In één zin. Het Nederlandse AVG-boetestelsel kent twee maxima (art. 83 lid 4 en lid 5 AVG) en vier categorieën (AP-beleidsregels 2019), met basisbedragen van 100 K tot 750 K EUR die fors kunnen worden verhoogd door verzwarende factoren — zoals Uber bewees met 290 M EUR in 2024.
Belangrijkste punten
- Twee maxima: 10 M EUR / 2% omzet OF 20 M EUR / 4% omzet.
- AP-beleidsregels 2019: vier categorieën met basisbedragen.
- Categorie I: 0-200K, II: 120K-500K, III: 300K-750K, IV: 450K-1M.
- Verzwarende factoren tot maximum (art. 83 AVG).
- UAVG art. 18: boetes ook voor overheid.
- Geldt voor verantwoordelijke en verwerker.
1. Wettelijke maxima
Artikel 83 AVG (EUR-Lex, CELEX 32016R0679) kent twee niveaus:
- Lid 4: tot 10 M EUR of 2% wereldwijde jaaromzet voorgaand boekjaar (hoogste geldt). Voor: art. 8, 11, 25-39, 42-43.
- Lid 5: tot 20 M EUR of 4% wereldwijde jaaromzet. Voor: art. 5-7, 9, 12-22, 44-49 en niet-naleving AP-bevelen.
Verschil: lid 5 is hoger omdat fundamentele beginselen en rechten betrokkenen.
2. AP-beleidsregels 2019
De Autoriteit Persoonsgegevens publiceerde Boetebeleidsregels AVG en UAVG (Stcrt. 14586, 2019). Vier boetecategorieën met basisbedragen en bandbreedte:
| Categorie | Basisboete | Bandbreedte | Voorbeelden |
|---|---|---|---|
| I | 100.000 EUR | 0 - 200.000 | Lichte formaliteit |
| II | 310.000 EUR | 120.000 - 500.000 | Register, FG, datalekmelding |
| III | 525.000 EUR | 300.000 - 750.000 | DPIA, beveiliging |
| IV | 725.000 EUR | 450.000 - 1.000.000 | Grondslag, rechten, doorgifte |
3. Categorie I: lichte overtredingen
Basisboete 100 K EUR. Voorbeelden:
- Niet aanmelden FG bij AP (UAVG).
- Onvolledige privacyverklaring (kleine omissie).
- Niet bijhouden datalekregister (intern).
In de praktijk vaak waarschuwing in plaats van boete bij eerste constatering kleine MKB — zie ook de gids AVG voor MKB en kleine bedrijven.
4. Categorie II: ondersteunende verplichtingen
Basisboete 310 K EUR. Voorbeelden:
- Geen register verwerkingsactiviteiten (art. 30).
- Geen FG aanstellen waar verplicht (art. 37).
- Datalek te laat melden (art. 33) — Booking-zaak 475 K (hoger door grote scope).
- Geen verwerkersovereenkomst (art. 28).
5. Categorie III: serieuze tekortkomingen
Basisboete 525 K EUR. Voorbeelden:
- Geen DPIA waar verplicht (art. 35).
- Onvoldoende beveiligingsmaatregelen (art. 32) — NS 600 K, OLVG 440 K, Haga 460 K.
- Geen voorafgaande raadpleging AP (art. 36).
- Niet faciliteren rechten betrokkenen (art. 12) — Bouwinvest 525 K.
6. Categorie IV: fundamentele schendingen
Basisboete 725 K EUR. Voorbeelden:
- Verwerking zonder rechtsgrond (art. 6).
- Verwerking bijzondere gegevens zonder uitzondering (art. 9) — Achmea 240 K.
- Schending rechten betrokkenen (art. 12-22) — BKR 830 K.
- Onrechtmatige doorgifte derde land (art. 44-49) — Uber 290 M.
7. Verzwarende en verzachtende factoren (art. 83 lid 2)
AP weegt mee:
- Aard, ernst, duur inbreuk.
- Aantal betrokkenen + omvang schade.
- Opzet of nalatigheid.
- Maatregelen door verantwoordelijke om schade te beperken.
- Mate verantwoordelijkheid (technische/organisatorische maatregelen vooraf).
- Eerdere relevante inbreuken.
- Mate samenwerking met AP.
- Categorieën persoonsgegevens.
- Wijze waarop AP op de hoogte raakte.
- Naleven eerdere bevelen.
- Naleven gedragscodes/certificering.
- Andere relevante factoren (financieel gewin, verlies).
8. Uber 290 M EUR (2024): hoe hoog kan het
Uber kreeg de op één na hoogste AVG-boete in EU. Berekening:
- Categorie IV (doorgifte derde land, art. 44).
- Verzwarend: opzettelijk/structureel, lange periode (2+ jaar), gigantische schaal (miljoenen chauffeurs), wereldwijd profielspeler.
- 4%-cap toegepast: 4% van Uber’s wereldwijde omzet (circa 7,3 miljard EUR in 2022) = circa 290 M EUR.
Demonstreert dat lid 5-maximum daadwerkelijk wordt toegepast.
9. Cumulatie van boetes
Eén onderzoek kan meerdere boetes opleveren:
- Art. 5 (beginselen) + art. 6 (grondslag) + art. 32 (beveiliging) cumulatief.
- AP somt boetes op of past hoogste toe afhankelijk van casus.
- HvJ EU Deutsche Wohnen (2023) bevestigt: rechtspersoon zelf aansprakelijk, geen schuldvereiste individuele werknemer.
Cumulatie verhoogt total boete, maar niet boven art. 83 lid 5-cap.
10. UAVG art. 18: overheid ook beboetbaar
Nederland uniek in EU: art. 18 UAVG verklaart art. 83 AVG van toepassing op bestuursorganen. AP heeft Belastingdienst (2,75 M EUR 2021 toeslagenaffaire), UWV (900 K EUR 2020), NS (600 K EUR 2024), Erasmus MC (geen boete maar bevel) gesanctioneerd.
In meeste EU-lidstaten heeft overheid immuniteit voor boetes (Duitsland, België, Frankrijk in mindere mate).
11. Bezwaar en beroep
Procedure tegen AP-boete:
- Bezwaar binnen 6 weken bij AP (Awb art. 6:7).
- Beroep bij rechtbank Den Haag (sector bestuursrecht).
- Hoger beroep bij Afdeling bestuursrechtspraak Raad van State.
- Cassatie zeer beperkt.
Resultaten 2024:
- 25% boetes geheel of gedeeltelijk vernietigd.
- VoetbalTV (575 K) grotendeels vernietigd (2022).
- Belastingdienst (2,75 M) bevestigd (2023).
12. Tien grootste Nederlandse AVG-boetes
| Verantwoordelijke | Jaar | Bedrag | Artikel |
|---|---|---|---|
| Uber | 2024 | 290 M EUR | art. 44 |
| Clearview AI | 2023 | 30,5 M EUR | art. 5, 6, 12-15 |
| Belastingdienst | 2021 | 2,75 M EUR | art. 5, 6 (toeslagen) |
| UWV | 2020 | 900 K EUR | art. 32 |
| BKR | 2020 | 830 K EUR | art. 12, 15 |
| NS | 2024 | 600 K EUR | art. 32 |
| VoetbalTV | 2020 | 575 K EUR | art. 6 (vernietigd) |
| Bouwinvest | 2025 | 525 K EUR | art. 12, 15 |
| DPG Media | 2022 | 525 K EUR | art. 15 |
| Booking.com | 2021 | 475 K EUR | art. 33 |
13. Verzekerbaarheid en strategie
AVG-boetes zelf zijn doorgaans niet verzekerbaar (administratieve boete). Wel verzekerbaar:
- Verdedigingskosten (D&O-polis vaak).
- Civiele claims onder art. 82.
- Crisis communication en notificatiekosten.
Strategisch:
- Investeer in preventie (factor 10-100 goedkoper) — begin met de AVG-checklist voor bedrijven.
- Snelle samenwerking AP bij onderzoek (verzachtend).
- Vrijwillige openbaarmaking incident (verzachtend).
- Bewijs effectieve corrigerende maatregelen.
FAQ
Wat is de hoogste AVG-boete ooit in Nederland?
Uber 290 M EUR (2024) voor onrechtmatige doorgifte naar VS. Daarvoor: Belastingdienst 2,75 M EUR (2021 toeslagenaffaire) en Clearview AI 30,5 M EUR (2023, executie hangt).
Mag de AP overheidsorganen beboeten?
Ja, anders dan in veel EU-lidstaten. UAVG art. 18 verklaart art. 83 AVG van toepassing op bestuursorganen. NS, UWV, Belastingdienst en gemeente Rotterdam zijn al beboet.
Worden AVG-boetes vaak verlaagd in beroep?
Circa 25% van AP-boetes wordt geheel of gedeeltelijk vernietigd door rechtbank of Raad van State. VoetbalTV is bekendste voorbeeld van gedeeltelijke vernietiging.
Is een AVG-boete verzekerbaar?
In beginsel nee — bestuursrechtelijke boetes zijn onverzekerbaar. Wel verzekerbaar: verdedigingskosten, civiele claims betrokkenen (art. 82 AVG), crisis communication.
Hoe wordt boetehoogte berekend?
AP-beleidsregels 2019: start met basisbedrag van categorie (100K-725K), pas verhoging of verlaging toe op basis van art. 83 lid 2-factoren, controleer tegen maximum (10M/2% of 20M/4%). HvJ EU Deutsche Wohnen (C-807/21, 2023) bevestigde dat boete primair op concernomzet gebaseerd mag worden (niet alleen entiteit) — Uber-berekening werd hierop gestoeld.
Vallen boetes ook onder de WAMCA?
Boetes zelf niet — die gaan naar de Staat. Wel kunnen betrokkenen via een Stichting Massaschade (WAMCA 2020) civiele schadevergoeding eisen op basis van art. 82 AVG. Sinds HvJ EU C-340/21 (Bulgaarse fiscus, 2023) is immateriële schade vergoedbaar zonder bewijs van financieel verlies. Verzwaart het kostentotaal naast de AP-boete aanzienlijk.
Welk artikel wordt het vaakst beboet?
Kan ik de boete in termijnen betalen?
Ja, AP staat bij hoge boetes betalingsregelingen toe (art. 4:94 Awb). Voor Uber werd publiekelijk geen termijnregeling getroffen. Voor MKB met financieel hardheidsberoep biedt AP soms halvering bij bewijs van betalingsonmacht — wel verplicht stop verwerking gedurende remediation.
Zie ook: AP-boetes per sector.