AVG-boetes stijgen met 230% naar €225,88 miljoen in Q2 2026

Het Nederlandse bedrag werd vrijwel volledig bepaald door de boete van €100 miljoen voor MLU B.V., de exploitant van de taxi-app Yango en rechtsopvolger van Ridetech International B.V. De Autoriteit Persoonsgegevens (AP) stelde vast dat persoonsgegevens van gebruikers en chauffeurs in Finland en Noorwegen naar Rusland waren doorgegeven zonder voldoende bescherming. MLU kreeg bovendien opdracht de doorgifte te stoppen zolang geen AVG-conforme waarborgen aanwezig waren.

Waarom de Yango-zaak belangrijk is

De zaak onderstreept een belangrijk risico bij internationale gegevensdoorgifte: het gebruik van standaardcontractbepalingen — ook wel Standard Contractual Clauses (SCC's) genoemd — neemt niet automatisch alle privacyrisico's weg. Volgens de beschikbare berichtgeving keek de AP onder meer naar mogelijke Russische toegang tot encryptiesleutels en naar de gedeelde Nederlands-Russische aansturing. Die omstandigheden konden risico's opleveren voor toegang tot gegevens en heridentificatie.

De AP legt uit dat persoonsgegevens alleen naar een zogenoemd derde land buiten de Europese Economische Ruimte (EER) mogen worden doorgegeven als daar een passend beschermingsniveau geldt, passende waarborgen zijn getroffen of een specifieke uitzondering van toepassing is. Standaardcontractbepalingen zijn één mogelijke waarborg, maar organisaties moeten ook kunnen aantonen dat de bescherming in de praktijk effectief is.

Franse boetes draaiden vooral om beveiligingsproblemen

Frankrijk kwam uit op €52 miljoen aan boetes. FREE MOBILE kreeg €27 miljoen en moederbedrijf FREE €15 miljoen na een omvangrijk datalek. IQVIA Operations France kreeg daarnaast een boete van €15 miljoen wegens datalekken met gezondheidsgegevens.

De zaken laten zien hoe groot de financiële gevolgen kunnen zijn wanneer organisaties gevoelige informatie onvoldoende beveiligen of hun beveiligingsmaatregelen niet effectief beheren. Ook blijkt dat handhaving meerdere ondernemingen binnen één concern kan raken wanneer verantwoordelijkheden voor gegevensverwerking en beveiliging over verschillende groepsmaatschappijen zijn verdeeld.

Italiaanse boetes betroffen vooral bankgegevens

Italië registreerde in totaal €45,50 miljoen aan boetes. Het grootste bedrag was de €31,8 miljoen boete voor Intesa Sanpaolo wegens tekortkomingen bij de bescherming van klantgegevens. Poste Italiane en PostePay kregen respectievelijk boetes van €6,62 miljoen en €5,88 miljoen wegens problemen rond het beheer van bankapps.

De Italiaanse zaken maken duidelijk dat financiële instellingen aanzienlijke risico's lopen wanneer toegangsbeheer, gegevensgovernance of digitale dienstverlening klantinformatie onvoldoende beschermt.

Reddit beboet wegens gebrekkige leeftijdscontrole

De Britse Information Commissioner's Office (ICO) legde Reddit een boete op van £14,47 miljoen (€16,61 miljoen) wegens onvoldoende leeftijdsverificatie en de onrechtmatige verwerking van gegevens van kinderen.

Daarmee gaat het handhavingsbeeld verder dan datalekken en internationale gegevensdoorgifte. Online platforms die gegevens van kinderen verwerken, moeten ook kunnen aantonen dat hun leeftijdscontroles en verdere verwerking een geldige rechtsgrond hebben en passende bescherming bieden.

Welke overtredingen en sectoren kwamen het vaakst voor?

Uit de analyse van Finbold blijkt dat beveiligingsproblemen en het ontbreken van een rechtsgrond voor verwerking verantwoordelijk waren voor vrijwel alle grote boetes in het Q2-overzicht.

Van de tien grootste boetes kwamen de media- en financiële sector elk drie keer voor. De transport- en energiesector waren elk goed voor twee van de tien grootste boetes, waaronder de grootste Nederlandse zaak rond Yango.

Dat patroon is relevant voor organisaties die AVG-risico's vooral als een technisch beveiligingsprobleem zien. De zaken uit het tweede kwartaal laten zien dat toezichthouders ook kijken naar de fundamenten van gegevensgebruik: is de verwerking rechtmatig, werken de waarborgen daadwerkelijk, is internationale doorgifte verdedigbaar en houdt een organisatie voldoende toezicht op partners en groepsmaatschappijen?

Wat betekenen de cijfers voor organisaties?

De sterke stijging betekent niet dat elke organisatie met hetzelfde boeterisico te maken heeft. Bovendien gaat het onderzoek om een verzameling gemelde handhavingsmaatregelen en niet om een voorspelling van toekomstige boetes. Wel geven de cijfers een duidelijk signaal af: grote financiële risico's kunnen ontstaan door tekortkomingen die juridische, operationele, technische en organisatorische controles tegelijk raken.

Voor organisaties die persoonsgegevens verwerken, zijn vooral deze aandachtspunten van belang:

• Rechtsgrond: leg vast waarom elke belangrijke verwerkingsactiviteit is toegestaan en controleer of de gekozen rechtsgrond overeenkomt met het daadwerkelijke gebruik.
• Beveiligingsmaatregelen: test of toegangsbeheer, encryptie, monitoring en procedures voor incidentrespons persoonsgegevens in de praktijk beschermen.
• Internationale doorgifte: beoordeel de juridische en technische omstandigheden in elk land van bestemming. Vertrouw niet uitsluitend op contractuele bepalingen.
• Toezicht op derden: zorg voor duidelijke verwerkersovereenkomsten, verantwoordelijkheidsverdeling en controleprocedures voor leveranciers en groepsmaatschappijen.
• Gegevens van kinderen en leeftijdscontrole: zorg dat leeftijdsverificatie en kindveiligheidsprocessen leiden tot een rechtmatige en proportionele verwerking.

De belangrijkste conclusie uit de Q2-analyse van Finbold is dat AVG-handhaving een concreet financieel risico vormt voor organisaties met zwakke gegevensgovernance. De grootste zaken gingen niet alleen over afzonderlijke technische fouten, maar over fundamentele tekortkomingen in rechtmatige verwerking, beveiliging, waarborgen voor internationale doorgifte en toezicht.