GDPR-handhaving in 2026 geeft niets meer om uw beleid

Belangrijkste inzichten

1. Toezichthouders richten zich op systemen, niet op papierwerk. De handhaving van de GDPR versnelt, waarbij toezichthouders tussen 2023 en 2026 meer boetes opleggen dan in de vijf voorgaande jaren samen. Het patroon straft steeds vaker het gat tussen gedocumenteerde naleving en de operationele werkelijkheid.
2. Twee parallelle zaken zetten de toon. De €100 miljoen boete van de Nederlandse AP aan MLU en het onderzoek van de Ierse DPC naar Shein geven hetzelfde signaal af: overdrachtsmechanismen moeten in de praktijk aantoonbaar zijn, niet alleen op papier gedocumenteerd.
3. Bewijs wint van geruststelling. Europese toezichthouders willen exporteerbare audittrails, onveranderlijke logs en gedocumenteerde paraatheid voor incidentrespons. “Wij denken dat we compliant zijn” is niet langer voldoende.
4. Coördinatie tussen DPAs versnelt. Het tijdperk van forumshoppen loopt ten einde. Dezelfde juridische theorieën verschijnen nu gelijktijdig in Dublin, Den Haag, Hamburg en Parijs.
5. Fragmentatie van compliance is de echte kostenpost. Organisaties die aparte tools gebruiken voor e-mail, bestandsoverdracht, MFT, formulieren en AI kunnen geen uniforme audittrail produceren. De architecturale schuld wordt een compliance-risico.

Het tijdperk van compliance op basis van beleidsdocumenten is voorbij

In één maand gaven twee Europese gegevensbeschermingsautoriteiten handhavingssignalen af die de manier waarop elke CISO, DPO en juridisch adviseur naar hun compliance-status kijkt, zouden moeten veranderen. Op 8 mei 2026 maakte de Nederlandse AP publiekelijk een boete van €100 miljoen bekend aan MLU B.V. — de Nederlandse exploitant van de Yango taxi-app en een dochteronderneming van Yandex — voor onrechtmatige overdracht van Finse en Noorse gebruikersgegevens naar Rusland, waarbij werd vastgesteld dat Standaard Contractuele Clausules alleen onvoldoende waren. Drie dagen eerder kondigde de Ierse DPC een onderzoek aan naar Infinite Styles Services (Shein Ireland) vanwege EU- en EER-gegevensoverdrachten naar China.

Twee toezichthouders. Twee risicovolle bestemmingen. Eén juridische theorie: contractuele waarborgen zijn geen vervanging voor architecturale controle.

Beide zaken passen in een bredere analyse van handhavingstrends die laat zien dat GDPR-boetes inmiddels meer dan €7,1 miljard bedragen over meer dan 1.400 besluiten sinds 2018, waarbij toezichthouders tussen januari 2023 en maart 2026 meer boetes oplegden dan in de vijf voorgaande jaren samen. De versnelling wordt verklaard door drie factoren: toezichthouders bouwen institutionele expertise op, DPAs schalen op na initiële aanwervingen en organisaties die GDPR-naleving negeerden, worden nu alsnog aangepakt. Overtredingen van de rechtsgrondslag uit artikel 6 zijn nu goed voor ongeveer een derde van de handhavingsacties, en het gecoördineerde handhavingsinitiatief van de EDPB in 2026 zal zich richten op transparantie-naleving in diverse sectoren en rechtsbevoegdheden.

Wat deze handhavingssignalen verbindt, is een toezichthoudende visie die sinds Schrems II groeit: naleving is iets wat een organisatie aantoont, niet iets wat ze beweert. De Nederlandse en Ierse acties zijn de operationele versie van die visie. De boetes zijn de prijs voor het behandelen van compliance als een theoretisch vraagstuk.

Voor verwerkingsverantwoordelijken is de boodschap ongemakkelijk maar duidelijk. Het tijdperk van beleidsdocumenten voor GDPR-naleving is voorbij. Het tijdperk van bewijs en architectuur is aangebroken. Organisaties die deze verschuiving vroegtijdig herkennen, geven minder uit, zijn sneller klaar voor audits en doorstaan handhaving beter dan organisaties die nog steeds ordners vullen.

Waar compliance-documentatie afwijkt van operationele werkelijkheid

De zaken uit 2026 delen een rode draad die verder gaat dan één enkele handhavingstheorie: ze bestraffen het gat tussen wat organisaties documenteren en wat hun systemen daadwerkelijk doen. Drie patronen keren terug in recente DPA-besluiten en analistenrapporten.

• Documentatie die de werkelijkheid niet weerspiegelt. Het Record of Processing Activities van een verwerkingsverantwoordelijke noemt datastromen die niet meer overeenkomen met de ingezette architectuur. Een DPIA werd afgerond voor de pilot, maar nooit bijgewerkt toen het systeem werd opgeschaald. Een leveranciersinventaris is zes maanden oud. Wanneer de DPA om bewijs vraagt, zegt de documentatie het ene en de systemen het andere. De toezichthouder concludeert dat de documentatie slechts schijn is.
• Genegeerde corrigerende bevelen. Een eerdere DPA-actie vereiste specifieke herstelmaatregelen — bijgewerkte authenticatie, afgebakende toegang, meldtermijnen voor datalekken. De herstelmaatregelen werden beloofd. De opvolging was gedeeltelijk. Wanneer zich een nieuw incident voordoet, escaleert de toezichthouder niet alleen vanwege het nieuwe incident, maar omdat het eerdere corrigerende bevel als vrijblijvend werd gezien.
• Erkend risico, maar niet beheerst. De interne documenten — boardpresentaties, auditrapporten, DSPM-bevindingen — lieten zien dat de organisatie wist dat het risico bestond. De beheersmaatregelen bleven achter. De “wist het en handelde niet”-benadering is nu het favoriete narratief van toezichthouders, omdat dit ook de hoogste boetemultiplier ondersteunt.

Elk patroon wijst op dezelfde onderliggende oorzaak: compliance wordt behandeld als een documentatieoefening in plaats van een operationele. De oplossing is niet betere beleidsstukken. De oplossing is systemen die het bewijs leveren dat het beleid belooft.

De analyse van handhavingstrends in 2026 onderstreept hoe dit doorwerkt in boeteberekeningen. Toezichthouders gebruiken steeds vaker de “wist het en handelde niet”-benadering, omdat dit hogere boetemultipliers rechtvaardigt dan een zuiver technische fout. Een verkeerde configuratie is een vergissing. Een gedocumenteerd risico dat niet is hersteld, is een keuze. De boetemultiplier weerspiegelt dat onderscheid, en de documentatietrail die een organisatie voor intern bestuur produceert, wordt het bewijs dat de toezichthouder gebruikt om die keuze te beoordelen.

Waarom grensoverschrijdende overdrachten de testcase zijn

Grensoverschrijdende overdrachten concentreren elk governance-falen in één beslissingsmoment. De rechtsgrondslag. De technische waarborgen. De zorgvuldigheid bij leveranciers. De Transfer Impact Assessment. De paraatheid voor een overheidsverzoek tot toegang. Alles komt samen op het moment dat een persoonsgegeven de grens overgaat.

Daarom koos de Nederlandse AP voor Yango-operator MLU en de Ierse DPC voor Shein. De overdracht is het zichtbare bewijs van het onderliggende governance-systeem. Als het overdrachtsmechanisme niet te verdedigen is, wordt de rest van de governance-status als zwak beschouwd.

Kiteworks Data Security and Compliance Risk: 2026 Forecast Report data toont de schaal van het gat. Slechts 36% van de organisaties heeft inzicht in hoe partners data in AI-systemen verwerken. 29% noemt grensoverschrijdende overdrachten via AI-leveranciers als belangrijkste privacyrisico. De herkenning is hoog. De beheersing niet.

Het 2026 Forecast Report beschrijft de verschuiving als een overgang van “waar wordt de data opgeslagen?” naar “waar wordt het verwerkt, wie heeft toegang en kun je dat aantonen?” Opslag-soevereiniteit beantwoordt de eerste vraag en de meeste grote organisaties hebben dat opgelost. Verwerkingssoevereiniteit beantwoordt de tweede en derde vraag. De MLU- en Shein-zaken draaien volledig om die laatste twee.

AI-workloads maken alles complexer. Een prompt kan in een andere rechtsbevoegdheid worden verwerkt dan waar de opslag plaatsvindt. Het model kan in een derde land worden gehost. Fijn-afstemming kan in een vierde plaatsvinden. De output kan meerdere grenzen passeren voordat deze terugkeert. Traditionele soevereiniteitscontroles kunnen deze spreiding niet vatten, omdat ze ervan uitgaan dat data een vaste locatie heeft. AI gaat ervan uit dat dit niet zo is.

Coördinatie tussen DPAs maakt een einde aan forumshoppen

Jarenlang konden organisaties profiteren van de inconsistentie tussen Europese DPAs. De Ierse DPC was traag. Duitse autoriteiten waren streng maar gefragmenteerd. De Italiaanse Garante gaf gedurfde bevelen die vaak door de rechter werden teruggedraaid. Verschillende rechtsbevoegdheden, verschillende prioriteiten, verschillende tijdlijnen.

De analyse van handhavingstrends in 2026 laat zien dat dat gat kleiner wordt. DPAs coördineren via de European Data Protection Board, delen casustheorieën en stemmen handhavingsprioriteiten op elkaar af. De redenering van de Nederlandse AP in MLU is in lijn met de standpunten van de EDPB over Schrems II. Het onderzoek van de Ierse DPC naar Shein volgt dezelfde juridische architectuur. De CNIL, de BfDI en de AP komen steeds vaker tot dezelfde conclusies bij overlappende feitenpatronen.

Dit is belangrijk omdat het het strategische voordeel van forumshoppen voor het EU-hoofdkantoor wegneemt. Een multinational die voor Dublin kiest omdat de DPC als soepel wordt gezien, krijgt nu te maken met een DPC die Shein onderzoekt volgens dezelfde theorie als de AP tegen MLU gebruikte. Het vriendelijke forum is het gecoördineerde forum geworden.

Het is ook belangrijk omdat de coördinatie de juridische houdbaarheid van handhavingsbesluiten versnelt. De MLU-theorie zal binnen enkele maanden, niet jaren, in andere DPA-zaken opduiken. Verwerkingsverantwoordelijken die besluiten af te wachten of het precedent standhoudt, kiezen ervoor de volgende gedaagde te zijn.

De praktische implicatie voor compliance-teams: handhaving monitoren betekent alle DPAs tegelijk volgen, niet alleen de lokale. Het risicoregister moet ervan uitgaan dat elke theorie die door één DPA wordt overgenomen, binnen korte tijd door anderen wordt toegepast.

Fragmentatie is de architecturale schuld

De meeste organisaties kunnen het uniforme bewijs dat Europese toezichthouders nu verwachten niet leveren omdat hun data-uitwisselingsinfrastructuur gefragmenteerd is. E-mail staat in het ene systeem. Bestandsoverdracht in een ander. Beheerde bestandsoverdracht in een derde. SFTP-servers draaien op legacy-systemen. Dataformulieren verzamelen persoonsgegevens via point solutions. AI-workloads verwerken data via weer een andere integratielaag.

Elk systeem heeft zijn eigen audittrail. Elke integratie heeft zijn eigen gat. Wanneer een DPA vraagt om het volledige overzicht van hoe een dataset met persoonsgegevens is verplaatst — welke gebruiker had toegang, welke leverancier verwerkte het, welke rechtsbevoegdheid werd gepasseerd — vereist het antwoord het correleren van vijf of zes verschillende logbronnen. Die correlatie duurt weken. De DPA wil het antwoord binnen dagen.

Dit is wat Kiteworks 2026 Forecast Report data beschrijft als architecturale schuld die een compliance-risico wordt. 33% van de organisaties mist audittrails van bewijskwaliteit. De oorzaak is niet een gebrek aan logging. Het is gefragmenteerde logging. De systemen produceren elk data; geen enkel systeem levert bewijs.

Het European Sovereignty Report van Kiteworks beschrijft het geconsolideerde alternatief: één zero-trust platform waar e-mail, bestandsoverdracht, beheerde bestandsoverdracht, SFTP, dataformulieren en AI-workloads gezamenlijk beleid afdwingen en één geconsolideerde auditlog delen. Dat is het architecturale antwoord op het systemische governance-probleem dat DPAs nu bestraffen. Het is niet het enige antwoord, maar wel het antwoord dat het meest aansluit bij de richting van toezichthouders.

De Kiteworks-aanpak: één audittrail, veel frameworks

Kiteworks vervangt gefragmenteerde point solutions door een uniform governance-framework dat de auditklare documentatie oplevert die toezichthouders, auditors en zakelijke klanten steeds vaker eisen. Het Private Data Network brengt e-mail, bestandsoverdracht, beheerde bestandsoverdracht, SFTP en dataformulieren samen in één platform waar elk bestand wordt gecontroleerd, gevolgd en beschermd gedurende de hele levenscyclus.

De architectuur is belangrijk voor compliance omdat het bewijs uit één bron oplevert. Gecentraliseerde, onveranderlijke auditlogs leggen vast wie wat heeft geopend, wanneer, namens wie en onder welk beleid. Geautomatiseerde compliance-rapportages — met vooraf ingestelde sjablonen voor GDPR, DORA, NIS 2, PIPEDA, PDPL en meer — leveren de exporteerbare artefacten die een DPA op verzoek wil zien, niet alleen op kwartaalbasis.

De soevereiniteitsdimensie wordt op architectuurniveau afgedwongen. Encryptiesleutels blijven binnen de rechtsbevoegdheid. Geofencing wordt afgedwongen via configureerbare IP-controles. Flexibele inzetopties — on-premises, private cloud, hybride, FedRAMP — stellen organisaties in staat gevoelige content binnen de eigen rechtsbevoegdheid te houden, of dat nu de EU, Canada, het Midden-Oosten of de VS is. De beheersmaatregelen zijn niet afhankelijk van de goede wil van een verwerker in een derde land. Ze zijn afhankelijk van de architectuur van het datapad zelf.

Voor organisaties die zich voorbereiden op de volgende golf van GDPR-handhaving is de implicatie duidelijk. Dezelfde investeringen die voldoen aan GDPR, voldoen ook aan DORA, NIS 2, PIPEDA, PDPL en de data governance-componenten van de EU AI-wet. De “één platform, meerdere frameworks”-aanpak is geen marketingpraatje. Het is het operationele antwoord op een regelgevend landschap dat convergerende bewijsvereisten kent over overlappende frameworks heen.

Wat organisaties moeten doen voordat de volgende DPA-vraag komt

1. Voer eerst een audit uit van documentatie versus werkelijkheid. Vergelijk de ROPA, DPIA’s en leveranciersinventarissen met wat daadwerkelijk is uitgerold. Volgens de bevindingen van het Kiteworks 2026 Forecast Report mist 33% van de organisaties audittrails van bewijskwaliteit — wat meestal betekent dat documentatie en systemen uit elkaar zijn gegroeid. Identificeer elk gat voordat een toezichthouder dat doet.
2. Consolideer vervolgens de audittrail. Gefragmenteerde logging is de structurele oorzaak van de meeste compliance-falen. Data van het Kiteworks 2026 Forecast Report toont aan dat consolidatie het snelst loont bij grensoverschrijdende onderzoeken, waar uniform bewijs de responstijd terugbrengt van weken naar dagen. Eén onveranderlijke log over data-uitwisselingskanalen is nu de meest verdedigbare compliance-investering.
3. Behandel Transfer Impact Assessments als architecturale oefeningen, niet als juridische oefeningen. TIA’s die risico’s documenteren zonder de technische beheersmaatregelen te beschrijven die deze beperken, zullen de toetsing na MLU niet doorstaan. Bevindingen uit het Kiteworks 2026 Forecast Report tonen aan dat slechts 36% van de organisaties inzicht heeft in AI-dataverwerking door partners. Voeg encryptie met sleutels in handen van de controller, afdwingen van dataresidentie en toegangslogging toe aan elke TIA.
4. Monitor actief de handhaving door verschillende DPAs. De coördinatie tussen Europese DPAs betekent dat een theorie die in één rechtsbevoegdheid wordt aangenomen, binnen enkele maanden elders opduikt. Volgens data van het Kiteworks 2026 Forecast Report verwerken organisaties met volwassen compliance-automatiseringsprogramma’s handhavingssignalen sneller. Bouw de monitoring in de GRC-workflow in, niet alleen in de juridische workflow.
5. Test het response-stappenplan. Simuleer een overheidsverzoek tot toegang. Simuleer een leveranciersfalen in een risicovolle rechtsbevoegdheid. Simuleer een DPA-vraag die binnen 72 uur bewijs van verwerkingssoevereiniteit vereist. De beslissing van de Nederlandse AP laat zien dat gedocumenteerde voorbereiding het verschil maakt tussen organisaties die handhavingsrisico’s beheersen en organisaties die de prijs betalen.
6. Breng het bestuur op één lijn met de nieuwe realiteit. Maximale GDPR-boetes van 4% van de wereldwijde omzet, gecombineerd met het maximum van 7% uit de EU AI-wet, maken compliance een onderwerp op het ondernemingsrisicoregister. De MLU-boete, het Shein-onderzoek en de bredere handhavingstrend zijn nu budgetgesprekken, niet alleen compliancegesprekken.

De volgende vraag kondigt zich niet aan. De architectuur moet er staan voordat deze komt.