TL;DR
In de op 21 september 2026 bekendgemaakte plenaire vergadering nam het EDPB richtsnoeren 04/2026 aan over hoe toezichthouders beslissen of ze een boete opleggen, alleen of naast de andere corrigerende bevoegdheden van art. 58, lid 2. Vijf stappen: rechtsgrond van de boete, aansprakelijke partij, opzet of nalatigheid, verzwarende en verzachtende omstandigheden, doeltreffendheid en evenredigheid. Geringe inbreuk: in de regel geen boete, eventueel een berisping. Niet-geringe inbreuk: sterk vermoeden van een boete. Veertien praktijkvoorbeelden. Ze vervangen de richtsnoeren van de Artikel 29-werkgroep uit 2017 en vullen richtsnoeren 04/2022 over de berekening aan. Consultatie tot 13 november 2026. In dezelfde vergadering werd de definitieve versie van richtsnoeren 3/2025 over DSA en AVG aangenomen.
Wat er verandert
Richtsnoeren 04/2022 leggen uit hoe de hoogte van een boete wordt berekend. De stap daarvoor ontbrak: wanneer een toezichthouder moet beboeten en wanneer een andere maatregel volstaat. De nieuwe richtsnoeren vullen dat gat en vervangen het oude document van de Artikel 29-werkgroep. Ze beschrijven ook elke corrigerende bevoegdheid — waarschuwingen, berispingen, bevelen, beperkingen en verboden, intrekking van certificering — met het doel en de combinatie met een boete.
De vijf stappen
- RECHTSGROND. De toezichthouder gaat na of de inbreuk volgens de AVG of nationaal recht beboetbaar is.
- WIE IS AANSPRAKELIJK. Verwerkingsverantwoordelijke of verwerker, afhankelijk van wie gebonden is door de geschonden bepaling: beveiliging volgens art. 32 bindt bijvoorbeeld beide.
- OPZET OF NALATIGHEID. Geen verwijtbaarheid, geen boete. Dat is de lijn die het Hof van Justitie al trok in Deutsche Wohnen (C-807/21, 5 december 2023).
- VERZWARENDE EN VERZACHTENDE OMSTANDIGHEDEN. Is de inbreuk gering, dan in de regel geen boete en hooguit een berisping; is ze niet gering, dan is er een sterk vermoeden dat een boete moet volgen.
- DOELTREFFEND, EVENREDIG, AFSCHRIKKEND. De laatste toets, met ruimte om af te wijken van de standaardaanpak als de zaak dat rechtvaardigt.
Het vermoeden dat telt
Het scherpste punt is stap vier. Buiten geringe inbreuken is de boete geen optie meer die gemotiveerd moet worden, maar de regel waarvan alleen om goede redenen wordt afgeweken. Wie rekende op een eerste berisping „uit coulance”, heeft minder ruimte.
Waarom het ook kleine organisaties raakt
De richtsnoeren moeten de Europese toezichthouders op één lijn brengen: dezelfde inbreuk hoort in Rome, Lissabon of Stockholm dezelfde reactie te krijgen. Voor een organisatie wordt zo nog voorspelbaarder wat in stap vier weegt — medewerking, al genomen maatregelen, bestaande documentatie, snel herstel. Precies dat bouw je vooraf op, niet tijdens een onderzoek.
Wat het betekent voor de FG
Vier stappen
Eén: verwijtbaarheid is een voorwaarde en wordt beoordeeld op wat de organisatie wist en had gedaan. Register, DPIA's, risicoanalyses en gedateerde procedures bewijzen dat nalatigheid ontbreekt of gering is. Twee: leg corrigerende acties vast met data en verantwoordelijken, want ze tellen als verzachtende omstandigheden. Drie: een berisping is niet „niets”: het besluit blijft in het dossier en weegt als precedent. Vier: reacties kunnen tot 13 november 2026. In DPO Workspace houden de registerdiagnose en de activiteitengeschiedenis data, besluiten en motiveringen al bij elkaar.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
