AP maakt boetes voortaan verplicht openbaar
Sinds 1 september 2026 geldt een nieuwe regel: boetes en andere sancties van de Autoriteit Persoonsgegevens (AP) worden standaard openbaar gemaakt. Dat was voorheen anders. Tot deze datum moest de AP eerst een belangenafweging maken voordat een boete werd gepubliceerd en organisaties konden die afweging aanvechten. Die mogelijkheden zijn nu sterk beperkt.
De wijziging komt voort uit de Verzamelwet gegevensbescherming, waarmee artikel 21b van de Uitvoeringswet Algemene verordening gegevensbescherming(UAVG) is ingevoerd. Het uitgangspunt is nu “openbaar, tenzij“. Dit houdt in dat handhavingsbesluiten zoals boetes, dwangsommen en verwerkingsverboden worden in beginsel na twee weken gepubliceerd. Alleen de weigeringsgronden uit de Wet open overheid (Woo), zoals de bescherming van bedrijfsgevoelige informatie, vormen nog een uitzondering.
Dat is extra lastig omdat AP-boetes in de praktijk vaak geen stand houden. Een bekend voorbeeld daarvan is de VoetbalTV-boete. VoetbalTV B.V. kreeg een boete opgelegd door de AP van € 575.000,-, omdat het bedrijf volgens de AP onder geldige grondslag uit artikel 6 AVG video-opnamen van voetbalwedstrijden heeft gemaakt en deze beelden tevens heeft verspreid. De betrokkenen zouden geen toestemming hebben gegeven om op beeld te zijn. Bovendien stelde de AP dat VoetbalTV geen gerechtvaardigd belang zou hebben voor het verwerken van persoonsgegevens. Die boete bleek onterecht te zijn opgelegd volgens de rechtbank en later ook volgens de Afdeling bestuursrechtspraak van de Raad van State. De AP heeft immers niet alle door VoetbalTV aangevoerde belangen in de beoordeling meegewogen. Als dit wel was gebeurd, had de AP moeten vaststellen dat VoetbalTV niet uitsluitend een commercieel belang heeft bij het vastleggen van beelden van voetbalwedstrijden. Daarnaast heeft de AP niet onderzocht of de verwerking van persoonsgegevens noodzakelijk was en is evenmin een belangenafweging gemaakt tussen de belangen van VoetbalTV en die van de betrokkenen.
Een onderneming kan dus vanaf 1 september 2026 al reputatieschade lijden door publicatie van een AP-boete, terwijl later alsnog kan blijken dat deze boete onterecht is opgelegd. Een eventuele vernietiging van de boete maakt die reputatieschade niet zonder meer ongedaan.
Wie het niet eens is met publicatie, moet bovendien snel schakelen: binnen tien werkdagen (!) moet een voorlopige voorziening worden gevraagd bij de bestuursrechter om de publicatie te laten schorsen. Wachten is dus geen optie.
Heeft uw organisatie een boete of ander sanctiebesluit van de AP ontvangen of wilt u weten hoe u zich tegen voortijdige boete én publicatie kunt verweren? Neem dan snel contact met ons op, want gezien de termijn van tien werkdagen is tijd hier een cruciale factor. Heeft u andere vragen over AVG-compliance in het algemeen en hoe u een boete juist kunt voorkomen? Ook dan denken we graag met u mee.
Overzicht van gegevens kan volstaan bij een inzageverzoek
Moet een bedrijf bij een AVG-inzageverzoek altijd kopieën van alle onderliggende documenten geven? Nee, oordeelde de rechtbank in een zaak tegen de gemeente Tilburg.[1] Een voldoende concreet overzicht van de verwerkte persoonsgegevens kan volstaan.
Twee betrokkenen vroegen de gemeente om inzage in hun persoonsgegevens, verwerkt in het kader van de Wet maatschappelijke ondersteuning (Wmo) en een adresonderzoek. De gemeente verstrekte overzichten in plaats van alle onderliggende stukken. Volgens de rechtbank was dat genoeg, omdat het inzagerecht uit artikel 15 AVG een ander doel heeft dan een recht op documenten: het gaat erom dat iemand kan controleren welke gegevens over hem zijn verwerkt en of dat rechtmatig gebeurde. De gemeente had in haar overzichten per gegeven vermeld in welk document het stond, de datum, herkomst en ontvanger, de bewaartermijn en het verwerkingsdoel. Dat was voldoende om de rechtmatigheid te kunnen beoordelen.
Ook interne afwegingen over de verwerking vallen buiten het inzagerecht: artikel 15 AVG geeft geen recht op inzicht in besluitvormingsprocessen of motiveringen.
Deze uitspraak biedt praktische ruimte: een goed gestructureerd overzicht kan efficiënter zijn dan het verzamelen en verstrekken van alle onderliggende documenten, zonder dat dit ten koste gaat van de rechten van de betrokkene. Het inzagerecht geeft niet automatisch toegang tot volledige e-mails, personeelsdossiers of andere bedrijfsdocumenten. Dat geldt volgens een recente uitspraak ook voor een voormalig werknemer die na een arbeidsconflict inzage vraagt in zijn persoonsgegevens. Die voormalig werknemer heeft niet automatisch recht op alle bedrijfsdocumenten waarin hij voorkomt.[2]
Krijgt u als werkgever een inzageverzoek van een (ex-)werknemer die bijvoorbeeld het volledige personeelsdossier opvraagt en wilt u weten welke onderdelen daarvan met een overzicht kunnen worden afgedaan en welke stukken en persoonsgegevens daadwerkelijk moeten worden verstrekt? Neem gerust contact op, dan kijken de ondernemingsjuristen van The Legal Company hoe u zorgvuldig en efficiënt aan het verzoek kunt voldoen. Wij zijn te bereiken via info@thelegalcompany.nl of 020-3450152.
Blog van ondernemingsjurist mr. Bente Brouwer.
