AVG-handhaving in 2026: hoge boetes en nieuwe procedures

Gepubliceerd 19 oktober 2026 · Bijgewerkt 22 oktober 2026 · Door Dazr

Google beboet met 403 miljoen euro voor locatiegegevens, snellere grensoverschrijdende procedures vanaf april 2027 en voorgestelde AVG-wijzigingen.

Acht jaar nadat de AVG van toepassing werd, levert de handhaving nog steeds grote besluiten op, en de behandeling van grensoverschrijdende zaken gaat veranderen.

Recente besluiten

Uber, 824,99 miljoen euro (gepubliceerd op 8 oktober 2026). De Autoriteit Persoonsgegevens (AP) stelde vast dat Uber accounts van chauffeurs deactiveerde via volledig geautomatiseerde besluiten, tijdelijk bij vermoedens van fraude of lage beoordelingen en definitief bij aanhoudend lage beoordelingen, in strijd met artikel 22, en chauffeurs onvoldoende informeerde (artikel 13). De zaak begon met klachten van 171 Franse chauffeurs bij de CNIL en gaat over 2018 tot en met 2022. Uber is in beroep gegaan, dus het besluit is niet definitief.
Google, 403 miljoen euro (21 september 2026). De Ierse Data Protection Commission (DPC) stelde als leidende toezichthouder vast dat Google de AVG heeft geschonden bij de verwerking van locatiegegevens in Web- en app-activiteit, Locatiegeschiedenis en Locatienauwkeurigheid: rechtmatigheid en behoorlijkheid, transparantie, verantwoordingsplicht en bewaartermijnen. Google moet de verwerking binnen zes maanden in overeenstemming brengen.
TikTok, 530 miljoen euro (2 mei 2025). De DPC stelde vast dat TikTok niet had aangetoond dat de gegevens van gebruikers in de EER, die op afstand werden ingezien door medewerkers in China, een in wezen gelijkwaardige bescherming kregen (artikel 46, lid 1), en dat de privacyverklaring de betrokken landen niet noemde (artikel 13, lid 1, onder f).

Samen laten ze zien dat geautomatiseerde besluiten, internationale doorgifte, transparantie en niet langer bewaren dan nodig de plekken zijn waar hoge boetes vandaan komen.

Snellere grensoverschrijdende procedures vanaf 2 april 2027

Verordening (EU) 2025/2518 voegt procedureregels toe voor grensoverschrijdende AVG-zaken. Zij is op 12 december 2025 gepubliceerd en geldt vanaf 2 april 2027. Zij harmoniseert wanneer een klacht ontvankelijk is, geeft klagers en bedrijven het recht om te worden gehoord en voorlopige bevindingen in te zien, en stelt termijnen: in beginsel 15 maanden voor een onderzoek, met 12 maanden verlenging voor complexe zaken, en een eenvoudiger procedure voor rechttoe-rechtaan-zaken. De inhoudelijke regels van de AVG veranderen niet.

Voorgestelde wijzigingen van de AVG

De digitale omnibus die de Commissie in november 2025 voorstelde, bevat wijzigingen van de AVG, zoals een hogere drempel en een langere termijn voor het melden van datalekken aan toezichthouders en één meldpunt voor incidenten. De EDPB en de EDPS steunden in hun gezamenlijke advies van februari 2026 onderdelen ervan en uitten zorgen over andere. Het zijn voorstellen: vandaag geldt nog steeds de meldtermijn van 72 uur voor datalekken.

Wat u kunt nalopen

Uw verwerkingsregister en bewaartermijnen, vooral voor locatiegegevens en andere gevoelige gegevens.
Doorgiftebeoordelingen voor elke toegang van buiten de EER, ook ondersteuning op afstand.
Privacyverklaringen die ontvangers en landen duidelijk noemen.
Een datalekprocedure die de termijn van 72 uur haalt.
Waar software over mensen beslist, zoals het blokkeren van een account: echte menselijke beoordeling en een duidelijke uitleg voor wie het raakt.

Bronnen

Ter informatie, geen juridisch advies. Laatst bijgewerkt op 22 oktober 2026.

Onderwerpen: AVG, Handhaving, EU

Ook beschikbaar in: English, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål