AVG boetes: hoogte, voorbeelden en wanneer de AP optreedt

AVG boetes kunnen oplopen tot maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet van een organisatie, afhankelijk van welk bedrag hoger is. De Autoriteit Persoonsgegevens (AP) in Nederland legt deze boetes op aan organisaties die de privacyregels uit de Algemene verordening gegevensbescherming (AVG) overtreden. Hoe ernstig de overtreding is, bepaalt grotendeels hoe hoog de boete uitvalt.

Twee boetecategorieën onder de AVG

De AVG maakt onderscheid tussen twee niveaus van boetes, afhankelijk van de aard van de overtreding.

Categorie 1 (lager niveau): maximaal 10 miljoen euro of 2% van de wereldwijde jaaromzet. Dit geldt voor overtredingen zoals het niet goed beveiligen van persoonsgegevens of het niet bijhouden van een verwerkingsregister.
Categorie 2 (hoger niveau): maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet. Dit geldt voor zwaardere overtredingen, zoals het verwerken van persoonsgegevens zonder geldige rechtsgrond of het schenden van de rechten van betrokkenen.

Voor grote internationale bedrijven kan die 4% van de jaaromzet een stuk hoger uitvallen dan 20 miljoen euro. In dat geval geldt het hogere bedrag. Voor kleine organisaties met een beperkte omzet zal de boete doorgaans lager zijn, maar de AP houdt ook rekening met de ernst van de overtreding, de duur ervan en of de organisatie al eerder de fout inging.

Wie legt AVG boetes op?

In Nederland is de Autoriteit Persoonsgegevens de toezichthouder die toeziet op naleving van de AVG. De AP kan boetemogelijkheden inzetten, maar doet dit niet altijd als eerste stap. Vaak begint het met een waarschuwing, een last onder dwangsom of een aanwijzing. Een boete volgt doorgaans bij ernstige of herhaalde overtredingen, of als een organisatie niet meewerkt aan een onderzoek.

Ziekenhuizen en particuliere scholen worden niet behandeld als overheidsinstanties onder de AVG, aldus de AP. Dit betekent dat voor hen wel degelijk de reguliere boetebedragen kunnen gelden, net als voor commerciële organisaties.

Factoren die de hoogte van de boete bepalen

De AP berekent een boete niet willekeurig. Verschillende factoren spelen een rol:

De aard, ernst en duur van de overtreding
Het aantal getroffen personen en de schade die zij hebben geleden
Of de overtreding opzettelijk was of door nalatigheid
Hoe snel de organisatie heeft meegewerkt en de situatie hersteld
Eerdere overtredingen van dezelfde organisatie
De financiële draagkracht van de organisatie

Een klein bedrijf dat per ongeluk een datalek niet op tijd meldde, krijgt doorgaans een lagere boete dan een grote organisatie die bewust gegevens doorverkoopt zonder toestemming. De evenredigheid staat centraal: de boete moet voelbaar zijn, maar niet vernietigend voor een organisatie die verder te goeder trouw handelt.

Bekende voorbeelden van AVG boetes in de praktijk

De AP heeft in de afgelopen jaren meerdere boetes opgelegd. Een bekend geval is de boete aan Uber, dat persoonsgegevens van Europese chauffeurs doorsluisde naar de VS zonder voldoende waarborgen. De AP legde hiervoor een boete op van 290 miljoen euro, in samenwerking met andere Europese toezichthouders. Ook dichter bij huis zijn boetes uitgedeeld: zo ontving een zorginstelling een boete voor het onvoldoende beveiligen van patiëntgegevens in een digitaal systeem.

Op Europees niveau zijn de grootste boetes opgelegd aan techbedrijven. Meta (moederbedrijf van Facebook en Instagram) ontving in 2023 een recordboete van 1,2 miljard euro van de Ierse toezichthouder wegens het doorsturen van persoonsgegevens naar de VS. Dit laat zien dat AVG-sancties voor grote organisaties gigantische bedragen kunnen bereiken.

Wat als je het niet eens bent met een AVG boete?

Een organisatie die een boete ontvangt van de AP, kan bezwaar maken bij de AP zelf. Daarna staat de weg open naar de bestuursrechter. In de praktijk wordt niet elke boete zomaar geaccepteerd: organisaties die menen dat de AP onjuist heeft gehandeld of de boete te hoog is, gaan regelmatig in beroep. Soms wordt een boete bij de rechter verlaagd of zelfs herroepen.

Veelgestelde vragen over AVG boetes

Kan een particulier ook een AVG boete krijgen?
Nee. De AVG geldt voor organisaties en bedrijven, niet voor particulieren die gegevens uitsluitend voor persoonlijke of huishoudelijke doeleinden verwerken.

Hoe meldt iemand een overtreding aan de AP?
Via de website van de Autoriteit Persoonsgegevens (autoriteitpersoonsgegevens.nl) kun je een klacht indienen als je vermoedt dat een organisatie jouw persoonsgegevens verkeerd verwerkt.

Worden alle overtredingen bestraft met een boete?
Nee. De AP heeft meerdere handhavingsinstrumenten en kiest per geval welk middel het meest passend is. Een waarschuwing of last onder dwangsom komt vaker voor dan een directe boete.

Geldt de maximumboete altijd?
Nee. De maximumbedragen zijn wettelijke plafonds. De daadwerkelijke boete is bijna altijd lager en wordt afgestemd op de specifieke situatie van de overtreder.

De hoogste AVG boetes zijn voorbehouden aan ernstige, grootschalige overtredingen door grote organisaties. Voor kleinere bedrijven gaat het in de praktijk vaak om bedragen in de tienduizenden of honderdduizenden euro’s, wat voor hen alsnog forse schade betekent. Wie de privacyregels serieus neemt en aantoonbaar moeite doet om compliant te zijn, verkleint de kans op een hoge boete aanzienlijk.