Wat zijn de boetes bij een overtreding van de AVG?

 

De toezichthouder mag zeer hoge geldboetes uitdelen aan organisaties die de Algemene Verordening Gegevensbescherming (AVG) overtreden. In Nederland is de Autoriteit Persoonsgegevens (AP) de toezichthouder. De maximale boete bedraagt maximaal € 20.000.000 of 4% van de wereldwijde jaaromzet, mocht dat bedrag hoger uitkomen. De hoogte van de boete verschilt per type overtreding. Daarnaast hangt het ook af van de ernst, omvang en duur van de overtreding.

De boetes moeten volgens de EU doeltreffend, evenredig en afschrikkend zijn. Dit betekent dat de boete zijn doel moet bereiken, maar nog wel in verhouding moet staan tot de overtreding van de AVG. Daarnaast zijn de boetes bedoeld ter afschrikking. Dit blijkt ook wel uit de hoogte van de boetes.

AVG boetes voorkomen?

Privacy Zeker helpt ondernemers met tools, documenten en begeleiding zodat zij kunnen voldoen aan de AVG. Eenvoudig en betaalbaar.

Twee categorieën overtredingen

De AVG kent twee categorieën overtredingen en bijbehorende maximale boetes. De AP stelt het volgende:

 

Wettelijk boetemaximum van € 10.000.000 (of 2% van de wereldwijde jaaromzet)

Organisaties hebben onder de AVG bepaalde verplichtingen, zoals de verplichting van het bijhouden van een verwerkingsregister. Komt een organisatie (één van) deze verplichtingen niet na? Dan kan de AP een boete opleggen van maximaal € 10.000.000. Of een boete van maximaal 2% van de wereldwijde jaaromzet van een onderneming, mocht dat bedrag hoger uitkomen.

De AP heeft hier subcategorieën in aangebracht:

  • categorie I: € 0 tot € 200.000 (basisboete: € 100.000). Een organisatie valt bijvoorbeeld in deze categorie als gezamenlijk verantwoordelijken geen onderlinge regeling hebben getroffen of als de verwerkersovereenkomst, het verwerkingsregister (van de verwerkingsverantwoordelijke of verwerker) niet aan de vormvereisten voldoet.
  • categorie II: € 120.000 tot € 500.000 (basisboete: € 310.000). Een organisatie valt bijvoorbeeld in deze categorie als zij geen verwerkingsregister heeft of als de organisatie geen passende beveiligingsmaatregelen heeft genomen.
  • categorie III: € 300.000 tot € 750.000 (basisboete: € 525.000). Een organisatie valt bijvoorbeeld in deze categorie als zij geen melding maakt van een datalek als zij dat wel zou moeten.

 

 

Wettelijk boetemaximum van € 20.000.000 (of 4% van de wereldwijde jaaromzet)

Overtreedt een organisatie de beginselen of grondslagen van de AVG? Of de privacyrechten van de betrokkenen? Dan kan de AP een boete opleggen van maximaal €20.000.000. Of een boete van maximaal 4% van de wereldwijde jaaromzet van een onderneming, mocht dat bedrag hoger uitkomen.

De AP heeft hier subcategorieën in aangebracht:

  • categorie I: € 0 tot € 200.000 (basisboete: € 100.000). Een organisatie valt bijvoorbeeld in deze categorie als zij een minst ernstige inbreuk veroorzaakt op de uitzonderingen van de AVG.
  • categorie II: € 120.000 tot € 500.000 (basisboete: € 310.000). Een organisatie valt bijvoorbeeld in deze categorie als de organisatie niet goed of niet op tijd gehoor geeft aan een verzoek tot de uitoefening van een recht van een betrokkene.
  • categorie III: € 300.000 tot € 750.000 (basisboete: € 525.000). Een organisatie valt bijvoorbeeld in deze categorie als zij geen privacyreglement heeft, zij rechten van betrokkenen niet honoreert of je gebruikmaakt van een verwerker buiten de EER die niet is goedgekeurd door de Europese Commissie.
  • categorie IV: € 450.000 tot € 1.000.000 (basisboete: € 725.000). Een organisatie valt bijvoorbeeld in deze categorie als deze zonder rechtmatige grondslag bijzondere persoonsgegevens verwerkt.

De volledige boetebeleidsregels vind je hier.

 

De hoogte van de boetes in deze subcategorieën komt niet tot € 10.000.000 of € 20.000.000. Dit betekent niet dat de boetes niet in de miljoenen kunnen lopen. De AP heeft de bevoegdheid een afweging te maken welke boete passend is. Als naar het oordeel van de AP de bestaande boetecategorieën geen passende bestraffing toelaat, dan kan de AP een hogere boete opleggen, tot maximaal  € 10.000.000 of € 20.000.000.

 

Boetes in Nederland

De AP heeft in juli 2019, ruim een jaar na invoering van de AVG, de eerste AVG-boete in Nederland uitgedeeld. Het HagaZiekenhuis heeft een boete van € 460.000 gekregen vanwege onvoldoende interne beveiliging van patiëntendossiers. Daarnaast legt de AP het ziekenhuis een last onder dwangsom op. Zo dwingt de AP het ziekenhuis om de beveiliging van patiëntendossiers te verbeteren. Meer informatie over deze boete vind je hier.

 

In maart 2020 gaf de AP de Nederlandse tennisbond een boete van € 525.000 vanwege het doorverkopen van persoonsgegevens van leden. De tennisbond verkocht de persoonsgegevens van een paar honderdduizend leden door aan sponsoren, maar de toezichthouder oordeelde dat de tennisbond geen grondslag had om persoonsgegevens door te geven aan sponsoren. De tennisbond heeft bezwaar gemaakt tegen het boetebesluit. Meer informatie over deze boete vind je hier.

 

Een maand later, in april 2020, heeft de AP een boete van € 725.000 uitgedeeld voor het ongeoorloofd afnemen, opslaan en gebruiken van vingerafdrukken van werknemers. Werknemers van een bedrijf hebben hun vingerafdrukken moeten laten scannen voor aanwezigheids- en tijdsregistratie. Na onderzoek heeft de toezichthouder geconcludeerd dat het bedrijf geen vingerafdrukken van werknemers had mogen verwerken. Meer informatie over deze boete vind je hier.

 

In juli 2020 legt de AP stichting Bureau Krediet Registratie (BKR) een boete van 830.000 euro op vanwege kosten bij inzage van persoonsgegevens. Volgens de AP mag BKR geen geld vragen aan mensen die digitaal hun persoonsgegevens willen inzien. Deze boete is de hoogste boete die de privacywaakhond tot nu toe heeft uitgedeeld. Meer informatie over de boete vind je hier.

  

Eerste boetes in andere EU-lidstaten

Ook in andere Europese landen zijn er al boetes uitgedeeld. De Duitse toezichthouder heeft een Duits chatplatform een boete van € 20.000 gegeven vanwege het overtreden van de privacywet. De chatdienst heeft wachtwoorden van gebruikers in platte tekst (dus ongecodeerd) opgeslagen. Door de wachtwoorden onveilig op te slaan heeft het bedrijf de AVG geschonden. Ook in Frankrijk is een AVG-boete uitgedeeld. De Franse toezichthouder heeft Google een boete van € 50.000.000 opgelegd. Volgens de Autoriteit informeert Google gebruikers die een account aanmaken niet juist over de data die het bedrijf van hen verzamelt.

Hulp bij privacy

Privacy Zeker helpt ondernemers met tools, documenten en begeleiding zodat zij kunnen voldoen aan de AVG. Eenvoudig en betaalbaar.

1984 in 2024: Wat George Orwell ons vandaag te zeggen heeft over privacy

Nu technologie ons leven steeds dieper binnendringt en privacy een schaars goed is geworden, blijft de visie van George Orwell een krachtig baken van waarschuwing en wijsheid. Wat denkt de auteur van de dystopische klassieker "1984" van onze hedendaagse samenleving,...

Zakelijk AI gebruiken en toch AVG Proof blijven?

De snelle opkomst van kunstmatige intelligentie (AI) biedt enorme kansen voor bedrijven, maar brengt ook uitdagingen met zich mee op het gebied van privacy en gegevensbescherming. Voor MKB-ondernemers kan het een hele klus zijn om te voldoen aan de Algemene...

Het gevaar van datalekken voor ondernemers: De Ticketmaster hack als waarschuwing

Het Gevaar van Datalekken voor Ondernemers: De Ticketmaster Hack als Waarschuwing Inleiding Recente nieuwsberichten onthullen dat hackers gegevens van 560 miljoen klanten van Ticketmaster in handen hebben. Dit incident benadrukt het toenemende risico van datalekken en...

10 quick wins voor privacy bescherming: praktische gids voor MKB-ondernemers

Niet elke privacymaatregel hoeft veel tijd en geld te kosten. Met enkele eenvoudige en snel te implementeren stappen kunnen MKB-ondernemers direct hun privacybescherming verbeteren. Deze quick wins helpen om direct actie te ondernemen en een solide basis te leggen...

AI, voorbij de hype – Een inspirerende blik op de toekomst van kunstmatige intelligentie

Nu (AI) steeds meer verweven raakt met ons dagelijks leven, biedt het boek "AI, voorbij de hype" van Aaron Mirck een verhelderende en genuanceerde kijk op de impact van AI op de samenleving, de arbeidsmarkt en het onderwijs. Privacy Zeker is er trots op om bijgedragen...

Ontdek de Voordelen van Privacy Zeker: Uw Partner in AVG-Naleving voor het MKB

In het huidige digitale tijdperk is het beheren van gegevensprivacy een essentiële verantwoordelijkheid voor elk bedrijf, groot en klein. Voor MKB-bedrijven kan het echter een bijzondere uitdaging zijn om te voldoen aan de Algemene Verordening Gegevensbescherming...

Nieuwe EU-Wetgeving en de Gevolgen voor MKB en Zelfstandige Ondernemers

De recente wijzigingen in de EU-wetgeving op het gebied van data en privacy brengen aanzienlijke veranderingen met zich mee voor het MKB en zelfstandige ondernemers. Deze doelgroep moet zich tijdig voorbereiden om aan de nieuwe regels te voldoen en om negatieve...

Waarom ondernemers het risico van datascraping niet kunnen negeren: feiten, risico’s en best practices

Scraping is het automatisch verzamelen en opslaan van informatie van het internet. Scraping door private partijen en particulieren is vrijwel nooit toegestaan. Dat stelt de Autoriteit Persoonsgegevens (AP) in een nieuwe handreiking. Die partijen kunnen in de praktijk...

Cirqll: Een verfrissende en authentieke aanpak in CRM-Systemen voor de privacy bewuste ondernemer

In de hedendaagse digitale economie is het voor ondernemers essentieel om te beschikken over robuuste, veilige en gebruiksvriendelijke tools die niet alleen de bedrijfsvoering vereenvoudigen maar ook voldoen aan strikte privacyregelgeving. Cirqll, een toonaangevende...

45.000 euro boete voor het plaatsen van een foto van je kind op Social Media?

In onze huidige samenleving is het online delen van persoonlijke informatie alomtegenwoordig geworden. Dit geldt met name voor ouders die foto's en gegevens van hun kinderen delen, een fenomeen bekend als "sharenting". Dit artikel belicht de risico's en gevolgen van...

Veilig werken: thuis, op kantoor en onderweg?

Met de beveiligingsproducten van BeProtected zorg je dat jouw medewerkers veilig kunnen werken. Je stelt zelf je abonnement samen met de beveiligingsproducten die je nodig hebt. Of je kiest voor één van de kant-en-klare pakketten en profiteert van een interessante korting! 

Hoe werkt Privacy Zeker? Bekijk de video.