Content type · 49 documents in this view · 3,811 in total
Enforcement
Regulatory actions, fines, warnings, and enforcement decisions
Filter by Topic Supervisory Authorities 45 Supervision 44 Personal Data 42 Processing 28 Controllers 27 Security 26 Healthcare 22 Processing Agreement 20 Public Authority 20 Law Enforcement 18 Health Data 16 Education 15
€825M Uber Technologies Inc.: Niet-naleving van de algemene beginselen van gegevensverwerking ⇄ Art. 22 AVG, Art. 13 AVG, Art. 14 AVG · Sector: Vervoer en energie · Beslist op 2026-08-21 The Netherlands · ·Art. 13, 14, 22 Aug 21, 2026
€825M AP (Nederland) - Uber B.V. en Uber Technologies Inc. ⇄ De DPA heeft Uber een boete van 824,99 miljoen euro opgelegd wegens het automatisch deactiveren van chauffeursaccounts zonder menselijke tussenkomst, hetgeen in strijd is met… Netherlands ·Art. 22 Aug 21, 2026
Bindend Besluit 1/2026 ⇄ Op 10 augustus 2021 diende een betrokkene, vertegenwoordigd door noyb, een klacht in bij de Oostenrijkse toezichthoudende autoriteit (DPA) tegen Vlaamse Radio- en… Binding Decision 1/2026 ·European Union · May 28, 2026
€100M Ridetech International B.V.: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse Autoriteit Persoonsgegevens (AP) heeft Ridetech International B.V. op 2026-04-01 een boete van €100.000.000 opgelegd wegens: Onvoldoende rechtsgrondslag voor… The Netherlands · ·Art. 5, 44, 46 Apr 1, 2026
€25,000 Gemeente Ede: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse Autoriteit Persoonsgegevens heeft een boete van EUR 25.000 opgelegd aan de Gemeente Ede. De verwerkingsverantwoordelijke, een van de tien gemeenten die een boete… THE NETHERLANDS · ·Art. 6, 9 Feb 3, 2026
€25,000 Gemeente Veenendaal: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse Autoriteit Persoonsgegevens heeft een boete van EUR 25.000 opgelegd aan de Gemeente Veenendaal. De verwerkingsverantwoordelijke, een van de tien gemeenten die een… THE NETHERLANDS · ·Art. 6, 9 Feb 3, 2026
€25,000 Gemeente Tilburg: Onvoldoende juridische grondslag voor gegevensverwerking ⇄ De Nederlandse Autoriteit Persoonsgegevens heeft een boete van EUR 25.000 opgelegd aan de Gemeente Tilburg. De verwerkingsverantwoordelijke, een van de tien gemeenten die een… THE NETHERLANDS · ·Art. 6, 9 Feb 3, 2026
€25,000 Gemeente Zoetermeer: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse toezichthouder (AP) heeft een boete van 25.000 euro opgelegd aan de Gemeente Zoetermeer. De verwerkingsverantwoordelijke, één van de tien gemeenten die een boete… THE NETHERLANDS · ·Art. 6, 9 Feb 3, 2026
€25,000 Gemeente Haarlemmermeer: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse toezichthouder heeft een boete van EUR 25.000 opgelegd aan de gemeente Haarlemmermeer. De verwerkingsverantwoordelijke, een van de tien gemeenten die een boete… THE NETHERLANDS · ·Art. 6, 9 Feb 3, 2026
€25,000 Gemeente Hilversum: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse toezichthouder heeft een boete van EUR 25.000 opgelegd aan de Gemeente Hilversum. De verwerkingsverantwoordelijke, een van de tien gemeenten die een boete hebben… THE NETHERLANDS · ·Art. 6, 9 Feb 3, 2026
€25,000 Gemeente Huizen: onvoldoende wettelijke grondslag voor gegevensverwerking ⇄ De Nederlandse toezichthouder heeft een boete van €25.000 opgelegd aan de gemeente Huizen. De verwerkingsverantwoordelijke, een van de tien gemeenten die een boete heeft gekregen,… THE NETHERLANDS · ·Art. 6, 9 Feb 3, 2026
€25,000 Gemeente Delft: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse toezichthouder heeft een boete van EUR 25.000 opgelegd aan de Gemeente Delft. De verwerkingsverantwoordelijke, een van de tien gemeenten die zijn beboet, verwerkte… THE NETHERLANDS · ·Art. 6, 9 Feb 3, 2026
€25,000 Gemeente Eindhoven: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse Autoriteit Persoonsgegevens heeft een boete van EUR 25.000 opgelegd aan de Gemeente Eindhoven. De verwerkingsverantwoordelijke, een van de tien gemeenten die een… THE NETHERLANDS · ·Art. 6, 9 Feb 3, 2026
€25,000 Gemeente Gooise Meren: onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse Autoriteit Persoonsgegevens heeft een boete van EUR 25.000 opgelegd aan de Gemeente Gooise Meren. De verwerkingsverantwoordelijke, een van de tien gemeenten die… THE NETHERLANDS · ·Art. 6, 9 Feb 3, 2026
€175,000 Hogeschool van Arnhem en Nijmegen: Onvoldoende technische en organisatorische maatregelen om informatiebeveiliging te waarborgen ⇄ De Nederlandse toezichthouder (Autoriteit Persoonsgegevens) heeft een boete van EUR 175.000 opgelegd aan de Hogeschool van Arnhem en Nijmegen. De verwerkingsverantwoordelijke… THE NETHERLANDS · ·Art. 32 Dec 15, 2025
€175,000 De Hogeschool Arnhem en Nijmegen: Onvoldoende technische en organisatorische maatregelen om de informatiebeveiliging te waarborgen. 175.000 euro boete - Nederlandse Autoriteit Persoonsgegevens (AP). THE NETHERLANDS · ·Art. 32 Dec 15, 2025
€2.7M Experian Nederland B.V.: Onvoldoende juridische basis voor de verwerking van gegevens. 2.700.000 euro boete - Nederlandse Autoriteit Persoonsgegevens (AP). THE NETHERLANDS · ·Art. 5, 6, 12 +2 Oct 16, 2025
€2.7M Experian Nederland B.V.: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse toezichthouder heeft een boete van EUR 2.700.000 opgelegd aan Experian Nederland B.V. De verwerkingsverantwoordelijke, een bedrijf dat de kredietwaardigheid van… THE NETHERLANDS · ·Art. 5, 6, 12 +2 Oct 16, 2025
€40,000 Coolblue B.V.: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse Autoriteit Persoonsgegevens heeft een boete van €40.000 opgelegd aan Coolblue. Het bedrijf verzamelde persoonsgegevens via cookies zonder expliciete toestemming van… THE NETHERLANDS · ·Art. 5, 6 Dec 23, 2024
€4.8M Netflix International B.V.: Onvoldoende nakoming van informatieverplichtingen ⇄ De Nederlandse Autoriteit Persoonsgegevens heeft een boete van EUR 4,75 miljoen opgelegd aan Netflix. Deze boete is gebaseerd op een klacht ingediend door de Oostenrijkse… THE NETHERLANDS · ·Art. 5, 12, 13 +1 Nov 26, 2024
€6,000 Ambitious People Group B.V.: Onvoldoende nakoming van de rechten van betrokkenen ⇄ De Nederlandse Autoriteit Persoonsgegevens heeft een boete van EUR 6.000 opgelegd aan het wervingsbedrijf Ambitious People Group B.V. De verwerkingsverantwoordelijke had de… THE NETHERLANDS · ·Art. 12, 17 Jun 4, 2024
€50,000 A.S. Watson Health & Beauty Continental Europe B.V.: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse toezichthouder heeft een boete van 600.000 euro opgelegd aan A.S. Watson Health & Beauty Continental Europe B.V. De verwerkingsverantwoordelijke had bezoekers van… THE NETHERLANDS · ·Art. 5 May 2, 2024
Na een onderzoek in 2019-2020 heeft de EDPS aanbevelingen gedaan en heeft de Commissie de ILA gewijzigd ⇄ De EDPS heeft onderzocht of deze wijzigingen voldoende waren om de verwerking in overeenstemming te brengen met de gegevensbeschermingsvereisten en heeft inbreuken vastgesteld. De… 2021-0518 ·European Union ·Art. 5, 6, 28 +1 Mar 8, 2024
€150,000 International Card Services B.V.: Onvoldoende technische en organisatorische maatregelen om de informatiebeveiliging te waarborgen ⇄ De Nederlandse toezichthouder (AP) heeft een boete van EUR 150.000 opgelegd aan International Card Services B.V. (ICS). ICS heeft nagelaten een… THE NETHERLANDS · ·Art. 35 Jan 15, 2024
€10M Uber Technologies Inc.
Uber B.V.: Onvoldoende nakoming van informatieverplichtingen ⇄ De Nederlandse toezichthouder heeft Uber Technologies Inc. en Uber B.V. een boete van EUR 10 miljoen opgelegd omdat zij onvoldoende informatie verstrekten over de bewaartermijn… THE NETHERLANDS · ·Art. 12, 13 Dec 11, 2023
€30,000 Gemeente Voorschoten: Niet-naleving van algemene beginselen van gegevensverwerking ⇄ De Nederlandse toezichthouder (AP) heeft een boete van EUR 30.000 opgelegd aan de gemeente Voorschoten. De gemeente had informatie over huishoudelijk afval langer bewaard dan… THE NETHERLANDS · ·Art. 5, 6, 14 Nov 2, 2023
€150,000 Nederlandse Sociale Verzekeringsbank (SVB): Onvoldoende technische en organisatorische maatregelen om de informatiebeveiliging te waarborgen ⇄ De Nederlandse toezichthouder heeft een boete van EUR 150.000 opgelegd aan de Sociale Verzekeringsbank (SVB). De verwerkingsverantwoordelijke had te maken gehad met een datalek… THE NETHERLANDS · ·Art. 32 Jan 19, 2023
€3.7M Belastingdienst: Niet-naleving van algemene beginselen van verwerking van persoonsgegevens ⇄ De Autoriteit Persoonsgegevens heeft een boete opgelegd van 3,7 miljoen euro aan de Belastingdienst. Dit is de hoogste boete die ooit door de Autoriteit Persoonsgegevens is… THE NETHERLANDS · ·Art. 5, 6, 32 +1 Apr 7, 2022
€565,000 Nederlands Ministerie van Buitenlandse Zaken: Onvoldoende technische en organisatorische maatregelen om de informatiebeveiliging te waarborgen ⇄ De Nederlandse Autoriteit Persoonsgegevens (AP) heeft een boete van EUR 565.000 opgelegd aan het Nederlands Ministerie van Buitenlandse Zaken. In het kader van haar onderzoek… THE NETHERLANDS · ·Art. 13, 32 Feb 24, 2022
€525,000 DPG Media Magazines B.V.: Onvoldoende nakoming van rechten van betrokkenen ⇄ De Nederlandse toezichthouder (AP) heeft een boete van EUR 525.000 opgelegd aan DPG Media Magazines B.V. De AP had meerdere klachten ontvangen over de manier waarop de… THE NETHERLANDS · ·Art. 12 Jan 14, 2022
EDPS: Europees Parlement is enige verwerkingsverantwoordelijke voor COVID-testwebsite en schoot tekort ⇄ In januari 2021 diende noyb een klacht in tegen het Europees Parlement namens zes leden van het Europees Parlement over een interne coronatestwebsite. De aangekaarte kwesties… 2020-1013 ·European Union ·Art. 6, 13 Jan 5, 2022
€2.8M Minister van Financiën: onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Nederlandse Autoriteit Persoonsgegevens (AP) heeft de Minister van Financiën een boete opgelegd van 2,75 miljoen euro. In het kader van aanvragen voor kinderopvangtoeslag… THE NETHERLANDS · ·Art. 5, 6, 8 Nov 25, 2021
€400,000 Transavia: Onvoldoende technische en organisatorische maatregelen om de informatiebeveiliging te waarborgen ⇄ De Nederlandse AP heeft luchtvaartmaatschappij Transavia een boete van 400.000 euro opgelegd. In 2019 leed de luchtvaartmaatschappij een datalek, waarbij een hacker toegang kreeg… THE NETHERLANDS · ·Art. 32 Nov 12, 2021
€450,000 UWV: Onvoldoende technische en organisatorische maatregelen ter waarborging van de informatiebeveiliging ⇄ De Nederlandse AP heeft een boete opgelegd aan UWV van EUR 450.000. UWV had het verzenden van groepsberichten via de omgeving 'Mijn Werkmap' niet goed beveiligd. Dit is een… THE NETHERLANDS · ·Art. 32 May 31, 2021
EDPS: HVJ-EU heeft Verordening 2018/1725 geschonden met betrekking tot cookies en toestemming op haar website ⇄ Een betrokkene diende een klacht in over cookies en soortgelijke technologieën die worden gebruikt in verband met audiovisueel materiaal op de website van het Hof van Justitie van… 2019-0878 ·European Union ·Art. 7 May 3, 2021
€750,000 TikTok: Onvoldoende nakoming van informatieverplichtingen ⇄ De Nederlandse toezichthouder (AP) heeft het videoportaal TikTok een boete van EUR 750.000 opgelegd wegens schending van de privacy van jonge kinderen. De informatie die… THE NETHERLANDS · ·Art. 12 Apr 9, 2021
€600,000 Gemeente Enschede: Onvoldoende rechtsgrond voor gegevensverwerking ⇄ De Nederlandse toezichthouder (AP) heeft de gemeente Enschede een boete opgelegd van EUR 600.000. In 2017 besloot de gemeente speciale meetkasten te installeren om drukte in het… THE NETHERLANDS · ·Art. 5, 6 Mar 11, 2021
€440,000 OLVG: Onvoldoende technische en organisatorische maatregelen om de informatiebeveiliging te waarborgen ⇄ De Nederlandse AP heeft een boete van EUR 440.000 opgelegd aan het Amsterdamse ziekenhuis OLVG. De verwerkingsverantwoordelijke had tussen 2018 en 2020 onvoldoende maatregelen… THE NETHERLANDS · ·Art. 32 Feb 11, 2021
€12,000 Orthodontiepraktijk: onvoldoende technische en organisatorische maatregelen om de informatiebeveiliging te waarborgen ⇄ De Nederlandse Autoriteit Persoonsgegevens (AP) heeft een orthodontiepraktijk een boete van EUR 12.000 opgelegd. Het webformulier dat nieuwe patiënten gebruikten om zich aan te… THE NETHERLANDS · ·Art. 32 Feb 4, 2021
€525,000 Locatefamily.com: Niet-naleving van algemene beginselen van gegevensverwerking ⇄ De Nederlandse Autoriteit Persoonsgegevens (AP) heeft een boete opgelegd van EUR 525.000 aan Locatefamily.com. Locatefamily.com is een platform waar mensen kunnen zoeken naar de… THE NETHERLANDS · ·Art. 27 Dec 20, 2020
€475,000 Booking.com B.V.: Onvoldoende nakoming van de meldingsplicht bij datalekken ⇄ De Nederlandse Autoriteit Persoonsgegevens (AP) heeft Booking.com een boete van 475.000 euro opgelegd omdat het bedrijf een datalek niet tijdig aan de AP had gemeld. In december… THE NETHERLANDS · ·Art. 33 Dec 10, 2020
€830,000 Bureau Kredietregistratie (‘BKR’): Onvoldoende naleving van de rechten van betrokkenen ⇄ BKR eiste een vergoeding wanneer personen toegang tot hun persoonsgegevens vroegen en verleende slechts één keer per jaar kosteloos toegang tot hun gegevens via de post. THE NETHERLANDS · ·Art. 12, 15 Jul 6, 2020
€7,500 PVV Overijssel: Onvoldoende nakoming van de meldingsplicht bij datalekken ⇄ De Nederlandse Autoriteit Persoonsgegevens (AP) heeft de Overijsselse afdeling van de PVV een boete van 7.500 euro opgelegd omdat deze had nagelaten de AP op de hoogte te stellen… THE NETHERLANDS · ·Art. 33 Jun 16, 2020
€725,000 Onbekende organisatie: Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De organisatie had haar personeel verplicht gesteld hun vingerafdrukken te laten scannen om de aanwezigheid te registreren. Zoals echter in de uitspraak van de… THE NETHERLANDS · ·Art. 5, 9 Apr 30, 2020
€15,000 CP&A: Onvoldoende technische en organisatorische maatregelen om de informatiebeveiliging te waarborgen ⇄ De Nederlandse Autoriteit Persoonsgegevens (AP) heeft CP&A een boete van 15.000 euro opgelegd. De verwerkingsverantwoordelijke had zowel de oorzaken van ziekte als specifieke… THE NETHERLANDS · ·Art. 9, 32 Mar 24, 2020
€525,000 Koninklijke Nederlandse Tennisbond (‘KNLTB’): Onvoldoende rechtsgrondslag voor gegevensverwerking ⇄ De Autoriteit Persoonsgegevens heeft de Koninklijke Nederlandse Tennisbond (KNLTB) een boete van 525.000 euro opgelegd voor het verkopen van de persoonsgegevens van meer dan… THE NETHERLANDS · ·Art. 5, 6 Mar 3, 2020
€50,000 Menzis (zorgverzekeraar): Niet-naleving van de algemene beginselen inzake gegevensverwerking ⇄ Marketingmedewerkers hadden toegang tot patiëntgegevens. Dit was onder meer in strijd met het beginsel van doelbinding. THE NETHERLANDS · ·Art. 5 Oct 31, 2019
€900,000 UWV (Nederlandse uitkeringsinstantie): Onvoldoende technische en organisatorische maatregelen om de informatiebeveiliging te waarborgen ⇄ Aangezien het UWV (het Uitvoeringsinstituut Werknemersverzekeringen) bij het inloggen op het online werkgeversportaal geen gebruik maakte van meervoudige authenticatie, was de… THE NETHERLANDS · ·Art. 32 Oct 31, 2019
€350,000 Haga-ziekenhuis: Onvoldoende technische en organisatorische maatregelen om de informatiebeveiliging te waarborgen ⇄ Samenvatting van de boete: Het Haga-ziekenhuis beschikt niet over een deugdelijke interne beveiliging van patiëntendossiers. Dit is de conclusie van een onderzoek door de… THE NETHERLANDS · ·Art. 32 Jun 18, 2019
Other EU fines decisions from other member states
7/2026 Oct 5, 2026
Tietosuojavaltuutetun toimisto (Finland) - TSV/5059/2023 The DPA held that a pension insurance company had not violated Articles 5(1)(c) and 25(2) GDPR by disclosing a disability pension applicant's accrued pension in euros to a… Oct 5, 2026
PS/00339/2024 Oct 2, 2026
2025-0.626.844 Oct 2, 2026
ps-00287-2025 Oct 1, 2026
A private website operator published documents they collected from public registers The DPA held that the operator failed to ensure that later access restrictions imposed by the authorities are considered and that a legitimate interest could not be blanket legal… 2.1.-4/26/1106-2333-4 · Oct 1, 2026
2026-0.690.562 The DPA issued a reprimand against a journalist for failing to comply with the data minimisation principle pursuant to Article 5(1)(c) GDPR by publishing a court decision on his… Oct 1, 2026
Icelandic DPA opens formal proceedings against Isavia over ANPR parking cameras at The DPA initiated an investigation into Isavia domestic airports Ltd. (the controller) concerning the electronic monitoring of car parks in five airports: Reykjavík, Akureyri,… Sep 30, 2026
Italian DPA: Municipality of Aprilia unlawfully disclosed whistleblower data to employer The data subject, an employee of a municipal agency, sent a certified email to the Municipality of Aprilia (the controller), requesting a meeting with its Extraordinary Commission… Sep 30, 2026
Garante: Bologna University Hospital rightly refused erasure of recruitment ranking data The DPA received a complaint from a data subject, regarding the ranking list published as part of a recruitment procedure at the Bologna University Hospital IRCCS (the… Sep 29, 2026
Persónuvernd: Icelandic Farmers’ Association breached GDPR by disclosing owner data to The DPA received a complaint from a data subject, after the Icelandic Farmers’ Association operating a database, disclosed her personal data without consent to the company… Sep 23, 2026
Italian DPA: employer breached Art. 15 GDPR by ignoring access request over disciplinary The data subject, a security guard of La Patria S.p.A. (the controller), complained to the DPA about the lack of response by the controller to two access requests regarding the… Sep 23, 2026
AEPD sanctions Vodafone España for inadequate Super WiFi processor agreement and oversight Vodafone España, S.A.U., the controller, operated a service known as "Super WiFi" through a third-party processor. Following a data breach affecting the service, the DPA's… Sep 23, 2026
IMY fines Miljödata SEK for Article 32 GDPR violation after ransomware breach of 2.2M An IT company that provides digital HR and occupational health services (Miljödata) detected a data breach in August 2025. In the breach, an external attacker had gained… Sep 22, 2026
Google Ireland Limited: Insufficient legal basis for data processing The Irish Data Protection Commission (DPC) fined Google Ireland Limited €403 million on September 21, 2026, following an inquiry into the company's processing of personal data… Sep 21, 2026
Icelandic DPA: City of Reykjavik cannot request bank statements from NPA disabled service The DPA received a request from a the NPA Centre, the service manager of services for disabled people with long-term care needs, asking whether the Social Services Department of… Sep 17, 2026
Garante fines BBVA Italy for ignoring in-app objection, violating Arts. 5, 12, 21 GDPR The DPA received a complaint from a data subject after they received in-app communications by the Bank of Bilbao Vizcaya Argentina S.A. Italian branch (the controller) despite… Sep 16, 2026
Fine against Homelux SRL HOMELUX S.R.L. (the controller) notified the Romanian DPA (ANSPDCP) of a personal data breach pursuant to Article 33 GDPR. The controller was operating a website on a platform… Sep 16, 2026
Italian DPA: Municipality of Rieti breached GDPR by publishing 31,000 taxpayers' waste The Municipality of Rieti (the controller) published its administrative acts on its official notice board and in the "Transparent Administration" section of its website. A… Sep 16, 2026
Italian DPA probes University Health Agency Friuli over EHR access and missing logs The DPA received a complaint from an employee (the data subject) of the University Health Agency of Friuli Centrale (the controller) concerning the controller's processing of the… Sep 16, 2026
AEPD sanctions Iberdrola Clientes for improper identity verification and unauthorized Iberdrola Clientes, S.A.U., an electricity retailer of the Iberdrola group (the controller), verified the identity of customers calling its call centres under an internal guide… Sep 16, 2026
AEPD fines El Español for publishing video of minor assailant without anonymization El León de El Español Publicaciones, S.A., the controller, operates the Spanish digital newspaper „El Español“. It published an article concerning an assault and embedded a video… Sep 16, 2026
AEPD fines DIGI Telecom for issuing duplicate SIM to impersonator without consent On December 28, 2022, DIGI Telecom, the controller, delivered a duplicate SIM card to an unauthorized third party without the consent of the original line holder (the data… Sep 16, 2026
Italian DPA sanctions Experian Italia for incomplete Art. 15 GDPR access responses on The DPA received several complaints from data subjects concerning Experian Italia S.p.A (the controller) an Italian credit information system. The controller was processing the… Sep 16, 2026