Sancties

De Algemene verordening gegevensbescherming (AVG) is een Europese verordening die de bescherming van persoonsgegevens regelt. De AVG is sinds 25 mei 2018 van toepassing in alle lidstaten van de Europese Unie. De AVG geeft personen (betrokkenen) verschillende rechten met betrekking tot hun persoonsgegevens, zoals het recht op inzage, correctie, verwijdering en bezwaar. Daarnaast stelt de AVG ook verplichtingen aan organisaties (verwerkingsverantwoordelijken en verwerkers) die persoonsgegevens verwerken, zoals het bijhouden van een register van verwerkingen, het melden van datalekken en het afsluiten van verwerkersovereenkomsten.

Soorten sancties

Om de naleving van de AVG te waarborgen, heeft elke lidstaat een onafhankelijke toezichthouder aangewezen die bevoegd is om sancties op te leggen bij overtredingen van de AVG. In Nederland is dit de Autoriteit Persoonsgegevens (AP). De AP kan verschillende soorten sancties opleggen, zoals:

• Boete
• Last onder dwangsom
• Verwerkingsverbod
• Berisping
• Waarschuwing

Boetes

De AP kan administratieve boetes opleggen aan organisaties die de AVG overtreden. De hoogte van de boete hangt af van het soort overtreding en kan variëren van € 10 miljoen of 2% van de wereldwijde jaaromzet tot € 20 miljoen of 4% van de wereldwijde jaaromzet. De AP heeft boetebeleidsregels vastgesteld waarin zij voor elke overtreding een basisboete en een bandbreedte bepaalt. Daarnaast houdt de AP rekening met verschillende factoren, zoals de ernst en duur van de overtreding, het aantal betrokken personen en de mate van verwijtbaarheid.

Last onder dwangsom

De AP kan een last onder dwangsom opleggen aan organisaties die binnen een bepaalde termijn een einde moeten maken aan een overtreding of een herhaling daarvan moeten voorkomen. Als zij dat niet doen binnen de gestelde termijn, moeten zij een geldbedrag betalen voor elke dag dat zij in gebreke blijven.

Verwerkingsverbod

De AP kan een verbod opleggen aan organisaties om bepaalde persoonsgegevens te verwerken of om bepaalde categorieën van verwerkingen uit te voeren. Dit kan bijvoorbeeld het geval zijn als er sprake is van ernstige schendingen van de privacyrechten of als er geen passende maatregelen zijn genomen om persoonsgegevens te beveiligen.

Berisping

De AP kan een berisping opleggen aan organisaties die niet voldoen aan hun informatieplicht jegens betrokkenen of jegens de AP zelf. Een berisping is een schriftelijke terechtwijzing waarin wordt aangegeven welke regels zijn overtreden en wat er moet worden gedaan om dit te herstellen.

Waarschuwing

De AP kan een waarschuwing opleggen aan organisaties die dreigen om in strijd met de AVG te handelen of die al lichte overtredingen hebben begaan. Een waarschuwing is bedoeld om organisaties bewust te maken van hun verplichtingen onder de AVG en hen aan te sporen om deze na te leven.

Overige maatregelen

Naast deze sancties kan de AP ook andere maatregelen treffen om organisaties te helpen bij het naleven van de AVG, zoals voorlichting geven, adviezen uitbrengen, richtsnoeren publiceren of best practices delen.