Taken en bevoegdheden van de AP

De taken en bevoegdheden van de Autoriteit Persoonsgegevens (AP) staan in de Algemene verordening gegevensbescherming (AVG) en zijn verder uitgewerkt in de Uitvoeringswet AVG (UAVG). Een taak is bijvoorbeeld toezicht houden, een bevoegdheid is bijvoorbeeld onderzoek doen.

In de AVG staat dat elke lidstaat van de Europese Unie (EU) een privacyautoriteit moet hebben die onafhankelijk toezicht houdt op het gebruik van persoonsgegevens. In Nederland is dat de AP.

De taken van de AP zijn:

• toezicht;
• advisering;
• voorlichting, informatieverstrekking & verantwoording;
• internationale taken.

De AP is bij de uitvoering van deze taken gehouden aan de bepalingen van de Algemene wet bestuursrecht. Dat betekent onder meer dat:

• tegen besluiten van de AP bezwaar kan worden gemaakt en beroep kan worden aangetekend bij de bestuursrechter;
• de Wet open overheid (Woo) van toepassing is;
• een klacht over de AP kan worden ingediend bij de Nationale ombudsman;
• de AP als bestuursorgaan gebonden is aan de algemene beginselen van behoorlijk bestuur.

Toezicht

De AP houdt toezicht op de naleving van de wettelijke regels voor bescherming van persoonsgegevens. Onder dit toezicht vallen deze activiteiten:

• Klachten en tips behandelen over de naleving van de AVG (artikel 77 AVG).
• Uit eigen beweging onderzoek doen naar mogelijke overtredingen van de wet (artikel 55 en 58, lid 1, onder e, AVG).
• Handhavend optreden als de AP tijdens het onderzoek overtredingen constateert (artikel 58, lid 2, artikel 83 en 84 AVG). Bijvoorbeeld door een boete op te leggen. De boetebeleidsregels geven inzicht in de manier waarop de AP de hoogte van een boete berekent.
• Interveniëren. Het is niet altijd nodig om direct een officieel onderzoek te starten. De AP kan ook eerst een gesprek met een organisatie voeren of een brief sturen. Zo'n interventie kan al genoeg zijn om de overtreding te doen stoppen.
• Bemiddelen bij geschillen met een verwerkingsverantwoordelijke (artikel 36 UAVG).
• Voorafgaande raadplegingen uitvoeren  bij verwerkingen van persoonsgegevens waaraan hoge risico’s zijn verbonden (artikel 36, lid 1 AVG).
• Gedragscodes toetsen (artikel 40 AVG).
• Certificeringsmechanismen verbeteren, zodat verwerkingsverantwoordelijken en verwerkers kunnen aantonen dat zij zich aan de AVG houden.

Algoritmetoezicht

De AP is in 2023 van start gegaan met nieuwe, coördinerende taken die een impuls moeten geven aan het toezicht op de ontwikkeling en het gebruik van algoritmes.

Daarmee wordt invulling gegeven aan de bredere maatschappelijke opgave om het gebruik van algoritmes beter te controleren, discriminatie en willekeur tegen te gaan en transparantie te bevorderen.

Zie verder: Algoritmetoezicht.

Klachtafhandeling

Mensen kunnen bij de AP een klacht of tip indienen over de verwerking van hun persoonsgegevens door een bepaalde organisatie (artikel 77 AVG). Ook organisaties/verenigingen die de belangen van betrokkenen behartigen kunnen namen hen een klacht indienen (artikel 80 AVG).

De AP onderzoekt dan de inhoud van de klacht, in de mate waarin dat gepast is (volgens de AVG is de AP niet verplicht om elke klacht even uitgebreid te onderzoeken). De AP laat degene die de klacht heeft ingediend binnen 3 maanden weten wat de vooruitgang en het resultaat van het onderzoek zijn.

Advisering

De AP adviseert de regering en het parlement over nieuwe wet- en regelgeving waar de verwerking van persoonsgegevens een onderdeel van is (artikel 36, vierde lid AVG). Ministeries zijn verplicht om de AP hierover om advies te vragen. De AP kan ook op eigen initiatief adviseren over wetgeving.

Wilt u weten wanneer u de AP om advies moet vragen? En hoe het proces vervolgens verloopt? Kijk dan bij: Proces wetgevingsadvisering.

Voorlichting, informatieverstrekking en verantwoording

Voorlichting geven is een van de wettelijke taken van de AP. Het Informatie- en Meldpunt Privacy van de AP staat dagelijks mensen en organisaties te woord die privacyvragen hebben. Verder geeft de AP voorlichting over de AVG via onder meer de website, sociale media en contacten met de pers. Ook zijn we regelmatig aanwezig op evenementen.

Daarnaast doen we aan normuitleg, waarbij we organisaties helderheid bieden over wat er in de wet staat en hoe zij dit moeten toepassen.

Jaarlijks verantwoorden we onze werkzaamheden met een jaarverslag. Hierin geven we aan wat we in een jaar hebben gedaan en hoe we ons budget hebben ingezet.

Internationale taken

De AVG is een Europese wet. Andere EU-lidstaten hebben ook een privacytoezichthouder. Als AP werken we samen met die andere toezichthouders in de European Data Protection Board (EDPB). De EDPB behandelt internationale klachten en datalekken en doet onderzoek.

Binnen de EDPB ondersteunen de toezichthouders elkaar bijvoorbeeld door:

• Mee te werken als betrokken toezichthouder aan een onderzoek van de leidende toezichthouder (artikel 60 AVG).
• Een andere toezichthouder te helpen als die dat vraagt (‘wederzijdse bijstand’, artikel 61 AVG).
• Deel te nemen aan gezamenlijke werkzaamheden (artikel 62 AVG).
• Deel te nemen aan het coherentiemechanisme. Dit zorgt ervoor dat de AVG in de gehele EU consequent wordt toegepast. Soms werkt de EDPB hiervoor ook samen met de Europese Commissie (artikelen 63, 64 en 65 AVG).
• Samen toezicht te houden op Europol en Eurojust en Europese informatiesystemen.