Europese privacytoezichthouders gaan hoogte AVG-boetes onderling gelijktrekken

De European Data Protection Board heeft nieuwe regels geformuleerd voor Europese privacytoezichthouders om de hoogte van een boete te bepalen bij schending van de AVG. Vooralsnog verschillen de hoogtes van de boetes per EU-lidstaten aanzienlijk.

De nieuwe Europese fining guidelines geven individuele privacytoezichthouders verbeterde parameters voor het bepalen van de hoogte van een boete, zo legt de Autoriteit Persoonsgegevens uit. Wanneer een bedrijf de Algemene Verordening Gegevensbescherming schendt, kan een boete nog steeds oplopen tot 20 miljoen euro of tot 4 procent van de wereldwijde omzet van het bedrijf. De manier van bepaling van de hoogte van een boete wordt daarentegen op drie punten aangescherpt.

• Privacytoezichthouders nemen direct bij het uitschrijven van een boete de omzet van een bedrijf als uitgangspunt. Vooralsnog werd de omzet van een bedrijf pas later in het proces erbij gehaald. Met de nieuwe fining guidelines bepaalt de omzet van een bedrijf meteen het startbedrag voor de boete.
• De European Data Protection Board formuleert drie categorieën voor de ernst van een betreffende overtreding. Een AVG-schending kan voortaan wat betreft de ernst gecategoriseerd worden als laag, midden en hoog. Voor iedere categorie geldt een vast startbedrag voor de boete.
• De vernieuwde regels gaan uit van een startbedrag, waarna privacytoezichthouders zelf kijken of er redenen zijn om een boete eventueel te verhogen of juist te verlagen. Een bedrijf dat bijvoorbeeld al eerder eenzelfde overtreding maakte kan een verhoging van het startbedrag verwachten. Wanneer een partij er bijvoorbeeld alles aan gedaan heeft om eventuele schade te voorkomen, kan dat verzachtend werken.

Belanghebbende partijen kunnen tot 27 juni 2022 bij de European Data Protection Board aankloppen voor eventuele kritieken op de nieuwe richtlijnen. Daarna geeft het onafhankelijke Europese samenwerkingsverband van privacytoezichthouders de richtlijnen officieel uit. Overigens kunnen de aankomende richtlijnen alleen toegepast worden op bedrijven, niet op overheden.

Vooralsnog kunnen privacyautoriteiten van Europese lidstaten zeer uiteenlopende boetes uitdelen. De Nederlandse Autoriteit Persoonsgegevens bleek bijvoorbeeld niet zo vaak boetes uit te delen, maar gaf in de enkele gevallen wel relatief hoge boetebedragen uit.

Reacties (16)

[Meg]

Een goede stap dit. We zijn toch één Europa? Waarom dan overal verschillende boete bedragen?

[Reactie gewijzigd door Meg op 24 juli 2024 01:55]

[laptopleon]

Omdat je in pakweg Portugal meer kunt kopen voor een euro dan in Noorwegen. Maar goed, als de jaaromzet het uitgangspunt is, werk je daar al aardig omheen.

[noil]

Als ze in Norwegen de euro hadden en ze in de EU zaten was dit aannemelijk geweest.

[laptopleon]

OK, OK, touché, ze doen niet mee aan de euro, maar het punt blijft overeind: met een euro kun je in Noorwegen minder kopen dan in Portugal.

Noorwegen zit niet in de EU maar in de praktijk met handen en voeten toch weer wel: Zit in de Schengenruimte (geen binnengrenscontroles meer), in de Europese Vrijhandelsassociatie (EVA) en Europese Economische Ruimte.

De site van de autoriteit persoonsgegevens, over gegevensuitwisseling met derde landen:

De landen van deze EER (Noorwegen, Liechtenstein en IJsland) hebben zich verplicht de richtlijn te implementeren in eigen wetgeving.

[Floort]

Voor een deel omdat elke toezichthouder te maken heeft met lokaal bestuursrecht en jurisprudentie n.a.v. eerdere boetes. Het gelijktrekken kan dus best wel wat afstemming kosten en dat heeft tijd nodig.

[True]

Omdat je met diezelfde ene euro niet in elk land evenveel kunt kopen.

[Tomatoman]

Dat is niet relevant, aangezien de omzet het basisbedrag van de boete bepaalt. De koopkracht in een land doet niet terzake. Dat kan ik laten zien met een rekenvoorbeeld.

Stel dat twee fabrikanten verboden prijsafspraken maken over het enige product dat ze verkopen. De ene fabrikant is gevestigd in Portugal en verkoopt jaarlijks 1 miljoen exemplaren van het product tegen een prijs van € 10. De omzet van het bedrijf is dus € 10 miljoen. De andere fabrikant is een Duits bedrijf. Het verkoopt eveneens 1 miljoen exemplaren van het product tegen een prijs van € 12, omdat de prijs in Duitsland wat hoger is dan in Portugal. Het Duitse bedrijf heeft dus een omzet van € 12 miljoen.

Beide bedrijven krijgen een boete van 1% van de jaaromzet: € 100.000 voor het Portugese bedrijf en € 120.000 voor het Duitse bedrijf. Dat komt voor beide bedrijven overeen met een boete die gelijk staat aan 10.000 verkochte exemplaren. Het boetebedrag is verschillend, maar de ‘pijn’ van de boete is gelijk.

[Reactie gewijzigd door Tomatoman op 24 juli 2024 01:55]

[True]

Uitstekend punt, bedankt voor de verheldering!

[Skit3000]

Dat ligt natuurlijk volledig aan wat je koopt. Zo ligt de prijsindex in Nederland voor voedsel, drinken en tabak < 80 terwijl consumentengoederen en -services op 115 ligt.

[dieAndereGozer]

Wat natuurlijk een raar gegeven is.

[J0chemG]

Overigens kunnen de aankomende richtlijnen alleen toegepast worden op bedrijven, niet op overheden.

Dit stukje mist naar mijn mening nog wat relevante informatie, er bestaan immers meer privaatrechtelijke entiteiten dan enkel 'bedrijven'. Ik wil hier aan toevoegen dat het volgens de richtlijn bij 'the nature of processing' onder meer gekeken wordt naar the context in which de processing is based (e.g. business activity, non-profit, political party, etc.). Ik mijn optiek goed dat ze dit onderscheid hier maken.

[WouterL]

Sommige landen hebben overheden uitgesloten van de entiteiten die een boete kunnen ontvangen (zoals België). De AVG biedt deze ruimte namelijk (art 83 lid 7). Vandaar dat deze partijen zijn uitgesloten van de harmonisatie:

“Het dient aan de lidstaten te zijn om te bepalen of en in hoeverre overheidsinstanties aan administratieve geldboeten moeten zijn onderworpen”

Deze vrijheid heeft men heel expliciet aan de nationale overheden overgelaten. Vandaar dat overheden heel expliciet op die manier worden genoemd.

[Reactie gewijzigd door WouterL op 24 juli 2024 01:55]

[WouterL]

Een prima stap. Dat kan namelijk ‘’forum shopping’’ helpen te voorkomen. Dat was deels natuurlijk al ondervangen door de harmonisatie onder de AVG, maar internationaal opererende organisaties zijn natuurlijk niet gek; indien bekend is dat land X boetes een stuk minder streng zijn dan land Y, dan zullen zij geneigd zijn hun economische centrum (lees: hoofdvestiging) te vestigen in land Y (al hoewel ik denk dat belastingregels hierin leidend zijn, en niet zozeer privacywetgeving )

Met harmonisatie van boetes ondervang je dat voor een deel. Het echte probleem zit echter in de caseload. Het is bijvoorbeeld geen geheim dat Ierland het aantal zaken als leidende toezichthouder simpelweg niet kan bijbenen. Het one-stop-shop systeem onder de AVG is goed bedacht, maar hiermee amper bestendig.

[Reactie gewijzigd door WouterL op 24 juli 2024 01:55]

[Darkstriker]

Als ze maar niet harmoniseren op 0% van de omzet boetes van de Ierse toezichthouder.

[Verwijderd]

Lijkt me dat ze deze harmonisatie juist hebben ingezet omdat alle andere toezichthouders kotsmisselijk werden van de hoeveelheid keren dat men verweer moest instellen tegen de belachelijk lage Ierse boetes, en daarmee juist de boetes op een veel hoger algemeen niveau hebben gezet.

[Honytawk]

Een boete van 4% van de wereldwijde omzet is mooi.
Maar waarom de cap van 20 miljoen daarop?

Is dat de kost prijs van de privacy van alle Europese burgers?