Wat er veranderde in de EU-regelgeving voor digitale technologie

Detected guidance relating to AI Act: “Requirements for qualified independent external evaluators of General-Purpose AI models”. Summarised automatically from the primary source; open the source link for the authoritative text.

Detected guidance relating to Digital Services Act: “Commission holds regulatory dialogue on the out-of-court dispute settlement mechanism under the DSA”. Summarised automatically from the primary source; open the source link for the authoritative text.

Detected guidance relating to Digital Services Act: “Commission to investigate how Booking.com combats scams and fraud under the Digital Services Act”. Summarised automatically from the primary source; open the source link for the authoritative text.

Ontdekt richtlijnen met betrekking tot de Digitaledienstenverordening: „Digital Services Act study on financial scams on online platforms and ways to counter them”. Raadpleeg de primaire bron via de onderstaande link voor de gezaghebbende tekst.

Detected enforcement relating to GDPR: “Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR”. Summarised automatically from the primary source; open the source link for the authoritative text.

Detected guidance relating to AI Act: “First harmonised standard supporting the AI Act published in the Official Journal”. Summarised automatically from the primary source; open the source link for the authoritative text.

Richtsnoeren over de Digitaledienstenverordening gedetecteerd: “Signatories of the DSA Code of Conduct on Disinformation”. Automatisch samengevat op basis van de primaire bron; open de bronlink voor de gezaghebbende tekst.

Wetgeving over de AI Act gedetecteerd: “Commission Implementing Decision (EU) 2026/2274 of 12 October 2026 on the harmonised standards for high-risk AI systems drafted in support of Regulation (EU) 2024/1689 of the European Parliament and of the Council”. Automatisch samengevat op basis van de primaire bron; open de bronlink voor de gezaghebbende tekst.

Richtsnoeren over de AVG gedetecteerd: “Statement of the EDPB on smart glasses”. Automatisch samengevat op basis van de primaire bron; open de bronlink voor de gezaghebbende tekst.

Richtsnoeren over de AVG gedetecteerd: “EDPB publishes statement on the data protection challenges of smart glasses”. Automatisch samengevat op basis van de primaire bron; open de bronlink voor de gezaghebbende tekst.

Handhavingsbericht van de EDPB gedetecteerd: “Italian DPA fines Wind Tre EUR 16 700 000 for unlawful telemarketing and data protection infringements”. Het toepasselijke kader is nog niet vastgesteld — open de primaire bron om te zien welke EU-regels gelden. Automatisch samengevat; nog niet redactioneel geverifieerd.

De Autoriteit Persoonsgegevens (AP) heeft Uber een boete van EUR 824 990 000 opgelegd wegens overtreding van de AVG. Volgens de AP nam Uber tussen 2018 en 2022 volledig geautomatiseerd besluiten over chauffeurs: bij een vermoeden van fraude of bij te lage klantbeoordelingen werden accounts van chauffeurs automatisch tijdelijk of, bij aanhoudend lage beoordelingen, permanent gedeactiveerd, zonder menselijke beoordeling, waardoor hun inkomen via Uber tijdens de deactivatie wegviel. De AP stelde vast dat Uber het verbod op volledig geautomatiseerde besluitvorming (artikel 22 AVG) heeft overtreden en chauffeurs onvoldoende over die besluitvorming heeft geïnformeerd (artikel 13 AVG). De zaak begon met klachten van 171 Franse chauffeurs, die via de Ligue des droits de l'Homme bij de Franse CNIL zijn ingediend; de AP behandelde de zaak via het eenloketmechanisme, omdat het Europese hoofdkantoor van Uber in Nederland zit. De AP maakte de boete op 21 augustus 2026 bekend; de EDPB publiceerde haar samenvatting op 8 oktober 2026. Uber heeft de overtredingen beëindigd en verweert zich tegen de boete; het besluit is nog niet onherroepelijk.

De Europese Commissie heeft op 1 oktober 2026 besloten Bulgarije een aanvullende aanmaningsbrief te sturen (INFR(2024)2241) omdat het land de Digital Services Act (Verordening (EU) 2022/2065) niet naleeft. Dit volgt op een aanmaningsbrief uit december 2024 en een daaropvolgend met redenen omkleed advies uit mei 2025. Bulgarije heeft sindsdien wetgeving aangenomen die een van de autoriteiten die als digitaledienstencoördinator optreden bevoegdheden geeft, maar volgens de Commissie heeft het de Commissie voor de bescherming van persoonsgegevens en de Raad voor elektronische media, die het nationale handhavingskader van de DSA zouden voltooien, nog steeds niet aangewezen en van bevoegdheden voorzien. Ook vindt de Commissie dat Bulgarije de sanctiebevoegdheden uit de DSA onjuist heeft ingevoerd: de wet respecteert niet altijd de maximale boetes en zorgt er niet voor dat alle sancties doeltreffend, evenredig en afschrikkend zijn, mede gelet op een verschillende behandeling van natuurlijke personen en rechtspersonen die de DSA niet kent. Bulgarije heeft twee maanden om te reageren en de tekortkomingen weg te nemen; zonder bevredigend antwoord kan de Commissie een aanvullend met redenen omkleed advies uitbrengen.

De European Board for Digital Services heeft een document met goede praktijken en praktijkvoorbeelden vastgesteld voor het melden van vermoedelijke strafbare feiten onder artikel 18 van de Digital Services Act. Het behandelt wanneer hostingdiensten kennis krijgen van relevante informatie, aanwijzingen voor strafbare feiten die een bedreiging voor leven of veiligheid inhouden, het bepalen van de betrokken lidstaat en de kanalen voor het doorgeven van meldingen aan rechtshandhavingsinstanties; daarnaast is een lijst van nationale contactpunten gepubliceerd.

De Ierse Data Protection Commission heeft als leidende toezichthoudende autoriteit op 21 september 2026 een definitief besluit genomen waarin zij vaststelt dat Google Ireland Limited de AVG heeft geschonden bij de verwerking van locatiegegevens in 'Web & App Activity', 'Location History' en 'Location Accuracy' tussen 25 mei 2018 en 4 februari 2020. De schendingen betreffen rechtmatigheid en behoorlijkheid, verantwoordingsplicht, transparantie en bewaring; de DPC heeft boetes van in totaal EUR 403 000 000 opgelegd en Google opgedragen de verwerking binnen 6 maanden in overeenstemming te brengen met de AVG.

Op 17 september 2026 heeft het EDPB versie 2.0 van Guidelines 3/2025 over de wisselwerking tussen de Digital Services Act en de AVG vastgesteld, de definitieve versie na openbare raadpleging. De richtsnoeren behandelen onder meer reclame en het verbod op het gebruik van bijzondere categorieën gegevens (artikel 26 DSA), aanbevelingssystemen, de bescherming van minderjarigen op grond van artikel 28 DSA, waaronder leeftijdsborging (age assurance), en het beheer van systeemrisico's door zeer grote platforms en zoekmachines (artikelen 34 en 35 DSA), waarbij het EDPB stelt dat een gegevensbeschermingseffectbeoordeling waarschijnlijk verplicht is als systeemrisico's worden vastgesteld.

Op 17 september 2026 heeft het EDPB versie 1.0 van Guidelines 04/2026 ter openbare raadpleging vastgesteld. De richtsnoeren gaan over hoe toezichthoudende autoriteiten besluiten of zij onder de AVG een administratieve boete opleggen, naast of in plaats van de andere corrigerende maatregelen van artikel 58, lid 2, AVG. Zij bevatten een methode in vijf stappen, een overzicht van corrigerende maatregelen zoals waarschuwingen, berispingen, bevelen, beperkingen waaronder verboden, en intrekking van certificering, en 14 praktijkvoorbeelden; zij vervangen de WP29-richtsnoeren over administratieve boetes. De richtsnoeren staan open voor openbare raadpleging tot 13 november 2026.

ENISA heeft de eerste operationele versie van het Single Reporting Platform in gebruik genomen, het instrument waarmee fabrikanten actief uitgebuite kwetsbaarheden en ernstige incidenten melden op grond van de Cyber Resilience Act. ENISA stelt dat deze meldplichten voor fabrikanten gelden vanaf 11 september 2026, dat een melding naar het coördinerende CSIRT gaat en beschikbaar wordt gesteld aan ENISA, en dat de verplichtingen voor beheerders van opensourcesoftware gelden vanaf 11 december 2027.

In zaak C-798/24 (Jautiva), een prejudiciële verwijzing van het Letse Grondwettelijk Hof, heeft het Hof van Justitie (Eerste kamer) op 3 september 2026 geoordeeld dat artikel 14, onder d), van vennootschapsrichtlijn (EU) 2017/1132 niet verplicht tot openbaarmaking van gegevens over alle aandeelhouders, met inbegrip van minderheidsaandeelhouders. Het Hof oordeelde ook dat de artikelen 5 en 6 AVG, gelezen in samenhang met de artikelen 7 en 8 van het Handvest, zich verzetten tegen nationale wetgeving die identiteits-, contact- en aandelengegevens van alle aandeelhouders van naamloze vennootschappen openbaar maakt wanneer de toegang niet aan voorwaarden is verbonden, zoals het aantonen van een gerechtvaardigd belang.

Op 31 augustus 2026 heeft de Europese Commissie ChatGPT aangewezen als zeer grote onlinezoekmachine en Reddit en Roblox als zeer grote onlineplatforms onder de Digital Services Act, nadat de diensten hadden opgegeven gemiddeld ten minste 45 miljoen maandelijkse gebruikers in de EU te hebben. Volgens de Commissie hebben de diensten vier maanden, dat wil zeggen tot januari 2027, om te voldoen aan de aanvullende verplichtingen voor zulke diensten, waaronder het beoordelen en beperken van systeemrisico's; de Commissie houdt toezicht in samenwerking met Coimisiún na Meán (ChatGPT) en de Nederlandse ACM (Reddit en Roblox).

ENISA heeft een rapport gepubliceerd over de technische competenties op hoofdlijnen die conformiteitsbeoordelingsinstanties nodig hebben om onder de Cyber Resilience Act te worden aangemeld, in het bijzonder eisen aan ervaring en opleiding van auditors en beoordelaars. ENISA merkt op dat deze moeten worden aangevuld met competenties die specifiek zijn voor de geharmoniseerde normen die nog in ontwikkeling zijn.

ENISA heeft inkooprichtsnoeren gepubliceerd die ziekenhuizen en zorgaanbieders helpen cybersecuritydoelstellingen op te nemen in elke fase van hun inkoopcyclus. De richtsnoeren stellen cybersecurityeisen, bepalen welke informatie leveranciers moeten verstrekken en zijn afgestemd op de NIS2-richtlijn, de regelgeving voor medische hulpmiddelen, de AVG en de verordening betreffende de Europese ruimte voor gezondheidsgegevens.

In versie 2.0 van Guidelines 2/2023, de definitieve versie na openbare raadpleging, zet het EDPB uiteen wanneer artikel 5, lid 3, van de ePrivacyrichtlijn van toepassing is op trackingtechnieken naast cookies. Het benoemt de kernelementen 'informatie', 'eindapparatuur' en 'toegang verkrijgen' of 'opslag', en past die toe op gebruikssituaties zoals URL- en pixeltracking, lokale verwerking, tracking op basis van IP-adressen, IoT-rapportage en unieke identificatoren.

Guidelines 02/2024 (definitieve versie 2.1) leggen uit dat uitspraken of besluiten van autoriteiten in derde landen op grond van artikel 48 AVG niet automatisch in de EU kunnen worden erkend of ten uitvoer gelegd, en in het algemeen worden erkend via internationale overeenkomsten zoals verdragen inzake wederzijdse rechtshulp. Het EDPB stelt dat het beantwoorden van een verzoek om persoonsgegevens van een autoriteit in een derde land een doorgifte is die moet voldoen aan artikel 6 en hoofdstuk V AVG, waarbij andere rechtsgronden of de uitzonderingen van artikel 49 in aanmerking komen als geen internationale overeenkomst daarin voorziet.

Verordening (EU) 2026/1744 (Digitale omnibus inzake AI) is op 24 juli 2026 bekendgemaakt in het Publicatieblad en op de derde dag na bekendmaking in werking getreden, dat wil zeggen op 27 juli 2026. Zij wijzigt de AI-verordening zodat de eisen voor AI-systemen met een hoog risico (hoofdstuk III, afdelingen 1 tot en met 3) gelden vanaf 2 december 2027 voor systemen uit bijlage III en vanaf 2 augustus 2028 voor systemen uit bijlage I, vervangt de bepaling over AI-geletterdheid in artikel 4 en voegt in artikel 5 verboden toe op AI-systemen die niet-consensueel intiem materiaal of materiaal van seksueel misbruik van kinderen genereren, die gelden vanaf 2 december 2026.

Mededeling van de Europese Commissie waarin het begin van de handhaving van de AI Act vanaf 2 augustus 2026 wordt gemarkeerd — met inbegrip van de transparantieverplichtingen van artikel 50 voor chatbots en door AI gegenereerde content en de verplichtingen voor AI voor algemene doeleinden (GPAI). Raadpleeg de primaire bron voor reikwijdte en details.

Aankondiging van de Europese Commissie over brede steun van belanghebbenden voor de praktijkcode over de transparantie van door AI gegenereerde content, die de verplichtingen tot markering en informatieverstrekking van artikel 50 ondersteunt. Raadpleeg de primaire bron voor details.

Prejudiciële beslissing van het Hof van Justitie (Grote kamer) over de AVG (Verordening (EU) 2016/679): materieel toepassingsgebied (artikel 2), de beginselen inzake verwerking en de rechtmatigheid daarvan (artikelen 5 en 6), het begrip gegevens over gezondheid (artikel 9) en persoonsgegevens betreffende strafrechtelijke veroordelingen (artikel 10). Raadpleeg de primaire bron voor het dictum van het Hof.

Prejudiciële beslissing van het Hof van Justitie (Vijfde kamer) over de AVG (Verordening (EU) 2016/679): het toepassingsgebied ervan wanneer informatie over strafrechtelijke veroordelingen tegen vergoeding online openbaar wordt gemaakt, en het verenigen van het recht op bescherming van persoonsgegevens met het recht op vrijheid van meningsuiting en van informatie. Raadpleeg de primaire bron voor het dictum van het Hof.

Richtsnoeren van de Europese Commissie om bedrijven te helpen bij de uitvoering van de Cyberweerbaarheidsverordening (Verordening (EU) 2024/2847). Raadpleeg de primaire bron voor de volledige richtsnoeren.

Voorlopige vaststelling van de Europese Commissie dat TikTok de Digitaledienstenverordening schendt door geen veilige accounts voor minderjarigen te waarborgen. Dit is een voorlopige vaststelling, geen definitief besluit; TikTok kan reageren voordat de Commissie tot een conclusie komt. Raadpleeg de primaire bron voor details.

De EDPB heeft een gemeenschappelijk meldingsformulier voor datalekken vastgesteld om de meldingen op grond van artikel 33 AVG in de hele EU te harmoniseren.

De Europese Commissie heeft het actieplan van X aanvaard om te voldoen aan de transparantieverplichtingen en de verplichtingen over toegang tot gegevens voor onderzoekers uit de Digital Services Act. Dit volgt op het besluit van december 2025 waarin de Commissie vaststelde dat X de DSA had geschonden, en de boete die zij toen oplegde. X heeft toegezegd het advertentieregister te verbeteren (meer zoekfilters, resultaten direct in de interface, snellere reacties, meer informatie per advertentie en toegang via een API) en in aanmerking komende onderzoekers kosteloos en tijdig toegang te geven tot openbare gegevens, met een betere beoordeling van aanvragen en voorwaarden die deze onderzoekers niet langer verbieden openbare gegevens te scrapen. De Europese Raad voor digitale diensten vond het plan in zijn advies van 15 juni als geheel onvoldoende; de Commissie heeft verduidelijkt waarmee X rekening moet houden. X heeft zes maanden om het plan uit te voeren en moet daarna een onafhankelijke externe audit indienen; de Commissie houdt nauwlettend toezicht op de uitvoering.

Uitvoeringsverordening (EU) 2026/1755 van de Commissie stelt nadere procedureregels vast voor de wijze waarop de Commissie bepaalde procedures op grond van de AI Act (Verordening (EU) 2024/1689) voert. Bekendgemaakt in het Publicatieblad.

De Europese Commissie heeft richtsnoeren gepubliceerd die aanbieders en gebruiksverantwoordelijken van AI-systemen helpen te voldoen aan de transparantieverplichtingen van artikel 50 van de AI-verordening, die gelden vanaf 2 augustus 2026. De richtsnoeren verduidelijken welke aanbieders en gebruiksverantwoordelijken moeten voldoen aan de verplichtingen voor interactieve AI-systemen en voor het markeren en labelen van door AI gegenereerde inhoud. Aanbieders moeten AI-systemen zo ontwerpen dat mensen te horen krijgen dat zij rechtstreeks met AI communiceren, en moeten machineleesbare markeringen aanbrengen zodat door AI gegenereerde of bewerkte inhoud detecteerbaar is. Gebruiksverantwoordelijken moeten mensen informeren wanneer zij worden blootgesteld aan deepfakes, aan door AI gegenereerde inhoud over zaken van algemeen belang zonder menselijke toetsing of redactionele controle, en aan systemen voor emotieherkenning of biometrische categorisering. Verordening (EU) 2026/1744, die na de publicatie van de richtsnoeren in werking trad, geeft aanbieders van generatieve AI-systemen die vóór 2 augustus 2026 in de handel zijn gebracht tot 2 december 2026 om aan de markeringsplicht van artikel 50, lid 2, te voldoen.

De Europese Commissie heeft AliExpress een boete van € 550 miljoen opgelegd omdat het platform zijn verplichtingen uit de Digital Services Act heeft geschonden om de risico's van de verkoop van illegale, onveilige of nagemaakte producten via zijn e-commerceplatform zorgvuldig te beoordelen en te beperken, en heeft het platform opgedragen maatregelen te nemen. Volgens de Commissie schoot AliExpress op meerdere punten tekort in de beoordeling van het risico dat zulke producten zich via zijn diensten verspreiden, en nam het geen doeltreffende maatregelen om dat risico te verkleinen. Wie het besluit tot vaststelling van de niet-naleving niet opvolgt, riskeert dwangsommen.

Op 8 juli 2026 heeft de EDPB richtsnoeren gepubliceerd over wanneer gegevens als anoniem gelden en hoe de AVG van toepassing is op webscraping die wordt gebruikt om generatieve AI te trainen. Gegevens zijn alleen anoniem als personen niet kunnen worden geïndividualiseerd, niet over verschillende registraties heen aan elkaar kunnen worden gekoppeld en niet kunnen worden afgeleid — en die beoordeling kan per ontvanger verschillen. Bij het scrapen van persoonsgegevens moeten doelbinding, transparantie, juistheid en minimale gegevensverwerking in acht worden genomen, en voor bijzondere categorieën van persoonsgegevens blijven zowel een rechtsgrondslag op grond van artikel 6 als een uitzondering op grond van artikel 9, lid 2, vereist. De richtsnoeren over anonimisering en webscraping staan tot 30 oktober 2026 open voor openbare raadpleging en kunnen nog wijzigen; de bijbehorende richtsnoeren over blockchain zijn in definitieve vorm vastgesteld.

Een handhavingsmaatregel in verband met NIS2/cyberbeveiligingsregelgeving: “Commission refers Ireland, Spain, France and the Netherlands to the Court of Justice for failing to transpose the rules on cybersecurity”. Raadpleeg de primaire bron voor de gezaghebbende tekst.

ENISA heeft richtsnoeren voor de uitvoering van NIS2 gepubliceerd: de NIS2 Technical Implementation Guidance plus een begeleidend document over rollen en vaardigheden op het gebied van cyberbeveiliging voor essentiële en belangrijke entiteiten.

De Commissie heeft een praktijkcode gepubliceerd over het markeren en labelen van door AI gegenereerde content. Deze ondersteunt de transparantieverplichtingen van artikel 50: machineleesbare markering en detecteerbaarheid van synthetische content door aanbieders (art. 50, lid 2) en informatieverstrekking over en labeling van door AI gegenereerde of gemanipuleerde content door gebruiksverantwoordelijken (art. 50, lid 4).

Het verbod op AI-emotieherkenning op de werkplek en in het onderwijs geldt sinds 2 februari 2025 (art. 5 AI Act). De handhaving staat nog in de kinderschoenen — nog geen grote formele zaak. De boetes voor verboden praktijken zijn de hoogste in de verordening.

Het SyRI-risicosysteem voor bijstandsfraude schendt artikel 8 EVRM: onvoldoende transparant en niet proportioneel. Gebruik verboden.

Jarenlange onrechtmatige en discriminerende verwerking van de (dubbele) nationaliteit van aanvragers bij de kinderopvangtoeslag; nationaliteit werd ten onrechte als risico-indicator gebruikt.

Onrechtmatige databank van miljarden gezichtsafbeeldingen die van het internet zijn gescrapet voor gezichtsherkenning, zonder geldige rechtsgrondslag; verwerking van biometrische persoonsgegevens.

ChatGPT is getraind op persoonsgegevens zonder geldige rechtsgrondslag, schending van de transparantieverplichtingen, het niet melden van een datalek (maart 2023) en het ontbreken van leeftijdsverificatie.

Verordening (EU) 2026/1744 is op 24 juli 2026 bekendgemaakt en op 27 juli 2026 in werking getreden. De bindende toepassingsdata voor AI-systemen met een hoog risico zijn 2 december 2027 voor systemen uit bijlage III en 2 augustus 2028 voor AI die is ingebed in gereguleerde producten uit bijlage I.

Vrijwillige praktijkcode voor aanbieders van AI-modellen voor algemene doeleinden (art. 53/55), met drie hoofdstukken: transparantie, auteursrecht en veiligheid/beveiliging. Ondertekenaars (waaronder Anthropic, Google, Microsoft, OpenAI en IBM) gebruiken de code om aan te tonen dat zij voldoen; Meta heeft niet ondertekend.

De officiële richtsnoeren van de Commissie over de verboden praktijken (art. 5): manipulatie, uitbuiting van kwetsbaarheden, sociale scoring, ongerichte scraping van gezichtsafbeeldingen, emotieherkenning op het werk en in het onderwijs, biometrische categorisering en bepaalde realtime biometrische identificatie. Niet-bindend; het HvJ-EU heeft het laatste woord.