Voor het overtreden van de AVG loopt u de kans tegen boetes aan te lopen. Waar moet u als bedrijf op letten om te voldoen aan de regels van de AVG.
AVG-opvolger van de Wet bescherming persoonsgegevens
De AVG (Algemene Verordening Gegevensbescherming) is al sinds 25 mei 2018 van kracht. Als opvolger van de Wet bescherming persoonsgegevens leidt de AVG tot veel verdergaande verplichting. De AVG heeft twee doelen:
- Het beschermen van natuurlijke personen in de EU op het gebied van privacy regelgeving en persoonsgegevens.
- Het bieden van rechten betreffende persoonsgegevens die worden gedeeld met organisaties die deze persoonsgegevens verzamelen, opslaan en verwerken.
De Autoriteit Persoonsgegevens (AP) is aangesteld om naleving van de AVG te controleren en mag bij overtreding hoge boetes opleggen.
Meer verplichtingen bij het verwerken van persoonsgegevens door AVG
De AVG leidt ertoe dat u bij het verwerken van persoonsgegevens meer verplichtingen hebt als bedrijf. De klanten (gebruikers) hebben door de AVG meer mogelijkheden om voor hun privacyrechten op te komen als het gaat om de verwerking van gegevens. Zij hebben meer zeggenschap en meer rechten gekregen over hun gegevens en moeten kunnen aangeven wat een bedrijf met die gegevens mag doen. Een klant kan inzage vragen in uw opgeslagen data en kan verleende toestemming intrekken. De AVG geldt voor elk bedrijf én organisatie dat persoonsgegevens verwerkt van klanten, hun personeel en alle andere personen uit de EU.
De wet AVG geldt voor:
- Ondernemers, zzp’ers, MKB
- Scholen
- Zorginstanties
- Verenigingen
- Stichtingen
- Ziekenhuizen, artsen huisartsen
Kortom, elk bedrijf dat zaken doet nationaal én internationaal (binnen de EU) moet zich aan de AVG houden.
Welke boetes kunnen worden opgelegd bij niet naleven van de AVG?
Er wordt voor het niet naleven van de AVG onderscheid gemaakt in verschillende boetes.
- Een boete voor schending van verplichtingen die procedureel van aard zijn. De boete is maximaal € 10.000.000,= of 2% van de wereldwijde omzet.
- Een boete voor schending van verplichtingen die inhoudelijk van aard zijn. Hierbij wordt de privacy van betrokkenen geraakt. De boete hiervoor is hoger en bedraagt maximaal € 20.000.000,= of 4% van de wereldwijde omzet.
Wordt een bevel van de toezichthouder (AP) niet opgevolgd dan kunnen dezelfde boetes worden opgelegd. Hierbij geldt dat een bevel gelijk is met een aanwijzing. In de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 is vastgelegd hoe de AP de hoogte van boetes bepaalt. De AP legt de boetes op, het Centraal Justitieel Incassobureau (CJIB) int deze en het geld gaat naar de schatkist.
Het is belangrijk dat u uw AVG dus goed voor elkaar heeft om hoge boetes in de toekomst te voorkomen. Via YoungLaw.nl kunt u eenvoudig een passende en rechtsgeldige AVG opstellen. Start er nu direct mee, klik hier!
Boetes AVG stuk hoger dan die van Wet bescherming Persoonsgegevens
De boetes die kunnen worden opgelegd bij het niet naleven van de AVG zijn een stuk hoger dan de boetes die werden opgelegd bij het niet naleven van de Wet bescherming persoonsgegevens. Hier was de hoogste boete die kon worden opgelegd € 820.000,= of 10% van de jaaromzet. Die boete kon alleen worden opgelegd wanneer er sprake was van opzet of ernstige verwijtbaarheid. Bij de AVG wordt weinig voorlichting gegeven over de manier waarop boetes worden opgelegd. Er wordt wel aangegeven dat er, als er een boete wordt opgelegd, rekening wordt gehouden met alle omstandigheden die zich voordoen of hebben gedaan. De rechter zal uiteindelijk moeten beoordelen of de boete evenredig is aan het geval waarvoor deze is opgelegd.
Sancties en boetes die de afgelopen jaren zijn opgelegd door de AP
Sancties die de AP kan opleggen zijn:
- Boete,
- Last onder dwangsom,
- Verwerkingsverbod,
- Berisping
- Waarschuwing
Enkele inmiddels opgelegde boetes;
- TikTok: schenden van de privacy van kinderen € 750.000,-
- UWV: slechte beveiliging bij het verzenden van groepsberichten € 450.000,-
- LocateFamaly.com; geen vertegenwoordiger in de EU was € 525.000,-
- PVV Overijssel; datalek niet gemeld € 600.000,-
- Gemeente Enschede; wifitracking € 600.000,-
- Booking.com; te laat melden datalek € 475.000,-
- OLVG; slechte beveiliging patiëntendossiers € 440.000, –
- BKR; vragen van vergoeding bij inzage € 830.000,-
- KNLTB; verkoop van ledengegevens € 525.000,-
- Haga Ziekenhuis; slechte beveiliging patiëntendossiers € 460.000,-
- Uber; te laat melden datalek € 600.000,-
Er kan door de AP ook een last onder dwangsom worden opgelegd
Organisaties die de AVG overtreden kunnen van de AP een last onder dwangsom opgelegd krijgen. Dat betekent dat die organisatie een dwangsom moet betalen als de overtreding na een bepaalde termijn niet gestopt is. Daarnaast bestond de last onder dwangsom ook al onder de Wet bescherming persoonsgegevens. De AP heeft vanaf 2018 tot nu ook al diverse organisaties een last onder dwangsom opgelegd. Dat is gedaan voor de volgende overtredingen:
- Ontbrekende vertegenwoordiger in EU
- Te veel medische gegevens bij machtiging aanvragen
- Onbevoegde toegang tot medische gegevens
- Slechte beveiliging patiëntendossiers
- Slechte beveiliging politiegegevens
- Slechte beveiliging werkgeversportaal
- Niet voldoen aan inzageverzoek klant
De belangrijkste verplichtingen onder de AVG
Volgens de AVG moeten gegevens worden verwerkt op een manier die rechtmatig en goed te controleren is. Bij hoge risico’s moet een ‘gegevens beschermingseffect beoordeling’ worden opgesteld. Dit moet ook gebeuren als de verwerkende organisatie gebruikt maakt van automatische verwerking. Een persoon mag eisen dat zijn gegevens en alle informatie die naar deze persoon wijst, worden verwijderd. Dat houdt in dat de organisatie verplicht is ook de aan andere partijen doorgegeven gegevens te verwijderen. Gebeurt dit niet dan kan de AP een boete opleggen. Bedrijven met meer dan 250 medewerkers zijn verplicht een Data Protection Officer (DPO) aan te stellen.
Wilt u een wettelijk geldende AVG laten opstellen? Vraag dan Yong Law om hulp.
Onze juristen weten precies waar ze op moeten letten en wat beschreven dient te staan in deze privacywet. Klik hier voor directe hulp.
