AP-AVG privacyboete wordt publiek: ‘Nieuwe wet vergroot reputatierisico voor organisaties’
Vanaf 1 september 2026 moet de Autoriteit Persoonsgegevens opgelegde AVG-sancties openbaar maken. Boetes, lasten onder dwangsom en verwerkingsverboden verdwijnen daardoor niet langer stilletjes in een juridisch dossier. De naam van de overtredende organisatie, de aard van de privacyschending en de opgelegde maatregel kunnen publiek zichtbaar worden. Dat maakt naleving van de privacywetgeving belangrijker dan ooit.
Van eigen beleid naar wettelijke verplichting
De Autoriteit Persoonsgegevens, kortweg AP, publiceerde ook vóór 1 september al regelmatig sanctiebesluiten. Dat gebeurde echter op basis van het eigen openbaarmakingsbeleid van de toezichthouder. Met de Verzamelwet gegevensbescherming krijgt deze werkwijze een uitdrukkelijke wettelijke basis. In het nieuwe artikel 21b van de Uitvoeringswet Algemene verordening gegevensbescherming staat dat de AP een beschikking waarbij een bestuurlijke sanctie wordt opgelegd openbaar maakt. Publiceren is daarmee niet langer alleen een beleidskeuze, maar het wettelijke uitgangspunt.
Volgens de toezichthouder zorgt dit voor meer rechtszekerheid en rechtsbescherming. Organisaties kunnen aan gepubliceerde besluiten beter zien hoe de AP de AVG uitlegt, welke overtredingen tot handhaving leiden en hoe zwaar bepaalde privacyschendingen worden bestraft.
De openbaarmaking heeft bovendien een waarschuwende werking. Bedrijven, overheden en instellingen kunnen van overtredingen van anderen leren en hun eigen verwerking van persoonsgegevens tijdig aanpassen.
Welke sancties worden openbaar?
De regeling beperkt zich niet tot geldboetes. Ook andere bestuurlijke sancties wegens overtreding van de AVG kunnen worden gepubliceerd. Denk bijvoorbeeld aan een last onder dwangsom, een verwerkingsverbod of een bevel om een bepaalde verwerking te beëindigen. Een verwerkingsverbod kan voor een organisatie ingrijpender zijn dan een boete. Wanneer persoonsgegevens essentieel zijn voor een klantenbestand, digitaal platform, marketingcampagne of administratief proces, kan zo’n verbod de bedrijfsvoering direct raken. Bij publicatie wordt duidelijk welke organisatie de sanctie heeft gekregen, welke overtreding is vastgesteld en welke maatregel de AP heeft opgelegd. Daardoor kunnen klanten, medewerkers, zakelijke partners, journalisten en belangenorganisaties kennisnemen van de zaak.
De publicatieplicht geldt overigens niet onbeperkt. De AP moet rekening houden met uitzonderingen uit de Wet open overheid. Persoonlijke gegevens, vertrouwelijke bedrijfsinformatie of andere zwaarwegende belangen kunnen aanleiding geven om delen van een besluit niet openbaar te maken.
Publicatie volgt niet direct
Een sanctiebesluit verschijnt niet onmiddellijk online. De wet bepaalt dat de AP in beginsel minimaal tien werkdagen moet wachten nadat het besluit aan de overtreder bekend is gemaakt. Die wachttijd geeft de betrokken organisatie gelegenheid om het besluit juridisch te beoordelen en eventueel naar de rechter te stappen. Een organisatie kan de voorzieningenrechter vragen de publicatie tijdelijk tegen te houden. Wanneer zo’n verzoek wordt ingediend, wordt de openbaarmaking opgeschort totdat de rechter uitspraak heeft gedaan of het verzoek wordt ingetrokken. De wachttijd geldt niet wanneer de overtreder het besluit zelf al openbaar heeft gemaakt, toestemming geeft voor eerdere publicatie of geen bezwaar tegen eerdere bekendmaking heeft.
Ook beslissingen op bezwaar waarbij een sanctie in stand blijft, vallen onder de nieuwe regeling. Een procedure tegen een boete betekent dus niet automatisch dat de kwestie buiten de openbaarheid blijft.
Privacyovertreding wordt ook reputatievraagstuk
De financiële gevolgen van een AVG-boete waren al aanzienlijk. Afhankelijk van de overtreding kan een boete oplopen tot 20 miljoen euro of vier procent van de wereldwijde jaaromzet. Door de verplichte openbaarmaking komt daar een groter reputatierisico bij. Een gepubliceerd besluit kan leiden tot kritische berichtgeving, vragen van klanten en bezorgdheid bij medewerkers of samenwerkingspartners. Vooral organisaties die veel gevoelige gegevens verwerken, zoals zorginstellingen, financiële dienstverleners, webwinkels, werkgevers en overheden, kunnen daar merkbare gevolgen van ondervinden. Ook voor marketingafdelingen is de wijziging relevant. De inzet van klantprofielen, gepersonaliseerde advertenties, trackingtechnieken, loyaliteitsprogramma’s en kunstmatige intelligentie vraagt om een duidelijke rechtsgrondslag, transparantie en passende beveiliging. Een fout kan voortaan niet alleen tot een sanctie leiden, maar ook breed zichtbaar worden.
Meer inzicht in de grenzen van de AVG
De nieuwe publicatieplicht heeft niet alleen nadelen voor organisaties. De gepubliceerde besluiten vormen ook een waardevolle kennisbron. De AVG bevat verschillende open normen, waardoor bedrijven soms moeilijk kunnen bepalen wat in een concrete situatie voldoende of toegestaan is.
Door sanctiebesluiten te bestuderen, wordt duidelijker hoe de AP kijkt naar toestemming, gegevensbeveiliging, bewaartermijnen, datalekken, profilering en de rechten van betrokkenen. Juristen en privacyprofessionals kunnen die informatie gebruiken om beleid en processen te verbeteren.
Organisaties doen er daarom verstandig aan privacy niet uitsluitend als een juridische verplichting te behandelen. Een actueel verwerkingsregister, goede beveiligingsmaatregelen, duidelijke afspraken met leveranciers en tijdige privacyanalyses worden steeds belangrijker.
Vanaf 1 september is een AVG-overtreding immers niet alleen een zaak tussen de AP en de overtreder. De buitenwereld kan voortaan nadrukkelijk meekijken.
