ECLI:NL:RBLIM:2026:284

RECHTBANK LIMBURG Zittingsplaats Roermond Bestuursrecht zaaknummer: ROE 23/2050 uitspraak van de enkelvoudige kamer van 14 januari 2026 in de zaak tussen [eiser] , uit [woonplaats] , eiser (gemachtigde: mr. H.H. de Vries), en de Autoriteit Persoonsgegevens, de AP (gemachtigden: mr. J.M.A. Koster en mr. E. Nijhof). Als derde-partijen nemen aan de zaak deel: het college van burgemeester en wethouders van de gemeente Weert en de gemeente Weert (gemachtigde: mr. T.N. Sanders). Samenvatting 1. De uitspraak gaat over een door de AP afgewezen klacht, waarin eiser ook heeft verzocht om corrigerende maatregelen te treffen tegen het college van burgemeester en wethouders van de gemeente Weert (de derde-partij 1, verder te noemen: het college). De klacht ging over het verwerken van persoonsgegevens in de digitale werkomgeving (met name e-mails) van de gemeente Weert (de derde-partij 2) in de periode dat eiser burgemeester was van deze gemeente. Eiser is het daar niet mee eens. Volgens eiser heeft het college in strijd gehandeld met de Algemene Verordening Gegevensbescherming (AVG). Hij voert daartoe een aantal beroepsgronden aan. Aan de hand van deze beroepsgronden beoordeelt de rechtbank of deze afwijzing van de klacht met daarin het verzoek om corrigerende maatregelen te nemen, stand houdt of niet. 1.1. De rechtbank komt in deze uitspraak tot het oordeel dat de AP zich op het standpunt heeft mogen stellen dat uit het globale bureauonderzoek (fase I) onvoldoende van de gestelde overtredingen van de AVG is gebleken en – in overeenstemming met het door haar gevoerde prioriteringsbeleid – van een nader onderzoek heeft mogen afzien. Eiser krijgt dus geen gelijk en het beroep is ongegrond. Hierna legt de rechtbank uit hoe zij tot dit oordeel komt en welke gevolgen dit oordeel heeft. Procesverloop 2. Met het besluit van 5 juni 2023 (het bestreden besluit) heeft de AP een klacht van eiser (met tevens een handhavingsverzoek), over het verwerken van zijn persoonsgegevens door het college in strijd met de AVG, beoordeeld en besloten de klachten niet nader te onderzoeken. 2.1. Eiser heeft bezwaar gemaakt tegen dit besluit en de AP verzocht in te stemmen met rechtstreeks beroep bij de bestuursrechter. 2.2. De AP heeft ingestemd met het verzoek van eiser om rechtstreeks beroep en heeft het bezwaarschrift doorgezonden naar de rechtbank om het als beroep af te doen. De rechtbank stemt in met het rechtstreeks beroep en behandelt het bezwaarschrift als beroep. 2.3. De AP heeft op het beroep gereageerd met een verweerschrift. 2.4. De rechtbank heeft het beroep op 9 december 2025 op zitting behandeld. Hieraan hebben deelgenomen: eiser, de gemachtigde van eiser, de gemachtigden van de AP en de gemachtigde van de derde-partijen. Wettelijk kader, voorgeschiedenis en totstandkoming van het bestreden besluit 3. In de bijlage bij deze uitspraak is de voor deze zaak belangrijke wet- en regelgeving opgenomen. 3.1. Eiser is in 2011 benoemd tot burgmeester van de gemeente Weert. Vanaf 1 februari 2020 oefent eiser deze functie niet meer uit als gevolg van de navolgende gebeurtenissen. 3.2. Op 11 januari 2020 is een krantenartikel in dagblad ‘De Limburger’ gepubliceerd, waarin werd gesteld dat eiser als burgemeester niet integer zou hebben gehandeld bij het verstrekken van subsidies. Naar aanleiding hiervan hebben op 14 januari 2020 de fractievoorzitters van de gemeenteraad van de gemeente Weert besloten een voorstel te doen aan de gemeenteraad voor een extern onderzoek. Eiser heeft in zijn handhavingsverzoek van 16 juli 2020 opgemerkt dat hij op 14 januari 2020 hiervan door de raadsgriffier op de hoogte is gesteld. 3.3. Eiser heeft tussen 15 en 19 januari 2020 – zo is achteraf vastgesteld – zijn zakelijke mailbox leeg gemaakt. Eiser heeft vervolgens de verwijderde e-mails permanent verwijderd uit zijn e-mail prullenbak. 3.4. Op 30 januari 2020 heeft het fractievoorzittersoverleg en de aanstellingscommissie de gemeenteraad van de gemeente Weert voorgesteld adviesbure De AP is van mening dat zij de inhoud van de klacht heeft onderzocht in de mate waarin dat gepast is, zoals bedoeld in artikel 57, eerste lid, onder f, van de AVG. 3.10. De AP heeft op 6 juli 2023 naar aanleiding van de klacht van eiser het college wel een brief gestuurd, waarin zij wordt gewezen op de wetgeving rondom het verwerken van persoonsgegevens. 3.11. Eiser is het niet eens met het bestreden besluit en heeft hiertegen rechtstreeks beroep ingesteld. De AP heeft volgens eiser op grond van de voorhanden zijnde informatie kunnen vaststellen dat (door beslag te laten leggen op zijn werkomgeving/e-mails) sprake is van een overtreding van de AVG en ook op basis van de prioriteringscriteria in de beleidsregels kunnen concluderen dat het evident is dat de klacht zich leent voor nader onderzoek. Beoordeling door de rechtbank 4. Op grond van de AVG heeft een betrokkene het recht een klacht in te dienen bij de AP, indien hij van mening is dat verwerking van zijn persoonsgegevens inbreuk maakt op deze verordening. Op grond van artikel 57, eerste lid, aanhef en onder f, van de AVG wordt een klacht onderzocht in de mate waarin dat gepast is. De AP heeft daarbij een zekere beoordelingsruimte. 4.1. De AP heeft in het bestreden besluit aangegeven, en nader toegelicht in haar verweerschrift, dat zij jaarlijks tienduizenden klachten ontvangt en maar beschikt over een beperkte capaciteit. Hierdoor kan de AP niet alle klachten, of niet alle onderdelen daarvan, uitgebreid onderzoeken en is zij genoodzaakt keuzes te maken. Daarom bepaalt de AP aan de hand van de beleidsregels, zoals deze golden ten tijde van het bestreden besluit , welke klachten wel en niet nader worden onderzocht. In de beleidsregels is bepaald dat onderzoek naar aanleiding van een klacht in fases wordt uitgevoerd en tussendoor wordt bepaald of het de volgende fase ingaat. In fase I wordt getoetst aan de formele eisen uit de Algemene wet bestuursrecht en AVG. Als aan die formele eisen is voldaan, vindt aansluitend een globaal bureauonderzoek plaats. Op grond van dat bureauonderzoek wordt beoordeeld of aannemelijk is dat zich een overtreding van de AVG heeft voorgedaan of voordoet. Volgt uit het onderzoek dat zich mogelijk een overtreding heeft voorgedaan, maar deze nog niet kan worden vastgesteld, dan wordt de klacht in fase II getoetst aan prioriteringscriteria om te beoordelen of een nader onderzoek moet worden gedaan. Daarbij hanteert de AP de volgende (niet cumulatieve) factoren om te bepalen of een klacht prioriteit heeft: a. a) De mate waarin de betrokkene wordt geraakt door de vermeende overtreding; b) De bredere maatschappelijke betekenis van een eventueel optreden van de AP, mede bezien vanuit de aandachtspunten die de AP op periodieke basis bekend maakt; c) De mate waarin de AP in staat is doeltreffend en doelmatig op te treden. Wanneer blijkt dat de klacht of het verzoek om handhaving onvoldoende aan de prioriteringscriteria voldoet, volgt geen verdere behandeling. 4.2. De hiervoor vermelde werkwijze van de AP is volgens vaste rechtspraak van de Afdeling bestuursrechtspraak van de Raad van State (de Afdeling) niet onredelijk en is onlangs nog eens door de Afdeling geaccordeerd. 4.3. In deze zaak heeft de AP geconcludeerd dat zij na een eerste inhoudelijke beoordeling (fase I) op basis van de beschikbare dossierinformatie niet heeft kunnen bepalen of er sprake is van een overtreding van de AVG. De rechtbank zal hierna aan de hand van de klachtgronden van eiser beoordelen of de AP op basis van het globaal bureauonderzoek heeft kunnen vaststellen dat het college niet in strijd heeft gehandeld met de AVG en nader onderzoek achterwege heeft kunnen laten. Vaststelling van een overtreding van de AVG Klachtgrond 1: de onrechtmatige verwerking van persoonsgegevens 5. Eiser heeft aangevoerd dat het college in strijd met de AVG zijn persoonsgegevens heeft verwerkt. De persoonsgegevens in zijn werkomgeving zijn uiterst gevoelig en alleen hijzelf mag in beginsel over deze g In artikel 23 van de AVG zijn de beperkingen opgenomen op voornoemde artikelen en dat is nader uitgewerkt in artikel 41 van de UAVG. 6.2. Vast staat dat eiser eerst met de brief van het college van 24 april 2020 (en dus drie maanden later) op de hoogte is gesteld van het feit dat op 29 januari 2020 in het kader van een (mogelijk) integriteitsonderzoek informatie op zijn werkmail en werktelefoon is veiliggesteld. De AP heeft ook hier in het bestreden besluit (op pagina 15) uitgelegd op welke punten nog onderzoek moet plaatsvinden naar aanleiding van deze klacht. De rechtbank volgt het standpunt van de AP dat op basis wat is aangevoerd door partijen niet kan worden vastgesteld of het college zich op een uitzonderingsgrond kon beroepen en of het college daadwerkelijk eiser onverwijld heeft geïnformeerd over de verwerking van zijn persoonsgegevens, zoals het college stelt. Daarvoor is nader onderzoek door de AP voor nodig. Verder kan niet worden gezegd dat de AP zich in het bestreden besluit partijdig heeft opgesteld. Klacht 3: het niet uitvoeren van een DPIA door de derde-partij 1 7. Vast staat volgens eiser dat door het college geen DPIA is uitgevoerd voorafgaand aan de vastlegging van zijn werkomgeving. Ook staat naar de mening van eiser vast dat het college de vastlegging verrichtte in het kader van een heimelijk integriteitsonderzoek, in ieder geval niet bereid was eiser te informeren over de vastlegging. Eiser meent verder dat het college de vastgelegde werkomgeving heeft doorzocht, waardoor sprake is van een overtreding van de AVG. De AP heeft volgens eiser onvoldoende gemotiveerd waarom dit niet het geval is en (artikel 35 van) de AVG niet is overtreden. 7.1. In artikel 35 van de AVG staat vermeld wanneer in ieder geval een DPIA moet worden uitgevoerd. Ook is er een lijst waar verwerkingen van persoonsgegevens zijn genoemd, waarvoor een DPIA verplicht is gesteld. 7.2. Vast staat dat het college geen DPIA heeft uitgevoerd voorafgaand aan het veiligstellen van eisers werkomgeving (e-mails). De AP heeft naar het oordeel van de rechtbank mogen concluderen dat zij niet heeft kunnen vaststellen of in het geval van eiser het verwerken van persoonsgegevens in het kader van een het uitvoeren van een integriteitsonderzoek (te weten: het veiligstellen van eisers werkomgeving zonder doorzoeking) moet worden beschouwd als een verwerking, die een hoog risico oplevert voor de rechten en vrijheden van eiser (als bedoeld in artikel 35, eerste lid, van de AVG) op basis waarvan een DPIA vereist is. De AP kan dan ook niet zonder nader onderzoek uitsluiten dat een DPIA noodzakelijk zou zijn geweest. Conclusie 8. Uit het globale bureauonderzoek kan de AP niet bepalen of het college de AVG heeft overtreden. Om dit vast te stellen is nader onderzoek noodzakelijk. Toepassing van de prioriteringscriteria 9. De rechtbank beoordeelt vervolgens of de AP heeft mogen afzien van nader onderzoek aan de hand van de prioriteringscriteria. Wanneer een klacht onvoldoende aan de prioriteringscriteria voldoet, wordt het volgens de beleidsregels niet verder behandeld of afgewezen. 9.1. Eiser heeft betoogd dat de AP niet heeft kunnen afzien van het uitvoeren van een nader onderzoek. Door de gestelde overtredingen van de AVG heeft eiser schade geleden vanwege het moeten voeren van juridische procedures. Ook heeft dit geleid tot schadelijke publiciteit en negatieve gevolgen voor zijn loopbaan. Daarnaast heeft het aan de kaak stellen van deze schendingen van de AVG volgens eiser een grote maatschappelijke betekenis. Zo’n optreden van de AP zou staan voor transparantie en verantwoording van het openbaar bestuur. De AP is volgens eiser de enige instantie die gerechtigheid voor hem zou kunnen realiseren. Tenslotte heeft eiser aangevoerd dat een nader onderzoek eenvoudig is. Er kan volgens eiser worden volstaan met een tweede verzoek om informatie aan het college en is een diepgravend uitgebreid en specialistisch onderzoek niet nodig. 9.2. De rechtbank is van oordeel da Bijlage: juridisch kader Algemene Verordening Gegevensbescherming (AVG) Artikel 4 van de AVG luidt: Voor de toepassing van deze verordening wordt verstaan onder: 1) „persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, een online identificator of van een of meer elementen die kenmerkend zijn voor de fysieke, fysiologische, genetische, psychische, economische, culturele of sociale identiteit van die natuurlijke persoon; 2) „verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens; (…) 7) „verwerkingsverantwoordelijke”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen; (…) Artikel 5 van de AVG luidt: 1. Persoonsgegevens moeten: a. a) worden verwerkt op een wijze die ten aanzien van de betrokkene rechtmatig, behoorlijk en transparant is („rechtmatigheid, behoorlijkheid en transparantie”); b) voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden worden verzameld en mogen vervolgens niet verder op een met die doeleinden onverenigbare wijze worden verwerkt; de verdere verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden wordt overeenkomstig artikel 89, lid 1, niet als onverenigbaar met de oorspronkelijke doeleinden beschouwd („doelbinding”); c) toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt („minimale gegevensverwerking”); d) juist zijn en zo nodig worden geactualiseerd; alle redelijke maatregelen moeten worden genomen om de persoonsgegevens die, gelet op de doeleinden waarvoor zij worden verwerkt, onjuist zijn, onverwijld te wissen of te rectificeren („juistheid”); e) worden bewaard in een vorm die het mogelijk maakt de betrokkenen niet langer te identificeren dan voor de doeleinden waarvoor de persoonsgegevens worden verwerkt noodzakelijk is; persoonsgegevens mogen voor langere perioden worden opgeslagen voor zover de persoonsgegevens louter met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden worden verwerkt overeenkomstig artikel 89, lid 1, mits de bij deze verordening vereiste passende technische en organisatorische maatregelen worden getroffen om de rechten en vrijheden van de betrokkene te beschermen („opslagbeperking”); f) door het nemen van passende technische of organisatorische maatregelen op een dusdanige manier worden verwerkt dat een passende beveiliging ervan gewaarborgd is, en dat zij onder meer beschermd zijn tegen ongeoorloofde of onrechtmatige verwerking en tegen onopzettelijk verlies, vernietiging of beschadiging („integriteit en vertrouwelijkheid”). 2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen („verantwoordingsplicht”). Artikel 6 van de AVG luidt: 1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande a) de periode gedurende welke de persoonsgegevens zullen worden opgeslagen, of indien dat niet mogelijk is, de criteria ter bepaling van die termijn; b) dat de betrokkene het recht heeft de verwerkingsverantwoordelijke te verzoeken om inzage van en rectificatie of wissing van de persoonsgegevens of beperking van de hem betreffende verwerking, alsmede het recht tegen de verwerking bezwaar te maken en het recht op gegevensoverdraagbaarheid; c) wanneer de verwerking op artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), is gebaseerd, dat de betrokkene het recht heeft de toestemming te allen tijde in te trekken, zonder dat dit afbreuk doet aan de rechtmatigheid van de verwerking op basis van de toestemming vóór de intrekking daarvan; d) dat de betrokkene het recht heeft klacht in te dienen bij een toezichthoudende autoriteit; e) of de verstrekking van persoonsgegevens een wettelijke of contractuele verplichting is dan wel een noodzakelijke voorwaarde om een overeenkomst te sluiten, en of de betrokkene verplicht is de persoonsgegevens te verstrekken en wat de mogelijke gevolgen zijn wanneer deze gegevens niet worden verstrekt; f) het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene. 3. Wanneer de verwerkingsverantwoordelijke voornemens is de persoonsgegevens verder te verwerken voor een ander doel dan dat waarvoor de persoonsgegevens zijn verzameld, verstrekt de verwerkingsverantwoordelijke de betrokkene vóór die verdere verwerking informatie over dat andere doel en alle relevante verdere informatie als bedoeld in lid 2. 4. De leden 1, 2 en 3 zijn niet van toepassing wanneer en voor zover de betrokkene reeds over de informatie beschikt. Artikel 14 van de AVG luidt: 1. Wanneer persoonsgegevens niet van de betrokkene zijn verkregen, verstrekt de verwerkingsverantwoordelijke de betrokkene de volgende informatie: (…) 3. De verwerkingsverantwoordelijke verstrekt de in de leden 1 en 2 bedoelde informatie: a. a) binnen een redelijke termijn, maar uiterlijk binnen één maand na de verkrijging van de persoonsgegevens, afhankelijk van de concrete omstandigheden waarin de persoonsgegevens worden verwerkt; b) indien de persoonsgegevens zullen worden gebruikt voor communicatie met de betrokkene, uiterlijk op het moment van het eerste contact met de betrokkene; of c) indien verstrekking van de gegevens aan een andere ontvanger wordt overwogen, uiterlijk op het tijdstip waarop de persoonsgegevens voor het eerst worden verstrekt. (…) 5. De leden 1 tot en met 4 zijn niet van toepassing wanneer en voor zover: a. a) de betrokkene reeds over de informatie beschikt; b) het verstrekken van die informatie onmogelijk blijkt of onevenredig veel inspanning zou vergen, in het bijzonder bij verwerking met het oog op archivering in het algemeen belang, wetenschappelijk of historisch onderzoek of statistische doeleinden, behoudens de in artikel 89, lid 1, bedoelde voorwaarden en waarborgen, of voor zover de in lid 1 van dit artikel bedoelde verplichting de verwezenlijking van de doeleinden van die verwerking onmogelijk dreigt te maken of ernstig in het gedrang dreigt te brengen. In dergelijke gevallen neemt de verwerkingsverantwoordelijke passende maatregelen om de rechten, de vrijheden en de gerechtvaardigde belangen van de betrokkene te beschermen, waaronder het openbaar maken van de informatie; c) het verkrijgen of verstrekken van de gegevens uitdrukkelijk is voorgeschreven bij Unie- of lidstatelijk recht dat op de verwerkingsverantwoordelijke van toepassing is en dat recht voorziet in passende maatregelen om de gerecht vaardigde belangen van de betrokkene te beschermen; of d) de persoonsgegevens vertrouwelijk moeten blijven uit hoofde van een beroepsgeheim in het kader van Unierecht of lidstatelijke recht, waaronder een statuta a) een systematische beschrijving van de beoogde verwerkingen en de verwerkingsdoeleinden, waaronder, in voorkomend geval, de gerechtvaardigde belangen die door de verwerkingsverantwoordelijke worden behartigd; b) een beoordeling van de noodzaak en de evenredigheid van de verwerkingen met betrekking tot de doeleinden; c) een beoordeling van de in lid 1 bedoelde risico's voor de rechten en vrijheden van betrokkenen; en d) de beoogde maatregelen om de risico's aan te pakken, waaronder waarborgen, veiligheidsmaatregelen en mechanismen om de bescherming van persoonsgegevens te garanderen en om aan te tonen dat aan deze verordening is voldaan, met inachtneming van de rechten en gerechtvaardigde belangen van de betrokkenen en andere personen in kwestie. (…) Artikel 57 van de AVG luidt: 1. Onverminderd andere uit hoofde van deze verordening vastgestelde taken, verricht elke toezichthoudende autoriteit op haar grondgebied de volgende taken: (…) f) zij behandelt klachten van betrokkenen, of van organen, organisaties of verenigingen overeenkomstig artikel 80, onderzoekt de inhoud van de klacht in de mate waarin dat gepast is en stelt de klager binnen een redelijke termijn in kennis van de vooruitgang en het resultaat van het onderzoek, met name indien verder onderzoek of coördinatie met een andere toezichthoudende autoriteit noodzakelijk is; (…). Artikel 77 van de AVG luidt: 1. Onverminderd andere mogelijkheden van administratief beroep of een voorziening in rechte, heeft iedere betrokkene het recht een klacht in te dienen bij een toezichthoudende autoriteit, met name in de lidstaat waar hij gewoonlijk verblijft, hij zijn werkplek heeft of waar de beweerde inbreuk is begaan, indien hij van mening is dat de verwerking van hem betreffende persoonsgegevensinbreuk maakt op deze verordening. 2. De toezichthoudende autoriteit waarbij de klacht is ingediend, stelt de klager in kennis van de voortgang en het resultaat van de klacht, alsmede van de mogelijke voorziening in rechte in overeenkomstig artikel 78. Artikel 79 van de AVG luidt: 1. Onverminderd andere mogelijkheden van administratief of buitengerechtelijk beroep, waaronder het recht uit hoofde van artikel 77 een klacht in te dienen bij een toezichthoudende autoriteit, heeft elke betrokkene het recht een doeltreffende voorziening in rechte in te stellen indien hij van mening is dat zijn rechten uit hoofde van deze verordening geschonden zijn ten gevolge van een verwerking van zijn persoonsgegevens die niet aan deze verordening voldoet. 2. Een procedure tegen een verwerkingsverantwoordelijke of een verwerker wordt ingesteld bij de gerechten van de lidstaat waar de verwerkingsverantwoordelijke of de verwerker een vestiging heeft. Een dergelijke procedure kan ook worden ingesteld bij de gerechten van de lidstaat waar de betrokkene gewoonlijk verblijft, tenzij de verwerkingsverantwoordelijke of de verwerker een overheidsinstantie van een lidstaat is die optreedt in de uitoefening van het overheidsgezag. Preambule van de AVG Overweging 84 van de preambule luidt: Teneinde de naleving van deze verordening te verbeteren indien de verwerking waarschijnlijk gepaard gaat met hoge risico’s in verband met de rechten en vrijheden van natuurlijke personen, dient de verwerkingsverantwoordelijke of de verweerder verantwoordelijk te zijn voor het verrichten van een gegevensbeschermingseffectbeoordeling om met name de oorsprong, de aard, het specifieke karakter en de ernst van dat risico te evalueren. Met het resultaat van de beoordeling dient rekening te worden gehouden bij het bepalen van de passende maatregelen die moeten worden genomen om aan te tonen dat deze verordening bij de verwerking van persoonsgegevens wordt nageleefd. Wanneer een gegevensbeschermingseffectbeoordeling uitwijst dat verwerking gepaard gaat met een hoog risico dat de verwerkingsverantwoordelijke niet kan beperken door maatregelen die met het oog op de beschikbare technologie en de uitvoeringskosten redelijk zijn, dient vóór de ve Verder kan, voor zover daar naar het oordeel van de AP aanleiding toe is, de AP een of meer van de volgende bronnen onderzoeken:  informatie bij andere (inter)nationale toezichthouders; algemene informatie op internet of uit andere openbare bronnen en media (zoals relevante weten regelgeving en jurisprudentie en relevante (wetgevings)adviezen van de AP; en vergelijkbare dossiers bij de AP. Zo nodig neemt de AP contact op met de klager en/of de vermeende overtreder en vraagt zij hen schriftelijk of telefonisch om nadere informatie om zo voldoende inzicht te krijgen in de vermeende overtreding, de gevolgen van deze vermeende overtreding en de betrokkenheid van de vermeende overtreder. Het is mogelijk dat al na een eerste beoordeling van de inhoud van een klacht blijkt dat sprake is van een overtreding en de AP deze (direct) naar tevredenheid kan afhandelen. Zo kan bijvoorbeeld telefonisch contact worden opgenomen met de klager waarbij de AP hem informatie en advies geeft, bijvoorbeeld om de (Functionaris Gegevensbescherming van de) vermeende overtreder te benaderen en hoe hij dat het beste kan doen. Op die manier kan de klager er zelf voor zorgen dat zijn klacht wordt opgelost. In andere gevallen kan de AP bijvoorbeeld aansturen op bemiddeling. Ook is het mogelijk dat, nadat de AP contact met de klager heeft opgenomen, aanstonds duidelijk is dat er geen sprake is van een overtreding en hem uitlegt waarom, en vervolgens de klacht beëindigt. Deze voorbeelden maken duidelijk dat de klager, zonder dat sprake hoeft te zijn van een diepgravend onderzoek, toch voldoende kan zijn geholpen. De klacht is ook hiermee op passende wijze en daarmee in overeenstemming met de AVG onderzocht. Daarnaast kan de AP, als aanstonds duidelijk is dat van een overtreding sprake is, gebruik maken van de inzet van informele interventies richting de (vermeende) overtreder. Die kunnen vaak betrekkelijk snel en met een inzet van een geringe toezichtcapaciteit worden ingezet. Hierbij valt te denken aan telefonische confrontatie, een normoverdragend gesprek of een waarschuwingsbrief. Ook deze vorm van klachtafhandeling kan in een voorkomend geval als passend worden gekwalificeerd. Uit de eerste beoordeling van de klacht, dan wel een verzoek om handhaving kan, zonder dat daarvoor aanvullende informatie nodig is, al voldoende blijken dat geen sprake is van een overtreding, of dat dat juist wel het geval is. In het eerste geval wijst de AP het verzoek om handhaving af of beëindigt de behandeling van de klacht. In het tweede geval start de AP een handhavingstraject en treedt zij in beginsel handhavend op, tenzij sprake is van bijzondere omstandigheden zoals concreet zicht op legalisatie of wanneer handhavend optreden onevenredig zou zijn. In het geval uit de eerste beoordeling blijkt dat er in het dossier voldoende aanwijzingen zijn dat sprake is van een overtreding, maar een nader onderzoek nodig is om de overtreding te kunnen vaststellen, dan komt het onderzoek in de volgende fase terecht. In die fase wordt getoetst aan de prioriteringscriteria. Paragraaf 2.6 van de toelichting op de beleidsregels luidt: Prioriteringscriteria Omdat de AP veel signalen, klachten en verzoeken om handhaving ontvangt en haar toezichtveld veel omvattend is, zal zij gelet op haar beperkte middelen, niet steeds een nader onderzoek kunnen uitvoeren. Daarom toetst de AP in situaties waarin mogelijk sprake is van een overtreding, maar waarvoor nader onderzoek nodig is om de overtreding vast te stellen, eerst aan haar prioriteringscriteria. (…) Doeltreffendheid en doelmatigheid De AP wil in haar optreden doeltreffend en doelmatig zijn. Ten aanzien van doeltreffendheid zal de AP een inschatting maken welk handhavingsinstrument geschikt is om op korte termijn het gewenst effect te bereiken. Bij de doelmatigheid maakt de AP een afweging of een nader onderzoek mogelijk is met de beschikbare menskracht en toegekende financiële middelen. Daarbij houdt de AP ook rekening met het aantal signalen,