AP mocht afzien van nader onderzoek naar gestelde AVG-overtredingen door onderzoeksbureau

Rb. Gelderland 3 september 2026, 5529; ECLI:NL:RBGEL:2026:6791 (eiseres tegen de AP). Eiseres heeft bij de Autoriteit Persoonsgegevens (AP) een klacht ingediend over onderzoeksbureau Riscon. Zij stelde dat Riscon haar persoonsgegevens tegen haar wil en in strijd met de AVG had gedeeld met haar ex-partner en diens advocaat en na onderzoek van haar laptop en telefoon toegang had gehouden tot haar apparatuur en e-mailaccount. De AP heeft de klacht opgevat als een verzoek om handhavend op te treden, maar kon na beoordeling geen AVG-overtreding vaststellen en besloot geen nader onderzoek te doen. De rechtbank stelt voorop dat de AP op grond van art. 57 lid 1 onder f AVG de inhoud van een klacht moet onderzoeken in de mate waarin dat gepast is. De AP heeft beleidsruimte bij de beslissing om al dan niet handhavend op te treden en bepaalt aan de hand van haar prioriteringsbeleid in welke mate een klacht verder wordt onderzocht. Van eiseres mocht niet worden verlangd dat zij een overtreding door Riscon al bewees, maar de AP mocht wel objectieve aanknopingspunten verlangen voor een mogelijke AVG-overtreding. Die ontbreken volgens de rechtbank. Uit de stukken blijkt niet dat Riscon het adres of de inkomensgegevens van eiseres aan haar ex-partner of diens advocaat heeft verstrekt en het is niet uitgesloten dat zij deze gegevens op een andere manier hebben verkregen. Evenmin blijkt dat Riscon na het onderzoek toegang heeft gehouden tot de laptop, telefoon of mailbox van eiseres. De aangetroffen trackingcookie en de door eiseres genoemde onverklaarbare gebeurtenissen op haar computer en in haar mailbox vormen geen objectieve aanwijzingen dat Riscon daarvoor verantwoordelijk is.

De rechtbank oordeelt verder dat de AP de klacht in gepaste mate heeft onderzocht en geen nader onderzoek hoefde te verrichten. Eiseres heeft niet onderbouwd dat Riscon ook persoonsgegevens van anderen zou verspreiden en de AP was niet bekend met andere klachten over Riscon. Ook valt de klacht niet binnen een van de door de AP vastgestelde aandachtsgebieden: Big Tech, datahandel, digitale overheid en vrijheid en veiligheid. De AP mocht daarnaast meewegen dat verder onderzoek tijdsintensief zou zijn terwijl geen aanknopingspunten bestonden dat daarmee alsnog een AVG-overtreding door Riscon zou kunnen worden vastgesteld. Een door eiseres ter zitting aangevoerd punt over vermeende spoofing laat de rechtbank buiten beschouwing, omdat dit betrekking heeft op feiten die zich na het bestreden besluit hebben voorgedaan. Het beroep wordt ongegrond verklaard, zodat het besluit van de AP om geen nader onderzoek naar de klacht te doen in stand blijft.

8. De rechtbank is van oordeel dat de AP de klacht van eiseres in gepaste mate heeft onderzocht en niet verder heeft hoeven onderzoeken. De rechtbank legt hierna uit hoe zij tot haar oordeel is gekomen.

8.1.

De AP stelt zich naar het oordeel van de rechtbank allereerst terecht op het standpunt dat uit de klacht van eiseres en de door haar overgelegde documenten niet blijkt dat Riscon haar persoonsgegevens heeft verwerkt in strijd met de AVG.

8.2.

De AP heeft ter zitting uitgelegd dat zij van eiseres weliswaar niet verwacht dat zij bewijst dat Riscon als verwerkingsverantwoordelijke de AVG heeft overtreden, maar dat zij van eiseres wel verwacht dat zij daartoe objectieve aanknopingspunten aanlevert. De rechtbank deelt het standpunt van de AP dat het betoog van eiseres en de door haar overgelegde stukken geen objectieve aanknopingspunten bevatten dat Riscon de AVG heeft overtreden.

8.2.1.

Uit het betoog van eiseres en de door haar overgelegde stukken volgt niet dat de advocaat van de ex-partner van eiseres via Riscon op de hoogte is gekomen van eiseres haar adres en inkomensgegevens. Daarbij komt dat niet is uitgesloten dat de ex-partner van eiseres of zijn advocaat op een andere manier aan deze gegevens zijn gekomen. Dat eiseres niet weet welke manier dat dan zou moeten zijn, betekent nog niet dat het daarom wel Riscon moet zijn geweest die deze gegevens aan haar ex-partner en zijn advocaat heeft verstrekt.

Uit het betoog van eiseres volgt bovendien niet dat Riscon daadwerkelijk toegang heeft gehouden tot de laptop of de telefoon van eiseres. Dat [softwarebedrijf] een trackingcookie heeft gevonden maakt dat niet anders. Daarmee is geen aanwijzing in de richting van Riscon gegeven. Bovendien is niet zondermeer gegeven dat Riscon ten onrechte om de wachtwoorden van eiseres haar laptop en telefoon heeft gevraagd. Verder is niet gegeven dat, al heeft eiseres alle wachtwoorden aan Riscon gegeven, het Riscon is die verantwoordelijk is voor de (volgens eiseres) onverklaarbare gebeurtenissen op haar computer en in haar mailbox, nu eiseres heeft aangegeven de wachtwoorden te hebben veranderd en inmiddels gebruik te maken van een wachtwoord/gegevenskluis. Eiseres haar betoog dat de onverklaarbare gebeurtenissen op haar computer en in haar mailbox wel te linken moeten zijn aan Riscon omdat zij niet aan anderen toegang heeft gegeven tot haar computer is onvoldoende, omdat daarmee geen objectieve aanknopingspunten zijn gegeven dat Riscon daadwerkelijk voor de gestelde gedragingen verantwoordelijk is.

8.2.2.

Dat de ex-partner van eiseres in het verleden samen met Riscon betrokken is geweest bij een diefstalzaak en zij elkaar volgens eiseres kennen, maakt het op zichzelf niet aannemelijk dat Riscon gegevens aan de ex-partner van eiseres verstrekt. Ook blijkt uit de e-mails van eiseres naar International Security Partners voor de rechtbank niet dat deze mails door een derde, laat staan Riscon, zijn geschreven.

8.2.3.

De AP komt daarom terecht tot de slotsom dat uit het betoog van eiseres en de door haar overgelegde stukken niet kan worden opgemaakt dat Riscon de AVG heeft overtreden. De AP stelt zich dan ook niet ten onrechte op het standpunt dat er geen aanleiding is voor een nader onderzoek naar de klacht.

8.3.

De AP heeft zich naar het oordeel van de rechtbank op het standpunt kunnen stellen dat zij voldoende onderzoek naar de klacht heeft verricht en dat er geen breder maatschappelijk belang bestaat bij het nader onderzoeken van de klacht. Eiseres heeft weliswaar gesteld dat Riscon, mocht de AP niet handhaven, ook gegevens van anderen zou kunnen verspreiden, maar heeft dit niet onderbouwd. Ter zitting heeft de AP aangegeven niet bekend te zijn met andere klachten over Riscon. In het verlengde hiervan wijst de AP er terecht op dat de klacht van eiseres niet valt onder een van de aandachtsgebieden die door de AP zijn vastgesteld.2 De AP heeft naar het oordeel van de rechtbank ook mogen afzien van nader onderzoek omdat dit te tijdsintensief zou zijn, terwijl er geen aanknopingspunten zijn dat de AP met een verder onderzoek wel een overtreding van de AVG door Riscon kan vaststellen.