Toezichthouders op de GDPR straffen niet alleen meer bij datalekken. Ze straffen nu ook het beveiligingsniveau dat je had moeten hebben.

Er vindt een verschuiving plaats in de handhaving van Europese gegevensbescherming die elke compliance- en securityleider moet begrijpen. Het is niet subtiel, en het verandert de manier waarop je investeert in gegevensbeveiliging.

Gibson Dunn’s Europese update gegevensbescherming van februari 2026 vat recente GDPR-handhavingsmaatregelen samen die de nieuwe realiteit duidelijk maken. Toezichthouders richten zich niet langer uitsluitend op wat er tijdens een datalek is gebeurd. Ze kijken naar wat er vooraf geregeld had moeten zijn. En ze leggen boetes op van tientallen miljoenen euro’s voor het ontbreken van controles die zij inmiddels als basis beschouwen.

Twee zaken uit de update illustreren dit patroon. In de eerste kreeg een instantie een sanctie nadat aanvallers toegang kregen tot persoonsgegevens van mensen die meer dan 20 jaar geregistreerd stonden. De bevindingen: onvoldoende wachtwoordbeleid, geen multi-factor authentication en onvoldoende logging en monitoring — allemaal overtredingen van Artikel 32 GDPR, de bepaling die “passende technische en organisatorische maatregelen” vereist om persoonsgegevens te beveiligen. In de tweede kreeg een telecomgroep een boete van tientallen miljoenen euro’s nadat aanvallers toegang kregen tot gegevens gekoppeld aan ongeveer 24 miljoen abonnementen. De autoriteiten wezen op zwakke authenticatie, onvolledige meldingen van datalekken onder Artikel 33 en onrechtmatige gegevensbewaring onder Artikel 5(1)(e).

De rode draad is onmiskenbaar. Toezichthouders bestraffen de structurele zwaktes die het datalek mogelijk maakten — niet alleen het datalek zelf. En de specifieke zwaktes die ze benoemen zijn zaken die de meeste organisaties jaren geleden al hadden kunnen en moeten oplossen.

5 Belangrijke Inzichten

1. Toezichthouders bestraffen structurele beveiligingszwaktes, niet alleen de datalekken die ze veroorzaken. Gibson Dunn’s Europese update gegevensbescherming van februari 2026 laat een duidelijke verschuiving in handhaving zien. Toezichthouders wachten niet meer tot een datalek meetbare schade veroorzaakt voordat ze boetes opleggen. Ze bestraffen de onderliggende structurele zwaktes — onvoldoende authenticatie, gebrekkige logging en monitoring, onrechtmatige gegevensbewaring — die het lek mogelijk maakten of de impact vergrootten. De boodschap: als je controles onvoldoende waren, ben je aansprakelijk, ongeacht of het ergste scenario zich heeft voorgedaan.
2. Een instantie kreeg een boete voor gegevens die meer dan 20 jaar werden bewaard — zonder MFA, zonder logging en zonder monitoring. Aanvallers kregen toegang tot persoonsgegevens van mensen die meer dan twintig jaar geregistreerd stonden. De toezichthouder wees op een onvoldoende wachtwoordbeleid, het ontbreken van multi-factor authentication en onvoldoende logging en monitoring als overtredingen van Artikel 32 GDPR. De organisatie werd niet alleen gesanctioneerd voor het datalek, maar ook voor het ontbreken van controles die het hadden moeten voorkomen of detecteren. De boete en herstelmaatregelen weerspiegelen de visie van toezichthouders dat dit basisverwachtingen zijn, geen ambitieuze doelen.
3. Een telecomgroep kreeg een boete van tientallen miljoenen nadat 24 miljoen klantgegevens werden blootgesteld. Aanvallers kregen toegang tot gegevens gekoppeld aan ongeveer 24 miljoen abonnementen. De autoriteiten wezen op zwakke authenticatie, onvolledige meldingen van datalekken onder Artikel 33 en onrechtmatige gegevensbewaring onder Artikel 5(1)(e). De boete liep op tot tientallen miljoenen euro’s. Deze zaak laat zien dat toezichthouders meerdere dimensies tegelijk beoordelen: heb je het lek voorkomen, heb je het gedetecteerd, heb je het gemeld, en bewaarde je gegevens die je eigenlijk al had moeten verwijderen?
4. Artikel 32 vereist nu duidelijk MFA, real-time logging en geautomatiseerde bewaartermijnen. In beide zaken definiëren de handhavingsmaatregelen wat “passende technische en organisatorische maatregelen” onder Artikel 32 in de praktijk betekenen: sterke authenticatie inclusief MFA voor blootgestelde accounts, real-time logging en detectie van ongeautoriseerde toegang, en gedisciplineerde dataminimalisatie en bewaarbeheer. Dit zijn geen aanbevelingen meer. Het is de minimale wettelijke norm.
5. De bewijslast is verschoven — je moet compliance aantonen, niet alleen beweren. Het verantwoordingsbeginsel van Artikel 5(2) vereist dat organisaties kunnen bewijzen dat ze passende maatregelen hebben genomen. Deze zaken maken duidelijk dat toezichthouders zullen onderzoeken of je preventieve controles (MFA, toegangsbeperkingen) en detectieve controles (logging, monitoring) had, of die controles operationeel waren tijdens het incident, en of je documentatie kunt overleggen die dat aantoont. Alleen beweren dat je “passende maatregelen” hebt zonder technisch bewijs is geen verdediging meer.

Wat “Passende Technische Maatregelen” Echt Betekent in 2026

Al jaren vereist Artikel 32 GDPR dat organisaties “passende technische en organisatorische maatregelen” implementeren om persoonsgegevens te beschermen. De formulering is bewust breed. Het geeft organisaties flexibiliteit om te bepalen wat passend is op basis van de risico’s die ze lopen.

Die flexibiliteit wordt kleiner. De handhavingsmaatregelen die Gibson Dunn aanhaalt, geven steeds concreter invulling aan wat “passend” betekent — en de lat ligt niet hoog. Het zijn de basismaatregelen die de meeste compliance-raamwerken al jaren adviseren. Het verschil is dat toezichthouders het ontbreken van deze basis nu als overtreding beschouwen, ongeacht de impact van een datalek.

Sterke authenticatie, inclusief MFA. In beide zaken werd zwakke authenticatie als overtreding genoemd. Alleen wachtwoorden zijn niet langer voldoende voor systemen die persoonsgegevens verwerken. In het geval van de instantie werd het ontbreken van multi-factor authentication expliciet genoemd. Voor toezichthouders is MFA geen best practice meer — het is een vereiste. En de verwachting gaat verder dan alleen basis-MFA: contextuele authenticatie zoals step-up verificatie voor risicovolle acties zoals bulkdownloads of extern delen, device trust-beleid dat toegang beperkt tot beheerde apparaten, en geolocatiecontroles die toegang vanaf onverwachte locaties signaleren.

Real-time logging en detectie. In de zaak van de instantie werd “onvoldoende logging en monitoring” als afzonderlijke overtreding genoemd. Toezichthouders verwachten dat organisaties ongeautoriseerde toegang direct detecteren — niet pas weken of maanden later tijdens een forensisch onderzoek. Dit betekent volledige audittrails die elk toegangsmoment tot persoonsgegevens vastleggen: wie, wat, wanneer, waar en hoe. Het betekent real-time waarschuwingen bij verdachte activiteiten zoals ongebruikelijke toegangspatronen, bulkdownloads of herhaalde mislukte authenticatiepogingen. En het betekent onveranderlijke logging — logbestanden die achteraf niet te manipuleren zijn.

Gedisciplineerde dataminimalisatie en bewaarbeheer. In de zaak van de instantie ging het om persoonsgegevens die meer dan 20 jaar werden bewaard. In de telecomzaak werd “onrechtmatige bewaring” genoemd. Het opslagbeperkingsbeginsel van Artikel 5(1)(e) vereist dat persoonsgegevens alleen worden bewaard zolang dat nodig is voor het oorspronkelijke doel. Toezichthouders handhaven dit principe nu met boetes — niet alleen met richtlijnen. Organisaties hebben geautomatiseerde bewaarbeleidsregels nodig die persoonsgegevens na een bepaalde periode verwijderen, legal hold management om data te bewaren voor juridische procedures terwijl de rest wordt verwijderd, en audittrails van verwijderingen die aan toezichthouders bewijzen dat data tijdig is verwijderd.

Aantoonbare compliance. Het verantwoordingsbeginsel van Artikel 5(2) is de rode draad die alles verbindt. Het is niet genoeg om passende maatregelen te hebben. Je moet het kunnen bewijzen. Als een toezichthouder vraagt of je MFA had tijdens het incident, moet je bewijs kunnen overleggen — niet alleen een beleidsdocument waarin staat dat het zou moeten. Als ze vragen of je monitoring had voor ongeautoriseerde toegang, moet je audittrails en alertconfiguraties kunnen tonen, niet een presentatie van de security review van vorig jaar.

Waarom Handhaving Zich Richt op Infrastructuur, Niet Alleen Incidenten

Deze handhavingstrend is niet uit het niets ontstaan. Toezichthouders publiceren al jaren richtlijnen, geven waarschuwingen en maken verwachtingen duidelijk. De verschuiving naar het bestraffen van structurele zwaktes weerspiegelt de conclusie dat alleen richtlijnen niet voldoende werken.

De cijfers ondersteunen die conclusie. Het gemiddelde datalek kost wereldwijd nu $4,88 miljoen; in de zorgsector zelfs $10,93 miljoen (IBM Cost of a Data Breach Report, 2024). GDPR-boetes kunnen oplopen tot €20 miljoen of 4% van de wereldwijde jaaromzet. En de EU AI-wet voegt daar nog een laag aan toe, met boetes tot €35 miljoen of 7% van de omzet voor ernstige overtredingen. Nu AI-agents en generatieve AI-tools steeds vaker persoonsgegevens verwerken — vaak via kanalen die organisaties niet volledig kunnen overzien — zal de druk om aan te tonen dat basiscontroles aanwezig zijn alleen maar toenemen.

Ook de handhavingsboodschap wordt complexer. In deze zaken vonden toezichthouders niet alleen een datalek en legden ze een boete op. Ze beoordeelden of de organisatie preventieve controles (MFA, toegangsbeperkingen) had die het lek hadden kunnen voorkomen, detectieve controles (logging, monitoring) die het eerder hadden kunnen signaleren, responsieve controles (melding van datalekken) die voldeden aan de 72-uursvereiste van Artikel 33, en bewaarbeheer dat de hoeveelheid blootgestelde data had kunnen beperken. Elk ontbrekend controlepunt werd als afzonderlijke overtreding behandeld. De boetes stapelen zich op.

Wat De Meeste Organisaties Nog Steeds Fout Doen Rond GDPR Security Compliance

Dit is de ongemakkelijke waarheid die deze zaken blootleggen. De meeste organisaties beweren dat ze “passende maatregelen” hebben. De meesten kunnen dat onder toezicht niet bewijzen. De kloof tussen beleid en werkelijkheid is waar de boetes vallen.

Het authenticatieprobleem. Veel organisaties hebben MFA-beleid. Weinig voeren MFA consequent door op elk systeem dat persoonsgegevens verwerkt. Legacy-platforms voor bestandsoverdracht, e-mailsystemen en managed file transfer-tools missen vaak de authenticatiecontroles die toezichthouders nu verwachten. Consumentenplatforms voor bestandsoverdracht bieden basisauthenticatie, maar ondersteunen zelden contextuele step-up authenticatie voor risicovolle acties, device trust-verificatie of geolocatiecontroles. Als toezichthouders je authenticatie-infrastructuur onderzoeken tijdens een handhavingsactie, kijken ze niet naar je beleidsdocument. Ze kijken naar je technische implementatie.

Het loggingprobleem. Veel organisaties loggen sommige activiteiten. Weinig onderhouden volledige, onveranderlijke audittrails die elk toegangsmoment tot persoonsgegevens over elk kanaal vastleggen — bestandsoverdracht, e-mail, managed file transfer, webformulieren, API’s. Gefragmenteerde tools leveren gefragmenteerde logs op. Elk systeem heeft zijn eigen logformaat, eigen bewaarbeleid, eigen lacunes. Als toezichthouders een compleet overzicht vragen van wie wanneer toegang had tot welke persoonsgegevens, ontdekken de meeste organisaties dat ze dat niet kunnen leveren. In de zaak van de instantie werd “onvoldoende logging” als overtreding genoemd. Onvoldoende betekent incompleet, niet allesomvattend of niet manipuleerbaar.

Het bewaarbeheerprobleem. Gegevensbewaring is de GDPR-vereiste waar de meeste organisaties het meest mee worstelen. Een bewaarbeleid opstellen is eenvoudig. Het automatisch handhaven ervan op elk systeem waar persoonsgegevens staan is veel moeilijker. E-mailarchieven, bestandsshares, back-ups, samenwerkingsplatforms — persoonsgegevens verzamelen zich in tientallen repositories. Zonder geautomatiseerde handhaving blijven gegevens jarenlang staan, ver voorbij hun doel. In de zaak van de instantie werden gegevens meer dan twintig jaar bewaard. Dat is geen beleidsfout, maar een infrastructuurfout.

Het documentatieprobleem. Artikel 5(2) vereist dat organisaties compliance kunnen aantonen — niet alleen beweren. Als toezichthouders langskomen, willen ze vooraf opgestelde compliance-rapporten zien met MFA-handhavingspercentages, toegangsconfiguraties en bewaarbeheer. Ze willen auditklare documentatie van technische en organisatorische maatregelen. Ze willen volledige forensische tijdlijnen voor meldingen van datalekken binnen het 72-uursvenster van Artikel 33. En ze willen verwerkingsregisters volgens Artikel 30 waarin staat hoe persoonsgegevens daadwerkelijk worden verwerkt, niet hoe het beleid zegt dat het zou moeten.

De Kloof Dichten Tussen Beleid en Bewijsbare Compliance

De handhavingsmaatregelen in Gibson Dunn’s update beschrijven fouten die volledig te voorkomen zijn — als de juiste infrastructuur aanwezig is. Niet een lappendeken van losse tools voor bestandsoverdracht, e-mail, managed file transfer en webformulieren, elk met eigen authenticatie, logging en bewaarbeheer. Maar één platform dat persoonsgegevens over elk kanaal beheert met consistente controles en één audittrail.

Het Kiteworks Private Data Network is speciaal gebouwd voor precies deze compliance-uitdaging. Het adresseert elk van de specifieke overtredingen die in de zaken van Gibson Dunn werden genoemd — niet als extra functies, maar als fundamentele ontwerpprincipes.

Voor authenticatie handhaaft Kiteworks MFA voor alle toegang tot persoonsgegevens, met contextuele step-up authenticatie voor risicovolle acties zoals bulkdownloads en extern delen. SSO-integratie ondersteunt enterprise identity providers met MFA-handhaving. Device trust beperkt toegang tot beheerde, conforme apparaten. Geolocatiecontroles signaleren en blokkeren toegang vanaf onverwachte locaties. Dit zijn precies de controles die toezichthouders misten in de handhavingszaken.

Voor logging en monitoring biedt Kiteworks volledige, onveranderlijke audittrails die elk toegangsmoment tot persoonsgegevens vastleggen — wie, wat, wanneer, waar, hoe — over elk kanaal. Real-time waarschuwingen informeren securityteams direct bij verdachte activiteiten. AI-gestuurde anomaliedetectie signaleert ongebruikelijke toegangspatronen die op een compromis kunnen wijzen. En SIEM-integratie exporteert logs naar enterprise securityplatforms voor correlatie met andere security-events. Dit is de logging- en monitoringinfrastructuur die toezichthouders verwachtten in beide zaken — en niet aantroffen.

Voor bewaarbeheer handhaaft Kiteworks geautomatiseerde bewaarbeleidsregels die persoonsgegevens na een bepaalde periode verwijderen — met legal hold management om data te bewaren voor juridische procedures terwijl de rest wordt verwijderd. Audittrails van verwijderingen bewijzen aan toezichthouders dat data tijdig is verwijderd. Dataclassificatie tagt persoonsgegevens per categorie met passende bewaartermijnen. Dit is de bewaarinfrastructuur die de 20-jarige gegevensopbouw en de onrechtmatige bewaring in beide handhavingszaken had kunnen voorkomen.

Voor aantoonbare compliance levert Kiteworks vooraf opgestelde GDPR-specifieke compliance-rapporten, een CISO-dashboard met real-time inzicht in toegang tot persoonsgegevens en beleidsinbreuken, auditklare documentatie en ondersteuning bij meldingen van datalekken met volledige forensische tijdlijnen voor de 72-uursvereiste van Artikel 33. Wanneer toezichthouders bewijs vragen dat passende maatregelen aanwezig waren, kunnen organisaties met Kiteworks dat leveren — omdat het platform dit continu genereert, niet achteraf.

AI Agents Maken Artikel 32-naleving Moeilijker — en Urgenter

Deze handhavingszaken gaan over traditionele datalekscenario’s — aanvallers die systemen compromitteren om toegang te krijgen tot persoonsgegevens. Maar de Artikel 32-vereisten die ze onderstrepen worden exponentieel uitdagender naarmate organisaties AI-agents en generatieve AI-tools inzetten die persoonsgegevens op grote schaal verwerken.

Elke AI-agent die toegang heeft tot persoonsgegevens creëert een nieuwe identiteit die authenticatie en toegangscontrole vereist. Elke AI-interactie met persoonsgegevens moet worden gelogd. Elke AI-tool die persoonsgegevens verwerkt moet zich aan bewaarbeleid houden. En elke AI-data-interactie moet auditbaar en aantoonbaar zijn voor toezichthouders.

Als toezichthouders organisaties nu al tientallen miljoenen euro’s boete opleggen voor ontbrekende MFA en onvoldoende logging in traditionele systemen, stel je dan de handhavingsrisico’s voor als dezelfde zwaktes bestaan in AI-agent-workflows — waar data sneller, in grotere hoeveelheden en met minder menselijk toezicht beweegt.

De Kiteworks AI Data Gateway en Secure MCP Server breiden dezelfde Artikel 32-controles — authenticatie, logging, toegangsbeheer en handhaving van bewaarbeleid — uit naar AI-interacties. Of persoonsgegevens nu worden benaderd door een menselijke gebruiker via bestandsoverdracht of door een AI-agent via een API, de controles, de audittrail en het compliance-bewijs zijn identiek. Eén platform. Eén policy engine. Eén onveranderlijk record.

De Richting van Handhaving Is Duidelijk. De Vraag Is of Je Er Klaar Voor Bent.

Gibson Dunn’s update van februari 2026 vertelt een verhaal dat compliance-teams persoonlijk moeten nemen. Toezichthouders zijn niet langer geïnteresseerd in of je een gegevensbeschermingsbeleid hebt. Ze willen weten of je de technische infrastructuur hebt om het te handhaven — en of je dat onder toezicht kunt bewijzen.

De overtredingen in deze zaken — geen MFA, geen real-time logging, geen geautomatiseerd bewaarbeheer, onrechtmatige gegevensopbouw — zijn niet exotisch of nieuw. Het zijn te voorkomen fouten in basisbeveiliging. En het zijn precies die fouten die toezichthouders nu duur maken.

De organisaties die deze handhavingsgolf zullen doorstaan, zijn degenen die op elk moment bewijs kunnen leveren dat MFA wordt afgedwongen voor elke toegang tot persoonsgegevens, dat elk toegangsmoment wordt gelogd in een onveranderlijke audittrail, dat bewaarbeleid geautomatiseerd en auditbaar is, en dat ze binnen 72 uur na een datalek een volledige forensische tijdlijn kunnen reconstrueren.

De organisaties die dat bewijs niet kunnen leveren, zijn degenen die de cheques uitschrijven. En op basis van recente precedenten worden die cheques steeds groter.

Wil je weten hoe Kiteworks kan helpen, plan vandaag nog een persoonlijke demo.

Aanvullende Bronnen

• Blog PostBegrijp en voldoe aan GDPR dataresidentievereisten
• Blog PostHoe PII e-mailen in overeenstemming met GDPR: Jouw gids voor beveiligde e-mailcommunicatie
• Blog PostBereik GDPR-naleving om te voldoen aan de nieuwe EU-wet gegevensprivacy
• Blog PostHoe bestanden delen met internationale partners zonder GDPR te schenden
• Blog PostHoe maak je GDPR-conforme formulieren