AVG-handhaving
Boetes en besluiten, en wat u eruit leert
Boetes van de Autoriteit Persoonsgegevens en bindende besluiten van de EDPB laten zien welke fouten toezichthouders zwaar wegen. Per zaak: bedrag, overtreden artikelen, status en de les voor uw eigen verwerkingen. Alleen zaken die op de bron van de toezichthouder zijn nagelezen.
Peildatum van deze laag: 15 september 2026. Elk item is op zijn bron gecontroleerd; de datum per item staat erbij. Wat na de peildatum is gebeurd, staat hier nog niet.
- in beroepAutoriteit PersoonsgegevensAP-persbericht 21 augustus 2026€ 824.990.000
AP legt Uber boete op van 824,99 miljoen euro voor geautomatiseerd blokkeren van chauffeurs
De AP stelt vast dat Uber tussen 2018 en 2022 accounts van chauffeurs volledig automatisch deactiveerde bij vermoedens van fraude of te lage klantbeoordelingen: tijdelijk, of bij aanhoudend lage beoordelingen permanent, zonder menselijke beoordeling. Chauffeurs verloren daardoor hun inkomen via Uber. Volgens de AP overtrad Uber het AVG-verbod op volledig geautomatiseerde besluitvorming en informeerde het chauffeurs onvoldoende over die besluitvorming. Uber heeft de overtredingen inmiddels beeindigd. Het onderzoek volgde op een klacht van de Franse Ligue des droits de l'Homme namens 171 chauffeurs bij de Franse toezichthouder; de AP was via het eenloketmechanisme leidend. De boete is 824.990.000 euro, bij een wereldomzet van circa 44,5 miljard euro in 2025. Uber heeft aangekondigd bezwaar aan te tekenen. Het is de vierde AP-boete voor Uber, na 600.000 euro (2018), 10 miljoen euro (2023) en 290 miljoen euro (2024).
Wat dit betekent: Als u software besluiten laat nemen met grote gevolgen voor mensen, zoals het blokkeren van een account of het stopzetten van inkomen, moet een mens die beslissing echt beoordelen voordat zij effect krijgt. U moet betrokkenen ook duidelijk informeren dat en hoe automatische besluitvorming plaatsvindt. Dit is de hoogste boete die de AP tot nu toe heeft opgelegd, dus automatische besluitvorming over mensen staat hoog op de handhavingsagenda.
- status niet vastgesteldAutoriteit PersoonsgegevensAP-kenmerk 2025-005323 (besluit van 1 april 2026, gepubliceerd 8 mei 2026)€ 100.000.000
Boete van 100 miljoen euro voor MLU B.V. (Yango) wegens doorgifte naar Rusland
De AP legt MLU B.V. een boete op van 100 miljoen euro. MLU is de rechtsopvolger van het ontbonden Ridetech International B.V., het bedrijf achter de Europese Yango-app. Persoonsgegevens van chauffeurs en klanten in Noorwegen en Finland gingen naar Yandex.Taxi LLC en Yandex LLC in Rusland. Het ging onder meer om rijbewijsgegevens, contactgegevens en locatiegegevens. Ridetech heeft niet aangetoond dat er passende waarborgen waren. Volgens de AP overtreedt dat de artikelen 44 en 46 AVG, in samenhang met artikel 5 lid 1 onder a en lid 2 AVG. De overtreding begon op 23 mei 2022 en liep bij het besluit nog steeds. De AP legt ook een verwerkingsverbod op dat meteen geldt: de doorgifte naar Rusland moet stoppen. Het onderzoek deed de AP samen met de Noorse en Finse toezichthouders.
Wat dit betekent: Geeft u gegevens door aan een land zonder adequaatheidsbesluit? Dan moet u kunnen bewijzen dat u een geldig doorgifte-instrument gebruikt. U moet ook kunnen laten zien dat de gegevens in de praktijk even goed beschermd zijn. Pseudonimisering en versleuteling zijn daar geen vervanging voor als de ontvanger binnen het concern de sleutels of de toegang heeft. Een rechtsopvolger blijft aansprakelijk voor overtredingen van een ontbonden onderneming. De boete kan worden berekend op de wereldwijde omzet van het hele concern.
Art. 44Art. 46Art. 5Autoriteit Persoonsgegevens, besluit boete Yangogecontroleerd op 15 september 2026 - definitiefAutoriteit PersoonsgegevensAP-boetebesluiten 3 februari 2026, kenmerken 2026-002523 (Tilburg), 2026-002526 (Eindhoven), 2026-002528 (Huizen), 2026-002529 (Haarlemmermeer), 2026-002530 (Ede), 2026-002531 (Veenendaal), 2026-002532 (Zoetermeer), 2026-002533 (Delft), 2026-002534 (Hilversum), 2026-002535 (Gooise Meren); persbericht 5 februari 2026€ 250.000
Tien gemeenten beboet (totaal 250.000 euro) voor illegale dossiers over islamitische inwoners
Delft, Ede, Eindhoven, Gooise Meren, Haarlemmermeer, Hilversum, Huizen, Tilburg, Veenendaal en Zoetermeer lieten een extern onderzoeksbureau, deels op advies van de NCTV, via krachtenveldanalyses en quickscans informatie verzamelen over moskeeën en islamitische inwoners. Het ging onder meer om geloofsovertuiging, stroming en soms uitgebreide persoonlijke profielen, zonder dat betrokkenen dat wisten. Volgens de AP hadden de gemeenten deze rapporten zonder grondslag in bezit (artikel 5 lid 1 onder a met artikel 6 lid 1) en verwerkten zij bijzondere persoonsgegevens in strijd met artikel 9. De boete geldt voor het in bezit hebben van de rapporten, niet voor het onderzoek zelf. Elke gemeente krijgt 25.000 euro. Dat is lager dan de boetebeleidsregels voorschrijven, omdat de overtredingen kort duurden, grotendeels verjaard zijn en plaatsvonden onder druk van rijk en politiek. Daarnaast legt de AP een verwerkingsbeperking op (artikel 58 lid 2 onder f): de rapporten mogen tot vernietiging alleen worden gebruikt voor de rechten van betrokkenen en voor gerechtelijke procedures. De gemeenten erkennen de overtredingen en zijn bereid zich in de boete te schikken.
Wat dit betekent: Ook als de rijksoverheid of een coördinator aandringt op een aanpak, blijft u als opdrachtgever zelf verwerkingsverantwoordelijke en moet u vooraf een grondslag hebben. Gegevens over geloof of politieke voorkeur mag u vrijwel nooit verwerken. Een extern onderzoeksbureau inschakelen verandert daar niets aan: alleen al het bewaren van zo'n rapport kan een overtreding zijn. Verjaring van een deel van de feiten voorkomt een boete niet, en de AP kan het verdere gebruik van zulke rapporten beperken.
Art. 5Art. 6Art. 9Art. 58Autoriteit Persoonsgegevens, persbericht (5 februari 2026) en boetebesluiten (3 februari 2026)gecontroleerd op 15 september 2026 - definitiefAutoriteit PersoonsgegevensBoetebesluit AP, ons kenmerk 2024-024797 (besluit 15 december 2025, gepubliceerd 17 december 2025)€ 175.000
HAN University of Applied Sciences krijgt boete van 175.000 euro voor onvoldoende beveiliging
In 2021 kwam een hacker via SQL-injectie in een webformulier binnen op een webserver en een databaseserver van de HAN. Die server bevatte enkele honderdduizenden records, waaronder namen met wachtwoorden, bijzondere persoonsgegevens, 407 BSN's en 183 documentnummers van legitimatiebewijzen. De hacker eiste tevergeefs losgeld. De AP stelde vier tekortkomingen vast. Er waren onvoldoende maatregelen tegen SQL-injectie en logging en monitoring waren te beperkt. Een databaseaccount had onbeperkte rechten op 282 databases. Gegevens van uitgefaseerde applicaties werden onnodig bewaard. Wachtwoorden stonden in platte tekst of waren gehasht met MD5/SHA1. Dat is een overtreding van artikel 32 AVG. De basisboete van 310.000 euro is verlaagd naar 175.000 euro. Redenen: de HAN beperkte de gevolgen voor betrokkenen actief, er liep al een beveiligingsproject en de HAN licht andere organisaties voor. De AP schikt de zaak; de HAN tekent geen bezwaar aan.
Wat dit betekent: Een datalek is op zichzelf geen overtreding. Het ontbreken van een risicoanalyse en van passende maatregelen is dat wel. Een beveiligingsbeleid op papier is niet genoeg: least privilege en verwijderbeleid moeten ook echt worden uitgevoerd. Beperk accountrechten tot wat nodig is, log en monitor databaseverkeer, ruim gegevens van uitgefaseerde applicaties op en actualiseer de hashing van wachtwoorden. De boete valt aanzienlijk lager uit als je de schade voor betrokkenen actief beperkt, al investeert in beveiliging en lessen deelt met anderen.
- status niet vastgesteldAutoriteit PersoonsgegevensAP persbericht 18 oktober 2025; oorspronkelijk boetebesluit 2019 (gepubliceerd 3 maart 2020), besluit op bezwaar; HvJ EU C-621/22 (arrest 2024)€ 250.000
AP en KNLTB beëindigen rechtszaak: boete verlaagd van 525.000 naar maximaal 250.000 euro
De KNLTB deelde in juni en juli 2018 gegevens van leden met een loterijorganisatie en een tenniswinkel, die de leden daarna benaderden met reclame. De AP legde daarvoor in 2019 een boete op van 525.000 euro. Het Hof van Justitie oordeelde in 2024 dat de AP het begrip gerechtvaardigd belang te streng had uitgelegd: ook een commercieel belang kan gerechtvaardigd zijn, maar alleen onder strenge voorwaarden. Na overleg erkent de KNLTB dat de verstrekking niet zo had mogen plaatsvinden en start zij een voorlichtingscampagne over privacy, samen met de AP. De AP verlaagt de boete tot 250.000 euro, minus de kosten van de campagne en eventuele andere maatregelen. Het definitieve boetebesluit volgt uiterlijk in juni 2026.
Wat dit betekent: Een commercieel belang kan een grondslag zijn, maar alleen als de verwerking echt noodzakelijk is, de inbreuk beperkt blijft en betrokkenen het redelijkerwijs kunnen verwachten en goed geïnformeerd zijn. Ledengegevens tegen betaling aan sponsoren verstrekken zonder die toets blijft een overtreding. Erkenning, meewerken en herstelmaatregelen kunnen leiden tot een fors lagere boete.
- definitiefAutoriteit PersoonsgegevensAP, beslissing op bezwaar Experian Nederland B.V. van 16 oktober 2025 (herroept boetebesluit van 6 december 2023; kenmerk vertrouwelijk)€ 2.700.000
Experian Nederland krijgt boete van 2,7 miljoen euro voor kredietscores zonder grondslag en zonder informatie
Experian leverde tot 1 januari 2025 kredietwaardigheidsrapporten met kredietscores over mensen aan klanten zoals telecombedrijven, webwinkels en verhuurders. Daarvoor gebruikte het gegevens uit openbare en niet openbare bronnen, zoals het Handelsregister en telecom- en energiebedrijven. De AP oordeelde dat Experian persoonsgegevens verwerkte zonder rechtsgeldige grondslag (artikel 5 lid 1 onder a met artikel 6 lid 1) en mensen onvoldoende informeerde (artikel 12 lid 1 met artikel 14 lid 1 en 2). In bezwaar verklaarde de AP het bezwaar gegrond, herriep het primaire besluit van 6 december 2023 en stelde de boete vast op 2,7 miljoen euro. Experian erkent de overtreding, gaat niet in beroep, is gestopt in Nederland en verwijdert de database.
Wat dit betekent: Wie gegevens over mensen verzamelt uit bronnen die niet van de betrokkene zelf komen, moet die mensen actief informeren (artikel 14) en moet kunnen uitleggen waarom het verzamelen van elke gegevenssoort nodig is. Een beroep op gerechtvaardigd belang houdt geen stand als de gevolgen voor mensen groot zijn en de afweging niet zorgvuldig is gemaakt, zeker als mensen de gebruikte gegevens niet op tijd kunnen controleren.
Art. 5Art. 6Art. 12Art. 14Autoriteit Persoonsgegevens, persbericht 17 oktober 2025 en beslissing op bezwaar 16 oktober 2025gecontroleerd op 15 september 2026 - status niet vastgesteldAutoriteit PersoonsgegevensBeslissing op bezwaar AS Watson Health & Beauty Continental Europe B.V., 27 mei 2025 (kenmerk vertrouwelijk), herroept boetebesluit van 3 mei 2024; gepubliceerd 12 juni 2025€ 50.000
AP verlaagt Kruidvat-boete in bezwaar naar 50.000 euro
AS Watson, het bedrijf achter Kruidvat, maakte bezwaar tegen de boete van 600.000 euro uit 2024 voor het plaatsen van tracking cookies op kruidvat.nl zonder toestemming. De AP verklaart het bezwaar gegrond voor zover het de hoogte van de boete betreft. De AP herroept het oude besluit, blijft erbij dat artikel 6 lid 1 in samenhang met artikel 5 lid 1 onder a AVG is overtreden en stelt de boete vast op 50.000 euro. De AP matigt de boete vanwege de onnodig lange duur van de procedure bij de AP, de volledige erkenning van de overtreding door AS Watson, de geringe ernst van de overtreding en een vergelijkbare boete in een andere cookiezaak. Tegen het besluit stond beroep bij de rechtbank open binnen zes weken.
Wat dit betekent: De norm verandert niet: tracking cookies waarmee persoonsgegevens worden verwerkt, vragen geldige toestemming. Anders ontbreekt een rechtmatige grondslag. Het besluit laat wel zien dat een bezwaarprocedure kan leiden tot een flink lagere boete. Dat geldt als de organisatie de overtreding volledig erkent, de procedure bij de AP onnodig lang heeft geduurd en de overtreding niet ernstig is. De AP kijkt daarbij ook naar boetes in vergelijkbare cookiezaken.
Art. 6Art. 5Art. 83Autoriteit Persoonsgegevens, besluit op bezwaar AS Watson - Kruidvatgecontroleerd op 15 september 2026 - in beroepAutoriteit PersoonsgegevensBesluit tot het opleggen van een bestuurlijke boete aan Netflix International B.V., 26 november 2024 (kenmerk vertrouwelijk), gepubliceerd 18 december 2024€ 4.750.000
Netflix krijgt boete van 4,75 miljoen euro voor niet goed informeren van klanten
Netflix informeerde klanten in de privacyverklaring van 25 mei 2018 tot en met 30 juli 2020 onvoldoende en deels onoverzichtelijk over doelen en grondslagen, ontvangers, bewaartermijnen en waarborgen bij doorgifte buiten Europa. Op inzageverzoeken tussen 25 oktober 2018 en 19 november 2019 gaf Netflix te weinig specifieke informatie. De AP ziet overtredingen van artikel 5 lid 1 onder a in samenhang met artikel 12 lid 1, artikel 13 lid 1 onder c, e en f en lid 2 onder a, en artikel 15 lid 1 onder a, c en d en lid 2. Het onderzoek begon in 2019 na klachten van noyb bij de Oostenrijkse toezichthouder; de AP was leidend omdat het Europese hoofdkantoor in Nederland zit en stemde boete en onderzoek af met andere Europese toezichthouders. Netflix heeft zijn privacyverklaring inmiddels aangepast en bezwaar gemaakt tegen de boete.
Wat dit betekent: Een privacyverklaring moet per verwerkingsdoel de grondslag noemen, concreet zeggen met wie u gegevens deelt en waarom, hoe lang u bewaart en welke waarborgen bij doorgifte buiten Europa gelden, in duidelijke en overzichtelijke taal. Bij een inzageverzoek moet u even specifiek antwoorden, ook over ontvangers, bewaartermijnen en doorgifte. Grote ondernemingen met veel klanten worden strenger beoordeeld.
Art. 5Art. 12Art. 13Art. 15Autoriteit Persoonsgegevens, persbericht en boetebesluitgecontroleerd op 15 september 2026 - definitiefAutoriteit PersoonsgegevensAP kenmerk z2024-010120, Formele waarschuwing CABR (brief 26 november 2024, gepubliceerd 6 december 2024)
Formele waarschuwing aan minister van OCW om oorlogsarchief CABR niet online doorzoekbaar te maken
Het Nationaal Archief wilde het Centraal Archief Bijzondere Rechtspleging (CABR), het grootste oorlogsarchief van Nederland met ongeveer 485.000 dossiers, vanaf 2 januari 2025 stapsgewijs voor iedereen online zetten en full-text doorzoekbaar maken. De AP gaf de minister van OCW als verwerkingsverantwoordelijke een formele waarschuwing. Volgens de AP gaat deze manier van openbaarmaking verder dan artikel 14 Archiefwet noodzakelijk maakt, en is die daarom waarschijnlijk in strijd met artikel 6(1)(e) AVG. De dossiers bevatten bijzondere en strafrechtelijke gegevens, ook over nog levende derden. Daarvoor bestaat geen wettelijke uitzondering, en artikel 2a Archiefwet verbiedt het beschikbaar stellen van zulke gegevens. Daarom is de publicatie volgens de AP ook in strijd met de artikelen 9 en 10 AVG. Verder ontbraken een FG-advies en een voorafgaande raadpleging. Tegen de waarschuwing staat geen bezwaar open.
Wat dit betekent: Een wettelijke openbaarheidstaak betekent niet dat u gegevens over levende personen zonder beperkingen online mag zetten en doorzoekbaar mag maken. De grondslag van artikel 6(1)(e) dekt alleen wat noodzakelijk is. Kan het doel ook op een minder ingrijpende manier worden bereikt, bijvoorbeeld via inzage in de studiezaal, dan valt de verdergaande publicatie buiten die grondslag. Kijk niet alleen of de hoofdpersoon van een dossier is overleden: ook levende derden in het dossier zijn beschermd. Een geboortedatum is niet nodig om iemand herleidbaar te maken. Vraag bij een DPIA advies aan de FG en raadpleeg de AP vooraf als hoge risico's blijven bestaan. De formele waarschuwing is een instrument dat de AP inzet voordat een overtreding plaatsvindt.
- in beroepAutoriteit PersoonsgegevensAP-besluit tot oplegging bestuurlijke boete aan Uber Technologies Inc. en Uber B.V., 22 juli 2024 (kenmerk vertrouwelijk), gepubliceerd 26 augustus 2024€ 290.000.000
Boete van 290 miljoen euro voor Uber om doorgifte van chauffeursgegevens naar de VS
Uber gaf van 6 augustus 2021 tot 27 november 2023 gegevens van Europese chauffeurs door aan het hoofdkantoor in de VS zonder doorgifte-instrument. Het ging onder meer om accountgegevens, taxilicenties, locatiegegevens, foto's, betaalgegevens, identiteitsbewijzen en soms strafrechtelijke en medische gegevens. Uber stopte in augustus 2021 met modelcontracten. Volgens de AP is dat een overtreding van artikel 44 AVG. De boete van 290 miljoen euro is gebaseerd op een wereldomzet van circa 34,5 miljard euro in 2023. Uber is sinds 27 november 2023 gecertificeerd onder het EU-VS Data Privacy Framework. Uber kondigde bezwaar aan; volgens het AP-persbericht van 21 augustus 2026 verweert Uber zich nog en loopt de procedure nog.
Wat dit betekent: Elke doorgifte buiten de EER heeft een instrument nodig: adequaatheidsbesluit, modelcontracten met aanvullende maatregelen of een ander mechanisme uit hoofdstuk V. Stoppen met modelcontracten zonder vervanging is op zichzelf een overtreding, ook als de gegevens later onder het Data Privacy Framework vallen. De boete wordt berekend op de wereldomzet van de hele onderneming.
- definitiefAutoriteit PersoonsgegevensBesluit tot opleggen boetes en lasten onder dwangsom Clearview AI Inc., AP, 16 mei 2024 (kenmerk niet gepubliceerd; bekendgemaakt 3 september 2024)€ 30.500.000
Clearview AI: boete van 30,5 miljoen euro en dwangsommen voor illegale gezichtendatabase
Clearview schraapt ruim 30 miljard gezichtsfoto's van internet, ook van Nederlanders, en zet die om in biometrische codes voor inlichtingen- en opsporingsdiensten. De AP legt twee boetes op. De eerste, 20 miljoen euro, is voor verwerking zonder grondslag (artikel 5 lid 1 onder a met artikel 6 lid 1), het verwerken van biometrische gegevens (artikel 9 lid 1) en onvoldoende informeren van betrokkenen (artikel 12 lid 1 met artikel 14). De tweede, 10,5 miljoen euro, is voor het negeren van inzageverzoeken en het niet faciliteren van het inzagerecht (artikel 12 lid 2 en 3 met artikel 15). Vier lasten onder dwangsom, waaronder een voor het ontbreken van een EU-vertegenwoordiger (artikel 27), lopen op tot maximaal 5,1 miljoen euro. Clearview heeft geen bezwaar gemaakt, dus het besluit staat vast. De AP waarschuwt dat ook het gebruik van Clearview-diensten verboden is.
Wat dit betekent: Biometrische gegevens uit openbare bronnen halen is verboden, ook als de foto's publiek zijn; het internet is geen vrije bron. Nederlandse organisaties die Clearview gebruiken, kunnen volgens de AP fikse boetes verwachten. Een bedrijf buiten de EU dat gegevens van mensen in de EU verwerkt, valt onder de AVG en moet een vertegenwoordiger aanwijzen. De AP onderzoekt of bestuurders persoonlijk aansprakelijk kunnen worden gesteld.
- definitiefAutoriteit PersoonsgegevensBesluit boete ICS (18 december 2023, gepubliceerd 15 januari 2024)€ 150.000
Boete van 150.000 euro voor ICS wegens ontbrekende DPIA bij digitale identificatie
International Card Services begon in 2019 met digitale identificatie van circa 1,5 miljoen klanten, met selfies die werden vergeleken met kopieën van identiteitsbewijzen, zonder vooraf een gegevensbeschermingseffectbeoordeling uit te voeren. Dat is een overtreding van artikel 35 lid 1 AVG. ICS heeft geen bezwaar gemaakt; de boete is volgens de AP definitief.
Wat dit betekent: Grootschalige verwerking van gevoelige gegevens zoals identiteitsbewijzen en gezichtsfoto's vereist een DPIA vóórdat u begint, ook als de identificatie zelf wettelijk verplicht is. Het ontbreken van de DPIA is op zichzelf beboetbaar, los van de vraag of er iets misging. Leg de DPIA en de conclusie vast voordat de verwerking start.
- in beroepAutoriteit PersoonsgegevensBoetebesluit 11 december 2023 (gepubliceerd 31 januari 2024); besluit op bezwaar 3 maart 2026 (gepubliceerd 8 mei 2026); kenmerken in gepubliceerde versie zwartgelakt€ 10.000.000
Boete van 10 miljoen euro voor Uber om onduidelijkheid over bewaartermijnen en doorgifte, bezwaar ongegrond
De AP legde Uber Technologies Inc. en Uber B.V. twee boetes op van samen 10 miljoen euro. Aanleiding waren klachten van meer dan 170 Franse chauffeurs via de Ligue des droits de l'homme. Uber gaf in de privacyverklaring onvoldoende informatie over bewaartermijnen, over de landen buiten de EER waarnaar gegevens gingen en over het recht op gegevensoverdraagbaarheid. Ook maakte Uber het inzagerecht onnodig moeilijk. Het digitale inzageformulier zat diep verstopt in de chauffeursapp. De gegevens kwamen in een CSV-bestand zonder uitleg over de structuur, en de toelichting daarbij (guidance notes) was alleen in het Engels beschikbaar. De AP zag overtredingen van artikel 12 lid 1 en 2 en van artikel 13 lid 1 onder f en lid 2 onder a en b AVG. Op 3 maart 2026 verklaarde de AP het bezwaar van Uber ongegrond en bleef de boete staan. Volgens de AP gaat Uber in beroep bij de rechter.
Wat dit betekent: Uw privacyverklaring moet concreet noemen hoe lang u gegevens bewaart, naar welke landen buiten de EER u doorgeeft en welke beschermingsmaatregelen daarbij gelden. Het inzageformulier moet makkelijk te vinden zijn. Gegevens die u bij inzage verstrekt, moeten gestructureerd en begrijpelijk zijn, in eenvoudige taal die past bij de doelgroep. Een toelichting die alleen in het Engels is, volstaat niet als veel betrokkenen die taal slecht beheersen.
Art. 12Art. 13Autoriteit Persoonsgegevens, besluit op bezwaar boete Ubergecontroleerd op 15 september 2026 - status niet vastgesteldAutoriteit PersoonsgegevensAP-besluit 9 juli 2021 (kenmerk vertrouwelijk, gepubliceerd 8 juli 2025); beslissing op bezwaar 11 augustus 2022; Rb. Noord-Nederland 9 januari 2025, LEE 22/3460, ECLI:NL:RBNNE:2025:83€ 500
Boete van 500 euro en last onder dwangsom voor Stichting Oud Lemmer om webcam-livestream
De stichting, die het dorp Lemmer promoot, zond via twee vaste camera's (geplaatst in 2014 en 2016) livestreambeelden van het vaarwater en de haven in de dorpskern uit op haar website. Personen en woningen kwamen herkenbaar in beeld. Na klachten stelde de AP vast dat de stichting in ieder geval vanaf 21 februari 2019 persoonsgegevens verwerkte zonder grondslag: gerechtvaardigd belang (artikel 6 lid 1 onder f) ging niet op. De AP zag daarin een schending van artikel 5 lid 1 onder a met artikel 6 lid 1 en legde op 9 juli 2021 een boete van 500 euro op, plus een last onder dwangsom van 500 euro per week tot maximaal 2.000 euro. Het bezwaar werd op 11 augustus 2022 ongegrond verklaard. Op 6 september 2022 stopte de stichting met de livestream, waarna de AP de dwangsom niet invorderde. De rechtbank Noord-Nederland oordeelde op 9 januari 2025 dat de verwerking onrechtmatig was, maar verlaagde de boete tot 375 euro omdat de redelijke termijn was overschreden.
Wat dit betekent: Ook een kleine stichting of vereniging is verwerkingsverantwoordelijke als zij camerabeelden van de openbare ruimte online zet. Een dorp promoten weegt niet op tegen herkenbaar in beeld gebrachte bewoners en woningen. Beperk wat in beeld komt, maak mensen onherkenbaar of stop met streamen. De boete kan laag zijn, maar de last onder dwangsom dwingt tot echte aanpassing.
Art. 5Art. 6Autoriteit Persoonsgegevens, besluit boete; Rechtbank Noord-Nederland ECLI:NL:RBNNE:2025:83gecontroleerd op 15 september 2026 - definitiefAutoriteit PersoonsgegevensBesluit boete APG, kenmerk z2019-28837 (30 juli 2020, gepubliceerd 5 juni 2024); ECLI:NL:RBAMS:2024:1214; ECLI:NL:RVS:2024:2221€ 6.000
Boete van 6.000 euro voor Ambitious People Group om genegeerde verwijderverzoeken
Recruitmentbedrijf APG verwijderde de gegevens van drie personen niet nadat zij daarom vroegen, en bleef hen daarna benaderen met vacatures. Dat is een overtreding van artikel 17 lid 1 in samenhang met artikel 12 lid 3 AVG. De AP vond de basisboete van 310.000 euro onevenredig hoog en legde 6.000 euro op. Het ging om menselijke fouten, APG had beleid voor zulke verzoeken en had sinds mei 2018 meer dan 650 andere uitschrijfverzoeken verwerkt. De rechtbank Amsterdam (15 januari 2024) en de Raad van State (29 mei 2024) hielden de boete en de openbaarmaking in stand. Daarna publiceerde de AP het besluit.
Wat dit betekent: Een verwijderverzoek telt ook als iemand het stuurt aan de recruiter of medewerker die contact met hem had, en niet aan het privacyadres uit de privacyverklaring. Het verzoek moet binnen een maand zijn afgehandeld. Goed beleid op papier beschermt niet als medewerkers het in de praktijk niet volgen; menselijke fouten komen voor rekening van de verwerkingsverantwoordelijke. De AP mag ook kleine boetes met naam openbaar maken; het algemeen belang weegt zwaarder dan de gestelde reputatieschade.