De AVG-boete: wat artikel 83 écht zegt, ook voor startups

6 min lezen · Bijgewerkt 2026-11-12

Artikel 83 AVG zet het kader voor bestuurlijke boetes. De plafonds zijn hoog, en toezichthouders hebben ze gebruikt. Dat betekent niet dat elk gat in de administratie van een startup tot de maximale boete leidt. Wie de echte regel kent, plant rustiger en laat zich niet leiden door marketing die op angst drijft.

De twee plafonds

Voor bepaalde inbreuken, onder meer op de beginselen, de rechtsgronden, de rechten van betrokkenen en de regels over doorgiften, is het plafond maximaal 20 miljoen euro of 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, naar gelang welke van de twee het hoogst is. Voor andere inbreuken, onder meer op sommige organisatorische en verwerkersplichten, is het plafond maximaal 10 miljoen euro of 2% van die omzet, naar gelang welke het hoogst is.

Omzet is de echte omzet van uw groep, geen slogan. Voor een onderneming zonder omzet is het europlafond het relevante maximum, maar de AP moet nog steeds de criteria van artikel 83, lid 2, toepassen.

Hoe een boete wordt bepaald

Artikel 83, lid 2, verplicht de autoriteit naar de feiten te kijken: de aard, ernst en duur van de inbreuk, of deze opzettelijk of nalatig was, wat u heeft gedaan om schade te beperken, eerdere inbreuken, de categorieën van gegevens, hoe de autoriteit het ontdekte, uw mate van medewerking, en of u van de inbreuk heeft geprofiteerd, naast andere factoren. Boetes moeten doeltreffend, evenredig en afschrikkend zijn.

De AP publiceert haar boetebeleid en haar besluiten. Veel handhavingsdossiers beginnen met een klacht, een datalekmelding of berichtgeving, niet met een willekeurige controle van elke startup. Een snelle, eerlijke reactie en een echt herstelplan tellen mee. Een kwalificerend datalek verbergen is een apart probleem: artikel 33 eist melding aan de AP zonder onnodige vertraging en, waar haalbaar, binnen 72 uur nadat u ervan kennis heeft genomen.

Een evenredig antwoord

Doe de basis goed: een getrouwe privacyverklaring, een rechtsgrond die u kunt uitleggen, verwerkersovereenkomsten, een register van verwerkingen, een plan bij datalekken, en geen tracking vóór toestemming. Dat is nuttiger dan een 'gecertificeerde' badge kopen bij een instantie die niet is geaccrediteerd onder de artikelen 42 en 43.

DPOne belooft niet dat u een boete ontloopt. We helpen u bewijs te maken van wat u daadwerkelijk doet, binnen een genoemde scope, en laten kritieke bevindingen toetsen door een persoon.

Veelgestelde vragen

Kan de AP een heel kleine onderneming beboeten?

Ja. De omvang van de onderneming weegt mee bij de evenredigheid, maar is geen vrijbrief. De AP heeft kleine organisaties beboet wanneer de feiten dat rechtvaardigden.

Is een datalek automatisch een boete?

Nee. Een datalek moet worden gemeld als het waarschijnlijk een risico voor mensen meebrengt. Daar kan een boete op volgen, of niet, afhankelijk van de criteria van artikel 83, lid 2, en van of u uw meld- en beveiligingsplichten is nagekomen.