Wat zijn de boetes bij een overtreding van de AVG?

 

De toezichthouder mag zeer hoge geldboetes uitdelen aan organisaties die de Algemene Verordening Gegevensbescherming (AVG) overtreden. In Nederland is de Autoriteit Persoonsgegevens (AP) de toezichthouder. De maximale boete bedraagt maximaal € 20.000.000 of 4% van de wereldwijde jaaromzet, mocht dat bedrag hoger uitkomen. De hoogte van de boete verschilt per type overtreding. Daarnaast hangt het ook af van de ernst, omvang en duur van de overtreding.

De boetes moeten volgens de EU doeltreffend, evenredig en afschrikkend zijn. Dit betekent dat de boete zijn doel moet bereiken, maar nog wel in verhouding moet staan tot de overtreding van de AVG. Daarnaast zijn de boetes bedoeld ter afschrikking. Dit blijkt ook wel uit de hoogte van de boetes.

AVG boetes voorkomen?

Privacy Zeker helpt ondernemers met tools, documenten en begeleiding zodat zij kunnen voldoen aan de AVG. Eenvoudig en betaalbaar.

Twee categorieën overtredingen

De AVG kent twee categorieën overtredingen en bijbehorende maximale boetes. De AP stelt het volgende:

 

Wettelijk boetemaximum van € 10.000.000 (of 2% van de wereldwijde jaaromzet)

Organisaties hebben onder de AVG bepaalde verplichtingen, zoals de verplichting van het bijhouden van een verwerkingsregister. Komt een organisatie (één van) deze verplichtingen niet na? Dan kan de AP een boete opleggen van maximaal € 10.000.000. Of een boete van maximaal 2% van de wereldwijde jaaromzet van een onderneming, mocht dat bedrag hoger uitkomen.

De AP heeft hier subcategorieën in aangebracht:

 

 

Wettelijk boetemaximum van € 20.000.000 (of 4% van de wereldwijde jaaromzet)

Overtreedt een organisatie de beginselen of grondslagen van de AVG? Of de privacyrechten van de betrokkenen? Dan kan de AP een boete opleggen van maximaal €20.000.000. Of een boete van maximaal 4% van de wereldwijde jaaromzet van een onderneming, mocht dat bedrag hoger uitkomen.

De AP heeft hier subcategorieën in aangebracht:

  • categorie I: € 0 tot € 200.000 (basisboete: € 100.000). Een organisatie valt bijvoorbeeld in deze categorie als zij een minst ernstige inbreuk veroorzaakt op de uitzonderingen van de AVG.
  • categorie II: € 120.000 tot € 500.000 (basisboete: € 310.000). Een organisatie valt bijvoorbeeld in deze categorie als de organisatie niet goed of niet op tijd gehoor geeft aan een verzoek tot de uitoefening van een recht van een betrokkene.
  • categorie III: € 300.000 tot € 750.000 (basisboete: € 525.000). Een organisatie valt bijvoorbeeld in deze categorie als zij geen privacyreglement heeft, zij rechten van betrokkenen niet honoreert of je gebruikmaakt van een verwerker buiten de EER die niet is goedgekeurd door de Europese Commissie.
  • categorie IV: € 450.000 tot € 1.000.000 (basisboete: € 725.000). Een organisatie valt bijvoorbeeld in deze categorie als deze zonder rechtmatige grondslag bijzondere persoonsgegevens verwerkt.

De volledige boetebeleidsregels vind je hier.

 

De hoogte van de boetes in deze subcategorieën komt niet tot € 10.000.000 of € 20.000.000. Dit betekent niet dat de boetes niet in de miljoenen kunnen lopen. De AP heeft de bevoegdheid een afweging te maken welke boete passend is. Als naar het oordeel van de AP de bestaande boetecategorieën geen passende bestraffing toelaat, dan kan de AP een hogere boete opleggen, tot maximaal  € 10.000.000 of € 20.000.000.

 

Boetes in Nederland

De AP heeft in juli 2019, ruim een jaar na invoering van de AVG, de eerste AVG-boete in Nederland uitgedeeld. Het HagaZiekenhuis heeft een boete van € 460.000 gekregen vanwege onvoldoende interne beveiliging van patiëntendossiers. Daarnaast legt de AP het ziekenhuis een last onder dwangsom op. Zo dwingt de AP het ziekenhuis om de beveiliging van patiëntendossiers te verbeteren. Meer informatie over deze boete vind je hier.

 

In maart 2020 gaf de AP de Nederlandse tennisbond een boete van € 525.000 vanwege het doorverkopen van persoonsgegevens van leden. De tennisbond verkocht de persoonsgegevens van een paar honderdduizend leden door aan sponsoren, maar de toezichthouder oordeelde dat de tennisbond geen grondslag had om persoonsgegevens door te geven aan sponsoren. De tennisbond heeft bezwaar gemaakt tegen het boetebesluit. Meer informatie over deze boete vind je hier.

 

Een maand later, in april 2020, heeft de AP een boete van € 725.000 uitgedeeld voor het ongeoorloofd afnemen, opslaan en gebruiken van vingerafdrukken van werknemers. Werknemers van een bedrijf hebben hun vingerafdrukken moeten laten scannen voor aanwezigheids- en tijdsregistratie. Na onderzoek heeft de toezichthouder geconcludeerd dat het bedrijf geen vingerafdrukken van werknemers had mogen verwerken. Meer informatie over deze boete vind je hier.

 

In juli 2020 legt de AP stichting Bureau Krediet Registratie (BKR) een boete van 830.000 euro op vanwege kosten bij inzage van persoonsgegevens. Volgens de AP mag BKR geen geld vragen aan mensen die digitaal hun persoonsgegevens willen inzien. Deze boete is de hoogste boete die de privacywaakhond tot nu toe heeft uitgedeeld. Meer informatie over de boete vind je hier.

  

Eerste boetes in andere EU-lidstaten

Ook in andere Europese landen zijn er al boetes uitgedeeld. De Duitse toezichthouder heeft een Duits chatplatform een boete van € 20.000 gegeven vanwege het overtreden van de privacywet. De chatdienst heeft wachtwoorden van gebruikers in platte tekst (dus ongecodeerd) opgeslagen. Door de wachtwoorden onveilig op te slaan heeft het bedrijf de AVG geschonden. Ook in Frankrijk is een AVG-boete uitgedeeld. De Franse toezichthouder heeft Google een boete van € 50.000.000 opgelegd. Volgens de Autoriteit informeert Google gebruikers die een account aanmaken niet juist over de data die het bedrijf van hen verzamelt.

Hulp bij privacy

Privacy Zeker helpt ondernemers met tools, documenten en begeleiding zodat zij kunnen voldoen aan de AVG. Eenvoudig en betaalbaar.

Wat is WhatsApp fraude en wat kun je doen om het te voorkomen?

Oplichting via WhatsApp komt steeds vaker voor. Bij deze vorm van oplichting doen criminelen zich voor als een bekende, vaak als zoon of dochter, en vragen je om geld voor te schieten. Dit ‘familielid’ heeft het geld dringend nodig en belooft het heel snel weer terug...

Registratieplicht in de horeca, wat gebeurt er met de gegevens die je achterlaat?

Vanaf maandag 10 augustus geldt de registratieplicht in de horeca, als onderdeel van de coronamaatregelen. Horecabedrijven moeten gasten vragen hun contactgegevens achter te laten, voor eventueel bron- en contactonderzoek van de GGD. Maar wat gebeurt er met de...

Samenwerking Aon en Privacy Zeker helpt ondernemers op het gebied van cyberveiligheid

Rotterdam, 9 juli – Risico- en verzekeringsadviseur Aon en privacy-expert Privacy Zeker gaan samenwerken om de cyberweerbaarheid van ondernemers te verhogen. Samen zorgen de twee organisaties voor bewustwording rondom cyberveiligheid, privacy en databeveiliging én...

Recordboete van 830.000 euro voor BKR

  De Autoriteit Persoonsgegevens heeft stichting Bureau Krediet Registratie (BKR) een boete van 830.000 euro opgelegd vanwege kosten bij inzage van persoonsgegevens. Volgens de Autoriteit Persoonsgegevens (AP) mag BKR geen geld vragen aan mensen die digitaal hun...

Privacy tijdens de coronacrisis

Hoe gaan we om met privacy en de AVG tijdens de coronacrisis? Hoe zorg je er voor dat je veilig thuiswerkt? Hoe bescherm je de gegevens van klanten, patiënten of collega’s? En hoe weet je met wie je zakendoet, nu er gebruik wordt gemaakt van online...

Zo maak je je bedrijf cyberveilig

  Veel mkb-ondernemers denken dat hun bedrijf niet interessant is voor cybercriminelen, maar niets is minder waar. Maar liefst 50% van de mkb-bedrijven heeft te maken gehad met een vorm van cyberincidenten. Dit is vooral te wijten aan onvoldoende bewustzijn en...

AVG-boete van € 725.000 voor ongeoorloofd verwerken vingerafdrukken werknemers

De Autoriteit Persoonsgegevens (AP) heeft een AVG-boete van € 725.000 uitgedeeld voor het ongeoorloofd afnemen, opslaan en gebruiken van vingerafdrukken van werknemers. Werknemers van een bedrijf hebben hun vingerafdrukken moeten laten scannen voor aanwezigheids- en...

Even privé met… Brenno de Winter, beveiligings- en privacy-expert

Privacy, gegevensbescherming, de AVG; onderwerpen die bijna dagelijks in het nieuws zijn. In de rubriek ‘Even privé met…’ komen verschillende professionals aan het woord over privacy. We spraken met beveiligings- en privacy-expert Brenno de Winter.   Wie ben je...

Wat is een veilig alternatief voor Zoom?

Videobellen wint door de coronacrisis aan populariteit. Het Amerikaanse Zoom wordt veel gebruikt, door vriendengroepen voor een virtuele borrel, maar ook door scholen en bedrijven. Het is een gebruiksvriendelijke tool, met goede beeldkwaliteit én de mogelijkheid om...

Beveiligd beeldbellen voor professionals

‘Hoe kan ik veilig thuiswerken tijdens de coronacrisis?’ Het is een vraag die veel van onze klanten bezighoudt. Veel professionals moeten nu opzoek naar een alternatief voor het fysieke consult of face-to-face gesprek zoals ze dat normaal met hun klanten of cliënten...

Veilig werken: thuis, op kantoor en onderweg?

Met de beveiligingsproducten van BeProtected zorg je dat jouw medewerkers veilig kunnen werken. Je stelt zelf je abonnement samen met de beveiligingsproducten die je nodig hebt. Of je kiest voor één van de kant-en-klare pakketten en profiteert van een interessante korting! 

Hoe werkt Privacy Zeker? Bekijk de video.