GBA Beheersplan 2027: nieuwe prioriteiten en een strenger sanctiebeleid

De focusgebieden voor 2027 (én een waarschuwing voor 2028 alvast)

De GBA hanteert volgend jaar voor het eerst een dubbele aanpak van enerzijds informeren en anderzijds hard bestraffen.  Dat is een aanpak die we ook bij de Franse CNIL bijvoorbeeld al enkele jaren terugzien: eerst worden marktspelers door de CNIL bevraagd over gangbare praktijken, daarna volgt sensibilisering en advies over hoe het beter moet en wie zich daarna niet heeft aangepast mag een boete verwachten. De GBA lijkt nu eenzelfde aanpak te willen hanteren: sectoren die in 2027 begeleiding en informatie krijgen, staan in 2028 in theorie op de planning voor actieve inspecties en handhaving. Wie in 2027 uitleg krijgt, heeft dus precies één jaar om zijn organisatie op orde te krijgen voordat de inspecteurs op de stoep staan.

We hebben de prioritaire domeinen even in een tabel gegoten, kwestie van het overzichtelijk te houden. 

 

Sector en thema	GBA Focus in 2027	GBA Focus in 2028
Banksector: profilering en hergebruik gegevens	Sensibilisering & Informatie	Handhaving & Inspectie (verwacht)
Medische sector: gezondheidsapps & medische data	Sensibilisering & Informatie	Handhaving & Inspectie (verwacht)
Horeca: beheer van reservatiegegevens	Sensibilisering & Informatie	Handhaving & Inspectie (verwacht)
Databrokers en directe marketing	Handhaving & Inspectie	Nader te bepalen
Gegevensverwerkingen in de videogamesector	Handhaving & Inspectie	Nader te bepalen

In principe komen de focussectoren die in 2027 prioritair gewaarschuwd zullen worden, daarna als eerste in aanmerking om in 2028 voor controle en sanctionering te worden aangeduid. De definitieve beslissingen hierover volgen echter pas in het Beheersplan 2028.

De Inspectiedienst: maatschappelijke impact en audits

De Inspectiedienst stopt met het onderzoeken van kleine akkefietjes. Vanaf nu zetten ze al hun schaarse middelen in op wat ze “strategische dossiers” noemen. Dat zijn dossiers met een grote maatschappelijke impact, zoals massale dataverwerkingen of privacyschendingen bij minderjarigen. Kleine inbreuken worden snel afgehandeld, bijvoorbeeld als het bedrijf de fout direct herstelt (“regularisatie”) tijdens het onderzoek. In dat geval volgt er een seponering, maar het doel is dan wel bereikt zónder een jarenlange procedure.

Daarnaast krijgt de dienst het steeds drukker met formele Europese audits. Daarbij treedt de Inspectiedienst niet louter op als boeman, maar eerder als coach om pijnpunten bloot te leggen.

Nog een belangrijke waarschuwing: de Inspectiedienst neemt sinds kort ook meldingen aan via de nieuwe klokkenluiderswetgeving. Externe meldingen over privacyinbreuken (soms via de Federale Ombudsman) komen dus rechtstreeks bij hen op het bureau terecht.

Lik-op-stuk bij de Geschillenkamer

Voor jou als ondernemer is de vernieuwde strategie van de Geschillenkamer cruciaal. Daar vallen immers de effectieve sancties en boetes. De doelstellingen voor 2027 liegen er niet om. De Geschillenkamer wil haar doorlooptijden drastisch verkorten door bewust kortere beslissingen te schrijven. Men kondigt daarnaast expliciet een lik-op-stuk aanpak aan voor zaken waar snel een waarschuwing of een licht bevel kan worden opgelegd. Verder zet de kamer zwaar in op administratieve geldboetes in de dossiers die zich daarvoor lenen.

Een belangrijke schakel in dat strakkere proces is de Eerstelijnsdienst. Die dienst gaat binnenkomende klachten strenger filteren en zal trachten om in een zeer vroeg stadium te bemiddelen. Slaagt die bemiddeling niet, dan rolt het dossier rechtstreeks door naar de Geschillenkamer. De kamer actualiseert bovendien haar seponeringsbeleid. Dat wijst op een strategie waarbij erg kleine incidenten zonder veel maatschappelijke impact snel weggewerkt worden, maar waarbij een weigering om mee te werken genadeloos wordt afgestraft.

Geen advies voor ondernemers, wel keihard afrekenen

Een naar onze bescheiden mening en op basis van onze ervaringen toch wel cynische passage in het beheersplan gaat over de nieuwe rol van die Eerstelijnsdienst als adviesloket. De GBA kondigt formeel aan dat ze resoluut stopt met het systematisch beantwoorden van individuele informatievragen van burgers en bedrijven. De overheid trekt zich zogenaamd terug als ‘persoonlijk raadgever’ en verschuift de volledige focus naar algemene informatieverstrekking via infofiches en FAQ’s op de eigen website.

Dat klinkt als een strategische hervorming, maar in de praktijk is het natuurlijk niet meer dan het formeel bevestigen van wat we op het terrein al jaren zien: de GBA was sowieso al weinig beschikbaar voor vragen van ondernemingen. Ook wat betreft de aangekondigde ‘begeleidende rol’ voor de DPO die een paar jaar geleden beloofd werd, denken we dat menig DPO op zijn honger is blijven zitten. 

Als Belgische ondernemer sta je compleet in de kou wanneer je oprecht zoekt naar raad of advies over hoe je de dingen correct aanpakt inzake gegevensbescherming. Maar owee als er een klacht en een inbreukprocedure volgt: dan schiet de overheidsmachine plots wél in gang, word je keihard afgerekend en worden de voorbeeldboetes genadeloos aan de schandpaal genageld.  Dat doen de Franse CNIL of de Nederlandse AP toch écht toen keer beter en wie als praktijkjurist op zoek is naar nuttige ondersteuning, komt altijd bij de toezichthouders uit onze buurlanden uit, eerder dan bij onze eigen GBA …

Waar moet jouw bedrijf nu op focussen in 2027?

• Check je leveranciers en partners: zodra de Inspectiedienst een databroker onderzoekt, komen de klanten van die broker onvermijdelijk mee in het vizier. Kijk je data-aankopen en toestemmingsmechanismen vandaag nog na.
• Bereid je in 2027 voor op 2028: zit je in de horeca, banksector of de medische hoek, gebruik 2027 dan om je verwerkingsregisters en privacy statements grondig op orde te stellen vóór de aangekondigde inspecties in 2028.
• Negeer nooit een klacht: neemt de Eerstelijnsdienst contact met je op, werk dan constructief mee aan een snelle bemiddeling om escalatie naar de Inspectiedienst te vermijden. Ga daarbij ook spontaan oplossingsgericht te werk. 
• Update je IT-security: de algemene richtlijnen rond de technische en organisatorische maatregelen in databeveiliging worden vernieuwd. Pas je interne procedures aan zodra ze gepubliceerd worden.