Autoriteit Persoonsgegevens mag hoogte AVG-boete niet met burgers delen
De Autoriteit Persoonsgegevens (AP) mag de hoogte van de boete die het een bedrijf wegens het schenden van de AVG oplegde niet met twee burgers delen die over de onderneming een klacht hadden ingediend. Dat heeft de rechtbank Den Haag in een kort geding geoordeeld. Volgens de rechter wegen de belangen van het bedrijf, als het gaat om de boetehoogte, zwaarder dan de belangen van de burgers.
De directrice van het bedrijf had van de AP twee bestuurlijke boetes gekregen. Bij het aanbieden van haar financiële dienst verwerkte ze persoonsgegevens op een manier die in strijd is met de AVG. Ook werden aan de directrice twee lasten onder dwangsom opgelegd waarin haar is gelast de overtredingen te stoppen en niet meer te begaan. De Autoriteit Persoonsgegevens wilde de twee burgers die over het bedrijf hadden geklaagd informeren over het boetebesluit.
De directrice ging hier tegen in beroep. Ze stelt dat de AP geen redelijk belang heeft om dit te doen en dat het delen van het volledige boetebesluit met de twee burgers ervoor kan zorgen dat het boetebedrag openbaar wordt. Dit zou grote gevolgen voor haar bedrijf kunnen hebben, omdat daardoor klanten hun contracten zullen opschorten of opzeggen en nieuwe klanten wegblijven. Dit leidt volgens de directrice tot een 'onevenredige impact' op de bedrijfsvoering en haar reputatie.
"De hoogte van de aan eiseres opgelegde bestuurlijke boete is aanzienlijk te noemen. De hoogte van de boete is van een geheel andere orde dan de boetes die de AP oplegde (of zou hebben kunnen opleggen) voordat AP het boetebeleid van de European Data Projection Board is gaan volgen", aldus de voorzieningenrechter op basis van het debat tussen beide partijen.
De directrice deed nog de suggestie om het boetebesluit met de twee burgers te delen en daar dan alleen te vermelden dat de boete meer dan één miljoen euro bedraagt, in plaats van het exacte bedrag te noemen. Zo zouden de twee klagers weten dat er ten minste een forse boete is opgelegd in het kader van de handhaving. De rechter komt uiteindelijk tot het oordeel dat de belangen van de directrice zwaarder wegen dan de belangen van de burgers om de boetehoogte te weten. Het wordt de AP dan ook verboden het bedrag en de berekening met de twee klagers te delen.
Wel blijkt uit het vonnis dat de eiseres had gesuggereerd dat ze te horen zouden krijgen dat de boete groter dan 1 miljoen euro is. Als het werkelijke bedrag niet bekend mocht worden lijkt me duidelijk dat het een fors stuk hoger zal zijn geweest.
Verder was dit een kort geding, een spoedprocedure die nooit een definitief oordeel oplevert. De uitslag van een kort geding is een voorlopige voorziening, iets om nu even mee verder te gaan. Een andere rechter die er dieper induikt kan tot een ander oordeel komen. Deze zin uit het vonnis is belangrijk:
Het komt er dus op neer dat het voorlopige oordeel eigenlijk qua effect al definitief was geweest als het bedrag nu bekend had moeten worden gemaakt, en dat daarom het voorlopig stil houden van het bedrag de enige keuze zonder definitieve gevolgen is, en de argumenten van AP om het toch te doen vond de rechter, zonder de diepte in te gaan, niet overtuigend genoeg.
Het is nu aan AP om hiertegen in beroep te gaan, en ik hoop dat die dat ook doet. Dat is niet omdat ik een oordeel over deze eiseres heb, ik heb geen idee wie dat is of hoe het nou precies is misgegaan, maar omdat bekendmaking van boetes een duidelijk signaal is dat het menens is en dat een dergelijke smak geld beter kan worden besteed aan je zaakjes op orde krijgen dan aan een boete en een forse reputatieschade, en alsnog je zaakjes op orde moeten brengen. Bij straffen die onder de pet worden gehouden valt de preventieve werking op anderen ervan weg.
Wel blijkt uit het vonnis dat de eiseres had gesuggereerd dat ze te horen zouden krijgen dat de boete groter dan 1 miljoen euro is. Als het werkelijke bedrag niet bekend mocht worden lijkt me duidelijk dat het een fors stuk hoger zal zijn geweest.
Verder was dit een kort geding, een spoedprocedure die nooit een definitief oordeel oplevert. De uitslag van een kort geding is een voorlopige voorziening, iets om nu even mee verder te gaan. Een andere rechter die er dieper induikt kan tot een ander oordeel komen. Deze zin uit het vonnis is belangrijk:
Het komt er dus op neer dat het voorlopige oordeel eigenlijk qua effect al definitief was geweest als het bedrag nu bekend had moeten worden gemaakt, en dat daarom het voorlopig stil houden van het bedrag de enige keuze zonder definitieve gevolgen is, en de argumenten van AP om het toch te doen vond de rechter, zonder de diepte in te gaan, niet overtuigend genoeg.
Het is nu aan AP om hiertegen in beroep te gaan, en ik hoop dat die dat ook doet. Dat is niet omdat ik een oordeel over deze eiseres heb, ik heb geen idee wie dat is of hoe het nou precies is misgegaan, maar omdat bekendmaking van boetes een duidelijk signaal is dat het menens is en dat een dergelijke smak geld beter kan worden besteed aan je zaakjes op orde krijgen dan aan een boete en een forse reputatieschade, en alsnog je zaakjes op orde moeten brengen. Bij straffen die onder de pet worden gehouden valt de preventieve werking op anderen ervan weg.
De twee burgers hebben de zaak aanhangig gemaakt, dus weten ze over welk bedrijf het gaat!
Als het te lang duurt kunnen de vrienden denken dat er iets aan de hand is, met reputatieschade tot gevolg. Que?!
Het enige wat me interesseert is welke bedragen uiteindelijk BETAALD worden.
(ook door spammers en andere door dit soort autoriteiten "aangepakte" bedrijven)
Ik krijg de indruk dat uiteindelijk in een beroepszaak de boete meestal van tafel gaat of sterk verlaagd wordt.
Daartoe heeft het bedrijf een kort geding tegen AP aangespannen. De zaak waar dit artikel over gaat is dus aanhangig gemaakt door het bedrijf, niet door die twee burgers. Het bedrijf kreeg niet voor elkaar dat het volledige handhavingsbesluit niet naar de klagers ging, maar wel dat voorlopig het boetebedrag en de berekening ervan niet mogen worden bekendgemaakt.
Merk op dat die twee burgers helemaal geen partij waren in dit kort geding, de zaak is aangespannen door het bedrijf tegen AP. Volg de link in het artikel naar het vonnis en daar kan je dat in de aanhef zien staan.
"Ja we hebben een boete uitgedeeld, maar we mogen niet zeggen hoe hoog die was"
Gewoon bekend maken die hap. Als je zelf niet goed met gegevens omgaat, dan maak je je ook geen zorgen om deze.
Dat de rechter het bedrijfsleven boven die van de burger(s)/samenleving stelt is vreemd. Zo'n bedrijf die verkeerd bezig is geweest (omtrent de AVG wetgeving) ontloopt daarbij de helft van z'n straf. Het is nogal huichelahtig om na het overtreden dan huliehuilie te gaan doen met het argument dat dit toekomstige klanten gaat kosten. Dat had je je maar vóór het overtreden van de AVG regels moeten beseffen.
Geef dan ook maar geen VOG's meer uit, want dat schaadt de burger om vervolgens weer werk te vinden in de branche waar zhij verkeerd bezig is geweest !
Ik hoop dat de AP in hoger beroep gaat, zodat de papieren tijger er alsnog voor kan zorgen dat tie niet ook nog 's een paar -papieren- tanden uit z'n bek hoeft te laten slaan. Dat is, als tie dan maar net een betere rechter krijgt die niet de prioritet heeft liggen op het bedrijfsleven ( zoals de VVD (sorry kon het niet laten)), maar wat het beste is voor de (gehele) samenleving (ook al gaat dat bedrijf hierdoor failliet).
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
