AVG-sancties worden openbaar: dit is het nieuwe risico van AI in je marketing.

Sinds 1 september 2026 maakt de Autoriteit Persoonsgegevens boetes, lasten onder dwangsom en verwerkingsverboden standaard openbaar, inclusief de naam van het bedrijf. Dat is geen beleidskeuze meer die de toezichthouder morgen weer kan intrekken, maar een wettelijke verplichting via een wijziging van de Uitvoeringswet AVG. Voor marketingteams die klantdata inzetten voor AI in online marketing, van aanbevelingsengines tot chatbots en gepersonaliseerde advertenties, verandert daarmee niet het risico op een boete. Dat blijft klein. Wat verandert, is wat er gebeurt als het toch misgaat. Een overtreding die vroeger in een jaarverslag verdween, staat straks met naam en toenaam online, doorzoekbaar en citeerbaar door precies de journalisten, klanten en concurrenten die je liever niet had willen bereiken.

Dat onderscheid is precies waarom marketeers dit niet aan de juristen moeten overlaten. Privacy was tot nu toe een intern risico met een extern staartje. Vanaf nu is het een reputatievraagstuk vanaf de eerste dag.

Wat er per 1 september is veranderd

De Verzamelwet gegevensbescherming heeft de Uitvoeringswet AVG aangepast na een amendement uit de Tweede Kamer. Boetebesluiten worden voortaan integraal gepubliceerd, inclusief de naam van de verwerkingsverantwoordelijke. Berispingen vallen daarbuiten. De AP stelt een organisatie eerst op de hoogte en geeft ruimte om te reageren voordat het definitieve publicatiebesluit volgt, en hanteert daarna een wachttijd van tien werkdagen, tenzij het bedrijf zelf al naar buiten is getreden. Vraagt iemand een voorlopige voorziening aan, dan wordt publicatie uitgesteld tot de voorzieningenrechter zich erover heeft gebogen. De boetemaximums zelf zijn niet gewijzigd. Tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor de meeste overtredingen, tot 20 miljoen euro of 4 procent bij de zwaarste categorie.

Het verschil met het oude beleid zit in de zekerheid. Eerder kon de AP haar eigen publicatiebeleid aanpassen of intrekken. Nu ligt de verplichting vast in de wet zelf, wat betekent dat een volgend kabinet of een volgende bestuursvoorzitter van de AP de knop niet zomaar kan omdraaien. Dat past bij een bredere lijn dit jaar. Eerder schreven we al over de AI-transparantieplicht voor marketing, een andere wet die vraagt om AI-gebruik niet meer als sluitpost te behandelen.

Waarom dit AI-marketing specifiek raakt

Klantprofielen, gepersonaliseerde advertenties, trackingtechnieken, loyaliteitsprogramma's en kunstmatige intelligentie vragen volgens juridische duiding bij deze wetswijziging bijzondere aandacht, precies omdat dit de plekken zijn waar grote hoeveelheden persoonsgegevens geautomatiseerd worden verwerkt zonder dat de klant het proces kan zien. Een AI-aanbevelingsengine die koopgedrag combineert met locatie en surfgedrag, een chatbot die gespreksgeschiedenis gebruikt om volgende aanbiedingen te bepalen, of een lookalike-campagne gebouwd op een uitgebreid klantprofiel zijn allemaal voorbeelden van verwerkingen die onder de AVG aan strenge eisen rond transparantie en grondslag moeten voldoen.

Een fout kan voortaan niet alleen tot een sanctie leiden, maar ook breed zichtbaar worden.

De cijfers relativeren het risico niet, ze verscherpen het

Uit het jaarverslag van de AP over 2025 blijkt dat het aantal boetes juist daalde, van zes in 2024 naar vier in 2025. Wie daaruit concludeert dat het toezicht verslapt, mist het grotere plaatje. Berispingen stegen in diezelfde periode van zeven naar negen. Het aantal klachten en signalen bij de AP steeg met 75 procent. Het aantal gemelde datalekken liep op van bijna 37.800 naar ruim 44.300, en het aantal complexe nationale en internationale onderzoeken meer dan verdubbelde naar 22. Het aantal beroepszaken brak een record met 83, tegenover 72 een jaar eerder en 48 in 2023.

De AP grijpt dus minder vaak naar het zwaarste middel, maar houdt intussen veel meer zaken tegen het licht dan voorheen. Minder boetes met meer publiciteit per boete is voor een merk een minder comfortabele combinatie dan meer boetes die in de anonimiteit van een jaarverslag verdwijnen.

Wat dit vraagt van je aanpak

Voor de meeste marketingafdelingen betekent dit een verschuiving van privacy als jaarlijkse legal-check naar privacy als vast onderdeel van elke AI-implementatie. Een gegevensbeschermingseffectbeoordeling, beter bekend als een DPIA, hoort standaard te worden uitgevoerd voordat een nieuwe AI-tool klantdata gaat verwerken voor profilering of personalisatie, niet achteraf als het CMO-dashboard al draait. Even belangrijk is een intern proces voor het moment dat de AP daadwerkelijk contact opneemt. Er zit ruimte tussen de eerste kennisgeving en het definitieve publicatiebesluit, en die ruimte is precies waar een goed voorbereide organisatie het verschil maakt tussen een stille correctie en een blijvend online dossier.

• Inventariseer welke AI-tools klantdata verwerken. Denk aan aanbevelingsengines, chatbots, advertising-platforms met eigen matching-algoritmes en tools voor lead scoring.
• Voer een DPIA uit vóór livegang van elke nieuwe toepassing die profileert of personaliseert, niet pas wanneer een klacht binnenkomt.
• Wijs een verantwoordelijke aan binnen marketing die als eerste wordt ingelicht zodra de AP contact opneemt, met een duidelijke lijn naar juridisch en directie.
• Bouw een communicatieprotocol voor het scenario van een publicatiebesluit, inclusief een concept-reactie die niet pas wordt geschreven als het al in het nieuws staat.
• Neem privacy-by-design op in de intake van elke nieuwe AI-marketingtool, als vast agendapunt naast budget en verwachte resultaten.

Dit hoeft geen groot compliance-traject te worden. Voor een gemiddeld marketingteam is het opstellen van een DPIA-sjabloon en het aanwijzen van een verantwoordelijke een kwestie van een paar uur overleg met de juridische afdeling, eenmalig op te zetten en daarna te herhalen per nieuwe AI-toepassing.

KPI's om in de gaten te houden

Voeg naast de gebruikelijke marketing-KPI's een aantal governance-indicatoren toe. Het percentage AI-tools met klantdata-verwerking dat een afgeronde DPIA heeft, is een goede eerste meter. Houd ook de tijd bij tussen een eventuele eerste kennisgeving van de AP en de interne escalatie naar directie en juridisch, en het aantal nieuwe AI-marketingprojecten dat een privacyreview heeft doorlopen vóór livegang in plaats van erna. Geen van deze cijfers verkoopt meer producten, maar ze bepalen wel of een incident een interne correctie blijft of een verhaal met je merknaam in de kop.

Twijfel je of je AI-marketing privacyproof is opgezet? Plan een strategiegesprek en we lopen het samen met je door.

Veelgestelde vragen

Wat verandert er precies vanaf 1 september 2026?

De Autoriteit Persoonsgegevens is wettelijk verplicht boetes, lasten onder dwangsom en verwerkingsverboden integraal openbaar te maken, inclusief de naam van het betrokken bedrijf. Dit ligt vast in de Uitvoeringswet AVG na een wijziging via de Verzamelwet gegevensbescherming, en kan niet meer worden teruggedraaid als intern beleid van de AP.

Geldt dit ook voor waarschuwingen of kleine overtredingen?

Nee. Berispingen vallen buiten deze publicatieplicht. Het gaat specifiek om bestuurlijke sancties zoals boetes, lasten onder dwangsom en verwerkingsverboden. Een organisatie krijgt bovendien eerst de kans om te reageren voordat het definitieve publicatiebesluit valt.

Wat kan marketing nu al doen om het risico te beperken?

Begin met een inventarisatie van welke AI-tools klantdata voor profilering of personalisatie gebruiken, voer daar een DPIA op uit voordat een tool live gaat, en wijs iemand aan die verantwoordelijk is als de AP contact opneemt. Die voorbereiding bepaalt of een misstap een interne correctie blijft of een blijvend publiek dossier wordt.