Nieuw boetebeleid AVG door Autoriteit Persoonsgegevens

Het beleid van de Autoriteit Persoonsgegevens (AP) voor het berekenen van de boetes gaat structureel veranderen. Dat heeft de overheidsinstantie bekend gemaakt in een officieel bericht. De nieuwe boetebeleidsregels zijn opgesteld om te kunnen opleggen bij overtredingen van de Algemene verordening gegevensbescherming (AVG) en de Uitvoeringswet van de AVG. Deze wet staat internationaal bekend als GDPR (General Data Protection Regulation).

Op Europees niveau is er nog geen collectief boetebeleid vastgesteld, waarmee individuele landen de hoogte van de boete kan bepalen. De AP wilde hier niet op wachten en heeft daarom eigen boetebeleidsregels opgesteld, die worden toegepast totdat er ook Europese richtsnoeren zijn voor de berekening van de hoogte van boetes.

Aanverwante wetten

De nieuwe richtlijnen gebruikt de AP om de hoogte van de boete vast te stellen. Zo kan de hoogte van de boete verschillen per type overtreding. Ook de ernst, de omvang en de duur van de overtreding spelen een rol, alsook of er sprake is van opzet of herhaling. Er is gekozen voor deze herziening, omdat de bestaande regelgeving nog betrekking had op de oude privacywet.

De Autoriteit Persoonsgegevens (AP) controleert of bedrijven en instanties veilig omgaan met privacygevoelige data. Ook handhaaft deze instantie (deels) diverse andere wetten:

• Wet politiegegevens
• Wet justitiële en strafvorderlijke gegevens
• Telecommunicatiewet
• De eIDAS-verordening
• Algemene wet bestuursrecht

Bij vaststelling van de boete kent de AVG twee categorieën:

1. De verantwoordelijke(n) binnen een organisatie hebben onder de AVG bepaalde verplichtingen, zoals de verplichting van het bijhouden van een verwerkingsregister. Komt een verantwoordelijke zijn verplichtingen niet na? Dan kan de AP een boete opleggen van maximaal 10 miljoen euro. Of een boete van maximaal 2% van de wereldwijde jaaromzet van een onderneming, mocht dat bedrag hoger uitkomen.
2. Overtreedt een verantwoordelijke de beginselen of grondslagen van de AVG/GDPR wet? Of de privacyrechten van de betrokkenen (zoals klanten, werknemers, relaties)? Dan kan de AP een boete opleggen van maximaal 20 miljoen euro. Of een boete van maximaal 4% van de wereldwijde jaaromzet van een onderneming, mocht dat bedrag hoger uitkomen.

Categorieën boetes

De AP heeft overtredingen van de privacywetgeving en de andere wetten waarop zij toezicht houdt (zoals hierboven genoemd), voor elk wettelijk boetemaximum ingedeeld in 3 of 4 boetecategorieën. Aan deze categorieën zijn oplopende geldboetes verbonden afhankelijk van de ernst en de impact.

Elke boetecategorie is vervolgens gekoppeld aan een boete bandbreedte met een vastgesteld minimum- en een maximumbedrag. Dit gaat om flinke bedragen. Ook is er een basisboete vastgelegd die het uitgangspunt vormt in een afzonderlijke gevallen, die kan worden verhoogd of verlaagd. Hierbij wordt gekeken naar de aard, ernst, omvang, impact, verwijtbaarheid en duur van de overtreding en eventueel herhalingsgedrag. Ook wordt gekeken naar de organisatiegrootte en de financiële omstandigheden. Andere sanctiemiddelen zijn bijvoorbeeld een last onder dwangsom en een verwerkingsverbod. (bron: AP)

AVG wet en het belang voor jouw organisatie

Sinds de aanscherping van de wet op 25 mei 2018 hebben bedrijven en instanties de verantwoordelijkheid om veilig en respectvol met privacygevoelige data van bijvoorbeeld klanten en werknemers om te gaan. Dit is enerzijds een verantwoordelijkheid op basis van de wetgeving, maar zeker ook een maatschappelijke.

Om aan de eisen te voldoen dient jouw organisatie procedures aan te passen en beleid te maken dat onder de medewerkers bekend is en waarnaar adequaat gehandeld wordt. Meer informatie vindt je in ons GDPR whitepaper. Wil je weten hoe je dit implementeert in jouw organisatie? ACA IT-Solutions heeft specialisten in dienst die ruime ervaring hebben met de uitrol van dit vraagstuk. Neem contact met ons op voor meer informatie of vragen.