De Europese Raad voor Gegevensbescherming (EDPB) heeft ontwerprichtsnoeren gepubliceerd die de handhaving van de GDPR in de praktijk kunnen veranderen. Volgens een samenvatting van het ontwerp voorziet het voorstel in een EDPB-vermoeden van GDPR-boetes voor niet-geringe inbreuken, gekoppeld aan een bewust lage drempel om nalatigheid vast te stellen. In gewone taal: toezichthouders zouden vertrekken vanuit de veronderstelling dat een ernstige schending een boete verdient, en bedrijven zouden een groter deel van de last dragen om aan te tonen waarom dat niet zo zou moeten zijn.

Het bronmateriaal dat voor dit artikel beschikbaar is, beperkt zich tot een samenvatting, dus dit bericht houdt zich aan wat die samenvatting stelt en legt de waarschijnlijke implicaties in algemene termen uit.

Wat de ontwerprichtsnoeren van de EDPB voorstellen

De kern van het ontwerp is een verschuiving van de standaardinstelling. Tot nu toe hebben toezichthoudende autoriteiten onder de GDPR een reeks corrigerende bevoegdheden gehad, van berispingen en bevelen tot naleving tot administratieve boetes. De ontwerprichtsnoeren stellen voor dat voor inbreuken die niet gering zijn, een boete de verwachte uitkomst zou moeten zijn in plaats van één optie onder vele.

Twee elementen springen in het oog in de samenvatting:

  • Een vermoeden ten gunste van boetes voor niet-geringe inbreuken.
  • Een bewust lage drempel voor nalatigheid, wat van belang is omdat schuld een kernvoorwaarde is voor het opleggen van een boete.

De samenvatting merkt ook op dat organisaties robuuste maatregelen zullen moeten aantonen om te laten zien dat zij met passende zorg hebben gehandeld. Het ontwerp is een voorstel, geen definitieve richtsnoeren, dus de details kunnen na de consultatie veranderen.

Waarom een lage nalatigheidsdrempel de handhaving verandert

Boetes onder de GDPR hangen doorgaans af van de vraag of een inbreuk opzettelijk of nalatig was. Als het bewijzen van nalatigheid moeilijk is, kunnen toezichthouders aarzelen om te beboeten, of kunnen zaken vastlopen in discussies over wat een bedrijf wist of had moeten weten.

Een lage drempel verschuift die dynamiek. Als een bedrijf heeft nagelaten de stappen te nemen die een redelijk zorgvuldige organisatie zou nemen, kan nalatigheid worden vastgesteld zonder veel verder onderzoek. Gecombineerd met een vermoeden van boetes zou dat het voor een organisatie moeilijker maken om aan te voeren dat een inbreuk simpelweg pech was of een oprechte vergissing.

Dit past bij de bredere beweging naar consistentie. De EDPB heeft al een vijfstappenbenadering voor de berekening van boetes geïntroduceerd, die we hebben behandeld in onze uitleg over de vijfstappenmethode van de EDPB voor GDPR-boetes. Die methode gaat over hoeveel een boete zou moeten zijn. Het nieuwe ontwerp behandelt de eerdere vraag of er überhaupt een boete moet worden opgelegd. Voor achtergrond over de boetecategorieën en de rol van schuld, zie onze gids over GDPR-boetes en sancties in 2026.

Wat dit voor u betekent

Voor gewone mensen zou het praktische effect indirect maar betekenisvol zijn. Privacyrechten op papier doen er alleen toe als er consequenties zijn wanneer ze worden genegeerd. Als boetes de verwachte reactie op ernstige schendingen worden, hebben bedrijven een sterkere financiële reden om:

  • Minder persoonsgegevens te verzamelen in de eerste plaats.
  • De gegevens die ze bewaren te beveiligen, en te documenteren hoe.
  • Tijdig te reageren op verzoeken om toegang, wissing en bezwaar.
  • Personeel te trainen en leveranciers te screenen die klantgegevens verwerken.

Dit betekent niet dat elke klacht in een sanctie zal eindigen, en het garandeert geen snellere uitkomsten voor individuen. Voor geringe inbreuken wordt verwacht dat ze anders worden behandeld, en de richtsnoeren zijn nog steeds in ontwerp. Maar de richting is naar handhaving die echt gewicht in de schaal legt.

Organisaties zullen zich ondertussen waarschijnlijk richten op bewijs. Onder deze benadering zou het kunnen aantonen van administratie, risicobeoordelingen en prompt corrigerend optreden het verschil kunnen maken tussen een boete en een lichtere reactie.

Hoe u vandaag uw GDPR-rechten kunt uitoefenen

U hoeft niet te wachten tot de richtsnoeren definitief zijn. Als u in de EU of EER bent, of een bedrijf verwerkt uw gegevens onder de GDPR, kunt u al actie ondernemen:

  1. Vraag om toegang. Stuur een verzoek om toegang als betrokkene om erachter te komen welke gegevens een bedrijf over u heeft en hoe het die gebruikt.
  2. Verzoek om wissing. Als de gegevens niet langer nodig zijn of u uw toestemming intrekt, vraag het bedrijf dan om ze te verwijderen.
  3. Maak bezwaar tegen verwerking. U kunt bezwaar maken tegen bepaalde gebruiken, waaronder direct marketing.
  4. Houd een administratie bij. Bewaar kopieën van uw verzoeken en de antwoorden, met data.
  5. Escaleer als er niets gebeurt. Als een bedrijf niet behoorlijk reageert, kunt u een klacht indienen bij uw nationale gegevensbeschermingsautoriteit.

Een gedocumenteerde, goed onderbouwde klacht is het soort bewijs waarop toezichthouders kunnen handelen, en een sterkere handhavingshouding zou die klachten meer gewicht geven.

Belangrijkste punten

Het EDPB-vermoeden van GDPR-boetes zou, indien aangenomen zoals opgesteld, sancties de normale reactie maken op niet-geringe schendingen en nalatigheid gemakkelijker vaststelbaar maken. Dat zet druk op bedrijven om zorgvuldig met persoonsgegevens om te gaan en geeft de rechten van individuen meer praktische kracht.

Gebruik de rechten die u al heeft: vraag om toegang, vraag om wissing en maak waar passend bezwaar. Om te begrijpen hoe sancties worden berekend zodra een boete aan de orde is, lees onze uitleg over de vijfstappenmethode voor boetes van de EDPB en de GDPR-boetecategorieën.