Bij MKB Juristen hameren we steeds op AVG verwerkingsregisters, verwerkersovereenkomsten , cookieverklaringen en andere maatregelen om de privacywetten te eerbiedigen. Hierbij wijzen we onder andere op de fikse boetes die de Autoriteit Persoonsgegevens kan opleggen bij schending van de privacywetgeving. De opgelegde maximale boetes die oplopen tot zo’n 20 miljoen euro, hoef je gelukkig enkel in extreme situaties te vrezen.
Maar welke boete kan jij nu krijgen voor een inbreuk op de privacywetgeving? Wij grasduinen doorheen de nieuwe boetebeleidsregels van de Autoriteit Persoonsgegevens en brengen een aantal voorbeelden en verduidelijkingen. Hoewel dat op basis van de beleidsregels helemaal niet zo eenvoudig is.
# 1. Wettelijk boetemaximum wordt vastgelegd
In de eerste plaats zal de Autoriteit Persoonsgegevens nagaan wat het wettelijk boetemaximum is. Hiervoor zijn er twee maximale boetes vastgelegd. Daarbij hanteert men zowel een vaste als een variabele grens.
In de eerste plaats kan het dat een verantwoordelijke zijn verplichtingen niet nakomt. In zo’n geval ligt het wettelijk boetemaximum vast op 2% van de wereldwijde jaaromzet, zonder dat de boete meer mag bedragen dan 10 miljoen euro.
Hiernaast kan er ook effectief sprake zijn van een schending van de privacyrechten, maar kan het eveneens gaan om een overtreding van de beginselen of grondslagen van de AVG. In zo’n geval kan de boete dubbel zo hoog zijn. Het wettelijk boetemaximum ligt dan ook vast op 4% van de wereldwijde jaaromzet, zonder dat het meer mag bedragen dan 20 miljoen euro.
# 2. Vier categorieën van overtredingen
Vervolgens heeft de Autoriteit Persoonsgegevens voor elk wettelijk boetemaximum een opdeling gemaakt in vier categorieën. Aan elke categorie heeft het geldboetes verbonden. Het gaat om een boetebandbreedte met een minimum- en een maximumbedrag.
De eerste categorie kent een basisboete van €100.000,- en een bandbreedte van €0,- tot €200.000,-. Het gaat vooral om overtredingen van administratieve aard. Denk bijvoorbeeld aan het niet vastgelegd hebben van het register of het niet goed regelen van de samenwerkingsverbanden.
In de tweede categorie wordt de basisboete opgetrokken tot €310.000,- en is er een bandbreedte van €120.000,- tot €500.000,- van toepassing. Wanneer je volledig niet voldoet aan de registerplicht, zal een boete van categorie II zich bijvoorbeeld opdringen.
In de derde categorie is er dan weer sprake van een basisboete van €525.000,- en een bandbreedte van €300.000,- tot €750.000,-. Hieronder valt onder andere het niet naleven van het recht op gegevenswissing.
Tot slot is er de zwaarste vierde categorie met een basisboete van €725.000,- en een bandbreedte van €450.000,- tot €1.000.000,-. Het gaat om zware overtredingen, zoals bijvoorbeeld het niet-naleven van een bevel van de Autoriteit Persoonsgegevens.
# 3. Verhogingen en verlagingen mogelijk
De basisboete van elke categorie zal een bepaalde factor zijn voor de administratieve boete. Hiernaast moet men ook rekening houden met een aantal factoren. Denk bijvoorbeeld aan de ernst, de duur van de overtreding en het aantal betrokkenen. Zo kan de boete verlaagd worden tot het minimum van de bandbreedte of zelfs verhoogd worden tot het maximum ervan. Maar er kan zelfs een boete van een hogere of een lagere categorie worden opgelegd indien dat geen passend resultaat zou opleveren, terwijl men bij extreme situaties de boete kan optrekken tot het wettelijk boetemaximum.
Vrij onduidelijk, maar gelukkig heeft men in de beleidsregels toch een aantal zakelijk geconcretiseerd. Bij recidive zal men bijvoorbeeld de basisboete verhogen met 50%.
Fikse boetes mogelijk, maar toch geen 20 miljoen euro
De beleidsregels en met name de basisboetes zijn een handige manier om enige richting te bepalen, maar concreet zijn ze zeker niet. Ze tonen wel aan dat je enerzijds de fikse maximale boetes niet hoeft te vrezen, maar dat de boetes anderzijds een verregaande financieel afschrikkende kracht hebben.
Overigens staat het boetesysteem al langer onder druk. De basisboetes zouden immers te weinig rekening houden met alle omstandigheden en ook de Raad van State sprak eerder al van te vage normen. Hiernaast wordt er veelvuldig gewezen op een gedegen motivering van de boetes. Alleen al daarom lijkt men niet zo snel boetes op te leggen, terwijl lasten onder dwangsom een eenvoudiger instrument zijn om acties af te dwingen.
Kortom: de boetes voor de schending van de privacywet zijn niet min. Anderzijds hoef je zeker de boetes die oplopen tot enkele miljoenen euro’s niet te vrezen, ondanks het feit dat men dat op het net al eens fatalistisch durft te beweren. Toch kan je jezelf van veel problemen besparen door juridisch correct persoonsgegevens te verwerken. En bij MKB Juristen ben je daarvoor op de juiste plaats. Geef ons even een belletje en wij leggen jou uit hoe we een en ander voor jou doen.
