Hoe hoog kunnen de boetes zijn bij een AVG-overtreding na een datalek?

Bij een AVG-overtreding na een datalek kan de Autoriteit Persoonsgegevens (AP) een boete opleggen van maximaal 20 miljoen euro of 4% van de wereldwijde jaaromzet van een organisatie, afhankelijk van welk bedrag hoger is. Dit geldt voor de zwaarste categorie overtredingen. Voor minder ernstige schendingen ligt het maximum op 10 miljoen euro of 2% van de jaaromzet. De hoogte hangt sterk af van de ernst van de overtreding, de omvang van de getroffen persoonsgegevens en de mate waarin een organisatie aantoonbaar maatregelen heeft genomen. In dit artikel beantwoorden we de meest gestelde vragen over AVG-boetes, meldplichten en wat je als bedrijf kunt doen om risico’s te beperken.

Hoe bepaalt de Autoriteit Persoonsgegevens de hoogte van een boete?

De Autoriteit Persoonsgegevens bepaalt de hoogte van een AVG-boete op basis van meerdere factoren die samen een totaalbeeld geven van de ernst van de overtreding. Er is geen vaste rekenmethode, maar de AP weegt altijd de aard, ernst en duur van de overtreding, het aantal betrokkenen, de schade die zij hebben geleden en de vraag of een organisatie al dan niet opzettelijk heeft gehandeld.

Concreet kijkt de AP onder andere naar:

• De aard van de overtreding: gaat het om een technisch gebrek of om structureel nalatig handelen?
• De omvang van de schade: hoeveel mensen zijn getroffen en hoe gevoelig zijn de gelekte gegevens?
• Eerdere overtredingen: heeft de organisatie al eerder een waarschuwing of boete ontvangen?
• Medewerking aan het onderzoek: werkte de organisatie actief mee of probeerde zij informatie achter te houden?
• Genomen maatregelen: had de organisatie aantoonbaar beveiligingsbeleid en technische maatregelen getroffen?
• Financiële draagkracht: de boete moet voelbaar zijn, maar mag een organisatie niet financieel ruïneren.

De AP hanteert hierbij Europese richtlijnen van de European Data Protection Board (EDPB), zodat de aanpak in lijn blijft met andere EU-landen. Organisaties die proactief beleid voeren en snel en transparant reageren na een incident, zien dit vaak terug in een lagere boete.

Wat zijn de hoogste AVG-boetes die in Nederland zijn opgelegd?

De hoogste AVG-boetes die de Autoriteit Persoonsgegevens in Nederland heeft opgelegd, liggen in de tientallen miljoenen euro’s. De bekendste zaken betreffen grote organisaties die structureel persoonsgegevens onrechtmatig verwerkten of onvoldoende beveiligden. Zo ontving een grote Nederlandse organisatie in de gezondheidszorg een boete van meerdere miljoenen euro’s voor onvoldoende toegangsbeveiliging van patiëntdossiers.

Hoewel de meest spraakmakende boetes in Europa zijn opgelegd aan grote techbedrijven, laat de Nederlandse praktijk zien dat ook nationale organisaties stevig worden aangepakt. De AP heeft boetes opgelegd in sectoren als zorg, overheid, detailhandel en financiële dienstverlening. Wat deze zaken gemeen hebben, is dat het niet ging om eenmalige fouten, maar om structurele tekortkomingen in beleid, techniek of bewustzijn.

Belangrijk om te weten: de AP publiceert opgelegde boetes en handhavingsbesluiten op haar website. Dit betekent dat een boete niet alleen financiële gevolgen heeft, maar ook reputatieschade oplevert die moeilijk te herstellen is.

Welke overtredingen leiden tot de zwaarste sancties?

De zwaarste AVG-sancties worden opgelegd bij overtredingen die raken aan de fundamentele beginselen van de verordening: onrechtmatige verwerking van persoonsgegevens, het ontbreken van een geldige rechtsgrond, schending van de rechten van betrokkenen en het doorsturen van gegevens naar landen buiten de EU zonder passende waarborgen. Dit zijn de overtredingen waarvoor het maximum van 20 miljoen euro of 4% van de jaaromzet geldt.

Specifieke situaties die regelmatig leiden tot hoge boetes zijn:

• Het verwerken van bijzondere persoonsgegevens (zoals medische of biometrische gegevens) zonder geldige grondslag
• Het niet of te laat melden van een datalek bij de AP
• Onvoldoende technische en organisatorische beveiligingsmaatregelen, waardoor een datalek kon plaatsvinden
• Het negeren van verzoeken van betrokkenen om inzage, correctie of verwijdering van hun gegevens
• Het ontbreken van een verwerkersovereenkomst met externe partijen die persoonsgegevens verwerken

Voor de lichtere categorie, zoals administratieve tekortkomingen of het niet bijhouden van een verwerkingsregister, geldt het lagere maximum van 10 miljoen euro of 2% van de jaaromzet. Dat is nog altijd een fors bedrag voor een gemiddeld MKB-bedrijf.

Moet een datalek altijd gemeld worden bij de AP?

Nee, niet elk datalek hoeft gemeld te worden bij de Autoriteit Persoonsgegevens. Een melding is verplicht wanneer het datalek waarschijnlijk een risico inhoudt voor de rechten en vrijheden van betrokkenen. Is dat risico verwaarloosbaar, dan hoef je het incident intern te documenteren, maar niet te melden. Is er een hoog risico, dan moet je bovendien de betrokkenen zelf informeren.

In de praktijk betekent dit het volgende:

• Geen melding nodig: een versleutelde laptop raakt zoek en de gegevens zijn door de versleuteling niet toegankelijk voor derden.
• Wel melden bij de AP: klantgegevens, wachtwoorden of financiële informatie zijn toegankelijk geworden voor onbevoegden.
• Melden bij AP én betrokkenen: medische gegevens of andere bijzondere persoonsgegevens zijn gelekt en het risico op identiteitsfraude of discriminatie is reëel.

De meldtermijn is 72 uur nadat je als organisatie op de hoogte bent van het lek. Haal je deze termijn niet, dan moet je bij de melding uitleggen waarom de melding later plaatsvindt. Te laat melden is op zichzelf al een overtreding waarvoor de AP kan handhaven. Zorg er daarom voor dat je intern een duidelijk protocol hebt liggen voor het herkennen en afhandelen van datalekken.

Kunnen kleine bedrijven ook een hoge AVG-boete krijgen?

Ja, ook kleine bedrijven kunnen een significante AVG-boete ontvangen. De AVG maakt geen uitzondering voor organisatiegrootte. Hoewel de AP bij de bepaling van de boetehoogte rekening houdt met de financiële draagkracht van een organisatie, betekent dit niet dat het MKB automatisch lage of geen boetes krijgt. Een boete van tienduizenden euro’s kan voor een klein bedrijf net zo ingrijpend zijn als een miljoenenboete voor een multinational.

Wat voor kleine bedrijven extra relevant is: de AP richt haar handhaving niet uitsluitend op grote organisaties. Klachten van betrokkenen, meldingen van datalekken en signalen uit de markt kunnen ook leiden tot onderzoek bij kleinere bedrijven. Branches die de AP actief in de gaten houdt, zijn onder andere de zorg, de detailhandel en de financiële sector, sectoren waar ook veel MKB-bedrijven actief zijn.

Daarnaast geldt dat reputatieschade voor een klein bedrijf soms zwaarder weegt dan de boete zelf. Klanten en partners verliezen vertrouwen wanneer een datalek publiek wordt, en dat herstel kost tijd en geld. Voor het MKB is preventie dan ook geen luxe, maar een zakelijke noodzaak.

Hoe verklein je de kans op een AVG-boete na een datalek?

Je verkleint de kans op een AVG-boete na een datalek door te zorgen dat je organisatie aantoonbaar proactief maatregelen heeft genomen vóór het incident plaatsvond. De AP beoordeelt niet alleen wat er mis ging, maar ook of een organisatie redelijkerwijs alles had gedaan om het te voorkomen. Wie dat kan aantonen, staat er bij een onderzoek aanzienlijk beter voor.

Concrete stappen die je kunt nemen:

• Stel een informatiebeveiligingsbeleid op dat aansluit op erkende normen zoals ISO 27001 of NEN 7510.
• Train medewerkers regelmatig op het herkennen van phishing, veilig omgaan met wachtwoorden en het melden van verdachte situaties.
• Voer technische maatregelen door zoals multi-factor authenticatie, versleuteling van gevoelige data en Endpoint Detection & Response.
• Leg een intern datalekprotocol vast zodat iedereen weet wat te doen binnen de 72-uurtermijn.
• Sluit verwerkersovereenkomsten met alle externe partijen die persoonsgegevens voor jou verwerken.
• Voer periodieke risicobeoordelingen uit om kwetsbaarheden in je ICT-omgeving tijdig op te sporen.

Documentatie speelt hierbij een grote rol. Kun je bij een AP-onderzoek aantonen dat je beleid had, trainingen gaf en technische maatregelen had getroffen, dan weegt dat sterk mee in de beoordeling van de boetehoogte.

Hoe wij helpen bij AVG-compliance en cybersecurity

Bij IC-Automatisering begrijpen we dat AVG-compliance en cybersecurity voor het MKB steeds complexer worden. Toch hoef je dit niet alleen op te lossen. Wij helpen organisaties met een compleet pakket aan maatregelen dat direct aansluit op de eisen van de AVG en relevante normen zoals ISO 27001 en NEN 7510.

Wat we concreet voor je doen:

• Een Security 0-meting via partnerorganisatie ThreadStone, waarmee we de huidige staat van jouw cybersecurity in kaart brengen, inclusief infrastructuur, processen en bewustzijn van medewerkers.
• Awareness-trainingen voor medewerkers via het KnowBe4-platform, met realistische phishing-simulaties en interactieve e-learnings, gecertificeerd via het CCV Awareness Keurmerk.
• Periodieke penetratietesten uitgevoerd door CCV-gecertificeerde specialisten, die kwetsbaarheden blootleggen met concrete aanbevelingen.
• Technische beveiligingsoplossingen zoals Endpoint Detection & Response, 24/7 serverbeveiliging via ThreadDefense en Vulnerability Management voor continu inzicht in risico’s.
• Begeleiding bij het opstellen van een informatiebeveiligingsbeleid dat voldoet aan ISO 27001, NEN 7510 en de NIS2-richtlijn.

Wil je weten hoe goed jouw organisatie er nu voor staat op het gebied van ICT-security? Neem contact met ons op voor een vrijblijvend gesprek of vraag direct een Security 0-meting aan. Zo weet je precies waar de risico’s liggen en wat je kunt doen om een datalek en de bijbehorende AVG-boete te voorkomen.

Related Articles

• Hoe controleer ik wie toegang heeft tot onze bestanden?
• Kan Copilot informatie uit ons CRM gebruiken?
• Wat is het verschil tussen een black box, white box en grey box pentest?
• Hoe groot is de kans dat jouw bedrijf slachtoffer wordt van een cyberaanval?
• Hoe beheer je de beveiliging van tientallen zakelijke apparaten tegelijk?