15 september 2026 · woningcorporaties · leestijd 6 minuten

Nog geen boete voor een woningcorporatie. Waarom dat geen geruststelling is

Wie de openbare lijst van boetes en sancties van de Autoriteit Persoonsgegevens doorloopt, vindt gemeenten, ziekenhuizen, een politie-eenheid en veel bedrijven. Geen woningcorporatie. Dat is geen bewijs dat corporaties het goed doen; het zegt vooral dat het toezicht op de sector tot nu toe anders verliep. De onderwerpen waarvoor anderen wél zijn beboet, spelen bij corporaties allemaal.

Wat de AP al zei over corporaties

In 2018 onderzochten Kassa en de Woonbond hoe woonruimteverdelers met inkomensgegevens omgingen. Ten minste 39 corporaties en verdeelsystemen lieten woningzoekenden al bij inschrijving een inkomensverklaring uploaden, voordat zij op een woning konden reageren. De AP reageerde met een norm die nog steeds geldt: een corporatie die al bij inschrijving om officiële stukken vraagt, moet goed kunnen uitleggen waarom zij die gegevens dan al nodig heeft. Kan zij dat niet, dan mag het niet. Woningbouwvereniging Domijn stopte er daarop mee; drie verdeelsites trokken vergelijkbare plannen in.

De les is niet beperkt tot inkomensverklaringen. Het is het beginsel van minimale gegevensverwerking: verzamel pas wat u nodig hebt op het moment dat u het nodig hebt. Bankafschriften bij een betalingsregeling, een medische verklaring bij een urgentieaanvraag, de gezinssamenstelling bij een reparatieverzoek: bij elk veld hoort de vraag waarom nu.

Waar de sector kwetsbaar is

Hoe hoog kan het oplopen

Voor overtreding van de beginselen (artikel 5), de grondslagen (artikel 6) en het verbod op bijzondere persoonsgegevens (artikel 9) kent de AVG een maximum van 20 miljoen euro of 4 procent van de wereldwijde jaaromzet. De Nederlandse boetebeleidsregels van de AP uit 2023 werken dat uit in categorieën met basisbedragen; de AP kan daarvan afwijken, naar boven en naar beneden. Uit het jaarverslag over 2025 blijkt dat de AP steeds vaker berispt en steekproefsgewijs inspecteert in plaats van beboet: negen berispingen tegen vier boetes. Een berisping is openbaar en kost geen geld, maar wel vertrouwen van huurders en toezichthouders.

Vijf lessen voor de functionaris gegevensbescherming

  1. Vraag pas wat u nodig hebt, wanneer u het nodig hebt. De inkomensverklaring bij inschrijving was het voorbeeld van de AP; pas het beginsel toe op elk formulier en elk portaal.
  2. Doe een DPIA voor portalen, sensoren en samenwerking. Niet omdat het moet, maar omdat het de enige plek is waar risico's, maatregelen en restrisico's bij elkaar staan.
  3. Regel bijzondere gegevens expliciet. In woonoverlast en betalingsregelingen komen gezondheidsgegevens voor. Benoem de uitzondering of sluit ze uit, en schoon vrije tekst.
  4. Maak verwerkersovereenkomsten concreet. Gegevens per categorie, bewaartermijnen, subverwerkers met land, meldtermijn in uren en de inhoud van een dataleknotificatie. De AP-aanbevelingen van 2025 zeggen precies wat "concreet" is.
  5. Leg rollen vast bij samenwerking. Wie is verwerkingsverantwoordelijke voor het casusoverleg, wie informeert bewoners, wie meldt een lek. Artikel 26 AVG vraagt daar een transparante regeling voor.

Wat Datavoogd hiermee doet

Datavoogd toetst verwerkersovereenkomsten van corporaties tegen artikel 28 AVG en de AP-aanbevelingen, en vult het Aedes-sjabloon in als er nog geen overeenkomst is. DPIA's worden opgesteld op het Rijksmodel en getoetst tegen artikel 35 en 36. De wegwijzer zegt bij een portaal, een sensorproject of een samenwerking in de wijk welke stukken nodig zijn. Elke signalering verwijst naar de bron, en de functionaris gegevensbescherming beoordeelt.

Bronnen

Dit artikel is informatie, geen juridisch advies. De beoordeling van een concrete situatie is aan de functionaris gegevensbescherming of jurist van uw organisatie.