De Autoriteit Persoonsgegevens (AP) heeft in 2026 meerdere significante boetes opgelegd aan bedrijven die de AVG overtraden. De meest voorkomende overtredingen zijn: onrechtmatige gegevensverwerking zonder geldige grondslag, te late of ontbrekende datalekmelding, en tekortschietende beveiliging van persoonsgegevens. Boetes lopen op van enkele duizenden euro's voor kleine overtredingen tot tientallen miljoenen euro's voor grote structurele schendingen. Hieronder vindt u een actueel overzicht van de bekende boetes en de lessen die bedrijven daaruit kunnen trekken.
De rol van de Autoriteit Persoonsgegevens
De Autoriteit Persoonsgegevens (AP) is de Nederlandse toezichthouder voor de naleving van de Algemene Verordening Gegevensbescherming (AVG) en de Uitvoeringswet AVG (UAVG). De AP heeft de bevoegdheid om boetes op te leggen, bindende aanwijzingen te geven en in ernstige gevallen verwerkingen tijdelijk stil te leggen.
Naast nationale handhaving werkt de AP samen met andere Europese toezichthouders in het European Data Protection Board (EDPB). Bij grensoverschrijdende verwerkingen — bijvoorbeeld door internationale techbedrijven — coördineert de AP de handhaving via de zogenaamde 'one-stop-shop'-procedure.
In 2025 en 2026 heeft de AP haar handhavingsstrategie aangescherpt. Prioriteiten zijn: gegevensdeling zonder rechtmatige grondslag, profilering en geautomatiseerde besluitvorming, tekortschietende beveiliging, en het niet nakomen van rechten van betrokkenen.
Categorieën van AVG-overtredingen die tot boetes leiden
Niet alle privacyschendingen zijn even zwaar. De AP maakt onderscheid tussen twee boetecategorieën:
| Categorie | Voorbeelden overtredingen | Maximale boete |
|---|---|---|
| Minder ernstig (art. 83 lid 4) | Ontbrekend verwerkingsregister, geen DPIA uitgevoerd, DPO niet aangesteld | EUR 10 miljoen of 2% jaaromzet |
| Ernstig (art. 83 lid 5) | Verwerking zonder grondslag, schending rechten betrokkenen, doorgifte naar onveilig derde land | EUR 20 miljoen of 4% jaaromzet |
Bekende AVG-boetes in Nederland en Europa 2025-2026
De volgende boetes zijn door Europese toezichthouders (waaronder de AP en gecoördineerde Europese handhaving) opgelegd of bevestigd in 2025-2026. Ze illustreren de handhavingspraktijk waarmee ook Nederlandse bedrijven rekening moeten houden.
1. Onrechtmatige profilering en gerichte reclame
Meerdere reclamenetwerken en databrokers zijn in Europa beboet voor het opbouwen van gedetailleerde consumentenprofielen zonder geldige toestemming of andere rechtmatige grondslag. De AP heeft eerder al boetes opgelegd aan bedrijven die speciale categorieën persoonsgegevens (zoals gezondheidsgegevens of politieke voorkeuren) gebruikten voor targeting, zonder dat betrokkenen daarvoor expliciet toestemming hadden gegeven.
Les voor bedrijven: Controleer uw rechtsgrondslag voor elke verwerkingsactiviteit. Toestemming moet vrij, specifiek, geïnformeerd en ondubbelzinnig zijn. Vooraf aangevinkte hokjes zijn niet geldig.
2. Datalekken niet of te laat gemeld
De AP legt structureel boetes op aan organisaties die een meldingsplichtig datalek niet binnen 72 uur melden. In meerdere zaken was er sprake van een cyberaanval waarbij persoonsgegevens van klanten waren buitgemaakt. De getroffen bedrijven hadden het lek intern geconstateerd maar te lang gewacht met de melding, uit vrees voor reputatieschade.
Les voor bedrijven: Stel een intern protocol op voor datalekken. Zodra een lek is geconstateerd dat een risico vormt voor betrokkenen, start de 72-uur-termijn. Twijfel over de ernst van het lek rechtvaardigt geen uitstel van de melding. Meer over de procedure: Datalek melden: procedure en termijnen.
3. Onvoldoende beveiliging van persoonsgegevens
Artikel 32 AVG verplicht organisaties tot passende technische en organisatorische maatregelen om persoonsgegevens te beschermen. In 2025 en 2026 zijn meerdere boetes opgelegd aan bedrijven die basismaatregelen als encryptie, multi-factor authenticatie of toegangsbeveiliging hadden nagelaten. In een aantal gevallen leidde het ontbreken van MFA direct tot een datalek.
Les voor bedrijven: Implementeer MFA voor alle systemen met toegang tot persoonsgegevens. Versleutel persoonsgegevens in rust en tijdens transport. Voer minimaal jaarlijks een beveiligingsaudit uit. Raadpleeg onze checklist: Cybersecurity verplichtingen MKB 2026.
4. Schending van rechten van betrokkenen
Betrokkenen hebben het recht op inzage, correctie, verwijdering, beperking en overdraagbaarheid van hun persoonsgegevens. De AP heeft boetes opgelegd aan organisaties die verzoeken van betrokkenen stelselmatig negeerden, te laat beantwoordden (termijn: 1 maand, eenmalig verlengbaar met 2 maanden) of zonder geldige reden weigerden.
Een veelvoorkomend probleem: organisaties die een inzageverzoek ontvangen maar niet over voldoende processen beschikken om alle persoonsgegevens van een persoon snel te traceren en te leveren.
Les voor bedrijven: Richt processen in om verzoeken van betrokkenen tijdig en volledig te beantwoorden. Train medewerkers in het herkennen van rechtenverzoeken. Leg alle ontvangen verzoeken en uw reacties vast.
5. Onrechtmatige doorgifte naar derde landen
Na het Schrems II-arrest in 2020 en de introductie van het EU-VS Data Privacy Framework (DPF) in 2023 is de doorgifte van persoonsgegevens naar de VS voor gecertificeerde bedrijven opnieuw mogelijk — maar alleen als het ontvangende bedrijf DPF-gecertificeerd is. De AP heeft boetes opgelegd aan organisaties die gebruik bleven maken van dienstverleners buiten de EU zonder passende overdrachtsmaatregelen (Standard Contractual Clauses of DPF).
Les voor bedrijven: Controleer voor elke tool en dienstverlener buiten de EU of een geldige overdrachtsgrondslag aanwezig is. Gebruik de AP-checklist voor internationale gegevensdoorgiften.
De hoogste GDPR-boetes in Europa: context voor Nederland
De Nederlandse AP heeft zelf boetes opgelegd van enkele honderdduizenden tot meerdere miljoenen euro's. Ter vergelijking: op Europees niveau zijn de hoogste boetes opgelegd aan grote techbedrijven:
- Meta/Instagram: meerdere boetes van EUR 200-400 miljoen voor gegevensdoorgifte en profilering
- TikTok: EUR 345 miljoen voor onrechtmatige verwerking kindergegevens (Ierse DPA)
- LinkedIn: EUR 310 miljoen voor gerichte reclame zonder geldige grondslag (Ierse DPA, 2024)
Hoewel Nederlandse MKB-bedrijven zelden met dergelijke boetes worden geconfronteerd, illustreren deze zaken welke overtredingen toezichthouders het zwaarst bestraffen. Meer over de boetehistorie van de AP zelf: AVG boetes Nederland 2026: volledig overzicht.
Factoren die de hoogte van een AVG-boete bepalen
De AP weegt bij het bepalen van een boete de volgende factoren mee (art. 83 lid 2 AVG):
- Aard, ernst en duur van de overtreding
- Opzet of nalatigheid: was de schending bewust of onbedoeld?
- Maatregelen om schade te beperken na het incident
- Mate van verantwoordelijkheid van de verwerkingsverantwoordelijke
- Eerder opgelegde boetes of waarschuwingen door de AP
- Samenwerking met de toezichthouder tijdens het onderzoek
- Categorieën van persoonsgegevens: bijzondere categorieën (gezondheid, religie, etniciteit) wegen zwaarder
- Aantal betrokken personen: hoe meer betrokkenen, hoe ernstiger
MKB-bedrijven die direct meewerken met de AP, snel corrigerende maatregelen treffen en geen recidive tonen, krijgen doorgaans lagere boetes of een waarschuwing in plaats van een boete.
Hoe voorkomt u een AVG-boete?
De beste bescherming tegen een boete is een solide privacybeleid. De vijf belangrijkste maatregelen:
- Verwerkingsregister bijhouden: Documenteer alle verwerkingsactiviteiten (art. 30 AVG). Dit is verplicht voor organisaties met 250+ medewerkers en sterk aanbevolen voor iedereen.
- Rechtmatige grondslag vaststellen: Zorg voor een geldige grondslag (toestemming, overeenkomst, wettelijke verplichting, vitaal belang, publieke taak of gerechtvaardigd belang) voor elke verwerking.
- Datalekprocedure implementeren: Richt een intern meldingsproces in zodat datalekken binnen 72 uur bij de AP kunnen worden gemeld.
- Beveiliging op orde: MFA, versleuteling, toegangsbeperking (need-to-know principe), regelmatige audits.
- Rechten van betrokkenen borgen: Processen inrichten voor het tijdig beantwoorden van inzage-, correctie- en verwijderingsverzoeken.
Veelgestelde vragen over AVG-boetes 2026
Hoe hoog zijn de maximale AVG-boetes in Nederland?
De maximale boete voor ernstige AVG-overtredingen bedraagt EUR 20 miljoen of 4% van de wereldwijde jaaromzet (het hoogste bedrag geldt). Voor minder ernstige overtredingen is het maximum EUR 10 miljoen of 2% van de jaaromzet. De Autoriteit Persoonsgegevens bepaalt de exacte hoogte op basis van aard, ernst en omstandigheden van de overtreding.
Welke overtredingen worden het meest bestraft door de AP?
De meest bestrafte overtredingen zijn: verwerking van persoonsgegevens zonder rechtmatige grondslag, te late of ontbrekende datalekmelding (72-uur-termijn), onvoldoende technische beveiliging, en het niet of te laat beantwoorden van verzoeken van betrokkenen (inzage, verwijdering).
Kan een klein bedrijf ook een AVG-boete krijgen?
Ja. De AVG geldt voor elk bedrijf dat persoonsgegevens verwerkt, ongeacht de omvang. De AP houdt bij het opleggen van boetes wel rekening met de omvang en draagkracht van de organisatie. Kleine bedrijven krijgen doorgaans eerst een waarschuwing of corrigerende aanwijzing voordat een boete wordt opgelegd, tenzij sprake is van opzettelijke of ernstige schendingen.
Binnen hoeveel uur moet een datalek worden gemeld bij de AP?
Een meldingsplichtig datalek moet binnen 72 uur na ontdekking worden gemeld bij de Autoriteit Persoonsgegevens via het online meldloket op autoriteitpersoonsgegevens.nl. Als het lek ook een hoog risico vormt voor betrokkenen, moeten ook zij zo snel mogelijk worden geïnformeerd.
Hoe kan ik controleren of mijn bedrijf AVG-compliant is?
Begin met een verwerkingsregister (alle gegevensverwerkingen documenteren), controleer de rechtmatige grondslag per verwerking, zorg voor een datalekprocedure, implementeer technische beveiligingsmaatregelen (MFA, encryptie) en stel processen in voor het beantwoorden van verzoeken van betrokkenen. De AP biedt gratis zelfevaluatietools op autoriteitpersoonsgegevens.nl.