Bedrijven die de AVG-regels overtreden, riskeren boetes. Momenteel kan elke nationale privacytoezichthouder zelf kiezen hoe hoog deze boetes zijn. Er komen echter nieuwe regels aan met betrekking tot de manier waarop de boetes voor bedrijven worden berekend. Deze regels zijn door de EDPB (European Data Protection Board) opgesteld. Dat is het samenwerkingsverband tussen de verschillende privacytoezichthouders in Europa. Door de uniforme berekening weten alle bedrijven in Europa waar ze aan toe zijn. De nieuwe boeteregels zijn niet alleen uniform, ze zorgen namelijk ook voor meer duidelijkheid voor de bedrijven.
Omvang van het bedrijf en ernst van de overtreding zijn bepalend
Bij de bepaling van de hoogte van de boete zal de omvang van het bedrijf een grotere rol spelen. Ook nu wordt hier al rekening mee gehouden, maar dat gebeurt pas op het einde van de berekening. Bij de nieuwe berekeningswijze zal dit helemaal in het begin gebeuren. Hierdoor zullen bedrijven meteen zien welk bedrag als startpunt voor de berekening wordt gebruikt.
Verder houdt men nu al rekening met de ernst van de overtreding bij de berekening van de boete, maar is het allemaal wat subjectief en onoverzichtelijk. In de toekomst zal men de ernst van de overtreding in drie categorieën onderverdelen: laag, midden en hoog. Per categorie zal een ander startbedrag gelden.
Bandbreedte in combinatie met boeteverhogende en -verlagende factoren
Uiteindelijk komt er voor elke overtreding een bandbreedte. Ook dat is vandaag al het geval, maar het uitgangspunt is anders. Momenteel is deze bandbreedte star. Dat wil zeggen dat men bij het vastleggen van deze boete altijd binnen de krijtlijnen van deze bandbreedte blijft. Bij de nieuwe regels is dat niet het geval. Het uiteindelijke bedrag kan dan nog worden verhoogd of verlaagd. Toezichthouders kunnen verschillende redenen hebben om de boete te verhogen. Als een bedrijf bijvoorbeeld eerder al een soortgelijke overtreding beging, kan dat een reden zijn om de boete te verhogen.
Anderzijds kan men ook rekening houden met boeteverlagende factoren, bijvoorbeeld als een bedrijf er alles aan heeft gedaan om de gevolgen voor de slachtoffers te beperken. Dat moet zorgen voor eerlijkere boetes die ook voldoende afschrikwekkend zijn. De bovengrens van de boetes blijft wel gelijk: 20 miljoen euro of vier procent van de omzet. Het gaat daarbij om de wereldwijde omzet van een bedrijf.
Enkel voor bedrijven
Deze nieuwe regels gelden enkel voor bedrijven en niet voor bijvoorbeeld inbreuken door overheidsorganisaties. Dat heeft er onder andere mee te maken dat veel Europese privacytoezichthouders niet bevoegd zijn voor het opleggen van boetes aan overheidsorganisaties. In ons land mag de Autoriteit Persoonsgegevens dat wel doen. Het onderzoekt op dit moment nog hoe het de boetes voor overheidsorganisaties zal berekenen.
Boetes voorkomen: reken op een expert privacyrecht
Houd er rekening mee dat de bovenstaande guidelines nog kunnen wijzigen. In principe kunnen belanghebbende partijen nog tot 27 juni 2022 suggesties doen en eventueel kan er hier en daar nog wat worden bijgestuurd. In ieder geval toont dit aan dat het de privacytoezichthouders menens is en dat de boetes hoog op kunnen lopen. Wie dergelijke boetes wil voorkomen, kan zijn privacyzaakjes maar beter op orde hebben. Wij zijn gespecialiseerd in privacyrecht en helpen je graag verder.
