De Autoriteit Persoonsgegevens (AP) is vanaf vandaag verplicht om opgelegde AVG-sancties openbaar te maken. Daarmee wordt voor iedereen beter zichtbaar welke organisaties de privacyregels overtreden en welke maatregelen daartegen worden genomen.
De Autoriteit Persoonsgegevens krijgt vanaf 1 september 2026 een wettelijke verplichting om sancties die zij oplegt vanwege overtredingen van de Algemene verordening gegevensbescherming (AVG) openbaar te maken. Het gaat daarbij niet alleen om bestuurlijke boetes, maar ook om andere AVG-sancties. De nieuwe verplichting moet volgens de AP zorgen voor meer transparantie en bijdragen aan effectief toezicht. Organisaties kunnen bovendien leren van eerdere handhavingszaken. Door duidelijker te laten zien welke overtredingen zijn vastgesteld en welke sancties daarop volgen, wordt inzichtelijker waar organisaties bij het verwerken van persoonsgegevens op moeten letten. De AP publiceert al langere tijd boetes en andere sancties. Het bestaande overzicht bevat bijvoorbeeld sancties op het gebied van datalekken, beveiliging, overheid en algoritmes en AI.
Niet alleen grote bedrijven
De AVG geldt niet uitsluitend voor multinationals en grote internetbedrijven. Iedere organisatie die persoonsgegevens verwerkt, moet zich aan de privacyregels houden. Dat betekent dat ook verenigingen (zoals HCC), stichtingen en andere maatschappelijke organisaties ermee te maken hebben. Denk bijvoorbeeld aan ledenadministraties, nieuwsbrieven, websites, evenementregistraties en het gebruik van foto's van leden of bezoekers. Ook het bewaren en delen van persoonsgegevens valt onder de AVG.
Een organisatie die persoonsgegevens verwerkt, moet daarom niet alleen weten welke gegevens zij verzamelt, maar ook waarom dat gebeurt, hoe lang de gegevens worden bewaard en wie er toegang toe heeft. De AVG legt de verantwoordelijkheid nadrukkelijk bij de organisatie zelf: die moet kunnen aantonen dat zij aan de privacyregels voldoet.
Openbaarmaking moet afschrikken
Het openbaar maken van sancties heeft naast transparantie ook een preventieve werking. Organisaties krijgen een extra reden om hun privacybeleid op orde te brengen. Een overtreding kan immers niet alleen leiden tot een financiële sanctie, maar wordt voortaan ook nadrukkelijker zichtbaar voor de buitenwereld. Voor consumenten kan de openbare informatie eveneens nuttig zijn. Zij kunnen daardoor beter zien hoe organisaties met persoonsgegevens omgaan en welke organisaties door de toezichthouder zijn aangepakt.
De nieuwe verplichting betekent overigens niet dat iedere fout automatisch leidt tot een openbare boete. De AP beschikt over verschillende handhavingsinstrumenten en de aard en ernst van een overtreding spelen een belangrijke rol bij de keuze van de sanctie.
Wat moet een organisatie op orde hebben?
Voor organisaties is de nieuwe situatie vooral een extra reden om de eigen AVG-verplichtingen regelmatig te controleren. De AP noemt onder meer een privacyverklaring, passende beveiligingsmaatregelen en – wanneer dat verplicht is – een verwerkingsregister en een Data Protection Impact Assessment (DPIA).
Voor HCC-leden die bijvoorbeeld een vereniging, stichting of website beheren, is dit daarom een goed moment om het eigen privacybeleid nog eens tegen het licht te houden. Vooral bij ledenadministraties, mailinglijsten en online diensten is het belangrijk om te kunnen uitleggen welke persoonsgegevens worden verwerkt en waarom.
Welke AVG-sancties zijn er?
De AP kan verschillende maatregelen nemen wanneer een organisatie de privacywetgeving overtreedt. Een waarschuwing kan bijvoorbeeld worden gegeven wanneer een overtreding dreigt of wanneer de AP een organisatie wil wijzen op een probleem zonder direct een zwaardere maatregel op te leggen.
Een berisping is een formele vaststelling dat een verwerking van persoonsgegevens in strijd is met de AVG. De organisatie krijgt daarmee duidelijk te horen dat zij de regels heeft overtreden. Met een last onder dwangsom krijgt een organisatie de opdracht om een overtreding te beëindigen of een bepaalde handeling uit te voeren. Gebeurt dat niet binnen de gestelde termijn, dan moet de organisatie een dwangsom betalen. De zwaarste en bekendste financiële maatregel is de bestuurlijke boete. De hoogte daarvan hangt onder meer af van de aard, ernst en duur van de overtreding en de omstandigheden van het geval.
Daarnaast kan de AP verwerkingen beperken of verbieden. Daarmee kan de toezichthouder voorkomen dat een organisatie bepaalde persoonsgegevens nog langer op de betreffende manier verwerkt. De AP publiceert op haar website een overzicht van opgelegde en gepubliceerde boetes en andere sancties.
Wat betekent dit voor HCC-leden?
Voor de meeste HCC-leden verandert er vanaf vandaag niet direct iets. Wel onderstreept de nieuwe verplichting het belang van zorgvuldig omgaan met persoonsgegevens. Wie bijvoorbeeld een vereniging, website of andere organisatie ondersteunt, doet er goed aan regelmatig te controleren of de gegevensverwerking nog voldoet aan de AVG. Dat geldt ook voor kleine organisaties: de privacyregels maken daarbij geen onderscheid naar omvang.
Standpunt van HCC
HCC vindt het belangrijk dat organisaties zorgvuldig omgaan met persoonsgegevens en dat duidelijk is wat er gebeurt wanneer de regels worden overtreden. Openbaarheid van AVG-sancties kan daarbij helpen, zolang de informatie begrijpelijk en proportioneel wordt gepubliceerd. Transparantie moet niet alleen leiden tot naming-and-shaming, maar vooral bijdragen aan bewustwording en beter privacybeleid. HCC heeft een AVG-officer in dienst die toeziet op het op de juiste wijze toepassen van de AVG-regels binnen de vereniging.
