Uw cookievoorkeuren
EDPB-richtsnoeren · art. 7 AVG
Wij gebruiken essentiële technische cookies om het platform te laten werken (inloggen, beveiliging, sessies). Daarnaast willen wij graag analytische cookies gebruiken om te begrijpen hoe wij het kunnen verbeteren.
U kunt alles accepteren, alles weigeren, of kiezen welke categorieën u aanzet.Uw toestemming is 6 maanden geldig en u kunt deze op elk moment intrekken via de voettekst.
U vindt alles in ons privacyverklaring.
Privacy- en AVG-nieuws
Geselecteerde updates: besluiten van toezichthouders, richtsnoeren van de EDPB, boetes en wijzigingen in de regelgeving. Bekeken vanuit de praktijk van de FG.
De onzichtbare pixel in de nieuwsbrief: op 29 oktober is de tijd om
Met besluit nr. 284 van 17 april 2026, gepubliceerd in het Staatsblad nr. 98 van 29 april, heeft de Italiaanse toezichthouder de regels voor trackingpixels in e-mail vastgesteld en zes maanden gegeven om zich aan te passen: de deadline is 29 oktober 2026. Het individueel meten van openingen voor marketingdoeleinden vereist, behoudens uitzonderingen, de toestemming van de ontvanger. De controle valt onder het inspectieplan voor de tweede jaarhelft. Voor een FG gaat het niet om een verbod — dat is er niet — maar om het feit dat een twintig jaar vanzelfsprekende verwerking nu een grondslag, een verklaring en een eigen uitschakelaar nodig heeft.
Het ontslag dat het algoritme besluit is nietig: vanaf 23 oktober in Italië
Gepubliceerd in Staatsblad nr. 234 van 8 oktober 2026 en van kracht sinds 23 oktober, bepaalt besluit nr. 179/2026 dat eindbeslissingen over de arbeidsverhouding niet uitsluitend op geautomatiseerde verwerking mogen berusten, dat de werknemer een begrijpelijke motivering kan vragen, en dat in strijd daarmee genomen beslissingen nietig zijn. Parallel gaan AI-systemen die de arbeidsorganisatie beïnvloeden de risico-inventarisatie in op grond van artikel 28 van besluit 81/2008. Voor een FG is dit het zeldzame geval waarin het gevolg niet economisch maar civielrechtelijk is.
Italiaanse toezichthouder beboet Wind Tre met 16,7 miljoen: telemarketing ondanks bezwaren en contracten geactiveerd zonder medeweten van klanten
Mensen die bezwaar hadden gemaakt, werden nog steeds gebeld, en sommige contracten werden geactiveerd zonder dat de betrokkene het wist. De Garante beboet Wind Tre met 16,7 miljoen en herinnert aan een principe voor elk bedrijf met een agentschappennetwerk: verantwoordelijkheid besteed je niet uit samen met de verkoop.
Griekenland: 350.000 euro voor een datalek — ministerie én verwerker met verouderde systemen beboet, er was geen artikel 28-overeenkomst
Een aanval op de systemen van het agentschap dat programma's van een ministerie uitvoerde, legde identificatie-, financiële en gezondheidsgegevens van zeer veel mensen bloot. De Griekse toezichthouder beboet de verwerkingsverantwoordelijke met 200.000 euro en de verwerker met 150.000: goed melden is niet genoeg als de leverancier op verouderde systemen werkt en de relatie niet contractueel is geregeld.
Slimme brillen: de EDPB neemt positie in — de gebruiker kan verwerkingsverantwoordelijke zijn, en wie gefilmd wordt moet het kunnen merken
Ze zien eruit als gewone brillen, maar hebben een camera, een microfoon en een internetverbinding. De EDPB publiceert zijn eerste verklaring over slimme brillen: wanneer de gebruiker verwerkingsverantwoordelijke wordt, waarom fabrikanten en app-aanbieders hun verplichtingen niet op hem kunnen afschuiven en wat het in de praktijk betekent om een opname zichtbaar te maken.
Italiaanse toezichthouder beboet gemeente Arvier met 4.000 euro: een camera filmde ramen en balkons van een inwoonster, en de maskering kwam te laat
Een kleine gemeente in de Aostavallei gebruikt camera's voor verkeer, parkeren, kentekens, milieu en civiele bescherming. Een inwoonster ontdekt dat er één op haar huis gericht is. De Garante legt een boete op en maakt een punt dat voor elk systeem geldt: het maskeren van privéruimtes ontwerp je voordat de camera aangaat, niet na de klacht.
De mailbox van wie vertrokken is: de verwerking die niemand documenteert
Met beslissing 101/2026 van 12 mei 2026 heeft de Geschillenkamer van de Belgische Gegevensbeschermingsautoriteit een onderneming gesanctioneerd die de professionele mailbox van een niet langer aanwezige persoon meer dan een jaar na het vertrek actief had gelaten. De grieven betreffen niet alleen de bewaring: verwerking zonder rechtsgrond, gebrek aan transparantie, ontbreken van technische en organisatorische maatregelen voor wissing, miskenning van het recht van inzage. De lijn van de autoriteit is jaren constant en komt neer op twee data: deactivering op de dag van vertrek, wissing na één maand.
Het jaar waarin de toezichthouders de privacyverklaring lezen: CEF 2026 over transparantie
Op 19 maart 2026 heeft de EDPB de gecoördineerde handhavingsactie van dit jaar gestart over de transparantie- en informatieverplichtingen van de artikelen 12, 13 en 14 AVG. Vijfentwintig toezichthouders nemen deel, elk vrij in de methode: inspecties, vragenlijsten aan verwerkingsverantwoordelijken, lezing van de op websites gepubliceerde verklaringen, sectorale controles. De nationale resultaten worden in de tweede helft van 2026 samengebracht en de EDPB zal een samenvattend rapport met aanbevelingen publiceren. Voor wie de naleving beheert is het punt dat de controle dit jaar begint bij een tekst die al openbaar is.
Betalen met je gezicht: wat er verandert als jij de sleutel bent
Van 24 tot en met 26 september 2026 testte Revolut in drie Londense koffiezaken een betaalsysteem dat aan de kassa het gezicht herkent en vergelijkt met de selfie die bij de opening van de rekening is geüpload. Deelname is vrijwillig, boven 200 pond is een tweede controle nodig, en het bedrijf verklaart te voldoen aan de Britse AVG. Voor een FG ligt het interessante elders: een gezicht dat wordt gebruikt om te identificeren is een biometrisch gegeven in de zin van artikel 9, en in de verklaring staan twee onderscheiden gegevens — het biometrische sjabloon en de aan de kassa genomen foto — met verschillende wisregels.
Wanneer wel en wanneer geen boete: de EDPB schrijft het ontbrekende deel op
Op 21 september 2026 heeft het Europees Comité voor gegevensbescherming richtsnoeren 04/2026 vastgesteld over de uitoefening van de boetebevoegdheid in verhouding tot de andere corrigerende bevoegdheden, open voor publieke consultatie tot 13 november 2026. Zij vervangen de oude richtsnoeren van de Groep artikel 29 en vullen die van 2022 over de berekening van het bedrag aan. Het verschil is wezenlijk: die zeiden hoeveel, deze zeggen of. En in de vierde stap staat een vermoeden dat de last van de verdediging verschuift.
Polen, UODO: niet elk datalek hoeft gemeld te worden. Gegevens uit het openbare register aan de ene kant, PESEL, gezondheid en financiële gegevens aan de andere
Lekt het factureringssysteem alleen naam, handelsnaam, fiscaal nummer en vestigingsadres van een eenmanszaak, die al openbaar in het register staan, dan is een risico doorgaans onwaarschijnlijk. Lekt ook het nationale identificatienummer, aankoopdetails die iets over gezondheid zeggen of financiële gegevens, dan moet er gemeld worden. Hoe dan ook gaat het besluit in het interne register.
Italiaanse toezichthouder: 39.000 euro voor beveiligingsbedrijf – gps-gegevens van leaseauto geweigerd aan ex-werknemer
Een ontslagen beveiliger vraagt de gegevens van de gps in zijn bedrijfsauto op om zich te verdedigen in een disciplinaire procedure. Het bedrijf geeft ze niet en legt niet uit waarom. De Garante beboet La Patria S.p.A. uit Bologna en herinnert aan een vaak vergeten regel: ook een weigering moet gemotiveerd zijn.
Zweden beboet Miljödata met 1,8 miljoen kronen: één leverancier, 2,2 miljoen mensen en twee ontbrekende controles
Persoonsnummers, contactgegevens en gevoelige gegevens over ziekteverzuim, re-integratie en incidenten op scholen, na een aanval op het darkweb gepubliceerd. De Zweedse toezichthouder wijst twee concrete tekortkomingen aan en beboet de leverancier rechtstreeks. En onderzoekt de klanten die voor hem kozen.
EDPB-richtsnoeren 04/2026: vijf stappen om te beslissen of een toezichthouder beboet
Het Europees Comité heeft richtsnoeren aangenomen over wanneer een toezichthouder een boete moet opleggen en wanneer een berisping, een bevel of een verbod volstaat. Vijf stappen, veertien voorbeelden en een duidelijke regel: is de inbreuk niet gering, dan is de boete de norm.
Garante beboet IQVIA met 7 miljoen: een miljoen 'anonieme' patiënten die niet anoniem waren
Achthonderd huisartsen, een uitbreiding in hun praktijksoftware, een databank met de diagnoses en voorschriften van zo'n miljoen patiënten, gebruikt voor studies in opdracht van de farmaceutische industrie. Voor het bedrijf waren de gegevens anoniem. Voor de Italiaanse toezichthouder niet: de code die elke patiënt in de tijd volgde, maakte het mogelijk hem eruit te lichten. Boete van 7 miljoen en 120 dagen om aan te passen.
CNIL beboet Extia met 300.000 euro: automatisch wissen is niet genoeg, je moet het de verzoeker laten weten
Een IT-adviesbureau krijgt honderden wisverzoeken, bijna allemaal van sollicitanten. Veel gegevens verdwijnen vanzelf door automatische verwijdering. Maar wie het vroeg, krijgt geen antwoord. Voor de CNIL is dat een overtreding van art. 12, ook als de gegevens weg zijn: informeren over de uitkomst is een andere verplichting dan het wissen zelf.
Het betaalnummer op het bord: honderdduizend euro voor het prijskaartje aan een recht
Artikel 12, lid 2, zegt niet dat rechten mogelijk moeten zijn: het zegt dat de verwerkingsverantwoordelijke de uitoefening ervan moet FACILITEREN. Een bord dat naar een betaalnummer verwijst legt kosten op aan wie ze wil uitoefenen en ontmoedigt wie twijfelt. Het bestaan van andere gratis routes op de website herstelde de inbreuk niet, want het was het bord dat naar het betaalnummer wees.
De EDPB schrijft op wanneer er beboet wordt, niet hoeveel: vijf stappen en een vermoeden
Sinds 2022 weten we hoe het bedrag wordt berekend. Wat ontbrak was de voorafgaande vraag: moet er überhaupt een boete komen? De op 21 september in plenaire zitting vastgestelde richtsnoeren geven autoriteiten een pad in vijf stappen, veertien praktische voorbeelden en een regel die de verwachtingen verschuift — is de inbreuk niet licht, dan wordt vermoed dat een boete volgt. Consultatie tot 13 november 2026.
Drieënzeventig dossiers per minuut, vijf dagen lang, en niemand merkte het
Op 3 september 2026 legde de CNIL het Hôpital privé de la Loire een boete van 500.000 euro op. Een aanvaller kwam met de inloggegevens van een arts in het elektronisch patiëntendossier en haalde er in vijf dagen 524.867 dossiers uit, ongeveer drieënzeventig per minuut. Geen enkel alarm. Multifactorauthenticatie ontbrak, en elk instrument dat had kunnen opmerken dat er iets mis was.
De verklaring omtrent het gedrag die niets zegt: Spanje vernietigt twee miljoen
Bij uitspraak nr. 359/2026 van 8 juli 2026 vernietigde de Audiencia Nacional de boete van twee miljoen euro die de Spaanse toezichthouder aan Amazon Road Transport Spain had opgelegd omdat aan kandidaten een uittreksel uit het strafregister was gevraagd. De redenering: art. 10 ziet op gegevens over veroordelingen en strafbare feiten, en een uittreksel dat de AFWEZIGHEID van veroordelingen bevestigt valt daar niet automatisch onder. Tegen de uitspraak staat nog beroep open.
180 AI-producten in vijf jaar: wat de toezichthouder vroeg
Op 25 september 2026 publiceerde de Ierse toezichthouder haar rapport over het toezicht op AI-producten en -diensten tussen 2021 en 2025. Zo'n 180 producten begeleid, duizenden pagina's beoordelingen gelezen, en twee punten die in bijna elk dossier terugkeren: gerechtvaardigd belang als grondslag voor training, en de transparantie van verwerkingen die niemand eenvoudig uitgelegd krijgt.
De storing van de leverancier werd een strafvonnis
Op 7 september 2026 pleitte Brown Thomas Arnotts Limited voor het Dublin Metropolitan District Court schuldig op vijf van eenentwintig punten wegens schending van de Ierse ePrivacy-regels. Drie betroffen het ontbreken van een geldig afmeldadres, twee het verzenden zonder geldige toestemming. Betaald wordt tweeduizend euro. Niet het bedrag is het nieuws: het gaat om een strafzaak.
Het verzoek kwam van een echt overheidsdomein
Op 12 september 2026 bevestigde Revolut klantgegevens te hebben verstrekt na frauduleuze verzoeken vanaf het e-maildomein van een legitiem overheidsorgaan. Onder de gegevens: geboortedatum, adressen, telefoonnummers, kopieën van paspoorten en rijbewijzen, verificatieselfies, rekeningafschriften en transactiehistorie. Ongeveer 680 klanten zijn benaderd. Geen inbraak in de systemen, maar een inbreuk in verband met persoonsgegevens door onrechtmatige verstrekking — en alles hangt af van een procedure die bijna niemand heeft opgeschreven.
Google, 403 miljoen: de helft staat in je register
Op 21 september 2026 sloot de Ierse toezichthouder het onderzoek dat zij in februari 2020 naar Google Ireland opende. Onderwerp: locatiegegevens in drie functies — Web & App Activity, Location History, Location Accuracy — tussen 25 mei 2018 en 4 februari 2020. Boetes van 403 miljoen euro en zes maanden om in orde te komen. Het getal haalt de kop; voor wie het vak doet, zit het interessante elders.
Portugal opent spoedkanaal voor meldingen over minderjarigen
Het kanaal heet Canal Prioritário en staat op de site van de CNPD. Het dekt drie situaties: onrechtmatige toegang tot gegevens van minderjarigen, het verzamelen en verspreiden van beeld of geluid met gevoelige of gewelddadige inhoud zonder toestemming, en reclame gericht op minderjarigen. Kinderen kunnen het zelf gebruiken, net als iedere burger die het opmerkt. Voor de FG is dit geen extra verplichting maar een verandering in blootstelling — en het loont te weten welke verwerkingen het echt raakt.
Het Solo-abonnement gaat naar 9,99 euro per maand, en dat is geen actie
Het Solo-abonnement is voor wie begint: drie klanten, één gebruiker, alle documentgebieden, het register van art. 30, de afhandeling van datalekken met de termijn van 72 uur. Bij negentien euro was het een uitgave om te wegen; bij 9,99 is het een beslissing van een minuut. De wijziging zit in de catalogusprijs, niet in een kortingscode: wie zich vandaag aanmeldt betaalt dit, en betaalt het over een half jaar nog.
«Geen misbruik, de medische directie gaf opdracht»: de toezichthouder zegt nee, 24.000 euro
De zaak is klein, de les niet. Een ziekenhuis is tegelijk plaats van zorg en werkgever van dezelfde persoon, en waar die twee hoedanigheden elkaar raken, wordt het zorgdossier het handigste en meest verkeerde instrument. De instelling had het het parket schriftelijk laten weten: die toegang was geen misbruik, zij vond plaats «in opdracht van de medische directie» «voor het verrichten van de arbeid». Precies die zin haalt de toezichthouder uit elkaar.
Camera's in de kleedkamers sinds 2007: het verweer somt op wat ze niet filmden, en verliest
Het verweerschrift is een lijst van wat niet te zien was: niet de hokjes, niet de douches, niet de toiletten; en bij de kluisjes staan geen banken «die iemand die zich uitkleedt ertoe kunnen brengen daar te gaan zitten en dus door het videosysteem te worden vastgelegd». Het is redeneren door aftrekken, en in een kleedkamer werkt dat niet. Voor de FG is echter een andere passage de belangrijke: onder de geschonden bepalingen staat art. 5 lid 1 onder e, omdat de opgegeven tweeënzeventig uur bewaartermijn door geen enkele beoordeling werd gedragen die de noodzaak aantoonde.
Eén klager, tien meldingen, 5,5 miljoen: het bezwaar dat werd vastgelegd en nooit uitgevoerd
Eén klacht, één betrokkene, contactgegevens, een ernst die de toezichthouder zelf «laag» noemt — en vijfeneenhalf miljoen euro. De rekensom is niet bestraffend: zij volgt uit een omzet boven 500 miljoen, een precedent uit juli 2025 en zeven maanden waarin de wil van de klant in het ene systeem stond en door het andere werd genegeerd. Voor de FG telt één punt: het kanaal dat u in uw privacyverklaring noemt is niet het enige geldige kanaal.
De 120 dagen zijn niet de termijn om u te beboeten, maar om u de overtreding ten laste te leggen
Wie een verweer bouwde op de traagheid van de toezichthouder moet de kalender herlezen. De Hoge Raad verduidelijkt drie dingen: klachtprocedure en sanctieprocedure staan los van elkaar, dus het overschrijden van de negen tot twaalf maanden doet de sanctiebevoegdheid niet vervallen; de 120 dagen dienen om de overtreding ten laste te leggen, niet om de boete op te leggen; en zij lopen vanaf de «definitieve vaststelling», wat niet het eerste bericht is maar het moment waarop de toezichthouder alle elementen kan beoordelen — inclusief uw hoor en wederhoor. Na de tenlastelegging blijft alleen de verjaring van vijf jaar.
Vier weken, en geen dag langer: hoe lang je sollicitatiegegevens mag bewaren
Vier weken na afloop van de procedure is de kortste bewaartermijn van Europa op dit gegeven, en het is geen vrijblijvend advies: bij een klacht is het het eerste wat de Autoriteit Persoonsgegevens controleert. De kopie van het identiteitsbewijs is de uitzondering die het personeelsdossier uit elkaar trekt.
De AI-verordening is een bewaarprobleem, en bijna niemand behandelt haar zo
Iedereen leest de verordening als een oefening in risicoclassificatie. Daaronder ligt een reeks bewaartermijnen, net zo concreet als in het belastingrecht: documentatie tien jaar vanaf het in de handel brengen, logs minimaal zes maanden, incidentmeldingen binnen vijftien, tien of twee dagen. Niets daarvan past in een register met één regel voor “AI-systeem”.
Het Duitse verwijderschema klopt niet meer sinds 1 januari 2025 — en dat in twee richtingen
De vierde Duitse wet tot vermindering van administratieve lasten kortte twee termijnen in en liet er vier ongemoeid. Wie het verwijderschema overal op acht jaar zette, vernietigt stukken die de belastingcontrole nog mag opvragen. Wie het op tien liet, schendt de opslagbeperking — op het meest volledige gegevensbestand dat het bedrijf heeft.
Hoe lang personeelsdossiers bewaren in Polen: tien of vijftig jaar — en waarom één datum dat beslist
Op de vraag hoe lang het personeelsdossier bewaard moet blijven bestaat in Polen geen kort antwoord. Er zijn drie regimes, en welk regime geldt wordt bepaald door de datum waarop het dienstverband begon. Voor één groep daalt de termijn van vijftig naar tien jaar — maar pas na een indiening, en geteld vanaf een volstrekt andere dag.
Wanneer is een FG verplicht in Spanje: de zestien gevallen van artikel 34
Spanje is een van de weinige lidstaten die bij wet heeft opgesomd wanneer een functionaris voor gegevensbescherming verplicht is. Zestien letters, a) tot o), die bovenop de drie situaties van art. 37, lid 1 komen en die niet vervangen. De duurste fout staat niet in de lijst maar in lid 2: wie vrijwillig aanwijst, valt onder hetzelfde regime en moet het binnen tien dagen aan de AEPD melden.
Bewaartermijnen: waarom de CNIL niet in termijnen denkt maar in levenscycli
Een register dat “10 jaar” in de bewaarkolom zet, beantwoordt de vraag niet maar ontwijkt haar. De CNIL denkt in drie opeenvolgende fasen, en de tweede — de tussentijdse archivering — bestaat alleen als de gegevens werkelijk gescheiden zijn van de actieve basis. Daar wordt de naleving beslist, en juist dat legt niemand vast.
De DPIA in Polen: wanneer zij verplicht is en wat zij moet bevatten
Een DPIA is geen vinkje dat na livegang wordt gezet. Het is een voorwaarde die VOOR de start van de verwerking vervuld moet zijn, en als het risico niet omlaag te brengen is, wordt het een plicht tot voorafgaande raadpleging van de toezichthouder. De Poolse lijst noemt twaalf categorieën verwerkingen; WP248 geeft negen criteria en twee daarvan volstaan meestal.
De uitzondering van 250 werknemers voor het verwerkingsregister bestaat bijna niet
«Wij hebben minder dan 250 werknemers, wij hoeven geen register bij te houden» is het meest verspreide misverstand in het vakgebied. De vrijstelling van art. 30, lid 5 kent drie voorwaarden die alternatief werken: één is genoeg. En «niet incidenteel» omvat de loonadministratie en het klantbeheer, dus zo goed als elk bedrijf.
Zestien uur vóór 24 mei 2027: de opleiding die elke werkgever moet volgen
Wie een opleidingsplanning bijhoudt, heeft een regel voor werknemers, een voor leidinggevenden, een voor bhv'ers. Bijna niemand heeft er een voor de werkgever, want tot 2025 bestond er geen algemene opleidingsplicht: alleen de cursus van art. 34 voor wie de preventiedienst zelf op zich neemt, een minderheid. Nu is er er een voor iedereen, met één datum.
Veiligheid op het werk: één scherm in plaats van zes, en de matrix die bijna niemand toont
De sectie kon al vier losse vragen beantwoorden — welke rollen nodig zijn, welke documenten, wie nooit een cursus deed, welke certificaten verlopen — maar niets bracht ze samen, en om het effect van je keuzes te zien moest je stap zes halen. Nu zie je het effect tijdens het invullen.
De Italiaanse matrix bereikt 205 regels: zorg, witwasbestrijding en vijf sectoren
Italië had 155 eigen bewaarregels tegenover 232 in Portugal, en het gat was niet gelijk verdeeld: het zat in zeven domeinen. De zorg had er 6 tegenover 23, witwasbestrijding 4 tegenover 13. Italië staat nu op 205 en het structurele gat is gedicht. Maar het getal telt minder dan de methode: elke nieuwe regel begint ongeverifieerd, en dat is zichtbaar.
Drie regels die vrijwel geen Italiaans register bevat
Het zijn geen obscure normen. Eén komt uit een richtinggevend document van de Italiaanse toezichthouder uit 2024, één uit een wet van 2023, één uit het antiwitwasbesluit dat iedereen aanhaalt. Wat ze delen: geen ervan gaat over een bestand dat iemand besloot aan te leggen. Ze gaan over bestanden die vanzelf ontstaan — en juist daarom heeft niemand ze opgenomen.
Medische dossiers in een zeecontainer in een turfschuur: 645.000 euro voor de Ierse gezondheidsdienst
Dit is geen cyberincident. Dit is het beginsel van opslagbeperking toegepast op papier: documenten die na hun termijn zijn bewaard, op plaatsen die geen archief waren, terwijl niemand nog wist wat erin zat.
Zestig seconden is te vaak: volgens de Italiaanse autoriteit is zo dicht positie uitlezen doorlopende monitoring
De vraag is niet of je een bedrijfsvoertuig mag volgen: dat mag. De vraag is hoe vaak. En de autoriteit had in 2018 al gezegd dat twee minuten onevenredig was.
De Europese ruimte voor gezondheidsgegevens geldt over ruim zes maanden, en de twee bezwaren die erin staan zijn niet hetzelfde
Zij vervangt de AVG niet, zij komt erbij. Wie het register van een zorgklant bijhoudt, moet vier data noteren, niet één, en de eerste valt over minder dan zeven maanden.
Op 2 augustus verstreek de plicht om een nationale AI-testomgeving te hebben, en daarbinnen mogen gegevens worden verwerkt die voor iets anders zijn verzameld
Het is de enige plek in het Unierecht waar hergebruik van persoonsgegevens om een model te trainen uitdrukkelijk is geregeld. Er zijn zeven voorwaarden en ze moeten allemaal tegelijk vervuld zijn.
De Europese campagne over mentale gezondheid op het werk start op 13 oktober. Zij schept geen verplichtingen, en juist daarom moet je haar goed lezen
Een bewustwordingscampagne is geen rechtshandeling en voert geen nieuwe verplichting in. Maar het moment waarop een organisatie psychosociale risico's meet, raakt ook wie zich met gegevensbescherming bezighoudt — en dat is een lezing, geen inhoud van de bron.
Twee miljoen voor een Amerikaanse databroker: gerechtvaardigd belang dekt het verkopen van contacten niet
Het bedrijf is Amerikaans en heeft geen vestiging in Italië; de verordening gold toch. Naast de boete: een verbod op het verwerken van gegevens van personen in Italië en een bevel om onrechtmatig verzamelde gegevens te wissen.
AI-verordening: wie houdt toezicht op wat, en waarom de rondgaande "eerste boetes" niet bestaan
Het AI-bureau doet de modellen voor algemene doeleinden, de nationale autoriteiten al het overige, de EDPS de EU-instellingen. Weten aan wie een klant verantwoording aflegt komt vóór weten wat hij riskeert. En daarvóór komt het onderscheid tussen bevoegdheden die uitoefenbaar werden en bevoegdheden die zijn uitgeoefend.
Eén loket om inbreuken te melden: wat de EDPB en de EDPS vroegen over het cyberbeveiligingspakket
Een inbreuk melden betekent vandaag schrijven aan meerdere autoriteiten in verschillende formats binnen dezelfde drie dagen. Het Comité en de Toezichthouder steunen het enkele loket, en stellen grenzen aan ENISA, aan certificering en aan de verhouding tussen veiligheid en grondrechten.
Zeven sites zetten het VK uit in plaats van kinderen te beschermen
De Britse toezichthouder beschreef wat er gebeurt vóór formele onderzoeken. Voor de keuze gesteld tussen de dienst veilig maken of niet langer bereikbaar zijn vanuit het VK, kozen zeven platforms het tweede. Een overwinning, maar het laat ook zien hoe goedkoop weglopen is.
Anderhalf miljoen adoptieverhalen op dragers die niemand nog kon vinden
Het ernstigste geval komt voort uit het digitaliseren van papieren archieven tussen 2013 en 2022: ruim 1,17 miljoen dossiers, waarvan 1,14 miljoen over geadopteerden en zo'n 30.000 over vermiste kinderen, op slecht beveiligde apparaten en zonder enige registratie van hun verplaatsingen. Het bestuur merkte pas bij controles in 2024 en 2026 dat de dragers zoek waren.
In Brazilië kostte het 153,7 miljoen real om naar de leeftijd te vragen en het antwoord te geloven
Besluit van 25 augustus 2026. De Braziliaanse toezichthouder constateerde tekortkomingen in de leeftijdscontrole, zowel in de feed zonder registratie als in die met account. Naast de boete: het bevel onrechtmatig verzamelde gegevens te wissen en profielen onder de 16 standaard op de strengste instelling te zetten.
De gebruiker bevestigde het account niet: voor de Italiaanse toezichthouder is er geen contract en zijn de mails onrechtmatig
Besluit van 18 juni 2026, bekendgemaakt op 29 juli. Een burger krijgt reclamemails zonder ooit het lidmaatschapsformulier te hebben ingevuld. Uit het onderzoek blijkt dat wie de aanmaak van het account niet bevestigde toch op de lijsten belandde: de dubbele opt-in bestond, maar was nergens op aangesloten.
"We bewaren het voor onderzoeksdoeleinden": de EDPB legt uit waarom dat geen antwoord is
Op 15 april 2026 heeft de EDPB de ontwerprichtsnoeren 1/2026 over wetenschappelijk onderzoek vastgesteld. De openbare raadpleging sloot op 25 juni en de definitieve tekst is er nog niet. Wie registers bijhoudt, doet er goed aan het hoofdstuk over bewaring te lezen: een onderzoeksdoel alleen rechtvaardigt geen open termijn.
Je verklaart contract en wijst daarna de bezwaren af: Noorwegen laat zien hoe die twee fouten samen reizen
SATS vroeg leden om een foto die in het ledensysteem blijft en aan de balie wordt gebruikt om de identiteit van binnenkomende leden te controleren. Datatilsynet stelde vast dat de informatie een verkeerde grondslag noemde, het recht van bezwaar niet uitlegde, en dat bezwaren werden afgewezen zonder dwingende gerechtvaardigde gronden aan te tonen. Termijn om het te herstellen: 11 september 2026.
Wie is aansprakelijk voor de livestream van de wedstrijd onder 14? Zweden beantwoordt de vraag die niemand stelt
Op 25 augustus publiceerde de Zweedse toezichthouder een handreiking over het streamen van jeugdsport. Veel verenigingen zenden kinderwedstrijden online uit, en de handreiking noemt de factoren die bepalen wat is toegestaan. Maar het lezenswaardige deel is het andere: de verantwoordelijkheid als de gemeente eigenaar is van de accommodatie en de vereniging er camera's wil ophangen.
De score waarmee uw krediet wordt geweigerd, mag u opvragen — en die moet worden uitgelegd
Op 19 augustus vertaalde de CNIL haar aanbeveling van mei 2026 over de beoordeling van kredietwaardigheid voor het publiek. Daarin staan drie getallen en één beginsel die iedereen aangaan die aan scoring doet: vierentwintig maanden voor eerdere incidenten, zes maanden voor de gegevens van een afgewezen aanvraag, en een recht van inzage in de score dat niet met een beroep op bedrijfsgeheim kan worden afgedaan.
Franse fiscale gegevens gestolen, en geen enkel wachtwoord: juist dat maakt de zaak gevaarlijk
Op 14 augustus meldde het Franse ministerie van Economie dat het informatiesysteem van de belastingdienst was getroffen door een datalek: een derde kon gegevens van particulieren en ondernemingen inzien en onttrekken. Inloggegevens en wachtwoorden lijken niet betrokken — en juist daarom is het risico niet accountovername maar phishing gebouwd op echte fiscale gegevens.
Op school zijn advertentietrackers verboden, en dat is geen kwestie van toestemming
Op 24 augustus publiceerde de CNIL de regels voor de digitale werkomgevingen die op scholen worden gebruikt. Doorslaggevend is niet de bescherming van minderjarigen maar een bestuursrechtelijk beginsel: de neutraliteit van de openbare onderwijsdienst omvat de commerciële neutraliteit, zodat trackers voor reclame of profilering in beginsel verboden zijn. Heeft de tool ze, dan moet de verwerkingsverantwoordelijke ze uitschakelen.
Zelfde tool, zelfde dag, andere regel: waarom trackers op de universiteit niet verboden zijn
Op 24 augustus publiceerde de CNIL twee teksten over hetzelfde onderwerp, één voor de school en één voor de universiteit. Wie alleen de eerste leest en op de tweede toepast, zit op één punt fout: op school zijn advertentietrackers «in beginsel verboden», in het hoger onderwijs «beveelt» de CNIL aan tools te verkiezen die ze niet gebruiken. De rest — rechtsgrond, DPIA, waarborgen van de verwerker, doorgiften — valt samen.
Achthonderdvijfentwintig miljoen voor een algoritme dat accounts uitzette terwijl niemand keek
Het is de op één na hoogste boete ooit onder de AVG, alleen achter de 1,2 miljard voor Meta. Het gaat niet over een doorgifte of een datalek: het gaat over artikel 22, de regel over geautomatiseerde besluiten die vrijwel niemand vastlegt omdat die op een probleem van grote platforms lijkt. Hij raakt in werkelijkheid iedereen die software laat beslissen over iets dat in iemands leven zwaar weegt.
Polen verviervoudigde zijn boetes in een jaar, en de drie hoogste ooit stammen alle uit 2025
Polen gold jarenlang als markt met een laag handhavingsrisico. Die aanname houdt geen stand meer: in twaalf maanden ging het totaal van veertien naar ruim vierenzestig miljoen zloty, en de drie hoogste boetes uit de geschiedenis van het land dragen hetzelfde jaartal. Begeleidt u een klant met een vestiging, leverancier of servicecentrum in Polen, dan is de risicoberekening veranderd.
Zevenenzeventig vakken: wat een FG werkelijk archiveert, en waarom eenendertig niet volstonden
We stelden gebruikers een eenvoudige vraag: als er een verzoek van de toezichthouder binnenkomt, welke papieren haal je erbij? Het antwoord bevatte zesenveertig categorieën zonder eigen vak, die allemaal in «Overige documenten» belandden. We hebben ze toegevoegd. Daarna moest de pagina opnieuw, want zevenenzeventig grijze tegels in een raster zijn slechter dan eenendertig.
Het risico wordt in het register beoordeeld, en elke functie ligt op één woord afstand
Een FG gebruikte het platform een paar dagen en schreef dat het register van datalekken, de risicobeoordeling, het uploaden van documenten en de prijzen ontbraken. Drie van de vier waren er al. Ze vond ze niet omdat ze in het klantdossier zitten, en het menu toont ze niet. Vandaar twee toevoegingen: de risicobeoordeling, die in het register werkelijk ontbrak, en een zoekbalk die antwoordt op «datalek», «72 uur» of «art. 33» en ook zegt waar het gezochte staat.
Beveiligingsmaatregelen hoeven niet meer te worden overgetypt
De opmerking kwam van een FG tijdens de gratis proefperiode: «bij beveiligingsmaatregelen kan ik alleen typen». Ze had gelijk. Maatregelen kiest u nu uit een catalogus in negen groepen, ze blijven met de hand aan te vullen, en het programma zet de relevante bovenaan door naar de gegevenscategorieën en de doorgiftes te kijken. Ook de gegevenscategorieën krijgen een beschrijvend tweede niveau, en het land van bestemming is geen vrij veld meer.
Hoe lang gegevens worden bewaard: 960 regels, negen rechtsstelsels en een methode
Opslagbeperking is het beginsel dat bij een controle het slechtst aan te tonen is, omdat het antwoord verschilt per categorie gegevens en per land. Het platform bevat 960 reeds uitgeschreven regels. Maar het gaat niet om het getal: van 232 Portugese regels hebben er slechts 99 een in cijfers uit te drukken duur, en 95 zijn aangeduid als «lopende referentie» in plaats van «geverifieerd». Dat zeggen is nuttiger dan het verzwijgen.
De klant gaat failliet, de leverancier blijft alleen achter met de gegevens — en wordt verwerkingsverantwoordelijke
Een winkelketen gaat failliet. Oud-werknemers hebben hun urenregistratie nodig om onbetaald loon te onderbouwen, maar de enige die die gegevens heeft is de leverancier van de tijdregistratiesoftware. Die antwoordt dat hij aan niemand iets mag verstrekken — „zelfs niet aan de betrokkenen zelf" — omdat het contract met de verwerkingsverantwoordelijke is geëindigd. De Noorse toezichthouder oordeelde het tegendeel: wie als enige nog over de gegevens beslist, is de verwerkingsverantwoordelijke.
Echte werknemersgegevens in de testomgeving: wat verlies van controle waard is
Een nieuw HR-systeem testen met echte gegevens is niet verboden: méér velden overdragen dan de test nodig heeft wel. Het Duitse federale arbeidshof veroordeelde een werkgever tot tweehonderd euro omdat hij salaris, privéadres, fiscaal nummer en burgerlijke staat had geüpload, terwijl hij met de ondernemingsraad een lijst van negen velden had afgesproken. En het bevestigde dat een late reactie op een inzageverzoek op zichzelf geen schade is.
2 augustus is niet vervallen: het is versmald
Wie alleen de kop las — "de AI-verordening wordt uitgesteld" — werkt met verkeerde informatie. De datum van 2 augustus 2026 is niet verdwenen: de inhoud is veranderd. Wat bleef raakt veel meer klanten dan wat verschoof.
De Nederlandse toezichthouder publiceert een zelfevaluatie voor generatieve AI
Er ontbrak iets om te geven aan de klant die zegt: "we hebben de AI in ons pakket aangezet". De Nederlandse toezichthouder heeft een zelfevaluatie over generatieve AI-systemen gepubliceerd: vier momenten, en op elk een beslissing die moet worden vastgelegd.
NIS2 is wet in Nederland, zonder overgangsperiode
De Cyberbeveiligingswet is op 15 augustus 2026 in werking getreden. Het getal dat telt is niet achtduizend, maar honderddrieëndertigduizend: de Nederlandse mkb-bedrijven die de wet bereikt, niet omdat zij binnen het bereik vallen, maar omdat zij leveren aan iemand die daarbinnen valt.
Meldingen van datalekken hebben heel 2025 al overtroffen
De cijfers over het eerste halfjaar van 2026 zeggen twee verschillende dingen. Het eerste: het aantal gewaarschuwde personen wordt bepaald door zeer weinig enorme incidenten. Het tweede, ongemakkelijker voor wie risico beoordeelt: AI komt voor bij één op de vier lekken.
Een FG die beslist, kan zichzelf niet controleren
Op 10 augustus 2026 heeft de CNIL op papier gezet hoe een belangenconflict bij de functionaris voor gegevensbescherming wordt herkend en opgelost. Er is één maatstaf: bepaalt de FG in zijn overige functies het doel en de middelen van een verwerking, dan kan hij daar geen toezicht op houden. Niemand kan rechter in eigen zaak zijn.
Niet het artikel wordt gewist, maar de naam
Op 5 augustus 2026 verduidelijkte de Franse toezichthouder de grenzen van een recht dat vaak wordt ingeroepen en breed wordt misverstaan. Tegenover een persorgaan blijven bezwaar en wissing van toepassing, inzage en rectificatie niet. En een weigering moet concreet worden gemotiveerd: zes algemene formuleringen worden als ontoelaatbaar benoemd.
In 2026 kijken alle Europese toezichthouders naar hetzelfde: de privacyverklaringen
Elk jaar kiest de EDPB een thema dat alle nationale toezichthouders samen onderzoeken, in dezelfde periode, met vragenlijsten en inspecties. Het thema voor 2026 is transparantie: hoe verwerkingsverantwoordelijken mensen vertellen wat er met hun gegevens gebeurt. In beeld zijn art. 13, wanneer de gegevens van de betrokkene komen, en art. 14, wanneer ze ergens anders vandaan komen. De Tsjechische toezichthouder heeft het thema al in zijn inspectieplan opgenomen.
De Portugese CNPD schrijft op waar zij tot 2029 zal kijken
Op 24 juli 2026 stelde de Portugese autoriteit haar meerjarenplan 2027-2029 en het activiteitenplan 2027 vast. Het is het soort document dat vrijwel niemand leest en dat jaren vooruit zegt waar het toezicht zich op zal richten: digitale opleiding, digitale kwetsbaarheid, reguleringscapaciteit voor de DSA, AI-competenties en neurodata.
Portugal: de hoogste boete ooit leert maar één ding. Een verwerker toetsen is een inhoudelijke plicht, geen formulier
Met besluit 2022/1072 legde de Portugese CNPD het INE één boete van 4,3 miljoen euro op voor vijf overtredingen tijdens de volkstelling van 2021. De leerzaamste gaat niet over gezondheids- en religiegegevens: het INE sloot, hoewel de leverancier een kantoor in Lissabon had, het contract met de Amerikaanse vennootschap, aanvaardde de rechter in Californië als bevoegde rechter en het transport van gegevens langs tweehonderd servers, met modelcontractbepalingen en zonder enige aanvullende maatregel.
Gerechtvaardigd belang is geen terugvalgrondslag
In zaak C-621/22 oordeelde het Hof van Justitie dat een commercieel belang een gerechtvaardigd belang in de zin van artikel 6, lid 1, onder f) kan vormen. Velen lazen alleen die regel. De rest van het arrest herinnert eraan dat het bij drie cumulatieve voorwaarden blijft, en dat de derde - de afweging tegen de redelijke verwachtingen van de betrokkene - degene is waarop de zaak werd verloren. Voor de FG is het gevolg praktisch: gerechtvaardigd belang bestaat alleen als het ergens is opgeschreven.
Schadevergoeding onder de AVG: wat de eiser werkelijk moet bewijzen
Boetes van toezichthouders halen de krant, civiele vorderingen vullen de agenda's van advocaten. Sinds 2023 heeft het Hof van Justitie verduidelijkt dat vergoeding op grond van artikel 82 drie cumulatieve elementen vereist - inbreuk, schade en causaal verband - zonder enige drempel van ernst. En het heeft geoordeeld dat de gegronde vrees dat je gegevens in verkeerde handen zijn gevallen al immateriële schade is. Voor de verwerkingsverantwoordelijke verschuift daarmee het speelveld: niet langer de ernst, maar het bewijs van de getroffen maatregelen.
Mededinging en gegevensbescherming: de EDPB opent de tafel, en er is een termijn
Na de DSA en vóór de DMA en de AI-verordening gaat het vierde stuk van de Europese regelgevingsmozaïek over de verhouding tussen mededinging en gegevensbescherming. Dat is niet theoretisch: het raakt gegevens als marktactivum, concentraties, en de positie van wie gegevens verwerkt omdát hij een markt beheerst. De EDPB en de Commissie vragen om input vóórdat zij schrijven - en deze keer is de termijn dichtbij.
Witwasbestrijding en privacy: EDPB en AMLA schrijven samen de regels voor delen
Op 1 juli 2026 kondigden de EDPB en de Europese antiwitwasautoriteit gezamenlijke richtsnoeren aan over een vraag die geen van beiden alleen kon oplossen: hoe banken, beroepsbeoefenaren en toezichthouders informatie over verdenkingen kunnen delen zonder ongecontroleerde lijsten van verdachten te bouwen. De mogelijkheid geldt vanaf 10 juli 2027 en de openbare consultatie wordt in de eerste helft van dat jaar verwacht. Wie meldingsplichtige klanten begeleidt, heeft een jaar om zich voor te bereiden.
EDPB vanuit Dublin: er is een rechtsgrondslag nodig zodat toezichthouders over sectoren heen informatie kunnen delen
Het aantal en de complexiteit van klachten nemen toe, mede door het toegenomen gebruik van AI, en toezichthouders zeggen openlijk dat de middelen tekortschieten. De oplossingen op tafel: gezamenlijke operaties, het bundelen van middelen tussen autoriteiten en de komende Procedureverordening.
EDPB, bindend besluit 1/2026: een cookieklacht wordt niet afgewezen met het verwijt dat de klager misbruik maakt van zijn rechten
De leidende autoriteit wilde de zaak sluiten wegens vermeend misbruik van art. 77 en art. 80, lid 1. De Oostenrijkse toezichthouder maakte bezwaar en de EDPB gaf hem gelijk: noch het objectieve, noch het subjectieve bestanddeel van misbruik was aangetoond. De klacht gaat terug en moet inhoudelijk worden beoordeeld.
Controle van werknemers: de CNIL herinnert eraan dat er drie voorwaarden zijn en dat ze alle drie gelden. Proportionaliteit is pas de eerste
Op 9 juli 2026 heeft de CNIL haar pagina over de controle van de activiteit van werknemers bijgewerkt. De inhoud lijkt herhaling, maar één punt wordt in de praktijk voortdurend onderschat: de voorwaarden zijn er drie, ze zijn cumulatief, en twee van de drie hebben niets te maken met hoe ingrijpend het middel is.
71 % van de FG's wil de AI-verordening binnen het eigen bereik. 27 % zegt haar te kennen. 85 % volgde nooit een AI-opleiding
Op 3 juli 2026 publiceerden het Franse ministerie van Werk, de AFCDP en de CNIL de vijfde editie van het Observatorium van het FG-beroep, uitgevoerd door de Afpa. De makkelijke lezing is dat FG's de AI-aanspreekpunten worden. De nuttige lezing is een andere: tussen wie de AI-verordening in het eigen bereik wil en wie zegt haar te kennen zit 44 punten verschil, en de AI-verordening noemt de FG nergens.
Oostenrijk: het hoogste bestuursrechtscollege verlaagt de boete van 18 naar 13 miljoen. Maar u moet de passage lezen waarin het zegt dat een compliance-programma niets verontschuldigt
Op 24 juni 2026 sloot het Oostenrijkse Verwaltungsgerichtshof een sinds 2019 lopende procedure af en verlaagde de boete voor het verwerken van 'partijaffiniteiten', berekend voor ongeveer 2,2 miljoen personen, tot 13 miljoen euro. De koppen zullen over de korting gaan. Voor een FG telt de rest: het college zegt dat voor het bestraffen van een rechtspersoon geen handelen van de bestuursorganen nodig is, dat het beschikken over middelen voor advies de lat hoger legt in plaats van lager, en dat de verwijten over de DPIA en het verwerkingsregister wegvallen door absorptie - niet omdat die documenten juist waren.
Zweden: 6 miljoen kronen voor een SQL-injectie. Het hardste is niet de boete, maar dat het risico al sinds 2021 in hun eigen risicoregister stond
Op 26 januari 2026 legde de Zweedse toezichthouder Sportadmin i Skandinavien AB een boete van 6.000.000 kronen op wegens schending van artikel 32, lid 1. Het platform beheert leden, facturatie en websites van sportverenigingen: de aanval van 16 januari 2025 legde de gegevens van 2.126.075 personen bloot, overwegend kinderen, inclusief allergieën en beperkingen. De passage die u twee keer moet lezen is echter een andere: sinds 2021 had het bedrijf het risico van SQL-injectie in zijn eigen jaarlijkse doorlichtingen vastgesteld, en juist daarop baseert de IMY de grove nalatigheid.
Wie houdt toezicht op de AI-verordening, en waar begint dat. Verboden praktijken en AI-geletterdheid, niet de hoogrisicosystemen
De Nederlandse regering heeft de Autoriteit Persoonsgegevens en de Rijksinspectie Digitale Infrastructuur aangewezen als coördinerende nationale toezichthouders voor de AI-verordening. De werkagenda voor 2026 noemt vijf prioriteiten: overkoepelend systeemtoezicht, transparantie en uitlegbaarheid, kaders en normen, toetsing op bias en eerlijkheid tegen discriminatie, en AI-geletterdheid. De eerste formele handhavingsacties worden in de loop van 2026 verwacht, te beginnen bij organisaties die verboden praktijken toepassen of de verplichting tot AI-geletterdheid aantoonbaar verwaarlozen.
France: 23 fines in six months under the simplified procedure. Small amounts, new target
In the review published on 6 July 2026 the CNIL counts 23 new fines adopted since January under its simplified procedure, totalling EUR 133,750. Three infringements recur: excessive video surveillance, non-compliant cookie banners, and failure to respond to access and erasure requests. One example of the kind of target: EUR 7,500 against a company operating public toilet facilities, on 2 April.
France: EUR 5 million for IQVIA. The pharmacy software kept sending the data even when the patient had said no
On 26 May 2026 the CNIL's restricted committee fined IQVIA Operations France EUR 5 million. The company runs two health data warehouses for third-party studies: LRX, authorised in 2018 and fed by around 14,000 pharmacies, and EMR, authorised in 2021 and fed by several thousand doctors. Among the findings, the most instructive: the practice management software used in pharmacies transmitted customer data to IQVIA even where the customer had objected.
Finland: the Supreme Administrative Court upholds the fine on Verkkokauppa.com. The failing: never having defined how long to keep the data
On 12 June 2026 the Korkein hallinto-oikeus, Finland's Supreme Administrative Court, dismissed Verkkokauppa.com's appeal against the penalty imposed by the Finnish Data Protection Ombudsman's sanctions board (decision KHO 12.6.2026/1604). The original amount was EUR 856,000, reduced by the Administrative Court to EUR 792,639 on the basis of the company's most recent turnover. The finding does not concern a data breach: it concerns the fact that the company had never defined retention periods for customer account data.
Poland: a municipality fined not for publishing the data of 749 petition signatories, but for never reporting it
On 25 May 2026 the President of the UODO fined the mayor of Myslenice PLN 7,700. An un-anonymised petition had been published in the municipality's Public Information Bulletin: names, surnames, home addresses and signature specimens of 749 people. The core of the decision is not the publication, which the municipality corrected by replacing the file: it is that the breach was never notified to the authority, not even after the authority asked.
Raad van State bevestigt vernietiging van de boete van 600.000 euro voor wifitracking in Enschede
Op 29 juli 2026 heeft de Afdeling bestuursrechtspraak van de Raad van State het hoger beroep van de Autoriteit Persoonsgegevens tegen de gemeente Enschede ongegrond verklaard en daarmee de uitspraak van de rechtbank Overijssel van februari 2024 bevestigd. De boete van 600.000 euro, in maart 2021 opgelegd voor het tellen van bezoekers in het centrum met sensoren die MAC-adressen van apparaten met ingeschakelde wifi opvingen, blijft vernietigd. De reden is niet dat het tellen rechtmatig was: de AP heeft onvoldoende aangetoond dat de verzamelde MAC-adressen als persoonsgegevens konden worden aangemerkt en dat er dus sprake was van verwerking van persoonsgegevens.
Poland: WhatsApp in the sales network brings a fine for the processor, and a reprimand for the controller that never vetted it
On 22 June 2026 the President of the UODO, Miroslaw Wroblewski, closed the proceedings opened after a breach notification by Energa-Obrot: reprimands for the controller and the processors, and an administrative fine of PLN 10,145 for one of the processors. At the root of it, the use of WhatsApp by sales representatives of a door-to-door network during the pandemic: on a former agent's private phone there were scans and photographs of customer contracts, in group conversations, for many months.
Ireland: EUR 277,500 for Permanent TSB over a contact centre that could be fooled, and for reporting late
On 8 May 2026 the Irish Data Protection Commission closed its inquiry into a series of personal data breaches at Permanent TSB, first notified in May 2022. Malicious actors, holding certain customer information, called the Open24 contact centre posing as customers, gained access to accounts and amended account details. Some customers lost money. The authority issued a reprimand and fines totalling EUR 277,500.
De AP maakt haar prioriteiten voor 2026-2028 bekend: massasurveillance, kunstmatige intelligentie en digitale weerbaarheid
De Autoriteit Persoonsgegevens heeft drie strategische prioriteiten vastgesteld voor 2026-2028: massasurveillance, kunstmatige intelligentie en digitale weerbaarheid. In het jaarplan 2026 geeft de AP aan meer capaciteit vrij te maken voor AI en algoritmen en zich te richten op grootschalige systemen met aanzienlijke maatschappelijke impact, zonder onderscheid tussen publieke en private handen. Voor wie klanten in Nederland begeleidt is dit de nuttigste informatie van het jaar - en zij kost niets.
Netherlands and Poland: two authorities that raised the bar in 2026
The Dutch Autoriteit Persoonsgegevens has increased its budget and headcount and has named transparency, tracking and cookies among its 2026 supervisory priorities, with an approach that is openly less advisory and more enforcement-driven. In Poland the President of the UODO has shifted attention towards small and medium enterprises, a segment until recently little touched by inspections. For anyone with clients in those countries, or considering it, these are two signals that change the cost-benefit balance of compliance.
Piaggio fined 460,000 euro: 112 company emails read, backups kept for five years after termination
The Italian data protection authority has fined Piaggio & C. Spa 460,000 euro over the way the company managed employee email accounts. The investigation, opened after complaints by two former employees, established that 112 emails had been acquired during the employment relationship, some dating from roughly two years before any suspicion arose, made possible by backups retained for the whole duration of employment and up to five years after termination. Alongside the fine, the authority banned the company from accessing the data it had collected.
AI Act in Italy: the data protection authority becomes market surveillance authority for high-risk systems in justice, borders and democratic processes
The Italian data protection authority has issued a favourable opinion on the draft legislative decree implementing the AI Act in Italy. The decree sets out national governance and designates the authority as market surveillance authority for high-risk AI systems used in the areas most sensitive for fundamental rights: justice, law enforcement, immigration, border management and democratic processes. Among the conditions attached, one concerns any organisation: extending the ban on decisions based solely on automated systems to assessments affecting the employment relationship.
Misconfigured document register: 12,000 euro fine for the Metropolitan City of Sassari
Following a data breach notification and a complaint, the Italian data protection authority fined the Metropolitan City of Sassari for misconfiguring its electronic document register, making documents containing personal data accessible to staff who, given their role and duties, were not authorised to process them. The fine is 12,000 euro, but the principle applies to every public body and every company running a document management system: filing is not a neutral activity, and a default of total visibility breaches the principles of integrity and confidentiality.
AI Act, 2 August: what actually applies and what has been postponed to 2027
For two years 2 August 2026 was presented as the day obligations for high-risk AI systems would start. The Digital Omnibus package changed that calendar: requirements for Annex III high-risk systems move to 2 December 2027 for stand-alone systems and 2 August 2028 for those embedded in products already covered by sectoral legislation. 2 August nonetheless remains an operative date: the transparency obligations of Article 50 become applicable, together with the full operation of governance and penalties, with national authorities acquiring full powers.
Denmark: cookies are the 2026 priority, and fines are decided by a court
The Danish authority has flagged cookie consent as a supervisory priority for 2026, coordinating with the Digitaliseringsstyrelsen, which oversees the ePrivacy implementation while Datatilsynet applies the GDPR. But Denmark has a peculiarity that changes how every one of its decisions should be read: its constitutional order does not allow an administrative authority to impose punitive financial penalties. Recital 151 GDPR expressly anticipates this for Denmark and Estonia: the fine is decided by a court as a criminal penalty, following a report by the authority to the police.
Email tracking pixels: France has already closed its grace period, Italy's runs to October
With deliberation no. 2026-042 of 12 March 2026, made public on 14 April, the French CNIL adopted its final recommendation on email tracking pixels: for most marketing uses, prior consent is required, just as for cookies. Existing contact bases were given three months to inform recipients and allow them to object, a period that ended on 14 July 2026, with checks announced from that date. In Italy the authority reached the same conclusion with decision no. 284 of 17 April 2026, but with a longer compliance window.
Wind Tre, EUR 1.7 million: the breach started with a phone call
The Italian DPA fined Wind Tre EUR 1,715,600 (decision no. 348 of 14 May 2026, made public with the 16 July newsletter). The starting point was not a sophisticated cyberattack: people posing as support technicians convinced staff at two retail outlets to allow access to company systems. From there, identification and contact data of 365,048 customers were exfiltrated; for 41,359 of them, payment method information as well, including IBANs, postal payment slips and credit cards with partially masked numbers and expiry dates. The charges: breach of the integrity and confidentiality principle (Art. 5(1)(f)) and of security obligations (Art. 32(1)(b)).
Cookies, France holds the line: EUR 1.5 million to American Express and the topic stays a 2026 priority
In January 2026 the CNIL fined American Express EUR 1.5 million for cookie violations, confirming that the topic remains a standalone enforcement priority alongside artificial intelligence and cybersecurity. In 2025 there had been 21 cookie decisions, totalling over EUR 475 million. The recurring charges are always the same: trackers set before consent, a reject button less visible or further away than the accept button, inadequate information.
Call centre recordings: the customer has a right to access them, and a transcript is enough
A customer had asked to access their own data contained in a recorded call with customer service. The company refused, considering the protection of the agent's confidentiality to prevail. The authority held that the request could be satisfied by providing the transcript, provided the elements identifying other people involved are redacted: given the professional context of the call and its subject, a supply contract, redaction would not have prejudiced the agent's confidentiality.
EDPB adopts guidelines on anonymisation, web scraping for generative AI, and blockchain
At its July 2026 plenary, the European Data Protection Board adopted guidelines on anonymisation and on web scraping in the context of generative artificial intelligence, together with the final version of the guidelines on processing personal data through blockchain technologies. Three documents addressing three recurring questions: when data is truly anonymous, on what conditions data may be collected from the web to train models, and how the immutability of a chain can be reconciled with data subjects' rights.
Spain: EUR 18 million to Amadeus for reusing booking data for product development
The Spanish authority fined Amadeus IT Group EUR 18 million (reduced to 14.4 with voluntary payment) for aggregating travellers' booking data into profiles for product development. The cross-border investigation found the reuse of data collected years earlier from airlines and agencies, for purposes data subjects could not reasonably expect, without an Article 14 notice and without a valid legitimate-interest balancing test.
Norway: loyalty programme under scrutiny, more than six million members involved
The Norwegian authority concluded proceedings opened after an audit of the Nordic entities of a retail group, finding several breaches relating to its loyalty programme: invalid consent, new processing purposes introduced without assessment, insufficient legitimate-interest balancing, and failure to answer data subject requests within the deadline. More than six million members across the Nordic region were affected.
Credit scoring in utilities: the Italian DPA hits the whole chain with three decisions in one day
With three decisions adopted in the same session on 3 July 2026, the Italian DPA targeted the credit-scoring chain applied to energy supply contracts: Experian Italia, Hera Comm and Cerved. The charges are similar and paint a clear picture: deficient notices, breaches of minimisation and storage limitation, privacy by design and by default disregarded, inadequate responses to access requests and poorly governed Article 28 relationships along the chain.
Whistleblowing: without consulting the unions, the procedure is not compliant
A preliminary requirement that almost everyone overlooks is back in the spotlight: Article 4 of Legislative Decree 24/2023 requires internal reporting channels to be activated after hearing worker representatives or trade unions. The ANAC guidelines clarify that failing to do so makes the procedure non-compliant and may trigger a sanction under Article 21. It also applies to substantial updates, not just first activation.
Data breach: Italian DPA fines Wind Tre EUR 1.7 million after exfiltration of 365,000 customers' data
In its 16 July 2026 newsletter the Italian DPA announced a EUR 1.7 million fine to telecom operator Wind Tre following a data breach with exfiltration of roughly 365,000 customers' data. The case confirms the authority's line on large operators: the incident itself is not the fault - the fault lies in security measures inadequate to the risk (Art. 32) and in how the breach was handled. In the same newsletter: two debt-collection companies fined (EUR 50k and 30k) and the customer's right to access the audio of their own support calls (Enel case).
Character.AI fined EUR 158,000: minors, late DPIA and missing EU representative
With a decision of 3 July 2026 (announced 9 July) the Italian DPA fined Character Technologies Inc., the US company behind Character.AI, EUR 158,000: deficient privacy notice (Arts. 12-14), a DPIA prepared late relative to the service launch, late designation of the EU representative (Art. 27) and shortcomings in minor protection and age verification. Beyond the fine, corrective measures within 120 days: working age verification, an effective cooling-off period against re-registration by blocked minors, minors' profiles private by default.
Children's photos on social media: both parents must consent
In its 17 June 2026 newsletter the Italian DPA restated a principle that matters well beyond family disputes: publishing photos of minor children on social media requires the consent of BOTH parents. In case of disagreement, the child's protection prevails. For the DPO it is an operational criterion affecting schools, nurseries, sports clubs, parishes and companies publishing images of minors for promotional purposes.
Italian DPA to hoteliers: do not keep copies of guests' ID documents
In a notice addressed to the hospitality sector, the Italian DPA reiterated that hoteliers may not keep copies of guests' identity documents: the legal duty (Art. 109 of the Italian public-security code) is to identify the guest and transmit the data to the police via the Alloggiati Web portal - after that, document copies must be destroyed or deleted. A widespread habit becomes a concrete sanction risk.
Data breach: EDPB puts a new EU-wide notification template up for consultation
The EDPB has opened a public consultation on a new harmonised data-breach notification template, designed to align the information requested by authorities across Member States. For DPOs it is operational news: the content of the Art. 33 notification is becoming standardised, and anyone with a structured internal procedure (facts, categories, risk assessment, measures) will find the work already done.
Enel Energia fined EUR 563,052: the 'administrative' call that turns into a sales pitch
With decision no. 170/2026 the Italian DPA fined Enel Energia EUR 563,052: during purely administrative contacts (supply paperwork, takeover confirmations), including via third parties, commercial offers were made without a valid legal basis - even to customers on the opt-out register or who had expressly refused marketing consent. Also challenged: a re-contact mechanism based on opt-out (an SMS with 90 seconds to refuse) and partner vetting - one agency was contracted two months after being sanctioned by the DPA for marketing.
Italy's DPA fines AgID: EUR 55,000 to the Agency for Digital Italy over transparency and privacy by design
With injunction order no. 419 of 28 May 2026 the Italian DPA declared unlawful certain personal data processing carried out by AgID - the Agency for Digital Italy, with a EUR 55,000 fine and publication of the decision on the authority's website. The breaches concern lawfulness, fairness and purpose limitation (Art. 5), information duties towards data subjects (Arts. 12 and 14) and data protection by design (Art. 25).
Italy's DPA halts stress and emotion monitoring at work: not even in aggregate form
With decision no. 342 of 2026, the Italian DPA reaffirmed that data on employees' health or psychological journey cannot be made accessible to the employer, not even in aggregate form. The case closes the loop with the AI Act, which expressly prohibits AI systems that infer people's emotions in the workplace (Art. 5): organisational wellbeing cannot turn into emotional surveillance.
Trenitalia tells customers about a data breach eight months after the attack: an Art. 34 lesson
In July 2026 Trenitalia informed its customers of a data breach suffered roughly eight months earlier. Beyond the outcome, the case is a textbook lesson on the difference between notifying the authority within 72 hours (Art. 33) and communicating to data subjects 'without undue delay' when the risk to their rights is high (Art. 34): eight months are hard to justify, and in the meantime the persons affected could not protect themselves.
Italian DPA annual report: collected fines +54.5%, almost 7 data breaches notified per day, AI at the centre
On 2 July 2026 the Italian DPA presented its 2025 activity report to Parliament: 807 collegial decisions, 506 corrective and sanctioning measures, over EUR 37.7 million in fines collected (+54.5% on 2024), 2,415 data breaches notified (+10%), 130 inspections. AI takes centre stage: from DeepSeek to deepfakes, from facial recognition at the airport to worker surveillance.
SPID under scrutiny: Lepida fined, data of 1.5 million citizens viewable 'out of mere curiosity'
With a decision of 29 April 2026, the Italian DPA fined Lepida (EUR 100,000), one of Italy's main SPID identity providers: over 7,000 counter operators could view data and download copies of ID documents and health cards of more than 1.5 million citizens, even with no operational need. The DPA found accesses 'out of mere curiosity' and documents left stored on operators' workstations after identification.
Digital Omnibus: EU Council approves changes to the AI Act. What it means if you are preparing
On 29 June 2026 the EU Council approved the proposed regulation that streamlines and simplifies certain AI rules, amending the AI Act (the 'Digital Omnibus' package). Negotiations with Parliament continue: until final adoption, the current AI Act text remains the reference, including the August 2026 transparency deadlines.
Italy's DPA fines Emirates EUR 180,000: passenger health data kept for 7 years and an unclear notice
The Italian DPA fined Emirates EUR 180,000 over the handling of reduced-mobility passengers' health data. The case started from a complaint by a passenger asked to fill in a medical form despite not being in the categories required to do so. The key point for DPOs: the collection itself was lawful, but the authority faulted an inadequate notice and excessive retention (7 years).
Loyalty-card data used to fire an employee: Italy's DPA says no. A lesson on purpose limitation
With decision no. 311 of 29 April 2026, the Italian DPA found unlawful the employer's use of data collected through the loyalty card to support an employee's dismissal. That data had been collected to run the loyalty programme, not to monitor or discipline staff. The point for DPOs: having a piece of data does not mean you can use it for any purpose.
EDPB 2026: the EU coordinated action targets transparency (Art. 12-14). What to check in privacy notices
For 2026 the EDPB chose TRANSPARENCY as the topic of its coordinated enforcement action: authorities will examine how organisations inform data subjects under Art. 12-14. In short: clear, complete, verifiable notices. A good moment to review your clients' documents.
GDPR fines top EUR 7.1 billion: enforcement accelerates and SMEs are not exempt
Cumulative GDPR fines have passed EUR 7.1 billion across 1,400+ decisions. Enforcement is accelerating, not plateauing. And contrary to a common myth, SMEs do get fined: smaller amounts, same proportional severity.
France fines IQVIA EUR 5M: pseudonymisation does not take you out of the GDPR
In France the authority (CNIL) fined IQVIA EUR 5 million, clarifying a point many confuse: pseudonymising data - even health data - is not the same as anonymising it. Pseudonymised data remains personal data and must be handled with all the safeguards of the Regulation, including the enhanced ones in Art. 9.
Rome Court annuls the Garante's EUR 15M fine against OpenAI: the one-stop-shop decides
The Rome Court annulled the EUR 15M fine the Italian Garante imposed on OpenAI in 2024. The judge does not rule on the merits (legal basis, notice, age verification): it upholds the jurisdiction argument. For cross-border processing the one-stop-shop and lead authority govern.
The Garante's 2026 inspection plan: six areas and how to be ready
The Italian Garante set its 2026 inspection areas, backed by the Finance Police tech-fraud unit. Topics include data breaches in public databases and abusive access. Those who document self-assessment and lesson learning get treated differently.
France: CNIL fines France Travail EUR 5 million - 36.8 million data subjects and a social-engineering attack
The CNIL fined France Travail (formerly Pole Emploi) EUR 5 million after a breach exposing the data of around 36.8 million people. Attackers used social engineering against partner advisers' accounts. The lesson: having security plans is not enough, they must actually be implemented.
France: EUR 1.7 million to Nexpublica - health and disability data accessible to other users through long-known flaws
The CNIL fined software vendor Nexpublica EUR 1.7 million: its PCRM tool, used by social services, exposed sensitive documents (including disability data) to other users. The flaws were known from prior audits but left open. A textbook case for anyone processing health data.
Spain: AEPD fines Aena EUR 10 million for biometric boarding without adequate DPIA
The Spanish Data Protection Agency fined Aena over EUR 10 million for launching its biometric boarding programme without completing an adequate DPIA. Not a data breach: a failure of preventive accountability.
Netherlands: the EUR 290 million Uber fine and the Dutch Authority's new priorities for 2026
The Autoriteit Persoonsgegevens confirmed the EUR 290 million fine against Uber for unlawful transfers to the US. Meanwhile the Authority sets three strategic priorities for the next two years every DPO should know.
Data breach: Italy's DPA fines The European House - Ambrosetti EUR 85,000 over plaintext passwords and late notification
The Italian DPA fined The European House - Ambrosetti spa EUR 85,000 following a 2024 data breach affecting 61,670 people. The attack, via a technical vulnerability, led to the exfiltration of names, emails, usernames and passwords. The point for DPOs: the breach was notified to the regulator within 72 hours, but data subjects were informed only after two months and after the authority stepped in.
EDPB CEF 2026: 25 European DPAs verify transparency of privacy notices
The European Data Protection Board has launched the 2026 coordinated action on transparency and information obligations. 25 national DPAs (including the Italian Garante) are already contacting controllers in various sectors. What to expect and how to prepare.
Italian DPA cracks down on WhatsApp and Telegram in public administration: ban on operational communications with citizens from July 1, 2026
The Italian DPA (Garante) issued a general provision banning Italian public administrations from using WhatsApp, Telegram, Messenger and other commercial messaging apps for operational communications with citizens. Banned also for requesting documents, certificates or personal data. PAs must use institutional channels (PEC, portals, SPID-auth) by July 1, 2026. Fines up to 100,000 EUR.
Spain: AEPD publishes Europe's first guidance on agentic AI and data protection
The Spanish Data Protection Agency is the first European Authority to publish elaborate guidance on agentic AI. It explains the concept, the vulnerabilities in processing personal data and mitigation measures for controllers and processors.
Vodafone Germany fined EUR 45 million: the Art. 28 GDPR lesson on processor controls
The German Federal Commissioner for Data Protection (BfDI) imposed a total fine of EUR 45 million on Vodafone GmbH: 15M for Art. 28 violation (processor oversight) and 30M for Art. 32 (security). A decision that redefines accountability expectations on processors.
NIS2 and GDPR: how to orchestrate them operationally after Italian Decree 138/2024. The DPO checklist for the NIS Operator
After the NIS2 transposition with Legislative Decree 138/2024, Italian companies qualified as 'essential entities' or 'important entities' must coordinate NIS2 obligations (cyber security, 24h incident reporting) with GDPR obligations (72h data breach). The DPO is not the NIS Coordinator but must interface: risk of double sanctions if not properly orchestrated.
EDPB publishes guidelines on public DPO profiles: transparency, accountability and data subject rights
The EDPB clarifies how to process the professional data of DPOs exposed publicly on online directories: legal basis, purposes, data subject rights and platform responsibilities.
AI Act August 2026: high-risk systems deadline. Mandatory DPIA for enterprise LLMs
The EU AI Act enters its critical phase: August 2026 triggers obligations for high-risk systems. The Italian Garante has already anticipated enforcement with the EUR 5M fine to Luka (Replika). What DPOs must do now.
AI Act and DPO: how the DPO role changes with deployer obligations entering into force in August 2026
In less than 3 months, the AI Act sections dedicated to deployers (users) of high-risk AI systems enter into force. The DPO becomes a key interlocutor for impact assessment, data subject information and monitoring.
Corporate email post-termination: Italian DPA fines ITAS Mutua
The Italian Data Protection Authority addresses the management of corporate emails after employment termination. ITAS Mutua sanctioned for undocumented access and retention beyond necessary.
TikTok vs Irish DPC: Supreme Court suspends 530 million euro fine
The Irish Supreme Court confirms the suspension of the record 530M EUR fine imposed by the DPC on TikTok for EEA data transfer to China. The case exposes the structural problem of enforcement timing against big tech.
Email tracking pixels: new Italian DPA Guidelines
On April 17, 2026, the Italian DPA adopted Guidelines on tracking pixels in emails. For DPOs: 6 months to align privacy notices, consent flows, and privacy-by-design techniques.
Intesa Sanpaolo: 31.8M euro fine from the Italian DPA
The Italian Data Protection Authority fines Intesa Sanpaolo for a data breach affecting 2.4 million customers. Late notification and incomplete information among the key issues.
Rome Court annuls 15M euro fine against OpenAI
The Rome Court annuls the fine that the Italian DPA had imposed on OpenAI for the ChatGPT case. A decision that redefines the scope of GDPR enforcement on generative AI models.
Enel Energia fined over 500,000 euros: telemarketing without consent
The Italian DPA fines Enel Energia for promotional calls to subjects who had not provided consent or had registered their number in the public opposition register.
Italian Supreme Court 984/2026: the DPA 120-day deadline is final
With its January 17, 2026 ruling, the Italian Supreme Court confirms that the 120-day deadline for concluding the DPA's enforcement proceedings is final. A relevant decision for those handling privacy litigation.
EDPB: DPOs are under-resourced and disconnected from top management
EDPB publishes the results of the coordinated enforcement action: insufficient resources, lack of access to top management, conflict of interest risk. A snapshot that also concerns Italian external DPOs.
France's Conseil d'Etat: the line between anonymization and pseudonymization narrows
France's State Council confirms CNIL's approach on pseudonymized health data. A ruling that redefines the practical scope of GDPR anonymization and impacts all data analytics projects.
EDPS strengthens DPO independence: new binding rules
The European Data Protection Supervisor (EDPS) adopts new binding rules to protect DPO independence within Union institutions. A signal strengthening the role.
Digital Omnibus: EDPB and EDPS call for simplification without setbacks
EDPB and EDPS publish the joint opinion on the EU Commission's Digital Omnibus package. Positive measures on data breach and DPIA, but strong opposition to the revision of the personal data definition.
Italian DPA 2026 inspection plan: data breach, whistleblowing, AI in schools
The Italian DPA published its inspection activities plan for January-June 2026. Sectors at risk: banking data breaches, health dossiers, energy telemarketing, and AI in schools.
CNIL fines Free Mobile and Free 42 million euros: 24 million customer data breach
The French Authority separately fines Free Mobile (27M) and Free (15M) for a breach that exposed 24 million subscribers in October 2024. A decision that clarifies the scope of Art. 34 GDPR.