GDPR in 2026: Stand van Zaken en Aandachtspunten voor KMO's
GDPR KMO 2026 — GDPR bestaat al since 2018, maar dat betekent niet dat u klaar bent. De regels scherpen aan, boetes stijgen en toezichthouders worden actiever. Waar moet uw KMO dit jaar op letten?
GDPR anno 2026: wat is er veranderd?
Acht jaar na de inwerkingtreding blijft de AVG (GDPR) actief evolueren. Toezichthouders zijn meer ervaren, sancties zijn hoger en nieuwe technologieën — zoals AI en uitgebreide tracking — stellen de regelgeving op de proef.
De Gegevensbeschermingsautoriteit (GBA) in België heeft haar handhavingsapparaat versterkt. Klachten worden sneller behandeld en proactieve controles zijn de norm geworden in bepaalde sectoren.
Meer handhaving
GBA behandelde in 2025 meer dan 1.800 klachten. Meldingen stijgen jaarlijks met 20%.
Hogere boetes
Gemiddelde boete in de EU steeg naar €1,2 miljoen in 2025. Belgische boetes namen toe.
AI Act & GDPR
De EU AI Act trad in werking. Combinatie met GDPR creëert nieuwe verplichtingen rond AI-systemen.
Recente boetes in België: cases die u moet kennen
Denkt u dat de GBA enkel grote bedrijven aanpakt? Denk opnieuw. Ook KMO's, zelfstandigen en vzw's ontvingen al boetes. Enkele illustratieve cases:
€50.000
KMO in de zorgsector
Onvoldoende beveiliging van patiëntgegevens. Geen verwerkingsregister bijgehouden en geen verwerkersovereenkomsten met softwareleveranciers.
€15.000
Vastgoedmakelaar
Klantgegevens werden te lang bewaard zonder rechtsgrond. Bezwaarrecht van betrokkenen werd niet gerespecteerd.
€10.000
Retailbedrijf
Illegale cookietrackers op de website. Geen geldige toestemming verkregen voor analytische en marketingcookies.
Waarschuwing + dwangsom
HR-software leverancier
Geen DPIA uitgevoerd voor hoog-risico verwerkingen. Na waarschuwing volgde een dwangsom van €1.000/dag.
Voorbeeldcases ter illustratie — representatief voor typische GDPR-inbreuken bij KMO's in België.
De 7 GDPR-principes herzien
De 7 basisprincipes van de GDPR liggen aan de basis van alle verplichtingen. Kent u ze nog?
Rechtmatigheid, behoorlijkheid en transparantie
U heeft een geldige rechtsgrond nodig voor elke verwerking: toestemming, contract, wettelijke verplichting, vitale belangen, publieke taak of gerechtvaardigd belang.
Doelbinding
Verzamel gegevens enkel voor een welbepaald, uitdrukkelijk en gerechtvaardigd doel. Gebruik ze niet voor andere doelen die onverenigbaar zijn met het oorspronkelijke doel.
Minimale gegevensverwerking
Verzamel enkel wat strikt noodzakelijk is. 'We bewaren het voor het geval dat' is geen geldige redenering.
Juistheid
Persoonsgegevens moeten accuraat en up-to-date zijn. Neem maatregelen om onjuiste gegevens onmiddellijk te corrigeren of te wissen.
Opslagbeperking
Bewaar gegevens niet langer dan nodig. Stel bewaartermiijnen in en verwijder gegevens automatisch of op vaste momenten.
Integriteit en vertrouwelijkheid
Beveilig persoonsgegevens technisch en organisatorisch. Denk aan encryptie, toegangsbeheer, MFA en back-ups.
Verantwoordingsplicht
U moet kunnen aantonen dat u de vorige principes naleeft. Documentatie is cruciaal — het verwerkingsregister, DPIA's en beleidsdocumenten zijn uw bewijs.
Verwerkingsregister: nog steeds vergeten
Het verwerkingsregister (art. 30 GDPR) is voor de meeste KMO's verplicht. Toch heeft een groot deel van de Belgische KMO's nog geen actueel register. Dit is één van de meest voorkomende tekortkomingen bij GDPR-audits.
Een verwerkingsregister is een intern document dat alle verwerkingsactiviteiten beschrijft. Het hoeft niet ingewikkeld te zijn — een goed Excel-bestand of een eenvoudige tool volstaat.
Wat staat er minimaal in?
- Naam en contactgegevens van de verwerkingsverantwoordelijke
- Doeleinden van de verwerking
- Categorieën van betrokkenen en persoonsgegevens
- Categorieën van ontvangers (inclusief verwerkers)
- Doorgifte naar derde landen (en safeguards)
- Bewaartermijnen
- Technische en organisatorische beveiligingsmaatregelen
Verwerkersovereenkomsten: uw checklist
Elke leverancier die persoonsgegevens verwerkt namens uw bedrijf, is een verwerker. Met elk van hen heeft u een verwerkersovereenkomst (DPA) nodig. Denk aan: uw cloud-provider, CRM-systeem, boekhoudsoftware, HR-tool, e-mailplatform, IT-beheerder.
Verwerkers die u waarschijnlijk heeft
- Microsoft 365 / Google Workspace
- CRM (Salesforce, HubSpot, ...)
- Boekhoudsoftware (Exact, Yuki, ...)
- HR-systeem / loonadministratie
- E-mailmarketing (Mailchimp, ...)
- IT-beheerder / MSP
- Webhosting & cloud provider
Wat controleert u in een DPA?
- Verwerking enkel op uw instructies
- Geheimhouding door medewerkers verwerker
- Passende beveiligingsmaatregelen
- Gebruik van sub-verwerkers (met uw toestemming)
- Hulp bij betrokkenenrechten
- Melding van inbreuken binnen 72 uur
- Verwijdering/teruggave na opdracht
Data breach meldingsplicht: de 72-uurgregel
Bij een datalek dat een risico inhoudt voor de betrokkenen, moet u dit binnen 72 uur melden aan de GBA. Dat klinkt ruim, maar de klok begint te lopen vanaf het moment dat u de inbreuk vaststelt — niet vanaf wanneer ze plaatsvond.
Stap 1
Vaststellen
Detecteer de inbreuk zo snel mogelijk. Investeer in monitoring en logging — u kunt een lek niet melden als u het niet ziet.
Stap 2
Beoordelen
Is er een risico voor betrokkenen? Persoonlijke data gelekt? Medische of financiële gegevens? Dan is melding verplicht.
Stap 3
Melden (72u)
Meld via de beveiligde webapplicatie van de GBA (gba.be). U mag een initiële melding doen en later aanvullen.
Stap 4
Betrokkenen informeren
Als het risico hoog is, moeten ook de betrokkenen zelf persoonlijk worden geïnformeerd — in begrijpelijke taal.
Stap 5
Documenteren
Leg de inbreuk, de omvang, de oorzaak en de genomen maatregelen schriftelijk vast — ook als u niet hoeft te melden.
Betrokkenenrechten: bent u voorbereid?
De GDPR geeft betrokkenen (uw klanten, medewerkers, leveranciers) zes rechten. U moet in staat zijn elk verzoek tijdig en correct af te handelen.
Recht op inzage
Iedereen kan vragen welke gegevens u van hen heeft. Reactietermijn: 30 dagen.
Recht op rectificatie
Onjuiste gegevens moeten gecorrigeerd worden op eerste verzoek.
Recht op wissing ('vergeten')
In bepaalde gevallen moet u gegevens verwijderen — maar niet als er een wettelijke bewaarplicht geldt.
Recht op beperking
Betrokkene kan vragen verwerking tijdelijk stop te zetten terwijl een klacht loopt.
Recht op overdraagbaarheid
Gegevens in een machineleesbaar formaat opvragen en overdragen aan een andere aanbieder.
Recht van bezwaar
Betrokkene kan bezwaar maken tegen verwerking op basis van gerechtvaardigd belang of direct marketing.
AI en GDPR: nieuwe uitdagingen met ChatGPT en Copilot
De opkomst van AI-tools als Microsoft Copilot, ChatGPT en andere assistenten stelt KMO's voor nieuwe GDPR-uitdagingen. De centrale vraag: wat mag u invoeren in deze tools?
Niet invoeren in AI-tools
- Klantnamen + contactgegevens
- Financiële gegevens van personen
- Medische of HR-informatie
- Wachtwoorden en credentials
- Vertrouwelijke contracten met persoonsdata
Veilig gebruik van AI
- Microsoft 365 Copilot (data blijft binnen uw tenant)
- Geanonimiseerde of gepseudonimiseerde data
- Algemene vragen zonder persoonsgegevens
- Interne procesbeschrijvingen zonder namen
- AI-beleid opstellen voor medewerkers
De DPO: wanneer verplicht voor uw KMO?
Een Data Protection Officer (DPO) of functionaris voor gegevensbescherming (FG) is verplicht in drie gevallen:
Overheidsinstantie of publiekrechtelijk orgaan
Altijd verplicht, ongeacht de omvang.
Grootschalige verwerking van bijzondere categorieën
Bijv. gezondheidsgegevens, biometrische data, politieke overtuigingen — als dit uw kernactiviteit is.
Grootschalige en systematische monitoring
Bijv. een bedrijf dat zijn medewerkers of klanten structureel monitort via camera's, locatiedata of gedragsanalyse.
GDPR-compliance checklist voor KMO's in 2026
Gebruik deze checklist om te evalueren waar uw KMO staat. Kan u elk punt afvinken?
Fundament
Verwerkers & leveranciers
Beveiliging
Betrokkenenrechten
Website & marketing
AI & nieuwe technologieën