Een brief van de Autoriteit Persoonsgegevens op de mat. Je organisatie wordt onderzocht. Wat gebeurt er dan? Krijg je meteen een boete, mag je eerst uitleg geven of krijg je de kans om fouten te herstellen? Op 30 oktober 2026 publiceerde de Autoriteit Persoonsgegevens haar handhavingsbeleid.
Veel ondernemers denken bij de Autoriteit Persoonsgegevens (AP) vooral aan hoge boetes. Maar voordat het zover komt, kan er heel wat gebeuren. De AP houdt toezicht op de naleving van de AVG en kan ingrijpen als een organisatie niet zorgvuldig met persoonsgegevens omgaat. Met het nieuwe handhavingsbeleid wil de AP meer duidelijkheid geven over de manier waarop zij optreedt. Een goed moment om eens te kijken wat je als organisatie kunt verwachten.
Hoe komt jouw organisatie bij de AP in beeld?
Dat kan op verschillende manieren. Misschien dient een klant een klacht in omdat je niet reageert op een verzoek om persoonsgegevens te verwijderen. Of een medewerker meldt dat vertrouwelijke informatie onvoldoende wordt beveiligd. Ook een datalek of een onderzoek op initiatief van de AP zelf kan aanleiding zijn om een organisatie onder de loep te nemen. Dat betekent niet automatisch dat je iets verkeerd hebt gedaan. De AP zal eerst moeten vaststellen wat er precies aan de hand is.
Wat gebeurt er tijdens een onderzoek?
De AP beschikt over verschillende onderzoeksbevoegdheden. Afhankelijk van de situatie kan de toezichthouder bijvoorbeeld:
- Vragen stellen over de manier waarop je persoonsgegevens verwerkt.
- Documenten opvragen, zoals je verwerkingsregister, privacybeleid of verwerkersovereenkomsten.
- Onderzoeken hoe persoonsgegevens worden beveiligd.
- Informatie vragen over een datalek of een klacht.
- Een onderzoek ter plaatse uitvoeren.
Welke stappen worden gezet, hangt af van de aanleiding en de aard van het onderzoek. Het gaat er niet alleen om of je de juiste documenten hebt, maar vooral of je kunt aantonen dat je zorgvuldig met persoonsgegevens omgaat.
Krijg je meteen een boete als er iets mis is?
Nee, een overtreding leidt niet automatisch tot een boete. De AP heeft verschillende mogelijkheden om op te treden. Bijvoorbeeld een berisping, een opdracht om een overtreding te beëindigen, een last onder dwangsom of een verbod om bepaalde persoonsgegevens te verwerken. Bij ernstigere overtredingen kan de AP een bestuurlijke boete opleggen.
Welke maatregel passend is, hangt af van de omstandigheden. De toezichthouder kijkt onder meer naar:
- De ernst van de overtreding. Hoe groot is het privacyrisico en hoeveel mensen worden geraakt?
- De duur van de overtreding. Gaat het om een eenmalige fout of een probleem dat al langer bestaat?
- Wat je zelf hebt gedaan. Heb je maatregelen genomen om schade te beperken of de situatie te herstellen?
- Eerdere overtredingen. Is je organisatie al eerder aangesproken op vergelijkbare problemen?
- Je medewerking. Werk je mee aan het onderzoek en neem je de problemen serieus?
Dat betekent overigens niet dat een organisatie altijd eerst een waarschuwing krijgt. Bij ernstige overtredingen kan de AP direct een zwaardere maatregel inzetten.
Mag je zelf nog reageren?
Ja. Wanneer de AP van plan is een formele sanctie op te leggen, krijgt de organisatie doorgaans de gelegenheid om haar standpunt naar voren te brengen. Je kunt dan bijvoorbeeld uitleggen hoe de situatie is ontstaan, welke maatregelen je inmiddels hebt genomen en waarom je het eventueel niet eens bent met de bevindingen. De AP beoordeelt die informatie voordat zij een definitief besluit neemt. Ook staat de toezichthouder open voor overleg over het beëindigen van een overtreding. Dat kan helpen om problemen op te lossen, maar betekent niet automatisch dat een boete van tafel is. Tegen een definitief handhavingsbesluit bestaan bovendien juridische mogelijkheden om bezwaar te maken en eventueel naar de rechter te stappen.
Een boete kan nu ook je reputatie raken
Sinds 1 september 2026 is er nog iets veranderd. De AP is sindsdien wettelijk verplicht om opgelegde AVG-sancties openbaar te maken, tenzij wettelijke uitzonderingen zich daartegen verzetten. Dat betekent dat niet alleen de financiële gevolgen van een overtreding belangrijk zijn. Ook klanten, leden, leveranciers en andere betrokkenen kunnen kennisnemen van een sanctie. Voor organisaties die afhankelijk zijn van vertrouwen, kan dat behoorlijk vervelend zijn.
Hoe bereid je jouw organisatie voor?
Met deze vijf vragen kom je al een heel eind:
- Weet je welke persoonsgegevens je verwerkt? Heb je een actueel verwerkingsregister?
- Kun je uitleggen waarom je die gegevens verzamelt? En op welke wettelijke grondslag?
- Zijn de afspraken met leveranciers vastgelegd? Bijvoorbeeld in verwerkersovereenkomsten waar die verplicht zijn?
- Weet je wat je moet doen bij een datalek? En heb je een procedure om incidenten te beoordelen en te registreren?
- Kun je laten zien wat je hebt geregeld? Denk aan beleid, beveiligingsmaatregelen en afspraken over bewaartermijnen.
Je hoeft daarvoor geen dikke mappen vol ingewikkelde juridische documenten te hebben. Het gaat erom dat je privacyzaken aansluiten bij wat er in jouw organisatie werkelijk gebeurt.
De beste voorbereiding op een mogelijke controle is weten dat je je privacyzaken goed hebt geregeld én dat je dit kunt aantonen. De AVG-Verklaring die we elk kwartaal voor onze deelnemers maken helpt je daar bij.
Bron: Autoriteit Persoonsgegevens – Handhavingsbeleid AP gepubliceerd (30 oktober 2026)
Probeer AVG-support.nl 30 dagen gratis
Wil je eenvoudig voldoen aan de AVG regels? AVG-support.nl helpt je te doen wat nodig is.
- toets je organisatie en neem noodzakelijke maatregelen
- maak gebruik van alle juridische documenten
- behaal het AVG OK-vignet en laat zien dat je privacy serieus neemt
Ontdek zelf hoe het werkt. Maak een gratis proefaccount aan.
