Wat zijn de boetes bij een overtreding van de AVG?

 

De toezichthouder mag zeer hoge geldboetes uitdelen aan organisaties die de Algemene Verordening Gegevensbescherming (AVG) overtreden. In Nederland is de Autoriteit Persoonsgegevens (AP) de toezichthouder. De maximale boete bedraagt maximaal € 20.000.000 of 4% van de wereldwijde jaaromzet, mocht dat bedrag hoger uitkomen. De hoogte van de boete verschilt per type overtreding. Daarnaast hangt het ook af van de ernst, omvang en duur van de overtreding.

De boetes moeten volgens de EU doeltreffend, evenredig en afschrikkend zijn. Dit betekent dat de boete zijn doel moet bereiken, maar nog wel in verhouding moet staan tot de overtreding van de AVG. Daarnaast zijn de boetes bedoeld ter afschrikking. Dit blijkt ook wel uit de hoogte van de boetes.

AVG boetes voorkomen?

Privacy Zeker helpt ondernemers met tools, documenten en begeleiding zodat zij kunnen voldoen aan de AVG. Eenvoudig en betaalbaar.

Twee categorieën overtredingen

De AVG kent twee categorieën overtredingen en bijbehorende maximale boetes. De AP stelt het volgende:

 

Wettelijk boetemaximum van € 10.000.000 (of 2% van de wereldwijde jaaromzet)

Organisaties hebben onder de AVG bepaalde verplichtingen, zoals de verplichting van het bijhouden van een verwerkingsregister. Komt een organisatie (één van) deze verplichtingen niet na? Dan kan de AP een boete opleggen van maximaal € 10.000.000. Of een boete van maximaal 2% van de wereldwijde jaaromzet van een onderneming, mocht dat bedrag hoger uitkomen.

De AP heeft hier subcategorieën in aangebracht:

  • categorie I: € 0 tot € 200.000 (basisboete: € 100.000). Een organisatie valt bijvoorbeeld in deze categorie als gezamenlijk verantwoordelijken geen onderlinge regeling hebben getroffen of als de verwerkersovereenkomst, het verwerkingsregister (van de verwerkingsverantwoordelijke of verwerker) niet aan de vormvereisten voldoet.
  • categorie II: € 120.000 tot € 500.000 (basisboete: € 310.000). Een organisatie valt bijvoorbeeld in deze categorie als zij geen verwerkingsregister heeft of als de organisatie geen passende beveiligingsmaatregelen heeft genomen.
  • categorie III: € 300.000 tot € 750.000 (basisboete: € 525.000). Een organisatie valt bijvoorbeeld in deze categorie als zij geen melding maakt van een datalek als zij dat wel zou moeten.

 

 

Wettelijk boetemaximum van € 20.000.000 (of 4% van de wereldwijde jaaromzet)

Overtreedt een organisatie de beginselen of grondslagen van de AVG? Of de privacyrechten van de betrokkenen? Dan kan de AP een boete opleggen van maximaal €20.000.000. Of een boete van maximaal 4% van de wereldwijde jaaromzet van een onderneming, mocht dat bedrag hoger uitkomen.

De AP heeft hier subcategorieën in aangebracht:

  • categorie I: € 0 tot € 200.000 (basisboete: € 100.000). Een organisatie valt bijvoorbeeld in deze categorie als zij een minst ernstige inbreuk veroorzaakt op de uitzonderingen van de AVG.
  • categorie II: € 120.000 tot € 500.000 (basisboete: € 310.000). Een organisatie valt bijvoorbeeld in deze categorie als de organisatie niet goed of niet op tijd gehoor geeft aan een verzoek tot de uitoefening van een recht van een betrokkene.
  • categorie III: € 300.000 tot € 750.000 (basisboete: € 525.000). Een organisatie valt bijvoorbeeld in deze categorie als zij geen privacyreglement heeft, zij rechten van betrokkenen niet honoreert of je gebruikmaakt van een verwerker buiten de EER die niet is goedgekeurd door de Europese Commissie.
  • categorie IV: € 450.000 tot € 1.000.000 (basisboete: € 725.000). Een organisatie valt bijvoorbeeld in deze categorie als deze zonder rechtmatige grondslag bijzondere persoonsgegevens verwerkt.

De volledige boetebeleidsregels vind je hier.

 

De hoogte van de boetes in deze subcategorieën komt niet tot € 10.000.000 of € 20.000.000. Dit betekent niet dat de boetes niet in de miljoenen kunnen lopen. De AP heeft de bevoegdheid een afweging te maken welke boete passend is. Als naar het oordeel van de AP de bestaande boetecategorieën geen passende bestraffing toelaat, dan kan de AP een hogere boete opleggen, tot maximaal  € 10.000.000 of € 20.000.000.

 

Boetes in Nederland

De AP heeft in juli 2019, ruim een jaar na invoering van de AVG, de eerste AVG-boete in Nederland uitgedeeld. Het HagaZiekenhuis heeft een boete van € 460.000 gekregen vanwege onvoldoende interne beveiliging van patiëntendossiers. Daarnaast legt de AP het ziekenhuis een last onder dwangsom op. Zo dwingt de AP het ziekenhuis om de beveiliging van patiëntendossiers te verbeteren. Meer informatie over deze boete vind je hier.

 

In maart 2020 gaf de AP de Nederlandse tennisbond een boete van € 525.000 vanwege het doorverkopen van persoonsgegevens van leden. De tennisbond verkocht de persoonsgegevens van een paar honderdduizend leden door aan sponsoren, maar de toezichthouder oordeelde dat de tennisbond geen grondslag had om persoonsgegevens door te geven aan sponsoren. De tennisbond heeft bezwaar gemaakt tegen het boetebesluit. Meer informatie over deze boete vind je hier.

 

Een maand later, in april 2020, heeft de AP een boete van € 725.000 uitgedeeld voor het ongeoorloofd afnemen, opslaan en gebruiken van vingerafdrukken van werknemers. Werknemers van een bedrijf hebben hun vingerafdrukken moeten laten scannen voor aanwezigheids- en tijdsregistratie. Na onderzoek heeft de toezichthouder geconcludeerd dat het bedrijf geen vingerafdrukken van werknemers had mogen verwerken. Meer informatie over deze boete vind je hier.

 

In juli 2020 legt de AP stichting Bureau Krediet Registratie (BKR) een boete van 830.000 euro op vanwege kosten bij inzage van persoonsgegevens. Volgens de AP mag BKR geen geld vragen aan mensen die digitaal hun persoonsgegevens willen inzien. Deze boete is de hoogste boete die de privacywaakhond tot nu toe heeft uitgedeeld. Meer informatie over de boete vind je hier.

  

Eerste boetes in andere EU-lidstaten

Ook in andere Europese landen zijn er al boetes uitgedeeld. De Duitse toezichthouder heeft een Duits chatplatform een boete van € 20.000 gegeven vanwege het overtreden van de privacywet. De chatdienst heeft wachtwoorden van gebruikers in platte tekst (dus ongecodeerd) opgeslagen. Door de wachtwoorden onveilig op te slaan heeft het bedrijf de AVG geschonden. Ook in Frankrijk is een AVG-boete uitgedeeld. De Franse toezichthouder heeft Google een boete van € 50.000.000 opgelegd. Volgens de Autoriteit informeert Google gebruikers die een account aanmaken niet juist over de data die het bedrijf van hen verzamelt.

Hulp bij privacy

Privacy Zeker helpt ondernemers met tools, documenten en begeleiding zodat zij kunnen voldoen aan de AVG. Eenvoudig en betaalbaar.

Beter omgaan met privacy: 5 tips voor ondernemers

Samen met onze partner ABN AMRO helpen wij ondernemers met Cyber, Privacy en wetgeving. Om deze reden brengen wij regelmatig artikelen uit en bieden wij de klanten van ABN AMRO het gratis Privacy Start pakket aan. Naast ontzorging bij de AVG en Privacy kunnen onze...

Uitspraak Europees hof gaat leiden tot meer controle, boetes en verantwoordelijkheid voor ondernemers binnen de AVG

Bedrijven in de EU moeten specifiek aangeven aan welke partijen ze persoonsgegevens verkopen, volgens een uitspraak van het Europees Hof van Justitie. De uitspraak kwam tot stand in een zaak waarin een Oostenrijker zich beriep op artikel 15 van de AVG (Algemene...

Begrippenlijst Privacy en AVG

De privacywetgeving en de AVG (algemene verordening gegevensbescherming) is doorspekt van ingewikkelde begrippen en jargon. Om deze reden hebben wij een begrippenlijst samengesteld voor iedere ondernemer die te maken heeft met de AVG. Persoonsgegevens: elk type...

5 Tips voor het beschermen van je online privacy

Met de groeiende digitalisering en het toenemend gebruik van internet, is het belangrijker dan ooit om te zorgen voor de bescherming van onze online privacy. Hier zijn vijf tips om je te helpen je persoonlijke informatie te beschermen: 5 tips Controleer je...

Hoe u uw persoonlijke gegevens kunt beschermen op openbare WiFi-netwerken

Privacy en WiFi Openbare WiFi-netwerken zijn een gemakkelijke en handige manier om verbinding te maken met het internet wanneer we onderweg zijn of wanneer we geen toegang hebben tot een privé-internetverbinding. Helaas kunnen deze netwerken ook een risico vormen voor...

De ernstige gevolgen van het enorme datalek bij Twitter

De gevolgen van een Datalek In een recente hack zijn ruim 200 miljoen mailadressen van Twitter-gebruikers op straat terechtgekomen. Dit kan grote gevolgen hebben voor de privacy van deze gebruikers. Volgens Privacy Zeker, de marktleider op het gebied van de Algemene...

Is de AVG ook voor ZZP’ers verplicht?

Of je nu vanuit je eigen organisatie persoonsgegevens verwerkt of je werkt op locatie bij een van je opdrachtgevers. Als ZZP'er moet je altijd voldoen aan de AVG. ZZP en de AVG Als ZZP'er ben je net als elk ander bedrijf verplicht om te voldoen aan de Algemene...

ChatGPT en Privacy binnen het MKB

ChatGPT is een chatbot die gebruik maakt van GPT-3, een van de krachtigste kunstmatige intelligentie-modellen op het internet. ChatGPT kan gebruikers helpen bij het beantwoorden van vragen en het uitvoeren van taken, zoals het...

Fabels en feiten Privacywetgeving voor het MKB 

Wat moeten ondernemers juist wel, en juist niet doen om te voldoen aan de AVG? Privacy en gegevensbescherming worden steeds belangrijker in de huidige digitale wereld. Bedrijven van elke omvang, inclusief kleine en middelgrote ondernemingen (kmo's), moeten zich bewust...

Privacy voor het MKB in 2023

Welke maatregelen moeten ondernemers nemen met betrekking tot privacy, cyber en persoonsgegevens? De digitale wereld evolueert voortdurend. In de toekomst wordt het voor ondernemers steeds belangrijker om hun online privacymaatregelen in de gaten te houden. In het...

Veilig werken: thuis, op kantoor en onderweg?

Met de beveiligingsproducten van BeProtected zorg je dat jouw medewerkers veilig kunnen werken. Je stelt zelf je abonnement samen met de beveiligingsproducten die je nodig hebt. Of je kiest voor één van de kant-en-klare pakketten en profiteert van een interessante korting! 

Hoe werkt Privacy Zeker? Bekijk de video.