AVG in september 2026: openbare sancties en lessen uit datalekken

Sinds 1 september worden sancties van de AP in principe openbaar

Vanaf 1 september 2026 maakt de Autoriteit Persoonsgegevens (AP) bestuurlijke sancties, zoals een boete voor een privacyschending, in principe openbaar. Dat volgt uit de Verzamelwet gegevensbescherming, die op die datum volledig in werking trad en onder meer de Uitvoeringswet AVG aanpast (AP maakt sancties vanaf 1 september 2026 in principe openbaar). Uitgezonderd is informatie die volgens de Wet open overheid niet openbaar mag worden.

Een sanctie wordt niet eerder openbaar dan 10 werkdagen nadat het besluit aan de overtreder bekend is gemaakt. Vraagt de overtreder in die periode een voorlopige voorziening aan bij de bestuursrechter, dan wacht de publicatie op de voorzieningenrechter. Volgens Binnenlands Bestuur levert een sanctie daardoor ook reputatieschade op.

Het toezicht verandert van budget en van vorm

De AP krijgt in 2027 een budget van 56,83 miljoen euro, bleek uit de begroting van Justitie en Veiligheid (AP-budget 56,83 miljoen euro in 2027, 48,88 miljoen in 2031). Dat is 3 miljoen euro minder dan de toezichthouder in 2026 ontving, en vanaf 2029 daalt het budget naar 48,88 miljoen euro in 2031. De AP pleitte eerder voor een structureel budget van ten minste 100 miljoen euro per jaar. Voor extra toezichttaken uit bijvoorbeeld de AI-verordening liet de staatssecretaris de mogelijkheid van extra geld open.

In de zorg komt er een nieuwe toezichthouder bij. De Gezondheidsdata-autoriteit (GDA) wordt een zelfstandig bestuursorgaan dat in 2027 wettelijk moet zijn aangewezen als toezichthouder op de markt voor elektronische patiëntendossiers, en uiterlijk 26 maart 2029 operationeel moet zijn (GDA wordt nieuwe toezichthouder op markt voor patiëntendossiers). Bij primair gebruik gaat de GDA onder meer de toegang tot zorgsystemen bewaken, en als complementaire toezichthouder moet de GDA nauw met de AP samenwerken. Aan de GDA ligt een verplichting uit de European Health Data Space ten grondslag.

De Franse boete gaat over inloggen, toegang en detectie

Wat een openbaar besluit over de beveiliging kan zeggen, bleek in dezelfde maand uit Frankrijk. Op 9 september publiceerde de EDPB de samenvatting van een boete van 500.000 euro die de CNIL oplegde aan het ziekenhuis Hôpital Privé de la Loire (CNIL beboet Frans ziekenhuis met 500.000 euro na datalek). Per tekortkoming staat erin wat er ontbrak.

In de zomer van 2025 logde een aanvaller met de inloggegevens van 1 gebruikersaccount in op het patiëntendossier van het ziekenhuis. Gebruikers van buiten het ziekenhuis, met name artsen die er niet aan verbonden zijn, logden in zonder VPN en zonder meervoudige authenticatie. Via die zwakke plek kwam de aanvaller binnen.

Het toegangsbeleid hield geen rekening met het behandelteam, waardoor 1 account bij de gegevens van alle patiënten kon. Maatregelen om verdachte activiteit snel te detecteren en een alarm te laten afgaan, ontbraken. De aanvaller kon daardoor enkele dagen ongemerkt door het systeem gaan, en volgens de CNIL heeft dat de omvang van het datalek vergroot. Het ging om 524.867 patiënten en 202.246 mensen die als vertrouwenspersoon waren opgegeven.

De CNIL beoordeelde dit onder artikel 32 AVG. Voor een beheerder zijn het 3 vragen die elk apart na te lopen zijn, over VPN en meervoudige authenticatie voor gebruikers van buiten, over toegang die beperkt blijft tot wie werkelijk bij een dossier betrokken is, en over detectie met een alarm dat direct of op zeer korte termijn afgaat. Bij de boete woog de sanctiecommissie onder meer mee dat essentiële beveiligingsprincipes onvoldoende bekend waren, naast het aantal betrokkenen, de aard van de gegevens en de financiële draagkracht.

Wie als betrokkene meetelt, reikt verder dan de eigen klantenlijst

De 2e tekortkoming in het Franse besluit betreft het informeren van betrokkenen (artikel 34 AVG). Het ziekenhuis informeerde alleen de getroffen patiënten. De 202.246 vertrouwenspersonen kregen geen directe informatie, terwijl ook hun gegevens waren gestolen.

In september werd meer bekend over 2 Nederlandse datalekken waarbij het informeren van betrokkenen in beeld kwam. Bij het Centraal Justitieel Incassobureau (CJIB) zijn 6.000 vorderingen aan de verkeerde personen gekoppeld, door een nieuwe release van de software die zaken aan personen koppelt (Datalek CJIB, 6.000 vorderingen aan verkeerde personen gekoppeld). De gegevens waren ongeveer 24 uur verkeerd gekoppeld.

Tientallen mensen zagen op MijnCJIB gegevens van anderen, en er gingen brieven naar personen voor wie ze niet bedoeld waren. Het CJIB deed een voorlopige melding bij de AP en startte een analyse van de impact op betrokkenen. Gedupeerden zullen daarover worden geïnformeerd, en na de analyse volgt een definitieve melding.

Drogisterijketen DA meldde dat onbevoegden begin september toegang kregen tot een database met gegevens van 236.000 klanten van de webwinkel (Datalek bij webwinkel DA raakt gegevens van 236.000 klanten). Of de gegevens alleen zijn bekeken of ook zijn buitgemaakt, kon DA niet achterhalen. Alle betrokken klanten kregen op 23 september een e-mail, met het advies extra alert te zijn op phishing.

Uit de 3 gevallen samen blijkt dat een melding in stappen kan verlopen, en dat de kring van betrokkenen een eigen vraag is. Het CJIB meldde voorlopig terwijl de analyse nog liep. DA informeerde de klanten zonder zekerheid over wat er met de gegevens was gebeurd, en het Franse ziekenhuis kreeg een tekortkoming aangerekend voor de groep die het niet had geïnformeerd.

Wie de eigen omgeving wil toetsen, kan de 3 beveiligingsvragen uit het CNIL-besluit langslopen en vastleggen wie bij een datalek als betrokkene meetelt, ook buiten de directe klantenkring.