Raad van State houdt AVG-boete voor DPG in stand, maar verlaagt die met de helft

De AVG-boete die DPG Media in 2022 kreeg voor het onterecht vragen naar identiteitsgegevens was terecht, concludeert de Nederlandse Raad van State. Wel wordt het boetebedrag verlaagd van 525.000 euro naar 265.500 euro. Eerder concludeerde een rechtbank nog dat de AP de boete helemaal moest schrappen.

De Afdeling bestuursrechtspraak van de Nederlandse Raad van State zegt in een uitspraak dat de boete voor DPG Media terecht was, maar ook te hoog. Het gaat om een boete uit 2022. De Autoriteit Persoonsgegevens gaf DPG Media toen een AVG-boete van 525.000 euro, omdat het bedrijf abonnees vroeg om een identiteitsbewijs als die inzage wilden in hun gegevens. Dat gebeurde bij Sanoma Media, maar de boete komt voor rekening van DPG, omdat het Sanoma Media in 2020 overnam. De overtredingen vonden plaats vóór die overname. DPG Media is uitgever van onder meer Tweakers en kranten als de Volkskrant, het AD en regiokranten, maar ook van tijdschriften zoals Ouders van Nu en VT Wonen.

Een rechter concludeerde in 2023 dat DPG Media weliswaar de wet overtrad, maar dat de AP geen boete had mogen opleggen. Daarop ging de AP in beroep. De Afdeling bestuursrechtspraak van de Raad van State concludeert nu definitief dat de boete wel terecht was, maar dat het boetebedrag te hoog is.

Inzageverzoek

De Raad van State vindt dat DPG inderdaad nalatig handelde. DPG vroeg abonnees van tijdschriften om een identiteitsbewijs in te sturen als ze inzage wilden in hun gegevens. Dat is een recht onder de AVG. Een bedrijf mag geen onnodige belemmeringen opleggen voor zulke inzageverzoeken. De AP concludeerde dat DPG dat wél deed. De uitgever had alternatieve manieren moeten zoeken om de identiteit van aanvragers te verifiëren.

"De Afdeling overweegt dat van een grote, professionele mediapartij die veel persoonsgegevens verwerkt, mag worden verwacht dat in het faciliteren van rechten op grond van de AVG extra zorgvuldigheid wordt betracht", schrijft de Raad. Die merkt op dat het niet ging om een incident, maar om een structurele overtreding. De AP zag zeker vijf gevallen waarbij abonnees hun ID-bewijs onterecht moesten afstaan. "Dat beleid is aan te merken als een door nalatigheid veroorzaakte inbreuk", schrijft de Raad. "DPG valt daarvan een verwijt te maken. Onder deze omstandigheden heeft de AP mogen oordelen dat sprake was van een ernstige overtreding."

Waar de rechter nog concludeerde dat de AP 'niet handhavend mocht optreden', ofwel een boete mocht geven, concludeert de Raad van State anders. "De AP mocht een boete opleggen voor deze overtreding."

Te hoge boete

Wel vindt de Raad de boete te hoog. De AP keek naar haar eigen Boetebeleidsregels en stelde voor de overtreding een basisboete vast. Die ligt voor deze specifieke overtreding op 525.000 euro. De Raad van State zegt dat de AP echter rekening had moeten houden met eventuele verzachtende omstandigheden. Zo probeerde DPG in het privacybeleid duidelijk te maken waarom het ID-gegevens vroeg en had het de werkwijze al aangepast terwijl de AP onderzoek deed.

De AP nam die omstandigheden niet mee. "Daarmee heeft zij gehandeld in strijd met het motiveringsbeginsel", zegt de Raad. "De Afdeling is van oordeel dat er aanleiding is de boete te matigen."

DPG handelde weliswaar in strijd met de AVG, maar er zijn genoeg verzachtende omstandigheden om de boete te verlagen, zegt de Raad. Dat gebeurt met de helft; het bedrag wordt daarom verlaagd van 525.000 euro naar 262.500 euro. Ook moet de AP de proceskosten van 2721 euro betalen.

Reacties (25)

[Ronald]

Ik heb hier direct mee te maken gehad… DPG was hier puur hypocriet in.

Het enige middel om mijn identiteit te toetsen bij registratie was toegang tot mijn e-mail. Identiteitsbewijs bewijst niet dat een e-mail aan de houder toebehoort.

Jammer dat de boete verlaagd is… niet serieus omgaan met de AVG blijft gewoon een bedrijfs risico wat voor lief genomen kan worden.

[arjankoole]

Jammer dat de boete verlaagd is… niet serieus omgaan met de AVG blijft gewoon een bedrijfs risico wat voor lief genomen kan worden.

Dat klopt niet, want DPG heeft tijdens het onderzoek al het beleid aangepast. Erkende dus dat het fout zat. Dat is ook de reden dat de raad van State de boete verlaagt. Maar het zegt ook duidelijk dat er sprake was verkeerd handelen.

Als het voor lieg genomen zou worden zou:

a) het beleid niet aangepast worden
b) de boete betaald worden, maar het beleid niet aangepast.

overigens zouden beiden tot weer hogere boetes leiden. Want het oplopen van een boete ontslaat je niet van je plichten. (en dat is: niet de AVG schenden).

[B64]

Het feit dat het beleid was aangepast was op zich niet de reden voor de boeteverlaging (staat dus ook fout in dit artikel, @TijsZonderH). De Raad van State oordeelt namelijk dat die beleidsverandering op zich niet als boeteverlagende omstandigheid kan worden gezien (paragraaf 9. in de uitspraak). Maar de AP wilde aan DPG niet uitleggen waarom dit geen reden was voor boeteverlaging, wat in strijd was met het motiveringsbeginsel (paragraaf 9.4). De reden voor de uiteindelijke verlaging ligt eerder in het gebrek aan informatie die door de AP gegeven werd, en de inschatting van de RvS dat de AP de ernst van de overtreding hoger beoordeelde dan de RvS dat doet (paragraaf 9.5).

En in het artikel genoemde argument dat 'DPG in het privacybeleid duidelijk probeerde te maken waarom het ID-gegevens vroeg' komt bij mij heel vreemd over. In de uitspraak van de RvS wordt dit wel genoemd bij de argumenten voor de verdediging van DPG, maar wordt niet meegenomen bij de beoordeling van de casus en is dus geen reden om de boete te verlagen.

[Ronald]

DPG heeft ten tijde van mijn AVG-verzoek NIET erkend dat het fout zat en is daar ook niet op teruggekomen na de oplegging van de boete door AP.

Ze hebben nooit gereageerd op mijn argument die ik hen toen al als reactie stuurde (Dat ID geen bewijs is dat account aan mij toe hoort...)

Daar had de privacyofficer gewoon inhoudelijk op moeten reageren (even onafhankelijk van of we het eens geworden waren) ...

[Vexxon]

Als het voor lieg genomen zou worden zou:

a) het beleid niet aangepast worden
b) de boete betaald worden, maar het beleid niet aangepast.

Dat zie ik toch anders.

Beleid wordt pas aangepast na 3 jaar.
En we weten nog niet eens wat dat nieuwe beleid is, we weten inmiddels toch wel dat bedrijven wel het beleid aanpassen maar dat het eigenlijk niet echt een verbetering is van de situatie. Ik zou toch even wachten voor je ze credits geeft.

DPG vroeg abonnees van tijdschriften om een identiteitsbewijs in te sturen als ze inzage wilden in hun gegevens. Dat is een recht onder de AVG. Een bedrijf mag geen onnodige belemmeringen opleggen voor zulke inzageverzoeken.

Dit had DPG in een veel eerder stadium zelf ook heel makkelijk kunnen concluderen. Dat ze het nu aanpassen is mooi natuurlijk, maar dat had veel eerder gemoeten. Sterker, dit had niet mogen geburen, het is gewoon bewust tegenwerken bij dit soort verzoeken, omdat ze niet aan die verzoeken willen voldoen.

[Floort]

De verlaging van de boete heeft dan ook weinig met DPG te maken. Zoals ik het lees komt het platgezegd neer op onvoldoende onderbouwing van de AP. Dat is een heel terechte reden om milder te zijn in de sanctie. Helaas voor de klager is dat een heel onbevredigende situatie omdat het niets te maken heeft met de ernst van de overtreding.

[Sissors]

Het verbaasd mij hoe vaak (iig van wat ik lees) een rechter in hoger beroep een compleet andere beslissing maakt dan de eerste rechter. De ene zegt dat AP geen boete mag opleggen, de andere wel. En bij een hypothetisch derde rechter, geeft die weer een compleet ander antwoord?

Anyway, niet de eerste keer dat AP boetes flink verminderd worden.

[Lisadr]

Een van de verschillen tussen consumenten en multinationals is dat ze over boetes kunnen onderhandelen. Een consument kan naar de rechter om een boete aan te vechten. De uitkomst voor bijvoorbeeld fout parkeren op een algemene gehandicaptenparkeerplaats is dan € 380 of 0 euro (vrijwel altijd 380 euro). Het is niet zo dat de boete 50 euro is in plaats van 380 euro en dat je als consument verder kunt onderhandelen naar 25 euro (behalve in landen met veel corruptie).

Bij (AVG-)boetes voor multinationals werkt het anders. Ten eerste krijgen ze vrijwel nooit een maximale boete, ten tweede kan de boete omlaag onderhandeld worden. Dat komt ook omdat AVG overtredingen lang niet zo zwart-wit zijn als verkeersovertredingen.

[supersnathan94]

De uitkomst voor bijvoorbeeld fout parkeren op een algemene gehandicaptenparkeerplaats is dan € 380 of 0 euro (vrijwel altijd 380 euro).

Euhm. Ik moet je denk ik teleurstellen.

Voor het onterecht parkeren op een gehandicaptenparkeerplaats is de hoogte van de boete € 500.

[Lisadr]

Fout parkeren op een algemene gehandicaptenparkeerplaats: € 380
Fout parkeren op gehandicaptenparkeerplaats die gereserveerd is voor een specifiek voertuig: € 500

[supersnathan94]

Ah ik zie het ja, Wordt wel erg slecht over gecommuniceerd, Media doet het voorkomen alsof het gewoon universeel is, maar gaat om E6 met reservering op kenteken bijvoorbeeld.

[WoutervOorschot]

Een boete kan wel bijna altijd verlaagd worden door de rechter, als er een gedegen reden is waardoor je bijvoorbeeld niet volledig schuld valt aan te rekenen. Of financiële omstandigheden van de beboete persoon.

Dit is ook geen onderhandelen, dit is een rechter die gewogen uitspraak doet in een zaak. En deze zaken zijn inderdaad veel grijzer dan verkeersboetes, maar ook die kunnen grijs zijn.

[MrFloppy]

En ook de enorme drang naar overal die accounts te moeten koppelen en automatisch inloggen. DPG lijkt net zoals veel grote bedrijven nogal data hongerig.

Ik vind het persoonlijk niet heel prettig dat DPG zoveel nieuws media in eigendom heeft, zeker gezien hoe die impact op de kranten is geweest.

Het is dan wel weer goed dat dit artikel gewoon op Tweakers staat, wat immers ook onderdeel is van DPG.

[TijsZonderH]

Het is dan wel weer goed dat dit artikel gewoon op Tweakers staat, wat immers ook onderdeel is van DPG.

Niemand bij DPG die mij gaat vertellen wat ik wel en niet mag schrijven hoor ;)

[supersnathan94]

Nou schrijven misschien wel, maar publiceren...

Als jij nu met een artikel aankomt over een nieuw ontdekte kikker in de amazone, denk ik niet dat die hier gepubliceerd gaat worden

Maar ja, top dat die journalistieke vrijheid verder wel gewoon te zien is.

[ronaldvr]

Wel raar dan dat de raad dan zelf gelijk weer afwijkt van die basisregels want:

bepaalt de hoogte van de boete door het bedrag van de basisboete naar boven (tot ten hoogste het maximum van de bandbreedte van de aan een overtreding gekoppelde boetecategorie) of naar beneden (tot ten laagste het minimum van die bandbreedte)

En die bandbreedte was 300.000 tot 750.000

Dus een herziening tot 300.000 was dan logischer geweest en niet zomaar door de helft hakken.

EDIT:

En verder vind ik de raad nogal coulant naar DPG als ik de uitspraak lees want de 'argumenten' die ter zitting zijn aangevoerd door DPG komen op mij serieus over als juridische haarkloverij waar de AP zoiets van had "ja dûh" voorbeeld:

Zij heeft er tenslotte op gewezen dat de AP tot het uitbrengen van haar voornemen niet bereid is gebleken tot het geven van antwoord op de vraag van [appellante sub 2] of haar beleid in strijd was met de AVG.

Echt! Anders gezegd: " Beste AP ik ga mensen om een kopie hun ID vragen en ik doe als professionele organisatie net alsof ik niet weet of dat totaal niet mag (terwijl op de site van de overheid al jaaren te vinden is dat dat niet mag) Hebben jullie daar een antwoord op?"

Hoe kom je er op, en ik snap echt niet dat de raad daar niet doorheen heeft geprikt (maar de juristen van de AP hadden dat nu natuurlijk wel moeten doen trouwens)

EDIT:

(En dat wordt dat dus door de raad aangehaald als waarom de AP het onvoldoende heeft gemotiveerd, wellicht han de AP moeten zeggen in wat onparlementair taalgebruik:

"Ja hallo wij gaan er van uit dat de mensen van de DPG professionals zijn niet een stelletje volstrekte debielen en dus dat ze een wetstekst kunnen leen en begrijpen, en niet als een stelletje lagere school leerlingen naar de bekende weg vragen"

[Reactie gewijzigd door ronaldvr op 24 september 2025 16:30]

[GameNympho]

Dit precies.

Better say sorry than ask permission is het motto toch?

Ze komen er mooi weer mee weg.

[The Zep Man]

Better say sorry than ask permission is het motto toch?

Wel voor bedrijven. Niet voor burgers.

[poktor]

Dit. En die 250000 is een fopstrafje voor een enorm bedrijf als DPG.

[nutty]

Hoe groot het bedrijf is zegt natuurlijk niets. DPG kan wel groot zijn, maar bv weinig winst maken, waardoor de straf erger is dan voor een klein bedrijf dat veel winst maakt.

[B64]

Bedrijfsresultaat over 2024 was 185 miljoen Euro, dus deze boete gaat zo bezien niet heel veel indruk maken. Maar die winst verdampt natuurlijk heel snel als ze steeds hun schouders ophalen voor kostenposten van twee en een halve ton. Nog los van reputatieschade; geen enkel bedrijf zit erop te wachten dat ze met dit soort akkefietjes in het nieuws komen.

Daarnaast is het wel degelijk zaak de boel te verbeteren, anders loopt die boete heel snel op.

[Floort]

Ik weet dat bij het vorige nieuwsbericht hierover een discussie was of de overtreding opzet was van DPG of niet. Opzet is een serieus verwijt. Maar nu staat het volgens de Raad van State wel vast dat het nalatigheid was. Dat is zeker niet hetzelfde als opzet, maar opzet is over het algemeen enorm lastig te bewijzen en onder de AVG vallen opzet en nalatigheid onder dezelfde categorie boeteverzwarende omstandigheden.

In dat opzicht is het goed voor DPG om ook naar de huidige processen te kijken voor het uitoefenen van rechten van betrokkenen. De FG is voor betrokkenen bijvoorbeeld alleen te bereiken via fysieke post.

Indien je direct contact wenst met de Data Protection Officer, kun je een brief sturen naar het volgende adres: DPG Media B.V., t.a.v. de Data Protection Officer, Van der Madeweg 40, 1114 AM Amsterdam-Duivendrecht.

Natuurlijk heeft de FG ook een e-mailadres. Maar ik weet dat het her en der vragen oproept (ook bij mij) of dit bedoeld is om de drempel voor betrokkenen om contact op te nemen te verhogen. Ik wil daarmee niet zeggen dat het dus de enige reden is, maar is deze drempel nu echt nodig?

Ook het huidige formulier van DPG beperkt de rechten van betrokkenen (wat mij betreft onnodig). Ik heb bijvoorbeeld een paar jaar geleden verzocht om o.a. advertentie-tracking data te verwijderen. Maar omdat het formulier het niet toestaat om verzoeken nader te specificeren en DPG pogingen om dat toch te doen in de praktijk soms (vaak? ik heb geen statistieken) naast zich neerlegt legt het formulier wel een onnodige drempel op voor het uitoefenen van rechten door betrokkenen. De kans dat ik zo'n verzoek om mijn advertentie-data te verwijderen nog een keer indien is kleiner als ik kan verwachten dat DPG nog een keer Tweakers de opdracht geeft om mijn betaalde account te verwijderen. Dat is gelukkig stopgezet. Maar is het noodzakelijk om betrokkenen niet gewoon (ook) een vrij veld te geven waarin ze zelf kunnen specificeren waar ze om verzoeken?

Ik ben wat dat betreft wel blij dat de boete in hoger beroep blijft staan. De hoogte van de boete vindt ik minder belangrijk. Maar het signaal aan DPG en ook anderen dat het niet de bedoeling is om drempels op te werpen voor betrokkenen die hun rechten willen uitoefenen is wel heel belangrijk. Ook als de drempels niet expliciet bedoeld zijn om betrokkenen te beperken in het uitoefenen van hun rechten.

[Reactie gewijzigd door Floort op 24 september 2025 17:48]

[royvosch]

wat maakt de meervoudige kamer van de raad belangrijker dan de meervoudige kamer van de rechtbank Amsterdam?

dit is dan toch wij van wc eend....

[jurjen_g]

Omdat de Raad het hoger beroep behandelde en de kamer gewoon de eerste rechtzaak?

[webrow]

Misschien in 2030 een keer een boete voor de koekiemuur. We kunnen dromen