Belgische wetgeving inzake gegevensbescherming: uitvoeringsgids AVG (2026)

België regelt gegevensprivacy via drie instrumenten: de Europese AVG (Verordening (EU) 2016/679), de Wet van 30 juli 2018, en artikel 22 van de Belgische Grondwet. De Belgische Gegevensbeschermingsautoriteit (GBA/APD) handhaaft de naleving en kan boetes opleggen tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Kort antwoord: wat zijn de belangrijkste regels inzake gegevensbescherming in België?

Het Belgische gegevensbeschermingsregime rust op drie pijlers: de Europese Algemene Verordening Gegevensbescherming (AVG, Verordening (EU) 2016/679), die rechtstreeks van toepassing is in alle EU-lidstaten; de Wet van 30 juli 2018, de Belgische nationale uitvoeringswet die de door de AVG aan de lidstaten gelaten keuzeruimte invult; en artikel 22 van de Belgische Grondwet, het nationale grondwettelijke recht op privacy dat in 1994 werd ingevoerd. De Belgische Gegevensbeschermingsautoriteit (GBA/APD), opgericht bij de Wet van 3 december 2017, handhaaft de naleving. Elke organisatie die persoonsgegevens verwerkt van personen in België, valt onder dit kader, ongeacht of zij in België of in het buitenland is gevestigd. Voor een breder EU-perspectief op de werking van de AVG in alle lidstaten, zie ons overzicht van de Europese wetgeving inzake gegevensbescherming.

Reikwijdte: Dit artikel behandelt het gegevensbeschermingsregime van het Koninkrijk België, met inbegrip van de EU-AVG zoals toegepast in België, de Wet van 30 juli 2018, de handhaving door de GBA/APD, en de EU AI-verordening voor zover deze van toepassing is op de door België aangewezen autoriteiten. Het behandelt niet de Belgische opnamewetgeving; zie daarvoor Belgische opnamewetgeving.

Constitutionele grondslag: artikel 22 en het recht op eerbiediging van het privéleven

Het Belgische recht op privacy heeft nationale grondwettelijke wortels die decennia ouder zijn dan de AVG. Artikel 22 van de Belgische Grondwet waarborgt ieders recht op eerbiediging van zijn privéleven en gezinsleven. Het Belgische parlement voerde deze bepaling in 1994 in, waardoor privacy de status kreeg van een grondwettelijk recht dat onafhankelijk van het Unierecht kan worden afgedwongen.

Vóór de inwerkingtreding van de AVG in 2018 beschikte België al over artikel 22 van de Grondwet, een eigen gegevensbeschermingscommissie (de voorganger, de Commissie voor de bescherming van de persoonlijke levenssfeer), en de Wet van 8 december 1992 tot bescherming van de persoonlijke levenssfeer. Met de komst van de AVG kwamen Europese regelgevende vereisten bovenop een reeds volgroeide grondwettelijke traditie te liggen.

Ook artikel 8 van het Europees Verdrag voor de Rechten van de Mens heeft in België rechtstreekse werking. Belgische rechters passen artikel 8 EVRM toe als ondergrens voor privacybescherming in zaken die niet rechtstreeks onder de AVG of de nationale wetgeving vallen.

De praktische betekenis van artikel 22 is dat het de Belgische rechter in staat stelt privacybescherming toe te kennen in situaties die de AVG aan het nationale recht overlaat, en dat het de wetgever grondwettelijk gezag geeft bij het invoeren van nationale afwijkingen op grond van de artikelen 6, lid 2, 9, lid 4, en 23 van de AVG.

De AVG en de Wet van 30 juli 2018: het duale kader

De AVG heeft rechtstreekse werking in België, wat betekent dat zij van toepassing is zonder omzetting in Belgische wetgeving te vereisen. Zij vormt het plafond en de bodem voor de meeste regels inzake gegevensbescherming.

De Wet van 30 juli 2018 betreffende de bescherming van natuurlijke personen met betrekking tot de verwerking van persoonsgegevens vervult drie hoofdfuncties. Ten eerste voert zij AVG-bepalingen uit die nadere invulling op nationaal niveau vereisen of toestaan. Ten tweede zet zij Richtlijn (EU) 2016/680 om, over gegevensverwerking door de instanties die bevoegd zijn voor strafrechtelijke doeleinden. Ten derde stelt zij regels vast voor gegevensverwerking door inlichtingen- en veiligheidsdiensten, die buiten het toepassingsgebied van de AVG vallen.

Het Belgische kader omvat ook de Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit zelf, ingrijpend gewijzigd bij de wetten van 7 september 2023 en 25 december 2023, die het bestuur van de autoriteit en haar klachtenprocedure hebben herwerkt.

Een deel van die hervorming hield geen stand. In arrest 119/2025 van 18 september 2025, op een beroep ingesteld door de Ligue des droits humains, vernietigde het Grondwettelijk Hof artikel 11, eerste lid, 3, van de Wet van 3 december 2017, zoals vervangen door de Wet van 25 december 2023, in zoverre het de GBA toestond om bij intern reglement de ontvankelijkheid van een klacht of een melding, de bemiddelingsprocedure, de seponering en de opportuniteitsoverwegingen, de positie en de rechten van verdediging van de klager, het taalgebruik, en de naleving van de door haar opgelegde maatregelen te regelen. Het hof handhaafde de gevolgen van de vernietigde bepaling tot de wetgever over die punten wetgevend optreedt, en uiterlijk tot 31 december 2026. Zowel de privacywet als de organieke wet van de GBA wordt herzien.

Samen regelen deze instrumenten elke organisatie die persoonsgegevens verwerkt van personen in België, ongeacht of de organisatie in België of in het buitenland is gevestigd.

Digitale toestemmingsleeftijd vastgesteld op 13 jaar

Artikel 7 van de Wet van 30 juli 2018 stelt de leeftijd waarop een kind zelfstandig toestemming kan geven voor gegevensverwerking door diensten van de informatiemaatschappij, vast op 13 jaar. Artikel 8 van de AVG staat lidstaten toe deze drempel ergens tussen 13 en 16 jaar vast te stellen, en België koos voor de laagst toegestane leeftijd. De GBA onderbouwde deze keuze met het argument dat 13 jaar de gemiddelde leeftijd is waarop kinderen zelfstandig op internet beginnen te surfen, en dat een hogere drempel de digitale mogelijkheden van jongeren onnodig zou beperken.

Deze lagere drempel geldt specifiek voor rechtstreekse aanbiedingen van diensten van de informatiemaatschappij waarbij de verwerking op toestemming berust. Voor andere soorten gegevensverwerking waarbij minderjarigen betrokken zijn, moet de wettelijke vertegenwoordiger van het kind toestemming geven, hoewel kinderen met voldoende onderscheidingsvermogen (doorgaans verworven tussen 13 en 16 jaar) ook zelf toestemming moeten geven naast die van de vertegenwoordiger.

Bijzondere categorieën van gegevens: extra waarborgen

De Wet van 30 juli 2018 stelt extra vereisten bij de verwerking van genetische, biometrische en gezondheidsgegevens. Verwerkingsverantwoordelijken moeten een actuele lijst bijhouden van iedere persoon die toegang heeft tot deze bijzondere categorieën van gegevens, met vermelding van de categorieën gegevens waartoe elke persoon toegang heeft. Zij moeten er ook voor zorgen dat alle personen met toegang gebonden zijn aan een vertrouwelijkheidsverplichting, wettelijk of contractueel. Deze toegangslijsten moeten op verzoek van de GBA beschikbaar worden gesteld. Dit gaat verder dan wat de AVG zelf vereist en weerspiegelt de Belgische nadruk op verantwoording bij de verwerking van gevoelige gegevens.

Gegevens over strafrechtelijke veroordelingen en strafbare feiten

België voorziet in specifieke rechtsgronden voor de verwerking van gegevens over strafrechtelijke veroordelingen en strafbare feiten. De wet verplicht organisaties die deze gegevens verwerken tot het bijhouden van toegangslijsten en het naleven van vertrouwelijkheidsverplichtingen, naar analogie van de bescherming die geldt voor bijzondere categorieën van gegevens.

Journalistieke en academische uitzonderingen

Artikel 24 van de Wet van 30 juli 2018 voorziet in uitzonderingen voor gegevensverwerking met journalistieke, artistieke of literaire doeleinden. Verwerkingsverantwoordelijken die onder deze uitzonderingen vallen, kunnen worden vrijgesteld van bepaalde rechten van betrokkenen en verplichtingen, waaronder de meldplicht bij datalekken en beperkingen op internationale doorgiften. Deze uitzonderingen brengen gegevensbescherming in evenwicht met de vrijheid van meningsuiting.

Verjaringstermijn van vijf jaar

Artikel 105 van de Wet van 3 december 2017 tot oprichting van de Gegevensbeschermingsautoriteit, en niet de Wet van 30 juli 2018, laat de feiten verjaren vijf jaar nadat zij zijn gepleegd. Die termijn wordt enkel gestuit door daden van onderzoek of vervolging, en elke dergelijke daad doet een nieuwe termijn van vijf jaar lopen, ook tegen personen die daarbij niet betrokken waren.

Artikel 106 van dezelfde wet voegt daaraan toe dat administratieve boetes zelf verjaren vijf jaar na de dag waarop zij opeisbaar worden, waarbij die termijn wordt geschorst zolang een beroep tegen de beslissing van de Geschillenkamer hangende is.

Rechtsgronden voor de verwerking van persoonsgegevens in België

Artikel 6, lid 1, van de AVG voorziet in zes uitputtende rechtsgronden. Elke verwerkingsactiviteit in België moet op een van deze gronden berusten; het Belgische nationale recht voegt geen zevende grond toe.

Toestemming (art. 6, lid 1, a): de betrokkene heeft vrij, specifiek, geïnformeerd en ondubbelzinnig toestemming gegeven. De GBA heeft herhaaldelijk geoordeeld dat toestemming geen geldige rechtsgrond is voor de verwerking van persoonsgegevens van werknemers in een arbeidscontext, omdat de machtsongelijkheid tussen werkgever en werknemer vrij gegeven toestemming structureel onmogelijk maakt onder artikel 4, punt 11, van de AVG.

Overeenkomst (art. 6, lid 1, b): de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene precontractuele maatregelen te nemen. Het noodzakelijkheidsvereiste wordt strikt uitgelegd: verwerking die louter handig is voor de uitvoering van de overeenkomst, maar niet werkelijk noodzakelijk, voldoet niet.

Wettelijke verplichting (art. 6, lid 1, c): de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust. Belgische wetgeving, waaronder het belastingrecht, het socialezekerheidsrecht, en de collectieve arbeidsovereenkomsten van de Nationale Arbeidsraad, schept talrijke van dergelijke verplichtingen voor organisaties die in België actief zijn.

Vitale belangen (art. 6, lid 1, d): de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen. Deze grond is van toepassing in noodsituaties waarin andere grondslagen niet snel genoeg kunnen worden ingeroepen.

Algemeen belang (art. 6, lid 1, e): de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of in het kader van de uitoefening van het openbaar gezag. Belgische overheidsinstanties en hun verwerkers beroepen zich hier veelvuldig op.

Gerechtvaardigd belang (art. 6, lid 1, f): de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, mits die belangen niet zwaarder wegen dan de grondrechten en fundamentele vrijheden van de betrokkene. Het Hof van Justitie van de EU heeft drie cumulatieve voorwaarden bevestigd: (i) het nastreven van een gerechtvaardigd belang; (ii) de noodzakelijkheid van de verwerking om dat belang te bereiken; (iii) de grondrechten van de betrokkene mogen na een belangenafweging niet prevaleren. De richtsnoeren van de GBA over direct marketing bevestigen dat gerechtvaardigd belang bepaalde marketingactiviteiten kan ondersteunen, maar de belangenafweging moet worden gedocumenteerd en duidelijke opt-outmechanismen moeten worden geboden.

Rechten van betrokkenen in België

De artikelen 12 tot en met 22 van de AVG geven personen een uitgebreid geheel van rechten over hun persoonsgegevens. Het Belgische nationale recht beperkt deze rechten niet verder dan de afwijkingen die de AVG zelf toestaat.

Recht op inzage (art. 15): betrokkenen kunnen bevestiging vragen of hun persoonsgegevens worden verwerkt, en een kopie ontvangen. De verwerkingsverantwoordelijke moet binnen een maand reageren, te verlengen met twee maanden bij complexe of talrijke verzoeken. De GBA heeft dit recht actief gehandhaafd: buitensporige vertragingen bij het beantwoorden van inzageverzoeken vormen een terugkerende schending in GBA-beslissingen.

Recht op rectificatie (art. 16): betrokkenen kunnen verlangen dat onjuiste persoonsgegevens worden gecorrigeerd en dat onvolledige gegevens worden aangevuld.

Recht op gegevenswissing / recht om vergeten te worden (art. 17): betrokkenen kunnen wissing verlangen in bepaalde omstandigheden, onder meer wanneer de gegevens niet langer nodig zijn voor het oorspronkelijke doel, wanneer toestemming wordt ingetrokken en geen andere grondslag bestaat, of wanneer de gegevens onrechtmatig zijn verwerkt. De hoogste individuele boete van de GBA, 600.000 euro tegen Google België in juli 2020, vloeide voort uit het niet honoreren van een verzoek tot verwijdering op grond van dit recht, al vernietigde het Marktenhof die beslissing later.

Recht op beperking van de verwerking (art. 18): betrokkenen kunnen verzoeken dat de verwerking in bepaalde omstandigheden wordt beperkt, bijvoorbeeld wanneer de juistheid van de gegevens wordt betwist of de verwerking onrechtmatig is maar de betrokkene beperking verkiest boven wissing.

Recht op overdraagbaarheid van gegevens (art. 20): wanneer de verwerking berust op toestemming of een overeenkomst en met geautomatiseerde middelen wordt uitgevoerd, kunnen betrokkenen hun persoonsgegevens ontvangen in een gestructureerd, gangbaar en machineleesbaar formaat, en deze aan een andere verwerkingsverantwoordelijke overdragen.

Recht van bezwaar (art. 21): betrokkenen kunnen bezwaar maken tegen verwerking op grond van gerechtvaardigd belang of de taak van algemeen belang, met inbegrip van profilering op die gronden. Na ontvangst van een bezwaar moet de verwerkingsverantwoordelijke de verwerking staken, tenzij hij dwingende gerechtvaardigde gronden kan aantonen die zwaarder wegen dan de belangen van de betrokkene.

Rechten met betrekking tot geautomatiseerde besluitvorming en profilering (art. 22 AVG): betrokkenen hebben het recht niet te worden onderworpen aan een uitsluitend op geautomatiseerde verwerking gebaseerd besluit, met inbegrip van profilering, dat rechtsgevolgen heeft of hen op vergelijkbare wijze wezenlijk treft, met uitzonderingen voor de noodzaak van een overeenkomst, wettelijke machtiging, en uitdrukkelijke toestemming.

De GBA blijft de rechten van betrokkenen actief handhaven, en de nieuwe Procedureverordening (EU) 2025/2518 (van toepassing vanaf 2 april 2027) zal bindende termijnen van 15 maanden invoeren voor grensoverschrijdend onderzoek, waardoor de praktische afdwingbaarheid van deze rechten in klachten met een grensoverschrijdend karakter wordt versterkt.

De Belgische Gegevensbeschermingsautoriteit (GBA/APD)

De Belgische Gegevensbeschermingsautoriteit staat bekend onder twee namen die de tweetalige structuur van België weerspiegelen: Gegevensbeschermingsautoriteit (GBA) in het Nederlands, en Autorité de protection des données (APD) in het Frans. Zij volgde op 25 mei 2018, dezelfde dag waarop de AVG afdwingbaar werd, de voormalige Commissie voor de bescherming van de persoonlijke levenssfeer op.

De autoriteit is gevestigd aan de Drukpersstraat 35, 1000 Brussel. Zij telde eind 2025 96 medewerkers, tegenover 84 een jaar eerder, en beschikte dat jaar over een werkingskrediet van 15,3 miljoen euro. Zij is te bereiken via contact@apd-gba.be of +32 2 274 48 00.

Organisatiestructuur

De GBA is opgebouwd uit vijf operationele organen, plus een directiecomité:

Directiecomité: houdt toezicht op begrotingen, jaarverslagen, strategische plannen en organisatorische beslissingen.

Secretariaat-generaal: beheert human resources, budget, IT-infrastructuur, juridische aangelegenheden en communicatie.

Eerstelijnsdienst: ontvangt klachten van betrokkenen, voert bemiddeling tussen partijen, en bevordert publieke bewustwording van rechten inzake gegevensbescherming.

Kenniscentrum: geeft adviezen en aanbevelingen over gegevensverwerking, en verstrekt richtsnoeren aan zowel de publieke als de private sector.

Inspectiedienst: voert onderzoeken en handhavingsactiviteiten uit, met bevoegdheden om personen te verhoren, computersystemen in beslag te nemen, en tijdelijke opschorting van verwerkingsactiviteiten te eisen.

Geschillenkamer: functioneert als het administratieve geschillenorgaan, dat beslissingen neemt en boetes oplegt. Vanaf 25 april 2025 kan een alleenzetelende rechter zaken ten gronde beslissen, in plaats van de eerdere vereiste van kamers met drie leden. Deze structurele wijziging kan van invloed zijn op het totale aantal zaken dat de kamer jaarlijks behandelt.

Handhavingsbevoegdheden

De GBA beschikt over ruime handhavingsbevoegdheden onder de AVG. De Inspectiedienst kan onderzoeken ter plaatse uitvoeren, getuigen verhoren, toegang krijgen tot bedrijfsruimten, en relevant bewijs in beslag nemen. De Geschillenkamer kan waarschuwingen, berispingen, bevelen tot naleving, opschorting van gegevensverwerking, en administratieve boetes opleggen. De autoriteit heeft ook de bevoegdheid om dwangsommen op te leggen om naleving af te dwingen.

Een belangrijke beperking: op grond van artikel 221, paragraaf 2, van de Wet van 30 juli 2018 is artikel 83 van de AVG niet van toepassing op overheidsinstanties, behalve op publiekrechtelijke rechtspersonen die producten en diensten op een markt aanbieden. Het Grondwettelijk Hof verwierp een beroep tot vernietiging van die bepaling in arrest 3/2021 van 14 januari 2021, met de overweging dat het onderscheid op een objectief criterium berust en niet zonder redelijke verantwoording is, in het bijzonder omdat het de bevoegdheid van de toezichthoudende autoriteit om corrigerende maatregelen te nemen op grond van artikel 58, lid 2, van de AVG onverlet laat. De GBA kan nog wel bevelen en berispingen uitvaardigen tegen overheidsinstanties.

Strategisch plan 2026-2028 van de GBA: handhaving met systemische impact

De GBA publiceerde een nieuw strategisch plan voor 2026-2028 dat een belangrijke verschuiving in de handhavingsfilosofie markeert. In plaats van individuele klachten reactief te behandelen, wil de GBA zich richten op onderzoeken met systemische impact in sectoren met het grootste potentieel voor wijdverspreide privacyschade.

Het plan stelt twee inhoudelijke prioriteiten vast in plaats van een lijst van sectoren: grootschalige gegevensverwerking, in de publieke of de private sector, die een hoog risico inhoudt voor de rechten en vrijheden van personen, en de verwerking van persoonsgegevens van minderjarigen. De eigen voorbeelden van grootschalige verwerking in het plan omvatten gezondheidsgegevens bij ziekenhuizen en zorgnetwerken, profilering in het bank- en verzekeringswezen, reserveringssystemen en dossierbeheersystemen van huisartsenpraktijken, fiscale databanken, en advertentietechnologie en andere grootschalige verwerking door databrokers.

De autoriteit zal vaker proactief inspecties starten in plaats van op klachten te wachten. Klachten die zich daartoe lenen, worden door de Eerstelijnsdienst naar bemiddeling geleid, met brieven die verwerkingsverantwoordelijken herinneren aan de toepasselijke regels en met een gestructureerde dialoog tussen de partijen, waarbij dwingende maatregelen voorrang krijgen wanneer bemiddeling mislukt. De Eerstelijnsdienst krijgt ook meer beoordelingsruimte over de vraag of een onopgeloste klacht naar de Inspectiedienst gaat dan wel rechtstreeks naar de Geschillenkamer. Voor de specifieke regels over bewakingscamera’s, de aangifteplicht en de werkvloer, zie onze gids over camerabewaking in België, naast onze bredere behandeling van het Belgisch recht.

Wegens een aanwervingsstop tot 2029 zal de GBA niet langer systematisch reageren op individuele vragen van organisaties. In plaats daarvan zal zij openbare veelgestelde vragen, checklists en sectorspecifieke richtsnoeren opstellen, waardoor de primaire verantwoordelijkheid voor rechtszekerheid bij organisaties en hun functionarissen voor gegevensbescherming komt te liggen.

Rechtmatige verwerking van bijzondere categorieën: gezondheids-, biometrische en genetische gegevens

De Wet van 30 juli 2018 legt extra verplichtingen op aan verwerkingsverantwoordelijken die bijzondere categorieën van gegevens verwerken zoals omschreven in artikel 9 van de AVG, met name gezondheidsgegevens, genetische gegevens, en biometrische gegevens die worden gebruikt voor eenduidige identificatie.

Naast de vereisten van de AVG schrijft het Belgische recht voor dat verwerkingsverantwoordelijken een actueel toegangslogboek bijhouden waarin iedere persoon wordt vermeld die gemachtigd is om bijzondere categorieën van gegevens te raadplegen, met vermelding van de categorieën waartoe elke persoon toegang heeft. Alle personen met toegang moeten gebonden zijn aan wettelijke of contractuele vertrouwelijkheidsverplichtingen. Deze toegangslogboeken moeten op verzoek van de GBA beschikbaar worden gesteld.

De GBA handhaaft deze vereisten in de praktijk. In een beslissing van 6 september 2024 (Beslissing 114/2024) legde zij een werkgever een boete van 45.000 euro op wegens het gebruik van een tijdsregistratiesysteem op basis van vingerafdrukken zonder geldige rechtsgrond voor de verwerking van biometrische gegevens. In een beslissing van december 2024 legde de GBA een ziekenhuis een boete van 200.000 euro op wegens het niet nemen van passende beveiligingsmaatregelen, wat leidde tot een ransomware-aanval waarbij gezondheidsgegevens van ongeveer 300.000 personen werden blootgesteld.

Vereisten voor de functionaris voor gegevensbescherming in België

België volgt de verplichte aanstellingscriteria van artikel 37 van de AVG, aangevuld met nationale vereisten op grond van de Wet van 30 juli 2018.

Verplichte aanstelling op grond van artikel 37 AVG

Een functionaris voor gegevensbescherming moet worden aangesteld wanneer:

• de gegevensverwerking wordt uitgevoerd door een overheidsinstantie of overheidsorgaan (met uitzondering van gerechten in de uitoefening van hun rechterlijke functie)
• de kernactiviteiten regelmatige en stelselmatige, grootschalige observatie van betrokkenen vereisen
• de kernactiviteiten bestaan uit grootschalige verwerking van bijzondere categorieën van gegevens of van gegevens over strafrechtelijke veroordelingen

Aanvullende Belgische vereisten

Naast de AVG-verplichtingen schrijft het Belgische nationale recht de aanstelling van een functionaris voor gegevensbescherming voor in twee bijkomende gevallen:

• wanneer een privaatrechtelijk lichaam persoonsgegevens verwerkt namens een federale overheidsinstantie, en de verwerking waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van personen
• wanneer de verwerking archivering in het algemeen belang, wetenschappelijk of historisch onderzoek, of statistische doeleinden betreft die waarschijnlijk een hoog risico met zich meebrengen

Onafhankelijkheid en registratie van de functionaris

De GBA is bijzonder actief geweest in het handhaven van de onafhankelijkheidsvereisten voor de functionaris voor gegevensbescherming. De Proximus-beslissing van 2020 stelde vast dat het combineren van de FG-functie met functies zoals audit, risico, of compliance een ontoelaatbaar belangenconflict creëert op grond van artikel 38, lid 6, van de AVG. De functionaris moet rechtstreeks rapporteren aan het hoogste managementniveau en mag geen instructies ontvangen over de uitoefening van zijn taken.

Organisaties die verplicht zijn een functionaris aan te stellen, moeten deze registreren bij de GBA. Na de lancering van het nieuwe GBA-portaal op 10 juni 2025 mag elke organisatie via het portaal slechts één functionaris per verwerkingsverantwoordelijke registreren. Functionarissen moeten controleren of hun registratie op het nieuwe platform juist is.

Vereisten voor de melding van datalekken

België volgt het standaard meldingskader van de AVG, maar heeft via de GBA procedurele verfijningen doorgevoerd.

Melding aan de autoriteit

Op grond van artikel 33 van de AVG moeten verwerkingsverantwoordelijken de GBA zonder onredelijke vertraging en uiterlijk binnen 72 uur na het ontdekken ervan op de hoogte stellen van een inbreuk in verband met persoonsgegevens. De enige uitzondering geldt wanneer het onwaarschijnlijk is dat de inbreuk een risico inhoudt voor de rechten en vrijheden van de betrokken personen.

Nieuw meldpunt (juni 2025)

De GBA lanceerde op 10 juni 2025 een nieuw uniform meldpunt voor datalekken. Organisaties moeten een enkel bedrijfsaccount aanmaken op het portaal, geauthenticeerd via de Belgische Federale Authenticatiedienst (FAS) met de Belgische eID of itsme. Het portaal bundelt meldingen van datalekken en registratie van functionarissen op één platform. Organisaties die voorheen het oudere, formuliergebaseerde systeem in twee delen (Deel 1 / Deel 2) gebruikten, moeten nu via dit portaal werken.

De GBA staat slechts één bedrijfsaccount per verwerkingsverantwoordelijke toe en slechts één registratie van een functionaris per verwerkingsverantwoordelijke. Had een organisatie onder het oude systeem meerdere FG-registraties, dan blijft alleen de meest recente registratie behouden.

Vereiste informatie

De melding aan de GBA moet het volgende bevatten:

• een beschrijving van de aard van de inbreuk, met inbegrip van de categorieën en het geschatte aantal betrokken personen en gegevensrecords
• de naam en contactgegevens van de functionaris voor gegevensbescherming of een ander contactpunt
• een beschrijving van de waarschijnlijke gevolgen van de inbreuk
• de maatregelen die zijn genomen of worden voorgesteld om de inbreuk aan te pakken en de gevolgen ervan te beperken

Melding aan betrokkenen

Wanneer een inbreuk waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van personen, moet de verwerkingsverantwoordelijke de inbreuk ook zonder onredelijke vertraging, in duidelijke en eenvoudige taal, meedelen aan de betrokken personen.

Statistieken over datalekken

De GBA ontving in 2025 1.216 meldingen van datalekken, tegenover 1.455 in 2024. In datzelfde jaar ontving haar Eerstelijnsdienst 3.243 schriftelijke informatieverzoeken en 748 telefonische, hoewel de antwoordtermijnen historisch konden oplopen tot een jaar, wegens beperkte middelen onder het model dat gold vóór het strategisch plan.

Internationale doorgifte van gegevens

België volgt de regels van de AVG voor internationale doorgiften, zonder aanvullende nationale vereisten toe te voegen bovenop wat de verordening voorschrijft.

Doorgiften binnen de EER

Persoonsgegevens kunnen vrij bewegen tussen België en elke andere EU- of EER-lidstaat (Noorwegen, Liechtenstein, IJsland), zonder aanvullende waarborgen, mits de algemene AVG-beginselen worden nageleefd.

Doorgiften naar adequate landen

Doorgiften naar landen waarvoor de Europese Commissie een adequaatheidsbesluit heeft genomen op grond van artikel 45 van de AVG, kunnen plaatsvinden zonder specifieke machtiging. De landen en gebieden die momenteel als adequaat worden beschouwd, zijn Andorra, Argentinië, Brazilië, Canada (voor commerciële organisaties onder PIPEDA), de Faeröer, Guernsey, Israël, het eiland Man, Japan, Jersey, Nieuw-Zeeland, Zuid-Korea, Zwitserland, het Verenigd Koninkrijk, Uruguay, de Europese Octrooiorganisatie, en de Verenigde Staten (voor doorgiften aan organisaties op de lijst van het EU-VS Data Privacy Framework, vastgesteld bij Uitvoeringsbesluit (EU) 2023/1795 van de Commissie).

Twee recente wijzigingen zijn van belang voor Belgische exporteurs. Het adequaatheidsbesluit voor Brazilië werd aangenomen op 26 januari 2026, zodat doorgiften naar Brazilië geen waarborgen op grond van artikel 46 meer vereisen. De twee besluiten voor het Verenigd Koninkrijk, één onder de AVG en één onder de richtlijn inzake rechtshandhaving, werden op 19 december 2025 verlengd. Adequaatheidsbesluiten blijven onderhevig aan toetsing en betwisting, dus raadpleeg de adequaatheidspagina van de Europese Commissie voordat u erop vertrouwt.

Doorgiften die waarborgen vereisen

Voor doorgiften naar landen zonder adequaatheidsbesluit moeten organisaties passende waarborgen toepassen, zoals:

• standaardcontractbepalingen (SCC's) vastgesteld door de Europese Commissie
• bindende bedrijfsvoorschriften (BCR's) goedgekeurd door de bevoegde toezichthouder
• gedragscodes of certificeringsmechanismen

Een transfer impact assessment is vereist wanneer op SCC's of BCR's wordt vertrouwd, om na te gaan of het rechtskader van het ontvangende land de geboden bescherming niet ondermijnt. Voorafgaande goedkeuring van de GBA is niet vereist bij gebruik van SCC's of bij doorgifte naar adequate rechtsgebieden.

Cookies en elektronische privacy

De Belgische cookieregels vloeien voort uit artikel 10/2 van de Wet van 30 juli 2018, die de EU ePrivacy-richtlijn (Richtlijn 2002/58/EG) omzet. De Wet van 13 juni 2005 betreffende de elektronische communicatie, het Wetboek van Economisch Recht, en het Koninklijk Besluit van 4 april 2003 bevatten eveneens relevante bepalingen. Het Belgisch Instituut voor postdiensten en telecommunicatie (BIPT) heeft gedeelde bevoegdheid over elektronische communicatie.

Toestemmingsvereisten

Cookies en vergelijkbare trackingtechnologieën vereisen:

• duidelijke en volledige informatie aan de gebruiker over de doeleinden van de gegevensverwerking en zijn rechten
• geïnformeerde toestemming van de gebruiker voordat niet-essentiële cookies worden geplaatst
• de mogelijkheid voor gebruikers om hun toestemming te allen tijde kosteloos in te trekken

Strikt noodzakelijke cookies, dat wil zeggen cookies die essentieel zijn voor het verzenden van een communicatie of het leveren van een door de gebruiker uitdrukkelijk gevraagde dienst, zijn vrijgesteld van de toestemmingsvereiste.

Handhavingsfocus

Cookiebanners leidden tot twee opvallende beslissingen in 2024, tegen RTL Belgium en Mediahuis, en de GBA publiceert een cookiechecklist die uiteenzet hoe een conforme banner eruitziet. Geen van beide beslissingen hield stand, en cookies behoren niet tot de twee inhoudelijke prioriteiten in het strategisch plan 2026-2028 van de GBA.

De GBA seponeert ook klachten van NOYB over cookies. Op 14 juli 2026 maakte zij bekend dat het Europees Comité voor gegevensbescherming haar had opgedragen een klacht van NOYB over de cookies op de website van de Vlaamse openbare omroep VRT ten gronde te onderzoeken, terwijl de GBA die klacht wilde seponeren op basis van Belgische rechtspraak en van wat zij als misbruik van het klachtrecht beschouwde.

Regels voor direct marketing

De GBA publiceerde in februari 2020 een aanbeveling van 80 pagina's over direct marketing. In maart 2025 publiceerde zij het ontwerp van Aanbeveling 01/2025 om de richtsnoeren te actualiseren in overeenstemming met nieuwe rechtspraak, beslissingen van de Geschillenkamer, en EDPB-richtsnoeren, en organiseerde zij daarover een openbare raadpleging van 10 maart tot 10 mei 2025. De GBA heeft die aanbeveling intussen definitief vastgesteld (op de omslag staat het nummer 01/2026); zij vervangt Aanbeveling 01/2020 als de huidige richtsnoer over direct marketing en voegt een nieuwe definitie van direct marketing toe, meer detail over bewaartermijnen, en een onderdeel over consent-or-pay.

Directmarketingcommunicatie via e-mail, sms, of geautomatiseerde belsystemen vereist doorgaans voorafgaande opt-intoestemming op grond van de ePrivacy-richtlijn. De Belgische omzetting volgt de standaard EU-aanpak: elektronische business-to-consumermarketing vereist toestemming, met een beperkte uitzondering voor bestaande klantrelaties waarbij de marketing betrekking heeft op soortgelijke producten of diensten.

De rechtsgrond gerechtvaardigd belang van de AVG kan bepaalde directmarketingactiviteiten ondersteunen, maar de richtsnoeren van de GBA benadrukken dat organisaties een gedocumenteerde belangenafweging moeten uitvoeren en duidelijke opt-outmechanismen moeten bieden. In Beslissing 72/2025 oordeelde de GBA dat het beroep van een B2B-databroker op gerechtvaardigd belang voor de verwerking van het e-mailadres van een persoon niet gerechtvaardigd was, en legde zij voor die specifieke schending een boete van 8.000 euro op. In beroep bevestigde het Marktenhof dat er geen geldige rechtsgrond bestond, maar verlaagde het die boete tot 6.000 euro, bij arrest 2025/AR/892 van 17 december 2025.

Gegevensbescherming in de arbeidsrelatie

België hanteert een bijzondere aanpak van gegevensbescherming op de werkvloer door bescherming te verankeren via collectieve arbeidsovereenkomsten (cao's), onderhandeld binnen de Nationale Arbeidsraad. Deze overeenkomsten krijgen kracht van wet zodra zij bij koninklijk besluit worden goedgekeurd.

Belangrijke cao's die gegevensbescherming op de werkvloer regelen, zijn onder meer:

• Cao nr. 38: regelt gegevensbescherming bij werving en selectie van personeel
• Cao nr. 68: regelt camerabewaking op de werkvloer
• Cao nr. 81: regelt de controle op elektronische onlinecommunicatiegegevens door werkgevers, met inbegrip van e-mail- en internetgebruik
• Cao nr. 100: betreft gegevensverwerking in het kader van het alcohol- en drugsbeleid

Het consistente standpunt van de GBA is dat werkgevers zich niet kunnen beroepen op toestemming van de werknemer als rechtsgrond voor verwerking, gelet op de machtsongelijkheid die inherent is aan de arbeidsrelatie. Werkgevers beroepen zich doorgaans op een wettelijke verplichting (cao-verplichtingen, sociale zekerheid, belastingrecht) of op gerechtvaardigd belang, met een zorgvuldig gedocumenteerde belangenafweging in het verwerkingsregister.

Handhaving van de AVG in België: opvallende boetes en zaken

Het handhavingsdossier van België toont aan dat de GBA schendingen in alle sectoren serieus neemt, ook al blijven de totale boetebedragen bescheiden vergeleken met grotere EU-lidstaten zoals Frankrijk of Ierland.

Google België: 600.000 euro (2020), vernietigd in beroep

De GBA legde haar hoogste individuele boete op aan Google Belgium SA in juli 2020, wegens het niet honoreren van het recht van een Belgische burger om vergeten te worden op grond van artikel 17 van de AVG. Een publieke figuur verzocht Google om verouderde artikelen over een ongefundeerde klacht wegens intimidatie te verwijderen uit de zoekresultaten. De Geschillenkamer oordeelde dat Google nalatig had gehandeld en bekritiseerde het gebrek aan transparantie in het verwijderingsformulier van Google, dat er niet in slaagde de verwerkingsverantwoordelijke duidelijk te identificeren. Naast de boete van 600.000 euro gelastte de GBA Google om de betreffende links uit de zoekresultaten binnen de Europese Economische Ruimte te verwijderen en haar verwijderingsformulier te herzien.

De boete hield geen stand. Op 30 juni 2021 vernietigde het Marktenhof Beslissing 37/2020 bij arrest 2020/AR/1111, met de overweging dat de GBA onvoldoende had gemotiveerd waarom zij de Belgische dochteronderneming bestrafte, die geen rol speelde in het bepalen van de doeleinden en de middelen van de verwerking. De zaak ging terug naar de GBA.

Proximus: belangenconflict functionaris, 50.000 euro (2020)

De GBA legde telecomoperator Proximus een boete van 50.000 euro op wegens schending van artikel 38, lid 6, van de AVG. Proximus had een functionaris voor gegevensbescherming aangesteld die tegelijk optrad als directeur audit, risico en compliance. De GBA oordeelde dat deze dubbele rol een ontoelaatbaar belangenconflict opleverde. Deze beslissing werd binnen de EU op grote schaal aangehaald als referentiepunt voor de onafhankelijkheidsvereisten van de functionaris.

Proximus: schendingen bij openbare telefoongidsen, 20.000 euro (2020), boete vervangen door een berisping

In een afzonderlijke zaak legde de GBA Proximus een boete van 20.000 euro op wegens het publiceren van de persoonsgegevens van een burger in openbare telefoongidsen nadat de betrokkene zijn toestemming had ingetrokken, in strijd met de artikelen 6, 7, 24 en 5, lid 2, van de AVG inzake rechtmatigheid en verantwoording, en de artikelen 12 en 13 inzake transparantie. Met gebruikmaking van zijn volle rechtsmacht verving het Marktenhof die administratieve boete door een berisping, bij arrest 2020/AR/1160 van 6 september 2023.

IAB Europe: Transparency and Consent Framework (2022 tot 2026)

Deze meerjarige zaak illustreert de complexiteit van handhaving in het databroker-ecosysteem. In februari 2022 legde de GBA IAB Europe een boete van 250.000 euro op en gelastte zij haar het Transparency and Consent Framework (TCF) in overeenstemming te brengen met de AVG.

Op 14 mei 2025 onderschreef het Belgische Marktenhof (zetelend als onderdeel van het Hof van Beroep te Brussel) de redenering van de GBA, bevestigde het de inbreuken die de Geschillenkamer had vastgesteld, en bevestigde het de boete van 250.000 euro. Beslissing 21/2022 werd enkel om procedurele redenen formeel vernietigd, waardoor het uitvoeringsplan terugkeert naar de Geschillenkamer.

Het hof volgde het Hof van Justitie van de EU in zaak C-604/22 van 7 maart 2024, dat oordeelde dat een TC String een persoonsgegeven is en dat IAB Europe gezamenlijke verwerkingsverantwoordelijke kan zijn voor de verwerking van de advertentievoorkeuren van gebruikers. Het enige punt waarop het hof de GBA in het ongelijk stelde, is de gezamenlijke verwerkingsverantwoordelijkheid voor verwerking die volledig binnen het OpenRTB-protocol plaatsvindt.

Op 9 januari 2026 deed het Marktenhof een verdere uitspraak, waarbij het de goedkeuring door de GBA van januari 2023 van het actieplan van IAB Europe vernietigde.

Databroker: 174.640 euro (Beslissing 07/2024)

In Beslissing 07/2024 legde de GBA een databroker een boete van 174.640 euro op wegens het niet verstrekken van specifieke informatie over gegevensbronnen en ontvangers. Deze zaak weerspiegelt de toenemende aandacht van de GBA voor de databrokersector binnen haar strategische transparantieprioriteiten.

Biometrische gegevens: werkgever beboet voor 45.000 euro (Beslissing 114/2024)

In Beslissing 114/2024 legde de GBA een werkgever een boete van 45.000 euro op wegens het gebruik van een tijdsregistratiesysteem op basis van vingerafdrukken zonder geldige rechtsgrond voor de verwerking van biometrische gegevens op grond van artikel 9 AVG.

RTL Belgium en Mediahuis: cookiebanners (2024 tot 2025)

In twee parallelle beslissingen op klachten van NOYB oordeelde de Geschillenkamer van de GBA dat de cookiebanners van RTL Belgium en van de nieuwssites van Mediahuis niet conform waren, omdat zij op de eerste laag van de banner geen mogelijkheid boden om niet-essentiële cookies te weigeren en een knopkleuring gebruikten die gebruikers naar aanvaarding duwde, wat de kamer als misleidend ontwerp aanmerkte. Zij gelastte beide verwerkingsverantwoordelijken hun banners in overeenstemming te brengen en verbond aan elk bevel een dwangsom. Een dwangsom is volledig voorwaardelijk: zij wordt pas opeisbaar als de verwerkingsverantwoordelijke niet voldoet. In geen van beide zaken werd een administratieve boete opgelegd.

Geen van beide beslissingen leverde een blijvende sanctie op. Het Marktenhof vernietigde de beslissing over Mediahuis (113/2024) bij arrest 2024/AR/1690 van 19 maart 2025. De Geschillenkamer trok de beslissing over RTL (131/2024) op 24 maart 2025 in en seponeerde de klacht in Beslissing 138/2025 van 1 september 2025 op opportuniteitsgronden, nadat NOYB de klacht had ingetrokken in het licht van de wijzigingen die RTL aan haar banner had aangebracht. De eisen voor banners die de twee beslissingen uiteenzetten, blijven wat de GBA verwacht, maar de zaken eindigden zonder sanctie.

Ziekenhuis: 200.000 euro (december 2024)

In een beslissing van 17 december 2024 legde de GBA een niet met naam genoemd Belgisch ziekenhuis een boete van 200.000 euro op wegens het niet nemen van passende cyberbeveiligingsmaatregelen na een ransomware-aanval in 2021 waarbij gezondheidsgegevens van ongeveer 300.000 personen werden blootgesteld. Het ziekenhuis had al in 2019 een eerdere ransomware-aanval ondergaan. De GBA stelde vast dat het ziekenhuis geen samenhangend informatiebeveiligingsbeleid had, geen DPIA had uitgevoerd, en geen personeelstraining, monitoring van systeemlogboeken, of cyberbeveiligingsaudits had ingevoerd. De GBA stelde aanvankelijk een boete van 3.000.000 euro voor, verlaagd tot 200.000 euro om rekening te houden met de omzet van het ziekenhuis. Deze zaak is bijzonder relevant voor verwerkingsverantwoordelijken in de Belgische gezondheidszorg.

Databroker: Beslissing 72/2025 (22 april 2025)

In Beslissing 72/2025 legde de GBA een B2B-databroker een boete van 20.000 euro op wegens de onrechtmatige verwerking van het e-mailadres van een betrokkene en verschillende gerelateerde schendingen: 8.000 euro voor onrechtmatige verwerking (artikelen 5, lid 1, a, 5, lid 2, 6, lid 1); 6.000 euro wegens het niet nakomen van transparantieverplichtingen (artikelen 5, lid 2, 12, lid 1, 14, lid 1, 14, lid 2, 24, lid 1, 25, lid 1); en 6.000 euro wegens het niet beantwoorden van een inzageverzoek (artikel 15, lid 1). De GBA oordeelde dat het beroep van de verwerkingsverantwoordelijke op gerechtvaardigd belang de verwerking niet kon rechtvaardigen.

Dat totaal geldt niet meer. Bij arrest 2025/AR/892 van 17 december 2025 vernietigde het Marktenhof de beslissing gedeeltelijk, zette het de vaststelling inzake transparantie en de daaraan verbonden boete van 6.000 euro opzij, en verlaagde het de twee overige boetes tot 6.000 euro en 4.000 euro. Het jaarverslag 2025 van de GBA vermeldt de uitkomst als een bevestiging dat er geen geldige rechtsgrond bestond, met een verlaagd totaal van 10.000 euro.

Hervorming van de boetemethodologie

De Belgische boetebedragen zijn historisch bescheiden gebleven vergeleken met andere EU-landen. Een arrest van het Belgische Marktenhof van 14 juni 2023 verlaagde een GBA-boete van 10.000 euro tot een symbolische 1 euro, omdat de GBA de evenredigheid van de boete onvoldoende had onderbouwd. Deze uitspraak zette de GBA ertoe aan om openlijk over te stappen op een vijfstappen-boetemethodologie, in overeenstemming met de EDPB-richtsnoeren 04/2022, die hogere startpercentages hanteert dan de GBA historisch heeft toegepast. Wordt deze formeel aangenomen, dan zullen toekomstige Belgische AVG-boetes waarschijnlijk aanzienlijk hoger uitvallen.

Sancties en straffen

Het Belgische sanctiekader werkt op twee sporen: administratieve boetes op grond van de AVG en strafrechtelijke sancties op grond van nationaal recht.

Administratieve boetes

De AVG voorziet in twee categorieën administratieve boetes:

Lagere categorie (art. 83, lid 4): tot 10 miljoen euro of 2% van de totale wereldwijde jaaromzet, indien dit hoger is. Dit geldt voor schendingen van de verplichtingen van verwerkingsverantwoordelijken en verwerkers, verplichtingen van certificeringsinstellingen, en verplichtingen van toezichthoudende organen.

Hogere categorie (art. 83, leden 5-6): tot 20 miljoen euro of 4% van de totale wereldwijde jaaromzet, indien dit hoger is. Dit geldt voor schendingen van de beginselen van gegevensverwerking, de rechtmatigheid van de verwerking, de voorwaarden voor toestemming, de rechten van betrokkenen, en de regels voor internationale doorgifte van gegevens.

De GBA volgt een vijfstappen-boetemethodologie: (1) de inbreuken vaststellen; (2) het uitgangspunt voor de berekening bepalen; (3) verzachtende of verzwarende omstandigheden toepassen; (4) toetsen aan de wettelijke maxima; (5) doeltreffendheid, afschrikking en evenredigheid beoordelen. De GBA heeft aangegeven deze methodologie te willen afstemmen op de EDPB-richtsnoeren 04/2022, wat toekomstige boetebedragen aanzienlijk kan verhogen.

Vrijstelling voor de publieke sector

Overheidsinstanties en publiekrechtelijke organen in België zijn doorgaans vrijgesteld van administratieve boetes op grond van de AVG, behalve wanneer zij goederen of diensten aanbieden op de vrije markt in concurrentie met private entiteiten. Het Grondwettelijk Hof verwierp een beroep tot vernietiging van artikel 221, paragraaf 2, van de Wet van 30 juli 2018 in arrest 3/2021 van 14 januari 2021, met de overweging dat het onderscheid op een objectief criterium berust en niet zonder redelijke verantwoording is. De GBA kan nog altijd waarschuwingen, berispingen en nalevingsbevelen uitvaardigen tegen entiteiten uit de publieke sector.

Strafrechtelijke sancties

De Wet van 30 juli 2018 voert strafrechtelijke sancties in voor bijzonder ernstige schendingen. Titel 6, hoofdstuk II stelt de geldboetes per strafbaar feit vast: 250 tot 15.000 euro op grond van artikel 222 (verwerking zonder rechtsgrond, het negeren van corrigerende maatregelen, het belemmeren van de toezichthoudende autoriteit, misbruik van certificering), 500 tot 30.000 euro op grond van artikel 223, 200 tot 10.000 euro op grond van artikel 224 (schending van de vertrouwelijkheid door leden of personeel van de toezichthoudende autoriteit), 100 tot 10.000 euro op grond van artikel 226, en 100 tot 20.000 euro op grond van artikel 227.

Dat zijn nominale bedragen. Belgische strafrechtelijke geldboetes worden verhoogd met de opdeciemen die gelden op het ogenblik van de veroordeling, zodat het werkelijk opgelegde bedrag een veelvoud is van het cijfer in de wet. Het hoogste plafond in de regeling is dat van artikel 223. Op grond van artikel 225 kan de rechter ook de publicatie van het vonnis als bijkomende sanctie gelasten. Strafrechtelijke procedures worden behandeld door het gewone strafrechtelijke systeem, niet door de GBA.

De EU AI-verordening: rol van BIPT en GBA

De EU AI-verordening (Verordening (EU) 2024/1689) is in België van toepassing zoals in alle EU-lidstaten. België heeft stappen gezet om zijn nationale toezichtstructuur aan te wijzen, al was dit proces nog niet voltooid tegen de deadline van 2 augustus 2025.

BIPT als beoogde markttoezichthouder

Het Federaal Regeerakkoord 2025-2029 van 31 januari 2025 kondigde aan dat het Belgisch Instituut voor postdiensten en telecommunicatie (BIPT) de voornaamste markttoezichthouder van België onder de EU AI-verordening wordt. Die aanwijzing is nog niet formeel gebeurd. De FOD Economie coördineert de algemene uitvoering van de EU AI-verordening. De door de Europese Commissie gepubliceerde lijst van centrale contactpunten voor markttoezicht onder de AI-verordening, laatst bijgewerkt op 7 september 2026, bevat nog steeds geen vermelding voor België, zodat de formele aanwijzing op grond van artikel 70 van de AI-verordening uitblijft, ruim na de deadline van 2 augustus 2025.

De rol van het BIPT omvat markttoezicht om ervoor te zorgen dat AI-systemen die op de Belgische markt worden gebracht, voldoen aan de vereisten van de EU AI-verordening. Dit omvat toezicht op hoogrisico-AI-systemen in sectoren buiten het traditionele telecommunicatiedomein van het BIPT, en het wordt naar verwachting het centrale handhavingsorgaan voor AI zodra België de aanwijzing afrondt.

Rol van de GBA voor AI-systemen die persoonsgegevens verwerken

De GBA behoudt haar toezichtsfunctie inzake gegevensbescherming voor AI-systemen die persoonsgegevens verwerken of geautomatiseerde profilering uitvoeren. Op grond van artikel 77 van de EU AI-verordening heeft België 21 specifieke instanties aangewezen om toezicht te houden op hoogrisico-AI-systemen waarbij grondrechten op het spel staan; de GBA is de bevoegde instantie wanneer die systemen persoonsgegevens verwerken. Deze duale toezichtstructuur betekent dat AI-systemen die persoonsgegevens verwerken, zowel moeten voldoen aan de AVG (toezicht door de GBA) als aan de technische en risicobeheervereisten van de EU AI-verordening (toezicht door het BIPT).

Belangrijke nalevingstermijnen voor Belgische organisaties

Verordening (EU) 2026/1744 van 8 juli 2026, de Digital Omnibus inzake AI, wijzigde artikel 113 van de AI-verordening en schoof de data voor hoogrisicosystemen op. Het BIPT publiceert de gefaseerde tijdlijn als volgt:

• 2 februari 2025: verboden AI-praktijken worden verboden (subliminale manipulatie, social scoring, bepaalde vormen van biometrische identificatie), plus de verplichting inzake AI-geletterdheid
• 2 augustus 2025: verplichtingen voor GPAI-modellen, governance, sancties, aanmeldende autoriteiten en aangemelde instanties gaan gelden
• 2 augustus 2026: AI-systemen die niet hoogrisico zijn, het toezicht op de transparantieverplichtingen, en overige verplichtingen gaan gelden
• 2 december 2026: verboden praktijken inzake niet-consensuele seksuele beelden en materiaal van seksueel misbruik van kinderen gaan gelden
• 2 augustus 2027: de AI-testomgeving voor regelgeving moet zijn opgericht
• 2 december 2027: hoogrisico-AI-systemen opgesomd in bijlage III gaan gelden
• 2 augustus 2028: hoogrisico-AI die is ingebed in gereguleerde producten onder bijlage I gaat gelden, en de AI-verordening is volledig van toepassing

Sectorspecifieke autoriteiten

Naast het BIPT en de GBA houden sectorspecifieke autoriteiten toezicht op AI binnen hun eigen domein: het FAGG (Federaal Agentschap voor Geneesmiddelen en Gezondheidsproducten) voor AI in de farmaceutische en medische sector, en de FSMA (Autoriteit voor Financiële Diensten en Markten) voor AI in de financiële sector. Deze sectorale instanties opereren naast het BIPT binnen de bredere governancestructuur van de EU AI-verordening.

Recente ontwikkelingen (2024-2026)

Lancering portaal juni 2025: de GBA lanceerde op 10 juni 2025 een nieuw uniform portaal, dat meldingen van datalekken en registratie van functionarissen bundelt. Organisaties moeten zich authenticeren via de Belgische Federale Authenticatiedienst.

Uitspraak IAB Europe van 14 mei 2025: het Belgische Marktenhof onderschreef de redenering van de GBA en bevestigde de boete van 250.000 euro tegen IAB Europe, waarbij beslissing 21/2022 enkel op procedurele gronden formeel werd vernietigd. Het hof verwierp de gezamenlijke verwerkingsverantwoordelijkheid alleen voor verwerking die volledig binnen het OpenRTB-protocol plaatsvindt.

Tweede uitspraak IAB Europe van 9 januari 2026: een verdere uitspraak van het Marktenhof vernietigde de goedkeuring door de GBA van januari 2023 van het corrigerende actieplan van IAB Europe, waardoor het uitvoeringsplan terugkeert naar de Geschillenkamer. De boete en de vaststellingen die eraan ten grondslag liggen, blijven ongewijzigd.

Procedureverordening (EU) 2025/2518: deze nieuwe verordening, die op 1 januari 2026 in werking is getreden en van toepassing is vanaf 2 april 2027, voert bindende termijnen van 15 maanden in voor grensoverschrijdend AVG-onderzoek, en nieuwe procedurele rechten voor partijen. Organisaties met grensoverschrijdende activiteiten moeten hun interne processen voor het beantwoorden van vragen van toezichthouders herzien.

Strategisch plan 2026-2028 van de GBA: de GBA is formeel overgestapt van klachtgedreven naar op systemische impact gerichte handhaving. De twee vermelde inhoudelijke prioriteiten zijn grootschalige verwerking die een hoog risico inhoudt voor de rechten en vrijheden van personen, en de verwerking van gegevens van minderjarigen.

Hervorming van de boetemethodologie: na het arrest van het Marktenhof van juni 2023, waarbij een boete werd verlaagd tot 1 euro wegens ontoereikende motivering van de evenredigheid, is de GBA overgestapt op de openbaar gedocumenteerde vijfstappenmethodologie van de EDPB. Toekomstige boetes zullen daardoor waarschijnlijk hoger uitvallen.

Arrest 119/2025 van het Grondwettelijk Hof (18 september 2025): het Grondwettelijk Hof vernietigde de wettelijke grondslag waarop het intern reglement van de GBA de ontvankelijkheid van klachten en meldingen, de bemiddeling, de seponering en de opportuniteitsoverwegingen, de positie en de rechten van verdediging van de klager, het taalgebruik, en de handhaving van opgelegde maatregelen regelde. Die regels blijven enkel van kracht tot vervangende wetgeving, en uiterlijk tot 31 december 2026.

Alleenzetelende Geschillenkamer (april 2025): de Geschillenkamer werkt sinds 25 april 2025 met een alleenzetelende rechter in plaats van een kamer van drie leden, wat de efficiëntie per zaak kan verhogen, maar het totale aantal zaken dat de kamer jaarlijks kan behandelen kan verminderen.

Checklist zakelijke naleving voor België

Organisaties die onder het Belgische gegevensbeschermingsregime vallen, moeten de volgende punten aanpakken:

Documentatie van de rechtsgrond: identificeer en documenteer de rechtsgrond van artikel 6, lid 1, AVG voor elke verwerkingsactiviteit. Vermijd het beroepen op toestemming van werknemers voor verwerking in verband met de arbeidsrelatie. Voer een gedocumenteerde driedelige toets van het gerechtvaardigd belang (LIA) uit telkens wanneer op artikel 6, lid 1, f, wordt vertrouwd.

Aanstelling en registratie van de functionaris: ga na of artikel 37 van de AVG of het Belgische nationale recht een functionaris voor gegevensbescherming voorschrijft. Stel indien vereist een functionaris aan zonder belangenconflicten en registreer deze via het portaal van de GBA. Slechts één registratie per verwerkingsverantwoordelijke is toegestaan onder het nieuwe portaal.

Bijzondere categorieën van gegevens: stel bij de verwerking van gezondheids-, genetische of biometrische gegevens het door het Belgisch nationaal recht vereiste toegangslogboek op, bind alle gemachtigde personen aan vertrouwelijkheidsverplichtingen, en bewaar logboeken voor inspectie door de GBA.

Toestemmingsleeftijd: implementeer voor diensten van de informatiemaatschappij die aan kinderen worden aangeboden, mechanismen voor leeftijdsverificatie of ouderlijke toestemming voor gebruikers jonger dan 13 jaar. Voor gebruikers van 13 tot 15 jaar staat de Wet van 30 juli 2018 verwerking toe met toestemming van het kind, maar het Belgisch burgerlijk recht kan afhankelijk van de aard van de dienst nog steeds ouderlijke betrokkenheid vereisen.

Voorbereiding op datalekken: registreer op het nieuwe GBA-portaal met authenticatie via Belgische eID/itsme. Stel interne procedures op om inbreuken binnen 72 uur na ontdekking te identificeren, te beoordelen en te melden.

Cookienaleving: toets cookiebanners aan de gepubliceerde cookiechecklist van de GBA, met inbegrip van een mogelijkheid op de eerste laag om niet-essentiële cookies te weigeren en knoppen die gebruikers niet naar aanvaarding duwen. Zorg ervoor dat het intrekken van toestemming even eenvoudig is als het geven ervan.

Functionaris en monitoring op de werkvloer: zorg bij het monitoren van werknemerscommunicatie of het gebruik van cameratoezicht voor naleving van cao nr. 68 en cao nr. 81, en documenteer de rechtsgrond gerechtvaardigd belang en de noodzakelijkheid van de monitoring.

Gereedheid voor de EU AI-verordening: ga na of AI-systemen die door de organisatie worden ingezet, kwalificeren als hoogrisico onder de EU AI-verordening. Zorg ervoor dat verboden praktijken (sinds 2 februari 2025) niet worden gebruikt. Na Verordening (EU) 2026/1744 van 8 juli 2026 gelden de verplichtingen voor hoogrisicosystemen vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor hoogrisico-AI die is ingebed in gereguleerde producten. De GBA houdt toezicht op AI-systemen die persoonsgegevens verwerken; het BIPT houdt algemeen toezicht op het op de markt brengen van AI.

Grensoverschrijdende doorgiften: bewaar transfer impact assessments voor doorgiften op basis van SCC's of BCR's, en volg de juridische status van adequaatheidsbesluiten, in het bijzonder het EU-VS Data Privacy Framework.

Disclaimer

Dit artikel bevat algemene juridische informatie over het Belgische gegevensbeschermingsregime per september 2026. Het vormt geen juridisch advies. De beschreven wetten en regelgeving werden geverifieerd aan de hand van primaire bronnen op 9 september 2026. Op die datum had België nog steeds geen centraal contactpunt onder de AI-verordening aangemeld bij de Europese Commissie, en werden zowel de Belgische privacywet als de organieke wet van de GBA herzien naar aanleiding van arrest 119/2025 van het Grondwettelijk Hof. Organisaties dienen een advocaat te raadplegen die is toegelaten in België of het relevante EU-rechtsgebied voor advies over hun specifieke situatie.