GDPR – Boetes / Sancties

Nationale autoriteiten kunnen of moeten boetes opleggen voor specifieke overtredingen van gegevensbescherming in overeenstemming met de Algemene Verordening Gegevensbescherming. De boetes worden toegepast naast of in plaats van verdere remedies of corrigerende bevoegdheden, zoals het bevel om een overtreding te beëindigen, een instructie om de gegevensverwerking aan te passen aan de AVG, evenals de bevoegdheid om een tijdelijke of definitieve beperking op te leggen, inclusief een verbod op gegevensverwerking. Voor de bepalingen die betrekking hebben op verwerkers, kan hij rechtstreeks onderworpen zijn aan sancties en/of samen met de verwerkingsverantwoordelijke.

De boetes moeten effectief, evenredig en afschrikwekkend zijn voor elk individueel geval. Voor de beslissing of en op welk niveau een boete kan worden opgelegd, hebben de autoriteiten een wettelijke catalogus van criteria die zij in overweging moeten nemen voor hun beslissing. Onder andere zaken zoals opzettelijke schending, het niet nemen van maatregelen om de geleden schade te beperken of gebrek aan samenwerking met autoriteiten kunnen de boetes verhogen. Voor bijzonder ernstige overtredingen, vermeld in Art. 83(5) AVG, kan het boetekader oplopen tot 20 miljoen euro, of in het geval van een onderneming, tot 4% van hun totale wereldwijde omzet van het voorgaande boekjaar, afhankelijk van welk bedrag hoger is. Maar zelfs de catalogus van minder ernstige overtredingen in Art. 83(4) AVG legt boetes op tot 10 miljoen euro, of, in het geval van een onderneming, tot 2% van haar volledige wereldwijde omzet van het voorgaande boekjaar, afhankelijk van welk bedrag hoger is. Vooral belangrijk hier is dat de term “onderneming” gelijkwaardig is aan die gebruikt in Art. 101 en 102 van het Verdrag betreffende de werking van de Europese Unie (VWEU). Volgens jurisprudentie van het Hof van Justitie van de Europese Unie omvat “het begrip onderneming elke entiteit die een economische activiteit uitoefent, ongeacht de juridische status van de entiteit of de wijze waarop het is gefinancierd”. Een onderneming kan daarom niet alleen bestaan uit één individueel bedrijf in de zin van een rechtspersoon, maar ook uit meerdere natuurlijke personen of rechtspersonen. Zo kan een hele groep worden beschouwd als één onderneming en kan haar totale wereldwijde jaaromzet worden gebruikt om de boete voor een AVG-overtreding van een van haar bedrijven te berekenen. Daarnaast stelt elke lidstaat regels vast voor andere sancties voor overtredingen van de Verordening die nog niet onder Art. 83 vallen. Dit zijn hoogstwaarschijnlijk strafrechtelijke sancties voor bepaalde schendingen van de AVG of sancties voor overtredingen van nationale regels die zijn aangenomen op basis van flexibiliteitsclausules in de AVG. De nationale sancties moeten ook effectief, evenredig en afschrikwekkend zijn.

Een strafbare situatie in een bedrijf kan aan het licht worden gebracht door proactieve inspectieactiviteiten uitgevoerd door de gegevensbeschermingsautoriteiten, door een ontevreden werknemer of door klanten of potentiële klanten die klachten indienen bij de autoriteiten, door het bedrijf dat zichzelf aangeeft, of door de pers in het algemeen, vooral door onderzoeksjournalistiek.

De Enforcement Tracker geeft een overzicht van de gemelde boetes en sancties die gegevensbeschermingsautoriteiten binnen de EU tot nu toe hebben opgelegd.