Vanaf 1 september 2026 maakt de Autoriteit Persoonsgegevens (AP) boetes en andere sancties voor overtreding van de AVG in principe openbaar. Deze wijziging, onderdeel van de Verzamelwet gegevensbescherming, betekent dat AVG-boetes openbaar worden: niet alleen het bedrag, maar ook de naam van de organisatie en de aard van de overtreding komen naar buiten. Voor accountantskantoren, advocatenkantoren, zorginstellingen, gemeenten en NGO’s verandert dit de rekensom rond databeveiliging. Een datalek is niet langer alleen een juridisch en financieel risico, maar ook een direct reputatierisico.
Wat de Verzamelwet gegevensbescherming precies regelt
De AP publiceert een sanctie niet eerder dan tien werkdagen nadat het besluit aan de overtreder is meegedeeld, zodat er ruimte is voor bezwaar. De openbaarmaking is bovendien breder dan alleen geldboetes: ook een last onder dwangsom, een verwerkingsverbod of een bevel om een bepaalde verwerking te staken kan openbaar worden gemaakt. Alleen informatie die onder de uitzonderingen van de Wet open overheid (Woo) niet openbaar mag, blijft buiten beeld. Het doel is transparantie en een consistentere uitleg van de AVG, maar het effect voor organisaties is vooral dat een overtreding voortaan met naam en toenaam bekend wordt.
Waarom dit geen ver-van-je-bed-show is
Dat de dreiging reeel is, blijkt uit de actualiteit. Op 17 september 2026 plaatste de cybercrimegroep ShinyHunters een nieuw slachtoffer op haar afpersingssite; vermoedelijk gaat het om QIAGEN, een bedrijf met een vestiging in het Nederlandse Venlo. De groep richt zich structureel op het buitmaken en te koop aanbieden van gestolen bedrijfsdata, vaak via cloud- en SaaS-omgevingen van het slachtoffer of diens leveranciers. Zulke incidenten laten zien hoe kwetsbaar organisaties zijn die gevoelige gegevens bij externe partijen onderbrengen zonder volledig zicht op waar die data staat en wie erbij kan. Komt een dergelijk incident samen met een AVG-overtreding, dan is de sanctie straks niet meer alleen een interne aangelegenheid, maar openbaar voor klanten, partners en toezichthouders om te zien.
Grotere impact voor juridische, zorg- en overheidsorganisaties
Voor de doelgroepen waar dit platform zich op richt, juridische kantoren, accountancy, zorg, gemeenten en NGO’s, weegt reputatieschade extra zwaar. Vertrouwen is hier geen marketingterm maar de kern van de dienstverlening: clienten, patienten en burgers moeten erop kunnen rekenen dat hun dossiers zorgvuldig worden behandeld. Een openbaar gemaakte sanctie raakt dan niet alleen de relatie met de toezichthouder, maar ook direct het vertrouwen van de mensen die de organisatie bedient.
Grip op eigen infrastructuur als eerste verdedigingslinie
De beste manier om een openbare sanctie te voorkomen, is voorkomen dat het datalek zich voordoet. Dat begint bij grip op de eigen infrastructuur: weten waar data staat, wie er toegang toe heeft en wie de sleutels beheert. Organisaties die overstappen op zelf-gehoste of Europese oplossingen, bijvoorbeeld op basis van privacy-vriendelijke alternatieven voor cloudopslag en samenwerking, houden die controle in eigen hand in plaats van bij een externe SaaS-partij.
Beschikbaarheid mag daarbij niet worden opgeofferd aan veiligheid. Met Certified Nodes kunnen bedrijven meerdere nodes als cluster inzetten voor High Availability: valt er een uit door een storing of incident, dan nemen de andere naadloos over. Zo combineert u continuiteit met eigen regie over data en toegang, precies de twee zaken waar een toezichthouder en uw klanten naar kijken zodra er iets misgaat.
Transparantie werkt twee kanten op
De openbaarmaking van AVG-boetes is bedoeld om organisaties van elkaars fouten te laten leren en de naleving van de AVG te verbeteren. Voor wie databeveiliging al serieus neemt, is dit vooral een kans: aantoonbare grip op eigen infrastructuur en dataverwerking wordt een onderscheidend argument richting klanten en aanbestedende partijen, juist nu de risico’s van datalekken zichtbaarder worden dan ooit.
Bronnen: Informatiebeveiliging & Privacy – Boete voor privacyschending wordt openbaar en berichtgeving over de ShinyHunters-aanval op QIAGEN, 17 september 2026.
Dit artikel is met behulp van AI opgezet en gegenereerd, en als voorstel voorgelegd aan een menselijke redacteur die het heeft beoordeeld voordat het werd geplaatst.