AVG-boetes gepubliceerd in september en oktober 2026: beveiliging, verwerkers en rechten van mensen
Zeven AVG-besluiten uit Noorwegen, Ierland, Frankrijk, Zweden, Griekenland en Italië: zwakke beveiliging, verwerkersafspraken en genegeerde verzoeken.
Tussen begin september en half oktober 2026 bracht het Europees Comité voor gegevensbescherming (EDPB) een reeks AVG-boetes van nationale toezichthouders naar buiten. Naast de grote zaken tegen Uber en Google uit AVG-handhaving in 2026 springen twee thema's eruit: zwakke beveiliging, en toestemming en verzoeken die niet werden gerespecteerd.
Beveiliging en verwerkers
- HSE, 645.000 euro, Ierland (28 augustus 2026). Indringers bereikten medische papieren dossiers in voormalige psychiatrische ziekenhuizen. Boetes, een berisping en bevelen.
- Hôpital Privé de la Loire, 500.000 euro, Frankrijk (3 september 2026). Een aanvaller bereikte de gegevens van 524.867 patiënten: geen meervoudige authenticatie voor externe gebruikers, toegang niet beperkt tot het behandelteam, geen realtime detectie, en de 202.246 "vertrouwenspersonen" van wie ook gegevens waren buitgemaakt, werden niet geïnformeerd.
- Miljödata, 1,8 miljoen Zweedse kronen, Zweden (22 september 2026). Een cyberaanval op een IT-leverancier trof 2,2 miljoen mensen; geen goede controles bij het installeren van nieuwe software en geen realtime monitoring.
- Grieks ministerie van Sociale Cohesie en Gezin, 200.000 euro, en zijn verwerker E.E.T.A.A., 150.000 euro (28 juli 2026). Verouderde systemen ondanks bekende risico's en tekortkomingen onder artikel 28; beide moeten een verwerkersovereenkomst sluiten.
Toestemming en rechten van mensen
- Xandr, 92 miljoen Noorse kronen (ongeveer 8,6 miljoen euro), Noorwegen (2 oktober 2026). Het advertentiebedrijf verwerkte bij real-time bidding gegevens van gebruikers van een datingapp voor homo, bi, trans en queer mensen zonder geldige grondslag. Het leunde op de toestemming van de app, die ongeldig was: elke gezamenlijke verwerkingsverantwoordelijke moet toestemming zelf controleren. Het is de hoogste boete ooit van de Noorse toezichthouder en is definitief.
- EXTIA, 300.000 euro, Frankrijk (21 juli 2026). Van 265 verwijderverzoeken in 2024 werden er 12 nooit behandeld en kregen 166 mensen nooit de uitkomst te horen.
- BBVA, 5.508.000 euro, Italië (3 juli 2026). Een klant maakte in de app van de bank bezwaar tegen marketing, maar kreeg zeven maanden lang promotiemeldingen door een synchronisatiefout tussen interne systemen.
Wat u nu kunt doen
Controleer meervoudige authenticatie en monitoring voor systemen met gevoelige gegevens, een getekende verwerkersovereenkomst met elke leverancier, en of een verzoek of bezwaar het systeem bereikt dat ernaar handelt.
Dazr Compliance houdt AVG-beveiligingscontrols, een leveranciersregister met links naar verwerkersovereenkomsten en reviewdata, het register van verwerkingsactiviteiten (artikel 30) en een datalekregister met een 72-uursklok op één plek bij, met herinneringen als een review gepland staat.
Bronnen
- Datatilsynet: Microsoft company fined NOK 92 million (updated 3 November 2026)
- EDPB: Norwegian DPA fines Xandr EUR 8 600 000 for unlawful processing of personal data (16 October 2026)
- Data Protection Commission: Final decision following inquiry into the Health Service Executive (HSE)
- CNIL: Health data breach, EUR 500,000 fine against Hôpital Privé de la Loire
- IMY: Administrative fine against Miljödata
- EDPB: Hellenic DPA decision on a data breach involving E.E.T.A.A. S.A. as processor (8 October 2026)
- CNIL: Failure to respect the rights of individuals, EUR 300,000 fine against EXTIA
- EDPB: News, national news from data protection authorities
- EDPB: Italian DPA fines BBVA EUR 5 508 000 for failing to respect a customer's objection to direct marketing (9 October 2026)
Ter informatie, geen juridisch advies. Laatst bijgewerkt op 7 november 2026.
Ook beschikbaar in: English, Italiano, Deutsch, Français, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål