Sinds 1 september komt een AVG-boete met naam en toenaam online

Er is deze maand iets veranderd in het privacyrecht dat je makkelijk mist, omdat het niet gaat over wat je moet doen. Het gaat over wat er gebeurt als je het niet doet.

Sinds 1 september 2026 is de Autoriteit Persoonsgegevens verplicht om een sanctie die zij oplegt openbaar te maken. Met de naam van de organisatie erbij. Daarvóór deed de toezichthouder dat uit eigen beweging en op basis van haar eigen beleid; nu staat het in de wet.

Bijgewerkt op 7 september 2026: de wetswijziging is op 1 september daadwerkelijk in werking getreden — de tekst staat nu in de tegenwoordige tijd. Toegevoegd: de procedure die de AP zelf beschrijft in haar aankondiging van 27 augustus 2026, en het feit dat zij Wpg- en Wjsg-sancties voortaan op dezelfde manier publiceert.

Voor de meeste evenementenorganisaties verandert er in de praktijk niets aan de regels zelf. Wel aan de weegschaal waarop je die regels legt.

Wat er precies in de wet is gezet

De wijziging komt uit de Verzamelwet gegevensbescherming, een verzamelwet die de Uitvoeringswet AVG opschoont en aanvult. De tekst staat in Staatsblad 2026, 154; het inwerkingtredingsbesluit zet hem per 1 september 2026 in werking, met uitzondering van één onderdeel dat nog aanvulling nodig heeft.

Het nieuwe artikel 21b van de Uitvoeringswet AVG is kort. De AP maakt een beschikking tot het opleggen van een bestuurlijke sanctie openbaar, "behoudens voor zover artikel 5.1 (…) van de Wet open overheid aan openbaarmaking in de weg staat". Drie dingen zitten daarin verstopt:

• Het gaat om bestuurlijke sancties. Een boete dus, maar ook een last onder dwangsom of een verwerkingsverbod. Niet elke maatregel van de AP is een bestuurlijke sanctie: een berisping bijvoorbeeld niet.
• Openbaarmaking is de regel, geen keuze. Waar de AP eerder per geval afwoog, is publiceren nu het uitgangspunt.
• De Wet open overheid blijft de rem. Bedrijfsvertrouwelijke gegevens en persoonsgegevens van individuele medewerkers worden weggelakt.

Dat sluit aan op de koers die de AP zelf al had ingezet. In maart 2026 stelde ze nieuwe beleidsregels openbaarmaking vast, met "openbaar, tenzij" als kernprincipe. De wet trekt die lijn nu door.

Tien werkdagen, en wat je daarin kunt doen

Er zit een pauze tussen het besluit en de publicatie. De AP mag pas openbaar maken nadat tien werkdagen zijn verstreken na de dag waarop het besluit aan de overtreder bekend is gemaakt. Die termijn vervalt als je zelf al naar buiten bent gekomen — een organisatie die haar eigen verhaal eerst vertelt, hoeft niet op de toezichthouder te wachten.

Dien je in die tien werkdagen een verzoek om een voorlopige voorziening in bij de bestuursrechter, dan wordt de publicatie opgeschort tot de voorzieningenrechter uitspraak heeft gedaan. Dat is geen ontsnappingsroute, maar wel een echte waarborg: je kunt een publicatie laten toetsen voordat hij online staat. Datzelfde regime geldt volgens het vierde lid ook voor een beslissing op bezwaar waarin de sanctie in stand blijft.

De AP beschrijft in haar aankondiging van 27 augustus 2026 hoe dat er in de praktijk uitziet: zij laat een organisatie eerst weten dát ze wil publiceren en geeft gelegenheid daarop te reageren, neemt dan een definitief besluit over publicatie, en publiceert daarna pas. Bezwaar maken kan tegen de sanctie én tegen de publicatie. Geef je aan geen bedenkingen te hebben, of ben je zelf al naar buiten gekomen, dan mag de AP eerder publiceren.

De AP trekt die lijn overigens breder dan de AVG: met de aanpassing van haar openbaarmakingsbeleid publiceert ze voortaan ook sancties op grond van de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens op dezelfde manier.

Hoe hoog is een AVG-boete eigenlijk?

Omdat de bedragen nu met naam en toenaam online komen, is de vraag "hoe hoog is een AVG-boete" ineens minder theoretisch. Het antwoord kent twee lagen.

De wettelijke plafonds staan in artikel 83 van de AVG en zijn hoog: tot € 10 miljoen of 2 procent van de wereldwijde jaaromzet voor de lichtere categorie overtredingen, en tot € 20 miljoen of 4 procent voor de zwaarste — beide keren geldt het hóógste van die twee bedragen. Dat zijn maxima voor de uitersten, geen richtbedragen.

Hoe de AP tot een bedrag komt, hangt af van wie er tegenover haar staat. Voor ondernemingen rekent de toezichthouder met de Fining Guidelines van de EDPB; voor overheidsorganisaties en voor particulieren die niet namens een bedrijf handelen met haar eigen Boetebeleidsregels 2023. Die tweeslag wordt vaak door elkaar gehaald: de categorietabellen met bandbreedtes waar je online over leest, gelden niet voor iedereen.

En de onderkant is misschien wel het leerzaamst. In juli 2025 legde de AP € 500 op aan Stichting Oud Lemmer, een vrijwilligersstichting die sinds 2019 webcambeelden van het dorp livestreamde zonder geldige grondslag — mensen en panden herkenbaar in beeld. Naast de boete kwam er een last onder dwangsom: binnen vier weken de camera's verplaatsen, de beelden bewerken of ermee stoppen.

Vijfhonderd euro is geen bedrag dat een stichting omver blaast. Maar het is wél precies het soort organisatie waarvan iedereen aanneemt dat de AP er niet naar kijkt, en sinds 1 september komt zo'n besluit met de naam van de stichting erbij online te staan. Dat is de kern van deze wetswijziging in één voorbeeld.

Hoe groot is de kans dat dit jou raakt?

Eerlijk antwoord: op een boete klein. De AP legde in 2025 vier boetes op, tegen zes in 2024, en gaf negen berispingen. Het aantal klachten en signalen steeg met 75 procent, maar de toezichthouder verschoof zichtbaar richting waarschuwen, adviseren en onderzoeken. Een dorpsfeest of een muziekvereniging staat niet boven aan die lijst — al laat Lemmer zien dat "niet boven aan de lijst" iets anders is dan "buiten beeld".

Alleen: de meeste organisaties komen de AP niet tegen via een boete. Ze komen haar tegen via het meldpunt datalekken. En daar zijn de cijfers een stuk minder theoretisch. Uit de rapportage datalekken 2025 van de AP:

• Ruim 39.000 meldingen in 2025, tegen bijna 38.000 in 2024.
• Ruim 25.000 daarvan gingen over post — grotendeels verkeerd geadresseerd.
• Ruim 4.200 over e-mail, vooral adresseringsfouten.
• 2.400 over cyberaanvallen, waarvan ruim 1.700 overgenomen accounts. In 2024 waren dat er nog 607. Bijna een verdrievoudiging, en de AP wijst nadrukkelijk naar AI-phishing: sneller, overtuigender en op grotere schaal.

Zet die twee lijstjes naast elkaar en het beeld is helder. Het risico voor een evenementenorganisatie zit zelden in een principiële juridische misser. Het zit in een verkeerd verzonden mailtje en in een gestolen inlog.

Waar het bij evenementen misgaat

Drie situaties die we in de praktijk het vaakst tegenkomen, met wat eraan te doen is.

De deelnemerslijst in de cc. Je stuurt een laatste update naar honderdvijftig deelnemers en zet de adressen in het cc-veld in plaats van bcc. Dat is een datalek: honderdvijftig mensen zien elkaars e-mailadres, gekoppeld aan het feit dat ze naar jouw evenement komen. Bij een besloten of gevoelig evenement is dat meer dan een schoonheidsfoutje. Het is ook precies de categorie die bij de AP het vaakst binnenkomt. De structurele oplossing is niet "beter opletten" maar zorgen dat handmatig mailen naar deelnemers niet meer nodig is — mailen vanuit je ticketsysteem verstuurt per ontvanger, en bij MijnEvent zijn e-mailadressen bovendien standaard afgeschermd voor iedereen die ze niet nodig heeft.

Het gedeelde account. Eén inlog die het hele bestuur gebruikt, met een wachtwoord dat sinds 2021 hetzelfde is. Wordt dat account overgenomen, dan kun je niet eens vaststellen wie wat heeft gedaan. Geef ieder teamlid een eigen toegang en precies de rechten die bij zijn rol horen — een vrijwilliger die tickets scant hoeft geen bezoekersgegevens te kunnen exporteren.

De lijst die nooit weggaat. De deelnemersexport van het festival van 2021 staat nog in een gedeelde map, en niemand weet meer waarom. Bewaartermijnen zijn het saaiste onderdeel van de AVG en tegelijk het effectiefste: gegevens die je niet meer hebt, kunnen niet lekken. In ons overzicht van de AVG voor evenementenorganisatoren staat per soort gegeven wat een redelijke termijn is.

En als een bezoeker vraagt wat je van hem hebt of wil dat je het wist: handel dat af binnen een maand. Hoe dat werkt, staat in Een AVG-verzoek afhandelen.

Waarom een publieke sanctie anders weegt

Een boete is geld. Vervelend, maar te begroten. Een gepubliceerd besluit is iets anders: het staat er, met datum en naam, en het blijft vindbaar. Voor een evenementenorganisatie is dat een ongewoon zware straf, want je werkt met partijen die je op vertrouwen beoordelen. De gemeente die je vergunning verleent. De sponsor die zijn logo aan je hangt. De vereniging die overweegt haar ledenadministratie bij je onder te brengen.

Dat is precies de bedoeling van de wetgever, blijkt uit de toelichting: zichtbaarheid, een afschrikkende werking, en organisaties die van elkaars zaken kunnen leren. Dat laatste is voor jou de meest bruikbare kant ervan. Openbare besluiten betekenen ook openbare normen: je kunt straks nalezen wat de AP daadwerkelijk te ver vond gaan, in plaats van te gissen.

Wat je deze maand kunt doen

Geen groot project. Vier dingen die op één ochtend kunnen:

1. Kijk waar je bezoekersgegevens staan. Niet alleen in je ticketsysteem — ook in exports, mailinglijsten, WhatsApp-groepen en de laptop van de penningmeester.
2. Gooi weg wat je niet meer nodig hebt. Elke oude export die je verwijdert, is een datalek dat niet meer kan gebeuren.
3. Geef iedereen een eigen inlog met eigen rechten, en zet tweestapsverificatie aan waar het kan. Dat is de directe tegenmaatregel tegen de sterkst stijgende categorie datalekken.
4. Spreek af wie wat doet als het misgaat. Je hebt 72 uur om een datalek te melden. Dat is genoeg tijd, maar niet als je die 72 uur begint met de vraag wie er eigenlijk over gaat.

Bij MijnEvent zit een deel hiervan in het product: afgeschermde e-mailadressen, rechten per teamlid, een activiteitenlog dat vastlegt wie wat wanneer deed, en bewaartermijnen die vanzelf aflopen. Geen enkele leverancier neemt je verantwoordelijkheid over — je blijft zelf verwerkingsverantwoordelijke — maar het scheelt of je systeem met je meedenkt of tegenwerkt.

Bekijk wat MijnEvent kost of meld je organisatie aan; je verkoopt dezelfde week je eerste ticket.

Dit artikel is algemene informatie, geen juridisch advies. Voor jouw specifieke situatie geldt de gepubliceerde wettekst; raadpleeg bij twijfel een jurist of de Autoriteit Persoonsgegevens.

Wet- en regelgeving verandert, en tarieven worden jaarlijks herzien. We doen ons best dit artikel actueel te houden en verwijzen waar mogelijk naar de bron, maar we kunnen niet garanderen dat alles op jouw moment van lezen nog klopt. Gaat het om een beslissing met financiële of juridische gevolgen, controleer het dan bij de instantie zelf of leg het voor aan een jurist of adviseur. Zie ook onze algemene disclaimer.