Een nieuwe studie van Surfshark heeft een opvallend cijfer geplakt op de Europese privacyhandhaving: meer dan $5 miljard aan GDPR-boetes opgelegd across het continent. Het onderzoek vraagt welk land Europa's "slechtste leerling" is als het op compliance aankomt, en het biedt een nuttige manier om naar GDPR-boetes in Europa per land te kijken. De korte samenvatting die we tot onze beschikking hebben, geeft niet de volledige ranglijst per land weer, dus dit artikel richt zich op wat het kopcijfer betekent, hoe het zich verhoudt tot andere openbare trackers, en wat je met je eigen rechten kunt doen.

Wat de GDPR-boeteranglijst van Surfshark laat zien

De kernbevinding is de schaal. In heel Europa hebben toezichthouders boetes opgelegd die sinds de inwerkingtreding van de Algemene verordening gegevensbescherming optellen tot meer dan $5 miljard. De studie presenteert dit als een soort ranglijst en vraagt welke landen de meeste sancties hebben geïnd en welke bedrijven en sectoren de meeste aandacht hebben getrokken.

Het helpt om te weten dat totalen variëren afhankelijk van wie telt en wanneer. Andere openbare trackers rapporteren andere cijfers. De GDPR Enforcement Tracker vermeldt bijvoorbeeld 3.340 zaken in 32 landen en een totaal van ongeveer €7,57 miljard, met als grootste afzonderlijke boete €1,2 miljard tegen Meta Platforms. Een andere bron citeert DLA Piper-cijfers die het cumulatieve totaal op bijna €7,1 miljard stellen. Valutaconversie, peildata en welke zaken worden meegerekend beïnvloeden allemaal het uiteindelijke getal, dus beschouw elk afzonderlijk totaal als een momentopname en niet als een vaststaand feit.

Wat consistent blijft across al deze bronnen is het algemene beeld: handhaving is reëel, is groot in dollartermen, en is geconcentreerd in een klein aantal zaken.

Welke landen handhaven GDPR het agressiefst

Een ranglijst van boetes per land laat niet noodzakelijk zien welk land de meeste overtredingen heeft. Het laat zien waar de grootste sancties zijn gevallen, en dat hangt sterk af van waar grote technologiebedrijven hun Europese hoofdkantoor hebben gevestigd. Onder het one-stop-shop-systeem van de GDPR wordt een bedrijf over het algemeen gecontroleerd door de toezichthouder in het land van zijn belangrijkste EU-vestiging.

Dat verklaart waarom een paar landen de totalen domineren. Volgens één analyse van handhavingsgegevens zijn Ierland en Frankrijk samen goed voor ongeveer 70% van alle waarde van GDPR-boetes. Een andere bron meldt dat Ierland alleen al ongeveer €4,04 miljard aan cumulatieve boetes heeft opgelegd, meer dan de helft van het Europa-brede totaal dat het citeert. Nederland staat volgens de lijst van Statista voor 2026 ook among de topopleggers, en Spanje en Italië springen er duidelijk uit bij het tellen van het aantal boetes in plaats van hun omvang.

Er zijn dus eigenlijk twee verschillende verhalen:

  • Grootschalige handhaving: een handvol toezichthouders dat zaken tegen wereldwijde platforms behandelt, met boetes in de honderden miljoenen.
  • Handhaving met hoog volume: toezichthouders in landen zoals Spanje en Italië die veel kleinere sancties opleggen, vaak tegen lokale bedrijven.

Geen van beide is "beter." Het ene weerspiegelt de reikwijdte van een paar krachtige zaken, het andere weerspiegelt stabiel dagelijks toezicht.

Wat boetes betekenen voor dagelijkse gebruikers

Het is gemakkelijk om een cijfer van $5 miljard te lezen en aan te nemen dat het geld terugvloeit naar mensen wier gegevens verkeerd zijn behandeld. Dat gebeurt over het algemeen niet. GDPR-boetes worden betaald aan overheidsinstanties, niet aan getroffen individuen. Hun doel is afschrikking en handhaving, niet compensatie.

Toch doen de cijfers er voor jou op praktische manieren toe:

  • Bedrijven hebben een financiële reden om privacy serieus te nemen. De verordening staat boetes toe van maximaal 4% van de jaaromzet voor de ernstigste overtredingen, volgens analyse van Jentis. Voor grote bedrijven is dat een aanzienlijk risico.
  • Handhaving vormt productwijzigingen. Onderzoeken leiden vaak tot wijzigingen in hoe consentbanners, tracking en gegevensoverdrachten werken.
  • Toezichthouders letten op individuele klachten. Veel zaken beginnen met een gebruiker die een klacht indient, wat betekent dat gewone mensen het proces in gang kunnen zetten.

Voor een nadere blik op hoe het boetesysteem is opgebouwd, inclusief de twee boeteniveaus en waarom schuld nu een factor is, zie onze gids over GDPR-boetes en sancties in 2026.

Wat dit voor jou betekent

Een landenranglijst is een herinnering dat je beschermingen slechts zo sterk zijn als de handhaving ervan. Als je in de EU woont of te maken hebt met bedrijven die EU-ingezetenen bedienen, bestaan je rechten ongeacht of een toezichthouder ooit iemand beboet. De boetetotalen laten simpelweg zien dat die rechten tanden hebben.

Het betekent ook dat je niet moet aannemen dat een bedrijf compliant is alleen omdat het groot of bekend is. Sommige van de grootste boetes ooit zijn opgelegd aan bekende namen.

Hoe je je GDPR-rechten uitoefent

Je hebt geen advocaat nodig om de GDPR te gebruiken. De kernrechten zijn eenvoudig, en van bedrijven wordt over het algemeen verwacht dat ze binnen één maand reageren.

  1. Verzoek om inzage. Vraag een bedrijf om een kopie van de persoonsgegevens die het over je heeft en hoe deze worden gebruikt.
  2. Verzoek om verwijdering. Vraag om verwijdering van je gegevens wanneer deze niet langer nodig zijn, of wanneer je je toestemming intrekt.
  3. Verzoek om correctie. Vraag om correctie van onjuiste informatie.
  4. Bezwaar maken tegen of beperken van verwerking. Je kunt bezwaar maken tegen bepaalde gebruiken, waaronder direct marketing.
  5. Klagen bij je toezichthouder. Als een bedrijf je negeert of slecht reageert, kun je een klacht indienen bij je nationale gegevensbeschermingsautoriteit.

Houd een administratie bij van je verzoeken en de antwoorden. Schriftelijke, gedateerde berichten maken elke latere klacht veel sterker.

Belangrijkste punten

  • De studie van Surfshark telt meer dan $5 miljard aan GDPR-boetes in Europa, en andere trackers rapporteren zelfs hogere totalen afhankelijk van methode en timing.
  • GDPR-boetes in Europa per land zijn sterk scheef verdeeld richting een paar toezichthouders, grotendeels vanwege waar grote technologiebedrijven zijn gevestigd.
  • Boetes gaan naar autoriteiten, niet naar individuen, maar ze drijven bedrijven richting betere datapraktijken.
  • Je kunt vandaag nog inzage-, verwijderings- en correctieverzoeken gebruiken, en escaleren naar een toezichthouder als je wordt genegeerd.

Als je wilt begrijpen hoe sancties daadwerkelijk worden berekend, lees onze gids over hoe GDPR-boeteniveaus en schuld werken. Kies dan één bedrijf dat je gegevens heeft en stuur een inzage- of verwijderingsverzoek. Het kost een paar minuten, en het is de meest directe manier om handhavingskoppen om te zetten in een echte verandering voor jou.