{"id":20253,"date":"2026-06-25T15:29:51","date_gmt":"2026-06-25T13:29:51","guid":{"rendered":"https:\/\/www.dp-institute.eu\/?p=20253"},"modified":"2026-06-25T15:33:01","modified_gmt":"2026-06-25T13:33:01","slug":"terugblik-op-stay-tuned-as-dpo-2026-q2-een-kwartaal-vol-privacy-inzichten","status":"publish","type":"post","link":"https:\/\/www.dp-institute.eu\/en\/terugblik-op-stay-tuned-as-dpo-2026-q2-een-kwartaal-vol-privacy-inzichten\/","title":{"rendered":"Terugblik op Stay Tuned as DPO 2026 Q2: Een kwartaal vol privacy-inzichten"},"content":{"rendered":"
\n
\n

Een dag rechtspraak, vertaald naar je praktijk<\/h2>\n

Recap van de Nederlandstalige sessie. Docent: Anneleen Van de Meulebroucke (Eubelius). Moderator: Bart van Buitenen.<\/p>\n

Nog geen abonnee? Probeer Stay Tuned as DPO eenmalig gratis. Meer onderaan.<\/p>\n

Nederlandstalige sessie<\/span>
\nDocent: Anneleen Van de Meulebroucke<\/span>
\nModerator: Bart van Buitenen<\/span><\/div>\n<\/div>\n
\n

Vier keer per jaar nemen we met een zaal vol DPO\u2019s en privacyprofessionals de meest recente beslissingen van de GBA, het Hof van Justitie en de EDPB door. Twee complementaire profielen (een advocaat en een DPO) presenteren alle interessante beslissingen door de lens van de privacyprofessional: hoe ga je de uitkomst van die beslissingen nu vertalen naar de praktijk?<\/p>\n

Twee trends werden meteen in het begin al gesignaleerd:<\/h3>\n
\n
\n

De maturiteit in het veld stijgt zichtbaar, en dit zien we ook terug in de beslissingen: organisaties zijn beter voorbereid en kunnen beter uitleggen waarom men tot bepaalde keuzes kwam.<\/p>\n<\/div>\n

\n

Er is een stijlbreuk bij de GBA rond de hoogte van de boete: de bedragen die hieronder voorbijkomen, waren bij de GBA tot voor kort uitzonderlijk en zijn er drie opeenvolgende beslissingen met boetes die tussen de 85.000 \u2013 en 180.000 eur liggen.<\/p>\n<\/div>\n<\/div>\n

Hieronder een greep uit de interessantste discussies van de dag.<\/h3>\n<\/div>\n
\n

Verwerker of verwerkingsverantwoordelijke? De vraag die maar niet weggaat<\/h2>\n

De hardnekkigste kwalificatievraag bleef ook dit kwartaal centraal staan en deze beslissing toont opnieuw aan hoe cruciaal een juiste kwalificatie is. In de Isabel\/TruliUs-zaak (beslissing 103\/2026, \u20ac120.000)<\/strong> had een bedrijf (in deze beslissing specifiek genoeg: Isabel) de documentatie keurig op orde \u2026 maar volledig opgebouwd rond een rol als verwerker. De GBA oordeelde dat Isabel w\u00e9l verwerkingsverantwoordelijke was, en dan vallen de dominostenen: foutieve kwalificatie, gebrekkige dataminimalisatie, een privacyverklaring die niet meer klopt.<\/p>\n

Cruciaal onderdeel in deze beslissing over het bepalen van de hoedanigheden: kijk naar de essenti\u00eble middelen. Bepaalt de leverancier de bewaartermijn, de gegevens die opgevraagd worden, het ontwerp van de dienst? Dezelfde logica rond essenti\u00eble middelen<\/strong> kwam ook terug in een andere beslissing tussen een syndicus en een vereniging van mede-eigenaars (43\/2026) waarbij de syndicus volgens GBA g\u00e9\u00e9n verwerkingsverantwoordelijke is: die voert immers enkel de beslissingen van de VME uit en bepaalt zelf weinig tot niets.<\/p>\n<\/div>\n

\n

Beveiliging: ook binnen de eigen groep telt elk detail<\/h2>\n

De Spaanse toezichthouder legde Hyundai \u20ac2 miljoen<\/strong> op na een datalek. Leerrijk om twee redenen. Ten eerste werden zowel de verwerkingsverantwoordelijke als de verwerker aangesproken. De verwerker had bekende kwetsbaarheden niet gepatcht, de gegevens waren niet versleuteld, en de risicoanalyse kwam er pas n\u00e1 het lek. Ten tweede speelde dit in een intragroepscontext, precies de situatie waarin men beveiliging en documentatie wel eens laat verslappen omdat \u201chet toch binnen de groep blijft\u201d. De boodschap: behandel een zustervennootschap die IT-diensten levert als elke andere externe dienstverlener: verwerkersovereenkomst, opvolging en monitoring maken daar ook onderdeel van uit.<\/p>\n<\/div>\n

\n

Transparantie tot in de details<\/h2>\n

Twee beslissingen bekeken de nuances van informatieverstrekking binnen enerszijds online platform en anderzijds naar klanten en werknemers in een callcenter context.<\/p>\n

Bij MyMinfin (53\/2026)<\/strong> ontdekte een betrokkene dat zijn loggegevens minutieus werden bijgehouden, zonder dat dit ergens in de privacyverklaring stond. Een nuttige reflex die hieruit volgt: je publieke website-verklaring dekt n\u00edet automatisch het achterliggende platform waarop mensen inloggen. Ook voor de achterliggende platform moet een privacyverklaring voorzien worden die de verwerkingdactiviteiten op het platform dekt zoals de logging die plaatsvindt en cookies die geplaatst worden.<\/p>\n

De callcenter-zaak tegen de SWDE (\u20ac85.000)<\/strong> wordt een referentiebeslissing in de context van organisaties die diensten hebben waarbij veel en korte telefoongesprekken centraal staan, oftewel organisaties die een callcenter hebben. De huidige wetgeving bevat geen exacte criteria om te bepalen wat een callcenter is dus de GBA bakende voor het eerst scherp af wat een \u201ccallcenter\u201d is (korte, gestandaardiseerde, veelvuldige oproepen) en hoe ver men in de automatische boodschappen de verplichte kennisgeving mag inkorten. Dat ene zinnetje \u201cdit gesprek kan worden opgenomen voor training en bewijsdoeleinden\u201d volstaat niet: het feit van de opname, het doel, de rechten en waar je de volledige info vindt, moeten onderdeel zijn van deze boodschap. Extra aandachtspunt met oog op de digitale kloof: bij een dienstverlener met miljoenen klanten is \u201calle info staat op onze website\u201d geen afdoend verwijzing naar de volledige privacyverklaring.<\/p>\n<\/div>\n

\n

De mailbox-saga: beleid hebben is niet hetzelfde als beleid toepassen<\/h2>\n

Geen Stay Tuned zonder mailboxverhaal: hoe lang mag je een mailbox bijhouden, hoe moet je de out-of-office instellen, en wie mag toegang krijgen tot een mailbox. De beslissing tegen een Beglische techonderneming met \u20ac804 miljoen omzet leverde een boete van \u2248 \u20ac177.000<\/strong> op (met 95% verlaagd t.o.v. het theoretische maximum). De kern: er kan afgeweken worden van het standaard \u201cmailbox maximaal 1-tot-3-maanden bijhouden\u201d-beleid enkel als een organisatie voldoende differentieert. Voor een seniorprofiel of een sleutelpositie mag je bijvoorbeeld een ander regime laten gelden, maar dat moeten de uitzonderingen zijn.<\/p>\n

Nog een aantal details uit deze beslissing die wat meer richting geven aan het concreet inrichten van een gepast mailbeleid: werk met classificaties op e-mails (publiek \/ intern \/ vertrouwelijk \/ strikt vertrouwelijk) en leg in je beleid duidelijk vast dat een mapje \u201cpersoonlijk\u201d met rust gelaten wordt. Dat beschermt de priv\u00e9-mail van je medewerker \u00e9n geeft de organisatie ruimte om bij een inzageverzoek het professionele luik beargumenteerd af te bakenen. Het echte werk begint bij onboarding: hoe minder er ongestructureerd in mailboxen blijft hangen, hoe rustiger het vertrek.<\/p>\n<\/div>\n

\n

Inzage en misbruik: het Europees Hof benoemt de grens<\/h2>\n

In een belangrijke zaak voor het Hof van Justitie, Brillen-Rothler, ging het over een betrokkene die zich op nieuwsbrieven inschreef met als enige doel om kort daarna een complex inzageverzoek te lanceren om schadevergoeding te eisen als dat verzoek niet perfect werd afgewerkt. De hamvraag voor het Hof: mag je een eerste inzageverzoek al meteen als misbruik buitensporig beschouwen en niet inwilligen? Ja, oordeelt het Hof maar de lat ligt hoog en de bewijslast ligt volledig bij de verwerkingsverantwoordelijke<\/strong>, die objectieve en subjectieve elementen van misbruik moet aantonen. In dit geval kon dat door diverse publieke bronnen waar de betrokkene zijn insteek voor louter schadevergoedingen duidelijk benoemde. Deze uitspraak is dus bruikbaar als leidraad voor het beoordelen van buitensporige verzoeken, maar zeker geen vrijbrief om lastige verzoeken weg te wuiven.<\/p>\n<\/div>\n

\n

En nog veel meer\u2026<\/h2>\n

De dag ging verder met onder meer ANPR-camera\u2019s tegen sluipverkeer in Dilbeek (project \u201cMinder verkeer, beter wonen\u201d), gemeentearchieven in een open container op de openbare weg, camerabewaking in een appartementencomplex, een inzageverzoek bij een advocatenkantoor, een verzoek tot wissing, de nieuwe EDPB-richtsnoeren 01\/2026 over wetenschappelijk onderzoek, en enkele arresten van de Franse Raad van State (Health Data Hub, CEGEDIM, CRITEO) met tenslotte nog aandacht voor de nieuwe EDPB richtlijnen rond medische wetenschappelijk onderzoek.<\/p>\n<\/div>\n

\n

Waarom DPO\u2019s hierbij zitten<\/h2>\n

De ontwikkelingen in gegevensbeschermingsland gaan razendsnel en het wordt steeds moeilijker om op eigen initiatief alles op te volgen. Dit neemt niet weg dat wie de evoluties vanop de eerste rij meekrijgt sterker staat als DPO en als organisatie ten aanzien van autoriteiten. Dat is exact wat Stay Tuned as DPO mogelijk maakt: elk kwartaal de actualiteit, vertaald naar je dagelijkse praktijk, door specialisten die de evoluties van dichtbij volgen.<\/p>\n

Stay Tuned, Stay Safe.<\/p>\n<\/div>\n

\n

Probeer het zelf: gratis<\/h2>\n

Stay Tuned as DPO is een jaarabonnement met vier sessiedagen per jaar<\/strong>. Wil je eerst proberen? Volg eenmalig een volledige sessie gratis<\/strong>. De eerstvolgende sessie (Q3 2026) wordt in het Nederlands verzorgd door Anouck Focquet en Bart van Buitenen.<\/p>\n

Bij een actief abonnement krijg je er bovendien bij:<\/p>\n