EDPB-richtsnoeren 04/2026: wanneer een AVG-overtreding tot een boete leidt
De EDPB beschrijft vijf stappen waarmee toezichthouders kiezen tussen boete en berisping bij een AVG-overtreding. Reageren kan tot 13 november 2026.
Op 17 september 2026 heeft het Europees Comité voor gegevensbescherming (EDPB) Richtsnoeren 04/2026 aangenomen. Ze beschrijven hoe nationale toezichthouders bepalen of een AVG-overtreding een boete krijgt of wordt afgedaan met een andere corrigerende maatregel, zoals een berisping of een bevel. De EDPB publiceerde ze op 21 september 2026. Reacties kunnen tot 13 november 2026, 23.59 uur CET worden ingediend.
De richtsnoeren vervangen de oude WP29-richtsnoeren over administratieve boetes en vullen de EDPB-richtsnoeren over de berekening van de hoogte van een boete aan.
De vijf stappen
- Kan de overtreding beboet worden? De toezichthouder heeft een grondslag nodig in de AVG of in nationaal recht.
- Kan deze partij beboet worden? Of de verwerkingsverantwoordelijke of de verwerker aansprakelijk is, hangt af van wie aan de geschonden bepaling gebonden is.
- Was het opzet of nalatigheid? Een verwijtbare overtreding is een voorwaarde voor een boete.
- Is de overtreding gering? De toezichthouder weegt de verzwarende en verzachtende factoren van artikel 83, lid 2. Een geringe overtreding leidt in de regel niet tot een boete; in plaats daarvan kan een berisping volgen. Is ze niet gering, dan geldt een sterk vermoeden dat een boete wordt opgelegd.
- Is een boete doeltreffend, evenredig en afschrikkend? Hier kan de toezichthouder in een concreet geval reden zien om van de algemene aanpak af te wijken.
De richtsnoeren lichten ook de andere corrigerende bevoegdheden toe (waarschuwingen, berispingen, bevelen, beperkingen waaronder verboden, en intrekking van certificering) en geven 14 praktijkvoorbeelden.
Ook definitief: DSA en AVG
In dezelfde plenaire vergadering stelde de EDPB de definitieve versie vast van Richtsnoeren 3/2025 over de samenhang tussen de Digital Services Act en de AVG, voor tussenhandelsdiensten die persoonsgegevens verwerken.
Wat u nu kunt doen
In stap 4 bepalen de factoren van artikel 83, lid 2, of het bij een berisping blijft of een boete wordt: onder meer de maatregelen die u nam om de schade te beperken, uw medewerking met de toezichthouder, eerdere overtredingen en de soorten gegevens. Dat snel kunnen aantonen telt.
Dazr Compliance houdt dat bewijs op één plek bij: uw register van verwerkingsactiviteiten (artikel 30), DPIA's met een logboek van elke wijziging, terugkerende AVG-controls en een datalekregister met een 72-uursklok. Wilt u reageren op de richtsnoeren, gebruik dan vóór 13 november het consultatieformulier van de EDPB.
Bronnen
- EDPB: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 September 2026)
- EDPB: Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, version 1.0 (adopted 17 September 2026)
- EDPB: public consultation on Guidelines 04/2026, 21 September to 13 November 2026
- EDPB: Guidelines 3/2025 on the interplay between the DSA and the GDPR, final version
Ter informatie, geen juridisch advies. Laatst bijgewerkt op 7 november 2026.
Ook beschikbaar in: English, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål