De Autoriteit Persoonsgegevens (AP) kiest voor een andere aanpak van toezicht. Minder nadruk op boetes, meer op directe interventie en samenwerking met organisaties. Tegelijkertijd neemt de druk op privacybescherming fors toe, met 75 procent meer klachten en ruim 44.000 gemelde datalekken in 2025. Dat blijkt uit het zojuist verschenen Jaarverslag 2025 .
De toezichthouder wil sneller kunnen ingrijpen en zoekt daarom vaker het gesprek met organisaties. Overtredingen moeten in een eerder stadium worden opgelost, zonder direct langdurige juridische trajecten. Tegelijkertijd blijft handhaving nadrukkelijk onderdeel van het instrumentarium, vooral bij ernstige overtredingen of wanneer organisaties niet meewerken.
De cijfers onderstrepen de toenemende druk op het toezicht. Het aantal klachten en signalen nam in één jaar tijd met 75 procent toe. Ook het aantal gemelde datalekken steeg fors, van 37.839 naar 44.374 meldingen. Hoewel het merendeel bestaat uit relatief kleine incidenten, zoals verkeerd verzonden e-mails, zit de grootste impact bij cyberaanvallen. Die treffen vaak grote groepen mensen en vergroten het risico op identiteitsfraude en misbruik van gegevens.
De AP kiest daarom nadrukkelijk voor een risicogestuurde aanpak, waarbij vooral incidenten met een grote maatschappelijke impact prioriteit krijgen.
Opvallend is dat het aantal opgelegde boetes daalde naar vier in 2025. Tegelijkertijd nam het aantal berispingen toe en werd vaker gebruikgemaakt van een vereenvoudigde afdoeningsprocedure. Daarmee worden zaken sneller afgerond, mits organisaties overtredingen erkennen en bereid zijn aanpassingen door te voeren.
Deze verschuiving past bij de bredere lijn van de AP om sneller resultaat te boeken via correctie en gedragsverandering, in plaats van uitsluitend via sanctionering.
De omgang met persoonsgegevens door de overheid ligt onder een vergrootglas. Burgers hebben immers vaak geen keuze om hun gegevens te delen. In 2025 voerde de AP daarom steekproefsgewijze controles uit bij gemeenten, waarbij onder meer werd gekeken naar verwerkingsregisters, privacyrisicoanalyses en de rol van de functionaris gegevensbescherming.
Daarmee benadrukt de toezichthouder dat de overheid niet alleen moet voldoen aan wet- en regelgeving, maar ook een voorbeeldfunctie heeft in verantwoord datagebruik.
De AP richtte haar toezicht in 2025 expliciet op drie domeinen waar de risico’s snel toenemen:
• toepassingen van AI en algoritmes, met aandacht voor transparantie en discriminatie
• de rol van grote technologiebedrijven en internationale datastromen
• de handel in persoonsgegevens en grootschalige dataverzameling
Daarnaast waarschuwde de toezichthouder voor wetgeving die het verzamelen van online persoonsgegevens verruimt, omdat dit kan leiden tot een vrijwel volledig beeld van het privéleven van burgers.
De groei van het aantal klachten werkt door in de juridische keten. Het aantal bezwaarzaken en beroepsprocedures nam opnieuw toe, met in 2025 een recordaantal beroepszaken. Privacyvraagstukken ontwikkelen zich daarmee steeds nadrukkelijker tot juridische en bestuurlijke dossiers.
De AP zet in op een structurele verandering van haar rol: eerder aan tafel bij nieuwe technologische ontwikkelingen. De focus ligt daarbij op grootschalige dataverzameling, de snelle opkomst van AI en de betrouwbaarheid van digitale diensten.
Door eerder betrokken te zijn, wil de toezichthouder voorkomen dat systemen worden uitgerold voordat de risico’s voldoende in beeld zijn.
De Autoriteit Persoonsgegevens laat zien dat toezicht verandert: sneller, pragmatischer en dichter op de praktijk. Tegelijkertijd nemen de risico’s en de maatschappelijke impact van digitalisering zichtbaar toe.
Voor organisaties is de richting duidelijk: privacy vraagt om structurele aandacht, niet alleen vanuit compliance, maar als randvoorwaarde voor betrouwbare digitale dienstverlening.