De Autoriteit Persoonsgegevens (AP) legde in 2025 voor meer dan €70 miljoen aan AVG-boetes op in Nederland — een record. In 2026 intensiveert de AP haar handhaving op AI-systemen, dataminimalisatie en cookiemuren. Hier zijn de maximale boetes, recente zaken en de 5 grootste risicofactoren voor uw bedrijf.
Maximale AVG-boetes in 2026
| Categorie overtreding | Maximum boete | Of % omzet |
|---|---|---|
| Zware overtredingen (Art. 83 lid 5) | €20.000.000 | 4% wereldwijde omzet |
| Lichtere overtredingen (Art. 83 lid 4) | €10.000.000 | 2% wereldwijde omzet |
| Betaaldiensten (PSD2 + AVG) | €5.000.000 | Combinatie mogelijk |
Recente AVG-boetes in Nederland (2024–2026)
- Clearview AI (2024): €30,5 miljoen – gezichtsherkenningsdatabase zonder rechtsgrond
- Netflix (2023): €4,75 miljoen – onduidelijke privacyverklaring inzake datadeling
- Uber (2023): €10 miljoen – doorgifte chauffeurdata naar VS zonder adequate safeguards
- DPG Media (2024): €600.000 – cookiemuur zonder vrije keuze
- Gemeente Utrecht (2024): €75.000 – onterechte profilering van burgers
Top 5 Risicofactoren voor Bedrijven in 2026
- AI-systemen zonder DPIA: Elk AI-systeem dat profileert of beslist over mensen vereist een Gegevensbeschermingseffectbeoordeling
- Cookiemuren: Toegang weigeren aan niet-instemmende gebruikers is in strijd met AVG (AP-standpunt 2024)
- Doorgifte naar derde landen: Data naar VS/India etc. zonder adequaatheidsbesluit of SCCs
- Te lange bewaartermijnen: Dataminimalisatie is de meest gesanctioneerde verplichting
- Geen verwerkersovereenkomsten: Alle verwerkers (cloudproviders, SaaS) moeten een DPA ondertekenen
Hoe vermijdt u een AVG-boete in 2026?
- Stel een verwerkingsregister bij (Art. 30 AVG) — AP vraagt dit standaard bij onderzoek
- Voer een DPIA uit voor risicovolle verwerkingen (AI, profilering, bijzondere categorieën)
- Controleer uw cookiebanner: opt-in voor niet-functionele cookies, geen pre-aangevinkte vakjes
- Sluit verwerkersovereenkomsten af met alle SaaS-leveranciers
- Train medewerkers jaarlijks op privacybewustzijn