Een werkgever vermoedt fraude en vraagt je een medewerker te observeren. Het verslag dat je oplevert staat vol persoonsgegevens die zijn verzameld zonder dat de betrokkene het wist. Juist in dit vak, met een Wpbr-vergunning en Justis als toezichthouder, luistert de omgang met die gegevens nauwer dan waar ook.
Wie gegevens verzamelt buiten de betrokkene om, krijgt te maken met art. 14 AVG: de plicht om de persoon alsnog te informeren over de verwerking. Voor een recherchebureau is dat de lastigste bepaling die er is, want direct informeren maakt het onderzoek zinloos. Uitstel kan gerechtvaardigd zijn zolang het onderzoeksbelang dat vergt, maar uitstel is geen afstel: na afronding komt de vraag terug wanneer en hoe de betrokkene alsnog wordt geïnformeerd, en wie dat doet, jij of de opdrachtgever. De Wpbr en de bijbehorende beroepsnormen geven hier het kader. Concreet: leg per onderzoek vast waarom informeren is uitgesteld, wanneer het alsnog gebeurt of waarom niet, en maak met de opdrachtgever vooraf afspraken over wie deze plicht draagt.
art. 14 AVG, WpbrEen verslag over vermoedelijke fraude, diefstal of ander laakbaar gedrag bevat gegevens over verdenkingen, en die vallen onder art. 10 AVG: verboden te verwerken, tenzij een uitzondering geldt. Voor de particuliere recherche loopt de ruimte via de Wpbr-vergunning en de UAVG, maar dat is een smal pad, geen open veld. Bovendien kijken hier twee toezichthouders mee: de AP op de gegevensverwerking, Justis op de vergunning. Een privacyfout is daarmee ook een bedrijfsrisico, want de vergunning is je bestaansrecht. Concreet: neem in elk onderzoeksdossier op welke grondslag je verwerkt, lever niet meer op dan de opdrachtgever aantoonbaar nodig heeft, controleer of het gerechtvaardigde belang van de opdrachtgever is vastgelegd, en registreer deze verwerkingen in je verwerkingsregister (art. 30 AVG).
art. 10 + art. 30 AVG, Wpbr, UAVGObservatieverslagen, foto's, camerabeelden en voertuiggegevens stapelen zich op, en na het afsluiten van een zaak blijft alles vaak staan: je weet maar nooit of de opdrachtgever nog eens belt. Dat is precies de bewaartermijn-klassieker (art. 5 AVG), maar dan met het gevoeligste materiaal denkbaar. Daarnaast geldt: wie stelselmatig personen volgt of grootschalig cameratoezicht inricht, zit in de hoek waarvoor een DPIA verplicht kan zijn (art. 35 AVG), en de beveiliging moet passen bij wat er op het spel staat (art. 32 AVG). Concreet: hanteer een vaste bewaartermijn per dossiertype en ruim daarna aantoonbaar op, versleutel opslag van beeldmateriaal, en voer voor terugkerende vormen van monitoring een DPIA uit voordat de opdracht start, niet erna.
art. 5 + art. 32 + art. 35 AVGWie een recherchebureau googelt, heeft iets aan de hand: een werkgever met een verdenking, een ondernemer met een interne diefstal, een partner met een vermoeden. Draaien op jouw site Google Analytics, een chatwidget of extern geladen lettertypen, dan gaat het IP-adres van die bezoeker met de bezochte pagina mee naar Amerikaanse servers (art. 44 e.v. AVG), en voor trackers is vooraf toestemming nodig (art. 11.7a Telecommunicatiewet). Een contactformulier met een veld "omschrijf uw zaak" haalt bovendien verdenkingen over derden binnen via onbeveiligde kanalen. Concreet: host lettertypen zelf, beperk trackers tot het noodzakelijke met een eerlijke cookiebanner, houd het formulier bij naam en contactgegevens, en bespreek de inhoud van de zaak pas via een beveiligd kanaal.
art. 44 e.v. AVG + art. 11.7a TelecommunicatiewetDe ComplyNL-quickscan controleert uw website gratis en geautomatiseerd op de punten hierboven, in een split second, zonder verplichtingen.
Start de gratis quickscanAlleen binnen de kaders van de Wpbr, met vergunning, en als het onderzoek noodzakelijk en proportioneel is voor een gerechtvaardigd doel van de opdrachtgever. De AVG blijft daarnaast volledig gelden: grondslag, dataminimalisatie, beveiliging en de informatieplicht van art. 14 AVG horen er allemaal bij.
Art. 14 AVG verplicht in beginsel tot informeren wanneer je gegevens buiten iemand om verzamelt. Tijdens het onderzoek kan uitstel gerechtvaardigd zijn, maar na afronding komt de plicht terug. Spreek met de opdrachtgever af wie informeert, en leg vast waarom en hoe lang je het uitstelde.
De AVG kent geen vaste termijn maar eist dat je er zelf een vastlegt en naleeft (art. 5 AVG). Bepaal per dossiertype een termijn, bijvoorbeeld gekoppeld aan de opdracht en mogelijke juridische procedures, en vernietig daarna aantoonbaar, inclusief kopieën in mail en back-ups.
Bij stelselmatige observatie van personen of grootschalig cameratoezicht is de kans groot dat art. 35 AVG een DPIA vereist. Voer die uit voor je vaste werkwijzen, niet per losse zaak, en leg ook vast wanneer je concludeert dat een DPIA niet nodig is.
Dat hangt af van wie doel en middelen bepaalt: vaak heeft de opdrachtgever een eigen verantwoordelijkheid voor zijn doel en jij voor de uitvoering van het onderzoek. Leg de rolverdeling schriftelijk vast, en sluit een verwerkersovereenkomst (art. 28 AVG) waar je feitelijk als verwerker optreedt.
De gratis quickscan meet de buitenkant van een website op één moment. Een schone of lage uitslag is geen garantie dat uw organisatie aan de AVG voldoet: verwerkersovereenkomsten, bewaartermijnen in de administratie en interne processen vallen buiten de meting. ComplyNL geeft geen keurmerk en geen juridisch oordeel. Peildatum augustus 2026.