Privacy · 12 november 2026
Commissie voor persoonsgegevens kondigt strengere handhaving aan met boetes tot tien procent van omzet
De Commissie voor de Bescherming van Persoonsgegevens heeft op 9 november een nieuw beleid aangekondigd dat zich richt op preventie en versterking van de verantwoordelijkheid van bedrijfsleiders in plaats van alleen nabestaande sancties voor datalekken. Voor herhaalde en ernstige schendingen van de wet op de bescherming van persoonsgegevens kunnen boetes tot maximaal tien procent van de jaarlijkse omzet worden opgelegd.
De nieuwe regelgeving, die op 11 september van kracht is geworden, is van toepassing op datalekken die na de invoering plaatsvinden. Bij de berekening van boetes wordt nu het hoogste bedrag gebruikt van ofwel de gemiddelde omzet van de afgelopen drie jaar ofwel de omzet van het voorgaande jaar. Dit betekent dat bedrijven met snel groeiende inkomsten hogere boetebasis kunnen verwachten dan onder het vorige systeem.
De commissie stimuleert bedrijven tegelijkertijd om vrijwillig in preventie te investeren door incentives toe te kennen bij de berekening van boetes wanneer preventieve maatregelen worden aangetoond. Bedrijven worden aangemoedigd om investeringen in gegevensbescherming niet als zuivere kosten te zien, maar als middel om incidenten te voorkomen en juridische risico's te verminderen.
De commissie verplicht nu dat topbestuurders rechtstreeks verantwoordelijk zijn voor gegevensbescherming in plaats van deze taak alleen aan de functionaris voor gegevensbescherming of de functionaris voor informatiebeveiliging toe te vertrouwen. De commissie bereidt richtlijnen en handleidingen voor waarin de rollen en reactieprocedures voor topbestuurders bij datalekken worden gespecificeerd. Voor de functionaris voor gegevensbescherming zijn nieuwe vereisten ingevoerd, waaronder verplichte rapportage aan de raad van bestuur over belangrijke aangelegenheden en een formeel benoemingsprocedure via raadsbesluit en melding aan de commissie. Voor bestaande functionarissen gelden overgangsbepalingen, maar functionarissen die na 11 september worden benoemd, moeten via de raad van bestuur worden goedgekeurd en moeten binnen zes maanden na afronding van de procedure worden gemeld.
De commissie verbetert ook de certificering van informatiebeveiliging en gegevensbeschermingssystemen door de nadruk te verleggen van formele audits naar verificatie van werkelijke beschermingsmaatregelen op locatie. Een uitvoeringsdecreet voor uitbreiding van verplichte certificering naar meer organisaties en bedrijven treedt op 1 juli 2027 in werking. De meldingsplicht voor datalekken is uitgebreid: bedrijven moeten nu niet alleen melden wanneer een lek is bevestigd, maar ook wanneer er een hoog risico op een lek bestaat. Meldingsplichten met betrekking tot vervalsing, wijziging of beschadiging van persoonsgegevens door ransomware zijn eveneens versterkt.
De commissie benadrukt dat snelle en nauwkeurige melding aan gebruikers de eerste stap is om schade te beperken en dat niet-naleving van meldingsplichten niet alleen tot boetes leidt, maar ook invloed heeft op toekomstige boetebeslissingen. De commissie bereidt ook maatregelen voor om schadevergoeding te versterken, normen voor schadevergoeding vast te stellen en een goedkeuringsprocedure in te voeren die schadevergoeding vooronderstelt.
De commissie benadrukt het belang van privacybescherming bij ontwerp, waarbij gegevensbescherming vanaf het begin van de systeemontwikkeling moet worden overwogen in plaats van later als toevoeging. Dit vereist concrete wetgeving, ontwerprichtlijnen en uitbreiding van certificering voor hardware- en softwareproducten. Voor kleine en middelgrote ondernemingen met beperkte beveiligingsinvesteringen stelt de commissie consultatiesteun beschikbaar met een begroting van ongeveer 2,4 miljard won voor 2027.
De commissie breidt ook de bewaking uit van persoonsgegevens die op het dark web en buitenlandse websites circuleren en versterkt internationale samenwerking om secundaire schade zoals spraakfishing te voorkomen. Tegelijkertijd ondersteunt de commissie veilig gebruik van persoonsgegevens in kunstmatige intelligentie door uitzonderingsregelingen voor kunstmatige-intelligentieontwikkeling voor te bereiden en technologieën voor gegevensbescherming te ondersteunen.