AVG-ontwikkelingen
Wat er in de AVG beweegt
De tekst van de AVG is sinds 2018 niet veranderd, maar wat zij betekent wel: door voorstellen van de Commissie, richtsnoeren van de EDPB en de AP, uitspraken van het Hof van Justitie en boetes. Deze pagina bundelt dat per soort, met datum, status en bron.
Peildatum van deze laag: 15 september 2026. Elk item is op zijn bron gecontroleerd; de datum per item staat erbij. Wat na de peildatum is gebeurd, staat hier nog niet.
Wetgeving in beweging
Alles in deze rubriek (19)- in onderhandelingRaad van de Europese Unie, Iers voorzitterschapCM 3890/26 (voorlopige agenda Antici-groep vereenvoudiging, 11 september 2026); ST 12535/26 en WK 13065/26 (herziene compromistekst en toelichting, aangekondigd); ST 12955/26 (AOB-nota stand van zaken omnibuspakketten voor Raad Algemene Zaken 22 september 2026); 2025/0360(COD)
Raad: Iers voorzitterschap zet onderhandelingen voort met herzien compromis, Antici-groep 11 september 2026
Wat dit betekent: De Raad onderhandelt nog. Verwacht in het najaar van 2026 nieuwe compromisteksten en mogelijk een mandaat, maar dat is niet zeker. Volg de Raadsagenda's van de Antici-groep en Coreper voor het moment waarop een mandaat wordt bevestigd.
Art. 4Art. 6Art. 9Art. 88Raad van de EU, register (CM 3890/26 en ST 12955/26)gecontroleerd op 15 september 2026 - van krachtWetgever (Tweede Kamer) en Autoriteit PersoonsgegevensWijziging Uitvoeringswet AVG via amendement Tweede Kamer (AP-bericht 27 augustus 2026)
Wijziging UAVG: AP verplicht om AVG-sancties openbaar te maken vanaf 1 september 2026
Wat dit betekent: Reken erop dat elke AVG-sanctie van de AP openbaar wordt, ook een last onder dwangsom of verwerkingsverbod, en niet alleen boetes. Reageer op het voornemen tot publicatie, en houd er rekening mee dat publicatie kan volgen vanaf tien werkdagen na ontvangst van het definitieve publicatiebesluit; wie publicatie wil tegenhouden moet binnen die termijn bezwaar maken en zo nodig de rechter vragen. Bereid communicatie en juridische reactie dus vooraf voor. Openbaarheid maakt ook duidelijker welke normen de AP hanteert, dus gebruik gepubliceerde besluiten als checklist.
Art. 58Art. 83Autoriteit Persoonsgegevens, nieuwsbericht 27 augustus 2026gecontroleerd op 15 september 2026 - in onderhandelingEuropees Parlement, commissies ITRE en LIBE (gezamenlijke commissie)Procedure 2025/0360(COD); COM(2025)0837; ontwerpverslag PE786.818; amendementen PE786.820, PE790.967, PE790.968, PE791.071, PE791.072, PE791.073, PE791.873, PE791.874, PE791.883
Europees Parlement: gezamenlijk ontwerpverslag ITRE-LIBE, amendementen ingediend, nog geen commissiestemming
Wat dit betekent: Het Parlement heeft nog geen standpunt en de trilogen met Raad en Commissie zijn nog niet begonnen. De voorgestelde AVG-wijzigingen, zoals die op de definitie van persoonsgegevens en artikel 22, zijn dus nog geen recht en kunnen nog flink veranderen. Blijf voorlopig werken volgens de huidige AVG. Omdat de commissiestemming, het plenaire standpunt en de trilogen nog moeten plaatsvinden, is een eindtekst op korte termijn niet te verwachten.
- in onderhandelingRaad van de Europese Unie, Antici-groep (vereenvoudiging) en CoreperST 10729/26 (nota aan Coreper, 22 juni 2026); ST 10677/26 (compromis 18 juni 2026); procedure 2025/0360(COD)
Raad: Cypriotisch voorzitterschap legt onderhandelingsmandaat voor, Coreper-stemming van 26 juni 2026 geannuleerd
Wat dit betekent: De Raad heeft nog geen standpunt, en de lidstaten verschillen vooral over pseudonimisering, AI-training en cookies. De Raadscompromissen laten zien dat de eindtekst waarschijnlijk anders wordt dan het Commissievoorstel; bouw uw compliance dus niet op de voorsteltekst.
- definitiefEuropees Comité van de Regio'sCOR-2025-04240 (CELEX 52025AR4240)
Comité van de Regio's neemt advies over de Digital Omnibus aan
Wat dit betekent: Geen direct gevolg voor u. Het advies is niet bindend en is een procedurele stap in de wetgevingsprocedure, die op 15 september 2026 nog loopt.
EUR-Lex, procedurepagina 2025/0360(COD)gecontroleerd op 15 september 2026
Rechtspraak
Alles in deze rubriek (27)- definitiefRaad van State, Afdeling bestuursrechtspraakECLI:NL:RVS:2026:4403, zaaknummer 202401622/1/A3€ 600.000
Raad van State: boete van 600.000 euro voor wifi-tracking Enschede blijft van tafel
Wat dit betekent: De AP moet bij het boetebesluit zelf volledig bewijzen dat sprake is van persoonsgegevens en van een overtreding; bewijs of een nieuwe redenering die pas bij de rechter komt, telt niet. Dat is geen vrijbrief voor wifi-tracking: de rechter heeft niet gezegd dat MAC-adressen geen persoonsgegevens zijn en heeft het standpunt over directe identificatie via unieke tellingen inhoudelijk niet beoordeeld. Wie sensoren inzet, moet nog steeds noodzaak, grondslag en anonimisering onderbouwen.
- definitiefHof van Justitie van de EU (Vijfde kamer), ND tegen Legal Newsdesk Sweden AB (voorheen Garrapatica AB)C-199/24, ECLI:EU:C:2026:564
Legal Newsdesk Sweden: betaald online zetten van strafvonnissen is in beginsel geen journalistiek, nationale uitzonderingen mogen de AVG niet uitschakelen
Wat dit betekent: Aanbieders van data over personen, zoals screening, achtergrondchecks, registers of rechtspraakdatabases, kunnen zich niet zomaar op de persuitzondering beroepen; zonder echte redactionele werkwijze gelden alle AVG-regels, inclusief het recht op wissing en schadevergoeding. Controleer of uw bewaartermijnen en verwijderbeleid voor strafrechtelijke gegevens (artikel 10) houdbaar zijn. Ook in Nederland moet de toepassing van de journalistieke uitzondering in de UAVG tegen deze maatstaf worden gehouden.
- definitiefHof van Justitie van de EU (Vierde kamer), Brillen Rottler GmbH & Co. KG tegen TCC-526/24, ECLI:EU:C:2026:216
Brillen Rottler: een eerste inzageverzoek kan misbruik zijn als het alleen dient om schadevergoeding te claimen
Wat dit betekent: U mag een inzageverzoek niet lichtvaardig weigeren, maar u heeft nu een concreet verweer tegen claimjagers, mits u het misbruik zelf onderbouwt met feiten. Leg in uw inzageprocedure vast hoe u aanwijzingen van misbruik beoordeelt en documenteert, en behandel gewone verzoeken gewoon binnen een maand. Blijf zorgvuldig: een onterechte weigering blijft een overtreding die tot schadevergoeding kan leiden.
- status niet vastgesteldRechtbank Den Haag, voorzieningenrechterECLI:NL:RBDHA:2026:4248; C/09/697042 / KG ZA 26/2
Kort geding Reddit tegen AP over last onder dwangsom en verschoningsrecht afgewezen
Wat dit betekent: De AP kan bij onderzoek toegang tot uw interne systemen vorderen en weigering afdwingen met een last onder dwangsom. Wie het oneens is met zo'n last en met de manier waarop de AP omgaat met geprivilegieerde stukken, moet in beginsel bezwaar en beroep bij de bestuursrechter instellen; een civiel kort geding biedt dan geen uitweg. Leg voordat een onderzoek start vast welke documenten onder het verschoningsrecht vallen en hoe u die markeert.
- definitiefHof van Justitie van de EU (Grote kamer), WhatsApp Ireland Ltd tegen Europees Comité voor gegevensbescherming (EDPB)C-97/23 P, ECLI:EU:C:2026:81
WhatsApp tegen EDPB: bindend geschillenbesluit van de EDPB is rechtstreeks aanvechtbaar bij de EU-rechter
Wat dit betekent: Voor organisaties die onder het één-loketmechanisme vallen komt er een extra route: naast beroep tegen het nationale eindbesluit kunt u het bindende EDPB-besluit zelf bij het Gerecht aanvechten. Houd de termijn van twee maanden na kennisgeving of publicatie van zo'n besluit in de gaten. Dit maakt de rol van de EDPB in grensoverschrijdende handhaving juridisch toetsbaar en kan de uitkomst van lopende boetezaken beïnvloeden.
Richtsnoeren
Alles in deze rubriek (26)- in consultatieEuropean Data Protection Board (EDPB)Guidelines 02/2026, versie 1.0
Richtsnoeren 02/2026 over anonimisering
Wat dit betekent: Wilt u trainingsdata, statistiek of AI-uitvoer als anoniem behandelen, dan moet u aantonen dat de drie criteria zijn gehaald. Dat kan vereenvoudigd, of contextueel per ontvangende partij. Dezelfde dataset kan voor de ene partij anoniem zijn en voor een andere partij persoonsgegevens. Een eerdere beoordeling volgens Opinie 05/2014 hoeft u niet over te doen, maar periodiek herbeoordelen is goede praktijk. Tot de definitieve versie is dit een concept; reageren kan tot 30 oktober 2026.
- in consultatieEuropean Data Protection Board (EDPB)Guidelines 03/2026, versie 1.0
Richtsnoeren 03/2026 over webscraping in het kader van generatieve AI
Wat dit betekent: Verzamelt u zelf webdata voor AI op basis van gerechtvaardigd belang, dan moet u de belangenafweging kunnen aantonen en helpt het om bronnen en soorten gegevens die u niet nodig hebt uit te sluiten, websites die scraping weigeren over te slaan en mensen vooraf een manier te geven om bezwaar te maken. Gebruikt u een al gescrapete dataset, dan beoordeelt u als verwerkingsverantwoordelijke zelf of die rechtmatig bruikbaar is en moet u aan de verantwoordingsplicht voldoen. Bijzondere gegevens moet u actief proberen te weren. Het is nog een concept; de definitieve tekst kan afwijken.
- definitiefEuropean Data Protection Board (EDPB)Guidelines 02/2025, versie 2.0
Richtsnoeren 02/2025 over verwerking van persoonsgegevens via blockchaintechnologie
Wat dit betekent: Gebruikt u blockchain met persoonsgegevens, beoordeel dan vooraf of een DPIA verplicht is (bij waarschijnlijk hoog risico) en onderbouw daarin waarom blockchain nodig en evenredig is. Ontwerp de architectuur zo dat wissing, rectificatie en bezwaar effectief kunnen worden uitgevoerd. Stel feitelijk vast wie in het netwerk verantwoordelijke of verwerker is en zet persoonsgegevens zoveel mogelijk buiten de keten.
- in consultatieAutoriteit Persoonsgegevens (AP)Conceptlijst DPIA-uitzonderingen, consultatie AP (artikel 35 lid 5 AVG)
Consultatie conceptlijst van verwerkingen waarvoor geen DPIA verplicht is (AP)
Wat dit betekent: Tot de definitieve publicatie verandert er niets: u beoordeelt nog steeds zelf of een DPIA nodig is. Het concept geldt voor beroepsbeoefenaars, zelfstandigen zonder dienstverband en werkgevers met maximaal 250 werknemers in Europees Nederland, voor onder meer personeelsadministratie, klantgegevens, websitebezoek en solistisch werkende zorgverleners, telkens onder voorwaarden. Na vaststelling kunt u voor die verwerkingen de DPIA achterwege laten, maar alle andere AVG-plichten en DPIA-plichten uit andere wetgeving blijven gelden. Volg de Staatscourant en de AP-website voor de definitieve lijst.
Art. 35Autoriteit Persoonsgegevens, nieuwsbericht en consultatiedocumentgecontroleerd op 15 september 2026 - aangenomenEuropean Data Protection Board (EDPB)EDPB Template for personal data breach notification v1.0
EDPB sjabloon voor de melding van een datalek
Wat dit betekent: U kunt uw interne datalekregister alvast inrichten op de velden van het sjabloon, zodat een melding bij de AP straks sneller gaat. Tot de invoering blijft het huidige meldformulier van de AP gelden. Houd de EDPB en de AP in de gaten voor het invoeringsbesluit.
Handhaving
Alles in deze rubriek (17)- in beroepAutoriteit PersoonsgegevensAP-persbericht 21 augustus 2026€ 824.990.000
AP legt Uber boete op van 824,99 miljoen euro voor geautomatiseerd blokkeren van chauffeurs
Wat dit betekent: Als u software besluiten laat nemen met grote gevolgen voor mensen, zoals het blokkeren van een account of het stopzetten van inkomen, moet een mens die beslissing echt beoordelen voordat zij effect krijgt. U moet betrokkenen ook duidelijk informeren dat en hoe automatische besluitvorming plaatsvindt. Dit is de hoogste boete die de AP tot nu toe heeft opgelegd, dus automatische besluitvorming over mensen staat hoog op de handhavingsagenda.
- status niet vastgesteldAutoriteit PersoonsgegevensAP-kenmerk 2025-005323 (besluit van 1 april 2026, gepubliceerd 8 mei 2026)€ 100.000.000
Boete van 100 miljoen euro voor MLU B.V. (Yango) wegens doorgifte naar Rusland
Wat dit betekent: Geeft u gegevens door aan een land zonder adequaatheidsbesluit? Dan moet u kunnen bewijzen dat u een geldig doorgifte-instrument gebruikt. U moet ook kunnen laten zien dat de gegevens in de praktijk even goed beschermd zijn. Pseudonimisering en versleuteling zijn daar geen vervanging voor als de ontvanger binnen het concern de sleutels of de toegang heeft. Een rechtsopvolger blijft aansprakelijk voor overtredingen van een ontbonden onderneming. De boete kan worden berekend op de wereldwijde omzet van het hele concern.
Art. 44Art. 46Art. 5Autoriteit Persoonsgegevens, besluit boete Yangogecontroleerd op 15 september 2026 - definitiefAutoriteit PersoonsgegevensAP-boetebesluiten 3 februari 2026, kenmerken 2026-002523 (Tilburg), 2026-002526 (Eindhoven), 2026-002528 (Huizen), 2026-002529 (Haarlemmermeer), 2026-002530 (Ede), 2026-002531 (Veenendaal), 2026-002532 (Zoetermeer), 2026-002533 (Delft), 2026-002534 (Hilversum), 2026-002535 (Gooise Meren); persbericht 5 februari 2026€ 250.000
Tien gemeenten beboet (totaal 250.000 euro) voor illegale dossiers over islamitische inwoners
Wat dit betekent: Ook als de rijksoverheid of een coördinator aandringt op een aanpak, blijft u als opdrachtgever zelf verwerkingsverantwoordelijke en moet u vooraf een grondslag hebben. Gegevens over geloof of politieke voorkeur mag u vrijwel nooit verwerken. Een extern onderzoeksbureau inschakelen verandert daar niets aan: alleen al het bewaren van zo'n rapport kan een overtreding zijn. Verjaring van een deel van de feiten voorkomt een boete niet, en de AP kan het verdere gebruik van zulke rapporten beperken.
Art. 5Art. 6Art. 9Art. 58Autoriteit Persoonsgegevens, persbericht (5 februari 2026) en boetebesluiten (3 februari 2026)gecontroleerd op 15 september 2026 - definitiefAutoriteit PersoonsgegevensBoetebesluit AP, ons kenmerk 2024-024797 (besluit 15 december 2025, gepubliceerd 17 december 2025)€ 175.000
HAN University of Applied Sciences krijgt boete van 175.000 euro voor onvoldoende beveiliging
Wat dit betekent: Een datalek is op zichzelf geen overtreding. Het ontbreken van een risicoanalyse en van passende maatregelen is dat wel. Een beveiligingsbeleid op papier is niet genoeg: least privilege en verwijderbeleid moeten ook echt worden uitgevoerd. Beperk accountrechten tot wat nodig is, log en monitor databaseverkeer, ruim gegevens van uitgefaseerde applicaties op en actualiseer de hashing van wachtwoorden. De boete valt aanzienlijk lager uit als je de schade voor betrokkenen actief beperkt, al investeert in beveiliging en lessen deelt met anderen.
- status niet vastgesteldAutoriteit PersoonsgegevensAP persbericht 18 oktober 2025; oorspronkelijk boetebesluit 2019 (gepubliceerd 3 maart 2020), besluit op bezwaar; HvJ EU C-621/22 (arrest 2024)€ 250.000
AP en KNLTB beëindigen rechtszaak: boete verlaagd van 525.000 naar maximaal 250.000 euro
Wat dit betekent: Een commercieel belang kan een grondslag zijn, maar alleen als de verwerking echt noodzakelijk is, de inbreuk beperkt blijft en betrokkenen het redelijkerwijs kunnen verwachten en goed geïnformeerd zijn. Ledengegevens tegen betaling aan sponsoren verstrekken zonder die toets blijft een overtreding. Erkenning, meewerken en herstelmaatregelen kunnen leiden tot een fors lagere boete.