AVG sancties openbaar: wat betekent dit voor uw bedrijf?
Privacywetgeving staat volop in beweging. De Autoriteit Persoonsgegevens (AP) legt al sancties op aan organisaties die de AVG overtreden. Een politiek voorstel van NSC wil daar nog een stap verder in gaan: boetes verplicht openbaar maken. Voor zzp'ers en mkb-ondernemers is dit het moment om uw AVG-naleving serieus te nemen. Dit stuk legt uit wat er speelt, wat u volgens de geldende regelgeving dient te doen, en hoe u risico's beperkt.
Geen juridisch advies. Raadpleeg een belastingadviseur of juridisch specialist voor uw specifieke situatie.
Wat zegt de AVG voor zzp'ers en mkb?
De Algemene Verordening Gegevensbescherming (AVG) geldt volgens de Autoriteit Persoonsgegevens voor élke organisatie die persoonsgegevens verwerkt. Dat geldt dus ook voor de zelfstandige webdesigner, de kleine accountant of het vijfkoppige marketingbureau. De AP stelt dat er geen uitzondering geldt op basis van omvang of rechtsvorm.
De drie kernverplichtingen zijn:
| Verplichting | Wat houdt het in? |
|---|---|
| Verwerkingsgrondslag | De AVG vereist een geldige juridische basis voor elke verwerking (toestemming, overeenkomst, wettelijke plicht, etc.) |
| Transparantie | Betrokkenen moeten weten wat u met hun gegevens doet, via een privacyverklaring |
| Beveiliging | U dient passende technische en organisatorische maatregelen te treffen om datalekken te voorkomen |
Stel: u werkt als IT-consultant en bewaart klantcontacten, projectnotities en urenregistraties in een online platform. Al die gegevens vallen onder de AVG. Verwerkt u ze zonder verwerkingsgrondslag of bewaarbeleid, dan loopt u risico op een handhavingsactie door de AP.
Voor uw urenregistratie en klantgegevens geldt bovendien dat u nadenkt over bewaartermijnen. Meer hierover leest u in AVG & urenregistratie: grondslag, locatiedata, bewaartermijn.
Hoe handhaaft de AP nu?
De Autoriteit Persoonsgegevens is de wettelijk bevoegde toezichthouder in Nederland. De AP kan bij overtredingen waarschuwen, een last onder dwangsom opleggen of een bestuurlijke boete uitdelen.
Openbaarmaking van een boete gebeurt pas nadat die boete formeel onherroepelijk is geworden. Zolang een organisatie bezwaar maakt of in beroep gaat, blijft de zaak intern. Dat beschermt ondernemers tegen reputatieschade bij nog niet vaststaande besluiten, maar het betekent ook dat de afschrikkende werking beperkt is.
Dit is precies het knelpunt dat NSC wil aanpakken met een politiek voorstel: boetes van de AP verplicht openbaar maken, ook eerder in het proces. Het doel is drieledig, zo stelt de toelichting op het voorstel:
- De zichtbaarheid van de AP vergroten
- Een afschrikkende werking creëren voor overtredingen
- Organisaties de kans geven van elkaars fouten te leren
Let op: dit betreft een politiek voorstel, geen vastgestelde wet. De status kan wijzigen. Volg de voortgang via officiële Kamerstukken.
Breng vandaag uw privacyadministratie op orde met de functies van PrikKlokPlus, van urenregistratie tot CRM.
Wat betekent verplichte openbaarmaking voor uw reputatie?
Als dit voorstel wet wordt, verandert er iets wezenlijks: een AVG-overtreding is dan niet meer alleen een financieel risico, maar ook een reputatierisico dat zichtbaar is voor klanten, partners en concurrenten.
Voor mkb-ondernemers en zzp'ers is dat extra gevoelig. Uw klantenrelaties zijn uw kapitaal. Eén gepubliceerde boete, hoe klein ook, kan vertrouwen kosten dat u jaren hebt opgebouwd.
Dat maakt het extra zinvol om nu al:
- Een actuele privacyverklaring op uw website te plaatsen
- Te documenteren op welke grondslag u persoonsgegevens verwerkt
- Een verwerkingsregister bij te houden (de AP stelt dit verplicht bij 250+ medewerkers; voor kleinere organisaties wordt het aanbevolen)
- Datalekken tijdig te melden bij de AP (binnen 72 uur bij risico voor betrokkenen)
Meer over hoe u klantgegevens veilig beheert leest u in Klantgegevens beveiliging CRM: leer van 2026.
AI-tools en extra verplichtingen vanaf 2026
Er komt nog een laag bij. Vanaf 2026 gelden op grond van de EU AI Act aanvullende verplichtingen voor websites die AI-tools van derden integreren. De verantwoordelijkheid voor transparantie ligt bij de websitebeheerder zelf, ook als u simpelweg een chatwidget of een analysetool van een externe partij toevoegt.
De EU AI Act bepaalt dat boetes bij zware overtredingen aanzienlijk kunnen zijn. Dit raakt ook ondernemers die hun website of klantcommunicatie met AI-hulpmiddelen hebben uitgebreid.
Wat u nu al kunt doen:
- Breng in kaart welke AI-tools u gebruikt en of ze persoonsgegevens verwerken
- Controleer of uw privacyverklaring deze toepassingen noemt
- Lees meer over wat de AI Act voor uw software betekent in AI Act transparantie: wat betekent dit voor uw software?
De combinatie van AVG, verplichte openbaarmaking van boetes en de AI Act maakt privacy tot een strategisch thema, niet langer alleen een juridische checklist.
Conclusie
De AVG geldt al, de handhaving bestaat al, en nu dreigt het reputatie-effect ervan groter te worden via verplichte openbaarmaking van boetes. Voor zzp'ers en mkb is de boodschap helder: wacht niet op nieuwe wetgeving. Breng uw verwerkingsgrondslag op orde, houd uw privacyverklaring actueel en zorg dat uw klantgegevens veilig zijn opgeslagen. Wie dat nu regelt, heeft straks minder te vrezen, ook als boetes openbaar worden.
Veelgestelde vragen
Geldt de AVG ook voor mij als eenmanszaak? Ja. De AP stelt dat de AVG geen onderscheid maakt naar ondernemingsvorm of omvang. Zodra u persoonsgegevens verwerkt, ook al is het alleen een klantenlijst met namen en e-mailadressen, bent u verwerkingsverantwoordelijke en gelden de AVG-verplichtingen voor u.
Wanneer maakt de AP een boete openbaar? Nu geldt dat openbaarmaking pas plaatsvindt nadat een boete formeel onherroepelijk is. Zolang u bezwaar maakt of in beroep bent, blijft de zaak intern. Het NSC-voorstel wil dit veranderen, maar is nog geen wet.
Moet ik een verwerkingsregister bijhouden als kleine ondernemer? De AP stelt dat een verwerkingsregister formeel alleen verplicht is voor organisaties met 250 of meer medewerkers, tenzij de verwerking risico's met zich meebrengt of regelmatig plaatsvindt. In de praktijk is bijhouden van een beknopt register voor iedereen verstandig: het helpt u aantonen dat u zorgvuldig omgaat met persoonsgegevens.
Wat moet ik doen bij een datalek? Volgens de AP dient u een datalek waarbij risico bestaat voor betrokkenen binnen 72 uur te melden bij de Autoriteit Persoonsgegevens. Meer informatie vindt u op autoriteitpersoonsgegevens.nl.
Veranderen er ook verplichtingen door de AI Act? Ja. Vanaf 2026 gelden op grond van de EU AI Act aanvullende transparantieverplichtingen voor websites die AI-tools van derden inzetten. De verantwoordelijkheid ligt bij u als websitebeheerder, ook bij eenvoudige integraties.
Zet vandaag de eerste stap
Breng uw klantgegevens, urenregistratie en projectadministratie veilig en AVG-conform op orde.