klachten of signalen. Voor niet-openbare documenten kan de AP een informatieverzoek doen. Daarna volgt een normoverdragend gesprek, waarin de AP uitlegt op welke punten er zorgen zijn en vraagt of de organisatie bereid en in staat is te verbeteren. De AP legt geen verscherpt toezicht op zonder dat zo'n gesprek heeft plaatsgevonden, tenzij het gaat om het afschalen van een lopend handhavingsonderzoek.

Geeft de organisatie aan te willen verbeteren, dan vraagt de AP om een verbeterplan binnen een redelijke termijn. Neemt dat plan de zorgen voldoende weg, dan sluit de AP het traject af. Zo niet, dan kan de AP verscherpt toezicht instellen, altijd pas na akkoord van het Bestuurlijk Overleg. In de instellingsbrief staan concrete verbeterpunten waarover de organisatie moet rapporteren. De AP geeft daarbij voorbeelden: een overzicht van verwerkingen waarvoor een DPIA verplicht is, een actueel overzicht van verwerkingen met te lange bewaartermijnen, documentatie van datalekken, en vragen over de rol en onafhankelijkheid van de FG.

Het toezicht duurt in beginsel minimaal een jaar. Daarna beoordeelt de AP of beëindiging kan of dat verlenging nodig is. Beëindigt de AP omdat er voldoende vooruitgang is, dan kan de toezichthouder bij nieuwe signalen alsnog optreden en het eerdere traject meewegen bij prioritering of bij het bepalen van een sanctie. Levert het traject te weinig op, dan kan het overgaan in een formeel onderzoek. Dat dit geen theorie is, blijkt bij de Belastingdienst, die volgens Security.NL sinds 2024 onder een meerjarig toezichtarrangement van de AP staat dat onder meer over risicomodellen, de privacyorganisatie en de interne cultuur gaat.

Wat dit betekent voor in de praktijk

Het eerste praktijkpunt zit in de rechtsbescherming. Het instellen, verlengen en beëindigen van verscherpt toezicht is geen besluit zoals bedoeld in de Awb en heeft geen rechtsgevolgen, maar de openbaarmaking ervan is dat wel en is dus aanvechtbaar. Tegen het toezicht zelf kun je dus niet bij de bestuursrechter terecht, tegen de publicatie ervan wel. Kennedy Van der Laan wijst erop dat tegen zo'n openbaarmakingsbesluit bezwaar openstaat bij de toezichthouder en daarna beroep bij de bestuursrechter, en dat openbaarmaking pas wordt geschorst als die onevenredige benadeling veroorzaakt. Blenheim voegt daaraan toe dat een verzoek om voorlopige voorziening de openbaarmaking opschort totdat de rechter uitspraak heeft gedaan. Voor cliënten die reputatieschade vrezen, is dit de route waarop je je voorbereidt, niet het instellingsbesluit.

Het tweede punt is voorbereiding op het materiaal zelf. De verbeterpunten die de AP noemt, vormen feitelijk een checklist waarlangs je je eigen organisatie of die van je cliënt kunt leggen. Weet je welke verwerkingen een DPIA vereisen en welke DPIA's ouder zijn dan drie jaar? Heb je je datalekregistratie op orde? Is de positie van de FG schriftelijk geborgd? Wie deze vragen nu al kan beantwoorden, staat sterker als de AP aanklopt en zit ook beter in een handhavingstraject als het daar toch op uitloopt.

Het derde punt is de informatiestrategie rond de cautie. Omdat aangeleverde stukken later bruikbaar blijven, is het verstandig om bij elke rapportage te wegen wat je deelt en hoe je het formuleert. Meewerken is vrijwel altijd in je belang, want de bereidheid tot verbetering is precies wat de AP zoekt. Maar meewerken zonder na te denken over de mogelijke tweede leven van die stukken is onverstandig.

Voor AI-toepassingen verdient dit extra aandacht. De AP koppelt verscherpt toezicht aan de basishygiëne van gegevensbescherming, en dat is precies waar nieuwe AI-systemen organisaties laten struikelen. Een tool die persoonsgegevens verwerkt zonder DPIA, een chatbot waar medewerkers gevoelige data in plakken, een model dat gegevens langer bewaart dan nodig: het zijn stuk voor stuk signalen die een traject kunnen openen. Wij schreven eerder over de waarschuwing van de AP voor datalekken door AI-chatbots, naar aanleiding van het datalek bij de gemeente Eindhoven. Dat soort incidenten is exact het type signaal waarmee een bureauonderzoek begint.

Wil je weten hoe je AI-gebruik in jouw organisatie zo inricht dat het de toets van AVG-toezicht doorstaat, dan helpt het om je beleid en je verwerkingen tegen het licht te houden voordat de AP dat doet. Bij TIL doen we precies dat: we vertalen regelgeving en toezicht naar werkbaar AI-beleid en voeren compliance-checks uit op je AI-toepassingen. Start met AI-beleid en zet de basishygiëne op orde voordat een signaal bij de AP belandt.