Constateert de Autoriteit Persoonsgegevens dat een organisatie de verwerking van persoonsgegevens niet op orde heeft, dan kan de toezichthouder boetes opleggen. De boetes zijn hoog. De AP mag tot € 20 miljoen aan boetes opleggen en zelfs tot 4% van de totale jaaromzet, als dat bedrag hoger is.