De AP in 2026: focus op massasurveillance, AI en digitale weerbaarheid

Impact bij niet-naleven

De Autoriteit Persoonsgegevens heeft aangekondigd dat zij voor de periode 2026-2028 drie prioriteiten centraal stelt: massasurveillance, artificiële intelligentie en digitale weerbaarheid. Deze focus betekent dat de toezichthouder haar inspanningen gaat richten op gebieden die steeds belangrijker worden in onze gedigitaliseerde economie. Voor MKB-ondernemers is dit relevant omdat veel bedrijven, vaak zonder het te beseffen, gebruik maken van technieken die onder deze prioriteiten vallen. Massasurveillance betreft grootschalige gegevensverzameling en -analyse. Dit raakt MKB-bedrijven die bijvoorbeeld uitgebreide klantprofielen opstellen, tracking-pixels gebruiken op hun website, of grote hoeveelheden klantgegevens analyseren voor marketing- of bedrijfsdoeleinden. Ook het gebruik van camera's met gezichtsherkenning, uitgebreide WiFi-tracking of het combineren van verschillende databronnen kan hieronder vallen. De AP zal waarschijnlijk strenger gaan kijken naar de rechtsgrondslag voor dergelijke verwerkingen en of bedrijven wel proportioneel en noodzakelijk te werk gaan. De focus op artificiële intelligentie is bijzonder relevant voor MKB-bedrijven die steeds vaker AI-tools inzetten. Dit kan gaan om chatbots op de website, automatische prijsstellingssystemen, HR-tools voor sollicitatiebeoordeling, of marketing-AI die klanten segmenteert en gepersonaliseerde content toont. De AP zal waarschijnlijk onderzoeken of bedrijven transparant zijn over hun AI-gebruik, of klanten hierover geïnformeerd worden, en of de AI-systemen geen discriminatie veroorzaken. Ook de kwaliteit van de data die wordt gebruikt om AI-systemen te trainen wordt waarschijnlijk onder de loep genomen. Digitale weerbaarheid gaat over hoe goed bedrijven bestand zijn tegen cyberaanvallen en datalekken. De AP zal waarschijnlijk meer aandacht besteden aan preventieve maatregelen die bedrijven treffen om persoonsgegevens te beschermen. Dit betekent dat technische en organisatorische maatregelen (TOMs) kritischer bekeken worden, evenals de procedures die bedrijven hebben voor het melden van datalekken. Voor MKB-bedrijven kan dit betekenen dat zij hun cybersecurity-maatregelen moeten versterken en beter moeten documenteren hoe zij persoonsgegevens beschermen tegen ongeoorloofde toegang, wijziging of verlies.