Vorig jaar rond deze tijd werd u volop gewaarschuwd, ook door ons. Let op! De AVG komt eraan! Voldoet u er niet aan? Dan wachten u mogelijk hoge boetes, tot wel twintig miljoen euro of 4% van de wereldwijde jaaromzet. Voor veel ondernemers waren die boetes reden om serieus aan de slag te gaan met hun privacybeleid. Ondertussen werd er veel gespeculeerd over welke boetes in de praktijk zouden worden opgelegd. Daar is nu wat meer duidelijkheid over. Schravenmade Advocaten vertelt u graag wat u kunt verwachten.

De boetes in de AVG

Zoals u wellicht weet is de AVG een Europese verordening. In Europa is afgesproken dat sancties doeltreffend en evenredig moeten zijn, en een afschrikkende werking moeten hebben. Dat van de maximale boetes in de AVG een afschrikkende werking uitgaat, is wel duidelijk: in artikel 83 van de AVG worden maximumboetes genoemd tot 20 miljoen euro of 4% van de wereldwijde jaaromzet.

Het was echter maar de vraag hoe hier in de praktijk mee zou worden omgegaan. Inmiddels zijn er her en der in Europa boetes opgelegd. Zo kreeg een ziekenhuis in Portugal een boete van € 400.000, kreeg een Duits chatplatform een boete van € 20.000 en moest een wedkantoor in Oostenrijk een boete van € 4.800 betalen. In Nederland legde het AP in november 2018 een boete van € 600.000 op aan Uber, maar die overtreding viel officieel nog onder de Wet bescherming persoonsgegevens.

Uiteindelijk is het de bedoeling dat de Europese toezichthouders, verzameld in de European Data Protection Board (EDPB), gezamenlijk uitgangspunten gaan formuleren voor de berekening van boetes. Maar die uitgangspunten zijn er nog niet. Vandaar dat de AP nu voor de Nederlandse situatie zelf beleid heeft vastgesteld. Deze boetebeleidsregels hebben zij op 14 maart 2019 gepubliceerd.

Boetebeleidsregels Autoriteit Persoonsgegevens

Met deze boetebeleidsregels wil de AP inzicht geven in de manier waarop zij de hoogte van de boete berekent. De berekening verschilt namelijk per categorie overtreding. De AVG zelf kent twee categorieën overtredingen:

1. Overtredingen van de beginselen of de grondslagen van de AVG, of van de privacyrechten van een betrokkene. Dit zijn overtredingen van fundamentele verplichtingen. Op deze overtredingen staat een maximumboete van 20 miljoen euro of 4% van de wereldwijde jaaromzet.
2. Overtredingen van administratieve verplichtingen. Op deze overtredingen staat een maximumboete van 10 miljoen euro of 2% van de wereldwijde jaaromzet.

De AP heeft deze overtredingen weer ingedeeld in vier boetecategorieën. Elke boetecategorie is vervolgens gekoppeld aan een bepaalde boetebandbreedte: een minimum- en een maximumbedrag. Binnen die boetebandbreedtes heeft de AP steeds een basisboete vastgelegd. En dát bedrag vormt voor de AP het uitgangspunt voor de berekening van de daadwerkelijke boete:

De AP mag, als de maximumboete binnen een bandbreedte niet passend is, een boete uit een hogere categorie opleggen. Zij mogen ook nog steeds een boete 10 of 20 miljoen euro opleggen.

Zoals u zit liggen de bedragen in de tabel een stuk lager dan de in de AVG genoemde maximumboetes. Maar het zijn toch nog forse bedragen. De AP kan de basisboete overigens ook nog verhogen of verlagen, aan de hand van onder meer de volgende factoren:

• de aard, ernst en duur van de overtreding
• de opzettelijke of nalatige aard van de overtreding
• het aantal betrokkenen
• de omvang van de schade
• de genomen maatregelen om de schade te beperken
• de wijze van meewerken met de AP
• recidive of niet

In alle gevallen houdt de AP rekening met de draagkracht van de overtreder.

Conclusie

Het blijft, gelet op het beleid van het AP en de hoogte van de basisboetes, erg belangrijk dat u AVG-proof bent. En blijft! Overigens verwachten wij dat de AP in de meeste gevallen gebruik zal blijven maken van hun bevoegdheid om (eerst) een dwangsom op te leggen.