Data & Privacy Jurisprudentieblog | oktober 2026

In dit blog worden twee recente uitspraken besproken die betrekking hebben op de grenzen van wat een verwerkingsverantwoordelijke mag doen met persoonsgegevens die hij beheert. Het Hof van Justitie van de Europese Unie (hierna: 'het Hof') oordeelde dat FIFA bij de publicatie van sancties en transactiegegevens van makelaars de grenzen van artikel 6 lid 1 sub f AVG overschrijdt. De Afdeling bestuursrechtspraak van de Raad van State (hierna: 'de Afdeling') oordeelde in een zaak over de Fraude Signalering Voorziening van de Belastingdienst dat een verwerkingsverantwoordelijke bij een inzageverzoek ook afgeschermde digitale omgevingen in zijn zoekslag moet betrekken.

FIFA Football Agent Regulations en de AVG: publicatie van sancties en transactiegegevens aan banden

Op 16 juli 2026 deed het Hof uitspraak in een zaak over de FIFA Football Agent Regulations (hierna: 'FFAR'). De FFAR regelen de activiteiten van makelaars die betrokken zijn bij de internationale transfers van voetbalspelers en coaches. De uitspraak gaat over de vraag of verschillende regels uit de FFAR verenigbaar zijn met het mededingingsrecht, de vrijheid van dienstverrichting en de AVG. In dit blog bespreken wij uitsluitend het AVG-gedeelte van de uitspraak.

Wat was er aan de hand?

De FFAR verplichten makelaars om diverse informatie te uploaden naar een digitaal platform dat door FIFA wordt beheerd. Een deel van die informatie wordt vervolgens door FIFA gepubliceerd en toegankelijk gemaakt voor clubs, spelers, coaches en andere makelaars. De twee categorieën die door het Hof kritisch zijn beoordeeld, zijn:

• De publicatie van alle opgelegde sancties aan makelaars en hun cliënten op grond van artikel 19 sub d FFAR, en

• De publicatie van de details van alle transacties waarbij makelaars betrokken zijn geweest, inclusief de hoogte van de betaalde vergoedingen, op grond van artikel 19 sub e FFAR.

Het toetsingskader: gerechtvaardigd belang

Het Hof stelt voorop dat de toepasselijke verwerkingsgrondslag artikel 6 lid 1 sub f AVG is: verwerking op grond van een gerechtvaardigd belang. Op basis van vaste rechtspraak toetst het Hof aan drie cumulatieve vereisten: er moet sprake zijn van een gerechtvaardigd belang van de verwerkingsverantwoordelijke of een derde, de verwerking moet noodzakelijk zijn voor dat belang, en de belangen of grondrechten van de betrokkene mogen niet zwaarder wegen dan het belang van de verwerkingsverantwoordelijke.

Aan het eerste vereiste is in beginsel voldaan: FIFA heeft een legitiem belang bij het handhaven van de FFAR en het in staat stellen van andere partijen om aan hun verplichtingen te voldoen. Het struikelt echter op de vereisten van noodzakelijkheid en evenredigheid.

Alles publiceren gaat te ver

Artikel 19 sub d FFAR verplicht FIFA om alle opgelegde sancties openbaar te maken, ongeacht de ernst van de overtreding, de schade die daardoor is veroorzaakt, of het tijdsverloop sindsdien. Het Hof erkent weliswaar dat publicatie van sancties in bepaalde gevallen gerechtvaardigd kan zijn. Zo kan publicatie een effectieve sanctie op zichzelf zijn en slachtoffers in staat stellen hun schade te verhalen, maar een ongedifferentieerde publicatieplicht voor alle sancties, hoe licht ook, gaat verder dan noodzakelijk is.

Het Hof maakt daarbij wel een uitdrukkelijk onderscheid: de publicatie van de namen en contactgegevens van makelaars, de identiteit van de cliënten die zij vertegenwoordigen en de door hen geleverde diensten, zoals bedoeld in artikel 19 sub a tot en met c FFAR, acht het Hof in beginsel wél proportioneel. Die informatie is beperkt tot wat noodzakelijk is om de betrokken partijen in staat te stellen hun verplichtingen onder de FFAR na te komen en betreft uitsluitend de professionele activiteiten van de betrokkenen binnen een regelgevingskader waarvan zij als professionals geacht worden op de hoogte te zijn.

Daarbij speelt ook artikel 10 AVG een rol. Wanneer een sanctie een strafrechtelijk karakter heeft, geldt een verzwaarde beschermingsstandaard: verwerking is in dat geval alleen toegestaan onder toezicht van een officiële overheidsinstantie, of op basis van een uitdrukkelijke wettelijke grondslag in Unierechtelijk of nationaal recht. Noch het een noch het ander is hier aanwezig: FIFA is geen overheidsinstantie, en de FFAR vormen geen wettelijke grondslag in de zin van artikel 10 AVG.

Dataminimalisatie

De verplichting in artikel 19 sub e FFAR om de details van alle transacties te publiceren, inclusief de hoogte van de betaalde makelaarsvergoedingen, acht het Hof eveneens in strijd met de AVG. De formulering van die bepaling is bijzonder breed: zij dekt in beginsel alle transacties waarbij makelaars betrokken zijn. Daarmee is de omvang van de verwerking onvoldoende afgebakend om te voldoen aan het dataminimalisatiebeginsel van artikel 5 lid 1 sub c AVG.

Het Hof voegt toe dat geanonimiseerde of geaggregeerde informatie, zoals een overzicht van gemiddelde marktprijzen, in veel gevallen voldoende zou zijn om transparantie op de markt te bevorderen zonder dat individuele transactiegegevens per makelaar hoeven te worden gepubliceerd.

Wat betekent deze uitspraak voor de praktijk?

Deze uitspraak laat zien dat de AVG ook van toepassing is op privaatrechtelijke organisaties die buiten de EU zijn gevestigd, wanneer zij persoonsgegevens verwerken van betrokkenen die zich in de EU bevinden. Voor FIFA betekent dit dat zij de publicatieverplichtingen in de FFAR zal moeten herzien. Voor de bredere praktijk zijn twee lessen relevant:

• Publicatie van sancties vereist differentiatie. Wie sancties openbaar maakt, moet nadenken over proportionaliteit: hoe ernstig is de overtreding, hoe lang geleden vond die plaats, en welk doel dient de publicatie? Een alomvattende publicatieplicht zonder onderscheid is al snel in strijd met de AVG.

• Dataminimalisatie geldt ook voor transparantieverplichtingen. Het feit dat markttransparantie bevorderen als verwerkingsdoel legitiem is, rechtvaardigt niet automatisch de publicatie van alle onderliggende gegevens. Geaggregeerde of geanonimiseerde informatie kan in veel gevallen even effectief zijn, terwijl de inbreuk op de privacy van betrokkenen in dat geval aanzienlijk kleiner is.

Inzage, een datakluis en de reikwijdte van de zoekplicht

Op 30 september 2026 deed de Afdeling uitspraak in een zaak over een inzageverzoek bij de Belastingdienst. Appellanten hadden op grond van het recht op inzage van artikel 15 AVG verzocht om inzage in alle gegevens die de Belastingdienst over hen had verwerkt in de Fraude Signalering Voorziening (FSV) en andere vergelijkbare systemen. Centraal in de uitspraak staat de vraag hoe ver de zoekplicht van een verwerkingsverantwoordelijke reikt bij de afhandeling van een inzageverzoek.

Wat was er aan de hand?

De FSV was een applicatie waarmee de Belastingdienst risicosignalen en fraudemeldingen registreerde. Na publieke berichtgeving over de FSV verzochten appellanten de minister van Financiën om inzage in alle 'zwarte lijsten' waarop zij mogelijk stonden geregistreerd. De minister stelde dat hun persoonsgegevens niet in de FSV voorkwamen en dat er geen vergelijkbare systemen waren gevonden. Op basis daarvan wees hij het verzoek grotendeels af.

De Afdeling nam ambtshalve kennis van de informatie die de staatssecretarissen van Financiën vanaf april 2026 aan de Tweede Kamer hadden verstrekt over de zogeheten datakluis bij de Belastingdienst: een afgeschermde digitale omgeving, ingericht in 2019, die circa 25 miljoen bestanden bevat. Uit extern onderzoek door BDO bleek dat de datakluis onder meer bestanden bevat die relevant zijn voor de onderwerpen FSV en het Risico Analyse Model (RAM), een ander systeem waarmee de Belastingdienst frauderisico’s analyseerde, en dat er binnen de Belastingdienst meerdere afgeschermde digitale omgevingen bestaan die nader onderzoek vergen. Geen van deze omgevingen was betrokken bij de zoekslagen naar aanleiding van inzageverzoeken van burgers.

Een ongeloofwaardige mededeling van de minister

De Afdeling hanteert als uitgangspunt dat wanneer een bestuursorgaan na onderzoek stelt dat bepaalde persoonsgegevens niet zijn aangetroffen, en die mededeling niet ongeloofwaardig voorkomt, het in beginsel aan de verzoeker is om aannemelijk te maken dat de gegevens er toch zijn. Bij de beoordeling of een mededeling geloofwaardig is, betrekt de Afdeling de wijze waarop het onderzoek is verricht.

Omdat de datakluis en andere afgeschermde omgevingen naar aanleiding van het inzageverzoek hadden moeten worden betrokken bij de zoekslagen, maar dat niet is gebeurd, kan de mededeling van de minister dat de persoonsgegevens van appellanten niet voorkomen in de FSV naar het oordeel van de Afdeling niet zonder meer geloofwaardig worden geacht. De minister moet opnieuw beslissen en daarbij alle gegevensbestanden, applicaties en systemen betrekken waarin risicosignalen voor fraude zijn of worden verwerkt, inclusief de inhoud van de datakluis.

De reikwijdte van een inzageverzoek moet ruim worden uitgelegd

De minister had het verzoek beperkt opgevat door alleen te zoeken in systemen die volgens door KPMG gehanteerde criteria nauw vergelijkbaar waren met de FSV. De Afdeling verwerpt deze benadering. Een redelijke interpretatie van een inzageverzoek gericht op 'zwarte lijsten' brengt mee dat daartoe alle gegevensbestanden, applicaties en systemen behoren waarin risicosignalen voor fraude met betrekking tot personen zijn of worden verwerkt. De verwerkingsverantwoordelijke mag de reikwijdte van de zoekslag niet eenzijdig inperken door een definitie te hanteren die aanzienlijk enger is dan wat de verzoeker redelijkerwijs beoogde.

Wat betekent deze uitspraak voor de praktijk?

De uitspraak heeft gevolgen die verder reiken dan de FSV-affaire alleen. Elke verwerkingsverantwoordelijke die persoonsgegevens verwerkt in meerdere systemen, waaronder afgeschermde of gearchiveerde omgevingen, moet bij de afhandeling van een inzageverzoek alle relevante systemen in de zoekslag betrekken. Het is niet voldoende om alleen de meest voor de hand liggende of actief gebruikte systemen te doorzoeken. Daarnaast geldt dat de interpretatie van de reikwijdte van een inzageverzoek niet eenzijdig door de verwerkingsverantwoordelijke mag worden ingeperkt. De verzoeker bepaalt de strekking van zijn verzoek; de verwerkingsverantwoordelijke dient die strekking redelijkerwijs te interpreteren en zijn zoekslag daarop af te stemmen. Organisaties doen er verstandig aan hun inzageprocedures te toetsen op volledigheid, met bijzondere aandacht voor archieven, afgeschermde omgevingen en systemen die niet langer actief worden gebruikt maar wel nog persoonsgegevens bevatten.

Wil je meer van onze Data & Privacy jurisprudentieblog lezen? Bekijk het vorige blog via de link hieronder.