AVG-boetes in Nederland: de cijfers

Op 21 augustus 2026 legde de Autoriteit Persoonsgegevens (AP) Uber een boete op van 824.990.000 euro. Bijna 825 miljoen, en daarmee de hoogste AVG-boete die in Nederland ooit is uitgedeeld.

Lees je zulke berichten, dan denk je snel dat het jou ook kan gebeuren. De praktijk voor een gewoon bedrijf is nuchterder. Hieronder zie je welke boetes de AP echt heeft opgelegd, hoe vaak dat gebeurt en waar jouw risico als ondernemer zit.

Wat mag de AP volgens de wet maximaal opleggen?

Artikel 83 van de AVG kent twee categorieën maxima. Voor de ene groep overtredingen is het 10 miljoen euro of 2 procent van de wereldwijde jaaromzet over het vorige boekjaar. Voor de zwaarste groep 20 miljoen euro of 4 procent. Het hoogste van die twee geldt.

Dat percentage verklaart de Uber-boete. De AP rekent met de wereldwijde omzet, en die was bij Uber in 2025 ongeveer 44,5 miljard euro. Alle Europese privacytoezichthouders rekenen boetes op dezelfde manier uit.

Maar dat zijn maxima, geen richtbedragen. Hoe de AP een boete berekent, staat in haar eigen Boetebeleidsregels van 6 juni 2023. Die werken met vier categorieën, elk met een bandbreedte en een basisboete:

• categorie I: 0 tot 200.000 euro, basisboete 100.000 euro
• categorie II: 120.000 tot 500.000 euro, basisboete 310.000 euro
• categorie III: 300.000 tot 750.000 euro, basisboete 525.000 euro
• categorie IV: 450.000 tot 1 miljoen euro, basisboete 725.000 euro

Kijk naar dat laatste bedrag. Het eigen beleid van de AP stopt rond 1 miljoen euro, ver onder de wettelijke maxima. De AP mag die bandbreedte verlaten als die geen passende straf toelaat, en bij de grote internationale zaken doet ze dat ook. Voor de meeste Nederlandse bedrijven zegt die staffel meer over het te verwachten niveau dan de krantenkoppen.

Welke AVG-boetes zijn er in Nederland echt opgelegd?

Een greep uit de boetes die de AP daadwerkelijk heeft opgelegd, met peildatum 27 augustus 2026:

• 824.990.000 euro voor Uber (2026), voor volledig geautomatiseerd besluiten over chauffeurs
• 290 miljoen euro voor Uber (2024), voor het doorgeven van gegevens van Europese chauffeurs aan de Verenigde Staten zonder passende bescherming
• 30,5 miljoen euro voor Clearview AI (2024), voor een illegale database met gezichtsfoto’s
• 10 miljoen euro voor Uber (2023), omdat het bedrijf chauffeurs onvoldoende duidelijk informeerde
• 3,7 miljoen euro voor de Belastingdienst (2022), voor het fraudesysteem FSV
• 830.000 euro voor Stichting BKR (2020), omdat mensen moesten betalen om hun eigen gegevens in te zien
• 725.000 euro voor een bedrijf dat vingerafdrukken gebruikte voor aanwezigheidsregistratie (2020)
• 600.000 euro voor een drogisterijketen (2024), voor trackingcookies zonder geldige toestemming
• 600.000 euro voor Uber (2018), de eerste van de vier boetes die Uber van de AP kreeg
• 525.000 euro voor tennisbond KNLTB (2020), voor het delen van ledengegevens met sponsors
• 475.000 euro voor Booking.com (2021), omdat een datalek 22 dagen te laat werd gemeld
• 15.000 euro voor een werkgever (2021), die te veel gegevens over ziekte van werknemers bewaarde
• 7.500 euro voor een politieke partij-afdeling (2021), na een e-mail waarin alle adressen zichtbaar waren

Let op die laatste twee. Boetes van een paar duizend euro bestaan echt, en die passen beter bij een gemiddelde onderneming dan de bedragen bovenaan.

Waarom legt juist de AP die megaboetes op?

Dat lijkt vreemd voor een klein land. De verklaring zit in het eenloketmechanisme uit de AVG. Heeft een bedrijf zijn Europese hoofdkantoor in Nederland, dan is de AP de leidende toezichthouder voor heel Europa.

De Uber-zaak van 2026 laat dat goed zien. Het onderzoek begon niet in Nederland. In Frankrijk meldden 171 chauffeurs zich bij de mensenrechtenorganisatie Ligue des droits de l’Homme, die namens hen een klacht indiende bij de Franse toezichthouder. Omdat het Europese hoofdkantoor van Uber in Nederland zit, deed de AP het onderzoek. Zij werkte daarbij nauw samen met de Franse toezichthouder en stemde het boetebesluit af met andere Europese toezichthouders.

Voor jou als Nederlandse ondernemer betekent dit iets belangrijks: die megaboetes zeggen weinig over jouw situatie. Ze horen bij multinationals met een wereldwijde omzet in de miljarden.

Hoe vaak legt de AP eigenlijk een boete op?

In het openbare overzicht van Nederlandse AVG-boetes staan sinds 2018 ongeveer dertig zaken. In 2025 kwamen daar vier boetes bij, in 2024 waren het zes.

Zet dat naast de instroom. De AP kreeg in 2025 ruim 13.500 klachten en tips binnen, 75 procent meer dan in 2024. Het aantal gemelde datalekken steeg van 37.839 in 2024 naar 44.374 in 2025. Bijna driekwart van die meldingen ging over een brief of e-mail die bij de verkeerde persoon terechtkwam.

De AP zegt zelf dat de wachttijden oplopen, ondanks een snellere manier van werken. Wel liepen er in 2025 22 grote nationale en internationale onderzoeken, meer dan het dubbele van een jaar eerder. Met tienduizenden meldingen en een paar boetes per jaar is de kans op een boete statistisch klein. Dat is geen vrijbrief, want de AP kiest gericht.

Waarvoor wordt in Nederland beboet?

Leg je de zaken naast elkaar, dan komen dezelfde thema’s terug:

• onvoldoende beveiliging, bijvoorbeeld geen tweestapsverificatie of geen controle op logbestanden
• geen geldige grondslag, zoals gegevens verkopen of biometrie gebruiken zonder dat het mag
• te veel gegevens verzamelen of te lang bewaren
• rechten van betrokkenen niet netjes regelen, zoals inzage of verwijdering
• een datalek te laat melden, terwijl de termijn van 72 uur uit artikel 33 AVG geldt
• cookies plaatsen zonder geldige toestemming
• besluiten volledig door software laten nemen, zonder dat er een mens naar kijkt

Dat laatste punt is nieuw bovenaan de lijst gekomen, en het is de moeite waard om erbij stil te staan. Uber gebruikte software die het rijgedrag en de klantbeoordelingen van chauffeurs volgde. Bij een vermoeden van fraude of bij te lage beoordelingen werd een account automatisch geblokkeerd, tijdelijk of zelfs permanent. Daar kwam geen mens aan te pas. Dat speelde tussen 2018 en 2022.

Volgens de AP overtrad Uber daarmee het verbod op volledig geautomatiseerde besluitvorming, en informeerde het bedrijf de chauffeurs er ook onvoldoende over. Vicevoorzitter Monique Verdier van de AP vatte het zo samen: een computer mag niet zelfstandig besluiten nemen die grote gevolgen voor je hebben, daar had eerst een mens naar moeten kijken. Uber heeft de overtredingen inmiddels beëindigd.

Dit raakt meer bedrijven dan je denkt. Werk je met software die zelf klanten weigert, accounts blokkeert of prijzen bepaalt? Dan zit je in dezelfde hoek. Dat staat los van de AI-regels die nu al gelden: de AVG geldt daar bovenop.

Zie je het patroon in de rest van de lijst? Dat zijn bijna allemaal dingen die je zelf kunt regelen. Voor de meldtermijn helpt het als je weet wat je binnen 72 uur na een datalek moet doen.

Een boete is niet het enige wat de AP kan doen

De AP grijpt vaker naar andere middelen dan naar een boete.

Een berisping is een formele tik op de vingers zonder bedrag. In 2025 gaf de AP negen berispingen, in 2024 zeven. Dat is dus meer dan het aantal boetes.

Bij een last onder dwangsom krijg je een opdracht om iets te veranderen, met een bedrag als je dat niet doet. Bij Clearview AI legde de AP naast de boete zo’n last op, met dwangsommen tot ruim 5 miljoen euro.

Dan is er nog het verwerkingsverbod: je mag met een bepaalde verwerking niet langer doorgaan. Dat kan harder aankomen dan een boete. Die betaal je een keer. Een verbod op iets wat in je product of dienstverlening zit, raakt je omzet elke dag.

Houden die boetes stand bij de rechter?

Niet altijd, en dat hoort ook in dit verhaal.

De AP legde VoetbalTV in 2020 een boete van 575.000 euro op voor het filmen van amateurwedstrijden zonder geldige grondslag. Rechtbank Midden-Nederland vernietigde die boete op 23 november 2020 (ECLI:NL:RBMNE:2020:5111). De Raad van State hield dat op 27 juli 2022 in stand (ECLI:NL:RVS:2022:2173). Volgens de rechter mocht de AP een puur commercieel belang niet vooraf uitsluiten als gerechtvaardigd belang.

De boete van 460.000 euro voor HagaZiekenhuis uit 2019 bleef wel staan, maar ging omlaag naar 350.000 euro (ECLI:NL:RBDHA:2021:3090). De rechtbank vond de verhoging boven de basisboete onevenredig.

Ook de Uber-boetes staan niet vast. Uber heeft aangekondigd bezwaar te maken tegen de boete van bijna 825 miljoen euro. Tegen de boetes van 2023 en 2024 verweert het bedrijf zich al, en die procedures lopen nog.

Een boetebesluit is dus geen eindpunt. Of bezwaar of beroep in jouw geval kans maakt, hangt sterk af van de feiten. In 2025 kwamen er bij de AP 213 bezwaarprocedures bij en 83 nieuwe beroepszaken.

Waar zit jouw risico als mkb’er?

Waarschijnlijk niet in een boete van honderden miljoenen. Die horen bij bedrijven met een miljardenomzet en een Europees hoofdkantoor in Nederland.

Jouw risico zit in een klacht van een klant of een oud-medewerker die zijn gegevens wil zien of laten verwijderen. Of in een datalek dat je niet op tijd meldt. Of in software die zelfstandig beslissingen neemt over mensen.

De eerste stap kost je een middag. Schrijf op welke persoonsgegevens je verwerkt, waarom, hoe lang je ze bewaart en wie erbij kan. Controleer daarna of dat verhaal klopt met wat er in je privacyverklaring staat.

Wil je weten hoe jouw organisatie ervoor staat, of heb je een brief van de AP op je bureau? Mail ons op info@tclm.nl of bel 085 – 800 44 88. We kijken graag met je mee.