Uitspraak
202304226/1/A3.
Datum uitspraak: 28 januari 2026
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op het hoger beroep van:
[appellant], wonend in Wageningen,
appellant,
tegen de uitspraak van de rechtbank Gelderland van 25 mei 2023 in zaak nr. 21/3912 in het geding tussen:
[appellant]
en
Autoriteit Persoonsgegevens (hierna: AP).
Procesverloop
Bij besluit van 4 maart 2021 heeft de AP het verzoek van [appellant] om corrigerende maatregelen te treffen afgewezen.
Bij besluit van 15 juli 2021 heeft de AP het door [appellant] daartegen gemaakte bezwaar gedeeltelijk ongegrond verklaard.
Bij uitspraak van 25 mei 2023, (ECLI:NL:RBGEL:2023:2969), heeft de rechtbank het door [appellant] daartegen ingestelde beroep ongegrond verklaard.
Tegen deze uitspraak heeft [appellant] hoger beroep ingesteld.
De AP heeft een schriftelijke uiteenzetting gegeven.
[appellant] heeft een nader stuk ingediend.
De Afdeling heeft de zaak op een zitting behandeld op 28 juli 2025, waar [appellant], bijgestaan door mr. H.A. Elbert, en de AP, vertegenwoordigd door mr. A. Karimi en mr. W. van Steenbergen, zijn verschenen. Verder is op de zitting het college van burgemeester en wethouders van Wageningen (hierna: het college), vertegenwoordigd door ir. J.G. de Man en mr. J.B. Buijs als partij gehoord.
Overwegingen
Inleiding
1. De gemeente Wageningen hanteert voor het innen van de parkeerbelasting op de parkeerterreinen Olympiaplein en Stadsbrink een systeem van kentekenparkeren. Dit houdt in dat een parkeerder via de parkeerautomaat of mobiele telefoon het kenteken van zijn auto registreert. Voor het eerste uur parkeren hoeft geen parkeerbelasting betaald te worden. Als een parkeerder aangeeft langer dan een uur te gaan parkeren, dan moet hij vooraf de parkeerbelasting voldoen. De controle op betaling van parkeerbelasting vindt plaats met gebruik van zogenoemde ‘handhelds’ door handhavers van de gemeente die kentekens van geparkeerde voertuigen invoeren. Als geen parkeerbelasting is verschuldigd, of als de parkeerbelasting van een gecontroleerd voertuig is betaald, worden de ingevoerde kentekengegevens na 48 uur verwijderd. Als de verschuldigde parkeerbelasting niet is betaald, dan worden de gegevens van de kentekenhouder opgevraagd voor het opleggen van een naheffingsaanslag. Die gegevens worden dan bewaard tijdens de afhandeling van eventueel bezwaar en beroep tegen de naheffingsaanslag.
2. Op 4 oktober 2019 heeft [appellant] op grond van artikel 77 van de Algemene Verordening Gegevensbescherming (EU) 2016/679 (hierna: AVG) over dit systeem een klacht ingediend bij de AP. [appellant] vindt namelijk dat het verwerken van persoonsgegevens bij het kentekenparkeren op basis van de aangevoerde verwerkingsgrondslag van het college onrechtmatig is en dat het college geen passende anonieme alternatieven aanbiedt. Ook verzoekt hij de AP om corrigerende maatregelen te treffen tegen het college door over te gaan tot handhaving. De AP heeft dit verzoek afgewezen. De rechtbank heeft geoordeeld dat de AP op goede gronden heeft besloten dat geen sprake is van een onrechtmatige verwerking van persoonsgegevens door het college en dat er geen reden is om handhavend op te treden tegen het college. [appellant] is het hier niet mee eens.
3. De relevante wet- en regelgeving is opgenomen in de bijlage, die deel uitmaakt van deze uitspraak.
Hoger beroep
4. [appellant] betoogt dat de rechtbank ten onrechte heeft geoordeeld dat geen sprake is van een onrechtmatige verwerking van persoonsgegevens door het college en dat er geen reden is om handhavend op te treden tegen het college. Hij voert allereerst aan dat deze gegevensverwerking geen wettelijke grondslag heeft. In dit kader stelt hij, onder verwijzing naar het arrest van 24 februari 2017, ECLI:NL:HR:2017:286, dat de Verordening parkeerbelastingen 2021, gelezen in samenhang met het Aanwijzingsbesluit betaald parkeren 2021 en de artikelen 225 en 234 van de Gemeentewet niet beschouwd kan worden als de op grond van de AVG vereiste basis voor de verwerking van kentekengegevens in geval van kentekenparkeren. De verwerking van de gemeente Wageningen is daarom niet rechtmatig, aldus [appellant]. Verder voert [appellant] aan dat de verwerking van kentekengegevens niet noodzakelijk is als bedoeld in artikel 6, eerste lid, sub e, van de AVG. Volgens [appellant] is er een ander, minder vergaand alternatief mogelijk, namelijk dat van een elektronische blauwe parkeerschijf. In dat geval kan ook anoniem geparkeerd worden en wordt aan de efficiency-wensen van het college tegemoetgekomen. Tot slot voert [appellant] aan dat de door het college aangedragen alternatieven een inbreuk maken op zijn bewegingsvrijheid en keuzevrijheid en dat daardoor kentekenparkeren onevenredig is.
Wat is het toetsingskader?
4.1. De verwerking van persoonsgegevens kan rechtmatig zijn als die noodzakelijk is voor de vervulling van een taak van algemeen belang. Daarvoor moet allereerst worden beoordeeld of het doel waarvoor de persoonsgegevens worden verwerkt welbepaald en uitdrukkelijk omschreven is. Verder moet worden beoordeeld of met de aan de orde zijnde verwerking van de persoonsgegevens ook het betreffende doel wordt bereikt. Daarbij moet het doel passen binnen de taak van algemeen belang. In het geval dat de verwerking van de persoonsgegevens voor het bereiken van het specifieke doel in deze zin noodzakelijk is, moet vervolgens worden beoordeeld of de inbreuk op de privacy evenredig is met de belangen die zijn gediend met de verwerking van de persoonsgegevens. Zoals de Afdeling eerder heeft geoordeeld in de uitspraak van 20 september 2017, ECLI:NL:RVS:2017:2555, moet in het licht van het EU-Handvest daartoe worden beoordeeld of de inbreuk op de privacy is beperkt tot wat voor het behalen van het doel strikt noodzakelijk is. Met name moet worden beoordeeld of het doel waarvoor de persoonsgegevens worden verwerkt in redelijkheid niet op een andere, voor de bij de verwerking van persoonsgegevens betrokken personen minder nadelige wijze kan worden verwezenlijkt. De intensiteit waarmee dit moet gebeuren, wordt mede bepaald door de specificiteit van de aangedragen alternatieven. Met andere woorden: hoe gedetailleerder de betrokkene het alternatief beschrijft, hoe indringender het onderzoek van de AP moet zijn.
Met deze toetsing van de belangen in het concrete geval is de AVG in overeenstemming met artikel 8 van het Europees Verdrag voor de Rechten van de Mens (zie de uitspraak van 30 juni 2021, ECLI:NL:RVS:2021:1420).
4.2. Op grond van artikel 6, eerste lid, sub e, van de AVG is de verwerking van persoonsgegevens rechtmatig als de verwerking noodzakelijk is voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen.
4.3. Niet in geschil is dat de heffing van parkeerbelasting een taak is van algemeen belang in de zin van artikel 6, eerste lid, sub e, van de AVG. Ook is niet in geschil dat met de verwerking van de gegevens het doel van heffing van parkeerbelasting wordt bereikt.
Is er een wettelijke grondslag voor het kentekenparkeren?
4.4. De gronden die [appellant] over de wettelijke grondslag heeft aangevoerd zijn zo goed als een herhaling van wat hij in beroep heeft aangevoerd. De rechter is gemotiveerd op die gronden ingegaan. [appellant] heeft geen redenen aangevoerd waarom de gemotiveerde beoordeling van die gronden in de uitspraak van de rechtbank onjuist of onvolledig zou zijn. De Afdeling kan zich vinden in het oordeel van de rechtbank en in de onder 6.1 en 6.2 van de uitspraak opgenomen overwegingen, waarop dat oordeel is gebaseerd. Zij voegt daaraan nog het volgende toe.
3.4.1. De eis van een wettelijke basis gaat niet zo ver dat in wettelijke regelingen moet worden vastgesteld wat de bewaartermijn is en welke systemen of registers voor de verwerking worden gebruikt (vergelijk de uitspraak van de Afdeling van 30 juni 2021, ECLI:NL:RVS:2021:1420, r.o. 16).
Voor zover [appellant] verwijst naar het arrest van de Hoge Raad van 24 februari 2017, ECLI:NL:HR:2017:286, overweegt de Afdeling dat het in dat arrest niet ging om één of enkele waarnemingen in de openbare ruimte, maar om het systematisch verzamelen, vastleggen, bewerken en jarenlang bewaren van gegevens over de bewegingen van voertuigen op diverse plaatsen in Nederland, op een zodanige wijze dat die gegevens aan de hand van het kenteken tot een bepaald voertuig en daarmee (in beginsel) tot een bepaalde persoon kunnen worden herleid, en waarbij het doel (mede) is om aan de hand van een analyse van die gegevens per voertuig een beeld te krijgen van de verplaatsingen daarvan gedurende een jaar. Deze gegevensverwerking is dus van een geheel andere orde zowel wat betreft aard als omvang dan waarvan sprake is bij het kentekenparkeren op de parkeerterreinen Olympiaplein en Stadsbrink in de gemeente Wageningen. Alleen al daarom kan deze zaak hiermee niet op één lijn worden gesteld.
Is de verwerking noodzakelijk voor de vervulling van een taak van algemeen belang?
4.5. Zoals de Afdeling eerder heeft overwogen in de uitspraak van 30 juni 2021, ECLI:NL:RVS:2021:1420, r.o. 16, moet de verwerkingsverantwoordelijke aantonen dat een verwerking noodzakelijk is voor het verwezenlijken van een bepaald doel. Maar de verwerkingsverantwoordelijke hoeft niet alle mogelijke alternatieven te bedenken. Het doel van de verwerking is het uitvoeren van de heffing van parkeerbelasting en de controle daarop op de parkeerterreinen Stadsbrink en Olympiaplein in de gemeente Wageningen. In dat verband heeft het college op de zitting toegelicht dat bij de invoering van het kentekenparkeren ook heeft meegewogen dat de opbrengsten uit de parkeerheffing rechtstreeks ten goede komen aan de gemeente, terwijl bij het eerder gehanteerde systeem de opbrengsten ten goede kwamen aan het Centraal Justitieel Incassobureau. Het door [appellant] aangedragen alternatief om gebruik te blijven maken van een (elektronische) blauwe parkeerschijf voorziet niet in de mogelijkheid tot het heffen en innen van parkeerbelasting, zodat daarmee geen opbrengsten voor de gemeente worden gegenereerd. De door [appellant] aangedragen mogelijkheid voor het college om in het parkeerbesluit op te nemen dat voertuigen met een elektronische parkeerschijf met de voorruit naar de straat toe dienen te parkeren, zodat tegemoet wordt gekomen aan de efficiency-eis, maakt de elektronische blauwe parkeerschijf nog geen effectief alternatief voor kentekenparkeren. Met een elektronische blauwe parkeerschijf is inning en eventueel naheffing van parkeerbelasting voor de gemeente namelijk niet goed mogelijk. [appellant] heeft niet aannemelijk gemaakt dat een systeem met een (elektronische) blauwe parkeerschijf een minder ingrijpend alternatief vormt dat even geschikt is voor handhaving van de parkeerbelasting. De Afdeling is van oordeel dat met het aangedragen alternatief niet de beoogde doelen worden bereikt. Gelet hierop heeft de rechtbank op goede gronden geoordeeld dat de AP heeft mogen concluderen dat het doel van de verwerking niet op een andere, minder nadelige wijze kan worden verwezenlijkt.
Bij het voorgaande acht de Afdeling van belang dat het college alternatieven heeft aangedragen waar het mogelijk is om zonder de verwerking van persoonsgegevens te parkeren, onder meer op de hoek van het Olympiaplein en de Spelstraat. Ook kan op de Churchillweg geparkeerd worden met een blauwe parkeerschijf. Deze zone ligt op drie minuten loopafstand van het Olympiaplein. Verder kan ook buiten het reguleringsgebied, op minder dan één minuut lopen van het Olympiaplein geparkeerd worden zonder dat persoonsgegevens worden verwerkt. Gelet hierop is de Afdeling van oordeel dat de inbreuk op de privacy evenredig is met de belangen die zijn gediend met de verwerking van de persoonsgegevens.
4.6. Het betoog slaagt niet.
Had het college een DPIA moeten laten uitvoeren?
5. Tot slot betoogt [appellant] dat de rechtbank ten onrechte heeft geoordeeld dat het college geen Data Protection Impact Assessment (hierna: DPIA) als bedoeld in artikel 35 van de AVG hoefde uit te voeren voor de invoering van het kentekenparkeren. Hij voert hiertoe aan dat de rechtbank de omvang van de verwerking van de persoonsgegevens niet heeft onderkend en dat zij ten onrechte is uitgegaan van een handmatig controleproces. Ook is de rechtbank uitgegaan van een te korte opslagtermijn. De gegevens worden veel langer bewaard dan 48 uur, namelijk 90 dagen. Dat heeft grote gevolgen voor de persoonlijke levenssfeer van betrokkenen. Verder voert [appellant] aan dat sprake is van stelselmatige monitoring en grootschalige gegevensverwerking. Op grond van die criteria is een DPIA verplicht volgens de Richtsnoeren voor gegevensbeschermingseffectbeoordelingen en bepaling of een verwerking "waarschijnlijk een hoog risico inhoudt" in de zin van Verordening 2016/679 (hierna: Richtsnoeren DPIA). Ook gaat het om locatiegegevens. Uit het Besluit inzake lijst van verwerkingen van persoonsgegevens waarvoor een gegevensbeschermingseffectbeoordeling (DPIA) verplicht is (hierna: Besluit DPIA) volgt uit punt 12 dat een DPIA verplicht is voor verwerking van locatiegegevens. Op de zitting heeft [appellant] in dit kader gesteld dat kentekenparkeren vergelijkbaar is met de situatie waarin locatiegegevens van reizigers in het openbaar vervoer verwerkt worden. Het college heeft nagelaten een DPIA uit te voeren en daarom had de AP ook om die reden handhavend moeten optreden.
5.1. Wanneer een soort verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen is de verwerkingsverantwoordelijke verplicht om vóór de verwerking een beoordeling uit te voeren van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens. Dit volgt uit artikel 35, eerste lid, van de AVG. Het Hof van Justitie heeft geoordeeld dat dit in het bijzonder geldt voor een verwerking waarbij nieuwe technologieën worden gebruikt (zie het arrest van het Hof van Justitie van 21 maart 2024, Landeshaupstadt Wiesbaden, ECLI:EU:C:2024:251, punt 65). In artikel 35, derde lid, van de AVG zijn gevallen aangewezen waarin deze verplichting met name geldt. Daarover heeft het Hof in dat arrest geoordeeld dat een DPIA in ieder geval vereist is wanneer sprake is van een grootschalige verwerking van bijzondere categorieën gevoelige gegevens, zoals bedoeld in artikel 9, eerste lid, van de AVG, zoals biometrische gegevens met het oog op de unieke identificatie van een persoon.
5.2. De Richtsnoeren DPIA zijn opgesteld door een onafhankelijk Europees adviesorgaan. Deze richtsnoeren zijn in de eerste plaats bedoeld om te verduidelijken wanneer een DPIA verplicht is op grond van artikel 35, eerste en derde lid, van de AVG. Verder beogen deze richtsnoeren gegevensbeschermingsautoriteiten criteria te geven voor de lijsten die zij moeten opstellen overeenkomstig artikel 35, vierde lid, van de AVG. Dit met het oog op een consistente en uniforme interpretatie van de omstandigheden waarin een DPIA verplicht is.
5.3. Op grond van artikel 35, vierde lid, van de AVG stelt de toezichthoudende autoriteit een lijst op van het soort verwerkingen waarvoor een DPIA overeenkomstig het eerste lid verplicht is. Gelet hierop en gezien de Richtsnoeren DPIA heeft de AP het Besluit DPIA vastgesteld. De Afdeling zal hieronder beoordelen of het college voorafgaand aan de invoering van het kentekenparkeren een DPIA had moeten opstellen op grond van het Besluit DPIA.
Besluit DPIA
5.4. Het besluit definieert onder punt 12 locatiegegevens als volgt: "Grootschalige verwerking en/of stelselmatige monitoring van locatiegegevens van of herleidbaar tot natuurlijke personen (bijvoorbeeld door (scan)auto’s, navigatiesystemen, telefoons, of verwerking van locatiegegevens van reizigers in het openbaar vervoer)." De Richtsnoeren geven een nadere duiding aan stelselmatige monitoring: "een verwerking die wordt gebruikt voor het observeren, monitoren of controleren van betrokkenen, inclusief via netwerken verzamelde gegevens" of "stelselmatige [...] monitoring van openbaar toegankelijke ruimten (artikel 35, lid 3, onder c). Dit type monitoring is een criterium omdat de persoonsgegevens kunnen worden verzameld in omstandigheden waarin de betrokkenen mogelijk niet weten wie hun gegevens verzamelt en hoe die gegevens zullen worden gebruikt. Bovendien kan het voor natuurlijke personen onmogelijk zijn om te voorkomen dat ze aan een dergelijke verwerking in een openbare (of openbaar toegankelijke) ruimte worden onderworpen."
5.5. Zoals de AP in de schriftelijke uiteenzetting nader heeft toegelicht, is in het geval van kentekenparkeren het voor de parkeerders duidelijk zichtbaar welke gegevens worden verwerkt en waarvoor die worden gebruikt. Parkeerders voeren de kentekengegevens namelijk zelf in bij de parkeerautomaat of in de parkeerapp. De parkeerders zijn zich daarom bewust van het feit dat hun gegevens worden verwerkt. Ook de reden van verwerking, heffing van parkeerbelasting, is hen van tevoren duidelijk. Verder geldt dat het voor de parkeerders in dit geval niet onmogelijk is om te voorkomen dat ze aan een dergelijke verwerking worden onderworpen. Hoewel dit niet te voorkomen is voor deze twee specifieke parkeerterreinen, kunnen zij de verwerking voorkomen door op een andere plek te parkeren. De Afdeling volgt de AP in deze toelichting. De Afdeling acht het van belang dat de parkeerders de keuzemogelijkheid hebben om al dan niet aan verwerking te worden onderworpen, omdat zij ook elders kunnen parkeren. Gelet hierop is bij het kentekenparkeren geen sprake van stelselmatige monitoring zoals bedoeld onder punt 12 van het Besluit DPIA.
5.6. Het betoog slaagt in zoverre niet.
5.7. [appellant] heeft verder betoogd dat sprake is van verwerking op grote schaal, aangezien het gaat om het kentekenparkeren van enkele duizenden inwoners.
5.8. Over het op grote schaal verwerken van gegevens staat in overweging 91 van de AVG dat een DPIA met name geldt voor grootschalige verwerkingen die bedoeld zijn voor de verwerking van een aanzienlijke hoeveelheid persoonsgegevens op regionaal, nationaal of supranationaal niveau, waarvan een groot aantal betrokkenen gevolgen zou kunnen ondervinden en die bijvoorbeeld vanwege hun gevoelige aard een hoog risico met zich kunnen brengen, wanneer conform het bereikte niveau van technologische kennis een nieuwe technologie op grote schaal wordt gebruikt, alsmede voor andere verwerkingen die een groot risico voor de rechten en vrijheden van de betrokkenen inhouden, met name wanneer betrokkenen als gevolg van die verwerkingen hun rechten moeilijker kunnen uitoefenen. Verder staat in de Richtsnoeren DPIA dat de volgende factoren in aanmerking moeten worden genomen bij het bepalen of een verwerking op grote schaal wordt uitgevoerd:
a. het aantal betrokkenen, hetzij als een specifiek aantal hetzij als een deel van de relevante populatie;
b. het volume van gegevens en/of het bereik van verschillende gegevensitems die worden verwerkt;
c. de duur, of het permanente karakter, van de gegevensverwerkingsactiviteit;
d. de geografische omvang van de verwerkingsactiviteit.
5.9. De AP heeft in de schriftelijke uiteenzetting toegelicht hoe hij aan de hand van de hiervoor genoemde factoren heeft beoordeeld of sprake is van een verwerking op grote schaal.
De AP heeft gekeken naar het inwoneraantal van de gemeente Wageningen, zo’n 40.000 inwoners. Het aantal betrokkenen betreft een redelijk omvangrijke groep. Daarmee wordt volgens de AP op deze factor gemiddeld gescoord.
Wat betreft het volume of het bereik van de gegevens stelt de AP in de schriftelijke uiteenzetting dat het volume zeer gering is. Het gaat alleen om kentekens in relatie tot parkeertijden.
Over de derde factor, de duur van de gegevensverwerkingsactiviteit, is op de zitting door het college, aanvullend op het standpunt van de AP, toegelicht dat de persoonsgegevens na 48 uur worden gewist. Daarbij wordt ook het kenteken gewist. De overige gegevens, het enkele feit dat er een auto geparkeerd heeft op dat parkeerterrein, gebruikt de gemeente om de parkeerdruk te beoordelen. In de gevallen dat een parkeerder de parkeerbelasting niet heeft voldaan, worden de gegevens opgeslagen bij het Nationaal Parkeerregister (hierna: NPR). Het NPR bewaart de gegevens 90 dagen voor de behandeling van bezwaar en beroep. Daarmee worden de gegevens van één parkeerbezoek maar voor een beperkte tijd opgeslagen. Hoewel de gegevens van één parkeerbezoek voor beperkte tijd worden opgeslagen, heeft de gegevensverwerkingsactiviteit als zodanig wel een permanent karakter.
5.10. Aan wat hiervoor onder 5.9 is weergegeven voegt de Afdeling nog toe dat de persoonsgegevens alleen worden verwerkt voor het doel van het innen van parkeerbelasting. Wat betreft de geografische omvang van de verwerkingsactiviteit merkt de Afdeling nog op dat de gegevensverwerking beperkt is tot twee parkeerterreinen. Anders dan [appellant] heeft betoogd, kan de omvang van de verwerkingsactiviteit niet worden bezien op het niveau van het gehele land.
5.11. Gelet op het vorenstaande is de Afdeling van oordeel dat de AP terecht tot de conclusie is gekomen dat bij het kentekenparkeren geen sprake van een grootschalige verwerking van persoonsgegevens zoals bedoeld in de Besluit DPIA. Hieruit volgt niet dat de gegevensverwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen in de zin van artikel 35, eerste lid, van de AVG en dat daarom het college niet gehouden was om een DPIA uit te voeren.
5.12. De Afdeling voegt hier verder aan toe dat kentekenparkeren verschilt met de in het Besluit DPIA genoemde voorbeelden. Zo betreffen (scan)auto’s een groter geografisch gebied en de auto kan in een korte tijd een groot gebied scannen waardoor sprake is van grootschalige verwerking. In dit geval moet de handhaver met een handscanner de auto’s één voor één af en dus wordt niet in korte tijd een aanzienlijke hoeveelheid persoonsgegevens verwerkt. Voor zover [appellant] op de zitting heeft gesteld dat het verwerken van locatiegegevens van reizigers in het openbaar vervoer hetzelfde is als kentekenparkeren, overweegt de Afdeling als volgt. De verwerking van locatiegegevens van reizigers in het openbaar vervoer verschilt van het kentekenparkeren, omdat in dit geval geen reisbeweging wordt vastgelegd waardoor iemand niet in tijd en plaats gevolgd kan worden. Het gaat hier slechts om een momentopname. Gelet hierop was het college op grond van het Besluit DPIA niet gehouden om een DPIA uit te voeren.
5.13. Het betoog slaagt niet. Dat betekent dat het college niet verplicht was om een DPIA uit te voeren. Gelet op al het voorgaande is de AP daarom op goede gronden niet overgegaan tot handhaving.
Conclusie
6. Het hoger beroep is ongegrond. De uitspraak van de rechtbank wordt bevestigd.
7. De AP hoeft de proceskosten niet te vergoeden.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
bevestigt de aangevallen uitspraak.
Aldus vastgesteld door mr. C.J. Borman, voorzitter, en mr. C.C.W. Lange en mr. C.H. Bangma, leden, in tegenwoordigheid van mr. R.F.J. Bindels, griffier.
w.g. Borman
voorzitter
w.g. Bindels
griffier
Uitgesproken in het openbaar op 28 januari 2026
85-1050
BIJLAGE
Wettelijk kader
Algemene verordening gegevensbescherming (EU) 2016/679
Artikel 35
1. Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context en de doeleinden daarvan waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van natuurlijke personen voert de verwerkingsverantwoordelijke vóór de verwerking een beoordeling uit van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens. Eén beoordeling kan een reeks vergelijkbare verwerkingen bestrijken die vergelijkbare hoge risico's inhouden.
2. (…)
3. Een gegevensbeschermingseffectbeoordeling als bedoeld in lid 1 is met name vereist in de volgende gevallen:
a) een systematische en uitgebreide beoordeling van persoonlijke aspecten van natuurlijke personen, die is gebaseerd op geautomatiseerde verwerking, waaronder profilering, en waarop besluiten worden gebaseerd waaraan voor de natuurlijke persoon rechtsgevolgen zijn verbonden of die de natuurlijke persoon op vergelijkbare wijze wezenlijk treffen;
b) grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9, lid 1, of van gegevens met betrekking tot strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10; of
c) stelselmatige en grootschalige monitoring van openbaar toegankelijke ruimten.
4. De toezichthoudende autoriteit stelt een lijst op van het soort verwerkingen waarvoor een gegevensbeschermingseffectbeoordeling overeenkomstig lid 1 verplicht is, en maakt deze openbaar. De toezichthoudende autoriteit deelt die lijsten mee aan het in artikel 68 bedoelde Comité.
5. De toezichthoudende autoriteit kan ook een lijst opstellen en openbaar maken van het soort verwerking waarvoor geen gegevensbeschermingseffectbeoordeling is vereist. De toezichthoudende autoriteit deelt deze lijst mee aan het Comité.
[…].
Artikel 36
1. Wanneer uit een gegevensbeschermingseffectbeoordeling krachtens artikel 35 blijkt dat de verwerking een hoog risico zou opleveren indien de verwerkingsverantwoordelijke geen maatregelen neemt om het risico te beperken, raadpleegt de verwerkingsverantwoordelijke voorafgaand aan de verwerking de toezichthoudende autoriteit.
[…].