DSA: extra verplichtingen voor zeer grote onlineplatforms (VLOP)
Vastgesteld 2026-06-29 · ≈ 2 min lezen · 
redactie Dirk Baaijen
De Digital Services Act legt platforms met meer dan 45 miljoen EU-gebruikers per maand de zwaarste verplichtingen op, inclusief jaarlijkse onafhankelijke audits, risicobeoordeling en toezicht door de Europese Commissie.
Kort antwoord: Platforms met meer dan 45 miljoen maandelijkse actieve gebruikers in de EU worden door de Europese Commissie aangewezen als Very Large Online Platform (VLOP) of Very Large Online Search Engine (VLOSE). Zij vallen onder de zwaarste verplichtingen van de DSA (artikelen 33–43) en staan onder rechtstreeks toezicht van de Commissie — niet van een nationale autoriteit. De actuele Commissielijst (bijgewerkt 28 mei 2026) telt 23 aangewezen VLOPs en 2 VLOSEs, waaronder WhatsApp (aangewezen 26 januari 2026) en met uitzondering van Stripchat (aanwijzing beëindigd 27 mei 2025).
Drempel en aanwijzing (artikel 33 DSA)
Een platform wordt als VLOP aangewezen zodra het gedurende een jaar meer dan 45 miljoen maandelijkse actieve gebruikers in de EU bereikt. De aanwijzing geschiedt door de Europese Commissie via een formeel besluit. Aangewezen platforms krijgen vier maanden om volledig aan alle VLOP-verplichtingen te voldoen. Bekende aangewezen VLOPs zijn onder meer Facebook, Instagram, YouTube, TikTok, X, LinkedIn, Amazon Store, AliExpress, Booking.com en Zalando; de VLOSEs zijn Google Search en Bing.
Systeemrisicobeoordeling en -beperking (artikelen 34 en 35 DSA)
VLOPs moeten minstens eenmaal per jaar een grondige beoordeling uitvoeren van systeemrisico's die voortvloeien uit hun dienst. Risico's omvatten verspreiding van illegale inhoud, aantasting van grondrechten (vrije meningsuiting, mediavrijheid, non-discriminatie), bedreigingen voor de volksgezondheid, negatieve effecten op verkiezingsprocessen en schade aan minderjarigen. Op basis van die beoordeling moeten platforms redelijke mitigatiemaatregelen treffen en hierover rapporteren.
Onafhankelijke jaarlijkse audit (artikel 37 DSA)
VLOPs en VLOSEs zijn verplicht hun naleving minstens eenmaal per jaar te laten toetsen door een onafhankelijke auditor. Platforms moeten aanbevelingen uit het auditrapport implementeren en een auditimplementatierapport opstellen. Zowel het risicobeoordelingsrapport als het auditrapport worden zonder onnodige vertraging aan de Commissie en de bevoegde nationale coördinator voor digitale diensten (DSC) toegezonden.
Algoritmische transparantie en advertentierepository (artikelen 38 en 39 DSA)
VLOPs moeten gebruikers ten minste één optie bieden in aanbevelingssystemen die niet is gebaseerd op profilering (artikel 38). Daarnaast zijn zij verplicht een openbaar toegankelijke repository bij te houden van alle vertoonde advertenties, inclusief de doelgroepparameters — gedurende de looptijd plus minimaal één jaar daarna (artikel 39).
Gegevenstoegang voor onderzoekers en crisisprotocol (artikelen 40 en 36 DSA)
Gecertificeerde onderzoekers en de Commissie kunnen toegang verlangen tot platformdata om systeemrisico's te analyseren (artikel 40). Bij ernstige maatschappelijke crises kan de Commissie aanvullende noodmaatregelen opleggen (artikel 36).
Toezicht en handhaving
De Europese Commissie is de exclusieve toezichthouder voor VLOPs en VLOSEs. Bij overtredingen kan zij een boete opleggen van maximaal 6 % van de wereldwijde jaaromzet (artikel 74 DSA). Bij herhaalde overtredingen kan tijdelijke toegangsbeperking tot de EU-markt worden opgelegd.
Bronnen
- https://digital-strategy.ec.europa.eu/en/policies/list-designated-vlops-and-vloses
Officiële Commissielijst aangewezen VLOPs en VLOSEs (bijgewerkt 28 mei 2026) - https://eur-lex.europa.eu/eli/reg/2022/2065/oj/eng
Verordening (EU) 2022/2065 – de integrale DSA-tekst op EUR-Lex - https://digital-strategy.ec.europa.eu/en/policies/dsa-vlops
Commissie-overzicht VLOP-verplichtingen - https://digital-strategy.ec.europa.eu/en/faqs/digital-services-act-questions-and-answers
Commissie Q&A over handhaving en boetes
Lees ook
DSA-wegwijzer: valt mijn dienst onder de Digital Services Act?
De Digital Services Act (Verordening (EU) 2022/2065) geldt sinds 17 februari 2024 voor alle tussenhandeldiensten in de EU, met zwaardere plichten naarmate je groter en zichtbaarder bent. Deze wegwijzer plaatst je in de juiste laag.
Californië's CCPA-regels voor geautomatiseerde besluitvorming: de privacyroute naar AI-verantwoording
De Californische privacytoezichthouder stelde bindende CCPA-regels vast over geautomatiseerde besluitvorming (ADMT), risicobeoordelingen en cybersecurityaudits. Sinds 1 januari 2026 van kracht; ze reiken via privacyrecht naar AI-besluiten, geen AI-wet, met gefaseerde plichten vanaf 2027.
Transparantie van overheidsalgoritmes
De AI-verordening (2024/1689) verplicht overheden die hoog-risico AI-systemen inzetten tot registratie in een EU-database, transparante documentatie en kennisgeving aan betrokkenen; Nederland loopt vooruit met een vrijwillig Algoritmeregister dat naar verwachting wettelijk verplicht wordt.