02/06/2022 - Afgelopen 16 mei kondigde de European Data Protection Board (EDPB) nieuwe concept richtsnoeren aan omtrent de berekening van boetes voor het in strijd handelen met de Algemene Verordening Gegevensbescherming (AVG). In deze richtsnoeren heeft de EDPB een 5-stappenplan opgenomen voor privacytoezichthouders die moet worden gevolgd bij het berekenen van de AVG-boete. In deze blog wordt u meegenomen door dit stappenplan van de EDPB om u en uw bedrijf te informeren over deze ontwikkeling.
Ten eerste is van belang dat de verwerkingsactiviteiten duidelijk worden geïdentificeerd en moet de toepasbaarheid van art. 83 AVG worden nagegaan. In dit artikel zijn de algemene voorwaarden opgenomen voor het opleggen van een administratieve boete. Hier is belangrijk dat de feitelijke gedraging en overtredingen waarop de boete is gebaseerd duidelijk wordt gemaakt. Het is dan ook in deze fase belangrijk dat wordt geconstateerd of er sprake is van één of meerdere strafbare gedragingen. Wanneer er sprake is van één strafbare gedraging moet worden gekeken of dit één of meerdere overtredingen oplevert. Als een gedraging meerdere inbreuken oplevert, moet worden nagegaan of de toekenning van een overtreding de toekenning van een andere overtreding uitsluit. Of dat deze overtredingen beide kunnen worden toegerekend aan de overtreder.
Volgens de EDPB is het voor de harmonisatie van de berekening van de AVG-boetes van belang dat er vast startpunt is van de boetes. Echter, moet dit startpunt de privacytoezichthouders er niet van weer houden om de boete te verhogen of te verlagen als de omstandigheden daarom vragen. De EDPB baseert het startpunt van de boetes op drie gronden; de aard, de ernst en de duur van de inbreuk. Bij de aard van de inbreuk gaat het vooral om onder welke grond van artikel 83 AVG de inbreuk valt. Bij de ernst van de inbreuk wordt rekening gehouden met de aard, schaal, doel van de verwerkingsactiviteit en het aantal betrokkenen. Ook wordt rekening gehouden met de mate van schade die is geleden. Bij de duur van de inbreuk geldt als basis regel dat de privacytoezichthouders doorgaans een hogere boete oplegt aan een inbreuk die langer duurt.
In lijn met de AVG volgt als derde stap het overwegen van eventuele resterende verzwarende en verzachtende factoren, welke zijn opgenomen in art. 83(2) AVG. Het overwegen van deze factoren kan gevolgen hebben voor de boete, door een eventuele verhoging of verlaging hiervan. Om te bepalen of er sprake is van zulke factoren wordt er als eerst gekeken naar de maatregelen die zijn getroffen om de schade bij datasubjecten te beperken. Het nemen van passende maatregelen kan zorgen voor een verlaging van de boete. Maatregelen die zijn genomen voordat er onderzoek was naar de verwerking worden eerder toegelaten als verzachtende maatregel. Andere factoren die hierbij een rol kunnen spelen zijn: het bestaan van eerdere overtredingen door de verwerker, de mate waarin wordt meegewerkt aan het onderzoek van de privacytoezichthouder of de manier waarop de overtreding duidelijk wordt bij de toezichthouder.
Bij deze vierde stap wordt gekeken naar de maximale hoogte van boetes voor de vastgestelde overtreding. In de AVG zijn maxima gesteld aan boetes, welke door alle privacytoezichthouders in acht moeten worden genomen. De maxima van de boetes zijn opgenomen in art. 83 (4) tot (6) AVG en verbieden privacytoezichthouders hogere boetes op te leggen. Boetes in de categorie van 10 miljoen of 2% van de totale wereldwijde omzet in het vorige boekjaar zijn van toepassing als het bijvoorbeeld gaat over het aanstellen van een functionaris voor gegevensbescherming. Wanneer dit niet wordt gedaan terwijl dit op grond van de AVG wel verplicht is, kan een boete van deze categorie worden geriskeerd. Ook het niet melden van een datalek aan de toezichthoudende autoriteiten kan leiden tot deze boete. Boetes in de categorie van 20 miljoen of 4% van de totale wereldwijde omzet in het vorige boekjaar zijn van toepassing als het gaat over inbreuken op beginselen of grondslagen van de AVG. Hierbij kan worden gedacht aan onrechtmatige verwerking van persoonsgegevens. Onder deze categorie valt bijvoorbeeld ook het niet in acht nemen van de rechten van betrokkenen of het verwerken van bijzondere persoonsgegevens zonder wettelijke grondslag.
Als laatste moet elke AVG-boete doeltreffend, evenredig en afschrikkend zijn. De EDPB legt de verantwoordelijkheid voor het nagaan of deze criteria zijn toegepast bij de privacytoezichthouder. Onder doeltreffendheid kan worden verstaan: het opnieuw voldoen aan de regelgeving, het bestraffen van de gedraging of beiden. Bij evenredigheid gaat het erom dat de maatregelen die zijn getroffen om het legitieme doel te bereiken, niet de limieten van geschiktheid en noodzakelijkheid overgaan. Men spreekt van een afschrikkende boete wanneer deze een ontmoedigend effect heeft. De boete moet voorkomen dat dezelfde inbreuk nogmaals wordt begaan door de overtreder, maar moet ook anderen ontmoedigen om dezelfde inbreuk te begaan.
Deze concept richtsnoeren voor het berekenen van een AVG-boete zijn nog niet definitief, de mogelijkheid voor publieke raadpleging staat namelijk nog open tot eind juni. Met ingang van de richtsnoeren zal volgens de EDPB de harmonisatie en transparantie van de methodes die worden gebruikt door privacytoezichthouders bij berekening van AVG-boete bevorderen. Toch blijft het berekenen van een AVG-boete erg casuïstisch, wat ook is af te leiden uit de richtsnoeren van de EDPB. Bij het berekenen van een boete moet volgens de EDPB altijd in gedachten worden gehouden dat dit niet een louter rekenkundige oefening is. Met deze woorden blijft het afwachten hoe en of deze regels daadwerkelijk harmonisatie zullen bevorderen. Heeft u in de tussentijd vragen met betrekking tot deze concept of bent u benieuwd naar de boetebeleidsregels in Nederland, neem dan contact op met Considerati.
Wilt u meer weten over bovenstaand onderwerp? Neem dan vrijblijvend contact met ons op. Onze consultants staan u graag te woord.