De European Data Protection Board (EDPB) heeft een vijfstappenmethodologie geïntroduceerd voor het berekenen van administratieve boetes, met als doel te standaardiseren hoe toezichthoudende autoriteiten in de Europese Unie GDPR-overtredingen bestraffen. De berichtgeving over de aankondiging bracht deze ook in verband met richtsnoeren over de wisselwerking tussen de GDPR en de Digital Services Act (DSA). Voor iedereen die om privacy geeft, is de methodologie voor GDPR-boetes het begrijpen waard, omdat deze bepaalt hoe serieus bedrijven de regels nemen die uw gegevens beschermen.

Wat de EDPB heeft aangekondigd

Het bronmateriaal is kort, dus hier staat wat het ondersteunt en niets meer. De EDPB heeft een vijfstappenmethodologie geïntroduceerd voor het berekenen van administratieve boetes. Het gestelde doel is te standaardiseren hoe nationale toezichthoudende autoriteiten in de EU GDPR-overtredingen bestraffen. De aankondiging werd gemeld samen met richtsnoeren over het snijvlak van de GDPR en de DSA.

De bronsamenvatting vermeldt niet wat elk van de vijf stappen inhoudt, dus we zullen er niet naar gissen. Lezers die de exacte formulering willen, kunnen de eigen gepubliceerde richtsnoeren van de EDPB raadplegen. Wat duidelijk blijkt uit de berichtgeving is de intentie: een gedeelde aanpak voor het berekenen van boetes in plaats van dat elke autoriteit vanuit haar eigen gewoonten werkt.

Waarom het standaardiseren van GDPR-boetes belangrijk is

De GDPR wordt gehandhaafd door nationale toezichthoudende autoriteiten, één of meer in elke lidstaat. Die structuur betekent dat hetzelfde soort overtreding door verschillende toezichthouders met verschillende benaderingen van sancties kan worden behandeld. Een gemeenschappelijke berekeningsmethode is bedoeld om die verschillen te verkleinen.

Voor context over hoe boetes vandaag de dag zijn gestructureerd, behandelt onze gids over GDPR-boetes en sancties in 2026 de twee boetecategorieën, wiens omzet meetelt, en waarom schuld nu vereist is. Een methodologie voor het berekenen van boetes ligt bovenop die regels: de wettelijke plafonds blijven hetzelfde, terwijl het proces om tot een bedrag te komen consistenter wordt.

Hoe de DSA erin past

De DSA reguleert onlineplatforms en tussenpersonen, terwijl de GDPR persoonsgegevens beheert. Veel diensten vallen onder beide. Richtsnoeren over hoe de twee kaders op elkaar inwerken, zijn bedoeld om toezichthouders en bedrijven te helpen ze samenhangend toe te passen, zodat de rechten van gebruikers worden beschermd zonder tegenstrijdige verplichtingen. De bron detailleert de specifieke bepalingen niet, dus deze post doet dat ook niet.

Wat dit voor u betekent

Als u in de EU woont, of diensten gebruikt die gegevens van EU-inwoners verwerken, kan een voorspelbaardere benadering van boetes praktische gevolgen hebben:

  • Consistentere handhaving. Een gedeelde methode kan de kloof verkleinen tussen hoe verschillende landen vergelijkbare overtredingen behandelen.
  • Duidelijkere prikkels voor bedrijven. Wanneer sancties gemakkelijker te voorzien zijn, hebben organisaties meer reden om in naleving te investeren.
  • Uw rechten veranderen niet. De methodologie betreft hoe boetes worden berekend. Uw rechten om uw gegevens in te zien, te corrigeren en te verwijderen blijven zoals ze waren.

Het is ook de moeite waard om de verwachtingen realistisch te houden. Een berekeningsmethode stopt op zichzelf geen inbreuken of misbruik, en boetes zijn slechts één handhavingsinstrument. De echte test zal zijn hoe toezichthoudende autoriteiten deze in daadwerkelijke zaken toepassen.

Bruikbare conclusies

  • Gebruik uw rechten. Als een bedrijf uw gegevens verwerkt, kunt u om inzage vragen of om verwijdering verzoeken. Klachten kunnen worden ingediend bij uw nationale toezichthoudende autoriteit.
  • Lees de primaire bron. Raadpleeg voor de exacte vijf stappen de gepubliceerde richtsnoeren van de EDPB in plaats van te vertrouwen op samenvattingen.
  • Let op vroege zaken. De eerste boetes die onder de nieuwe aanpak worden opgelegd, zullen laten zien hoe deze in de praktijk werkt.
  • Beoordeel uw eigen blootstelling. Beperk de persoonsgegevens die u deelt met diensten die ze niet nodig hebben, en gebruik privacyhulpmiddelen zoals sterke wachtwoorden en tweefactorauthenticatie.

De vijfstappenbenadering van de EDPB is een stap naar consistente GDPR-handhaving. Het begrijpen van de methodologie voor GDPR-boetes helpt u inschatten hoeveel gewicht bedrijven waarschijnlijk aan uw privacy zullen geven, en wanneer u uw rechten moet gebruiken als ze tekortschieten.

FAQ: Q1: Waarvoor dient de vijfstappenmethodologie van de EDPB? A1: Het is een methode voor het berekenen van administratieve boetes, bedoeld om te standaardiseren hoe toezichthoudende autoriteiten in de EU GDPR-overtredingen bestraffen. Q2: Legt het artikel uit wat elk van de vijf stappen is? A2: Nee, het artikel stelt dat de bronsamenvatting niet vermeldt wat elk van de vijf stappen inhoudt. Q3: Hoe verhouden de GDPR en de DSA zich tot elkaar, volgens het artikel? A3: De DSA reguleert onlineplatforms en tussenpersonen, terwijl de GDPR persoonsgegevens beheert, en veel diensten vallen onder beide. Q4: Veranderen de limieten voor GDPR-boetes onder deze methodologie? A4: Nee, de wettelijke plafonds blijven hetzelfde; alleen het proces om tot een boetebedrag te komen wordt consistenter. Q5: Veranderen mijn gegevensrechten door deze nieuwe boetemethode? A5: Nee, de methodologie betreft hoe boetes worden berekend, en uw rechten om uw gegevens in te zien, te corrigeren en te verwijderen blijven zoals ze waren. ---END---