Er staat een zin in de Vraagbaak van de Waarderingskamer waar verrassend weinig mensen overheen zijn gestruikeld: "WOZ-waarden en adressen van woningen zijn persoonsgegevens." Geen nuance, geen mits. Dat betekent dat het getal dat de gemeente aan jouw huis hangt onder dezelfde verordening valt als een medisch dossier of een salarisstrook. En het betekent iets ongemakkelijkers: op het moment dat dat getal jouw systeem binnenkomt, ben jij verwerkingsverantwoordelijke voor de financiele gegevens van een vreemde. Het loket dat het getal aan iedereen weggeeft, is dat niet.
- De Waarderingskamer stelt het onomwonden: de WOZ-waarde en het adres zijn persoonsgegevens. De onderliggende objectkenmerken (oppervlakte, bouwjaar, KOUDV) zijn dat niet. De Raad van State bevestigde die knip in 2019.
- Tegelijk mag iedereen sinds 1 oktober 2016 elke woningwaarde opzoeken bij het WOZ-waardeloket, zonder inlog, zonder aan te tonen waarom, en zonder dat de eigenaar ooit ziet wie er heeft gekeken (artikel 40a lid 1 Wet WOZ). De privacytoezichthouder oordeelde in 2012 dat het belang van de burger "niet of zeer marginaal" was meegewogen. Dat advies is niet gevolgd.
- Artikel 40a lid 2 draagt de regering op om per algemene maatregel van bestuur te regelen hoe gestructureerde verstrekking werkt. Die AMvB is er tien jaar later nog steeds niet. Daardoor is geautomatiseerd onttrekken aan het loket tot op vandaag niet toegestaan.
- "Openbaar" is geen verwerkingsgrondslag. De AVG kent geen uitzondering voor persoonsgegevens die toevallig publiek toegankelijk zijn. De overheid leunt op artikel 6 lid 1 sub e (publieke taak). Jouw bedrijf kan dat niet.
- Netto: het loket creeerde de blootstelling, de betrokkene kan er nauwelijks iets tegen doen, en de volledige nalevingslast ligt bij elke organisatie die het getal aanraakt.
Het staat er gewoon, en het is geen mening
Dit is geen juridische spitsvondigheid van een privacyadvocaat. Het is het standpunt van de toezichthouder op de WOZ zelf. In hoofdstuk 8 van de Vraagbaak Waardebepaling Wet WOZ schrijft de Waarderingskamer: "WOZ-waarden en adressen van woningen zijn persoonsgegevens. Gegevens die ten grondslag liggen aan de WOZ-waarde, zoals (object)kenmerken van de woning zelf, zijn dat niet."
Die knip is precies waar hij hoort te liggen. Een gebruiksoppervlakte van 118 vierkante meter is informatie over een gebouw. Een WOZ-waarde gekoppeld aan een adres is informatie over een mens: wat de overheid vindt dat het grootste bezit van die persoon waard is. Artikel 4 sub 1 AVG definieert een persoonsgegeven als "alle informatie over een geidentificeerde of identificeerbare natuurlijke persoon". Een adres identificeert. Dus is de waarde bij dat adres informatie over die persoon.
De Afdeling bestuursrechtspraak van de Raad van State bevestigde die lijn op 26 februari 2019 (ECLI:NL:RVS:2019:247). De onderbouwingsgegevens onder een taxatie zijn geen persoonsgegevens, oordeelde de Afdeling, omdat het geen gegevens zijn "die alleen of in combinatie met andere gegevens zo kenmerkend zijn voor een bepaalde persoon dat hij daarmee kan worden geidentificeerd". De waarde zelf en het adres zijn dat wel.
En toch mag iedereen hem opzoeken, zonder inlog en zonder spoor
Hier begint het te wringen. Artikel 40a lid 1 Wet WOZ luidt: "Eenieder kan op verzoek het waardegegeven van een bepaalde onroerende zaak die in hoofdzaak tot woning dient, inzien of verstrekt krijgen bij het loket voor openbare WOZ-waarden." Eenieder. Geen gerechtvaardigd belang aantonen, zoals wel moet bij niet-woningen (artikel 40 lid 1). Geen DigiD. Geen reden opgeven.
Dat regime draait sinds 1 oktober 2016, en het is er gekomen over het bezwaar van de privacytoezichthouder heen. Het College bescherming persoonsgegevens, de voorganger van de Autoriteit Persoonsgegevens, schreef op 31 mei 2012 in zijn advies bij het wetsvoorstel (kenmerk z2012-00245): "Het college acht het belang van de burger niet of zeer marginaal meegewogen. Het college adviseert dan ook in de toelichting nader te onderbouwen waarom het maatschappelijk belang om de WOZ-waarde algeheel openbaar te maken prevaleert boven het belang van de burger."
Niet of zeer marginaal meegewogen. Dat schrijft de privacytoezichthouder over een wetsvoorstel dat een financieel gegeven van iedere woning in Nederland openbaar maakt. Het CBP vond individuele verstrekking van een taxatieverslag, plus bulkverstrekking aan geautoriseerde partijen voor bijvoorbeeld fraudebestrijding, ruim voldoende voor het beoogde doel. De wetgever maakte een andere afweging en volgde het advies niet. Wel legde diezelfde memorie van toelichting vast wat de waarden nadrukkelijk niet zouden worden: "Ze worden echter niet als open data beschikbaar gesteld."
Toen bleek dat commerciele partijen het loket met crawlers leegtrokken om woningeigenaren te benaderen voor no-cure-no-pay-bezwaren, stelde de Tweede Kamer daar vragen over (2016Z19018). Het voorstel om het loket achter DigiD te zetten werd afgewezen: wie inlogt kan immers nog steeds willekeurige adressen opvragen. Terugdraaien paste bovendien niet bij het open databeleid van het kabinet.
Het resultaat is een situatie die je aan geen enkele betrokkene fatsoenlijk kunt uitleggen. Jouw financiele gegeven staat online. Iedereen kan het inzien. Je hoort nooit wie het deed. En je kunt er niets tegen beginnen, want de vaststelling en publicatie berusten op een wettelijke taak.
De helft van de wet is nooit geschreven
Lees nu lid 2 van datzelfde artikel 40a: "Bij algemene maatregel van bestuur wordt bepaald in welke gevallen, onder welke voorwaarden en tegen welk tarief een verzameling van waardegegevens betreffende onroerende zaken die in hoofdzaak tot woning dienen verstrekt kan worden via het loket voor openbare WOZ-waarden in een zodanige vorm dat daarop rechtstreeks een geautomatiseerde verwerking mogelijk is."
Let op het werkwoord. Er staat niet "kan worden bepaald". Er staat "wordt bepaald". De wetgever heeft de regering opgedragen die regels te maken. Dat is geen bevoegdheid, dat is een opdracht.
Die AMvB is er nooit gekomen. De Waarderingskamer trekt daar de enige conclusie die mogelijk is: "Nu deze algemene maatregel van bestuur nog niet is vastgesteld, is bulkverstrekking uit het WOZ-waardeloket en daarmee ook het massaal en/of geautomatiseerd onttrekken van gegevens aan het WOZ-waardeloket (nog) niet toegestaan."
Tel het op. Een categorie financiele persoonsgegevens is per wet openbaar gemaakt voor stuk-voor-stuk-inzage. De wet die dat deed, verplichtte in dezelfde adem om te regelen hoe gestructureerd gebruik eruitziet. Dat deel is tien jaar blijven liggen. Wat overblijft is een loket dat alles laat zien maar niets mag leveren, en een markt die de gaten zelf invult. Waarom openbaar niet hetzelfde is als open, werkten we eerder uit in de WOZ-paradox.
Waarom dit jouw probleem is en niet dat van het loket
Nu de kern, en dit is waar de meeste organisaties de fout in gaan.
De Waarderingskamer legt keurig uit waarop de overheid haar verwerking baseert: "De Wet WOZ biedt de wettelijke basis voor de gegevensverwerking. Daarmee is in het algemeen sprake van een verwerkingsgrondslag als bedoeld in artikel 6 lid 1 onderdeel e AVG." Sub e is de vervulling van een taak van algemeen belang of openbaar gezag.
Jij kunt je daar niet op beroepen. Sub e is voor bestuursorganen en partijen met een publieke taak. Een hypotheekverstrekker, een makelaarsplatform, een verhuurder of een SaaS-bouwer die WOZ-waarden verwerkt, landt op sub b (noodzakelijk voor een overeenkomst) of sub f (gerechtvaardigd belang). En sub f is geen vinkje: dat vraagt een afweging tussen jouw belang en de belangen van de betrokkene, die je moet kunnen laten zien.
Zodra de waarde jouw database in gaat, gelden er verplichtingen die niemand namens jou regelt:
- Artikel 30, verwerkingsregister. WOZ-waarden horen als categorie persoonsgegevens in je register, met doel, grondslag, bewaartermijn en ontvangers.
- Artikel 14, informatieplicht. Let op: artikel 14, niet 13. Je hebt de gegevens niet van de betrokkene zelf gekregen, dus je moet melden dat je ze hebt en waar ze vandaan komen. Voor de meeste partijen loopt dat via de privacyverklaring.
- Artikel 5 lid 1 sub b, doelbinding. Opgehaald voor een leencheck betekent niet: bruikbaar voor een marketingsegment op vermogen.
- Artikel 5 lid 1 sub e, opslagbeperking. Een WOZ-waarde is een jaargegeven. Zeven jaargangen bewaren omdat het kan, is geen minimalisatie.
- Artikel 15, inzage. Kun je binnen een maand alle WOZ-waarden opleveren die je over een persoon houdt? Als je dat niet per betrokkene kunt uitdraaien, heb je een probleem dat je pas ontdekt als het verzoek binnenkomt.
- Artikel 33, datalekken. Een geexporteerde adressenlijst met waarden erbij die op de verkeerde plek belandt, is een meldbaar lek. Financiele gegevens plus adressen scoren hoog op risico.
- Artikel 28, verwerkers. Iedere partij die dit namens jou aanraakt heeft een verwerkersovereenkomst nodig. Ook je dataleverancier.
En dan is er nog de vraag die je toezichthouder als eerste stelt en waar zelden een antwoord op klaarligt: waar komt deze waarde vandaan en mocht dat zo? Een spreadsheet met geschraapte loketwaarden is geen bezit maar een schuld. De herkomst kun je niet aantonen, de rechtmatigheid van de verkrijging evenmin, en het staat wel op jouw naam in je register.
Wat de betrokkene hiertegen kan doen: vrijwel niets
Wie denkt dat de burger hier een uitweg heeft, komt bedrogen uit.
- Wissen kan niet. Artikel 17 lid 3 sub b AVG sluit het recht op vergetelheid uit als de verwerking nodig is om een wettelijke verplichting na te komen of een publieke taak uit te voeren. De WOZ is allebei.
- Corrigeren kan alleen aan de bron. Klopt de waarde niet, dan is de route bezwaar bij de gemeente tegen de beschikking, niet een correctieverzoek bij het bedrijf dat het getal toevallig heeft overgenomen.
- Bezwaar tegen publicatie heeft geen loket. De openbaarheid volgt rechtstreeks uit artikel 40a. Daar is geen opt-out op gebouwd.
- Inzage in wie keek bestaat niet. Het loket vraagt geen identificatie, dus er valt niets te tonen.
Ook aan de transparantiekant is de ruimte smaller dan mensen aannemen. De Hoge Raad legde op 27 februari 2026 uit hoe ver de informatieplicht van artikel 40 lid 2 Wet WOZ reikt (ECLI:NL:HR:2026:297). De heffingsambtenaar hoeft alleen afschriften te geven van gegevens die in stukken zijn vastgelegd en die daadwerkelijk aan die concrete waardebepaling ten grondslag liggen. Vaste KOUDVL-correctiepercentages vallen daar niet onder, omdat die op de inschatting van de taxateur berusten. Indexeringspercentages moeten wel worden verstrekt, maar de brongegevens daaronder niet. Op algemene uitleg over de gehanteerde methodiek bestaat geen recht. Wat een taxatieverslag wel bevat, staat in ons artikel over het taxatieverslag.
Zet dat naast elkaar en het beeld is compleet. De betrokkene draagt de blootstelling en heeft geen knoppen. De organisatie die het getal gebruikt, draagt de volledige nalevingslast. En de partij die de blootstelling heeft gecreeerd, heeft haar grondslag netjes in de wet staan en verder geen last van iets.
De praktische kant: wat je deze week kunt regelen
Verontwaardiging is geen beleid. Wat een COO hier concreet mee kan:
- Bepaal je grondslag en schrijf hem op. Sub b of sub f, niet "het is openbaar". Bij sub f hoort een korte, gedateerde belangenafweging in je dossier.
- Zet WOZ-waarden expliciet in je verwerkingsregister. Niet verstopt onder "vastgoedgegevens". Het zijn persoonsgegevens en zo hoort het er te staan.
- Kies een bewaartermijn per jaargang en handhaaf hem. Automatisch opschonen, niet handmatig, anders gebeurt het niet.
- Documenteer de herkomst per waarde. Bron, datum, belastingjaar. Dat is de vraag die als eerste komt en de enige waarop je niet kunt improviseren.
- Controleer je verwerkersovereenkomsten, ook met je dataleverancier.
- Test een inzageverzoek een keer echt. Vraag intern alle WOZ-gegevens over een adres op en kijk hoe lang het duurt. Dat is je werkelijke reactietijd.
- Ruim ongedocumenteerde exports op. Elk losstaand bestand met adressen en waarden op een laptop of in een gedeelde map is risico zonder tegenwaarde.
Voor de meeste teams komt het neer op een keuze die je maar een keer goed hoeft te maken: haal je waarden op via een keten die je kunt uitleggen, met een aantoonbare herkomst en een vastgelegde bewaartermijn, of je hebt een verzameling losse getallen waarvan niemand meer weet waar ze vandaan komen. Het eerste is werk. Het tweede is een openstaande rekening.
Hoe wij zelf met deze gegevens omgaan staat in onze privacyverklaring en de verwerkersovereenkomst. Wie mag aansluiten op de officiele landelijke keten en waarom dat voor de meeste organisaties niet weggelegd is, staat in LV WOZ uitgelegd.
Verantwoording
Wetsteksten: artikel 40, 40a en 37a Wet waardering onroerende zaken, geraadpleegd via wetten.overheid.nl. AVG: Verordening (EU) 2016/679, artikelen 4, 5, 6, 14, 15, 17, 28, 30 en 33. Standpunt over persoonsgegevens en grondslag: Waarderingskamer, Vraagbaak Waardebepaling Wet WOZ, hoofdstuk 7 (Openbare en niet-openbare WOZ-gegevens) en hoofdstuk 8 (Informatie-inwinning en privacy). Het CBP-advies van 31 mei 2012 (z2012-00245) en het antwoord van de wetgever daarop staan in de memorie van toelichting bij het wetsvoorstel, Kamerstukken II 2012/13, 33462, nr. 3. Jurisprudentie: ABRvS 26 februari 2019, ECLI:NL:RVS:2019:247 en HR 27 februari 2026, ECLI:NL:HR:2026:297. Kamervragen over geautomatiseerd onttrekken aan het WOZ-waardeloket: 2016Z19018. Dit artikel is algemene informatie over de toepassing van de AVG op WOZ-gegevens en geen juridisch advies over jouw specifieke verwerking.