Het Hof van Justitie heeft in een recente uitspraak duidelijk gemaakt onder welke voorwaarden de Autoriteit Persoonsgegevens (AP) een administratieve geldboete kan opleggen wegens schending van de algemene verordening gegevensbescherming (AVG). Advocaat Anne-Mieke Dumoulin-Siemens bespreekt in deze blog waar je als organisatie op moet letten om zo’n boete te voorkomen.
HvJ EU 5 december 2023: ECLI:EU:C:2023:950 (Deutsche Wohnen) | ECLI:EU:C:2023:949 (Nacionalinis visuomenės sveikatos centras)
Boete alleen bij verwijtbaar gedrag
Wanneer jouw organisatie als verwerkingsverantwoordelijke persoonsgegevens verwerkt en daarmee de regels van de AVG schendt, kan de AP een administratieve boete opleggen. Het Europees Hof van Justitie (Hof) heeft in een recente uitspraak duidelijk gemaakt onder welke voorwaarden de AP een dergelijke boete kan opleggen. Dat kan alleen als sprake is van verwijtbaar gedrag. Dat wil zeggen wanneer jouw organisatie de overtreding opzettelijk of uit nalatigheid heeft begaan. Dat is het geval, aldus het Hof, wanneer jouw organisatie niet onwetend kon zijn van het inbreukmakende karakter van zijn gedrag, ongeacht of zij zich al dan niet bewust was van de inbreuk.
Het gaat om verwijtbaar gedrag van:
1. de rechtspersoon
Het niet noodzakelijk dat de inbreuk door het bestuur is gepleegd. Evenmin is het noodzakelijk dat het bestuur van de inbreuk op de hoogte was. Integendeel, jouw organisatie is aansprakelijk voor zowel inbreuken die zijn gepleegd door het bestuur, als voor inbreuken gepleegd door ‘gewone’ werknemers die handelen in het kader van de bedrijfsactiviteiten van jouw organisatie en namens jouw organisatie.
2. de door jou ingeschakelde verwerker
Bovendien kan de AP jouw organisatie een geldboete opleggen voor handelingen verricht door een verwerker, voor zover deze handelingen aan jouw organisatie kunnen worden toegerekend.
Samenvattend – waar moet je op letten?
De geldboete kan dus –kort gezegd– worden opgelegd als jouw organisatie behoorde te weten dat de betreffende handeling inbreuk maakt op de regels van de AVG. Dat is al snel het geval, omdat je in het algemeen geacht wordt de regels van de wet te kennen.
Jouw organisatie is verantwoordelijk voor handelingen die een verwerker in jouw opdracht uitvoert. Je dient het onderwerp, de duur, de aard en het doel van de verwerking in een verwerkersovereenkomst af te spreken. Dat is een eis van de AVG (artikel 28). Gezien de uitspraak van het Hof is het belangrijk om de opdracht aan de verwerker nauwkeurig te omschrijven. Daarmee leg je de reikwijdte van jouw verantwoordelijkheid voor het handelen van de verwerker vast. De verwerker is zelf verantwoordelijk voor handelingen die buiten de opdrachtomschrijving vallen.
Vragen?
Onze Privacy Desk helpt je om persoonsgegevens (commercieel) zo optimaal mogelijk te benutten én tegelijkertijd de privacy van je klanten te waarborgen. Heb je vragen over de manier waarop jouw organisatie de verplichtingen van de AVG heeft geregeld? Neemt dan contact op met Anne-Mieke Dumoulin-Siemens.
Meer weten over privacyrecht?
Het gebruik van persoonsgegevens is in veel processen onmisbaar om een goede dienstverlening aan uw klanten te kunnen bieden. De wetgeving die deze verwerkingen beheerst is echter complex, zeker als het gaat om bijzondere persoonsgegevens. Je moet voldoen aan de strenge verplichtingen van de Algemene Verordening Gegevensbescherming (AVG/ GDPR), van de UAVG en aan de gedragscodes uit de branche.
Auteur
Anne-Mieke Dumoulin-Siemens is specialist ondernemingsrecht en privacyrecht. Zij is een kundige gesprekspartner voor (internationale) commerciële ondernemingen en non-profit organisaties. Cliënten waarderen haar juridische adviezen vanwege de praktische en commerciële uitvoerbaarheid ervan.
