GBA (Gegevensbeschermingsautoriteit): Audit

Datum: 2026-03-29 Status: ⚠️ Hervormd Categorie: Federale Regulatoren & Toezichthouders

Fase 1: Diepteonderzoek

1A. Wat is het precies?

De Gegevensbeschermingsautoriteit (GBA), in het Frans Autorité de protection des données (APD), is de Belgische onafhankelijke toezichthouder voor de bescherming van persoonsgegevens. Ze is de opvolger van de voormalige Commissie voor de Bescherming van de Persoonlijke Levenssfeer (Privacycommissie).

Juridische basis: Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, gewijzigd door de Wet van 7 september 2023 en de Wet van 25 december 2023 (in werking sinds 1 juni 2024). De GBA is het nationale toezichthoudend orgaan zoals vereist door artikel 51 van de Algemene Verordening Gegevensbescherming (AVG/GDPR, Verordening (EU) 2016/679).

Oprichtingsdatum: 25 mei 2018 (inwerkingtreding van de oprichtingswet, samen met de AVG). Het eerste directiecomité werd pas in 2019 benoemd. De voorganger, de Privacycommissie, bestond sinds 1992.

Bestuursniveau: Federaal. De GBA valt onder het toezicht van de Kamer van Volksvertegenwoordigers (niet van de uitvoerende macht), om haar onafhankelijkheid te waarborgen. Ze houdt geen toezicht op de politie (daarvoor bestaat het Controleorgaan op de politionele informatie) of op de inlichtingendiensten (Vast Comité I). Vlaanderen wees in 2018 de Vlaamse Toezichtcommissie (VTC) aan als toezichthouder voor de Vlaamse bestuursinstanties, maar die status blijft juridisch betwist: het Grondwettelijk Hof oordeelde in 2023 dat de VTC toen niet als bevoegde AVG-toezichthouder kon gelden.

Budget (2025): €15.299.846 aan werkingskredieten (2024: €15.112.565; 2023: €13.274.000), vooral gefinancierd uit de dotatie van de Kamer (€12.669.000 in 2025, tegenover €14.002.000 in 2024) en overgedragen reserves.

Personeel (eind 2025): 96 medewerkers (eind 2024: 84; eind 2023: 68). Toch kampt de GBA al jaren met te weinig middelen: in 2022 had ze volgens eigen zeggen slechts 45,9 dossierbehandelaars voor 21 wettelijke taken. In 2025 besliste de commissie voor de Comptabiliteit van de Kamer dat kredieten voor extra personeel in principe geweigerd worden tot 2029 (wervingsstop), terwijl nieuwe Europese regels (AI Act, Data Act, NIS2) er taken bij leggen.

Structuur. Vijf directies:

1. Algemeen Secretariaat: HR, budget, ICT, juridische zaken, meldingen van datalekken
2. Eerstelijnsdienst: klachtenontvangst, bemiddeling, informatie aan burgers
3. Autorisatie- en Adviesdienst (tot juni 2024 het Kenniscentrum): adviezen, aanbevelingen, machtigingen
4. Inspectiedienst: onderzoeken en inspecties (16 inspecteurs eind 2025)
5. Geschillenkamer: quasi-rechterlijke beslissingen en sancties

Sinds mei 2025 kan de GBA een beroep doen op een permanente lijst van externe deskundigen (achttien volgens het strategisch plan 2026-2028). Het Directiecomité bestaat uit de 5 directeurs en vergaderde 40 keer in 2025.

1B. Wat doet het in de praktijk?

Kerntaken (conform GDPR art. 57):

• Toezicht op de naleving van de GDPR en de Belgische privacywetgeving
• Behandeling van klachten van burgers
• Uitvoeren van inspecties en onderzoeken
• Uitvaardigen van adviezen aan wetgever en overheid
• Opleggen van sancties (boetes, waarschuwingen, bevelen)
• Melden en opvolgen van datalekken
• Internationale samenwerking binnen het European Data Protection Board (EDPB)

Activiteiten in 2025:

• 3.034 informatievragen + 748 telefonische oproepen
• 1.394 klachten (837 in 2024, +67%)
• 263 bemiddelingsdossiers (243 in 2024)
• 1.216 meldingen van gegevensinbreuken (datalekken; 1.455 in 2024)
• 117 inspectiedossiers (157 in 2024)
• 214 beslissingen door de Geschillenkamer (173 in 2024)
• 169 adviezen op ontwerpen van regelgeving, waarvan 28 standaardadviezen
• 4 boetes, samen €75.700 (na beroep €59.700)

Belangrijk knelpunt: De GBA heeft geen bevoegdheid om boetes op te leggen aan de publieke sector (artikel 221, §2 van de wet van 30 juli 2018, met als enige uitzondering overheden die goederen of diensten op een markt aanbieden; de AVG laat lidstaten die keuze in artikel 83.7, en het Grondwettelijk Hof aanvaardde de uitzondering in 2021). Ze kan overheden wel waarschuwen, berispen en bevelen opleggen. Maar precies de overheid die de meeste persoonsgegevens verwerkt (eHealth, KSZ, belastingen) ontspringt de financiële sanctiedans.

Prestatie-indicatoren: De GBA publiceert jaarlijks een jaarverslag en beheersplan. Er bestaan KPI's, maar de doorlooptijd van klachten is lang en er is geen structureel resultaatcontract met benchmarks.

1C. Internationale vergelijking

Analyse:

• België zit qua budget per inwoner in de middenmoot, maar is onderbemand gezien het volume klachten en de complexiteit van de taken: het aantal klachten steeg in 2025 met 67%, terwijl de Kamer datzelfde jaar een wervingsstop oplegde.
• Nederland investeert per inwoner bijna 2,5 keer zoveel. In absolute cijfers heeft het ruim 3,5 keer zoveel personeel (349 VTE tegenover 96 medewerkers, 2025) voor een bevolking die maar 1,5 keer groter is.
• Duitsland werkt met een federaal gespreide structuur: de BfDI houdt toezicht op de federale overheid en op telecom en post, de toezichthouders van de deelstaten doen de private sector en de eigen overheden. Dit voorkomt concentratie en vergroot de capaciteit.
• Ierland heeft het hoogste budget per inwoner, maar dat komt door de aanwezigheid van tech-hoofdkwartieren (Meta, Google, Apple, TikTok).

Wat werkt aantoonbaar beter?

Het Duitse model van gespreide bevoegdheid biedt inspiratie voor België's deelstatenstructuur. Elke Länder-autoriteit handelt privatesectorklachten af op haar grondgebied, de BfDI doet federale overheid en telecom/post. Dit creëert concurrentie en specialisatie.

Het Nederlandse model is relevant voor de schaalgrootte en de handhaving: één autoriteit met veel meer middelen, die ook overheden kan beboeten. Zo kreeg de Belastingdienst boetes van €2,75 miljoen (2021) en €3,7 miljoen (2022).

1D. Knelpunten en kritiek

1. De Frank Robben-crisis (2020-2022) Het zwaarste onafhankelijkheidsprobleem: Frank Robben zetelde als extern lid in het Kenniscentrum van de GBA terwijl hij tegelijk administrateur-generaal was van de Kruispuntbank van de Sociale Zekerheid (KSZ) en het eHealth-platform. Hij beoordeelde dus mee het privacybeleid van systemen die hij zelf ontwierp en beheerde. De Europese Commissie startte in juni 2021 een inbreukprocedure tegen België wegens schending van artikel 52 GDPR (onafhankelijkheid toezichthouder) en stuurde in november 2021 een met redenen omkleed advies. Na zijn ontslag in februari 2022 zag de Commissie ervan af de zaak voor het Hof van Justitie te brengen.

2. Klokkenluiders en interne crisis In februari 2021 namen twee externe leden van het Kenniscentrum van de GBA ontslag, omdat hun functie als leidend ambtenaar onder een minister onverenigbaar was met het lidmaatschap. Twee directeurs van de GBA klaagden de schendingen van de onafhankelijkheid herhaaldelijk aan bij het parlement, dat daarna hoorzittingen plande over het mogelijke ontslag van enkele directeurs, onder wie die klokkenluiders. De organisatie La Quadrature du Net publiceerde een analyse over "systemische disfuncties" bij de GBA.

3. Wettelijke hervorming onder druk De GBA zelf waarschuwde in maart 2022 dat het wetsontwerp tot wijziging van de GBA-wet haar onafhankelijkheid bedreigde: het parlement zou inspraak krijgen in de interne organisatie en prioriteitenstelling, en de herbenoeming van directeurs zou afhangen van een parlementaire evaluatie zonder objectieve criteria. De uiteindelijke wet van 25 december 2023 (in werking sinds 1 juni 2024) versterkte vooral de onafhankelijkheid, met strengere regels over belangenconflicten en onverenigbaarheden.

4. Chronisch tekort aan middelen Met 96 medewerkers (eind 2025) voor 21 wettelijke taken, 1.394 klachten en 1.216 datalekmeldingen per jaar is de GBA structureel onderbemand. Het personeel groeide van 66 (eind 2022) naar 96 (eind 2025), maar de wervingsstop die de Kamer in 2025 oplegde, maakt verdere versterking in principe onmogelijk tot 2029. De GBA schrijft zelf dat ze daarom bepaalde verplichte taken "op een andere manier" zal moeten uitvoeren.

5. Geen boetebevoegdheid voor de publieke sector De GBA kan de overheid niet beboeten. Precies de grootste gegevensverwerkers, zoals de RSZ, de FOD Financiën en het eHealth-platform, zijn onvatbaar voor financiële sancties. Dat is een keuze van de Belgische wetgever: de AVG laat lidstaten die vrijheid. Duitsland maakt dezelfde keuze (§ 43 van de federale privacywet BDSG), Nederland niet. Dit ondermijnt de geloofwaardigheid van het toezicht fundamenteel.

Fase 2: Toetsing aan de 9 Principes

Synthese: 0 ✅ · 5 ⚠️ · 4 ❌

De GBA faalt op schaalgrootte (veel te klein), concurrerende bevoegdheden (bijna alles gecentraliseerd), verantwoordelijkheid = financiering (geen boetes voor overheid, te weinig budget), en internationaal bewezen (afwijkend van succesvolle modellen). De grootste winst zit in: (1) substantiële opschaling, (2) deelstatelijke spreiding naar Duits model, en (3) volledige boetebevoegdheid inclusief publieke sector.

Fase 3: HART-voorstel

3A. Classificatie

🟠 Hervormd De GBA blijft bestaan als federale autoriteit maar wordt fundamenteel versterkt en krijgt deelstatelijke afdelingen.

3B. Concreet voorstel

Wat verandert er:

1. Verdubbeling personeel: Van 96 medewerkers (eind 2025) naar minimaal 200 VTE (centrale diensten en deelstatelijke afdelingen samen), dicht bij de Nederlandse verhouding. Budget naar €25-30 miljoen per jaar (tegenover €15,3 miljoen in 2025). Tot die personeelsnorm bereikt is, geldt voor het privacytoezicht geen wervingsstop.

2. Deelstatelijke afdelingen naar Duits model:

   • De GBA blijft één federale toezichthouder, zoals alle onafhankelijke toezichthouders (art. 27 HART-grondwet), en krijgt deelstatelijke afdelingen voor klachten over regionale en lokale overheden en de private sector op hun grondgebied. De afdelingen voor de Vlaamse deelstaten bouwen verder op de bestaande Vlaamse Toezichtcommissie, die in de GBA opgaat en zo een onbetwiste status als AVG-toezichthouder krijgt.
   • De centrale diensten van de GBA houden toezicht op federale overheidsdiensten, telecom, grensoverschrijdende zaken, en coördineren de internationale samenwerking (EDPB).

3. Volledige sanctiebevoegdheid: De GBA krijgt de bevoegdheid om boetes op te leggen aan de publieke sector. Geen uitzonderingen. Wie persoonsgegevens verwerkt, is onderworpen aan toezicht. Inclusief de overheid.

4. Resultaatcontract: De GBA rapporteert jaarlijks aan de Kamer met bindende KPI's: doorlooptijd klachten, percentage afgehandelde dossiers, nalevingsindex, benchmarking met andere EU-DPA's.

5. Onafhankelijkheid verankerd: Geen enkel lid van de GBA mag een andere overheidsfunctie uitoefenen. Benoemingen via het Onafhankelijk Benoemingsorgaan (HART-voorstel) op basis van competentie, niet politieke kleur.

Internationaal referentiemodel: Duitsland (BfDI + Länder-DPA's) voor de spreiding, Nederland (AP) voor de ambitie qua middelen en handhaving.

Geschatte impact:

• Besparing: niet van toepassing. Dit is een investering, geen besparing: ongeveer €10-15 miljoen per jaar extra (van €15,3 miljoen in 2025 naar €25-30 miljoen).
• Opbrengst: betere GDPR-naleving en bescherming van burgerrechten. Boetes zijn geen financieringsbron: in 2025 legde de GBA samen €75.700 aan boetes op, en boetes aan overheden verschuiven alleen geld tussen overheidskassen.
• Efficiëntiewinst: kortere doorlooptijden door deelstatelijke spreiding, regionale specialisatie.

Implementatiepad:

• Fase 1 (0-2 jaar): Budgetverhoging GBA naar €25 mln, boetebevoegdheid uitbreiden naar publieke sector, vrij aanwerven tot de personeelsnorm.
• Fase 2 (2-4 jaar): Oprichting van de deelstatelijke afdelingen van de GBA bij de staatshervorming (voor de Vlaamse deelstaten op basis van de Vlaamse Toezichtcommissie), overdracht van regionale dossiers.
• Fase 3 (4-6 jaar): Volledige operationalisering, resultaatcontracten actief, eerste benchmarking.

Vereiste wetswijzigingen: Wijziging GBA-wet (3 december 2017), ook voor de deelstatelijke afdelingen, schrapping van artikel 221, §2 van de wet van 30 juli 2018 (geen boetes voor overheden). Het toezicht blijft federaal (art. 27 HART-grondwet), dus geen overdracht van bevoegdheden.

Fase 4: Partijpunt (Website-klare tekst)

Deel A: Het partijpunt

GBA (Gegevensbeschermingsautoriteit): Hervormd

België's privacywaakhond heeft 96 medewerkers (eind 2025) voor 11,9 miljoen inwoners, mag de overheid niet beboeten, en werd door Europa op de vingers getikt voor belangenverstrengeling. HART maakt er een slagkrachtige toezichthouder van, met deelstatelijke afdelingen naar Duits model en volledige sanctiebevoegdheid.

Deel B: De uitleg

Hoe het nu werkt

De Gegevensbeschermingsautoriteit (GBA) is de Belgische privacywaakhond. Opgericht in 2018 als opvolger van de oude Privacycommissie, ziet ze toe op de naleving van de GDPR, de Europese privacyverordening. De GBA behandelt klachten van burgers, voert inspecties uit, geeft adviezen en kan boetes opleggen. In 2025 ontving ze 1.394 klachten en 1.216 meldingen van datalekken, en nam de Geschillenkamer 214 beslissingen. Ze werkte in 2025 met een budget van €15,3 miljoen en had eind dat jaar 96 medewerkers.

Wat er mis gaat

Drie fundamentele problemen.

Ten eerste: de GBA is structureel onderbemand. Met 96 medewerkers moet ze 21 wettelijke taken uitvoeren voor 11,9 miljoen Belgen, terwijl het aantal klachten in 2025 met twee derde steeg en de wervingsstop van de Kamer (2025) verdere groei blokkeert. Ter vergelijking: Nederland had in 2025 349 voltijdse krachten voor 18,1 miljoen inwoners. België zou naar verhouding ongeveer 230 mensen hebben.

Ten tweede: de GBA mag geen boetes opleggen aan de overheid. Precies de instanties die de meeste persoonsgegevens verwerken, zoals de belastingdienst, de sociale zekerheid en het eHealth-platform, zijn onvatbaar voor financiële sancties. Dat is alsof je een verkeerspolitie hebt die vrachtwagens niet mag beboeten.

Ten derde: de onafhankelijkheid was jarenlang een fictie. Topambtenaar Frank Robben zetelde in de GBA terwijl hij tegelijk baas was van de Kruispuntbank van de Sociale Zekerheid en het eHealth-platform. Hij beoordeelde dus het privacybeleid van zijn eigen systemen. De Europese Commissie startte een inbreukprocedure tegen België. Pas na zijn ontslag in 2022 zag ze af van een zaak voor het Europees Hof van Justitie. De wetswijziging van december 2023 versterkte de onafhankelijkheid, maar het structurele probleem blijft: te weinig middelen, te weinig tanden.

Hoe het elders werkt

Duitsland heeft een federaal gespreide structuur die voor België leerzaam is. De Bundesbeauftragte für den Datenschutz (BfDI) houdt toezicht op de federale overheid en telecom/post, met 386 medewerkers (eind 2025) en een budget van €47,4 miljoen (2025). Daarnaast heeft élke deelstaat een eigen privacytoezichthouder die klachten over regionale overheden en de private sector behandelt. Dit systeem creëert specialisatie, snelheid, en concurrentie tussen deelstaten.

Nederland investeert fors meer per inwoner: de Autoriteit Persoonsgegevens had in 2025 €57,4 miljoen en 349 voltijdse krachten, bijna vier keer het Belgische budget voor een bevolking die maar anderhalve keer zo groot is.

En in Nederland kan de toezichthouder ook de overheid beboeten: de Belastingdienst kreeg boetes van €2,75 miljoen (2021) en €3,7 miljoen (2022). Duitsland sluit boetes voor overheden net als België uit; daar neemt HART dus alleen de spreiding over.

Wat HART voorstelt

Een drieledige hervorming:

1. Meer middelen. Het budget van het privacytoezicht gaat naar €25-30 miljoen per jaar, het personeelsbestand naar minimaal 200 voltijdse krachten (centrale diensten en deelstatelijke afdelingen samen). Dat brengt België dicht bij de Nederlandse verhouding. Tot die norm bereikt is, geldt er geen wervingsstop.

2. Deelstatelijke afdelingen. De GBA blijft één federale toezichthouder, zoals alle onafhankelijke toezichthouders (art. 27 HART-grondwet), maar krijgt deelstatelijke afdelingen die klachten over regionale overheden en lokale bedrijven behandelen, naar het bewezen Duitse model van spreiding. De afdelingen voor de Vlaamse deelstaten bouwen verder op de bestaande Vlaamse Toezichtcommissie. De centrale diensten van de GBA behouden het toezicht op federale diensten, telecom en grensoverschrijdende zaken, en coördineren de Europese samenwerking.

3. Volledige sanctiebevoegdheid. De uitsluiting van de publieke sector wordt geschrapt. Elke instelling die persoonsgegevens verwerkt, privaat of publiek, is onderworpen aan hetzelfde toezicht en dezelfde sancties. Geen uitzonderingen.

Daarnaast worden benoemingen voortaan uitsluitend op competentie gedaan via het Onafhankelijk Benoemingsorgaan. Geen enkel GBA-lid mag een andere overheidsfunctie uitoefenen. De GBA rapporteert jaarlijks met meetbare KPI's: doorlooptijd van klachten, nalevingsgraad, benchmarking met andere Europese toezichthouders.

Wat het oplevert

Dit is geen besparingsverhaal maar een investering in burgerrechten: ongeveer €10-15 miljoen per jaar extra. Wat het concreet oplevert: snellere klachtenbehandeling door regionale spreiding, een overheid die zelf ook aan de privacyregels moet voldoen (op straffe van boetes), meer vertrouwen van burgers in de digitale overheid, en een België dat in Europa niet langer achterloopt als het gaat om privacybescherming.

De winst zit niet in boete-inkomsten: in 2025 legde de GBA samen amper €75.700 aan boetes op. De winst zit in een toezichthouder die gevreesd wordt, ook door de overheid, zodat de regels vooraf nageleefd worden in plaats van achteraf bestraft.

Fase 5: Bronnenlijst

• Herzien: 2026-09-27 (factcheck: cijfers, bronnen, tijdloze formulering)