Een Belgische ondernemer die van een marketing onderneming een adressenbestand kocht, moest een boete van 10.000 euro betalen wegens overtreding van de AVG. Die boete zal ongetwijfeld het met de overtreding behaalde voordeel te niet doen.
De Belgische AVG-toezichthouder, de Gegevensbeschermingsautoriteit, was van mening dat een boete op zijn plaats was, omdat de ondernemer, in de uitspraak ‘Y’ genoemd, niet op eerste verzoek van de klager (‘X’ in de uitspraak) had gereageerd. Dat deed Y pas nadat de klager een privacyprocedure was gestart.
Y werd het volgende verweten:
- De persoonsgegevens van X werden verkregen van een derde, zonder medeweten van X en zonder dat hij werd geïnformeerd (30).
- X heeft artikel 14 AVG niet nageleefd, onder meer heeft X niet op juiste manier geïnformeerd (31-35).
- X dient na te gaan of de gegevens die hij van derden verkrijgt, legaal zijn verkregen (37).
- Aan X komt een recht van verzet toe inzake verwerking van gegevens voor direct marketing en heeft niet alleen recht op inzage maar ook recht op het wissen van zijn gegevens, als bezwaar is gemaakt moeten de gegevens binnen een maand worden verwijderd (39-44).
- Y heeft tot twee maal toe geen enkel gevolg heeft gegeven aan een verzoek van X, hetgeen de Gegevensbeschermingsautoriteit in casu als een verzwarende omstandigheid beschouwt (48).
De Gegevensbeschermingsautoriteit was van mening dat een sanctie op zijn plaats was:
51. Naast de corrigerende maatregel om de verwerking in overeenstemming te brengen, met name door overeenkomstig artikel 14 AVG toereikende informatie te verstrekken aan alle betrokkenen van wie de persoonsgegevens onrechtstreeks verkregen werden bij Z, beslist de Geschillenkamer wegens het nalaten enig gevolg te geven aan de verzoeken van klager binnen de opgelegde termijnen ook tot het opleggen van een administratieve geldboete, die er niet toe strekt om een gemaakte overtreding te beëindigen, maar wel met het oog op een krachtige handhaving van de regels van de AVG. Zoals duidelijk blijkt uit overweging 148 AVG, stelt de AVG immers voorop dat bij elke ernstige inbreuk – dus ook bij een eerste vaststelling van een inbreuk – straffen, met inbegrip van administratieve geldboeten, naast of in plaats van passende maatregelen worden opgelegd. [11] Hierna toont de Geschillenkamer aan dat de inbreuken die de verweerster heeft begaan op de artikelen 14.1, 14.2, 14.3, 15, 17.1.c, en 21.2 AVG in combinatie met artikel 12.3 AVG geenszins kleine inbreuken betreft, noch dat de geldboete onevenredige last zou berokkenen aan een natuurlijk persoon zoals bedoeld in overweging 148 AVG, waarbij in elk van beide gevallen kan worden afgezien van een geldboete. Het feit dat het een eerste vaststelling van een door de verweerster gepleegde inbreuk op de AVG betreft, doet aldus op generlei wijze afbreuk aan de mogelijkheid voor de Geschillenkamer om een administratieve geldboete op te leggen. De Geschillenkamer legt de administratieve geldboete op in toepassing van artikel 58.2.i AVG. Het instrument van administratieve boete heeft geenszins enkel tot doel inbreuken te beëindigen. Daartoe voorzien de AVG en de WOG in een aantal corrigerende maatregelen, waaronder de bevelen genoemd in artikel 100, § 1, 8° en 9° WOG.
[11] Overweging 148 bepaalt: “Met het oog op een krachtiger handhaving van de regels van deze verordening dienen straffen, met inbegrip van administratieve geldboeten, te worden opgelegd voor elke inbreuk op de verordening, naast of in plaats van passende maatregelen die door de toezichthoudende autoriteiten ingevolge deze verordening worden opgelegd. Indien het gaat om een kleineinbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen aan een natuurlijk persoon, kan in plaats van een geldboete worden gekozen voor een berisping. Er dient evenwel rekening te worden gehouden met de aard, de ernst en de duur van de inbreuk, met het opzettelijke karakter van de inbreuk, met schadebeperkende maatregelen, met de mate van verantwoordelijkheid, of met eerdere relevante inbreuken, met de wijze waarop de inbreuk ter kennis van de toezichthoudende autoriteit is gekomen, met de naleving van de maatregelen die werden genomen tegen de verwerkingsverantwoordelijke of de verwerker, met de aansluiting bij een gedragscode en met alle andere verzwarende of verzachtende factoren. Het opleggen van straffen, met inbegrip van administratieve geldboeten, moet onderworpen zijn aan passende procedurele waarborgen overeenkomstig de algemene beginselen van het Unierecht en het Handvest, waaronder een doeltreffende voorziening in rechte en een eerlijke rechtsbedeling. [eigenonderlijning]
Vervolgens constateert de Gegevensbeschermingsautoriteit dat er goede redenen zijn voor sanctionering (52-53), maar dat de personalia van de overtreder niet openbaar hoeven te worden gemaakt (54).
Meer informatie:
uitspraak van 8 december 2021 van de Gegevensbeschermingsautoriteit (België).
Ellen Timmer - juridische artikelen en berichten 