Cyberbeveiligingswet van kracht
Sinds 15 augustus 2026 gelden de Cyberbeveiligingswet (Cbw) en de Wet weerbaarheid kritieke entiteiten. Met de Cyberbeveiligingswet wordt de Europese NIS2-richtlijn omgezet in Nederlandse wetgeving. De wet vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni) en geldt voor organisaties die essentiële of belangrijke diensten leveren.
Organisaties die onder de Cyberbeveiligingswet vallen, krijgen te maken met verplichtingen op het gebied van risicobeheersing, incidentmelding en registratie. Zij moeten passende maatregelen nemen om digitale risico’s te beperken, significante incidenten melden en zich registreren in het nationale entiteitenregister. Ook krijgt het bestuur een expliciete verantwoordelijkheid voor de naleving van de zorgplicht.
De wet raakt verschillende sectoren, waaronder energie, vervoer, financiële dienstverlening, digitale infrastructuur, overheid en gezondheidszorg. Welke verplichtingen precies gelden, hangt af van de sector en van de vraag of een organisatie als essentieel of belangrijk wordt aangemerkt.
De Wet weerbaarheid kritieke entiteiten ziet daarnaast op de fysieke, organisatorische en digitale weerbaarheid van organisaties die van groot belang zijn voor het functioneren van de samenleving. Samen moeten de twee wetten ervoor zorgen dat vitale en belangrijke processen beter bestand zijn tegen digitale en andere verstoringen.
Uber beboet voor automatisch blokkeren van chauffeurs
De Autoriteit Persoonsgegevens (AP) heeft Uber een boete van bijna 825 miljoen euro opgelegd vanwege het gebruik van volledig geautomatiseerde besluitvorming over chauffeurs. Het gaat onder meer om besluiten waarbij accounts van chauffeurs tijdelijk of permanent werden geblokkeerd zonder menselijke tussenkomst.
Uber gebruikte geautomatiseerde systemen onder andere bij vermoedens van fraude en bij lage beoordelingen van chauffeurs. Volgens de AP hadden deze besluiten aanzienlijke gevolgen voor de betrokken chauffeurs. Wanneer hun account werd geblokkeerd, konden zij via het platform geen ritten meer uitvoeren en daarmee geen inkomsten genereren.
De zaak volgde op een collectieve klacht van een Franse mensenrechtenorganisatie namens meer dan 170 chauffeurs. Omdat Uber zijn Europese hoofdvestiging in Nederland heeft, voerde de AP het onderzoek uit. De Franse privacytoezichthouder Commission nationale de l’informatique et des libertés (CNIL) werkte gedurende de procedure met de AP samen.
Twitch-data gebruikt voor training Amazon AI
Streamingplatform Twitch gebruikt content van gebruikers voor het trainen van generatieve AI-modellen van moederbedrijf Amazon. Het kan daarbij gaan om livestreams, video’s, clips, chats, afbeeldingen en teksten. De Autoriteit Persoonsgegevens (AP) adviseert gebruikers die niet willen dat hun gegevens hiervoor worden gebruikt om deze mogelijkheid uit te schakelen.
Volgens de AP kunnen livestreams verschillende persoonsgegevens bevatten, zoals het gezicht, de stem en naam van een gebruiker en beelden van een persoonlijke ruimte. Ook teksten en chats kunnen als trainingsmateriaal worden gebruikt. De toezichthouder wijst erop dat gebruikers de controle over hun persoonsgegevens kunnen verliezen wanneer deze eenmaal in AI-modellen zijn verwerkt.
Twitch biedt gebruikers een instelling waarmee zij het gebruik van hun kanaalcontent voor het trainen van generatieve AI-modellen van Amazon kunnen uitschakelen. Deze instelling staat standaard ingeschakeld. De keuze geldt alleen voor toekomstig gebruik van content voor AI-training en niet voor andere toepassingen van AI binnen Twitch.
TikTok beschermt minderjarigen volgens Commissie onvoldoende
De Europese Commissie stelt voorlopig vast dat TikTok minderjarigen onvoldoende beschermt en daarmee mogelijk niet voldoet aan de Digital Services Act (DSA). Volgens de Commissie bieden de accountinstellingen van TikTok minderjarige gebruikers onvoldoende privacy en veiligheid.
Minderjarigen kunnen hun account op TikTok openbaar maken, waardoor hun content ook zichtbaar kan worden voor mensen zonder TikTok-account. Bij gebruikers van 16 en 17 jaar kan content van openbare accounts bovendien via de For You-feed worden aanbevolen aan andere gebruikers. Ook bij privéaccounts blijven onder meer profielfoto’s en lijsten met volgers en gevolgde accounts zichtbaar. Volgens de Commissie kan dit minderjarigen blootstellen aan risico’s zoals ongewenst contact en cyberpesten.
TikTok kan de onderzoeksdocumenten van de Commissie inzien en schriftelijk reageren op de voorlopige bevindingen. De Europese Raad voor digitale diensten wordt eveneens geraadpleegd. De voorlopige conclusies lopen niet vooruit op de definitieve uitkomst van het onderzoek.
AP start pilot voor beoordeling grondrechten bij AI
Vanaf december 2027 moeten onder meer overheidsorganisaties een fundamental rights impact assessment (FRIA, grondrechteneffectbeoordeling) uitvoeren voordat zij bepaalde hoogrisico-AI-systemen in gebruik nemen. Met een FRIA brengt een organisatie vooraf in kaart welke gevolgen het gebruik van een AI-systeem kan hebben voor grondrechten en welke maatregelen nodig zijn om de risico’s te beperken.
De verplichting volgt uit de AI-verordening en geldt onder meer voor overheidsorganisaties en private organisaties die publieke diensten verlenen wanneer zij bepaalde hoogrisico-AI-systemen gebruiken. Na de beoordeling moeten zij de resultaten melden bij de bevoegde markttoezichthouder.
De Autoriteit Persoonsgegevens (AP) heeft uitleg gepubliceerd over de nieuwe verplichting en organiseert een pilot waarmee organisaties alvast ervaring kunnen opdoen met de FRIA-rapportage. Organisaties die aan de voorwaarden voor deelname voldoen, kunnen zich tot en met 21 september 2026 aanmelden voor de pilot.
noyb dreigt met rechtszaak om SCHUFA-database
Privacyorganisatie noyb heeft de Duitse kredietinformatiedienst SCHUFA formeel gesommeerd om te stoppen met het bewaren van persoonsgegevens na het verstrijken van de daarvoor gehanteerde bewaartermijnen. Als SCHUFA niet aan de eisen voldoet, wil noyb via de rechter een verbod op de verwerking afdwingen. Daarnaast bereidt de organisatie een mogelijke collectieve schadevergoedingsactie voor.
Aanleiding is onderzoek van de Duitse omroep NDR en de Süddeutsche Zeitung naar een database met historische gegevens. Volgens de onderzoekers bewaart SCHUFA daarin onder meer informatie over oude kredieten, betalingsachterstanden, beslagen en faillissementen die niet langer zichtbaar zijn voor betrokkenen. De gegevens worden volgens het onderzoek onder meer gebruikt om de betrouwbaarheid van kredietscores te testen.
noyb stelt daarnaast dat deze historische gegevens niet worden verstrekt wanneer betrokkenen een inzageverzoek doen op grond van de Algemene verordening gegevensbescherming (AVG). SCHUFA betwist dat de verwerking onrechtmatig is en stelt dat historische gegevens nodig zijn om onder meer de kwaliteit van kredietscores te controleren.
Handhaving AI-verordening uitgebreid
Sinds 2 augustus 2026 zijn nieuwe onderdelen van de AI-verordening handhaafbaar. Het AI-bureau van de Europese Commissie en nationale toezichthouders kunnen vanaf deze datum verschillende onderdelen van de verordening handhaven, waaronder regels voor AI-modellen en nieuwe transparantieverplichtingen.
De transparantieverplichtingen moeten het voor mensen duidelijker maken wanneer zij met AI of door AI gegenereerde content te maken hebben. Zo moeten bepaalde interactieve AI-systemen gebruikers informeren dat zij met AI communiceren. Ook moeten aanbieders synthetische audio-, beeld-, video- en tekstcontent in bepaalde gevallen machineleesbaar markeren. Voor deepfakes geldt dat kenbaar moet worden gemaakt dat de content kunstmatig is gegenereerd of gemanipuleerd.
Niet alle onderdelen van de AI-verordening zijn vanaf 2 augustus 2026 handhaafbaar. Voor verschillende verplichtingen gelden latere toepassingsdata. Zo worden de regels voor bepaalde hoogrisico-AI-systemen uit bijlage III vanaf december 2027 van toepassing. Andere categorieën volgen op een later moment.
