De Autoriteit Persoonsgegevens (AP) heeft haar jaarverslag over 2025 gepubliceerd onder de titel ‘Richting geven in een snel veranderende digitale wereld‘. De cijfers spreken boekdelen: het aantal klachten en signalen van Nederlandse burgers steeg van 7.100 in 2024 naar ruim 13.000 in 2025, een verdubbeling die laat zien dat Nederlanders hun privacyrechten steeds actiever opeisen. De toezichthouder spreekt van een groeiend bewustzijn onder de bevolking, maar waarschuwt tegelijkertijd dat de wachttijden voor klachtafhandeling oplopen en dat er structureel meer capaciteit nodig is om de digitale rechtsbescherming op peil te houden.
Waarom ontving AP meer privacyklachten in 2025
De explosieve groei van het aantal meldingen kent meerdere oorzaken. Allereerst weten steeds meer burgers de weg naar de AP te vinden wanneer zij vermoeden dat hun persoonsgegevens onrechtmatig worden verwerkt. De toezichthouder biedt via haar website de mogelijkheid om laagdrempelig een klacht of tip in te dienen, bijvoorbeeld wanneer iemand vermoedt dat een organisatie de AVG-regels overtreedt. Deze toegankelijkheid betaalt zich uit in grotere meldingsbereidheid.
Daarnaast werd het klachtenvolume in 2025 sterk opgedreven door één specifiek incident. Zo’n zeshonderd van de ontvangen klachten hadden betrekking op het grootschalige datalek bij Clinical Diagnostics, waarbij gevoelige medische gegevens van meer dan 900.000 personen in handen van onbevoegden terechtkwamen. Gedupeerden beklaagden zich over de gebrekkige informatievoorziening na het incident en uitten hun zorgen over de mogelijke gevolgen. Sommige vrouwen gaven aan zich onveilig te voelen omdat hun adresgegevens op straat lagen. De AP startte naar aanleiding van dit datalek en het gerelateerde incident bij Bevolkingsonderzoek Nederland een toezichtstraject dat zich onder meer richtte op het adequaat informeren van slachtoffers.
De impact van dergelijke grootschalige datalekken op individuele burgers mag niet worden onderschat. Wie meer wil weten over hoe de Europese privacywetgeving organisaties verplicht tot transparantie en dataminimalisatie, vindt daarin de juridische context die ook bij deze incidenten een centrale rol speelt.
Hoe de Autoriteit Persoonsgegevens sneller en effectiever optreedt bij overtredingen
Het jaarverslag 2025 laat zien dat de AP haar werkwijze fundamenteel heeft bijgesteld. De toezichthouder zette nadrukkelijk in op het sneller afronden van zaken waarin de overtreding helder was en snel herstel mogelijk bleek. In de praktijk betekent dit dat de AP vaker telefonisch contact opneemt met zowel klagers als de betrokken organisaties om problemen direct op te lossen. Deze persoonlijke benadering vervangt deels de traditionele, tijdrovende schriftelijke procedures en zorgt ervoor dat burgers sneller duidelijkheid krijgen over hun situatie.
Tegelijkertijd maakt de AP steeds vaker gebruik van fysieke toezichtbezoeken bij organisaties. Door ter plaatse te verschijnen kan de toezichthouder situaties die grote aantallen mensen raken in één keer bespreken en aanpakken. Deze aanpak bleek bijzonder effectief bij gemeenten, waar de AP de naleving van privacyregels intensiveerde. Het is een koerswijziging die aansluit bij de bredere ambitie om niet alleen reactief te handhaven, maar ook preventief richting te geven aan hoe organisaties met persoonsgegevens omgaan.
Datahandel en cookiebanners onder het vergrootglas van de privacytoezichthouder
De handel in persoonsgegevens blijft een miljardenindustrie en de AP trok daar in 2025 nadrukkelijk tegen ten strijde. Een concreet succes was de aanpak van misleidende cookiebanners: na formele waarschuwingen paste het overgrote deel van de aangeschreven organisaties hun tracking-software direct aan. Dit voorbeeld illustreert dat gerichte interventies, zonder dat er direct boetes aan te pas komen, effectief gedrag kunnen veranderen.
De AP gaf in 2025 bovendien voor het eerst een leidraad uit voor het beperken van persoonsgegevens bij politieke advertenties tijdens verkiezingen. Hiermee positioneert de toezichthouder zich nadrukkelijk in het debat over de invloed van datagedreven campagnes op democratische processen. De boodschap is helder: ook in het politieke domein gelden de privacyregels onverkort.
Welke uitdagingen de AP ziet bij de afhandeling van privacyklachten in Nederland
Ondanks de versnelde werkwijze en de toegenomen slagkracht blijft de AP kampen met capaciteitsproblemen. Van de ruim 13.000 ontvangen klachten en signalen werden er in 2025 ongeveer 11.000 afgehandeld. Dat betekent dat er zo’n tweeduizend klachten op de plank bleven liggen, een achterstand die de toezichthouder zelf als een belangrijk aandachtspunt bestempelt. De signalen zijn nagenoeg allemaal verwerkt, maar bij de meer complexe individuele klachten loopt de wachttijd op.
Het kabinet verhoogde het budget voor de AP naar 49 miljoen euro structureel tot 2029, maar de toezichthouder pleit al jaren voor een jaarlijks budget van minimaal 100 miljoen euro. De kloof tussen de beschikbare middelen en de groeiende vraag naar toezicht wordt alleen maar groter naarmate de digitalisering voortschrijdt, nieuwe wetgeving zoals de AI-verordening erbij komt en de complexiteit van dataverwerking toeneemt.
AI-toezicht en de AI-verordening als nieuwe prioriteit voor de Autoriteit Persoonsgegevens
De AP fungeert sinds enkele jaren als coördinerend toezichthouder op algoritmes en kunstmatige intelligentie in Nederland. In 2025 stonden transparantie, normuitleg, auditering, governance, non-discriminatie en AI-geletterdheid centraal. De toezichthouder bereidt zich actief voor op de Europese AI-verordening, die organisaties verplicht om verantwoord om te gaan met AI-systemen die impact hebben op fundamentele rechten van burgers.
De wisselwerking tussen AI en privacy is daarbij een terugkerend thema. Persoonsgegevens worden op grote schaal gebruikt om AI-modellen te trainen, en de AP houdt scherp toezicht op de vraag of dat rechtmatig, eerlijk en transparant gebeurt. De samenwerking met andere Europese toezichthouders is hierbij essentieel, zeker wanneer het gaat om grote techbedrijven die vanuit meerdere lidstaten opereren. De interventies bij bedrijven als Meta, LinkedIn en Clearview in voorgaande jaren illustreren dat grensoverschrijdend optreden noodzakelijk is om de privacyrechten van Europese burgers te beschermen.
Wat organisaties kunnen leren van het verscherpte toezicht op gegevensbescherming
Het jaarverslag van de AP bevat een duidelijke les voor organisaties in alle sectoren: de tijd dat privacycompliance een administratieve formaliteit was, ligt definitief achter ons. De toezichthouder verwacht van bedrijven dat zij proactief investeren in gegevensbescherming, datalekprocedures op orde hebben en betrokkenen tijdig en volledig informeren wanneer er iets misgaat. Uit eerder onderzoek van de AP bleek al dat veel organisaties falen in het adequaat informeren van betrokkenen bij een datalek, een probleem dat ook in 2025 zichtbaar bleef bij het Clinical Diagnostics-incident.
De nadruk op alternatieve interventies, zoals voorlichtingsgesprekken en toezichtbezoeken, betekent niet dat de AP terughoudend is met sancties. Boetes worden opgelegd wanneer het nodig is, en de toezichthouder maakt duidelijk dat organisaties die herhaaldelijk in gebreke blijven, rekening moeten houden met financiële consequenties die kunnen oplopen tot 20 miljoen euro of vier procent van de wereldwijde jaaromzet.
Toekomst van privacytoezicht in Nederland: wat verwachten van de AP in 2026
De publicatie van het jaarverslag 2025 markeert een kantelpunt in het Nederlandse privacytoezicht. De AP beweegt van een organisatie die voornamelijk reageerde op meldingen naar een instantie die actief richting geeft aan de digitale samenleving. De vijf strategische thema’s, waaronder AI-toezicht, datahandel, overheidstoezicht, de bescherming van kwetsbare groepen en internationale samenwerking, vormen het kompas voor de komende jaren.
Voor organisaties die persoonsgegevens verwerken betekent dit dat zij niet kunnen wachten tot de toezichthouder aan de deur klopt. Het proactief op orde brengen van privacy-governance, het trainen van medewerkers in het herkennen van datalekken en het investeren in technische beveiligingsmaatregelen is geen luxe meer, maar een zakelijke noodzaak. De AP heeft laten zien dat zij sneller, zichtbaarder en daadkrachtiger optreedt dan voorheen, en die lijn zal in 2026 alleen maar worden voortgezet.
Heeft uw organisatie behoefte aan ondersteuning bij het versterken van de digitale beveiliging en het waarborgen van privacycompliance? De specialisten van SolidBE denken graag met u mee over een aanpak die past bij uw situatie en sector.Â
Je kunt direct een klacht indienen via https://www.autoriteitpersoonsgegevens.nl/een-tip-of-klacht-indienen-bij-de-ap
