Autoriteit Persoonsgegevens wijzigt boetebeleidsregels
De Autoriteit Persoonsgegevens heeft de boetebeleidsregels aangepast die worden gebruikt wanneer de Algemene verordening gegevensbescherming (AVG) wordt overtreden. De oude regels hadden namelijk betrekking op overtredingen van de eerdere privacywetgeving die vorig jaar door de AVG werd vervangen.
De Europese Databeschermingsraad (EDPB), een orgaan waarin alle nationale privacytoezichthouders uit de Europese Unie samenwerken bij hun toezicht op de AVG, kwam vorig jaar met regels om administratieve geldboeten vast te stellen. In deze richtlijnen staat vermeld wanneer welk sanctiemiddel het meest passend is, zoals bijvoorbeeld een last onder dwangsom of een verwerkingsverbod.
De EDPB heeft nog geen gezamenlijk uitgangspunt voor het berekenen van boetes vastgesteld. Daarom heeft de Autoriteit Persoonsgegevens nu voor haar toezicht in Nederland beleid vastgesteld om de hoogte van boetes te berekenen (pdf). De toezichthouder zal deze regels toepassen totdat er Europese regels zijn om de hoogte van privacyboetes vast te stellen.
Maximale boetes
De AVG kent twee categorieën van overtredingen en bijbehorende maximale boetes. De eerste categorie betreft partijen die persoonsgegevens verwerken en de verplichtingen van de AVG niet nakomen. De AP kan deze partijen een boete opleggen van maximaal 10 miljoen euro. Of een boete van maximaal 2 procent van de wereldwijde jaaromzet van een onderneming, mocht dat bedrag hoger uitkomen.
Wanneer de beginselen of grondslagen van de AVG worden overtreden of de privacyrechten van de betrokkenen kan de toezichthouder een boete opleggen van maximaal 20 miljoen euro. Of een boete van maximaal 4 procent van de wereldwijde jaaromzet van een onderneming, mocht dat bedrag hoger uitkomen.
Voor deze twee categorieën heeft de Autoriteit Persoonsgegevens verschillende boetebandbreedtes opgesteld, waarbij de hoogste boete 1 miljoen euro bedraagt. In de beleidsregels staat echter ook vermeld dat wanneer de toezichthouder vindt dat de boetebandbreedte geen passende bestraffing toelaat, het een hogere boete kan opleggen die buiten de boetebandbreedtes treedt. Het gaat dan maximaal om boetes tot 20 miljoen euro of 4 procent van de totale wereldwijde jaaromzet.
Volgens mij ging het one-stop principe over de wet, namelijk dat je niet tig verschillende mogelijk overlappende en conflicterende wetten hebt op het gebied van privacy. Maar eens dat het netter zou zijn als die boetebedragen ook gelijkgetrokken worden. Het kan niet zo zijn dat een organisatie binnen de EU zich in een ander land gaat zitten alleen omdat de boetes voor dezelfde overtreding daar lager zijn.
Als jij een verkeersovertreding begaat dan wordt daar één boete van gemaakt niet een aantal omdat het nederlands staat, provincie en gemeentelijk toezicht betrof en een ieder voor de zelfde overtreding wat gaat doen.
https://eur-lex.europa.eu/legal-content/EN/TXT/HTML/?uri=CELEX:32016R0679&from=EN
"Article 83 General conditions for imposing administrative fines
..
3. If a controller or processor intentionally or negligently, for the same or linked processing operations, infringes several provisions of this Regulation, the total amount of the administrative fine shall not exceed the amount specified for the gravest infringement."
En dan heb je het unierecht.
Grote bedrijven shoppen in de verschillende landen voor de beste regeling. Dat is niet handig dat ben ik met je eens. Dan moet de regelingen voor de hele EU wetten en boetes gelijk op gaan lopen.
One-stop is dat een internationale organisatie slechts met één autoriteit te maken heeft, die dan ook voor het collectief spreekt. Bijvoorbeeld de Ierse autoriteit kan dan een klacht afhandelen namens Nederlanders en Duitsers en de andere autoriteiten bemoeien zich daar niet mee.
Wat hier met name een knelpunt lijkt te zijn is het doel van het directive zelf, namelijk dat er minder verwarrende verschillen zijn tussen de regels onderling. Inderdaad, als de Fransen hoog inzetten op de boetes, en de AP verzint - zoals gewoonlijk - een of andere verzachtende constructie, krijg je weer de vraag waar je met betrekking tot Europeanen aan toe bent.
Klein probleempje wegens de herhalende falende ICT hebben de beslissers besloten het aan de vrije markt over te laten.
Het BRP project als debacle is een fraai voorbeeld. Enige idee waarom de ICT zo faalt, ja juist dronken kapiteins op bepaalde posities in die IV keten.
Om je vergelijking door te trekken.
Geldt dit ook voor verkeersboetes als je er 1 in Nederland, 1 in Franrkijk en 1 in Italie krijgt, Of hanteren ze dan wel verschillende tarieven voor hetzelfde vergrijpen?
Geldt dit ook voor verkeersboetes als je er 1 in Nederland, 1 in Franrkijk en 1 in Italie krijgt, Of hanteren ze dan wel verschillende tarieven voor hetzelfde vergrijpen?
Met VW (audi Duitsland) en Radboud (Nederland) die gingen naar Engeland om de publicatie tegen te houden.
De keus voor Engeland was omdat daar de hoogste kans op dat gewenste verbod was. Het shoppen in gewenste rechters.
Geldt dit ook voor verkeersboetes als je er 1 in Nederland, 1 in Franrkijk en 1 in Italie krijgt, Of hanteren ze dan wel verschillende tarieven voor hetzelfde vergrijpen?
Met VW (audi Duitsland) en Radboud (Nederland) die gingen naar Engeland om de publicatie tegen te houden.
De keus voor Engeland was omdat daar de hoogste kans op dat gewenste verbod was. Het shoppen in gewenste rechters.
Leuk antwoord, maar zegt niets.
Ik heb geen auto of rijbewijs.
Jij komt zelf aanzetten met de stelling: "De wet en de boetes zouden door de hele unie gelijk moeten zijn", en gebruikt verkeersboetes als analogie.
De analogie waar het hier dan om zou moeten gaan is, dat als een automobilist in de EU een verkeersovertreding begaat (bv 160 km rijden waar maar 130 max mag), dit een boete oplevert. Mijn vraag; Is dit in alle EU-landen dezelfde boete of straf (identiek)?
Zoals gezegd: Ik heb geen auto of rijbewijs. Ik ben dus geen ervaringsdeskundige.
Maar de gelijkschakeling van boetes in de EU te vergelijken met gelijkschakeling van boetes tussen gemeente, provincie en staat gaat mank als anlogie. Dit zijn verschillende bestuursniveaus, ipv gelijkwaardige besturen op hetzelfde niveau.
Nu graag nog een helder antwoord.
In wetten staan altijd maximale boetes. Rechters en andere controleinstanties kunnen hier altijd van afwijken.
Peter
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
