Sinds 2020 hebben toezichthouders meer dan €6,65 miljard aan boetes opgelegd. €1,2 miljard werd opgelegd aan Meta alleen en €746 miljoen aan Amazon. En deze bedrijven kennen compliance. Ze hebben toegewijde beveiligingsteams en ruime compliancebudgetten.
Toch houden overtredingen niet op.
Een van de vele redenen hiervoor is het gebrek aan zicht van organisaties op wat er aan de client-side gebeurt. Vaak draaien scripts van derden ongecontroleerd in de browsers van gebruikers, waarbij ze toestemmingskeuzes negeren of gegevens zonder medeweten van gebruikers naar het buitenland sturen. Dit stelt bedrijven bloot aan AVG-overtredingen.
TL;DR
- Wat zijn de boetes voor het overtreden van de AVG? AVG-boetes kunnen oplopen tot €20 miljoen of 4% van de wereldwijde jaarlijkse omzet, afhankelijk van welk bedrag hoger is. Er zijn boetes uitgedeeld van slechts €50, terwijl de grootste boete tot nu toe €1,2 miljard bedroeg (Meta). Naast financiële sancties kunnen toezichthouders ook corrigerende bevelen, audits en verwerkingsverboden opleggen.
- Wat zijn enkele bekende AVG-overtredingen uit de recente geschiedenis? Er zijn verschillende spraakmakende AVG-overtredingen geweest waarbij boetes in de honderden miljoenen euro's liepen. Meta, Amazon en TikTok zijn allemaal beboet voor respectievelijk onrechtmatige gegevensverwerking, het niet verkrijgen van toestemming en grensoverschrijdende gegevensoverdrachten.
- Kunnen kleine bedrijven worden beboet onder de AVG? Ja. Handhaving is niet beperkt tot grote ondernemingen. Toezichthouders beboeten kleine en middelgrote organisaties voor alledaagse problemen zoals marketingtoestemming, misleidende formulieren en onrechtmatige analyseoverdrachten.
- Waarom is client-side beveiliging belangrijk voor AVG-naleving? Scripts van derden die gegevens in de browser verwerken, worden vaak niet gecontroleerd. Deze gelden als verwerkers onder de AVG en een gebrek aan zicht op deze scripts leidt tot tekortkomingen onder Artikel 25, 28, 32 en andere artikelen.
Wat zijn de boetes voor AVG-overtredingen?
AVG-boetes zijn afhankelijk van de ernst van het incident. De maximale boete bedraagt €20 miljoen of 4% van de wereldwijde jaarlijkse omzet, afhankelijk van welk bedrag hoger is. Bedrijven die doorlopende monitoring en preventieve maatregelen kunnen aantonen, kunnen lagere boetes krijgen.
Meest voorkomende redenen voor AVG-overtredingen
AVG-handhaving volgt bepaalde patronen. Toezichthouders staan erom bekend dezelfde categorieën overtredingen te bestraffen, of het nu gaat om toestemmingsfouten of beveiligingstekorten.
Hier zijn enkele van de meest voorkomende oorzaken.
- Onvoldoende rechtsgrondslag of ongeldige toestemming: Artikel 6 vereist dat elke verwerkingsactiviteit een rechtmatige grondslag heeft. Vooraf aangevinkte selectievakjes en gebundelde toestemmingsformulieren die in andere regio's acceptabel zijn, kunnen de AVG-toestemmingsvereisten schenden. Hetzelfde geldt voor cookies die gebruikers dwingen tracking te accepteren.
- Gebrek aan transparantie: Onder Artikelen 12 en 13 moeten organisaties gegevensverzameling en -verwerking in begrijpelijke taal uitleggen. Boetes richten zich op privacybeleid dat details over het delen met derden weglaat of de verwerkingsactiviteit op uw website niet nauwkeurig weergeeft.
- Ontoereikende beveiligingsmaatregelen: Artikel 32 verplicht organisaties passende technische en organisatorische beveiligingsmaatregelen te implementeren om het risico op blootstelling van gegevens te verminderen. Toezichthouders leggen boetes op na inbreuken die zwakke beveiligingspraktijken blootleggen. Veelvoorkomende tekortkomingen zijn onversleutelde gegevens en code-injecties op websites die gegevens afschimmen.
- Onrechtmatige gegevensverwerking of schendingen van doelbinding: Artikel 5 beperkt het gebruik van gegevens tot uitsluitend de doeleinden die aanvankelijk zijn vermeld. Het gebruik van gegevens voor marketing zonder toestemming of het verzamelen van buitensporige informatie buiten het opgegeven doel kan leiden tot toezichthouderdruk of civiele rechtszaken.
- Overtredingen door derden: Verwerkingsverantwoordelijken zijn verantwoordelijk voor de manier waarop verwerkers of externe leveranciers hun gegevens verwerken. Boetes volgen uit het delen van persoonsgegevens met leveranciers zonder deugdelijke verwerkersovereenkomsten (DPA's). Het toestaan dat analyses en scripts gegevens zonder bescherming overdragen, heeft hetzelfde effect.
- Niet nakomen van rechten van betrokkenen: Artikel 15 kent consumenten het recht toe om binnen een bepaalde termijn hun gegevens in te zien, te rectificeren, te wissen en over te dragen. Als een verwerkingsverantwoordelijke te laat reageert op deze verzoeken, leggen toezichthoudende instanties snel sancties op.
Aanvullende redenen voor AVG-overtredingen
Boetes wegens gegevensminimalisatie
Gegevensminimalisatie (AVG Art. 5(1)(c)) betekent dat persoonsgegevens relevant en beperkt moeten zijn tot wat noodzakelijk is voor het doel. Vastgoedwebsite PAP (pap.fr) kreeg een boete van €100.000 nadat de CNIL tekortkomingen constateerde rondom bewaartermijnen (gegevens langer bewaren dan noodzakelijk).
Grensoverschrijdende gegevensoverdracht
Grensoverschrijdende overdrachten (AVG Hoofdstuk 5) worden riskant wanneer persoonsgegevens de Europese Economische Ruimte (EER) verlaten naar een land zonder adequaatheidsbesluit, en de exporteur geen gelijkwaardige bescherming kan garanderen.
Zo legde de Nederlandse AP Uber een boete op van €290 miljoen voor het overdragen van gegevens van Europese chauffeurs naar Amerikaanse servers zonder passende waarborgen.
Trackingtechnologie
Deze handhavingscategorie richt zich op cookies, pixels, SDK's en advertentie-ID's die gebruikers profileren of hen over websites volgen zonder geldige toestemming.
Toezichthouders beschouwen onrechtmatige tracking als een ernstige overtreding omdat deze continu, grootschalig en voor gebruikers moeilijk te vermijden kan zijn. Zo legde de CNIL Shein een boete op van €150 miljoen voor cookiepraktijken die niet voldeden aan de toestemmingsvereisten.
Totale AVG-boetes per type overtreding
| Categorie overtreding | Totale boetes (€) | Opvallend voorbeeld |
|---|---|---|
| Onvoldoende rechtsgrondslag voor gegevensverwerking | €3.010.751.097 | Meta €1,2 miljard voor onrechtmatige EU-VS gegevensoverdrachten |
| Niet-naleving van algemene beginselen voor gegevensverwerking | €2.527.583.332 | Amazon €746 miljoen (Luxemburg CNPD) |
| Onvoldoende technische en organisatorische maatregelen om informatiebeveiliging te waarborgen | €883.754.537 | Meta €265 miljoen (onderzoek naar Facebook-datascraping) |
| Onvoldoende nakoming van informatieverplichtingen | €252.723.860 | WhatsApp €225 miljoen voor transparantie- en informatieverplichtingen |
| Onvoldoende nakoming van rechten van betrokkenen | €103.066.766 | €100.000 boete opgelegd aan een telecombedrijf door de Belgische AP voor het onjuist afhandelen van een inzageverzoek van een betrokkene |
Gegevensbron: CMS GDPR Enforcement Tracker, stand van zaken december 2025. Cumulatieve boetes bedragen in totaal ongeveer €6,6 miljard.
Grote AVG-boetes in recente jaren (gesorteerd op oorzaak)
We hebben een analyse samengesteld van recente opvallende AVG-overtredingen per oorzaak. Deze zaken laten zien welke soorten tekortkomingen doorgaans de zwaarste sancties uitlokken.
1. AVG-boete voorbeeld: Geen rechtsgrondslag of ongeldige toestemming
LinkedIn Ireland kreeg een boete van €310 miljoen voor het gebruik van een onjuiste rechtsgrondslag voor advertenties en analyses. Het bedrijf gebruikte gebruikersgegevens voor gerichte advertenties en stelde dat deze verwerking noodzakelijk was voor de uitvoering van de overeenkomst met gebruikers.
Toezichthouders verwierpen deze claims omdat gerichte advertenties niet vereist waren om de LinkedIn-dienst te leveren. LinkedIn informeerde gebruikers ook niet welke rechtsgrondslag van toepassing was op welk type verwerking. De gegevensverwerking had daardoor geen geldige rechtsgrondslag onder Artikel 6.
In een andere handhavingszaak ontving INFINITE STYLES SERVICES CO. LIMITED, dat het modebedrijf Shein exploiteert, een boete van €150 miljoen voor het via manipulatief interfaceontwerp sturen van gebruikers richting het accepteren van tracking en profilering.
Als gebruikers niet duidelijk kunnen begrijpen waarom hun gegevens worden verwerkt, of als toestemming geen echte keuze is, loopt de organisatie het risico de AVG-vereisten te schenden.
2. AVG-boete voorbeeld: Gebrek aan transparantie
WhatsApp werd beboet door de Ierse Data Protection Commission voor het niet verduidelijken hoe de persoonsgegevens van gebruikers werden verwerkt tussen WhatsApp en andere diensten van Facebook. WhatsApp informeerde ook niet-gebruikers niet van wie het telefoonnummers verwerkte wanneer contacten werden geüpload. Bovendien waren hun privacydetails niet duidelijk uitgelegd. Dit gebrek aan transparantie schond de Artikelen 12, 13 en 14 van de AVG, wat leidde tot een boete van €225 miljoen.
Een ander bedrijf, Clearview AI, schraapte gezichtsafbeeldingen van het openbare web en gebruikte deze voor biometrische identificatie. Het bedrijf vroeg echter geen expliciete toestemming aan de betrokken personen. Omdat mensen geen kennisgeving of uitleg over het doel ontvingen, hadden ze geen praktische mogelijkheid om hun rechten uit te oefenen. Meerdere EU-autoriteiten beboetten het bedrijf nadat ze hadden vastgesteld dat de verborgen gegevensverzameling de kern van de AVG schond.
Transparantie gaat verder dan een privacybeleid. De AVG verwacht duidelijkheid en zichtbaarheid. Als gebruikers niet gemakkelijk kunnen begrijpen welke gegevens u verzamelt en waarom, beschouwen toezichthouders dat gebrek aan transparantie als een overtreding op zichzelf.
3. AVG-boete voorbeeld: Ontbrekende beveiligingsmaatregelen (Artikel 32)
Artikel 32 van de AVG verplicht organisaties de persoonsgegevens van gebruikers te beschermen met passende technische en organisatorische beveiligingsmaatregelen.
De Griekse gegevensbeschermingsautoriteit legde OTE Group een boete op van €3.250.000 nadat een inbreuk gebruikersbeldata blootlegde die vanuit zijn systemen naar een externe server waren overgedragen. Onderzoekers beschuldigden OTE van het niet implementeren van adequate beveiligingsmaatregelen voor zijn infrastructuur, wat resulteerde in de exfiltratie van persoonsgegevens gedurende meerdere dagen.
Op vergelijkbare wijze bestrafte de Ierse Data Protection Commission de Bank of Ireland met €463.000. Dit was het gevolg van herhaalde datalekken waarbij persoonsgegevens van klanten werden beschadigd of openbaar gemaakt tijdens overdrachten naar het Centraal Kredietregister (CCR). Net als bij OTE concludeerden de toezichthouders dat de bank geen passende technische en organisatorische maatregelen had geïmplementeerd, waarmee Artikel 32 werd geschonden.
Artikel 32 is verplicht, en als systemen gegevens blootstellen door zwakke toegangscontroles of onvoldoende procesbewaking, loopt de organisatie het risico op AVG-blootstelling.
4. AVG-boete voorbeeld: Overtredingen door derden of leveranciers
De Duitse gegevensbeschermingsautoriteit (BfDI) legde Vodafone een boete op van €45 miljoen. Hiervan was €15 miljoen specifiek opgelegd voor het niet controleren en monitoren van partneragentschappen die namens Vodafone optraden. Vodafone zorgde er niet voldoende voor dat die externe partners klantgegevens verwerkten in overeenstemming met de AVG-vereisten onder Artikel 28, waardoor klantgegevens in gevaar kwamen.
In een andere zaak werd een Duits financieel instituut beboet met €11 miljoen nadat een SaaS-leverancier zijn systemen verkeerd had geconfigureerd. Hierdoor kwamen meer dan 200.000 klantrecords online bloot te liggen. Ten eerste oefende de bank onvoldoende toezicht uit op de beveiligingspraktijken van zijn leverancier. Ten tweede was de leveranciersovereenkomst verouderd. De inbreuk leidde tot AVG-handhaving omdat verwerkingsverantwoordelijken verantwoordelijk blijven voor de bescherming van persoonsgegevens, ook wanneer derden deze verwerken.
Het ondertekenen van een contract met een leverancier maakt compliance niet tot het probleem van de leverancier. De AVG legt de verantwoordelijkheid voor naleving bij de organisatie die hen inhuurt.
5. AVG-boete voorbeeld: Niet nakomen van rechten van betrokkenen
In augustus 2025 werd een boete van €100.000 opgelegd aan een telecombedrijf door de Belgische Gegevensbeschermingsautoriteit voor het onjuist afhandelen van een inzageverzoek van een betrokkene (DSAR). Toen een van zijn klanten toegang vroeg tot logboeken die toonden wie toegang had gehad tot zijn persoonsgegevens, liet het bedrijf dit 14 maanden aanslepen. De Belgische GBA stelde vast dat de verwerkingsverantwoordelijke Artikelen 12 en 15 van de AVG had geschonden. Het faciliteerde de uitoefening van inzagerechten niet, kon niet tijdig communiceren en behandelde het antwoordproces onjuist.
Op vergelijkbare wijze werd SATS ASA beboet met ongeveer €850.000 door de Noorse gegevensbeschermingsautoriteit na herhaalde klachten over het niet reageren op inzage- en verwijderingsverzoeken. SATS communiceerde ook geen bewaartermijnen en rechtsgrondslagen, en negeerde geldige verwijderingsverzoeken wanneer het lidmaatschap eindigde.
Toezichthouders beboeten bedrijven die geen adequate mechanismen implementeren om inzage-, verwijderings- en intrekkingsverzoeken tijdig en volledig af te handelen. Ongeacht hoe complex uw verwerking is, als mensen hun rechten in de praktijk niet kunnen uitoefenen, beschouwt de AVG dat als een duidelijke overtreding.
Worden kleine en middelgrote bedrijven beboet onder de AVG?
Ja. Het MKB wordt wel degelijk beboet onder de AVG. Omvang biedt geen bescherming. De AVG is van toepassing op elk bedrijf dat EU-persoonsgegevens verwerkt, of het nu een bootstrapped startup is of een lokaal e-commercemerk. De omvang van het bedrijf beïnvloedt echter wel hoe toezichthouders de boete beoordelen.
Dit is waar handhavingsautoriteiten rekening mee houden:
- Bedrijfsomvang en omzet: Kleinere bedrijven krijgen veel lagere boetes dan die de krantenkoppen halen, maar zelfs bescheiden sancties kunnen een deuk slaan als de marges krap zijn.
- Aard en duur van de overtreding: Boetes zijn afhankelijk van de ernst van de inbreuk en de tijd die verstrijkt voordat deze wordt aangepakt. Een korte blootstelling veroorzaakt door een falend script verschilt sterk van een datalek dat maandenlang onbehandeld blijft.
Nalatigheid versus opzet: Organisaties die beveiligingsmaatregelen kunnen documenteren, krijgen doorgaans meer clementie. Als een overtreding wordt veroorzaakt door nalatigheid van een medewerker terwijl er privacysystemen waren ingevoerd, kan het boetebedrag worden verlaagd.
Voorbeelden van AVG-boetes voor kleine en middelgrote bedrijven
AVG-handhaving is niet beperkt tot grote ondernemingen zoals Amazon en Meta. Toezichthouders beboeten kleine en middelgrote organisaties voor alledaagse problemen zoals marketingtoestemming, misleidende formulieren, onrechtmatige analyseoverdrachten en zelfs het niet meewerken aan een onderzoek.
Tabel van AVG-boetes voor kleine en middelgrote bedrijven
| Bedrijf | Land | Autoriteit | Jaar | Boetebedrag | Wat er gebeurde |
|---|---|---|---|---|---|
| Knuddels.de (klein sociaal netwerk) | Duitsland | LfDI Baden-Württemberg | 2018 | €20.000 | Een beveiligingslek leidde tot blootstelling van gebruikersgegevens; de autoriteit beschouwde dit als een tekortkoming in het beveiligen van de verwerking. |
| Smart Cities (Warschaus bedrijf) | Polen | UODO | 2021 | PLN 12.000 (ongeveer €3.000) | Het bedrijf werkte niet mee met de autoriteit (reageerde niet en verleende de vereiste toegang niet). |
| Vis Consulting Sp. z o.o. (telemarketingbedrijf) | Polen | UODO | 2020 | PLN 20.000 (ongeveer €4.674) | Boete voor het niet meewerken tijdens een inspectie. |
| HUBSIDE.STORE (elektronicawinkel) | Frankrijk | CNIL | 2024 | €525.000 | Gebruikte contactgegevens van datamakelaars voor telefoon- of sms-marketing zonder te controleren of mensen geldig toestemming hadden gegeven. |
Kunnen bedrijven onder de AVG worden beboet voor datatracking door externe leveranciers?
Ja. Websitebeheerders zijn verantwoordelijk voor de manier waarop scripts van derden persoonsgegevens verwerken.
In het verleden hebben autoriteiten bedrijven beboet voor overtredingen die voortkwamen uit leverancierscode, partnerintegraties en advertentietechnologieën die zij zelf niet hadden gebouwd.
- De Franse CNIL legde Criteo in 2023 een boete op van €40 miljoen. Het bedrijf volgde surfgedrag via cookies die door partnerwebsites werden geplaatst, maar controleerde nooit of partners geldige toestemming hadden verkregen. Meer dan de helft van de geteste partnerwebsites verzamelde geen rechtmatige toestemming.
- Gegevensbeschermingsautoriteiten in Oostenrijk, Frankrijk, Italië en Zweden oordeelden dat websites die Google Analytics gebruikten de AVG schonden. Google Analytics droeg gebruikers-ID's, browserparameters en IP-adressen over naar Amerikaanse servers zonder voldoende waarborgen.
- De CNIL legde Google in 2020 een boete op van €100 miljoen en Amazon €35 miljoen voor het plaatsen van advertentiecookies vóór het verkrijgen van toestemming. Google's banner plaatste cookies zonder te wachten tot de gebruiker een keuze had gemaakt of zich had afgemeld.
- Sociale-mediaknoppen en widgets van derden, zoals ingesloten video's, kunnen gegevens overdragen aan externe partijen zonder medeweten van de gebruiker. De Ierse DPC heeft gewaarschuwd dat het aan verwerkingsverantwoordelijken is om precies te begrijpen welke gegevens deze tools overdragen.
AVG-aansprakelijkheid eindigt niet bij eigen code
- Verwerkingsverantwoordelijken blijven verantwoordelijk voor de gegevensverwerking van code van derden op hun website. Er moeten DPA's zijn zodat verwerkingsverantwoordelijken precies begrijpen wat elke verwerker doet met gebruikersgegevens. Monitoringtools voor websitescripts helpen verwerkingsverantwoordelijken ervoor te zorgen dat datatrackers van derden binnen het overeengekomen bereik opereren.
Verwerkers en subverwerkers vergroten het risicooppervlak. Artikel 28 verplicht verwerkingsverantwoordelijken ervoor te zorgen dat verwerkers voldoen aan de normen voor gegevensbescherming. Dit geldt ook voor subverwerkers (4e-partijscripts) die door scripts van derden op uw website worden geladen.
Waar toezichthouders op letten bij het beoordelen van AVG-boetes
Toezichthoudende autoriteiten volgen de criteria in Artikel 83 van de AVG om te beslissen of een boete wordt opgelegd en hoe hoog de sanctie zal zijn.
Boetes zijn evenredig aan zowel de overtreding als de omstandigheden van de organisatie. Toezichthoudende instanties houden over het algemeen rekening met:
- Aard, ernst en duur van de inbreuk
- Opzet afgewogen tegen nalatigheid
- Soorten betrokken persoonsgegevens
- Maatregelen genomen om schade te beperken
- Technische en organisatorische beveiligingsmaatregelen
- Eerdere inbreuken
- Medewerking met de toezichthoudende autoriteit
AVG-rechtszaken die de handhaving hebben gevormd
Hier zijn enkele opvallende rechtszaken die de handhaving van de AVG hebben beïnvloed.
- Google Spain v. Costeja González (C-131/12) gaf het recht op vergetelheid vorm. Het Hof oordeelde dat personen zoekmachines kunnen verzoeken resultaten te verwijderen die verouderde of irrelevante persoonlijke informatie over hen tonen.
- Planet49 (C-673/17) verduidelijkte de toestemmingsnormen. Het Hof oordeelde dat vooraf aangevinkte cookievakjes geen geldige toestemming vormen. Toestemming moet expliciet en actief zijn, niet verondersteld.
- Fashion ID (C-40/17) stelde vast dat websites die plugins van derden inbedden (zoals sociale-mediaknoppen) gezamenlijke verwerkingsverantwoordelijken kunnen zijn met die derden voor gegevens die naar hen worden verzonden. Dit dwong veel websites hun aansprakelijkheid en naleving bij het gebruik van ingesloten inhoud te heroverwegen.
Meta's advertentiemodel-uitspraak van het Oostenrijkse Hooggerechtshof (2025) oordeelde dat Meta's gepersonaliseerde advertenties onrechtmatig waren omdat ze gevoelige categorieën persoonsgegevens combineerden en specifieke, geïnformeerde toestemming ontbeerden. Het hof beval volledige transparantie en scheiding van gevoelige gegevens voor alle EU-gebruikers.
Hoe cside helpt bij AVG-naleving
cside Privacy Watch biedt zicht op wat er plaatsvindt binnen gebruikersbrowsersessies.
Het laat complianceteams zien hoe scripts van derden achter de schermen opereren. Zo helpt cside complianceteams:
- Zet de schijnwerper op cookies van derden: cside biedt zicht op elk script van derden dat in de browser draait. Het legt bloot welke gegevens elk script benadert en waarheen het deze verzendt.
- Stopt ongeautoriseerde gegevensverzameling: cside handhaaft toestemmings- en privacyregels voordat scripts worden uitgevoerd. Dit voorkomt dat persoonsgegevens worden verzameld of gedeeld zonder geldige grondslag.
- Voorkomt datalekken op websites: cside identificeert verdacht scriptgedrag in realtime. Het waarschuwt teams voor risicovolle of niet-conforme acties met 24/7-logboeken die bewijzen dat beveiligingsmaatregelen zijn getroffen.
- Bewaakt over-verzameling: cside volgt elke wijziging in de code van scripts van derden en signaleert updates die veranderen hoe uw website gegevens verwerkt. Privacyteams gebruiken deze informatie om scripts te beoordelen en goed te keuren zonder in compliance-drift te vervallen.
U kunt een demo boeken bij cside om te zien hoe onze dashboards en AI-ondersteunde documentatie tijd besparen voor uw team.
