7.2.1 Publiekrechtelijke handhaving

De Autoriteit Persoonsgegevens (AP) is het Nederlandse bestuursorgaan dat is belast met het toezicht op de naleving van de AVG en de Nederlandse implementatiewet daarvan, de Uitvoeringswet AVG (UAVG).2 Het toezicht door de AP bestaat onder meer uit onderzoek naar mogelijke overtredingen van de AVG3 en handhaving als overtredingen zijn geconstateerd.4 De AP kan ambtshalve of op verzoek een onderzoek instellen.5

Dit betekent niet dat een overtreding van de AVG steeds leidt tot een boete. De AP kan niet altijd direct een boete opleggen.6 De normen uit de AVG zijn vaak open normen. De beginselen van behoorlijk bestuur brengen in die gevallen met zich dat de AP eerst een waarschuwing geeft, of duidelijkheid verschaft over de verwachtingen, bijvoorbeeld door middel van beleidsregels.7 Ook moet de AP op zeer veel partijen toezicht houden. Elke persoon of organisatie die persoonsgegevens verwerkt, valt in beginsel onder het toepassingsbereik van de AVG.8 Gecombineerd met een relatief beperkte slagkracht van de AP is het niet altijd mogelijk om onderzoek te doen.9 De AP heeft in januari 2020 aandacht besteed aan de AVG in faillissement in een brief aan INSOLAD over de verwerking van persoonsgegevens in faillissement en ook op haar website hier aandacht aan besteed.10 De AP heeft tot nu toe, voor zover bekend, nog niet gehandhaafd jegens curatoren.

Een onderzoek van de AP kan leiden tot verschillende maatregelen. Deze zijn deels corrigerend en deels sanctionerend.11 Corrigerende maatregelen zijn bijvoorbeeld een bevel om een verzoek van een betrokkene in te willigen, een verwerkingsbeperking of verwerkingsverbod, of een bevel tot rectificeren. De AP kan daarbij een last onder dwangsom opleggen. Dit betekent dat de overtreder een dwangsom moet betalen als de overtreding niet binnen een bepaalde termijn is gestopt.12Artikel 16 UAVG geeft de AP daarnaast de bevoegdheid om een last onder bestuursdwang op te leggen, omdat dit wordt gezien als een effectief middel om overtredingen snel te beëindigen.13 Deze last onder bestuursdwang houdt in dat een verwerkingsverantwoordelijke een termijn krijgt om de overtreding te beëindigen of herstellen. Als daar niet aan wordt voldaan, kan de AP de last zelf ten uitvoer brengen en de gemaakte kosten verhalen op de overtreder. Goed voorstelbaar is dat het niet altijd mogelijk is voor de AP om een gebrek zelf te herstellen. Mogelijk zal in faillissement daarom eerder sprake zijn van dwangsommen dan van bestuursdwang.

De sanctie is een bestuurlijke boete. De AVG spreekt van “administratieve geldboeten”. Een sanctie kan worden opgelegd naast een corrigerende maatregel.14 De AVG laat de ruimte aan de lidstaten om regels te stellen over “andere sancties”,15 maar Nederland heeft hiervan geen gebruik gemaakt.16 De AVG vereist dat boetes die de AP oplegt doeltreffend, evenredig en afschrikwekkend zijn.17

De AVG maakt onderscheid tussen twee categorieën boetes. Bij de lichte categorie gaat het om overtredingen van verplichtingen van de verwerkingsverantwoordelijke en de verwerker, zoals het niet melden van een datalek.18 Bij de zware categorie gaat het om overtredingen van de beginselen inzake de verwerking van persoonsgegevens, de rechten van betrokkenen, de regels inzake doorgifte van gegevens aan derde landen en enkele specifieke andere situaties. Ook de overtreding van een bevel of verwerkingsbeperking door de toezichthouder valt in de zware categorie.19 Bij de lichte categorie kan een boete worden opgelegd van 10 miljoen of 2% van de totale wereldwijde jaaromzet, bij de zware categorie van 20 miljoen of 4% van de totale wereldwijde jaaromzet.

De AP hanteert lagere basisboetes, die bij de zware categorie zijn vastgesteld op €525.000 tot €724.000,20 maar heeft het recht om een hogere boete op te leggen.21 De EDPB heeft concept-boeterichtsnoeren gepubliceerd die ertoe moeten leiden dat de wijze waarop nationale toezichthouders de hoogte van een boete bepalen, wordt geharmoniseerd.22 Dit richtsnoer zal vermoedelijk leiden tot een wijziging van de huidige boetebeleidsregels van de AP. Kort gezegd bevatten de nieuwe boetebeleidsregels van de EDPB vijf stappen om te bepalen hoe hoog een boete moet zijn. Allereerst moet worden vastgesteld hoeveel en welke inbreuken op de AVG hebben plaatsgevonden.23 Vervolgens wordt, in lijn met de nieuwe richtsnoeren, berekend welk boetebedrag als uitgangspunt moet worden genomen. Dit uitgangspunt wordt bepaald aan de hand van drie onderdelen: de aard van de inbreuk,24 de ernst van de inbreuk,25 en de omzet van de onderneming.26 De derde stap is dat eventuele verzwarende of verzachtende factoren in aanmerking moeten worden genomen om het boetebedrag eventueel te verhogen of verlagen.27 Ten vierde moet de gegevensbeschermingsautoriteit kijken of de wettelijke maximumbedragen die bepaald zijn in artikel 83 lid 4 tot en met 6 AVG niet worden overschreden.28 Als laatste moet worden beoordeeld of het eindbedrag leidt tot een doeltreffende, afschrikwekkende en evenredige boete of dat het bedrag nog aangepast dient te worden.29