Vanaf 1 september 2026 kunnen organisaties die in Nederland een boete krijgen vanwege GDPR-overtredingen hun naam niet langer uit de krantenkoppen houden. Een nieuwe wettelijke bepaling, Artikel 21b, zal de Autoriteit Persoonsgegevens (AP) verplichten sancties te publiceren samen met de naam van de bestrafte organisatie. Wat ooit een discretionaire praktijk was, wordt een wettelijke verplichting, en die verschuiving heeft echte gevolgen voor hoe bedrijven, verenigingen en organisatoren van evenementen met persoonsgegevens omgaan.
Wat Artikel 21b Werkelijk Verandert
Onder het huidige systeem heeft de Nederlandse AP flexibiliteit in hoe zij handhavingsmaatregelen openbaar maakt. Boetes en corrigerende maatregelen worden soms gepubliceerd, soms samengevat zonder de overtreder te noemen, en soms volledig weggelaten uit publieke communicatie. Artikel 21b verwijdert die discretionaire ruimte. Zodra de regel van kracht wordt, is de AP verplicht de gesanctioneerde partij te noemen wanneer zij een GDPR-boete oplegt.
Dit is een betekenisvolle afwijking van hoe privacyhandhaving in Nederland doorgaans heeft gewerkt. Boetes zijn altijd een financieel risico geweest, maar vanaf september 2026 worden ze ook een gegarandeerd reputatie-evenement. Een gepubliceerde sanctie met de naam van een bedrijf eraan is doorzoekbaar, deelbaar en permanent op een manier die een stille financiële boete nooit was. Voor organisaties die afhankelijk zijn van publiek vertrouwen, klantrelaties of partnerschappen met grotere instellingen, kan die zichtbaarheid net zo belangrijk zijn als de boete zelf.
Het is de moeite waard op te merken dat deze ontwikkeling specifiek is voor Nederland en voor de handhavingsmechanismen van de GDPR, en geen wijziging is van de inhoud van de verordening. De regels over wat een overtreding is, rechtsgronden voor het verwerken van gegevens, of termijnen voor het melden van datalekken veranderen niet. Wat verandert, is de transparantie over wie er wordt betrapt en bestraft, en hoe zichtbaar dat wordt voor het publiek, voor concurrenten en voor potentiële klanten die due diligence uitvoeren.
Waarom Evenementorganisatoren Nu Moeten Opletten
De bron die over deze wijziging bericht, noemt specifiek evenementorganisatoren als een groep die haar zaken op orde moet krijgen voordat de regel van kracht wordt. Dat is logisch: evenementen verzamelen routinematig bezoekersgegevens via registratieformulieren, ticketplatforms, leadcapturetools van sponsors en marketinglijsten. Elk van deze contactpunten is een potentiële bron van GDPR-blootstelling, of het nu gaat om ontoereikende toestemmingsteksten, onduidelijke bewaartermijnen voor gegevens, of externe leveranciers die gegevens verwerken zonder de juiste overeenkomsten.
Tot nu toe kon een organisator die niet voldeed aan de GDPR-eisen een boete stil absorberen. Na september 2026 zal de naam van diezelfde organisator publiekelijk aan de overtreding worden gekoppeld, zichtbaar voor toekomstige bezoekers, exposanten en sponsors die overwegen of ze opnieuw met hen willen samenwerken. Voor een sector die is gebouwd op herhaalzaken en reputatie, is dat een ander soort risicoberekening.
Praktisch huiswerk vóór de deadline omvat het herzien van registratie- en ticketformulieren op duidelijke toestemmingsteksten, het auditen van welke gegevens worden verzameld en waarom, het bevestigen dat verwerkingsovereenkomsten met ticketplatforms en marketingtools actueel zijn, en het controleren dat bewaartermijnen voor gegevens daadwerkelijk worden nageleefd in plaats van alleen gedocumenteerd. Geen van dit alles vereist een juridische herziening, maar het vereist wel dat iemand daadwerkelijk controleert in plaats van aan te nemen dat naleving op orde is.
Een Patroon van Deadlines Binnen Verschillende Databeschermingsregimes
Nederland staat niet alleen in het aanscherpen van handhavingszichtbaarheid rond een specifieke datum. Toezichthouders in andere rechtsgebieden hebben vergelijkbare nalevingsdeadlines gesteld waar organisaties naartoe werken. De telecomtoezichthouder van Zimbabwe heeft bijvoorbeeld bevestigd dat het vanaf september 2026 actief de databeschermingswet zal handhaven, een tijdlijn die in dezelfde maand valt als de Nederlandse wijziging. Zwitserland deed jaren eerder een soortgelijke stap, toen de herziene Federale Wet op de Gegevensbescherming in september 2023 voor bedrijven van kracht werd, waardoor bedrijven een harde datum kregen om naartoe te werken in plaats van een open einde aan nalevingsverwachtingen.
De rode draad is dat toezichthouders steeds vaker de voorkeur geven aan concrete deadlines en publieke verantwoording boven stille, geval-per-geval handhaving. Organisaties die wachten tot een regel al van kracht is, hebben meestal minder ruimte om problemen op te lossen voordat ze openbaar worden.
Wat Dit Voor Jou Betekent
Als je een organisatie runt die persoonsgegevens verwerkt in Nederland, of dat nu een evenementenbedrijf is, een klein bedrijf of een non-profitorganisatie, is het praktische effect van Artikel 21b eenvoudig: elke toekomstige GDPR-boete zal je naam in openbare registers dragen. Dat verandert je onderliggende wettelijke verplichtingen niet, maar het verhoogt de inzet voor het in één keer goed krijgen van naleving. Reputatieschade door een boete met naam kan de financiële straf zelf overleven, vooral voor organisaties waarvan klanten of partners gemakkelijk openbare handhavingsregisters kunnen doorzoeken voordat ze een contract ondertekenen.
Voor individuen van wie de gegevens door deze organisaties worden verzameld, is de wijziging arguably een netto positief. Grotere transparantie over wie er is gesanctioneerd, geeft consumenten en evenementbezoekers meer informatie bij het beslissen welke bedrijven ze hun persoonlijke gegevens toevertrouwen.
Belangrijkste Conclusies
Voordat 1 september 2026 aanbreekt, moeten organisaties die actief zijn in Nederland, vooral degenen die bezoekers-, klant- of ledengegevens verwerken via registratie- en ticketsystemen, de toestemmingsteksten op alle formulieren voor gegevensverzameling herzien, bevestigen dat verwerkingsovereenkomsten met externe leveranciers actueel zijn, verifiëren dat gegevensbewaarpraktijken overeenkomen met schriftelijk beleid, en eventuele bekende nalevingslacunes nu aanpakken in plaats van nadat een sanctie openbaar wordt. Vroeg handelen is het verschil tussen stilletjes een probleem oplossen en het permanent aan de naam van je organisatie gekoppeld hebben in openbare handhavingsregisters.
