In drie jaar tijd is er 1,581 miljard euro aan boetes opgelegd wegens het schenden van de Algemene Verordening Gegevensbescherming (AVG). De Spaanse toezichthouder legde in die periode de meeste boetes op, namelijk 422. De hoogste boete staat nog altijd op naam van Amazon.
Dat blijkt uit de nieuwste editie van de GDPR Enforcement Tracker.
De AVG in een notendop
In mei 2018 trad de AVG in werking. Politici onderhandelden jarenlang over de formulering van de Europese wetgeving. De wet werd in het leven geroepen om de privacy van Europese burgers te beschermen. De verordening beschrijft onder meer wat (bijzondere) persoonsgegevens zijn en op welke juridische grondslagen bedrijven deze data mogen verzamelen.
De privacywet stelt nadrukkelijk dat gebruikers toestemming moeten geven om persoonsgegevens te verzamelen en dat ze recht hebben op inzage, wijziging of verwijdering. Verder moeten organisaties aan een strenge (digitale) beveiliging voldoen voordat ze persoonlijke gegevens mogen verwerken. Tot slot moeten ze aannemelijk maken waarom deze inbreuk op onze privacy gerechtvaardigd is.
Spanje legt meeste AVG-boetes op
Kortom, de AVG speelt een belangrijke rol in het dagelijks leven van Europese bedrijven en organisaties. Volgens berekeningen van de GDPR Enforcement Tracker, deelde de Autoriteit Persoonsgegevens (AP) sinds de inwerkingtreding van de Europese privacyregels in totaal twintig boetes uit. Dat leverde de staatskas een bedrag van bijna 14,6 miljoen euro op.
De Nederlandse toezichthouder legde vorig jaar zeven keer een boete op wegens het overtreden van de Europese privacyregels. De privacywaakhond heeft dit jaar al drie keer een AVG-boete opgelegd: 525.000 euro aan DPG Media, 565.000 euro aan het ministerie van Buitenlandse Zaken en 3,7 miljoen euro aan de Belastingdienst. Laatstgenoemde is de hoogste boete die de AP tot nu toe heeft opgelegd.
Kijken we naar het aantal opgelegde boetes, dan steekt de Agencia Española de Protección de Datos (AEPD) met kop en schouders boven de rest uit. De Spaanse toezichthouder deelde tussen 2018 en 2021 in totaal 422 boetes aan. Het gaat alles bij elkaar opgeteld om ruim 55,5 miljoen euro. Italië, Roemenië, Duitsland en Hongarije volgden met respectievelijk 144, 84, 63 en 48 boetes. In totaal legden de Europese toezichthouders voor ruim anderhalf miljard euro aan boetes op.
Dit waren de hoogste boetes
De Luxemburgse toezichthouder legde ‘slechts’ 19 AVG-boetes op sinds 2018, maar haalde desondanks wel het meeste geld op. Dat is allemaal te danken aan een privacyboete aan Amazon. De Amerikaanse online retailer kreeg een boete van 746 miljoen euro aan zijn broek wegens het onrechtmatig verzamelen van gegevens over klanten en partners.
Een andere torenhoge boete viel op de deurmat van WhatsApp. De chatdienst moest een bedrag van 225 miljoen euro ophoesten. Het bedrijf was volgens de Ierse Data Protection Commission (DPC) niet transparant genoeg over welke gegevens het bedrijf verzamelt, voor welke doeleinden dat gebeurde en met welke andere bedrijven de data werden gedeeld. WhatsApp heeft bezwaar aangetekend tegen de boete.
Hogere privacyboetes vanwege nieuwe boeterichtlijn
CMS Law zegt dat verwerking van persoonsgegevens zonder geldige juridische basis de meest genoemde oorzaak is voor een AVG-boete. Het niet-naleven van basisprincipes als transparantie en dataminimalisatie staat op de tweede plek, gevolgd door gebrekkige informatiebeveiliging.
Het advocatenkantoor verwacht dat de boetes in de toekomst hoger zullen uitvallen. Dat heeft te maken met de nieuwe regels die de European Data Protection Board (EDPB) onlangs heeft opgesteld. Nu houdt iedere nationale toezichthouder er zijn eigen beleid op na om de hoogte van een boete te betalen. Met de nieuwe spelregels hoopt de koepelorganisatie de boetecriteria te harmoniseren.
Met de nieuwe regels speelt de omvang van een bedrijf een grotere rol bij de bepaling van de hoogte van de AVG-boete. De ernst van de overtreding weegt van meet af aan mee bij het bepalen van het boetebedrag. Tot slot hanteren toezichthouders een vastgestelde bandbreedte om een startbedrag van een boete te bepalen.
De boeterichtlijn is nog niet definitief.
