AVG (GDPR)
Europa probeert je gegevens al sinds 1995 te beschermen. Het duurde tot 2018 voordat de wet tanden kreeg. De opgelegde boetes bedragen bij elkaar inmiddels meer dan €7 miljard. Gedragsgerichte reclame is nog altijd het dominante verdienmodel.
Hoe je deze pagina leest. Tik op een onderstreept woord om de exacte juridische term en een korte uitleg te zien. Open een "Dieper"-vak voor het bewijs en de punten die ter discussie staan. De hoofdtekst werkt op zichzelf — sla beide over en je krijgt nog steeds het hele verhaal.
De lange weg
De Europese Richtlijn gegevensbescherming van 1995 legde basisrechten voor privacy vast. In de jaren 2010 was die verouderd — Facebook, Google en Amazon hadden miljardenbedrijven gebouwd op het verzamelen van gedragsgegevens, op een schaal die de richtlijn nooit had voorzien. De AVG werd in 2016 formeel aangenomen en werd op 25 mei 2018 afdwingbaar.
Wat de AVG eist
Persoonsgegevens mogen alleen worden verzameld met een wettelijke grondslag — waaronder echte, geïnformeerde toestemming. Mensen hebben het recht hun gegevens in te zien, te laten corrigeren en te laten verwijderen. Datalekken moeten binnen 72 uur worden gemeld. Boetes kunnen oplopen tot 4% van de wereldwijde jaaromzet. De verordening geldt voor elke organisatie die gegevens verwerkt van mensen in de EU — ongeacht waar de organisatie gevestigd is.
Wettelijke grondslag / toestemming
Onder de AVG mag een bedrijf je persoonsgegevens niet verwerken alleen omdat het dat wil; het heeft een van zes "wettelijke grondslagen" nodig. De grondslag waarover het meest wordt gesproken, is jouw vrij gegeven, geïnformeerde, specifieke toestemming. "Vrij gegeven" is het addertje: toestemming die verstopt zit in een vooraf aangevinkt vakje, of die je wordt ontfutseld door een manipulatieve banner, is juridisch geen geldige toestemming — daarom draait zoveel handhaving om hoe de keuze was ontworpen, en niet om de vraag of er op een vakje is geklikt.
Bronnen
- GDPR Article 6 — lawfulness of processing.
- GDPR Recital 32 — conditions for consent.
- European Data Protection Board (2023), Report of the work undertaken by the Cookie Banner Taskforce.
De boetes
2019: Frankrijk legt Google een boete op van €50 miljoen. 2021: Luxemburg beboet Amazon met €746 miljoen — een besluit dat in maart 2026 in hoger beroep is vernietigd: de rechter bevestigde de overtredingen, maar stuurde de zaak terug naar de toezichthouder. 2023: Ierland beboet Meta met €1,2 miljard — de hoogste AVG-boete ooit — voor het onrechtmatig doorgeven van gegevens van EU-gebruikers aan de Verenigde Staten. 2023: Ierland beboet TikTok met €345 miljoen voor overtredingen met gegevens van kinderen. 2024: Ierland beboet LinkedIn met €310 miljoen. 2025: TikTok krijgt nog eens een boete van €530 miljoen. De onder de AVG opgelegde boetes bedragen bij elkaar meer dan €7 miljard.
Wat ze wel en niet heeft bereikt
De AVG heeft vastgelegd dat gegevensbescherming een wettelijk recht is met financiële gevolgen. Ze heeft een wereldwijde norm geschapen: doordat de verordening ook buiten de EU doorwerkt, hadden bedrijven over de hele wereld een reden om hun werkwijze aan te passen. Wat ze niet heeft gedaan, is een einde maken aan het surveillancekapitalisme. Cookiebanners, vaak ontworpen als misleidende ontwerpen (dark patterns) die gebruikers richting akkoord sturen, zorgen voor naleving op papier. Het model van gedragssurveillance gaat door. Boetes zijn groot in absolute bedragen en klein naast de bedrijven die ze opgelegd krijgen: de recordboete van €1,2 miljard voor Meta kwam neer op ongeveer 1% van de omzet van het concern in het jaar ervoor — zo'n vier dagen daarvan — tegenover een wettelijk maximum van 4%. De meeste van de grootste boetes zijn nog in beroep en onbetaald, en of boetes van deze omvang gedrag veranderen, is omstreden: er is weinig bewijs, in welke richting ook, voor hun afschrikkende werking. De AVG is het sterkste privacykader ter wereld, en een onvoldoende antwoord op de omvang van het probleem.
Misleidende ontwerpen (dark patterns)
Ontwerpen van een interface die je sturen naar de keuze die het bedrijf wil, in plaats van de keuze die je vrij zou maken: de enorme knop "Alles accepteren" naast een grijze "Weigeren" die drie klikken diep zit. Ze maken misbruik van standaardinstellingen, drempels en visuele rangorde. Onder de AVG valt te betogen dat toestemming die zo is verkregen niet vrij gegeven is — maar de banners zijn nog bijna overal, omdat het negeren van de regel weinig kost vergeleken met wat de gegevens waard zijn.
Bronnen
- EDPB Guidelines 03/2022 on deceptive design patterns (2022; versie 2.0, vastgesteld op 14 februari 2023).
Hoe we dit weten — waarom €7 miljard aan opgelegde boetes het model niet heeft veranderd
Drie oorzaken die in het systeem zitten. Ten eerste de schaal: een recordboete van €1,2 miljard is echt geld, maar die kwam neer op ongeveer 1% van de omzet van Meta in het jaar ervoor, en er loopt nog beroep tegen; hoe sterk boetes van deze omvang afschrikken, is omstreden, en er is weinig bewijs in welke richting ook. Ten tweede het knelpunt bij de handhaving: onder het "one-stop-shop"-mechanisme van de AVG neemt de toezichthouder van het land waar een bedrijf zijn Europese hoofdkantoor heeft de leiding — waardoor de meeste zaken tegen Big Tech via de Ierse DPC lopen, die door andere toezichthouders is bekritiseerd om trage, smalle handhaving. Ten derde naleving als toneel: een cookiebanner kan technisch aanwezig zijn en toch zo zijn ontworpen dat hij de keuze ondermijnt die hij op papier biedt.
De eerlijke lezing. De AVG is erin geslaagd gegevensbescherming vast te leggen als een afdwingbaar recht en als wereldwijde norm; ze is er niet in geslaagd surveillance als verdienmodel te ontmantelen, omdat de economie van dat model de boetes overleeft. Dat is een argument over handhaving en ontwerp, niet over de vraag of de wet het waard was om aan te nemen.
In Nederland
- Autoriteit Persoonsgegevens (AP) (Uitvoeringswet Algemene verordening gegevensbescherming, art. 6). De AVG (GDPR) geldt in Nederland via de Uitvoeringswet Algemene verordening gegevensbescherming; artikel 6 daarvan richt de Autoriteit Persoonsgegevens op en maakt haar tot de toezichthouder die de verordening vereist. De wet geldt sinds 25 mei 2018, de dag waarop de AVG zelf van toepassing werd. wetten.overheid.nl — Uitvoeringswet Algemene verordening gegevensbescherming
- Boete van de Autoriteit Persoonsgegevens voor TikTok (AP — boetebesluit, 9 april 2021). In april 2021 legde de Autoriteit Persoonsgegevens TikTok een boete van 750.000 euro op, omdat het tussen mei 2018 en juli 2020 zijn privacyverklaring aan Nederlandse gebruikers, kinderen inbegrepen, alleen in het Engels aanbood — in strijd met de eis van de AVG (GDPR) om in duidelijke en eenvoudige taal uit te leggen. De rest van het onderzoek ging naar de Ierse toezichthouder, waar TikTok inmiddels zijn Europese hoofdvestiging had. Autoriteit Persoonsgegevens — boetebesluit TikTok (PDF, 9 april 2021)
- Boete van de Autoriteit Persoonsgegevens voor Clearview AI (AP — boetebesluit, 3 september 2024). In september 2024 legde de Autoriteit Persoonsgegevens Clearview AI een boete van 30,5 miljoen euro op voor een illegale database van meer dan 30 miljard van internet geschraapte foto’s, ook van mensen in Nederland, met dwangsommen die kunnen oplopen tot meer dan 5 miljoen euro als het bedrijf niet stopt. Ook het gebruik van de dienst van Clearview is verboden. Autoriteit Persoonsgegevens — AP legt Clearview boete op (3 september 2024)
Gecontroleerd 23 september 2026
Bronnen
- GDPR Enforcement Tracker — een live-overzicht van de boetes die onder de AVG zijn opgelegd, hier aangehaald voor het lopende totaal: €7,57 miljard op 17 oktober 2026.
- GDPR Article 6 — lawfulness of processing.
- GDPR Article 33 — notification of a personal data breach.
- GDPR Article 83 — general conditions for imposing administrative fines — "tot 20 000 000 EUR" of, voor een onderneming, "tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is" (art. 83, lid 5).
- EDPB Guidelines 03/2022 on deceptive design patterns (2022; versie 2.0, vastgesteld op 14 februari 2023).
- European Data Protection Supervisor (EDPS) — de onafhankelijke toezichthouder op de gegevensverwerking door de EU-instellingen zelf (niet te verwarren met de EDPB, die de handhaving van de AVG door de nationale toezichthouders coördineert).
- Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 … repealing Directive 95/46/EC (General Data Protection Regulation) — artikel 99, lid 2: van toepassing met ingang van 25 mei 2018; artikel 94 en voetnoot 4: Richtlijn 95/46/EG van 24 oktober 1995, met ingang van dezelfde datum ingetrokken.
- Conseil d'État, Décision n° 430810 du 19 juin 2020, Google LLC — bevestigt de boete van €50 miljoen die de CNIL Google oplegde (beraadslaging SAN-2019-001 van 21 januari 2019).
- European Data Protection Board (28 juli 2021), Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR — bezwaren van andere toezichthouders tegen "the limited scope of the investigation" (de beperkte reikwijdte van het onderzoek); het Comité "instructs the IE SA to set out a higher fine amount" (draagt de Ierse toezichthouder op een hogere boete vast te stellen).
- Bundesbeauftragter für den Datenschutz und die Informationsfreiheit (Duitsland), Ulrich Kelber (16 maart 2021), brief aan de LIBE-commissie van het Europees Parlement over de Ierse DPC (in het Duits; kopie gepubliceerd door noyb) — meer dan 50 klachten over WhatsApp sinds 2018 aan de DPC doorgestuurd, "von denen bis heute keine einzige abgeschlossen ist" (waarvan er tot nu toe niet één is afgehandeld).
- Zuboff, S. (2019), The Age of Surveillance Capitalism, PublicAffairs.
- Data Protection Commission, final decision IN-20-8-1 on Meta Platforms Ireland (data transfers) (12 mei 2023) — de boete van €1,2 miljard, met de omzet van Meta over 2022, 116,61 miljard dollar, als grondslag (§9.124); het aandeel (ongeveer 1%) en de dagen (ongeveer vier) zijn berekend tegen de referentiekoers van de ECB op de datum van het besluit.
- Data Protection Commission — fines (bijgewerkt 21 september 2026): meer dan €4,4 miljard aan boetes opgelegd, ongeveer €20 miljoen geïnd; een boete waartegen beroep loopt, kan niet worden geïnd.
- Lintvedt, M. N. (2022), Putting a price on data protection infringement, International Data Privacy Law 12(1), 1–15 — "there is little evidence of the effect of mere imposition of fines" (er is weinig bewijs voor het effect van alleen het opleggen van boetes).
- Cour administrative (Luxembourg), arrêt n° 52757C du rôle (12 maart 2026), Arrêt de la Cour administrative en relation avec un des grands acteurs mondiaux au niveau du commerce en ligne (Justice Luxembourg, 13 maart 2026) — het besluit van de CNPD van 15 juli 2021, dat Amazon een boete van €746 miljoen oplegde, in zijn geheel vernietigd; de overtredingen in grote lijnen bevestigd; de zaak terug naar de CNPD om de schuld te beoordelen en de maatregel te kiezen.