AVG-sancties worden sinds 1 september in beginsel openbaar: bereid ook de reputatieroute voor

Sinds 1 september 2026 geldt voor de Autoriteit Persoonsgegevens een wettelijke plicht om besluiten over bestuurlijke sancties in beginsel openbaar te maken. Een handhavingstraject vraagt daardoor naast juridisch verweer ook om een tijdige publicatie- en communicatiestrategie.

Wat is er veranderd?

Met de Verzamelwet gegevensbescherming is artikel 21b aan de Uitvoeringswet AVG toegevoegd. De Autoriteit Persoonsgegevens moet een besluit tot oplegging van een bestuurlijke sanctie openbaar maken, behalve voor zover een uitzonderingsgrond uit artikel 5.1 van de Wet open overheid zich daartegen verzet. Ook de beslissing op bezwaar tegen het sanctiebesluit wordt gepubliceerd. De aangepaste beleidsregels van de toezichthouder zijn op 1 september 2026 in werking getreden.

De hoofdregel is dat publicatie niet eerder plaatsvindt dan tien werkdagen nadat het besluit aan de belanghebbende is bekendgemaakt. Die termijn biedt ruimte om de gevolgen te beoordelen en zo nodig een voorlopige voorziening te vragen. Wordt binnen die termijn een verzoek bij de voorzieningenrechter ingediend, dan wordt de openbaarmaking opgeschort totdat op dat verzoek is beslist of het is ingetrokken. Een eerdere publicatie kan aan de orde zijn wanneer de betrokkene het besluit zelf al openbaar heeft gemaakt of tegen publicatie geen bezwaar heeft.

Waarom is dit meer dan een privacyprocedure?

Een sanctiebesluit kan informatie bevatten over beveiligingsincidenten, interne processen, betrokken producten en de beoordeling van de toezichthouder. Publicatie kan daarom gevolgen hebben voor klanten, leveranciers, werknemers, financiers en media. De juridische discussie over de overtreding en de afzonderlijke afweging over openbaarmaking lopen bovendien onder tijdsdruk naast elkaar.

Organisaties doen er goed aan vooraf vast te stellen welke passages volgens hen persoonsgegevens, bedrijfsvertrouwelijke informatie of beveiligingsgevoelige details bevatten. Een algemene wens om reputatieschade te voorkomen is meestal niet genoeg. De bezwaren moeten aansluiten bij de wettelijke uitzonderingsgronden en per passage zo concreet mogelijk worden onderbouwd. Tegelijk moet externe communicatie feitelijk blijven en passen bij de procespositie in bezwaar of beroep.

Richt het draaiboek vóór een besluit in

Wacht niet tot het definitieve sanctiebesluit op de mat ligt. Leg in het handhavingsdossier al vast wie beslist over een verzoek om een voorlopige voorziening, wie de publicatieversie controleert en wie vragen van klanten en pers beantwoordt. Zorg dat juridische zaken, privacy, informatiebeveiliging en communicatie dezelfde feitenbasis gebruiken. Zo voorkomt u dat een openbare reactie het inhoudelijke verweer ondergraaft.

Maak daarnaast onderscheid tussen het sanctiebesluit en andere interventies van de Autoriteit Persoonsgegevens. De wettelijke publicatieplicht ziet op bestuurlijke sancties. Niet iedere waarschuwing, onderzoeksbrief of andere toezichthoudende stap valt automatisch onder dezelfde regel. De precieze kwalificatie van het besluit moet daarom onderdeel zijn van de eerste beoordeling.

Actiepunten

1. Voeg aan het incident- en handhavingsprotocol een afzonderlijk spoor voor mogelijke openbaarmaking toe.
2. Bepaal vooraf wie binnen de termijn van tien werkdagen over een voorlopige voorziening kan besluiten.
3. Markeer en motiveer per passage welke informatie onder een uitzonderingsgrond van de Wet open overheid kan vallen.
4. Stem juridische stukken, klantcommunicatie en mediaverklaringen af op één gecontroleerde feitenlijn.
5. Controleer of het optreden van de AP juridisch als bestuurlijke sanctie kwalificeert voordat de publicatieregels worden toegepast.

Bronnen

• Staatscourant 2026, 30656 – wijziging beleidsregels openbaarmaking AP
• Staatsblad 2026, 154 – Verzamelwet gegevensbescherming
• Staatsblad 2026, 196 – inwerkingtredingsbesluit