AVG boetes: categorieën en hoogte uitgelegd

In één zin. Het Nederlandse AVG-boetestelsel kent twee maxima (art. 83 lid 4 en lid 5 AVG) en vier categorieën (AP-beleidsregels 2019), met basisbedragen van 100 K tot 750 K EUR die fors kunnen worden verhoogd door verzwarende factoren — zoals Uber bewees met 290 M EUR in 2024.

Belangrijkste punten

• Twee maxima: 10 M EUR / 2% omzet OF 20 M EUR / 4% omzet.
• AP-beleidsregels 2019: vier categorieën met basisbedragen.
• Categorie I: 0-200K, II: 120K-500K, III: 300K-750K, IV: 450K-1M.
• Verzwarende factoren tot maximum (art. 83 AVG).
• UAVG art. 18: boetes ook voor overheid.
• Geldt voor verantwoordelijke en verwerker.

1. Wettelijke maxima

Artikel 83 AVG (EUR-Lex, CELEX 32016R0679) kent twee niveaus:

• Lid 4: tot 10 M EUR of 2% wereldwijde jaaromzet voorgaand boekjaar (hoogste geldt). Voor: art. 8, 11, 25-39, 42-43.
• Lid 5: tot 20 M EUR of 4% wereldwijde jaaromzet. Voor: art. 5-7, 9, 12-22, 44-49 en niet-naleving AP-bevelen.

Verschil: lid 5 is hoger omdat fundamentele beginselen en rechten betrokkenen.

2. AP-beleidsregels 2019

De Autoriteit Persoonsgegevens publiceerde Boetebeleidsregels AVG en UAVG (Stcrt. 14586, 2019). Vier boetecategorieën met basisbedragen en bandbreedte:

Categorie	Basisboete	Bandbreedte	Voorbeelden
I	100.000 EUR	0 - 200.000	Lichte formaliteit
II	310.000 EUR	120.000 - 500.000	Register, FG, datalekmelding
III	525.000 EUR	300.000 - 750.000	DPIA, beveiliging
IV	725.000 EUR	450.000 - 1.000.000	Grondslag, rechten, doorgifte

3. Categorie I: lichte overtredingen

Basisboete 100 K EUR. Voorbeelden:

• Niet aanmelden FG bij AP (UAVG).
• Onvolledige privacyverklaring (kleine omissie).
• Niet bijhouden datalekregister (intern).

In de praktijk vaak waarschuwing in plaats van boete bij eerste constatering kleine MKB — zie ook de gids AVG voor MKB en kleine bedrijven.

4. Categorie II: ondersteunende verplichtingen

Basisboete 310 K EUR. Voorbeelden:

• Geen register verwerkingsactiviteiten (art. 30).
• Geen FG aanstellen waar verplicht (art. 37).
• Datalek te laat melden (art. 33) — Booking-zaak 475 K (hoger door grote scope).
• Geen verwerkersovereenkomst (art. 28).

5. Categorie III: serieuze tekortkomingen

Basisboete 525 K EUR. Voorbeelden:

• Geen DPIA waar verplicht (art. 35).
• Onvoldoende beveiligingsmaatregelen (art. 32) — NS 600 K, OLVG 440 K, Haga 460 K.
• Geen voorafgaande raadpleging AP (art. 36).
• Niet faciliteren rechten betrokkenen (art. 12) — Bouwinvest 525 K.

6. Categorie IV: fundamentele schendingen

Basisboete 725 K EUR. Voorbeelden:

• Verwerking zonder rechtsgrond (art. 6).
• Verwerking bijzondere gegevens zonder uitzondering (art. 9) — Achmea 240 K.
• Schending rechten betrokkenen (art. 12-22) — BKR 830 K.
• Onrechtmatige doorgifte derde land (art. 44-49) — Uber 290 M.

7. Verzwarende en verzachtende factoren (art. 83 lid 2)

AP weegt mee:

• Aard, ernst, duur inbreuk.
• Aantal betrokkenen + omvang schade.
• Opzet of nalatigheid.
• Maatregelen door verantwoordelijke om schade te beperken.
• Mate verantwoordelijkheid (technische/organisatorische maatregelen vooraf).
• Eerdere relevante inbreuken.
• Mate samenwerking met AP.
• Categorieën persoonsgegevens.
• Wijze waarop AP op de hoogte raakte.
• Naleven eerdere bevelen.
• Naleven gedragscodes/certificering.
• Andere relevante factoren (financieel gewin, verlies).

8. Uber 290 M EUR (2024): hoe hoog kan het

Uber kreeg de op één na hoogste AVG-boete in EU. Berekening:

• Categorie IV (doorgifte derde land, art. 44).
• Verzwarend: opzettelijk/structureel, lange periode (2+ jaar), gigantische schaal (miljoenen chauffeurs), wereldwijd profielspeler.
• 4%-cap toegepast: 4% van Uber’s wereldwijde omzet (circa 7,3 miljard EUR in 2022) = circa 290 M EUR.

Demonstreert dat lid 5-maximum daadwerkelijk wordt toegepast.

9. Cumulatie van boetes

Eén onderzoek kan meerdere boetes opleveren:

• Art. 5 (beginselen) + art. 6 (grondslag) + art. 32 (beveiliging) cumulatief.
• AP somt boetes op of past hoogste toe afhankelijk van casus.
• HvJ EU Deutsche Wohnen (2023) bevestigt: rechtspersoon zelf aansprakelijk, geen schuldvereiste individuele werknemer.

Cumulatie verhoogt total boete, maar niet boven art. 83 lid 5-cap.

10. UAVG art. 18: overheid ook beboetbaar

Nederland uniek in EU: art. 18 UAVG verklaart art. 83 AVG van toepassing op bestuursorganen. AP heeft Belastingdienst (2,75 M EUR 2021 toeslagenaffaire), UWV (900 K EUR 2020), NS (600 K EUR 2024), Erasmus MC (geen boete maar bevel) gesanctioneerd.

In meeste EU-lidstaten heeft overheid immuniteit voor boetes (Duitsland, België, Frankrijk in mindere mate).

11. Bezwaar en beroep

Procedure tegen AP-boete:

• Bezwaar binnen 6 weken bij AP (Awb art. 6:7).
• Beroep bij rechtbank Den Haag (sector bestuursrecht).
• Hoger beroep bij Afdeling bestuursrechtspraak Raad van State.
• Cassatie zeer beperkt.

Resultaten 2024:

• 25% boetes geheel of gedeeltelijk vernietigd.
• VoetbalTV (575 K) grotendeels vernietigd (2022).
• Belastingdienst (2,75 M) bevestigd (2023).

12. Tien grootste Nederlandse AVG-boetes

Verantwoordelijke	Jaar	Bedrag	Artikel
Uber	2024	290 M EUR	art. 44
Clearview AI	2023	30,5 M EUR	art. 5, 6, 12-15
Belastingdienst	2021	2,75 M EUR	art. 5, 6 (toeslagen)
UWV	2020	900 K EUR	art. 32
BKR	2020	830 K EUR	art. 12, 15
NS	2024	600 K EUR	art. 32
VoetbalTV	2020	575 K EUR	art. 6 (vernietigd)
Bouwinvest	2025	525 K EUR	art. 12, 15
DPG Media	2022	525 K EUR	art. 15
Booking.com	2021	475 K EUR	art. 33

Aanvullend: OLVG 440 K EUR (2022 + 2025), Haga ziekenhuis 460 K EUR (2019), Marktplaats 380 K EUR (2025), Achmea 240 K EUR (2025), KPN 215 K EUR (2025), ING 290 K EUR (2025). Zie AP boetes 2025 voor het volledige overzicht.

13. Verzekerbaarheid en strategie

AVG-boetes zelf zijn doorgaans niet verzekerbaar (administratieve boete). Wel verzekerbaar:

• Verdedigingskosten (D&O-polis vaak).
• Civiele claims onder art. 82.
• Crisis communication en notificatiekosten.

Strategisch:

• Investeer in preventie (factor 10-100 goedkoper) — begin met de AVG-checklist voor bedrijven.
• Snelle samenwerking AP bij onderzoek (verzachtend).
• Vrijwillige openbaarmaking incident (verzachtend).
• Bewijs effectieve corrigerende maatregelen.

FAQ

Wat is de hoogste AVG-boete ooit in Nederland?

Uber 290 M EUR (2024) voor onrechtmatige doorgifte naar VS. Daarvoor: Belastingdienst 2,75 M EUR (2021 toeslagenaffaire) en Clearview AI 30,5 M EUR (2023, executie hangt).

Mag de AP overheidsorganen beboeten?

Ja, anders dan in veel EU-lidstaten. UAVG art. 18 verklaart art. 83 AVG van toepassing op bestuursorganen. NS, UWV, Belastingdienst en gemeente Rotterdam zijn al beboet.

Worden AVG-boetes vaak verlaagd in beroep?

Circa 25% van AP-boetes wordt geheel of gedeeltelijk vernietigd door rechtbank of Raad van State. VoetbalTV is bekendste voorbeeld van gedeeltelijke vernietiging.

Is een AVG-boete verzekerbaar?

In beginsel nee — bestuursrechtelijke boetes zijn onverzekerbaar. Wel verzekerbaar: verdedigingskosten, civiele claims betrokkenen (art. 82 AVG), crisis communication.

Hoe wordt boetehoogte berekend?

AP-beleidsregels 2019: start met basisbedrag van categorie (100K-725K), pas verhoging of verlaging toe op basis van art. 83 lid 2-factoren, controleer tegen maximum (10M/2% of 20M/4%). HvJ EU Deutsche Wohnen (C-807/21, 2023) bevestigde dat boete primair op concernomzet gebaseerd mag worden (niet alleen entiteit) — Uber-berekening werd hierop gestoeld.

Vallen boetes ook onder de WAMCA?

Boetes zelf niet — die gaan naar de Staat. Wel kunnen betrokkenen via een Stichting Massaschade (WAMCA 2020) civiele schadevergoeding eisen op basis van art. 82 AVG. Sinds HvJ EU C-340/21 (Bulgaarse fiscus, 2023) is immateriële schade vergoedbaar zonder bewijs van financieel verlies. Verzwaart het kostentotaal naast de AP-boete aanzienlijk.

Welk artikel wordt het vaakst beboet?

In 2025: art. 6 (rechtsgrond, 28% van besluiten), art. 32 (beveiliging, 22%), art. 33 (datalekmelding, 18%). Cumulatie van meerdere artikelen is gangbaar bij grote zaken. Zie AVG Art. 32 beveiliging en Datalekken melden voor de inhoud.

Kan ik de boete in termijnen betalen?

Ja, AP staat bij hoge boetes betalingsregelingen toe (art. 4:94 Awb). Voor Uber werd publiekelijk geen termijnregeling getroffen. Voor MKB met financieel hardheidsberoep biedt AP soms halvering bij bewijs van betalingsonmacht — wel verplicht stop verwerking gedurende remediation.

Zie ook: AP-boetes per sector.