Zo dien je een klacht in bij de Autoriteit Persoonsgegevens

De Autoriteit Persoonsgegevens (AP) is de Nederlandse toezichthouder op de bescherming van persoonsgegevens. Als je arbodienst, werkgever of bedrijfsarts je privacyrechten schendt, kun je een klacht indienen bij de AP. Dit is hoe dat werkt.

Wanneer een klacht indienen zinvol is

De AP behandelt niet elke klacht en niet elke klacht leidt tot actie. Het is zinvol om een klacht in te dienen als:

Je een AVG-inzageverzoek hebt ingediend en geen of een onvolledig antwoord hebt gekregen binnen de wettelijke termijn van een maand
Je arbodienst weigert je medisch dossier te verstrekken
Er sprake is van ongeautoriseerde toegang tot je medisch dossier (een datalek)
Je persoonsgegevens worden gedeeld met partijen die daar geen recht op hebben
Je werkgever medische gegevens verwerkt die alleen de bedrijfsarts mag hebben
Je een verzoek tot correctie of verwijdering hebt ingediend dat is afgewezen zonder geldige reden
De arbodienst geen functionaris gegevensbescherming heeft aangesteld terwijl dat verplicht is

Het is minder zinvol als het gaat om een inhoudelijk meningsverschil met de bedrijfsarts over je beoordeling. Daarvoor is een tuchtklacht of een second opinion het juiste middel.

Stap 1: Probeer het eerst zelf op te lossen

De AP verwacht dat je eerst zelf hebt geprobeerd om het probleem op te lossen. Dat betekent:

Je hebt schriftelijk (per e-mail) een verzoek ingediend bij de organisatie
Je hebt een redelijke termijn gegeven om te reageren (minimaal de wettelijke termijn van een maand)
Je hebt eventueel een herinnering of ingebrekestelling gestuurd
De organisatie heeft niet of onvoldoende gereageerd

Bewaar alle correspondentie. De AP vraagt om bewijs dat je eerst zelf actie hebt ondernomen.

Stap 2: Verzamel je bewijs

Voordat je de klacht indient, verzamel alle relevante documenten:

Een kopie van je oorspronkelijke verzoek (het inzageverzoek, correctieverzoek, of ander AVG-verzoek)
Eventuele herinneringen of ingebrekestellingen die je hebt gestuurd
De reactie van de organisatie (als die er is)
Eventuele andere correspondentie
Bewijs van het datalek of de schending (bijvoorbeeld toegangslogs)
Je eigen tijdlijn van gebeurtenissen

Hoe completer je dossier, hoe serieuzer de AP je klacht kan beoordelen.

Stap 3: Dien de klacht in via de website van de AP

Ga naar autoriteitpersoonsgegevens.nl en kies voor “Klacht indienen.” Je kunt de klacht online indienen via een formulier. Je wordt gevraagd om:

Je eigen gegevens (naam, adres, e-mail)
De gegevens van de organisatie waartegen je klaagt
Een beschrijving van de klacht
Welke stappen je zelf hebt ondernomen
Ondersteunende documenten (uploads)

Wees feitelijk en beknopt in je beschrijving. Vermeld de relevante wetsartikelen (artikel 15 AVG voor inzagerecht, artikel 33 AVG voor datalekken, artikel 36 AVG voor rectificatie). Dat maakt het voor de AP makkelijker om je klacht te beoordelen.

Stap 4: De AP beoordeelt je klacht

Na ontvangst beoordeelt de AP of je klacht ontvankelijk is. Dat betekent: valt het onder de AVG, heb je eerst zelf geprobeerd het op te lossen, en is de klacht voldoende onderbouwd?

Als de klacht ontvankelijk is, kan de AP verschillende acties ondernemen:

Bemiddelen tussen jou en de organisatie
Een onderzoek instellen naar de verwerking van persoonsgegevens
Een waarschuwing of berisping geven aan de organisatie
Een last onder dwangsom opleggen om de organisatie te dwingen te voldoen
Een boete opleggen bij ernstige of herhaalde schendingen

Hoe lang duurt het?

De doorlooptijd varieert sterk. De AP ontvangt duizenden klachten per jaar en heeft beperkte capaciteit. Gemiddeld kun je het volgende verwachten:

Ontvangstbevestiging: binnen enkele dagen tot weken
Eerste beoordeling: binnen een tot drie maanden
Uitkomst bij bemiddeling: drie tot zes maanden
Uitkomst bij onderzoek: zes maanden tot meer dan een jaar

De AP behandelt klachten op basis van prioriteit. Klachten over medische gegevens wegen doorgaans zwaarder vanwege de gevoelige aard van de gegevens (artikel 9 AVG).

Wat de AP niet doet

De AP is geen rechter. De AP kan:

Geen schadevergoeding toekennen (daarvoor moet je naar de rechter)
Niet oordelen over de kwaliteit van de medische zorg (daarvoor is het tuchtcollege)
Niet individuele dossiers corrigeren (dat moet de verwerkingsverantwoordelijke doen)

De AP kan wel druk uitoefenen op de organisatie en in ernstige gevallen sancties opleggen.

Tips voor een sterke klacht

Wees specifiek. “De arbodienst schendt mijn privacy” is te vaag. “Ik heb op 15 januari 2026 een inzageverzoek op grond van artikel 15 AVG ingediend. Op 20 februari 2026 heb ik een herinnering gestuurd. Op 24 maart 2026, ruim twee maanden later, heb ik nog geen reactie ontvangen” is concreet en verifieerbaar.

Verwijs naar wetsartikelen. De AP werkt op basis van de AVG. Als je kunt verwijzen naar het specifieke artikel dat is geschonden, versterkt dat je klacht.

Bewaar alles. Elke e-mail, elk verzoek, elke reactie. Bewaar het in chronologische volgorde.

Maak een tijdlijn. Een overzichtelijke tijdlijn van gebeurtenissen helpt de AP om je klacht snel te begrijpen.

Heb je gesprekken opgenomen waarin je privacy wordt geschonden, of waarin de bedrijfsarts informatie deelt die niet gedeeld had mogen worden? Met ChatSafe maak je een transcript dat als bewijs kan dienen bij je klacht.