Wat zijn de risico's van het niet naleven van de AVG? ?

Inzicht in het risico van niet-naleving van de AVG voor een bedrijf

Waar hebben we het precies over?

De Algemene Verordening Gegevensbescherming (AVG) regelt sinds mei 2018 alle handelingen met persoonsgegevens: het verzamelen, opslaan, doorgeven, profileren en verwijderen ervan. Iedere organisatie die deze gegevens verwerkt – klanten, potentiële klanten, werknemers, leveranciers – valt onder de AVG, ongeacht de omvang of sector.

Het niet naleven van de AVG is niet zomaar een administratieve fout. Het brengt civiele, bestuurlijke en soms strafrechtelijke aansprakelijkheid met zich mee voor de verantwoordelijke voor de gegevensverwerking, wat meestal het bedrijf zelf is, of diens wettelijke vertegenwoordiger.

Wie wordt er nu echt door getroffen?

De regel is breed: als uw bedrijf persoonsgegevens verwerkt van personen die in de Europese Unie wonen, valt u eronder. Dit geldt voor zowel de lokale winkelier met een loyaliteitsprogramma als de holding die een internationale groep beheert.

Drie actoren staan centraal: gegevensbeheerders, gegevensverwerkers (IT-dienstverleners, marketingbureaus, hostingproviders) en eventuele medeverantwoordelijken. Elk van deze partijen kan afzonderlijk worden gesanctioneerd, een feit waar veel bedrijven zich niet van bewust zijn.

Waarom is dit onderwerp nu weer zo actueel?

De toepassing van de AVG leek lange tijd ongelijkmatig. Die tijd is voorbij. In 2022 heeft de CNIL (de Franse Autoriteit voor Gegevensbescherming) een vereenvoudigde sanctieprocedure ingevoerd waarmee snel boetes tot € 20.000 kunnen worden opgelegd zonder de identiteit van de organisatie bekend te maken. Als gevolg hiervan werden in 2024 69 vereenvoudigde sancties opgelegd, bijna drie keer zoveel als in 2023.

In grote zaken lopen de bedragen enorm op. Alleen al in 2025 bedroegen de boetes voor twee rechtszaken over cookies €475 miljoen, waaronder €325 miljoen voor Google en €150 miljoen voor Shein. De boodschap is duidelijk: minder rechtszaken, maar wel voorbeeldige boetes.

Welke GDPR-boete is van toepassing op een bedrijf dat zich niet aan de regels houdt?

Administratieve boetes opgelegd door de CNIL

De AVG kent twee maximumbedragen. Het eerste, tot € 10 miljoen of 2 TP4T aan wereldwijde jaaromzet, is gericht op overtredingen zoals het ontbreken van een verwerkingsregister of het niet uitvoeren van een effectbeoordeling. Het tweede, tot € 20 miljoen of 4 TP4T aan wereldwijde omzet, bestraft de ernstigste overtredingen: gebrek aan rechtsgrondslag, schending van de rechten van de betrokkene en ongereguleerde internationale gegevensoverdrachten.

De meest veelzeggende boete van de CNIL in de afgelopen jaren is niet een boete van miljoenen euro's, maar die van december 2024 voor Amazon France Logistique: €32 miljoen voor surveillance die als onevenredig werd beschouwd ten opzichte van de veiligheid van orderpickers. De boodschap is duidelijk: zelfs een systeem dat als "productief" wordt gepresenteerd, kan illegaal worden als het de privacy van werknemers schendt.

GDPR strafrechtelijke sancties

Naast de administratieve aspecten voorziet het Franse strafrecht in strafbare feiten in verband met de AVG, zoals gevangenisstraf van maximaal vijf jaar en een boete van € 300.000 voor particulieren, en € 1,5 miljoen voor rechtspersonen. Deze straffen gelden voor frauduleuze gegevensverzameling, de verwerking van gevoelige gegevens zonder wettelijke grondslag en misbruik van gegevens. Hoewel dergelijke vervolgingen zeldzaam zijn, kunnen ze worden toegevoegd aan een procedure bij de CNIL (Franse Autoriteit voor Gegevensbescherming).

De indirecte gevolgen zijn vaak het kostbaarst.

Een GDPR-sanctie brengt kosten met zich mee die veel verder reiken dan de boete: imagoschade, vooral in B2B-markten waar compliance een aankoopcriterium is geworden; verlies van contracten, omdat sommige klanten nu formeel bewijs van compliance eisen in hun aanbestedingen; schadevergoedingseisen van de betrokkenen, individueel of via collectieve rechtszaken; interne herstelkosten die vaak hoger uitvallen dan de boete zelf.

Hoe wordt een CNIL-audit geactiveerd?

Bronnen en vormen van controle

Een audit van de CNIL kan worden aangevraagd naar aanleiding van een klacht (de CNIL ontving er in 2024 bijna 17.800), een melding van een overtreding door het bedrijf, een jaarlijks prioriteitspunt of negatieve berichtgeving in de media. Er bestaan vier vormen van audit: inspectie ter plaatse, hoorzitting, online beoordeling en documentenbeoordeling. De laatste, waarbij een gedetailleerde vragenlijst wordt gebruikt, komt het vaakst voor en wordt het meest onderschat.

De procedure

Als er overtredingen worden geconstateerd, geeft de CNIL eerst een formele kennisgeving met een deadline uit. In 2024 werden 180 formele kennisgevingen verstuurd. Dit is vaak de laatste kans om een openbare sanctie te voorkomen. Anders opent het besloten panel een procedure die zes tot achttien maanden kan duren. Voor meer informatie kunt u de CNIL raadplegen. Viqtor-handleiding voor GDPR-nalevingsaudits.

De meest voorkomende zwakke punten in het bedrijfsleven

Een gebrekkig databeheer

Dit is de belangrijkste risicofactor. Veel bedrijven hebben in 2018 een AVG-beleid opgesteld, opgeborgen en er nooit meer naar gekeken. Echter, tools, dienstverleners en datastromen evolueren voortdurend. Zonder continue monitoring wordt de kloof met de realiteit steeds groter. Dit probleem valt rechtstreeks onder de verantwoordelijkheid van het management: het principe van verantwoording, zoals vastgelegd in artikel 5.2 van de AVG, vereist dat te allen tijde naleving wordt aangetoond. Dit is geen verplichting tot het leveren van middelen, maar een verplichting tot het leveren van bewijs.

De afwezigheid of slechte positionering van de DPO

Het aanstellen van een functionaris voor gegevensbescherming (FG) is verplicht voor overheidsinstanties, organisaties die op grote schaal gevoelige gegevens verwerken of organisaties die systematisch personen monitoren. In de praktijk profiteren veel bedrijven ervan om een FG aan te stellen, zelfs zonder formele verplichting, omdat dit de verantwoordelijkheidsstructuur versterkt. De FG moet echter wel over de nodige middelen beschikken om te kunnen handelen: direct contact met het management, een budget, onafhankelijkheid en betrokkenheid bij projecten. Recent zijn er diverse sancties opgelegd aan bedrijven die uitsluitend een formele FG hebben aangesteld.

Ondergedimensioneerde technische beveiliging

Dit is de belangrijkste reden geworden voor aanzienlijke sancties. In 2025 had 29% van de Europese boetes betrekking op ontoereikende technische en organisatorische maatregelen. De zaak Free en Free Mobile, waarvoor in januari 2026 een boete van in totaal € 42 miljoen werd opgelegd, illustreert dit perfect: het ontbreken van multifactorauthenticatie bij VPN-toegang en de ineffectiviteit van systemen voor het detecteren van datalekken werden als ernstige schendingen beschouwd nadat een inbraak 24 miljoen contracten had gecompromitteerd.

Om deze dimensie te structureren, de De GDPR-governancemodule van Viqtor biedt een direct bruikbaar operationeel kader van bijbelse eenvoud.