MKB Juristen stelt juridische documenten op maat op
Het beste is om belangrijke contracten, algemene voorwaarden en andere juridische documenten niet zelf te knutselen of te kopiëren. Wij helpen ondernemers budgetvriendelijk met juridisch maatwerk, vooraf duidelijke kosten en praktische uitleg.
- Contracten, voorwaarden en juridische documenten op maat
- Budgetvriendelijk en vooraf duidelijk over de kosten
- Gratis adviesgesprek of vrijblijvend een offerte aanvragen
Hoge AVG-boetes tot 20 miljoen euro zijn mogelijk, maar als gewone MKB-onderneming hoef je die maximumbedragen vrijwel nooit te vrezen. De Autoriteit Persoonsgegevens (AP) houdt bij het bepalen van een boete rekening met de ernst van de overtreding en met de grootte van je bedrijf. Voor een kleinere onderneming valt een eventuele boete daardoor doorgaans veel lager uit dan de spraakmakende miljoenenbedragen uit het nieuws. Toch is het risico reëel genoeg om je privacyzaken serieus op orde te brengen: ook een “lagere” boete kan flink in de papieren lopen, en de AP zet daarnaast steeds vaker in op herstelmaatregelen en dwangsommen.
Wat is een AVG-boete?
De Algemene verordening gegevensbescherming (AVG) bepaalt hoe organisaties met persoonsgegevens moeten omgaan. De Autoriteit Persoonsgegevens is in Nederland de toezichthouder die hierop handhaaft. Komt een organisatie haar verplichtingen niet na, dan kan de AP verschillende maatregelen nemen:
- Een waarschuwing of berisping – een formele aansporing om de overtreding te herstellen.
- Een last onder dwangsom – je moet binnen een termijn iets aanpassen, anders loopt een dwangsom op.
- Een bestuurlijke boete – een geldboete als sanctie op de overtreding.
Een boete is dus niet het enige instrument en vaak ook niet het eerste. In de praktijk kiest de AP regelmatig eerst voor herstel: je krijgt de gelegenheid om de overtreding te beëindigen voordat een boete in beeld komt. Toch loont het om te weten hoe de boetesystematiek werkt, zodat je het financiële risico realistisch kunt inschatten.
Hoe hoog kan een AVG-boete oplopen?
De AVG kent twee wettelijke boetemaxima. Welke geldt, hangt af van het soort overtreding. Telkens geldt het hoogste van het percentage en het vaste bedrag:
- Tot 10 miljoen euro of 2% van de wereldwijde jaaromzet bij overtredingen van meer administratieve verplichtingen, zoals het ontbreken van een verwerkingsregister of een verwerkersovereenkomst.
- Tot 20 miljoen euro of 4% van de wereldwijde jaaromzet bij zwaardere overtredingen, zoals het schenden van de grondbeginselen van de AVG of van de rechten van betrokkenen.
Belangrijk om te begrijpen: dit zijn maxima. Het zijn plafonds, geen standaardbedragen. De miljoenenboetes die het nieuws halen, gaan vrijwel altijd over grote (vaak internationale) ondernemingen met enorme omzetten en ernstige, grootschalige overtredingen. Voor een doorsnee MKB-bedrijf liggen deze bedragen volstrekt buiten bereik.
Hoe berekent de Autoriteit Persoonsgegevens een boete?
De AP werkt sinds 2023 met vernieuwde boetebeleidsregels. Voor ondernemingen sluit de AP daarbij aan op de Europese richtsnoeren voor boeteberekening. Een belangrijk verschil met het oude systeem is dat de grootte van je onderneming nu vooraan in de berekening meeweegt. Daardoor sluit de boete beter aan op je werkelijke financiële draagkracht. De systematiek werkt op hoofdlijnen zo:
- Het wettelijk maximum wordt bepaald. De AP bekijkt eerst of de overtreding onder het lichtere (2% / 10 miljoen) of het zwaardere (4% / 20 miljoen) regime valt.
- De ernst van de overtreding wordt ingeschaald. De AP deelt overtredingen in naar ernst. Hoe ernstiger de overtreding, hoe groter het deel van het boetemaximum dat als uitgangspunt geldt. Lichte overtredingen leiden tot een veel lager startpunt dan zware.
- De bedrijfsgrootte bepaalt het startbedrag. Een onderneming met een bescheiden omzet hanteert maar een klein deel van het startbedrag dat voor een grote onderneming zou gelden. Juist voor het MKB drukt dit de boete fors.
- Verhogende en verlagende factoren. Vervolgens kijkt de AP naar de concrete omstandigheden: de duur van de overtreding, het aantal betrokkenen, of je opzettelijk handelde of nalatig was, en of je hebt meegewerkt en de schade hebt beperkt. Bij herhaalde overtredingen valt de boete hoger uit.
Het resultaat: er is geen vast prijskaartje per overtreding. Twee bedrijven die formeel dezelfde regel overtreden, kunnen sterk uiteenlopende boetes krijgen, afhankelijk van hun omvang en de omstandigheden.
De boetebedragen uit oudere artikelen en beleidsregels (met vaste basisboetes per categorie) zijn achterhaald. Reken jezelf dus niet rijk of arm op basis van verouderde tabellen; de huidige systematiek houdt nadrukkelijk rekening met je bedrijfsgrootte.
Wanneer loop je als ondernemer risico op een boete?
De AP kan optreden bij uiteenlopende overtredingen. Veelvoorkomende risicopunten voor MKB-ondernemers zijn:
- Geen of een onvolledig verwerkingsregister. Veel organisaties zijn verplicht bij te houden welke persoonsgegevens ze verwerken en waarom.
- Ontbrekende verwerkersovereenkomsten. Schakel je een externe partij in die voor jou persoonsgegevens verwerkt (bijvoorbeeld een clouddienst of boekhoudpakket), dan moet je daarover schriftelijke afspraken maken.
- Geen of een gebrekkige privacyverklaring. Je moet bezoekers en klanten duidelijk informeren over wat je met hun gegevens doet.
- Cookies zonder geldige toestemming. Tracking- en marketingcookies plaatsen zonder voorafgaande toestemming is een veelgemaakte fout.
- Niet of te laat reageren op rechten van betrokkenen, zoals een inzage- of verwijderverzoek.
- Het niet (tijdig) melden van een datalek wanneer dat wel verplicht is.
Lang niet elke overtreding leidt direct tot een boete. Maar ze vergroten wel je risico en kunnen, bij een controle of een klacht, het verschil maken tussen een vriendelijke aansporing en een handhavingstraject.
Een klacht van een (oud-)klant of werknemer is vaak de aanleiding voor een onderzoek. Een ontevreden betrokkene die zich bij de AP meldt, kan het balletje aan het rollen brengen – ook bij een klein bedrijf. Zorg er daarom voor dat je verzoeken om inzage of verwijdering serieus en op tijd afhandelt.
Hoe voorkom je een AVG-boete?
De goedkoopste boete is de boete die je nooit krijgt. Met een aantal concrete stappen breng je je privacyhuishouding op orde:
- Maak een verwerkingsregister en houd het actueel. Dit is vaak het vertrekpunt van elke privacycontrole. Bekijk hier het AVG-verwerkingsregister.
- Sluit verwerkersovereenkomsten met al je leveranciers die persoonsgegevens voor je verwerken, met een sluitende verwerkersovereenkomst.
- Publiceer een heldere privacyverklaring op je website en houd die up-to-date.
- Regel je cookies correct, met een geldige cookiebanner en een duidelijke uitleg.
- Leg een procedure vast voor datalekken en verzoeken van betrokkenen, zodat je binnen de termijnen kunt reageren.
- Evalueer periodiek. Wet- en regelgeving en je eigen processen veranderen; een terugkerende check houdt je compliant.
Twijfel je waar je staat? Een korte privacycheck legt de grootste risico’s snel bloot. Onze juristen helpen je graag bij privacy en gegevensbescherming.
Wat doe je bij een controle of boete van de Autoriteit Persoonsgegevens?
Krijg je te maken met een onderzoek, een verzoek om informatie of een (voorgenomen) boete van de AP? Onderneem dan tijdig actie:
- Negeer correspondentie niet. Reageer op tijd en volledig; meewerken kan in je voordeel meewegen.
- Beperk de schade. Beëindig de overtreding zo snel mogelijk en documenteer de herstelmaatregelen die je neemt.
- Controleer de procedure. Een voornemen tot een boete is nog geen definitief besluit. Je kunt een zienswijze indienen en later bezwaar maken.
- Schakel juridische hulp in. Een goed onderbouwde reactie kan een boete voorkomen, verlagen of omzetten in een lichter middel.
Onze specialisten zijn bekend met de handhavingspraktijk rond de Autoriteit Persoonsgegevens en staan je bij in zo’n traject.
Veelgestelde vragen over AVG-boetes
Hoe hoog is een AVG-boete voor een MKB-bedrijf?
Daar is geen vast bedrag voor. De AP houdt rekening met de ernst van de overtreding én met de grootte van je onderneming. Voor een kleiner bedrijf valt een boete daardoor doorgaans veel lager uit dan de wettelijke maxima van 10 of 20 miljoen euro. Die maxima gelden in de praktijk vooral voor grote ondernemingen met ernstige, grootschalige overtredingen.
Krijg ik meteen een boete bij een overtreding van de AVG?
Niet per se. De AP heeft meerdere instrumenten en kiest regelmatig eerst voor herstel of een last onder dwangsom. Of een boete volgt, hangt af van de ernst van de overtreding, de omstandigheden en je medewerking.
Geldt de AVG ook voor zzp’ers en kleine bedrijven?
Ja. De AVG geldt voor iedere organisatie die persoonsgegevens verwerkt, ongeacht de omvang – dus ook voor zzp’ers en kleine ondernemingen. De omvang van je bedrijf speelt geen rol bij de verplichting om je aan de AVG te houden, maar weegt wel mee bij de hoogte van een eventuele boete.
Wat is het verschil tussen de twee boetemaxima van de AVG?
Het lichtere maximum (tot 2% van de wereldwijde jaaromzet of 10 miljoen euro) geldt voor meer administratieve overtredingen, zoals een ontbrekend verwerkingsregister. Het zwaardere maximum (tot 4% of 20 miljoen euro) geldt voor zwaardere schendingen, zoals het overtreden van de grondbeginselen van de AVG of de rechten van betrokkenen. Telkens geldt het hoogste van het percentage en het vaste bedrag.
Telt mijn omzet mee bij de hoogte van de boete?
Ja. Sinds de vernieuwde boetebeleidsregels weegt de grootte van je onderneming vooraan in de berekening mee. Ondernemingen met een lagere omzet hanteren een kleiner startbedrag, waardoor de boete beter aansluit op je draagkracht.
Kan ik bezwaar maken tegen een AVG-boete?
Ja. Een voornemen tot een boete is nog geen definitief besluit; je kunt eerst een zienswijze indienen. Tegen een definitief boetebesluit staat bezwaar en daarna beroep open. Laat je hierbij goed adviseren, want een sterke onderbouwing kan het verschil maken.
Voorkom problemen: regel je privacy goed
De boetes voor het schenden van de privacywetgeving zijn niet mis, maar de spraakmakende miljoenenbedragen hoef je als MKB-ondernemer zelden te vrezen. Veel belangrijker is dat je je basis op orde hebt: een actueel verwerkingsregister, sluitende verwerkersovereenkomsten en een heldere privacyverklaring. Daarmee beperk je niet alleen je boeterisico, maar voorkom je ook reputatieschade en gedoe met klanten en toezichthouder.
Wil je zeker weten dat je AVG-zaken kloppen, of heb je te maken met een onderzoek of boete van de Autoriteit Persoonsgegevens? Onze privacyjuristen denken graag met je mee. Plan een intakegesprek in en breng je privacy zonder zorgen op orde.
