AP-boetes per sector laten zien hoe concrete gegevensverwerkingen kunnen misgaan. Ze geven geen betrouwbare ranglijst van welke branche gemiddeld het slechtst presteert. Een groot bedrag kan samenhangen met omzet, omvang van de verwerking en de ernst van een specifieke overtreding; het aantal gepubliceerde zaken is evenmin hetzelfde als het totale toezicht. Gebruik voorbeelden daarom om uw eigen werkwijze te onderzoeken.
Deze selectie is gecontroleerd op 28 september 2026. Zij onderscheidt een boetebesluit, de bekendmaking daarvan en een later rechterlijk of bestuurlijk vervolg. Waar geen latere uitkomst is bevestigd, wordt een oorspronkelijk opgelegd bedrag niet als definitief betaald of onherroepelijk gepresenteerd. Voor een afzonderlijk jaarperspectief is er het overzicht van AP-boetes in 2025; hier staat de betekenis voor verschillende activiteiten centraal.
Platforms: drie verschillende Uber-zaken uit elkaar houden
De AP maakte op 21 augustus 2026 een boete van €824.990.000 tegen Uber bekend wegens volledig geautomatiseerde beslissingen over chauffeurs en tekortschietende informatie daarover. Volgens de eigen AP-mededeling werden accounts bij vermoedens van fraude of lage beoordelingen automatisch gedeactiveerd. De AP vermeldt dat Uber de boete aanvecht. Dit is dus geen vermelding van een onherroepelijke rechterlijke veroordeling.
De CNIL bevestigde op 24 augustus 2026 de Nederlandse sanctie en haar samenwerking met de AP. De CNIL was betrokken bij de klachten en Europese samenwerking; de boete werd door de Nederlandse toezichthouder opgelegd. De publicatiedatum van deze Franse toelichting is niet de datum van het Nederlandse boetebesluit.
Deze zaak staat los van de €290 miljoen die de AP bij besluit van 22 juli 2024 oplegde wegens doorgiften naar de Verenigde Staten, en van de €10 miljoen bij besluit van 11 december 2023 over informatie aan chauffeurs. Die besluitdata worden in de CNIL-toelichting afzonderlijk genoemd. De AP meldde in augustus 2026 dat ook over de twee laatstgenoemde boetes procedures liepen. Tel ze daarom niet op alsof zij één overtreding of één definitieve uitkomst vertegenwoordigen.
Voor organisaties met beoordelingen, blokkades of scores is de praktische vraag welke beslissing werkelijk wordt genomen. Artikel 22 AVG betreft besluiten die uitsluitend op geautomatiseerde verwerking berusten en rechtsgevolgen hebben of iemand anderszins aanmerkelijk treffen, met specifieke uitzonderingen en waarborgen. Een medewerker die alleen automatisch gegenereerde uitkomsten doorstuurt, bewijst geen inhoudelijke menselijke beoordeling. Onderzoek wie een uitkomst kan veranderen en welke informatie daarvoor beschikbaar is.
De doorgiftezaak vraagt een andere controle: identificeer ontvanger, land, toegangsrechten en het toepasselijke doorgiftemechanisme voor de betreffende periode. De beoordeling van een historische overdracht mag niet worden vervangen door een mechanisme dat pas later beschikbaar kwam. Onze uitleg over internationale doorgifte helpt die afzonderlijke gegevensstroom onderzoeken.
Clearview en TikTok: beschikbaarheid is geen rechtmatigheid
In de zaak Clearview AI vermeldt de officiële EDPB-samenvatting een Nederlands besluit van 16 mei 2024 en boetes van in totaal €30,5 miljoen. De publicatie van 3 september 2024 behandelt onder meer de ontbrekende grondslag, biometrische gegevens, informatie, inzage en vertegenwoordiging in de Unie. Daarnaast werden lasten onder dwangsom opgelegd om voortdurende overtredingen te beëindigen.
De les is niet dat iedere foto op internet automatisch onder één absoluut verbod valt. Onderzoek het eigen doel en de manier waarop gegevens worden verzameld en omgezet. Een databank die gezichten bruikbaar maakt voor unieke identificatie vraagt een andere beoordeling dan het bekijken van een openbare foto. Openbare toegankelijkheid ontslaat de verantwoordelijke niet van de grondslag, de voorwaarden voor bijzondere gegevens en de rechten van personen.
Voor TikTok legde de AP bij besluit van 9 april 2021 een boete van €750.000 op, bekendgemaakt op 22 juli 2021. Volgens de AP-publicatie was de Engelstalige informatie onvoldoende begrijpelijk voor Nederlandse gebruikers, onder wie veel kinderen. De publicatie vermeldt dat TikTok bezwaar had gemaakt. Deze Nederlandse zaak moet worden onderscheiden van latere procedures van de Ierse toezichthouder over andere verwerkingen.
Voor uw organisatie betekent dit dat een juridisch complete tekst nog steeds onbegrijpelijk kan zijn voor de doelgroep. Bekijk taal, leeftijd, presentatie en het moment waarop de informatie wordt aangeboden. Een helptekst die pas diep in een accountmenu verschijnt, beantwoordt een andere vraag dan duidelijke informatie bij het verzamelen van gegevens. Controleer daarom de feitelijke gebruikersroute, niet alleen het document in het juridische archief.
Overheid: FSV en kinderopvangtoeslag zijn afzonderlijke zaken
De AP maakte op 12 april 2022 een boete van €3,7 miljoen voor de Fraude Signalering Voorziening bekend. Het bedrag is niet €3,75 miljoen en de bekendmaking dateert niet uit 2021. De AP beschrijft zes overtredingen, waaronder ontbrekende grondslag, onvoldoende specifiek doel, onjuiste gegevens, te lange bewaring, gebrekkige beveiliging en te late betrokkenheid van de functionaris voor gegevensbescherming bij de DPIA.
De afzonderlijke boete van €2,75 miljoen, bekendgemaakt op 7 december 2021, betrof de onrechtmatige, discriminerende en onbehoorlijke verwerking van nationaliteitsgegevens van aanvragers van kinderopvangtoeslag. Het gaat dus om een ander dossier dan FSV. Door bedragen en jaren samen te voegen verdwijnt juist welke verwerking is beoordeeld.
Voor publieke organisaties is het onvoldoende dat een project een algemeen nuttig doel heeft. Maak zichtbaar welke taak de concrete verwerking draagt, welke signalen betrouwbaar zijn en welke gevolgen een registratie voor een burger kan hebben. Een onjuist vermoeden dat door andere afdelingen als feit wordt overgenomen, kan steeds grotere gevolgen krijgen. Herkomst en correctie zijn daarom net zo relevant als technische toegang.
De beginselen van artikel 5 AVG geven hiervoor het kader. Controleer bij een risicolijst wie een vermelding mag toevoegen, hoe de informatie wordt gecontroleerd, wanneer zij opnieuw wordt beoordeeld en welke ontvangers een correctie moeten verwerken. Dit zijn uitvoeringsvragen die u vooraf moet oplossen; een privacyverklaring maakt een onrechtmatig registratiesysteem niet rechtmatig.
Zorg: kijk naar maatregelen én de rechterlijke uitkomst
De AP legde het HagaZiekenhuis in 2019 een boete van €460.000 op wegens onvoldoende beveiliging van patiëntendossiers. De rechtbank Den Haag verlaagde die op 31 maart 2021 tot €350.000. De AP heeft haar bericht met die uitkomst aangevuld. Een vergelijking die alleen het oorspronkelijke bedrag noemt, laat daarom een relevante vervolgstap weg.
Voor OLVG dateert het boetebesluit van 26 november 2020; de zaak werd in 2021 openbaar gemaakt. De boete bedroeg €440.000 en betrof onvoldoende passende maatregelen, specifiek tweefactorauthenticatie en regelmatige beoordeling van logbestanden. Het is geen boete uit 2022. Het besluit gaat over tekortkomingen in de beveiliging, niet uitsluitend over één medewerker die een dossier bekeek.
Beide zaken maken een belangrijk operationeel onderscheid zichtbaar. Een logbestand hebben is iets anders dan signalen daarin onderzoeken en opvolgen. Een breed technisch toegangsrecht betekent bovendien niet dat iedere raadpleging voor iemands werk noodzakelijk is. Stem autorisaties af op taken en organiseer een controle waarmee ongebruikelijke toegang wordt opgemerkt, beoordeeld en zo nodig aangepakt.
Het kader is artikel 32 AVG, met maatregelen die passen bij het risico. Een boete tegen een ziekenhuis bewijst niet dat precies dezelfde inrichting voor iedere huisartsenpraktijk verplicht is. Het voorbeeld helpt wel om gerichte vragen te stellen: welke dossiers zijn bereikbaar, wie gebruikt noodtoegang, wie controleert uitzonderingen en welk bewijs toont dat de afgesproken controle werkelijk gebeurt?
Financiële dienstverlening: ICS gaat over een voorafgaande DPIA
De AP legde International Card Services (ICS) bij besluit van 18 december 2023 een boete van €150.000 op wegens het niet uitvoeren van een vereiste DPIA. De publicatie volgde in januari 2024. Het besluit noemt artikel 35 lid 1 AVG. Deze zaak hoort dus niet te worden samengevat als een algemene boete voor verkeerd afgehandelde inzageverzoeken.
Het relevante proces betrof online heridentificatie van klanten. Een organisatie kan een verplichting hebben om klanten te identificeren en toch afzonderlijk moeten beoordelen welke risico’s de gekozen digitale werkwijze meebrengt. Noodzaak van het doel maakt elke technische uitvoering nog niet noodzakelijk of evenredig. Denk aan de gegevens die worden verzameld, gebruikte hulpmiddelen, bewaring en wie toegang krijgt.
Gebruik deze les bij veranderingen vóór ingebruikname. Laat het projectteam vaststellen of waarschijnlijk een hoog risico bestaat, neem zo nodig een gegevensbeschermingseffectbeoordeling op in de besluitvorming en leg vast welke alternatieven zijn onderzocht. Een DPIA die pas na invoering wordt geschreven, vervangt de vereiste voorafgaande beoordeling niet. Zij kan wel helpen om herstelmaatregelen zorgvuldig te kiezen.
Reizen: Booking.com laat het belang van escalatie zien
Booking.com is een reisplatform en hoort in deze vergelijking niet onder financiële dienstverlening alleen omdat ook creditcardgegevens waren betrokken. De AP legde bij besluit van 10 december 2020 een boete van €475.000 op voor te late melding van een datalek. De bekendmaking van 31 maart 2021 beschrijft het incident en vermeldt dat Booking.com niet in bezwaar of beroep ging. Het ging om een melding die 22 dagen te laat was, niet om een algemene termijn van 22 dagen na ontdekking.
De wettelijke regel is melding zonder onnodige vertraging en, waar mogelijk, binnen 72 uur na kennisneming van een inbreuk in verband met persoonsgegevens, tenzij risico voor rechten en vrijheden onwaarschijnlijk is. Bij latere melding moet de vertraging worden uitgelegd. Niet ieder technisch incident is een datalek; ieder datalek moet wel worden gedocumenteerd. Artikel 34 over informatie aan betrokkenen bij waarschijnlijk hoog risico vormt een afzonderlijke beoordeling.
De praktische controle begint bij medewerkers en leveranciers die een eerste signaal ontvangen. Weten zij aan wie zij het direct moeten doorgeven, ook buiten kantooruren? Houd de momenten van ontdekking, interne escalatie en besluitvorming uit elkaar. Onvolledige informatie kan onder de AVG gefaseerd worden aangevuld; wachten op een volledig onderzoeksrapport mag geen automatische werkwijze zijn. Zie de uitleg over een datalek melden bij de AP.
Verenigingen: lees het vervolg op de KNLTB-boete
De oorspronkelijke KNLTB-boete van €525.000 dateert van 20 december 2019 en werd in maart 2020 bekendgemaakt. Zij betrof verstrekking van ledengegevens aan sponsoren voor marketing. Het Hof van Justitie oordeelde op 4 oktober 2024 in C-621/22 dat een commercieel belang onder voorwaarden een gerechtvaardigd belang kan zijn. Strikte noodzakelijkheid en afweging tegen de belangen en grondrechten van leden blijven vereist.
Het Hof stelde niet zelf de definitieve Nederlandse boete vast. De AP berichtte later over beëindiging van de procedure en erkenning door de bond dat de gegevensverstrekking niet had mogen plaatsvinden; haar eigen bericht over die afspraak van 18 oktober 2025 beschreef een verlaging tot €250.000 verminderd met campagnekosten en eventuele andere maatregelen, met definitieve vaststelling uiterlijk in juni 2026. Een later definitief bedrag is voor deze selectie op 28 september 2026 niet onafhankelijk bevestigd. Daarom wordt €250.000 hier niet als vaststaand eindbedrag gebruikt.
De les voor verenigingen en stichtingen is concreet: inkomsten voor de vereniging maken overdracht van de ledenlijst niet automatisch noodzakelijk. Onderzoek minder ingrijpende mogelijkheden, redelijke verwachtingen en de risico’s van de aanbiedingen. Ook een ledenbrief waarin de overdracht wordt aangekondigd, creëert op zichzelf geen geldige grondslag. Omgekeerd is een commercieel doel niet categorisch uitgesloten als gerechtvaardigd belang.
Wat kunt u uit bedragen afleiden?
Artikel 83 AVG kent verschillende maxima afhankelijk van de overtreden verplichting. Voor ondernemingen speelt waar toepasselijk de totale wereldwijde jaaromzet van het voorgaande boekjaar mee; het hogere toepasselijke bedrag is bepalend. De bekende grenzen van €10 miljoen of 2 procent en €20 miljoen of 4 procent zijn plafonds, geen automatische tarieven. Het overzicht van boetecategorieën behandelt dat onderscheid verder.
De autoriteit moet de concrete omstandigheden beoordelen, waaronder aard, ernst en duur, opzet of nalatigheid, getroffen maatregelen, eerdere inbreuken en samenwerking. Een eenmalige handeling kan zeer ernstig zijn; structurele fouten zijn niet de enige grond voor een hoge boete. Evenmin betekent herstel dat een al gepleegde overtreding verdwijnt. Scheid de vraag hoe schade wordt beperkt van de vraag welke sanctie passend is.
Een boete is bovendien maar één bevoegdheid van de Autoriteit Persoonsgegevens. Een verwerkingsverbod of herstelmaatregel kan de dienstverlening rechtstreeks beïnvloeden. Sinds 1 september 2026 bevat artikel 21b UAVG een wettelijke publicatieregeling voor bestuurlijke sancties, met uitzonderingen en procedurele waarborgen. Een gepubliceerde sanctie is daarmee nog niet automatisch onherroepelijk.
Vergelijk de tekortkoming voordat u bedragen vergelijkt
Stel dat twee organisaties allebei toegangslogs bewaren. Bij de eerste onderzoekt een aangewezen team signalen van ongebruikelijke raadpleging en legt het de opvolging vast. Bij de tweede wordt alleen gecontroleerd of het logbestand technisch bestaat. Het vakje logging kan in beide interne overzichten aangevinkt zijn, terwijl de bescherming in de praktijk sterk verschilt. Een sectorzaak helpt juist om dat verschil te bespreken, zonder uit een boetebedrag een verplichte universele technische oplossing af te leiden.
Hetzelfde geldt voor een grondslag: een veld met het woord gerechtvaardigd belang is geen noodzakelijkheidstoets. Vraag welke alternatieven zijn onderzocht, welke personen gevolgen ondervinden en wie die afweging heeft beoordeeld. Bij gewijzigde feiten, zoals een nieuwe ontvanger of een gevoeliger doelgroep, moet opnieuw worden onderzocht of de eerdere beoordeling nog past. Gebruik een besluit daarom als aanleiding om het eigen bewijs te controleren. Het overnemen van de formulering uit een persbericht biedt geen garantie dat uw situatie gelijk is aan de onderzochte zaak.
Gebruik de zaken voor een gerichte beoordeling
Kies de voorbeelden die bij uw activiteiten passen en verbind ze aan een controleerbare vraag. Voor een platform kan dat de menselijke beoordeling van blokkades zijn; voor een zorgorganisatie de daadwerkelijke opvolging van toegangslogs. Een financiële instelling kan onderzoeken of nieuwe identificatietechniek tijdig is beoordeeld. Een vereniging kan nagaan welke ontvangers ledengegevens hebben gekregen en welke grondslag daarvoor is vastgelegd.
Laat de verantwoordelijke voor het proces vervolgens bewijs verzamelen en verbeteringen uitvoeren. Vraag bij een volgende beoordeling of de maatregel werkt en of de verwerking veranderd is. Zo worden sectorvoorbeelden bruikbaar zonder te doen alsof een beperkt aantal gepubliceerde zaken een statistische voorspelling van uw boeterisico vormt. De juridische en praktische tekortkoming is het uitgangspunt voor verbetering, niet de aantrekkelijkheid van een miljoenenbedrag in een ranglijst.