IT, Data & Cyber Monitor 2026-2
Periodieke update over juridische ontwikkelingen op het gebied van data, technologie, privacy, cybersecurity en AI
In deze periodieke editie van de Digital Legal Monitor signaleren wij voor u de belangrijkste juridische ontwikkelingen in een wereld die in toenemende mate wordt gevormd door technologische innovatie. Wij besteden aandacht aan recente rechtspraak, volgen de stappen die (inter)nationale toezichthouders zetten om nieuwe technologieën binnen het juridisch kader te brengen, en signaleren relevante nieuwsberichten uit diverse media. Daarnaast informeren wij u over (aankomende) CMS-events op dit vakgebied.
Het regelgevingslandschap verandert continu, en het is voor organisaties essentieel om op de hoogte te zijn van deze ontwikkelingen om reputatierisico's te beheersen, de bedrijfscontinuïteit te waarborgen en de concurrentiepositie te versterken.
Wetgeving, guidance en handhaving
Cyberbeveiligingswet (Wet van 8 juli 2026)
De Cyberbeveiligingswet (Cbw) is op 15 augustus 2026 in werking getreden — de Nederlandse implementatie van de Europese NIS2-richtlijn. Waar haar voorganger, de Wet beveiliging netwerk- en informatiesystemen, was gericht op een relatief beperkte groep vitale aanbieders, strekt de Cyberbeveiligingswet zich uit tot een bredere groep publieke en private organisaties.
De wet bevat niet alleen verplichtingen rond informatiebeveiliging en incidentmelding. Zij introduceert ook een stelsel van bestuurdersverantwoordelijkheid, ketenverantwoordelijkheid en actief toezicht dat cyberveiligheid definitief tot een onderwerp voor de bestuurskamer maakt.
In dit artikel bespreken wij de belangrijkste onderdelen van het nieuwe kader.
Cyberbeveiligingsbesluit (Besluit van 8 juli 2026)
Het juridisch kader bestaat uit verschillende lagen. Aan de basis staat de Europese NIS2-richtlijn. Deze richtlijn bevat de uitgangspunten voor cyberrisicobeheer, incidentmeldingen, toezicht, handhaving en bestuurdersverantwoordelijkheid.
Nederland heeft deze verplichtingen geïmplementeerd in de Cbw. De wet bevat de ruim omschreven kernverplichtingen en legt de bevoegdheden van toezichthouders vast.
Daaronder bevindt zich het Cyberbeveiligingsbesluit (Cbb). Het besluit werkt verschillende wettelijke verplichtingen verder uit. Denk aan onderdelen van de zorgplicht, registratievereisten, opleidingsverplichtingen voor bestuurders en de systematiek rond meldingen.
De meest gedetailleerde normen zijn vervolgens opgenomen in Ministeriële regelingen. Daarbij heeft de wetgever gekozen voor een sectorspecifieke benadering. Iedere verantwoordelijke Minister kan voor de eigen sector nadere invulling geven aan verschillende verplichtingen.
In dit artikel bespreken wij de belangrijkste Ministeriële regelingen.
Wet weerbaarheid kritieke entiteiten (Wwke - Wet van 8 juli 2026) en Besluit weerbaarheid kritieke entiteiten (Besluit Wke van 8 juli 2026)
De Wwke is de Nederlandse implementatie van de Europese Critical Entities Resilience Directive en creëert voor door ministeries aangewezen entiteiten (aanbieders van vitale infrastructuren) verplichtingen die zien op risico-inventarisatie, weerbaarheid en incidentenrapportage. De Wwke richt zich op de fysieke weerbaarheid van de entiteiten en is daarmee een aanvulling op de Cyberbeveiligingswet (die ziet op de digitale beveiliging).
Als kritieke entiteit dient u onder meer:
- Een risicobeoordeling uit te voeren;
- Weerbaarheidsmaatregelen te nemen;
- Incidenten te melden;
- Continuïteit en herstel te waarborgen;
- Informatie te verstrekken aan toezichthouders, en
- Medewerking te verlenen aan toezicht.
Het Besluit Wke werkt de Wwke nader uit en regelt concreter hoe aan deze verplichtingen te voldoen. De Wwke en het Besluit zijn op 15 augustus 2026 in werking getreden.
Staatsblad 2026, 188 en Staatsblad 2026, 190
Wet van 10 juni 2026 tot wijziging van de Uitvoeringswet Algemene verordening gegevensbescherming en enkele andere wetten in verband met het stroomlijnen en actualiseren van het gegevensbeschermingsrecht (Verzamelwet gegevensbescherming)
De Verzamelwet past bestaande regels van de UAVG aan op een aantal praktische punten. Belangrijke onderdelen zijn; de verduidelijking van de leeftijd waarop minderjarigen zelf privacyrechten kunnen uitoefenen, aanpassingen van uitzonderingen op het verbod om bijzondere persoonsgegevens te verwerken, regels over biometrische gegevens, bepalingen over overdracht van patiëntendossiers en nieuwe verplichtingen voor de Autoriteit Persoonsgegevens (AP). Ook regelt de wet dat AVG-sancties voortaan verplicht openbaar worden gemaakt. De wet is grotendeels in werking getreden op 1 september 2026.
AP maakt AVG-sancties voortaan verplicht openbaar
Per 1 september 2026 moet de Autoriteit Persoonsgegevens (AP) boetes en andere AVG-sancties openbaar maken. De AP informeert de betrokken organisatie eerst over het voorgenomen publicatiebesluit en biedt gelegenheid om daarop te reageren. Vervolgens neemt de AP een definitief besluit en gaat zij over tot publicatie.
De AP maakt een AVG-sanctie in beginsel pas tien werkdagen nadat de organisatie het publicatiebesluit heeft ontvangen openbaar. Een organisatie kan bezwaar maken en de rechter verzoeken de publicatie tegen te houden.
AP, 27 augustus 2026
Checklist voor menselijk ingrijpen bij geautomatiseerde besluitvorming (automate decision-making - ADM)
Dit document van de European Data Protection Supervisor (EDPS) bevat een checklist die is bedoeld als zelfevaluatie-instrument voor organisaties die ADM-systemen gebruiken. Het is geen formele compliance-check, maar een hulpmiddel om te beoordelen hoe effectief de menselijke toezichtmechanismen zijn. Voor organisaties die AI-systemen of geautomatiseerde besluitvorming inzetten, laat de checklist zien dat menselijke tussenkomst meer vereist dan een theoretische mogelijkheid om in te grijpen. De menselijke beoordelaar moet voldoende bevoegdheden, kennis, tijd, informatie en organisatorische ondersteuning hebben om daadwerkelijk zelfstandig te kunnen oordelen.
EDPS, 2 juli 2026
Aan de slag met de Fundamental Rights Impact Assessment (FRIA) op basis van de AI-verordening
FRIA staat voor 'fundamental rights impact assessment'; een beoordeling van de gevolgen van een hoog-risico AI-systemen voor grondrechten in de concrete gebruikscontext. Vanaf december 2027 is de FRIA verplicht voor bepaalde organisaties die hoog risico-AI-systemen willen gaan gebruiken. De organisatie moet niet alleen de risico's identificeren, maar ook beschrijven welke maatregelen worden genomen om die risico's te voorkomen of te beperken. Het betreft overheidsinstanties, (private) organisaties die openbare diensten leveren, en gebruikers van AI-systemen, die (i) besluiten over kredietwaardigheid of een kredietscore vaststellen, en (ii) levens‑ of ziektekostenverzekeringen vaststellen. De FRIA moet worden uitgevoerd vóór de eerste inzet van het AI-systeem. Daarna moet zij worden geactualiseerd wanneer relevante omstandigheden wijzigen. Voorts geldt een rapportageplicht richting de bevoegde markttoezichthouder.
AP, 17 augustus 2026
Update Snapshot AI-markt Nederland 2026
Dit rapport brengt de omvang en groei van de AI-markt in Nederland in beeld. Ter voorbereiding op haar toezichtstaak liet de Autoriteit Persoonsgegevens die markt in 2025 in kaart brengen. In 2026 is een geactualiseerde versie opgesteld op basis van dezelfde bronnen. Zie het volledige rapport.
AP Rapportage klachten 2025
De Autoriteit Persoonsgegevens (AP) ontving in 2025 ruim 13.500 klachten en tips over mogelijke overtredingen van de privacywetgeving. De meeste klachten die de AP in 2025 ontving gingen over het uitoefenen van rechten onder de AVG, met name het recht op inzage en het recht op het verwijderen van gegevens. Hierna volgden klachten over onrechtmatige verwerking van persoonsgegevens en datalekken, camera’s , shaming op sociale media en volgsoftware, zoals cookies.
AP, 8 juni 2026
Machtiging datalek melden door verwerker
Met dit formulier van de Autoriteit Persoonsgegevens (AP) kunt u als verantwoordelijke een verwerker machtigen om namens u een datalek te melden, en eventueel ook de betrokkenen te informeren.
AP, 19 juni 2026
AP helpt ontwikkelaars en organisaties met nieuwe AVG-richtlijnen voor generatieve AI
Met deze handreiking geeft de Autoriteit Persoonsgegevens (AP) een eerste, voorlopige en niet-uitputtende interpretatie van de AVG in relatie tot generatieve AI-modellen. Naast de handreiking publiceert de AP een praktisch hulpmiddel voor organisaties die generatieve AI willen implementeren. Het hulpmiddel is een praktisch instrument om na te gaan welke AVG-verplichtingen van toepassing zijn en welke technische en organisatorische maatregelen nodig zijn om generatieve AI verantwoord te gebruiken.
AP, 13 juli 2026
Rapportage ransomware 2025
Met deze rapportage wil de AP organisaties ondersteunen bij het versterken van hun digitale weerbaarheid. Door ervaringen uit de praktijk en concrete lessen uit ransomware-incidenten te delen, wil de AP bijdragen aan het voorkomen van datalekken.
AP, 28 juli 2026
Rapportage datalekken 2025
In deze rapportage constateert de AP een verdere stijging van het aantal gemelde datalekken en waarschuwt voor de impact van AI op phishing aanvallen. Volgens de toezichthouder vergroot AI deze risico’s doordat phishingberichten overtuigender, persoonlijker en gemakkelijker op grote schaal kunnen worden verspreid. De AP roept organisaties op hun technische en organisatorische beveiligingsmaatregelen te versterken.
AP, 8 juli 2026
Rechtspraak
HvJ EU 16 juni 2026 ECLI:EU:C:2026:492 (WebGroup Czech Republic, a.s. and Others v Ministre de la Culture and Others)
Het Hof van Justitie van de EU oordeelde in dit arrest onder meer dat een dienstverlener die via algoritmen content rangschikt, controle uitoefent over die informatie. En in dat geval kan de dienstverlener zich niet zonder meer beroepen op de aansprakelijkheidsbeperking voor hostingdiensten zoals die is neergelegd in de DSA. Een voorlopige conclusie is dat moderne platformen met aanbevelingssystemen nu strenger zullen moeten gaan modereren om risico's op aansprakelijkheden te beperken.
HvJ EU (Eerste kamer) 18 juni 2026 ECLI:EU:C:2026:493 (Datenschutzbehörde tegen Bundesministerin für Justiz.; prejudiciële verwijzing)
Het Hof van Justitie van de EU heeft geoordeeld dat een toezichthoudende autoriteit een AVG-klacht niet mag afwijzen enkel omdat de betrokkene over hetzelfde onderwerp al een gerechtelijke procedure tegen de verwerkingsverantwoordelijke heeft ingesteld. Volgens het Hof bieden de artikelen 77 en 79 AVG zelfstandige en parallelle rechtsmiddelen die naast elkaar moeten kunnen worden benut. Het risico op tegenstrijdige beslissingen rechtvaardigt niet dat een klacht buiten behandeling wordt gelaten. Hoogstens kan een lidstaat voorzien in een schorsingsmechanisme. De uitspraak versterkt de rechtsbescherming van betrokkenen en bevestigt dat nationale procedureregels de effectiviteit van de door de AVG gewaarborgde rechten niet mogen ondermijnen.
Rechtbank Rotterdam 12 juni 2026 ECLI:NL:RBROT:2026:9319 (strafzaak)
De rechtbank Rotterdam oordeelt dat informatie haar vertrouwelijke karakter kan verliezen wanneer deze wordt ingevoerd in een extern AI-systeem zoals ChatGPT. In deze strafzaak ging het om digitale gegevens die mogelijk onder het verschoningsrecht vielen. Volgens de rechtbank kan het invoeren van dergelijke informatie in ChatGPT, evenals het laten genereren van tekst die bestemd is voor een verschoningsgerechtigde, worden aangemerkt als openbaarmaking aan een derde. Daardoor kan de vertrouwelijkheid worden doorbroken en kan de informatie niet langer als verschoningsgerechtigd gelden. De uitspraak onderstreept het belang van duidelijke interne regels voor het gebruik van generatieve AI bij vertrouwelijke of juridisch gevoelige informatie.
Man maakt misbruik van recht bij verzoek inzage persoonsgegevens
Een man heeft bij verschillende commerciële bedrijven verzocht om inzage in zijn persoonsgegevens. Tegen meerdere bedrijven heeft hij vervolgens bij de rechtbank Noord-Holland een proces aangespannen, omdat de bedrijven zijn verzoek volgens hem niet of onvolledig afhandelden. Volgens de rechtbank heeft de verzoeker misbruik van recht gemaakt en heeft hij de verzoeken alleen gedaan om daar financieel beter van te worden. Daarom heeft de rechtbank niet inhoudelijk op de verzoeken beslist. De uitspraak is relevant omdat het bevestigt dat het inzagerecht niet onbeperkt is, en het de investering waard kan zijn om de gehele context van het verzoek te onderzoeken.
Zie voor de uitspraken:
HR 12 juni 2026 ECLI:NL:HR:2026:921 (prejudiciële vragen)
De Hoge Raad heeft prejudiciële vragen gesteld aan het Hof van Justitie van de EU over de verhouding tussen de AVG en de Wwft bij digitale identificatie van cliënten. Centraal staat of het vastleggen en bewaren van foto's van identiteitsbewijzen die worden gebruikt voor identiteitsverificatie kwalificeren als verwerking van biometrische gegevens in de zin van artikel 9 AVG. Daarnaast vraagt de Hoge Raad of de anti-witwasregelgeving lidstaten verplicht financiële instellingen een kopie van het identiteitsbewijs, inclusief pasfoto, te laten bewaren, ondanks het AVG-beginsel van dataminimalisatie. Ook wordt gevraagd of uit foto's afkomstige informatie over ras of etnische afkomst kan worden afgeleid, waardoor sprake kan zijn van bijzondere persoonsgegevens. De uitkomst kan grote gevolgen hebben voor de wijze waarop financiële instellingen en andere Wwft-instellingen digitale identificatieprocessen inrichten.
Overige relevante (juridische) informatie
Uber krijgt boete van bijna 825 miljoen euro van AP
De Autoriteit Persoonsgegevens (AP) heeft Uber een boete van bijna € 825 miljoen opgelegd wegens overtreding van het verbod op volledig geautomatiseerde besluitvorming onder de AVG. Volgens de AP werden accounts van chauffeurs tussen 2018 en 2022 zonder daadwerkelijke menselijke beoordeling tijdelijk of permanent gedeactiveerd bij vermoedens van fraude of aanhoudend lage klantbeoordelingen. Deze besluiten hadden directe gevolgen voor het inkomen van de betrokken chauffeurs, terwijl Uber hen onvoldoende informeerde over de onderliggende geautomatiseerde besluitvorming. De boete onderstreept het belang van effectieve menselijke tussenkomst en transparante informatieverstrekking door organisaties die algoritmen inzetten voor besluiten met wezenlijke gevolgen voor personen.
Zie in dat kader ook de voorlopige versie van Recht op uitleg bij geautomatiseerde besluitvorming van de AP.
AP, 21 augustus 2026
Meer informatie of advies
Wilt u meer weten of van gedachten wisselen over deze publicatie? Neem dan contact met ons op, wij gaan graag met u in gesprek.
