Handhaving en sancties

De Autoriteit Persoonsgegevens als toezichthouder

De Autoriteit Persoonsgegevens (AP) is de Nederlandse onafhankelijke toezichthoudende autoriteit die verantwoordelijk is voor de handhaving van de AVG. De AP speelt een cruciale rol bij het waarborgen van de naleving van de privacywetgeving en het beschermen van de privacyrechten van individuen aangezien het de Nederlandse toezichthouder is.

De AP speelt een actieve rol bij het bevorderen van bewustwording over gegevensbescherming en het afdwingen van naleving van de AVG. Zo publiceert de AP regelmatig praktische richtlijnen voor organisaties, handreikingen voor specifieke sectoren en nieuwsberichten over actuele privacykwesties. Daarnaast organiseert de AP verschillende activiteiten zoals webinars en voorlichtingsbijeenkomsten om privacy onder de aandacht te brengen. Door middel van onderzoeken, voorlichting en het opleggen van sancties zorgt de AP ervoor dat organisaties de privacyrechten van individuen respecteren en een hoge standaard van gegevensbescherming handhaven.

Taken en bevoegdheden AP

De AP speelt een cruciale rol bij het waarborgen van de bescherming van persoonsgegevens in Nederland. Door middel van toezicht, handhaving, voorlichting en samenwerking draagt de AP bij aan het bevorderen van een verantwoorde en respectvolle omgang met persoonsgegevens door organisaties en instanties. De AP heeft een breed scala aan taken en bevoegdheden om de AVG te handhaven en toezicht te houden op de verwerking van persoonsgegevens.

Hieronder worden een aantal belangrijke taken en bevoegdheden van de AP beschreven:

Toezicht houden op de naleving van de privacywetgeving

De belangrijkste taak van de AP is toezicht houden op de naleving van de privacyregelgeving en AVG. De AP controleert of organisaties persoonsgegevens op een rechtmatige en behoorlijke manier verwerken. Dit omvat het onderzoeken van klachten van betrokkenen, het uitvoeren van eigen onderzoeken en audits bij organisaties, en het opleggen van sancties indien nodig.

Behandelen van klachten

De AP heeft de bevoegdheid om klachten van individuen te ontvangen en te onderzoeken over de verwerking van hun persoonsgegevens. Als blijkt dat een organisatie in strijd handelt met de privacywetgeving, kan de AP passende maatregelen nemen om de overtredingen te corrigeren.

Voorlichting en advies

De AP heeft een rol in het verstrekken van voorlichting en advies aan het publiek, organisaties en overheidsinstanties over hun rechten en plichten met betrekking tot gegevensbescherming. Ze geven richtlijnen en publiceren informatie om bewustzijn te creëren over privacykwesties.

Autorisatie en goedkeuring van gegevensverwerking

In sommige gevallen moeten organisaties specifieke gegevensverwerkingen vooraf aanmelden bij de AP of om goedkeuring vragen. Dit geldt bijvoorbeeld voor bepaalde verwerkingen van bijzondere categorieën persoonsgegevens of bij verwerkingen met een hoog risico voor de rechten en vrijheden van betrokkenen.

Onderzoek doen naar datalekken

De AP is verantwoordelijk voor het onderzoeken van datalekken die door organisaties worden gemeld. Als er sprake is van een datalek dat een risico vormt voor de rechten en vrijheden van betrokkenen, kan de AP passende maatregelen opleggen om herhaling te voorkomen.

Handhavingsbevoegdheden

Als de AP overtredingen van de privacywetgeving vaststelt heeft zij verschillende handhavingsbevoegdheden tot haar beschikking. Dit kan variëren van het opleggen van waarschuwingen en berispingen tot het opleggen van boetes, dwangsommen, of het verbieden van gegevensverwerkingen.

Internationale samenwerking

De AP werkt samen met andere Europese toezichthoudende autoriteiten en neemt deel aan de samenwerking binnen de European Data Protection Board (EDPB).

Boetes opgelegd door de AP

De Autoriteit Persoonsgegevens kan een boete opleggen wanneer een organisatie de AVG heeft overtreden. Er zijn een aantal voorbeelden van spraakmakende boetes opgelegd door de Autoriteit Persoonsgegevens.

In 2021 heeft de AP bijvoorbeeld TikTok een boete opgelegd van 750.000 euro. TikTok, de populaire social media-applicatie die voornamelijk door jongeren wordt gebruikt, is een voorbeeld van een organisatie die de afgelopen jaren te maken heeft gehad met verschillende boetes in verband met privacyschendingen en overtredingen. Er zijn boetes opgelegd door verschillende nationale toezichthouders, zo ook door AP. Veel kinderen in Nederland hebben de applicatie TikTok op hun telefoon staan. In 2021 telde de applicatie ongeveer 1,7 miljoen gebruikers, waarvan naar schatting ongeveer een kwart minderjarig was. De AP startte een onderzoek naar TikTok omdat er zorgen waren over de privacy van kinderen, mede omdat kinderen als extra kwetsbare groep worden gezien en zij zich minder bewust zijn van de gevolgen van hun handelen. Kinderen krijgen volgens de privacywetgeving dan ook extra bescherming. De boete van de AP is opgelegd voor het schenden van de privacy van kinderen. TikTok bood de privacyverklaring enkel in het Engels aan en niet in het Nederlands. Het platform handelde daarom in strijd met het uitgangspunt van de privacywetgeving dat altijd duidelijk moet zijn wat er met je persoonsgegevens gebeurt. TikTok voldeed niet aan de transparantie- en informatieplicht zoals vastgelegd in de AVG en kreeg hiervoor een boete van 750.000 euro.

Het andere voorbeeld is een boete die in april 2022 is opgelegd aan de Belastingdienst. Het gaat daarbij om een boete van 3,7 miljoen euro vanwege de jarenlange illegale verwerking van persoonsgegevens in de Fraude Signalering Voorziening (FSV). Het ging om een zwarte lijst waarop de Belastingdienst signalen van fraude bijhield. Deze lijst leidde tot grote gevolgen voor mensen die onterecht op de lijst stonden. Het is een forse boete omdat de boete gebaseerd is op meerdere boetes voor in totaal zes overtredingen. Een van die overtredingen lag in het feit dat de Belastingdienst geen wettelijke grondslag had voor het verwerken van de persoonsgegevens op de lijst, waardoor de verwerking van persoonsgegevens illegaal was. Daarnaast had de FSV het doel van de verwerking vooraf niet specifiek omschreven en was de beveiliging van de lijst niet op orde. Ook bevatte de database van de FSV onjuiste en niet-geactualiseerde gegevens en werden signalen te lang bewaard. Tot slot had de Belastingdienst pas na ruim een jaar een interne privacytoezichthouder om advies gevraagd. Dit feitencomplex leidde tot een forse boete van 3,7 miljoen euro. Bij het bedrag van de boete woog de AP ook mee dat de Belastingdienst al vaker ernstige overtredingen van de AVG beging.