Nieuwe Europese privacywetgeving kan leiden tot hogere boetes voor bedrijven

De Europese lidstaten zouden een akkoord hebben bereikt over boetes in de nieuwe EU-brede privacyverordening, meldt persbureau Reuters. Bedrijven die zich niet aan de regels houden, kunnen daardoor een boete krijgen tot maximaal 2 procent van hun jaaromzet.

De lidstaten zouden woensdag een akkoord hebben bereikt over de boetes in een ontwerptekst van de Europese privacyverordening, die is geschreven door de huidige EU-voorzitter Letland, meldt Reuters op basis van diplomatieke bronnen. In het document worden boetes tussen de 0,5 en 2 procent van de wereldwijde jaaromzet voorgesteld voor bedrijven die zich niet aan de regels houden. Als bedrijven niet de data verwijderen over personen die volgens het 'recht om vergeten te worden' had moeten worden weggehaald, kan ze dat maximaal 1 procent van hun omzet kosten.

Op dit moment onderhandelen lidstaten van de Europese Unie over de nieuwe EU-brede privacyverordening. Nu geldt nog de 95/46/EG-richtlijn, ook wel Databeschermingsrichtlijn genoemd, uit 1995. In 2012 kwam de Europese Commissie vanwege technologische ontwikkelingen met een voorstel voor gemoderniseerde wetgeving. Daarin is bijvoorbeeld ook het 'recht om vergeten te worden' opgenomen. Sinds een uitspraak van het Hof van Justitie van de EU vorig jaar is dit recht, dat inhoudt dat irrelevante gegevens over burgers op internet na een bepaalde termijn op verzoek moeten worden verwijderd, overigens ook al jurisprudentie.

De nieuwe regels worden gegoten in de vorm van een Europese verordening in plaats van een Europese richtlijn. Een Europese verordening is direct van toepassing in alle lidstaten; een richtlijn moet eerst nog door een land zelf worden omgezet in nationale wetgeving. In Nederland is dat bijvoorbeeld de Wet bescherming persoonsgegevens, in België de privacywet. Met de nieuwe verordening worden de privacyregels voor de hele EU geharmoniseerd. Het voorstel zou eigenlijk in 2014 al in stemming worden gebracht in het Europees Parlement, maar vanwege de grote reikwijdte duren de onderhandelingen nog steeds voort.

Door de verschillende implementaties van de 95/46/EG-richtlijn in de lidstaten hebben nu niet alle nationale privacytoezichthouders de mogelijkheid om boetes uit te delen. De verordening zou privacytoezichthouders dus een groter machtsmiddel geven om erop toe te zien dat bedrijven de privacywetgeving naleven. Overigens is de Nederlandse regering ook al bezig met het introduceren van een ruimere boetebevoegdheid voor de Nederlandse toezichthouder, het College bescherming persoonsgegevens. Een wetswijziging die naar verwachting binnenkort wordt behandeld door de Eerste Kamer, geeft het College de mogelijkheid om boetes te geven tot 810.000 euro bij overtredingen. De mogelijkheid om boetes op te leggen tot 2 procent van de jaaromzet, zou vooral bij grote bedrijven als Google en Facebook nog eens een forse uitbreiding van de bevoegdheid betekenen.

Als alle onderdelen van de ontwerptekst zijn goedgekeurd, moeten ministers uit de Europese lidstaten er in juni nog hun fiat aan geven. Daarna kan het voorstel naar het Europees Parlement. Dat wil maximale boetes van 5 procent van de jaaromzet, dus wellicht worden de boetes in de Europese verordening nog hoger.

Reacties (55)

[Verwijderd]

in het document worden boetes tussen de 0,5 en 2 procent van de wereldwijde jaaromzet voorgesteld voor bedrijven die zich niet aan de regels houden. Als bedrijven niet de data verwijderen over personen die volgens het 'recht om vergeten te worden' had moeten worden weggehaald, kan ze dat maximaal 1 procent van hun omzet kosten.

Zolang je met big-data gebruik van mensen hun privé gegevens, altijd nog winstmarges van +20% van je omzet kan kan maken, blijft het exploiteren van de privé-gegevens van Europeanen gewoon hardstikke lucratief.

[Reactie gewijzigd door Verwijderd op 22 juli 2024 18:23]

[graverobber2]

De boete is op basis van hun omzet, niet hun winst.

[Sky Lynx]

Maar dat geeft nul07 ook aan:

[...] winstmarges van +20% van je omzet kan kan maken [...]

Google boekte bijvoorbeeld $3,2 miljard winst op een omzet van $14,1 miljard (tweede kwartaal 2013). Dat is ruim 22% van de omzet. Als de voorgestelde boetes daadwerkelijk goedgekeurd zullen worden op 0,5%-2,0% van de omzet, dan is het exploiteren van privé-gegevens van Europeanen inderdaad lucratief.

Met andere woorden, die toko's gaan echt niet hun business-model veranderen en blijven gewoon doordraaien zoals ze dat nu doen. Totdat die boetes hun ècht gaan raken (zegge 10%-20% van de omzet) en ze op die manier alsnog gedwongen worden om zich te houden aan EU-wetgeving. Nu lijkt het erop dat die 0,5%-2,0% er vooral is om de eigen EU-kas te spekken en de Big Data-bedrijven niet al teveel strobreed in de weg te leggen.

[Thirler]

Vergeet niet dat naast de boete, zo'n grote boete ook enorm veel negatieve publiciteit oplevert, en dit mensen dus zal laten nadenken over de nadelen van big-data.

[FlyEragon]

Big data is genoeg in het nieuws geweest, mensen kan het gewoon niet boeien, zetten alsnog hun hebben en houden op internet, lekker alles in de cloud opslaan etc. Dus die boete bericht kan ze ook geen zier schelen, het enige wat zou helpen is om het boetebedrag fors te verhogen zodat de betrokken bedrijven echt geraakt worden.

[Verwijderd]

Je kan natuurlijk ook prima effectief internet reclame maken zonder big data.
Reclame kan ook gebaseerd worden op inhoud of de aard van de site waar de recame op getoond wordt.
De meerwaarde van gepersonalieerde data op alle anderer reclamemethodes is natuurlijk maar beperkt.

Het is dus maar zeer de vraag of de data van van alle Europeanen 2% toevoegd aan de wereldwijde omzet van bijvorobeeld Google

[Jaahp]

Wordt de boete niet hoger als het bedrijf na de eerste boete gewoon doorgaat?

[Verwijderd]

Dat kan als de boete bijvorbeeld eerst 0,5% van de wereldwijde omzet is.
Maar 2% wordt in dit voorstel nu wel de max.
En dat is natuurlijk ook voor de grotere privacyschender met omzetten van tientallen miljarden best veel geld.

[CivLord]

[...]

Zolang je met big-data gebruik van mensen hun privé gegevens, altijd nog winstmarges van +20% van je omzet kan kan maken, blijft het exploiteren van de privé-gegevens van Europeanen gewoon hardstikke lucratief.

Geen enkele aandeelhouder zal blij zijn wanneer 10% van de winst (en potentiele dividenduitkering) in de vorm van een boete verdampt.
Na een paar boetes vanwege privacyschending wordt ook het imago van het bedrijf geschaad, wat de omzet een grotere klap kan geven dan alleen de boete.
Wanneer keer op keer de Europese kranten vol staandat Google opnieuw een boete heeft gekregen voor privacyschending en hun privacybeleid nog steeds niet aanpast, zal het kwartje op een gegeven moment wel gaan vallen bij de Europese consumenten.

[Verwijderd]

Dan kan je mét correcte implementatie 22% verdienen. Én je reputatie gaaf houden, wat wellicht een veelvoud daarvan waard is.

[MrHankey]

Wanneer mensen hun toestemming geven, dan is die hele clausule natuurlijk niet van toepassing. Om dan 2%-5% van de omzet in te leveren voor BD achtige praktijk gaat best ver, wanneer je er iig van uit gaat dat de mensen die privacy bezwaren hebben (en hun consent intrekken) ook niet de doelgroep zijn van allerhande digitale marketing campagnes die voortvloeien uit die BD analyse. Daar komt die winst wel vandaan. Lijkt mij dat het dan lucratiever is om die privacy gewoon te waarborgen en er wat extra resources op te zetten.

[Thalaron]

Buiten dat ze met hun gebruikersvoorwaarden kunnen gooien voor toestemming is het nog altijd zo dat je wettelijke rechten niet kan afstaan. Ik kan immers ook geen toestemming geven aan jou om mij bij wijze van te vermoorden. Het mag simpelweg niet van de wet. Toestemming vragen voor zaken die de wet niet toestaat is dus niet wettelijk. Daarnaast volgt bijvoorbeeld FaceBook ook mijn bewegingen op het internet zonder mijn toestemming (heb geen FaceBook) middels de "like" buttons die overal zijn...

[Rex]

Ja, zoals @Thalaron hierboven al zegt, kun je wettelijke rechten niet zomaar afstaan.
Het "worden vergeten" kwam aan het rollen, doordat een Spanjaard een klacht indiende bij de Spaanse AEPD. Spanje heeft één van de strengste regels op dat gebied. Als inwoner heb je het recht om bij elk bedrijf alle gegevens op te vragen die ze van jou hebben. Je mag ook alles (naar waarheid aanpassen) en je mag ook bijna alles laten verwijderen. Je kunt je rechten niet afstaan.
Het gaat zelfs zo ver dat je een winkel kan dwingen om de camarabeelden te verwijderen nadat je daar hebt geshopt. En er zijn al honderden extreme gevallen bekend, waarbij bijv. een benzinepomp aan de snelweg een camera had die de oprit filmde en een boete kreeg omdat je de openbare weg niet mag filmen.

[CyberDonky]

Misschien een stomme vraag... Bedrijven... Zijn dat dan ook ZZP'ers, B.v's, Verenigingen e.d.? Of organisaties die geregistreerd staan bij de KvK (voor NL dan)?

[djrobo1989]

Kort: Ja.
Geldt overigens ook voor de Wbp wijzigingen zoals meldplicht datalekken

[CAPSLOCK2000]

Misschien een stomme vraag... Bedrijven... Zijn dat dan ook ZZP'ers, B.v's, Verenigingen e.d.? Of organisaties die geregistreerd staan bij de KvK (voor NL dan)?

Verenigingen zullen er wel buiten vallen maar ZZP'ers en BV's zijn gewone bedrijven en die zullen hier dus wel bij horen. Verenigingen hebben zich natuurlijk ook aan de privacywetgeving te houden maar boetes op grond van de omzet heeft bij verenigingen niet zo veel zin, veel verenigingen hebben nauwelijks omzet.

[Verwijderd]

Boetes voor bedrijven worden altijd doorberekend aan de eindklant. Hoe je het ook bekijkt, linksom of rechtsom moet die boete betaald worden met inkomsten van klanten. Daardoor kunnen klanten toch alleen maar financieel benadeeld worden? De bedrijven kunnen door hoge boetes nooit hun prijzen verlagen. Oplossing: de CEO moet persoonlijk aansprakelijk kunnen worden gesteld. Hup, 1 jaar geen salaris meer voor de directeur.

[Verwijderd]

wanneer krijgt men een boete? als er niet aan de regels wordt voldaan.
ik ben het eens dat de boete indirect door de klant wordt betaald, echter wanneer een bedrijf de prijzen nooit verlaagd, doordat ze die boetes krijgen, koopt er niemand meer iets bij dat bedrijf.
het bedrijf is zich daarom vrijwel verplicht om iets te doen aan de oorzaak van de boetes zodat zij weer mee kunnen spelen op de markt en waadoor de klanten weer terug komen.

de meeste bedrijven zijn zich hier heel erg van bewust en spelen daarom vaak op een slimme manier met de regels zodat ze goed in de markt blijven staan.

[Verwijderd]

wanneer krijgt men een boete? als er niet aan de regels wordt voldaan.
ik ben het eens dat de boete indirect door de klant wordt betaald, echter wanneer een bedrijf de prijzen nooit verlaagd, doordat ze die boetes krijgen, koopt er niemand meer iets bij dat bedrijf.
het bedrijf is zich daarom vrijwel verplicht om iets te doen aan de oorzaak van de boetes zodat zij weer mee kunnen spelen op de markt en waadoor de klanten weer terug komen.

Dat heet met een mooie term "negatieve terugkoppeling" oftewel "negative feedback". Zie hiero. Mooi vakgebied, overigens!

[CivLord]

Voor bedrijven waar de CEO voor $ 1 op de loonlijst staat zal dat ook weinig indruk maken.

[Verwijderd]

Voor bedrijven waar de CEO voor $ 1 op de loonlijst staat zal dat ook weinig indruk maken.

• Hebben die CEO's naast hun vaste loon misschien bonussen van $ 30 miljoen? Dan kan dat geld rechtstreeks naar het Leger des Heils gaan.
• Aandelen afpakken van de CEO en uitdelen aan mensen die dat goed kunnen gebruiken.
• CEO's die in het uiterst onwaarschijnlijke geval $ 1 per maand verdienen en geen bonus hebben en ook helemaal geen aandelen (kan dat wel?) en ook geen bijbaan moeten 70% van hun vermogen afstaan aan mensen die dat goed kunnen gebruiken.
• Misschien kan er een alternatieve straf voor zulke CEO's worden bedacht. Bijvoorbeeld, dat het recht om te werken wordt ingetrokken voor die CEO. Daarnaast mag er niemand zijn plaats innemen. Een halfjaartje zonder leiding... dat lijkt me toch wel een serieuze straf voor een bedrijf, toch?

[Verwijderd]

Je gaat een bedrijf een half jaar zonder leiding zetten en de CEO zijn aandelen uitdelen, de andere aandeelhouders zullen je heel dankbaar zijn om de waarde van hun aandelen tot 0 te herleiden.

[Verwijderd]

Je gaat een bedrijf een half jaar zonder leiding zetten en de CEO zijn aandelen uitdelen, de andere aandeelhouders zullen je heel dankbaar zijn om de waarde van hun aandelen tot 0 te herleiden.

Tja... goed opgemerkt. Daar heb ik niet aan gedacht. Okay, dan alle aandeelhouders ook bestraffen, want die zijn mede-eigenaar van het bedrijf

[Maj-Maj]

Opvallend dat is gekozen voor een boete van 2%. Het Europees Parlement vond deze boetebevoegdheid juist te laag en heeft voorgesteld om deze op 5% van de jaaromzet te zetten. (Staat ook al in het stuk.) Ook was het op grond van de voorgestelde tekst van het Parlement mogelijk om elke overtreding van de verordening even zwaar te straffen. Ben dus benieuwd wat het Parlement gaat vinden van deze overeenkomst. Misschien komen ze toch terug van hun eisen, omdat de voorgestelde tekst van het Parlement ongeveer werd aangenomen op het moment van de Snowden-affaires. Misschien zijn ze nu iets meer tot bedaren gekomen en gaan ze akkoord met 2%.

[Reactie gewijzigd door Maj-Maj op 22 juli 2024 18:23]

[NLsandman]

VB:

Kpn had in het eerste kwartaal een omzet van 1,9 miljard euro en een winst van 15 miljoen euro.
Dit komt neer op 0,7% van de omzet.
Stel de EU geeft ze een boete van 2% over de omzet in dat kwartaal dan is dat 38 miljoen euro.
Dat gaat dus banen kosten omdat bedrag op te hoesten, ik denk dat de EU daar ook geen
belang bij heeft.

[Maj-Maj]

Let wel: het is tot 2%. Alleen bij zeer grove, langdurige overtredingen *kuch*Facebook*kuch* zie ik dit gebeuren.

[NLsandman]

ik hoop het, zulke bedrijven hebben veel geld in kas maar de meesten zijn niet zo rijk,
ze hebben wel een grote omzet maar hun winst ligt onder de 1% van hun omzet.
Trouwens, merken bv apple, facebook en google wel een boete van 2% of is dat
een fooi voor hun?

[wjn]

En weer een wassen neus, zolang overtredingen met schikkingen worden afgedaan.
(Wat in praktijk altijd gebeurd als er grote bedragen / partijen in spel zijn.)

De enige die hier mee te maken krijgen (met die max. 2%), zijn de MKB's.

[Reactie gewijzigd door wjn op 22 juli 2024 18:23]

[zonoskar]

Eigenlijk moet de boete/schikking gewoon oplopen met het aantal keer dat deze opgelegd moet worden. Wil een bedrijf niet luisteren omdat ze de boete incalculeren, gewoon 2x zoveel. En de keer erna weer 2x zoveel. Dan luisteren ze wel.

[wjn]

Zou leuk zijn, maar het punt is dat grote bedrijven nooit een boete betalen, maar altijd schikken.
Bijv. UBS heeft net een deal gesloten, betaalt dus geen boete!

[Krizna]

Botst het recht om vergeten te worden niet met de bewaarplicht? Wordt hiermee niet de mogelijkheid ontnomen voor bedrijven om zich effectief te wapenen tegen wanbetalers/oplichters? Welke gegevens zijn 'irrelevant'? Wat is 'een bepaalde termijn'? Vragen, vragen, vragen. (Overigens, de Rijksoverheid noemt geen termijn en spreekt van 'alle gegevens'.)

[CivLord]

Het recht om vergeten te worden gaat om openbaar beschikbare informatie op websites. Niet om gegevens in een bedrijfsadministratie.

[Krizna]

Dat klinkt een stuk redelijker. Maar heb je daar een bron van?

[CAPSLOCK2000]

0.5%-5% van de wereldwijde jaaromzet schiet lekker op. Dat is voor een hoop bedrijven het verschil tussen winst of verlies. Dan is het wel nog zaak dat dit ook kan worden uitgevoerd. De Googles en de Facebooks zijn heel creatief in verstoppertje spelen in het buitenland en het verborgen houden van de echte omzet. Ze weten het ook zo te regelen dat ze nauwelijks belasting betalen omdat ze op papier geen winst maken. Met diezelfde handigheid zullen ze we probleren te zorgen dat ze op papier nauwelijks omzet hebben en eventuele boetes laag blijven.

[Verwijderd]

Voor Facebook en Google is het heel eenvoudig: die kunnen zich gewoon terugtrekken uit Europa. De meeste gebruikers zullen het toch wel blijven gebruiken.

[CivLord]

Maar dan mogen ze zich ook niet meer actief richten op Nederlandse gebruikers. Ik denk dat ze een groot deel van het gewone publiek kwijt raken wanneer die alleen nog maar de Engelstalige site kunnen gebruiken.

Google zou dan ook geen advertenties meer op Europees gebruikers richten. Dat zal nooit gebeuren.

Terugtrekken is niet alleen een kwestie van de lokale kantoren sluiten en alles vanuit de VS doen. Het betekent dat ze hun activiteiten niet meer op Europese gebruikers kunnen richten.

[Verwijderd]

Je mag best als Amerikaans bedrijf een Nederlandstalige website hebben. Het enige wat de EU daartegen kan doen is het blokkeren van die website. Maar dat zie ik echt niet gauw gebeuren.

En die advertenties zal ook wel loslopen. Wat kan de EU doen als een Europees bedrijf via een Amerikaans bedrijf reclame maakt? Niet veel hoor.

[CivLord]

Wanneer een Amerikaans bedrijf zich actief op de Nederlandse markt richt, dan heeft het zich aan de relevante Nederlandse wetgeving te houden.
Wanneer het bedrijf zich daar niet aan houdt, kan het door een Nederlandse rechter veroordeeld worden. Wanneer het uitvoeren van het vonnis (bijvoorbeeld een boete) problemen oplevert doordat het bedrijf geheel buiten Nederland gevestigd is, kan de Nederlandse justitie een rechtshulpverzoek bij de Amerikaanse justitie indienen. In verdragen is geregeld dat, zolang de wet waarop het bedrijf is veroordeeld naar Amerikaanse maatstaven redelijk is, aan dit verzoek gehoor wordt gegeven.

[--Andre--]

Schieten Google en Facebook er wat mee op om zich uit Europa terug te trekken. Deze bedrijven draaien op advertenties. Het terugtrekken uit Europa... wat zou dat betekenen voor advertenties van Europeese bedrijven. Als die weg vallen.... zouden ze dan nog mensen uit Europa op hun diensten toelaten?

[CAPSLOCK2000]

Dat staan de aandeelhouders nooit toe, daarvoor wordt er te veel geld verdient in Europa. Zelfs als ze het wel doen dan hebben we verdragen met de VS. Als ze vervolging ontvluchten dan laten we ze in de VS pakken. Ja, dat is makkelijker gezegd dan gedaan maar zeker niet onmogelijk. Als ze zelfs dat weten te ontwijken dan komt er een internationaal opsporingsbevel tegen de bedrijfsleiders. Als die ooit in het buitenland op vakantie gaan worden ze opgepakt. Niet dat het ooit zo ver is gekomen maar als puntje bij paaltje komt zijn er middelen om ze aan te pakken.

[Petertjuh360]

Hoe zit dat met facturen? Stel ik koop iets bij een webshop ik wil dat zij mij vergeten, moeten zij dan de factuur verwijderen of klantgegevens van de factuur verwijderen?

[Reactie gewijzigd door Petertjuh360 op 22 juli 2024 18:23]

[Verwijderd]

Zowel de webshop als jij moet deze factuur 5 jaar bewaren omdat de fiscus (belastingdienst) 5 jaar de tijd om jouw te controleren.
Zo mag de belastingdienst bijvoorbeeld om bewijzen vragen of jij in 2012 (noem maar wat) wel echt x geld besteed hebt en dan dien jij dit te bewijzen.

[Verwijderd]

Deze stelling klopt niet, als particulier ben jij niet verplicht om enig betaalbewijs te bewaren.
het klopt wel dat de belastingdienst tot 5 jaar terug naar gegevens kan/mag vragen, dit gaat dan echter om bijv. loonstroken en niet om facturen van aankopen.

Als bedrijf zijnde ben je echter wel verplicht om facturen te bewaren, dit heeft met name te make met de boekhouding van het bedrijf (Winst berekening ed. i.c.m.de belastingdienst)

[Standeman]

Als ik een brood bij de bakker koop hoef ik het echt het bonnetje 5 jaar niet te bewaren hoor!

[Cergorach]

Dat komt omdat een bonnetje van de bakker geen factuur is. Bonnetjes werken trouwens via een andere regeling.

[graverobber2]

voor een broodje krijg je dan ook geen factuur (tenzij je ze in grote hoeveelheden besteld)

[hackerhater]

mwah met de BTW niet hoor.
Ik heb al een paar BTW aangifte moeten doen en er staat duidelijk dat je de bedragen in jouw voordeel op hele euro's mag afronden.

die 100000,77 euro omzet wordt dus 100000 euro

[Cergorach]

Nee, absoluut niet! Ze zijn verplicht die minstens 5 7 jaar te bewaren. Met dank aan de belastingdienst.

Edit:
Prive is 5 jaar bewaren
Zakelijk is 7 jaar bewaren
Ontroerendgoed is 10 jaar bewaren

[Reactie gewijzigd door Cergorach op 22 juli 2024 18:23]

[jpsch]

Facturen verwijderen is een economisch delict en mag dus zeker niet. Alles rondom belastingen moet je 7 jaar bewaren. Klantgegevens mag je ook niet verwijderen, omdat b.v. BTW afhankelijk is van waar de dienst/product geleverd wordt.

[CivLord]

Het recht om vergeten te worden gaat om openbaar beschikbare informatie op websites. Niet om gegevens in een bedrijfsadministratie.

[djrobo1989]

Inderdaad moet de basis informatie(die de belastingdienst eist) blijven bestaan, maar in kader van doelbinding kun je je bv afvragen of extra gegevens als geboortedatum en emailadres ook opgeslagen dienen te worden. Wellicht kan je in dit kader wel verzoeken he account te verwijderen.

[Verwijderd]

Als het zou mogen zouden heel veel bedrijven er totaal geen problemen mee hebben om klant0- en transactiegegevens uit hun administratie te wissen....

[djrobo1989]

Ik ben eigenlijk wel benieuwd wat de beoordelingscriteria zijn irt boete bedrag. Ik weet dat cbp op dit moment bezig is met richtsnoeren voor meldplicht datalekken, maar hoe dit binnen EU gaat is mij nog niet duidelijk.

[Verwijderd]

Weer een manier bedacht om wat extra geld te verkrijgen, niet te hoog zodat bedrijven het wel makkelijk kunnen betalen maar toch een stevig bedrag die ze kunnen binnenrijven. Als ze echt met onze privacy inzaten zouden ze ons natuurlijk niet zelf op elke mogelijke manier bespioneren. Bij bedrijven heb ik de keuze of ik wel of niet van hun diensten gebruik maak. Helaas heb ik nog geen opt-out gevonden voor de EU en mijn overheid en laat ik in die nu net het minste vertrouwen hebben.