15 september 2026 · gemeenten · leestijd 6 minuten

Tien gemeenten, tien boetes: wat de AP-besluiten van februari 2026 leren

Op 3 februari 2026 legde de Autoriteit Persoonsgegevens tien gemeenten elk een boete van 25.000 euro op. Niet voor een datalek of een vergeten verwerkersovereenkomst, maar voor iets wat in elk gemeentehuis kan gebeuren: een rapport van een extern bureau ontvangen, opslaan en gebruiken zonder te vragen of dat mocht.

Wat er gebeurde

Vanaf 2014 drongen het Rijk, de VNG en de NCTV bij gemeenten aan op een stevige lokale aanpak van radicalisering. Gemeenten hadden weinig zicht op hun islamitische gemeenschappen en schakelden, mede op advies van de NCTV en betaald uit versterkingsgelden van het Rijk, een extern onderzoeksbureau in. Dat bureau leverde "krachtenveldanalyses": overzichten van sociale structuren en sleutelfiguren.

Die analyses bevatten namen en vaak geboortejaren van bestuurders van moskeeën en andere organisaties, welke religie of stroming binnen die religie zij aanhingen, en hun familierelaties binnen de gemeenschap. In het besluit voor Delft gaat het om zestien personen. Het college ontving de analyse, sloeg haar op, raadpleegde haar en gebruikte haar "voor het versterken van de informatiepositie".

De AP oordeelde dat het college daarvoor geen grondslag had (artikel 6 AVG) en dat het bijzondere persoonsgegevens, namelijk over religie, verwerkte zonder een uitzondering op het verwerkingsverbod van artikel 9. Alleen voor gegevens die de betrokkenen zelf op online platforms openbaar hadden gemaakt kon het college zich op een uitzondering beroepen; niet voor de samengestelde overzichten uit gecombineerde bronnen. Volgens de AP wist het college, of had het moeten weten, dat dit inbreuk maakte op het recht op bescherming van persoonsgegevens. Daarom een boete, en geen waarschuwing.

De besluiten gelden voor Delft, Ede, Eindhoven, Gooise Meren, Haarlemmermeer, Hilversum, Huizen, Tilburg, Veenendaal en Zoetermeer. De AP beoordeelde uitdrukkelijk alleen het gebruiken en voorhanden hebben van de analyse door de gemeente, niet het onderzoek van het bureau zelf.

Waarom dit elke gemeente raakt

Het patroon is herkenbaar buiten de radicaliseringsaanpak. Een leverancier, een ketenpartner of een adviesbureau levert informatie over inwoners, de gemeente neemt die aan omdat het nuttig is, en niemand stelt de drie vragen die de AVG stelt: op welke grondslag verwerken wij dit, gaat het om bijzondere persoonsgegevens, en wat gebeurt ermee na afloop. Dezelfde vragen spelen bij woonoverlast, schuldhulp, jeugd en veiligheid, waar gemeenten samenwerken met corporaties, wijkteams en politie.

De boetebedragen zijn bewust lager dan de boetebeleidsregels voorschrijven. De AP week af vanwege de omstandigheden, onder meer de druk vanuit het Rijk. Maar het signaal is dat "de NCTV adviseerde het" en "het was voor de veiligheid" geen grondslag opleveren.

Eerdere boetes voor gemeenten

Uit het jaarverslag over 2025 van de AP: vier boetes en negen berispingen in dat jaar, 44.374 gemelde datalekken (tegen 37.839 in 2024) en 75 procent meer klachten en signalen. De AP deed steekproefsgewijze inspecties bij gemeenten, gericht op verwerkingsregisters, DPIA's en de onafhankelijkheid van de functionaris gegevensbescherming. Minder boetes betekent dus niet minder toezicht; het toezicht verschuift naar de basis op orde.

Vijf lessen voor de functionaris gegevensbescherming

  1. Elke verstrekking is een eigen verwerking. Ook informatie die u ontvangt, moet een grondslag hebben. Vraag bij elk rapport van buiten: mogen wij dit hebben, en waarvoor.
  2. Bijzondere persoonsgegevens zijn verboden tenzij. Religie, gezondheid, strafrechtelijk verleden: benoem in elk convenant en elke DPIA welke uitzondering van artikel 9 of 10 geldt, of sluit ze uit. "Het stond in vrije tekst" is geen uitzondering.
  3. Openbare bron is niet hetzelfde als vrij te combineren. De AP maakte precies dat onderscheid: wat iemand zelf openbaar maakt mag apart worden gebruikt, een samengesteld profiel niet.
  4. Bewaartermijnen en informeren zijn geen bijzaak. Voorschoten kreeg geen boete voor het verzamelen, maar voor het te lang bewaren en het niet uitleggen.
  5. Een DPIA vooraf is goedkoper dan een boete achteraf. Voor monitoring van de openbare ruimte, samenwerkingsverbanden en het verwerken van gegevens over religie of gezondheid is een DPIA verplicht op grond van de AP-lijst en artikel 35.

Wat Datavoogd hiermee doet

De tien boetebesluiten staan in de kennisbank van Datavoogd, naast de AVG-tekst, de AP-aanbevelingen en de standaarden van IBD en Aedes. De wegwijzer stelt bij een samenwerking of een verwerking van gegevens over religie of gezondheid de vragen die de AP stelt, en zegt of een DPIA of een convenant nodig is. De DPIA-toets controleert of grondslag, uitzondering op artikel 9, bewaartermijnen en informeren concreet zijn benoemd. Datavoogd velt daarbij geen oordeel: het signaleert, met de bron erbij, en de functionaris gegevensbescherming beoordeelt.

Bronnen

Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.