Sinds 1 september 2026 gelden nieuwe regels voor de verwerking van persoonsgegevens. De Verzamelwet gegevensbescherming is per die datum in werking getreden. Die wet heeft de Uitvoeringswet Algemene verordening gegevensbescherming (UAVG) op verschillende punten gewijzigd. Sommige wijzigingen zijn vooral technisch, maar andere hebben directe gevolgen voor organisaties. Denk aan de privacyrechten van minderjarigen, biometrische toegangscontrole en de openbaarmaking van sancties door de Autoriteit Persoonsgegevens (AP). Wat verandert er precies en wanneer moet u actie ondernemen?
Online platforms en hostingproviders moeten onder meer rekening houden met zowel de Digital Services Act (DSA) als de Algemene verordening gegevensbescherming (AVG). Maar hoe verhouden deze twee Europese verordeningen zich tot elkaar? Op 17 september 2026 heeft de European Data Protection Board (EDPB) definitieve guidelines vastgesteld die hierover meer duidelijkheid geven. Vooral bij contentmoderatie, online advertenties en aanbevelingssystemen is die verduidelijking relevant.
Vanaf 12 januari 2027 mogen cloudleveranciers in beginsel geen overstapkosten meer in rekening brengen wanneer klanten naar een andere aanbieder overstappen. Dat volgt uit de Europese Data Act. Betekent dit dat een cloudmigratie voortaan volledig kosteloos moet plaatsvinden? Nee. De verordening maakt onderscheid tussen overstapkosten, reguliere servicevergoedingen en aanvullende migratiediensten. Dat onderscheid is belangrijk voor zowel cloudleveranciers als hun klanten.
Clouddiensten zijn voor veel organisaties onmisbaar voor de bedrijfscontinuïteit. . Maar waar staan de gegevens, wie heeft toegang en in hoeverre is een Europese clouddienst afhankelijk van partijen of wetgeving buiten de EU? De Europese Commissie wil dergelijke vragen een grotere rol geven bij de keuze voor cloudleveranciers. En hierdoor minder afhankelijk zijn van niet-Europese cloudproviders.
Op 3 juni 2026 presenteerde de Europese Commissie daarom het voorstel voor de Cloud and AI Development Act (CADA). Een belangrijk onderdeel daarvan is een Europees kader voor cloudsoevereiniteit. Vooral voor overheden en hun cloudleveranciers kan dat gevolgen krijgen.
De CADA is nog geen geldend recht. Toch is het voorstel interessant voor organisaties die nu langlopende cloudcontracten sluiten.
De Ierse privacytoezichthouder Data Protection Commission (DPC) heeft Google op 21 september 2026 een boete van in totaal €403 miljoen opgelegd. Aanleiding is de verwerking van locatiegegevens via verschillende Google-diensten. Daarnaast moet Google de betreffende verwerkingen binnen zes maanden in overeenstemming brengen met de Algemene verordening gegevensbescherming (AVG).
De omvang van de boete trekt de aandacht. Voor andere organisaties is vooral interessant waar het volgens de toezichthouder misging. De beslissing raakt namelijk enkele fundamentele verplichtingen uit de AVG: rechtmatigheid, behoorlijkheid, transparantie, verantwoordingsplicht en bewaartermijnen.
Sinds 15 augustus 2026 is de Cyberbeveiligingswet (Cbw) van kracht. Daarmee is de Europese NIS2-richtlijn in Nederland geïmplementeerd. Organisaties die als essentiële of belangrijke entiteit onder de wet vallen, moeten onder meer voldoen aan een zorgplicht voor hun cyberbeveiliging.
Maar wat als uw ICT-bedrijf zelf niet onder de Cbw valt, terwijl uw klant dat wél doet? Ook dan kunt u met de gevolgen van de wet te maken krijgen. Niet rechtstreeks op grond van de Cbw, maar via uw klant en het contract dat u met die klant sluit. In deze blog gaan wij hier nader op in.
De meeste verplichtingen uit de Europese Cyber Resilience Act (CRA) gelden pas vanaf 11 december 2027. Eén belangrijk onderdeel loopt daarop vooruit. Vanaf 11 september 2026 moeten fabrikanten van producten met digitale elementen bepaalde kwetsbaarheden en ernstige beveiligingsincidenten melden.
Voor softwareleveranciers is het daarom tijd om vast te stellen of zij onder deze meldplicht vallen en of hun organisatie én contracten daarop zijn ingericht.
Levert u software, clouddiensten of andere IT-diensten aan de Rijksoverheid of de politie? Dan kunt u te maken krijgen met een nieuw beveiligingsregime: de Algemene Beveiligingseisen voor Rijksoverheidsopdrachten 2026 (ABRO 2026).
ABRO stelt niet alleen eisen aan informatiebeveiliging, maar onder meer ook aan personeel, onderaannemers, IT-infrastructuur, beheer en cloudgebruik.
Sinds 18 augustus 2026 is de Europese eEvidence-verordening van toepassing. Daarmee krijgen justitiële autoriteiten binnen de EU nieuwe mogelijkheden om elektronisch bewijsmateriaal uit andere EU-landen op te vragen. Voor digitale dienstverleners betekent dit dat zij onder bepaalde omstandigheden gegevens moeten bewaren of verstrekken aan een autoriteit uit een andere EU-lidstaat.
Dit heeft voor digitale dienstverleners de nodige gevolgen. Niet alleen vanwege de gegevens die kunnen worden opgevraagd, maar vooral vanwege de korte termijnen waarbinnen een dienstverlener moet handelen. Dat vraagt om voorbereiding.
De Autoriteit Persoonsgegevens (AP) roept organisaties op om zich nu al voor te bereiden op een nieuwe verplichting uit de Europese AI Act: de Fundamental Rights Impact Assessment (FRIA), oftewel de grondrechteneffectbeoordeling.
Vanaf 2 december 2027 moeten bepaalde organisaties bij de inzet van een hoogrisico-AI-systeem beoordelen welke gevolgen dit systeem kan hebben voor de grondrechten van mensen.
Gebruikt uw organisatie AI bij de beoordeling van sollicitanten, de toegang tot publieke voorzieningen of de kredietwaardigheid van consumenten?
Dan kan de FRIA-verplichting ook voor uw organisatie gelden.
In deze blog leest u wat een FRIA is, waar de verplichting in de AI Act staat en hoe u zich hierop kunt voorbereiden.
Online reviews spelen een belangrijke rol bij de keuze van consumenten voor een product of dienst. Een onderneming kan daarom een aanzienlijk commercieel voordeel behalen met positieve beoordelingen. Maar wat als die beoordelingen helemaal niet afkomstig zijn van echte klanten?
Het Gerechtshof Amsterdam heeft in het arrest van 4 augustus 2026 zich hierover uitgesproken. In deze zaak stond een geschil tussen twee ondernemingen die zich bezighouden met het aanvechten van verkeersboetes centraal. Naast een discussie over auteursrecht op teksten en de vormgeving van een website, kwam ook het gebruik van zogenoemde ‘nepreviews’ aan de orde.
In 2020 schreven wij al over de juridische strijd tussen Equihold en Capgemini over de kwaliteit van ontwikkelde software. Zes jaar later loopt de juridische procedure nog steeds. Op 17 juli 2026 heeft de Hoge Raad het arrest van het gerechtshof Den Haag gedeeltelijk vernietigd en de zaak doorverwezen naar het gerechtshof ’s-Hertogenbosch.
Opmerkelijk genoeg is na ruim twaalf jaar procederen de centrale vraag nog steeds niet inhoudelijk door een rechter beantwoord:
Was de door Capgemini ontwikkelde software daadwerkelijk van onvoldoende kwaliteit?
De European Data Protection Board (EDPB) heeft drie nieuwe richtlijnen gepubliceerd die relevant zijn voor organisaties die werken met persoonsgegevens en nieuwe technologieën. De richtlijnen gaan over web scraping voor generatieve AI, anonimiseren van persoonsgegevens en het gebruik van blockchaintechnologie.
Met deze richtlijnen geeft de EDPB meer duidelijkheid over hoe organisaties de AVG in de praktijk moeten toepassen. Hieronder zetten wij de belangrijkste aandachtspunten op een rij.
Waar de mogelijkheden rond AI snel toenemen, blijven ook de vragen over privacy en gegevensbescherming groeien. Om organisaties daarbij te ondersteunen heeft de Autoriteit Persoonsgegevens (AP) op 13 juli 2026 twee documenten gepubliceerd. Een ‘Handreiking generatieve AI en de AVG’ én een praktisch ‘Hulpmiddel generatieve AI en de AVG+GR’. Met deze documenten geeft de AP voor het eerst uitgebreid richting aan de manier waarop ontwikkelaars én organisaties generatieve AI kunnen inzetten binnen de kaders van de AVG.
Vanaf 2 augustus 2026 moeten organisaties voldoen aan de eerste transparantieverplichtingen uit de Europese AI Act. Hoewel de aandacht vaak uitgaat naar de grote AI-ontwikkelaars, raken deze verplichtingen juist ook veel organisaties die AI gebruiken in hun dagelijkse bedrijfsvoering.
Gebruikt uw organisatie een AI-chatbot? Publiceert u AI-gegenereerde afbeeldingen of teksten? Of maakt u gebruik van AI om content te bewerken? Dan is de kans groot dat de nieuwe regels ook voor uw organisatie relevant zijn.
Juist in IT-contracten kan opschorting verstrekkende gevolgen hebben. Daarom verdient dit onderwerp aandacht bij het opstellen van en onderhandelen over contracten. De wettelijke regeling rondom opschorting geeft partijen de mogelijkheid om hun eigen verplichtingen op te schorten wanneer de wederpartij tekortschiet in de nakoming. Echter in de IT-praktijk is de vraag niet alleen óf opschorting juridisch mogelijk is. Veel belangrijker is welke gevolgen opschorting in de praktijk heeft. In deze blog meer over opschorting en hoe dit middel in het IT-contract kan worden geregeld.
Op basis van een bestaande klantrelatie mochten bedrijven tot nu toe klanten telefonisch benaderen voor eigen, soortgelijke producten of diensten — de zogenoemde soft opt-in. Aan die praktijk komt per 1 juli 2026 een einde.
Vanaf dat moment geldt voor telemarketing richting consumenten één duidelijke hoofdregel: telefonische commerciële communicatie is alleen toegestaan met voorafgaande, expliciete en aantoonbare toestemming.
Voor veel organisaties betekent dit een ingrijpende wijziging in hun sales- en marketingprocessen.
Veel softwareleveranciers en IT-dienstverleners bieden hun diensten aan met onder meer een Service Level Agreement (SLA). In de praktijk blijkt dat veel SLA's vooral bestaan uit technische termen, zonder dat duidelijk is welke rechten en verplichtingen partijen daadwerkelijk hebben.
Een goede SLA is veel meer dan een lijst met responstijden. Het document vormt de basis voor de verwachtingen tussen leverancier en klant en voorkomt discussies wanneer zich storingen, beveiligingsincidenten of beschikbaarheidsproblemen voordoen.
Maar wat moet er nu eigenlijk in een SLA staan?
De Europese Commissie heeft eind mei 2026 concept-richtlijnen gepubliceerd voor zogenaamde Trusted Flaggers onder de Digital Services Act (DSA). Hoewel het onderwerp op het eerste gezicht vooral relevant lijkt voor sociale media en online marktplaatsen, kunnen de nieuwe richtlijnen ook grote gevolgen hebben voor aanbieders van AI-systemen, generatieve AI-platforms en AI-gestuurde zoekmachines.
Voor veel bedrijven is een Instagram- of LinkedIn-account meer dan een marketingkanaal. Het vertegenwoordigt klantbereik, advertentiehistorie en soms een aanzienlijk deel van de omzet. Een plotselinge blokkade kan dan grote commerciële gevolgen hebben. De vraag die wij in de praktijk steeds vaker tegenkomen: kun je juridisch herstel afdwingen?
