De European Data Protection Board (EDPB), het samenwerkingsverband van alle Europese privacytoezichthouders, heeft nieuwe regels opgesteld om de hoogte van AVG-boetes te berekenen. Nu is het zo dat iedere toezichthouder zijn eigen regels erop nahoudt. Door de boeteprocedure in alle EU-lidstaten gelijk te trekken, kunnen toezichthouders elkaar beter controleren.
De nieuwe regels zijn vastgelegd in de fining guidelines van de EDPB, zo schrijft de Autoriteit Persoonsgegevens.
Op deze drie punten wijzigt het Europese boetebeleid
De vernieuwde boeterichtlijn is volgens de Nederlandse privacywaakhond op drie punten aangepast. Om te beginnen krijgt de omvang een van bedrijf een grotere rol in de bepaling van de hoogte van de boete. Nu wordt dit aspect pas meegenomen aan het eind van de berekening van de boete, straks gebeurt dit aan het begin. Met andere woorden, de grootte van het bedrijf is straks het beginpunt van de berekening van de boete voor een bepaalde overtreding.
Om de ernst van de overtreding te bepalen, zijn er drie categorieën bedacht: laag, midden en hoog. De Autoriteit Persoonsgegevens kijkt op dit moment ook al naar de ernst van een overtreding, maar plakt hier geen label aan. Met de nieuwe richtlijn van de Europese koepelorganisatie geldt straks een ander startbedrag voor een boete.
Tot slot krijgt de bandbreedte van boetebedragen voor verschillende overtredingen een andere invulling. Momenteel hanteert de Nederlandse toezichthouder de bandbreedte om het finale boetebedrag te bepalen. Met de nieuwe regels wordt de bandbreedte gehanteerd om een startbedrag van een boete te bepalen.
Bandbreedte bepaalt straks startbedrag van een boete
Nationale toezichthouders hanteren de bovenstaande criteria om een startbedrag van een boete te bepalen. Vervolgens kijken ze of er redenen zijn om dat bedrag te verhogen of verlagen. Als een bedrijf in het verleden meerdere keren voor hetzelfde vergrijp op de vingers is getikt, kan dat aanleiding zijn om het boetebedrag in de toekomst te verhogen. Heeft een bedrag er alles aan gedaan om een overtreding te voorkomen of beperken, dan is dat wellicht aanleiding om het boetebedrag te verlagen.
De maximale hoogte van een boete is niet gewijzigd. Deze bedraagt maximaal 20 miljoen euro, of 4 procent van de wereldwijde omzet van een bedrijf.
Boeterichtlijn nog niet definitief
De nieuwe regels gelden alleen voor bedrijven. Dat is zo besloten omdat niet alle toezichthouders boetes mogen opleggen aan overheden. De Autoriteit Persoonsgegevens mag dat wel. Zo kreeg de Belastingdienst eind vorig jaar een boete van 2,75 miljoen euro voor het jarenlang onrechtmatig verwerken van nationaliteitsgegevens van aanvragers voor kinderopvangtoeslag. In april van dit jaar kreeg de fiscus opnieuw een miljoenenboete. Toen moest ze een bedrag van 3,7 miljoen euro ophoesten voor het illegaal verwerken van persoonsgegevens in de Fraude Signalering Voorziening (FSV).
De toezichthouder bekijkt nog welke regels zij in de toekomst gaat hanteren voor het berekenen van de hoogte van een boete voor overheidsorganisaties.
De boeterichtlijn van de EDPB is nog niet definitief. Tot 27 juni kunnen nationale toezichthouders feedback geven en suggesties doen om de richtlijnen aan te passen. Daarna komt de koepelorganisatie met een nieuwe versie van de boeteregels en treedt deze definitief in werking.
