AVG-boetes
Als organisatie verwerk je persoonsgegevens en daardoor ben je verplicht je te houden aan de Algemene Verordening Gegevensbescherming (AVG). Toch blijkt in de praktijk dat niet elke organisatie volledig AVG-proof is. De Autoriteit Persoonsgegevens (AP) houdt toezicht op naleving en deelt regelmatig AVG-boetes uit bij overtredingen. Deze boetes van de Autoriteit Persoonsgegevens kunnen fors oplopen, zeker bij ernstige schendingen zoals een onbeveiligd systeem of het niet melden van een datalek.
Voorkomen is beter dan genezen?
Natuurlijk is het beter om overtredingen van de AVG en datalekken te voorkomen. Door processen goed in te richten en privacybewust te werken, verklein je de kans op fouten én vermijd je boetes van de Autoriteit Persoonsgegevens. Maar in de praktijk gaat het soms toch mis — bewust of onbewust.
Als jouw organisatie onverhoopt te maken krijgt met een datalek of met een andere overtreding van de privacywetgeving, is snel en zorgvuldig handelen essentieel. Denk aan het tijdig melden van het lek, het informeren van betrokkenen en het nemen van corrigerende maatregelen. Het niet (of te laat) melden van een datalek kan op zichzelf al leiden tot een boete.
Hoe pakt de Autoriteit Persoonsgegevens een overtreding aan?
Wanneer de Autoriteit Persoonsgegevens vermoedt dat een organisatie de AVG heeft overtreden, bijvoorbeeld naar aanleiding van een klacht, een datalekmelding of een eigen onderzoek, doorloopt zij meestal de volgende stappen:
1. Onderzoek
De Autoriteit Persoonsgegevens start met nagaan of er reden is voor een onderzoek. Ze kijkt daarbij naar de ernst van de mogelijke overtreding, het aantal betrokken personen, of er al eerder vergelijkbare klachten zijn binnengekomen en de maatschappelijke relevantie. Niet iedere klacht of ieder vermoeden leidt tot een onderzoek. Als de AP besluit actie te ondernemen dan start zij meestal met een informatieverzoek aan de organisatie. Dit is een vooronderzoek. Zijn er voldoende aanwijzingen voor een overtreding dan kan de Autoriteit Persoonsgegevens een officieel onderzoek instellen. Zeker bij een officieel onderzoek komt veel kijken. Er wordt informatie opgevraagd, documenten onderzocht en soms zelfs getuigen verhoord.
Let op: Het is belangrijk om tijdig en volledig te reageren. Niet meewerken kan op zichzelf al een boete opleveren.
2. Boete of andere sancties
Na afronding van het onderzoek kan de Autoriteit Persoonsgegevens besluiten een sanctie op te leggen. Dit kan een boete zijn, maar er zijn ook andere maatregelen. Denk aan de last onder dwangsom, het verwerkingsverbod, de berisping en de waarschuwing. Boetes en sanctie worden vaak gepubliceerd.
3. Beroep mogelijk
Ben je het niet eens met de boete of de andere sanctie? Dan kun je bezwaar maken en eventueel beroep instellen bij de rechtbank. Veel organisaties doen dit, al is succes niet gegarandeerd.
Hoe hoog is een AVG-boete?
De hoogte van een boete hangt af van de aard, ernst en duur van de overtreding. In Nederland zijn er inmiddels meerdere AVG-boetes uitgedeeld, variërend van enkele tienduizenden tot miljoenen euro’s. De maximale boete voor een AVG-overtreding bedraagt € 20,= miljoen of 4% van je wereldwijde jaaromzet – afhankelijk van welk bedrag hoger is.
Wat kunnen onze PRIVACYRECHT advocaten voor jou betekenen?
Voorkomen is dus beter dan genezen. Regelmatige privacy-audits, duidelijke procedures voor datalekken en goede bewustwording binnen jouw organisatie zijn essentieel. Wij adviseren je dan ook graag bij het opstellen en implementeren van beleid om boetes van de Autoriteit Persoonsgegevens te voorkomen. Krijg je toch te maken met een onderzoek of krijg je zelfs een sanctie opgelegd, ook dan helpen we je graag!
Veelgestelde vragen
Wat zijn de boetes voor een AVG-inbreuk?
Een AVG-inbreuk kan verschillende vormen aannemen: van het bewaren van gegevens zonder grondslag tot het onjuist informeren van betrokkenen. Ook het misbruik van persoonsgegevens – bijvoorbeeld door deze zonder toestemming te delen of onvoldoende te beveiligen – kan leiden tot een boete. De Autoriteit Persoonsgegevens kijkt per geval naar de ernst van de situatie.
Leidt een datalek automatisch tot overtreding van de AVG?
Een datalek leidt zeker niet altijd tot overtreding van de AVG. Dit is wel het geval als het datalek het gevolg is van het geen of onvoldoende beveiligingsmaatregelen nemen. Ook leidt een datalek tot een overtreding als er niet of niet tijdig melding wordt gemaakt van het datalek.
Neem contact met ons op
Heb je vragen of wil je een afspraak maken? Neem dan vrijblijvend contact met ons op!
- Haagweg 1492321 AA, Leiden