De databank voor en door Innovatieve meesters

Elferink & Kortier Advocaten stond gemeente Enschede bijHet college van burgemeester en wethouders van Enschede hoeft de boete van € 600.000 die de Autoriteit Persoonsgegevens (AP) in 2021 had opgelegd vanwege wifitellingen definitief niet te betalen. Dat heeft de Afdeling bestuursrechtspraak van de Raad van State op 29 juli 2026 beslist door het hoger beroep van de AP ongegrond te verklaren. Daarmee komt een einde aan een juridisch traject van ruim vijf jaar, waarin Elferink & Kortier Advocaten de gemeente Enschede heeft bijgestaan.Zie over de uitspraak van de rechtbank ons eerdere bericht.

Na een jarenlange procedure heeft de Eerste Kamer op 12 mei 2026 eindelijk de nieuwe Archiefwet aangenomen. De wet (genaamd Archiefwet 2026) treedt in werking op 1 januari 2027 en vervangt de Archiefwet 1995, die inmiddels ruim dertig jaar oud is. De oude wet was geschreven voor een tijd van papieren dossiers en sloot daarom onvoldoende aan op de digitale werkelijkheid van vandaag. Modernisering was dus geboden. In deze blog bespreken wij de belangrijkste wijzigingen, met bijzondere aandacht voor de gevolgen voor de persoonlijke levenssfeer en de openbaarheid van archieven. 

De Verzamelwet gegevensbescherming is op 10 juni 2026 gepubliceerd in het Staatsblad; tijdstip van inwerkingtreding volgt via een koninklijk besluit. Deze wet wijzigt op verschillende punten de privacyregels voor organisaties. Wat betekent dit voor uw organisatie? Verwerkt uw organisatie persoonsgegevens? Dan is het verstandig om na te gaan of uw processen en privacydocumentatie moeten worden aangepast.De Verzamelwet gegevensbescherming stroomlijnt en actualiseert het Nederlandse gegevensbeschermingsrecht. Houdt u rekening met de volgende kernpunten:

De Europese Commissie heeft half november 2025 een versoepeling, uitstel en centralisering van Europese digitale regels voorgesteld in de zogeheten Digital Omnibus Package. Dit pakket bevat voorstellen tot aanpassingen van de AI Verordening en de toepassing van de Algemene Verordening Gegevensbescherming (AVG). Of u nu AI-systemen ontwikkelt of AI inzet in uw bedrijfsvoering: deze ontwikkelingen zijn direct relevant voor uw compliancestrategie. In deze blog zetten wij de zeven belangrijkste voorgestelde wijzigingen voor u op een rij.Let op: De Digital Omnibus is op dit moment nog een wetgevingsvoorstel zonder rechtskracht. De voorstellen doorlopen de Europese trilogen — onderhandelingen tussen de Commissie, de Raad en het Europees Parlement. Pas na formele bekrachtiging staan de wijzigingen vast. Naar verwachting ontstaat pas begin zomer 2026 duidelijkheid over de definitieve uitkomst. 

Bewaartermijnen voor persoonsgegevens lijken soms een formaliteit, maar het nieuws over telecombedrijf Odido laat zien dat dit onderwerp nadelige gevolgen kan hebben indien organisaties persoonsgegevens niet conform de bewaartermijn bewaren. Odido blijkt persoonsgegevens van oud-klanten langer te bewaren dan zij zelf aangeeft in haar privacyverklaring. Dit kan risico’s opleveren onder de Algemene Verordening Gegevensbescherming (AVG), vooral indien er vervolgens sprake is van een datalek. Hoe zit het eigenlijk precies met bewaartermijnen en waar moet u als ondernemer op letten?

Contant geld, wie heeft het tegenwoordig nog op zak? Steeds meer ondernemingen kiezen ervoor om geen contant geld meer te accepteren. Dat lijkt praktisch en veilig. Maar hoe zit dat onder de AVG? Mag u klanten verplichten om met pin of creditcard te betalen, terwijl daarbij persoonsgegevens (denk daarbij o.a. aan het rekeningnummer) worden verwerkt?In een recente uitspraak van de Afdeling bestuursrechtspraak van de Raad van State is hier antwoord op gegeven. 

De AP heeft recent een brief met aanbevelingen gepubliceerd gericht aan een tweetal gemeenten naar aanleiding van informatieverzoeken en toezichtsbezoeken. Het gaat om de gemeenten Doesburg en Breda. Dit zijn de eerste twee bezoeken van de AP in een reeks waarmee de AP inzicht wil krijgen in hoe secuur gemeenten met persoonsgegevens omgaan. De AP heeft namelijk eerder al geconstateerd dat veel gemeenten nog gebrekkig zijn in hun naleving van de AVG. 

Het gebruik van AI-chatbots zoals ChatGPT heeft al geleid tot tientallen datalekken, dit maakte de Autoriteit Persoonsgegevens (‘AP’) onlangs bekend in diverse media (het FD en RTL Z). Aanleiding hiervoor was een datalek bij de gemeente Eindhoven waarbij medewerkers cv’s, jeugdzorgdocumenten en interne verslagen hadden geüpload in AI-tools. Met daarin gevoelige persoonsgegevens. Op 18 december 2025 meldde de gemeente Eindhoven dat er een datalek had plaatsgevonden door het gebruik van een aantal medewerkers van openbare AI-chatbots.

Stelt u zich voor, u heeft een koopovereenkomst met een klant gesloten en een dag later geeft de klant aan het bedrag te hebben overgemaakt volgens de betaalinstructie die de klant zou hebben ontvangen via uw bedrijfsmail. U ontdekt dat een hacker toegang heeft gekregen tot uw bedrijfsmail en de klant dus geld over heeft gemaakt naar de hacker. Bent u in deze situatie zelf in overtreding en aansprakelijk voor de schade die de klant lijdt? Een vergelijkbare vraag stond centraal in een recent gewezen zaak van het hof Arnhem-Leeuwarden.