LegalizeWerkwijze Autoriteit Persoonsgegevens voor onderzoek in digitale gegevens 2026
Gelet op de artikelen 5:16, 5:17 en 5:20 van de Algemene wet bestuursrecht (Awb), artikelen 31, 51 en 58 van de Algemene verordening gegevensbescherming (AVG) in samenhang met de artikelen 6, 14 en 15 van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG), artikel 37 van de Dataverordening en artikel 3, derde, vierde en vijfde lid, van de Uitvoeringswet Dataverordening, artikel 49, eerste lid, van de Digitalediensten-verordening en artikel 3.1 van de Uitvoeringswet Digitalediensten-verordening, artikel Z 11a van de Kieswet, artikel 11.5c van de Telecommunicatiewet in samenhang met artikel 19, tweede lid, van de eIDAS-verordening, artikel 22, eerste lid, van de Verordening transparantie en gerichte politieke reclame in samenhang met artikel 51 van de AVG, artikel 4.1 van de Wet basisregistratie personen in samenhang met de artikelen 14 tot en met 21 en 38 van de UAVG, artikel 3:17, zevende lid, van de Wet financieel toezicht en artikel 21a van de UAVG, artikel 35 van de Wet politiegegevens en artikel 27 Wet justitiële en strafvorderlijke gegevens.
Gezien de wens om nadere invulling te geven aan de bevoegdheid inzage te vorderen in digitale gegevens en deze te kopiëren bij de uitoefening van het toezicht op de naleving van de door haar gehandhaafde wetten;
Besluit:
Artikel 1. Begripsomschrijvingen
In dit besluit wordt verstaan onder:
| Afronding van een onderzoek | De definitieve afronding van de besluitvorming volgend op een onderzoek of, indien van toepassing, de definitieve afronding van het onderzoek benodigd voor nacontroles aangekondigd op het moment van definitieve afronding van de besluitvorming volgend op een onderzoek. |
|---|---|
| Awb | Algemene wet bestuursrecht |
| AVG | Algemene Verordening Gegevensbescherming (Verordening (EU) 2016/679 van het Europees Parlement en de Raad van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG). |
| Binnen-de-reikwijdte | Dat wat naar zijn aard en/of inhoud redelijkerwijs binnen het doel en voorwerp van het onderzoek kan vallen. |
| Binnen-de-reikwijdte dataset | Een dataset geschoond van LPP-gegevens, die tot stand komt na het aan de hand van zoektermen digitaal doorzoeken van de (van LPP-gegevens geschoonde) dataset die is veiliggesteld. |
| Buiten de scope gegevens | Gegevens die buiten de reikwijdte van het onderzoek vallen. |
| Dataset | Een verzameling gegevens |
| Gegevens | Digitale en/of analoge gegevens |
| Hashwaarde | Een controleerbare wiskundige berekening over de inhoud van een digitaal bestand. |
| Moment van ter inzagelegging | Het moment waarop inzage wordt verleend als bedoeld in artikel 5:49, eerste lid, van de Algemene wet bestuursrecht. |
| Niet-zakelijke gegevens | Gegevens die uitsluitend betrekking hebben op de persoonlijke levenssfeer van een natuurlijk persoon en geen verband houden met de uitoefening van beroeps- of bedrijfsactiviteiten. |
| Onderzoeksdataset | Een dataset die binnen-de-reikwijdte is nadat de ‘Werkwijze Autoriteit Persoonsgegevens geheimhoudingsprivilege advocaat 2026’ en het onderstaande artikel 2.3, tweede lid, is toegepast. |
| Onderzoekssubject | Degene die het subject is bij de inzet van de bevoegdheden van artikel 5:16 en/of 5:17 van de Algemene wet bestuursrecht, of de verwerkingsverantwoordelijke, de verwerker en, in voorkomend geval, de vertegenwoordiger van de verwerkingsverantwoordelijke of van de verwerker bij de inzet van de bevoegdheden van artikel 58 van de AVG. |
| Schonen | Het uitsluiten van niet-zakelijke gegevens, buiten de scope gegevens en geprivilegieerde gegevens als bedoeld in de ‘Werkwijze Autoriteit Persoonsgegevens geheimhoudingsprivilege advocaat 2026’ uit de verzameling van veiliggestelde en gekopieerde digitale gegevens. |
| Toezichthoudend ambtenaar | De ambtenaren van het secretariaat van de Autoriteit Persoonsgegevens dan wel de bij besluit van de AP aangewezen personen als bedoeld in artikel 10 en 15 van de UAVG, voor zover deze in het kader van het betreffende onderzoek niet optreden als geheimhoudersmedewerker en/of forensisch IT-medewerker zoals bedoeld in de ‘Werkwijze Autoriteit Persoonsgegevens geheimhoudingsprivilege advocaat 2026’. |
| Veiligstellen | Overzetten van gegevens door een toezichthoudend ambtenaar of forensisch IT-medewerker op een gegevensdrager van de toezichthoudend ambtenaar of forensisch IT-medewerker. |
Waarborgen bij de inzet van de bevoegdheid inzage te vorderen in gegevens op grond van artikel 5:17 van de Awb en/of artikel 58 van de AVG
Artikel 2.1. Waarborgen bij de totstandkoming van de veiliggestelde dataset
Bij het inzage vorderen, veiligstellen en selecteren van gegevens richt de toezichthoudend ambtenaar zich op het doel en voorwerp van het onderzoek, dat daaraan voorafgaand schriftelijk door de toezichthoudend ambtenaar is verstrekt.
De toezichthoudend ambtenaar verstrekt het onderzoekssubject de namen van de personen/functionarissen van wie betrokkenheid bij het doel en voorwerp van het onderzoek wordt vermoed, dan wel van hun ondersteuner(s), voordat gegevens worden veiliggesteld of meegenomen die behoren bij deze personen/functionarissen of ondersteuner(s) op grond van artikel 5:17, derde lid, van de Awb en/of artikel 58 AVG.
De toezichthoudend ambtenaar verstrekt het onderzoekssubject een overzicht van de gegevens op de veiliggestelde dataset met de bijbehorende hashwaarden per bestand na het veiligstellen van gegevens.
Artikel 2.2. Waarborgen bij de totstandkoming van de binnen-de-reikwijdte dataset
Totdat de dataset waarvan de toezichthoudend ambtenaar inzage vordert of de veiliggestelde dataset zodanig is geselecteerd dat zij is aan te merken als binnen-de-reikwijdte dataset, ziet de toezichthoudend ambtenaar de gegevens niet langer in dan noodzakelijk om te beoordelen of de gegevens binnen-de-reikwijdte zijn. Voor zover ten aanzien van (een deel van) de veiliggestelde dataset de 'Werkwijze Autoriteit Persoonsgegevens geheimhoudingsprivilege advocaat 2026' van toepassing is, is dat onderdeel van de dataset geen onderdeel van de beoordeling bedoeld in dit lid, totdat die werkwijze voor geprivilegieerde gegevens ten aanzien van het betreffende deel is doorlopen.
De toezichthoudend ambtenaar stelt het onderzoekssubject in staat aanwezig te zijn indien hij gegevens inziet om te beoordelen of deze gegevens binnen-de-reikwijdte zijn.
De toezichthoudend ambtenaar verstrekt het onderzoekssubject een overzicht van de gegevens op de binnen-de-reikwijdte dataset, en van de wijze van totstandkoming van de binnen-de-reikwijdte dataset, zo spoedig mogelijk, doch uiterlijk op het moment van ter inzagelegging.
Artikel 2.3. Waarborgen bij de totstandkoming van de onderzoeksdataset
De toezichthoudend ambtenaar biedt de mogelijkheid aan het onderzoekssubject om binnen een redelijk gestelde termijn gemotiveerd aan te geven of de binnen-de-reikwijdte dataset gegevens bevat die naar zijn oordeel als niet-zakelijke gegevens in de zin van artikel 5:17, eerste lid, van de Awb, of buiten de scope van het onderzoek zijn aan te merken.
De toezichthoudend ambtenaar beoordeelt deze claim. Voor zover de toezichthoudend ambtenaar deze claim toewijst, worden deze gegevens niet opgenomen in de onderzoeksdataset.
Als het onderzoekssubject niet binnen een redelijk gestelde termijn een gemotiveerde claim doet, zal de toezichthoudend ambtenaar ambtshalve de onderzoeksdataset vaststellen.
Artikel 2.4. Waarborg bij de totstandkoming van de veiliggestelde dataset, de binnen-de-reikwijdte dataset en de onderzoeksdataset ten aanzien van mogelijk geprivilegieerde gegevens
In de ‘Werkwijze Autoriteit Persoonsgegevens geheimhoudingsprivilege advocaat 2026’ is aangegeven hoe de toezichthoudend ambtenaar omgaat met het recht op geprivilegieerde correspondentie tussen advocaat en het onderzoekssubject bij de totstandkoming van de veiliggestelde dataset, de binnen-de-reikwijdte dataset en de onderzoeksdataset.
Artikel 2.5. Waarborg bij het opnemen van gegevens in het dossier
De toezichthoudend ambtenaar licht toe op grond waarvan hij gegevens uit de onderzoeksdataset ter inzage legt op grond van artikel 5:49, eerste lid, van de Awb. Dit gebeurt zo spoedig mogelijk, doch uiterlijk op het moment van ter inzagelegging. Dit gebeurt niet indien de keuze voor ter inzagelegging is gebaseerd op een beoordeling van de inhoud van de gegevens.
Artikel 2.6. Waarborgen betreffende het hergebruik, de externe verstrekking en het bewaren van gegevens
Gegevens opgenomen in de onderzoeksdataset kunnen worden hergebruikt in een ander onderzoek en extern worden verstrekt.
Gegevens opgenomen in de veiliggestelde dataset die niet zijn opgenomen in de onderzoeksdataset, worden niet hergebruikt in een ander onderzoek, noch extern verstrekt.
De toezichthoudend ambtenaar maakt een verslag van ambtshandelingen op indien gegevens worden hergebruikt of extern verstrekt overeenkomstig het eerste lid. In dit verslag geeft de toezichthoudend ambtenaar aan van welke veiliggestelde dataset de betreffende gegevens afkomstig zijn.
Gegevens opgenomen in de veiliggestelde dataset, de binnen-de-reikwijdte dataset en de onderzoeksdataset, en die niet zijn opgenomen in het dossier, worden bewaard uiterlijk totdat het onderzoek is afgerond.
Gegevens opgenomen in het dossier worden bewaard overeenkomstig de Archiefwet 1995.
Artikel 3. Vervanging eerdere werkwijzen
Dit besluit vervangt alle eerdere werkwijzen van de AP en het College Bescherming Persoonsgegevens.
Artikel 4. Citeertitel
Dit besluit wordt aangehaald als: Werkwijze Autoriteit Persoonsgegevens voor onderzoek in digitale gegevens 2026.
Artikel 5. Inwerkingtreding
Dit besluit treedt in werking met ingang van de dag na de datum van publicatie van de Staatscourant waarin het wordt geplaatst.
De raadpleging van dit document komt niet in de plaats van het lezen van het oorspronkelijke Staatsblad of de Staatscourant. Wij aanvaarden geen aansprakelijkheid voor eventuele onnauwkeurigheden die voortvloeien uit de omzetting van het origineel naar dit formaat.
Deze tekst wordt gepubliceerd onder de eigen hergebruiksvoorwaarden van BWB, niet onder een licentie van Legalize of van het publieke domein.
BWB
CC0 1.0 Universeel (publiek domein)