6.6.1 Bestuursrechtelijke weg

De AP kan verschillende maatregelen nemen wanneer een verwerkingsverantwoordelijke of verwerker de AVG schendt. Ze kan een verwerkings­verantwoordelijke of verwerker een waarschuwing of berisping geven, gelasten dat hij zijn verwerking binnen een bepaalde termijn in overeen­stemming met de AVG brengt en een verwerkingsverbod opleggen.1 Verder kan de AP een inbreuk beboeten. Voor de invulling van de AVG-beveiligingsbepalingen zijn met name de regels omtrent deze boetes van belang. Er bestaat een opvallend verschil tussen de boetemogelijkheden bij een schending van art. 5 lid 1 onder f AVG en de boetemogelijkheden bij een schending van art. 32 AVG.

Administratieve geldboetes moeten “doeltreffend, evenredig en afschrikkend” zijn.2 De AVG kent toezichthouders veel vrijheid toe bij het vaststellen van de hoogte van de boete, zodat zij die kunnen afstemmen op de omstandigheden van het geval.3 Zij moeten hierbij rekening houden met onder meer de aard en duur van de inbreuk, de geleden schade, de eventuele opzettelijke of nalatige aard van de inbreuk, de mate waarin de betrokken verwerkingsverantwoordelijken en verwerkers verantwoordelijk waren, de getroffen maatregelen waarmee de schade is gepoogd te beperken en de relevante eerdere inbreuken door de verwerkings­verantwoordelijke en verwerker.4 Ze kunnen waarde toekennen aan iedere verzwarende of verzachtende factor die in een concreet geval speelt.5 Toezichthouders hebben hierdoor een grote mate van vrijheid. Wel worden ze aangemoedigd om bij de toepassing van de AVG rekening te houden met de specifieke behoeften van micro-, kleine en middelgrote ondernemingen.6 Verder moeten ze in hun afweging meenemen dat vergelijkbare gevallen tot vergelijkbare uitkomsten dienen te leiden, zowel op nationaal als op Europees niveau.7 In dit kader stimuleert de AVG de totstandkoming van zogenoemde coherentiemechanismen, die de samenwerking tussen toezichthoudende autoriteiten moeten bewerkstelligen en hen houvast kunnen geven bij het opleggen van administratieve geldboetes.8 Dit draagt bij aan het consequente toezicht en de eenvormige handhaving die met de AVG is beoogd.9

Hoewel de AVG het aan toezichthouders laat om boetes af te stemmen op de omstandigheden van een concreet geval, bevat zij wel een grens voor de hoogte van deze boete. Dit maximum is voor ‘het normatieve hart van de AVG’, oftewel een beginsel, dubbel zo hoog als voor een inbreuk op vele ‘gewone’ verplichtingen van verwerkingsverantwoordelijken en verwerkers.10 Bij een schending van art. 5 AVG kan een administratieve geldboete worden opgelegd van maximaal €20.000.000, of, indien dat tot een hoger bedrag leidt, van ten hoogste 4% van de totale wereldwijde jaaromzet die de verwerkingsverantwoordelijke in het voorgaande boekjaar heeft gemaakt.11 Bij een schending van veel andere bepalingen, waaronder art. 32 AVG, kan de toezichthouder een administratieve geldboete opleggen van maximaal €10.000.000, of, indien dat tot een hoger bedrag leidt, van ten hoogste 2% van de totale wereldwijde jaaromzet die de verwerkings­verantwoordelijke of verwerker in het voorgaande boekjaar heeft gemaakt.12

De boetes die de AP oplegt, zullen doorgaans niet in de buurt komen van de boete die zij op grond van de AVG maximaal mag opleggen. Blijkens haar eigen beleidsregels onderscheidt zij vier boete-categorieën, waarbij het maximumbedrag van de hoogste categorie aanzienlijk lager is dan de maximale boete die de AP volgens de AVG mag opleggen.13 Deze hoogste categorie, categorie IV, kent een bandbreedte tussen € 450.000 en € 1.000.000, met een basisboete van € 725.000.14 Deze basisboete vormt de basis voor het bepalen van de hoogte van de op te leggen boetes.15 Een schending van art. 5 lid 1 onder f AVG kan in deze categorie vallen, al kan zij ook in een van de lagere schalen worden ingedeeld. Een schending van art. 32 AVG valt in boetecategorie II.16 Deze kent een bandbreedte tussen € 120.000 en € 500.000, met een basisboete van € 310.000.17 Indien de gemaakte categorieën leiden tot boetes die niet passend zijn, heeft de AP expliciet de bevoegdheid om hogere boetes op te leggen.18 Hiertoe zal zij bijvoorbeeld overgaan bij grote bedrijven.19 Ook bij de beboeting van micro-ondernemingen met weinig financiële middelen, zullen de specifieke behoeften worden meegenomen, wat tot een lagere boete zou kunnen leiden.20

Bij de beboeting van een verwerkingsverantwoordelijke of verwerker moet aan het evenredigheidsbeginsel worden voldaan.21 Wanneer dit is geschonden, kan dat leiden tot matiging van de boete. Zo heeft de Rechtbank Den Haag een boete voor een art. 32 AVG-schending gematigd, omdat deze met inachtneming van het evenredigheidsbeginsel te hoog was. Daarbij was vooral van belang dat de beboete partij al tijdens de bezwaarfase extra maatregelen had getroffen om aan de AVG te voldoen. Aan deze bereidwilligheid had de AP volgens de rechtbank ten onrechte geen gewicht toegekend.22 Verder geeft de AP zelf aan dat het toepassing geeft aan het evenredigheidsbeginsel door bij de vaststelling van de boete rekening te houden met de financiële omstandigheden van de overtreder.23