Vanaf morgen, 1 september 2026, is de Autoriteit Persoonsgegevens wettelijk verplicht om AVG-sancties openbaar te maken. Tot nu toe deed de toezichthouder dat op basis van eigen beleid. Een amendement uit de Tweede Kamer heeft de verplichting in de Uitvoeringswet AVG verankerd.
Het gaat om bestuurlijke sancties, waaronder boetes, lasten onder dwangsom en verwerkingsverboden. Die besluiten moeten vanaf september hoe dan ook naar buiten worden gebracht, ongeacht welk beleid de AP zelf hanteert. De toezichthouder vraagt daar al jaren om, meldt de organisatie.
Dat lijkt misschien een detail, maar dat is het niet. Publicatie op basis van intern beleid kan een toezichthouder aanpassen of intrekken. Bij een wettelijke plicht is dat niet mogelijk. Volgens de AP is die verankering belangrijk voor de rechtszekerheid en de rechtsbescherming van organisaties die een sanctie krijgen.
Bezwaar en gang naar de rechter
De procedure ligt vast. De AP laat een organisatie eerst weten dat ze de sanctie gaat publiceren en geeft ruimte om te reageren. Pas daarna volgt een definitief publicatiebesluit. Daarna geldt een wachttijd van tien werkdagen.
Heeft een organisatie de sanctie al zelf naar buiten gebracht, of maakt ze geen bezwaar, dan mag de AP eerder publiceren. Bezwaar maken kan tegen zowel de sanctie als de publicatie. Wie bezwaar maakt tegen openbaarmaking kan ook naar de rechter stappen om die tegen te houden.
Dat laatste is geen theorie, want boetes van de AP worden regelmatig aangevochten. Zo maakte Netflix bezwaar tegen de boete van 4,75 miljoen euro die het kreeg omdat het klanten tussen 2018 en 2020 onvoldoende informeerde over het gebruik van hun gegevens. Een boete van 600.000 euro voor de gemeente Enschede werd door de rechter ingetrokken.
Ook Wpg- en Wjsg-sancties naar buiten
De AP past haar openbaarmakingsbeleid aan op de nieuwe situatie. Daarbij kiest de toezichthouder ervoor om sancties op grond van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens op dezelfde manier te publiceren als AVG-sancties. Voor overige documenten blijft het bestaande beleid gelden.
De AP publiceert boetebesluiten integraal, inclusief de naam van de verwerkingsverantwoordelijke. Berispingen vallen daar niet onder, want die worden sinds april 2023 niet standaard openbaar gemaakt. De maximale boetes onder de AVG lopen op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Bij zwaardere overtredingen kan dat oplopen tot 20 miljoen euro of 4 procent.
In de praktijk legt de AP niet vaak boetes op. Volgens Binnenlands Bestuur deed de toezichthouder dat in 2025 vier keer, terwijl het aantal berispingen juist steeg. De AP stelt tot slot dat openbaarmaking andere organisaties helpt om te zien wat er is misgegaan en wat zij zelf kunnen verbeteren.