Europese privacytoezichthouders deelden voor 1,5 miljard euro aan AVG-boetes uit

Europese toezichthouders hebben sinds de inwerkingtreding van de AVG al voor meer dan anderhalf miljard euro aan boetes opgelegd. Bijna twee derde van dat bedrag komt voor rekening van twee grote boetes.

---

In totaal haalden de 28 toezichthouders van de Europese landen voor zeker 1,581 miljard euro aan boetes op bij bedrijven en overheden. Dat blijkt uit data van advocatenkantoor CMS, dat de 'enforcement tracker' bijhoudt. Dat is een van de grootste overzichten van Europese AVG-boetes. Die data wordt niet centraal bijgehouden, maar derde partijen doen dat wel. CMS bekeek het aantal AVG-boetes en de hoogtes daarvan tot aan begin 2022. Aan het begin van jaar was het totaal aantal boetes opgelopen tot net over de duizend. Het totale bedrag staat inmiddels op 1,581 miljard euro. De mijlpaal van een miljard euro aan opbrengsten werd in de zomer van vorig jaar behaald.

De cijfers worden wel vertekend door specifiek twee boetes. Dat zijn een boete van 746 miljoen euro voor Amazon die door de Luxemburgse toezichthouder werd uitgedeeld en een Ierse boete van 225 miljoen euro voor WhatsApp. Die twee boetes samen leveren dus bijna twee derde op van het totale bedrag aan boetes. Ook op het totale aantal boetes is wat aan te merken: de Spaanse privacytoezichthouder deelde ruim een derde van alle boetes uit. De cijfers zijn verder ook incompleet omdat niet alle boetes openbaar zijn: sommige mogen op last van de rechter niet openbaar worden gemaakt of er wordt gewacht tot het bezwaar is afgerond.

De meest voorkomende overtreding is volgens CMS het onterecht verwerken van data. Daarvoor moeten bedrijven of overheden minstens een van de zes beschikbare rechtsgronden hebben, maar bij acht van de tien hoogste boetes die werden uitgedeeld, gebeurde dat niet of was de onderbouwing onvoldoende. Andere redenen voor boetes waren slechte transparantie en slechte beveiliging van persoonsgegevens.

CMS zegt dat het aantal boetes in het afgelopen jaar stevig opliep, ook in Nederland. "Onze verwachting is dat de AP ook het komende jaar blijft inzetten op meer en zwaardere handhaving", zegt Erik Jonkman van CMS. Ook verwachten de analisten dat de boetes in de toekomst hoger zullen worden. Dat is het waarschijnlijke gevolg van beleid van de Europese toezichthouders. Die spraken vorige maand af boetes vaker gelijk te trekken.

Reacties (9)

[CAPSLOCK2000]

Ik weet niet of ik hier blij mee ben of juist niet. 1.5 miljard lijkt veel geld maar als je dat verdeelt over alle Europese landen (27) en het aantal jaren (4) dat de GDPR al actief is dan is het eigenlijk niet zo veel, nog geen 14 miljoen per land per jaar. Als je die twee uitschieters er af haalt helemaal dan daalt het restant naar 4.5 miljoen per jaar.

Bedrijven die miljarden verdienen liggen niet wakker van een paar miljoen boete per jaar. 4.5 miljoen uitgespreid over alle bedrijven is een peulenschil. Iedere techreus kan al die boetes in z'n eentje wel dragen zonder er echt iets van te merken.

Je zou natuurlijk heel positief kunnen redeneren dat het aantal ernstige overtredingen blijkbaar nogal meevalt als het aantal boetes zo laag ligt, maar we weten allemaal dat het meer te maken heeft met gebrek aan capaciteit bij de toezichthouders. Je zou denken dat zo'n toezichthouder zichzelf snel terugverdient. Een paar miljoen per jaar is niks voor zo'n techreus maar je kan er aardig wat personeel van betalen. Nu weet ik wel dat toezichthouders het geld van boetes niet mogen houden (dat zou maar foute prikkels opleveren) maar als land zouden we beter afzijn met een een groter toezichthouder.
Als iedereen zich netjes aan de GDPR gaat houden schalen we de boel wel weer af.

[batjes]

Van andere landen kan ik niet spreken. Maar het lijkt me vrij duidelijk dat we in Nederland met opzet het AP van veel te weinig budget voorzien. Want dat zou het bedrijfsleven te veel in de weg zitten.

Sowieso moeten we onze consumentenbescherming al vele jaren hebben van (o.a.) onze Duitse en Franse vrienden.

[Blokker_1999]

Het is niet eenvoudig om een balans te vinden. Er zijn zoveel controlerende diensten die zwaar onderbemand zijn. Denk aan politie, douane, fiscus, ... . Allemaal zouden ze met meer mankracht betere resultaten weten neer te zetten en meer boetes weten te innen. Maar is zo een controlemaatschapij wel wat wij echt wensen?

[drdelta]

Wat heb je aan regels als er niet gecontroleerd en gestraft wordt als ze niet nageleefd worden?

[R4gnax]

Maar is zo een controlemaatschapij wel wat wij echt wensen?

Er is nogal een groot verschil tussen individuele burgers tot het onderdrukkende aan toe te gaan observeren en controleren; en organisaties die commercieel ingestelde bedrijven moeten controleren, structureel ondergebudgeteerd in een status van papieren tijger laten hangen.

Valt me eerlijk gezegdt tegen dat ik dit moet lezen van iemand die in het algemeen toch wel altijd redelijk on-the-ball is wat betreft dit soort zaken.

[GameNympho]

Ben het ook met je eens, de bedrijven worden eerder het handje erboven gehouden en wij maar inleveren.
Het ligt gewoon aan die mentaliteit van diegene die de grenzen opzoeken of zelfs er bewust overheen gaan, pak ze maar keihard aan en al gaat dat bedrijf op de fles, so be it en ik hoop dat men dan eens leert (waar ik een hard hoofd in heb zelf) en niks afschuiven of jarenlang getouwtrek door kuddes advocaten.

[Martijn.C.V]

Ik ben hier wel gepast blij mee. Het is zeker nog niet een spectaculaire hoeveelheid, maar het is een begin. We zijn bezig met de toon te zetten en dat is "je gaat er niet meer altijd mee wegkomen". Waar we eerst geen grens hebben aangegeven en over ons heen hebben laten lopen, zijn we nu een grens aan het aangeven. Alleen omdat we het zo ver hebben laten komen kost het nu extra moeite om weer terug te komen bij de nul-lijn.

En ik hoop dat dit zich langzaam maar zeker doorzet, tot we komen in een mindset van "Hm, we moeten wel even opletten, die boete willen we niet".

De grote bedrijven lopen over ons heen. Maar we kunnen die niet opeens 100miljard boeten geven, dat zou onredelijk zijn. Je moet dus bij iets redelijks beginnen. Dat blijkt dan het laaghangend fruit te vangen, maar niet de grote jongens. Daar kun je een vervolgstap op uitbrengen, dat het grotere bedragen kunnen worden, of bestuurlijk, of... . En als dat niet werk weer een stapje verder, tot het wel werkt.

[Reactie gewijzigd door Martijn.C.V op 24 juli 2024 18:13]

[bbstreams]

ipv van boetes zouden bedrijven gewoon gedwongen moeten worden om verkregen data regelmatig te vernietigen. soort powerwash. er zijn wat plannen die dat mogelijk maken zoals ipfs opslag afdwingen, als er dan geen verlenging van de toestemming komt is data automatisch (en onherstelbaar) ontoegankelijk.

[TBK001]

Het blijft belangrijk om te doel van de AVG (GDPR) in het vizier te houden. Gegevens van de burger zijn van de burger en moeten ook als eigendom behandeld worden. Als jou als bedrijf bepaalde gegevens toevertrouwd worden dan wordt verwacht dat je daar met respect mee omgaat. Daar zit altijd een spanningsveld. Sommige bedrijven tuigen een verdienmodel op rond koppelen en analyse van al die data, andere bedrijven gaan soms gewoon ronduit slordig met data om. In beide gevallen was het de bedoeling om dat tegen te gaan.

Toen de AVG uitkwam was er juist een vorm van paniek, allerlei bedrijven moesten de papierwinkel voor elkaar maken. Er stonden nieuwe bedrijven op en maakten dankbaar gebruik van deze paniek om geld te verdienen met het opstellen van diverse documenten e.d. Later deed zich het omgekeerde voor, bedrijven werden weer laks omdat handhaving niet zichtbaar was.

Als bedrijf zijnde, wees je bewust van jouw verantwoordelijkheid rond het bewaren van data van anderen. Ga hier met respect mee om en bescherm deze zo goed mogelijk in verhouding met het soort risico's wat er gelopen wordt. Als je dit doet, dan doe je wat er eigenlijk van je verwacht wordt.