Zeven jaar na de inwerkingtreding van de AVG op 25 mei 2018 is het tijd voor een balans. Wat heeft de Autoriteit Persoonsgegevens gedaan? Welke sectoren zijn het hardst geraakt? En wat staat organisaties te wachten in 2025 en daarna?

De cijfers: handhaving in perspectief

De AP heeft de afgelopen jaren steeds vaker en steeds hogere boetes opgelegd. Van de eerste voorzichtige boetes aan gemeenten en ziekenhuizen tot recente beschikkingen in de marketing- en techsector. De totale boetebedragen stegen jaar op jaar — mede onder druk van de EDPB die aandringt op effectieve, afschrikwekkende sancties.

"Aantoonbare compliance is niet langer voldoende als stok achter de deur — het is de basisverwachting van elke toezichthouder in Europa."

Welke sectoren liepen het meeste risico?

• Zorg: Onvoldoende toegangsbeveiliging van patiëntendossiers en structureel te brede inzagerechten
• Overheid: Verwerkingen zonder rechtsgrond, onvoldoende transparantie en gebrekkige dataretentie
• Marketing & Retail: Ontbrekende of ondeugdelijke toestemming voor tracking en profilering
• HR & Recruitment: Onevenredige gegevensverzameling en onvoldoende bewaarbeleid

De rode draad: het ontbreken van aantoonbaar beleid

De organisaties die werden beboet konden in de meeste gevallen niet aantonen dat zij de juiste maatregelen hadden genomen — zelfs als die maatregelen er feitelijk waren. Dit onderstreept het belang van een gestructureerd privacy-managementsysteem op PDCA-basis.

Wat staat ons te wachten?

De AP heeft aangekondigd haar handhavingsprioriteiten te verleggen naar AI-gerelateerde gegevensverwerkingen, grootschalig trackinggedrag en de toepassing van de Schrems II-jurisprudentie. Organisaties die nog niet hebben geïnvesteerd in een robuust privacy-programma lopen een steeds groter risico.