AP moet AVG-boetes voortaan verplicht openbaar maken

Wat is er precies veranderd, en per wanneer?

Sinds 1 september 2026 is de Autoriteit Persoonsgegevens verplicht om boetes en andere AVG-sancties te publiceren. Dat komt door een wetswijziging van de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG). Eerder deed de AP dit ook al, maar toen was het een eigen beleidskeuze en geen wettelijke plicht.

Dat verschil klinkt technisch, maar heeft impact. Een beleidskeuze kan de AP op enig moment aanpassen; een wettelijke plicht niet. De AP zelf noemt dit belangrijk voor de rechtszekerheid en rechtsbescherming, en heeft de wetgever hier al jaren om gevraagd.

Welke sancties worden nu openbaar?

Het gaat niet alleen om boetes. De AP kan verschillende soorten sancties opleggen, en die vallen allemaal onder de nieuwe publicatieplicht.

Denk aan de volgende instrumenten die de AP tot haar beschikking heeft:

• De bestuurlijke boete
• De last onder dwangsom (een periodiek te betalen bedrag zolang de overtreding voortduurt)
• Het verwerkingsverbod
• De berisping
• De formele waarschuwing

Geldt dit ook voor zzp'ers en kleine bedrijven?

Ja. De publicatieplicht maakt geen uitzondering voor de grootte van een organisatie. Als de AP een sanctie oplegt aan een eenmanszaak, valt die net zo goed onder de nieuwe regel als een sanctie aan een multinational.

Belangrijk om te weten: in het concept-handhavingsbeleid dat de AP dit jaar ter consultatie heeft voorgelegd, staat dat een boete aan een natuurlijk persoon soms als onevenredig kan worden gezien en dan wordt vervangen door een berisping. Die uitzondering geldt echter niet voor de zelfstandige die als ondernemer handelt, zoals bij een eenmanszaak. Let op: dit handhavingsbeleid is een consultatieversie en dus nog niet definitief vastgesteld, maar het geeft wel een duidelijke richting aan hoe de AP tegen zzp'ers aankijkt.

Waarom vroeg de AP hier al jaren om?

Zolang publicatie een keuze was, kon niemand er zeker van zijn welke normen de AP precies hanteerde en wat de gevolgen waren van een overtreding. Met een wettelijke publicatieplicht wordt dat voor iedereen duidelijker.

Er zit ook een lerend element in. Als een AVG-sanctie openbaar wordt, kunnen andere organisaties zien wat er is misgegaan bij een vergelijkbaar bedrijf, en dus wat zij zelf moeten verbeteren. Voor de AP is dat een manier om met minder capaciteit toch een breder effect te bereiken.

Hoe hoog kunnen AVG-boetes eigenlijk zijn?

De maximale bedragen onder de AVG zijn al jaren hetzelfde. Overtreedt een organisatie een administratieve verplichting, zoals het bijhouden van een verwerkingsregister, dan kan de AP een boete opleggen van maximaal 10 miljoen euro, of 2% van de wereldwijde jaaromzet als dat hoger uitkomt. Gaat het om een overtreding van de kernbeginselen van de AVG of van de privacyrechten van betrokkenen, dan loopt het maximum op tot 20 miljoen euro, of 4% van de wereldwijde jaaromzet.

Voor een zzp'er met een omzet van bijvoorbeeld 80.000 euro zal een boete uiteraard nooit in de buurt van die maximumbedragen komen; de AP houdt bij het bepalen van de hoogte rekening met de omvang en financiële situatie van de overtreder. Toch laat een recent voorbeeld zien dat de AP niet aarzelt om fors uit te delen als de overtreding ernstig is: op 21 augustus 2026 kreeg Uber een boete van 825 miljoen euro opgelegd omdat het bedrijf via geautomatiseerde systemen chauffeursaccounts blokkeerde zonder mensen daar voldoende over te informeren. Daarmee is het de op één na hoogste AVG-boete ooit; alleen Meta kreeg met 1,2 miljard euro een hogere boete, opgelegd door de Ierse toezichthouder in 2023.

Wat betekent openbaarheid voor jouw reputatie?

Een sanctie die openbaar wordt, verdwijnt niet meer. Het besluit komt op de website van de AP te staan en is daarmee vindbaar voor klanten, opdrachtgevers en journalisten die je bedrijfsnaam opzoeken.

Voor een zzp'er die leunt op vertrouwen en mond-tot-mondreclame, zoals een coach, fotograaf of zorgverlener, kan dat harder aankomen dan het boetebedrag zelf. Zeker in een branche waar klantgegevens gevoelig zijn.

Wat moet je nu doen om een sanctie te voorkomen?

De publicatieplicht verandert niets aan de onderliggende regels van de AVG. Wie de basis op orde heeft, loopt nauwelijks risico. De belangrijkste zaken om te checken:

• Sluit een verwerkersovereenkomst met elke partij die namens jou persoonsgegevens verwerkt, zoals je boekhouder, je boekhoudpakket, je e-mailmarketingtool of je clouddienst
• Zorg voor een privacyverklaring op je website die klopt met wat je daadwerkelijk doet met gegevens
• Beveilig accounts met sterke, unieke wachtwoorden en waar mogelijk met tweefactorauthenticatie
• Bewaar persoonsgegevens niet langer dan nodig en verwijder oude klantbestanden die je niet meer gebruikt
• Houd een verwerkingsregister bij zodra je niet incidenteel persoonsgegevens verwerkt of gegevens met een hoog risico verwerkt

En als er toch een datalek gebeurt?

Een datalek moet je binnen 72 uur na ontdekking melden bij de AP, tenzij het niet waarschijnlijk is dat het lek een risico oplevert voor de betrokkenen. Bij twijfel geldt: meld toch, en vul later aan als je meer weet.

Het meldformulier zelf komt niet openbaar te staan; het register met datalekmeldingen bij de AP is niet openbaar, omdat gegevens over de beveiliging van een verwerking vertrouwelijk moeten blijven. Pas als de AP naar aanleiding van zo'n melding besluit een sanctie op te leggen, valt die sanctie straks onder de nieuwe publicatieplicht.

Bronnen

• AP maakt AVG-sancties voortaan verplicht openbaar · autoriteitpersoonsgegevens.nl
• Uber fined nearly 825 million euros for automated driver blocking · autoriteitpersoonsgegevens.nl
• AP legt Uber recordboete van 825 miljoen op - Computable.nl · computable.nl
• Boetes en andere sancties van de AP · autoriteitpersoonsgegevens.nl
• AP past boetebeleidsregels aan · autoriteitpersoonsgegevens.nl
• Consultatieversie april 2026 Handhavingsbeleid van de AP · autoriteitpersoonsgegevens.nl
• Meldplicht datalekken · autoriteitpersoonsgegevens.nl
• This is how you report a data breach · autoriteitpersoonsgegevens.nl
• Verantwoordelijke en verwerker · autoriteitpersoonsgegevens.nl