2 jaar GDPR: een overzicht van handhaving, waarschuwingen en boetes

Het is ongeveer twee jaar geleden dat de Algemene Verordening Gegevensbescherming (AVG in het Nederlands of GDPR in het Engels) van toepassing werd. Net zoals vorig jaar is het weer tijd om een voorlopige balans op te maken van de handhavingsacties door de toezichthoudende autoriteiten in het afgelopen jaar en een prognose te maken van wat organisaties te wachten staat in 2020 en de komende jaren op vlak van gegevensbescherming en GDPR. 

1. Aantal dossiers blijft toenemen

Vorig jaar liet de Belgische toezichthoudende autoriteit (Data Protection Authority of DPA) weten dat er een exponentiële toename was van het aantal dossiers in 2018. Uit recent gepubliceerde cijfers blijkt dat deze stijging voortduurt. Bijvoorbeeld, in het tweede jaar van de GDPR ontving de Belgische DPA 937 meldingen van gegevenslekken, terwijl dit in de eerste zes maanden van de GDPR nog maar 317 meldingen waren. 

De Belgische DPA is echter niet de enige die een stijging noteert, want ook andere toezichthoudende autoriteiten zoals de Nederlandse DPA, Britse DPA, Franse DPA en de Duitse Datenschutzkonferenz (DSK) meldden een sterke toename in het aantal dossiers. Meer cijfers van andere toezichthoudende autoriteiten zijn ook terug te vinden in het evaluatiedocument van de European Data Protection Board (EDPB).

Een toename in het aantal dossiers is wellicht te wijten aan de toenemende bewustwording van burgers. Uit onderzoekbleek dat het aantal burgers dat bekend is met de lokale toezichthoudende autoriteit is gestegen. In vergelijking met 2015 hadden 20 procent meer burgers al gehoord van de lokale toezichthoudende autoriteit.

2. Strategische doelstellingen en prioriteiten

Door de toename in het aantal dossiers verklaren toezichthoudende autoriteitenmeer en meer onderbezet te zijn. Een deel van de Duitse DPAs van de deelstaten en Nederlandse DPA hebben dit openlijk verklaard. Zo is de Nederlandse DPA verplicht om iedere melding in behandeling te nemen, maar moest die eerder dit jaar toegeven dat dit niet meer haalbaar was. Door de onderbezetting zouden er volgens de bevoegde minister ongeveer 3000 klachten nog niet behandeld zijn. Daarom werkt de Nederlandse DPA met prioriteiten, net zoals andere toezichthoudende autoriteiten. 

De Belgische DPA zal zich in de periode 2020-2025 focussen (pdf) op:

• prioritaire sectoren: overheid, telecommunicatie en media, direct marketing, onderwijs en kmo’s,
• prioritaire GDPR instrumenten zoals de rol van de DPO, de legitimiteit van verwerkingen en de rechten van burgers, en
• maatschappelijke thema’s zoals foto’s en camera’s, online gegevensbescherming zoals cookies en trackers, en gevoelige gegevens zoals gezondheidsgegevens.

De Nederlandse DPA lijkt zich in de periode 2020-2023 te gaan focussen op drie gebieden, namelijk:

• datahandel zoals toezicht op doorverkoop, internet of things, profilering en behavioural advertising, 
• digitale overheid waaronder databeveiliging, smart cities, samenwerkingsverbanden, verkiezingen en microtargeting, en 
• artificiële intelligentie en algoritmes

De Franse DPA focust zich in 2020 op:

• beveiliging van gezondheidsgegevens,
• mobiliteitsdiensten en nieuwe toepassingen van locatiegegevens, en
• cookies en andere trackers.

De Britse DPA en Duitse DSK noemen geen specifieke prioritaire sectoren of thema’s, maar de Britse DPA geeft wel aan zich te focussen op de volgende doelstellingen:

• leiding geven aan de implementatie van en toezicht op de GDPR,
• onderzoeken van innovatieve en technologisch wendbare manieren om de privacy te beschermen,
• het versterken van de transparantie en verantwoordingsplicht en het bevorderen van goed informatiebeheer, en
• het beschermen van de burgers in een digitale wereld.

3. Waarschuwingen en geldboetes in de EU

3.1. Overgangsperiode is gedaan

Vorig jaar schreven we dat de meeste toezichthoudende autoriteiten relatief mild zijn geweest in 2018 en dat sommige toezichthoudende autoriteiten, waaronder de Belgische DPA, hadden aangegeven dat ze in 2019 strenger zouden optreden. De voorzitter van de Belgische DPA liet weten in 2019 een tandje bij te zullen steken om de naleving van de GDPR te verzekeren. Deze voorspelling lijkt te zijn uitgekomen door de drie boetes van 50.000 EUR die de Belgische DPA heeft opgelegd in april en mei van 2020.  

Ook de voorzitter van de Nederlandse DPA liet in het verleden weten dat de Nederlandse DPA zich in 2018 voornamelijk zou richten op het beëindigen van overtredingen. Hiervoor organiseerde de Nederlandse DPA verkennende onderzoeken over het register van verwerkingsactiviteiten, verwerkersovereenkomsten en datalekregisters en stuurde de DPA aan op herstelmaatregelen door organisaties zelf. De voorzitter van de Nederlandse DPA liet echter ook weten dat klachten in 2019 vaker zouden leiden tot een onderzoek en mogelijke sancties. Ook deze voorspelling lijkt te zijn uitgekomen door twee zware boetes van 525.000 EUR en 725.000 EUR. Deze laatste boete toont trouwens ook aan dat organisaties niet steeds een ingebrekestelling van de toezichthoudende autoriteit hoeven te verwachten alvorens er een boete wordt opgelegd. In deze zaak oordeelde de Nederlandse AP dat de inbreuk zo ernstig was dat het onmiddellijk opleggen van een boete gerechtvaardigd was.

Ook de Ierse DPA heeft recent de eerste GDPR-boete opgelegd. Dit terwijl er in Ierland relatief gezien de meeste klachten worden ingediend. Uit onderzoek van IntoTheMinds bleek er voor elke 10.000 Ieren er 8,6 een klacht bij de Ierse DPA indienen. Dat is het hoogste cijfer van de EU en staat in schril contrast met het cijfer in België (0,32 klachten per 10.000 Belgen). Dat is de op één na laatste plaats. Een boete van 75.000 EUR werd opgelegd aan een Iers Staatsagentschap Tusla (Child and Family Agency) voor drie gevallen waarin persoonsgegevens van kinderen onrechtmatig werden gedeeld. In één geval werden de contact- en locatiegegevens van een moeder en kind bekend gemaakt aan een vermeende misbruiker. In twee andere gevallen werden gegevens over kinderen in pleeggezinnen ten onrechte aan bloedverwanten bekendgemaakt, waaronder in één geval aan een gedetineerde vader. 

3.2. Is er een trend op vlak van sectoren of inbreuken?

Hoewel toezichthoudende autoriteiten nog steeds eerst een waarschuwing kunnen geven, is er niet alleen een toename merkbaar in het aantal opgelegde geldboetes, maar ook in de hoogte van deze geldboetes. Momenteel lijken toezichthoudende autoriteiten echter niet vaker op te treden tegen bepaalde sectoren of bedrijven, noch tegen bepaalde soorten inbreuken.

Geldboetes worden dus opgelegd in verschillende sectoren en bedrijven, waaronder:

• Organisaties in de gezondheidszorg,
• Organisaties actief in de financiële sector en verzekeringen,
• Organisaties actief in de (sociale) media,
• Telecombedrijven, 
• Vastgoedbedrijven,
• Bedrijven actief in transport en mobiliteit, 
• Bedrijven actief in entertainment en vrije tijd,
• Non-profitorganisaties,
• Overheidsinstellingen, 
• Enz.

Geldboetes worden ook opgelegd voor verschillende soorten inbreuken, waaronder: 

• Het niet naleven van basisbeginselen inzake gegevensverwerking,
• Een gebrek aan transparantie naar de betrokkenen toe,
• Het gebruik van een foute wettelijke grondslag,
• Het niet nemen van gepaste technische en organisatorische beveiligingsmaatregelen,
• Het niet of niet tijdig reageren op verzoeken van betrokkenen,
• Het niet of niet tijdig melden van een gegevenslek,
• Enz.

Kijk onderaan deze blog voor een overzicht van de opgelegde geldboetes!

4. Relevante rechtspraak (in België)?

4.1. Belgische boete succesvol aangevochten voor het Marktenhof

Geldboetes die door de DPA worden opgelegd kunnen in België worden aangevochten bij het Marktenhof. De bovengenoemde boete van 10.000 EUR aan een Belgische drankenhandel werd met succes aangevochten voor het Marktenhof. De belangrijkste reden hiervoor was het gebrek aan motivering door de DPA. 

De Belgische DPA heeft in tegenstelling tot Nederland en Duitsland immers geen boetebeleidsregels. Daarom moet volgens het Marktenhof minstens gemotiveerd worden waarom een minder verregaande sanctie dan het opleggen van een geldboete van 10.000 EUR geen einde aan de inbreuken zou kunnen stellen. Bovendien werd gesanctioneerd op basis van wetgeving die niet van toepassing was op het moment van de inbreuk door de drankenhandel.

4.2. De Facebook-zaak: prejudiciële vragen gesteld

De GDPR voorziet in een nieuw samenwerkingsmechanisme tussen de Europese toezichthoudende autoriteiten, namelijk een one-stop shop mechanisme. In België is in de Facebook-zaak dan ook de vraag gerezen of dit one-stop shop mechanisme ook van invloed is op de mogelijkheid om een procedure voor de rechter in te leiden. Dat one-stopshop mechanisme werd trouwens ook niet toegepast door de Franse DPA bij het opleggen van een miljoenenboete aan Google. 

De Facebook-zaak werd in 2015 ingeleid door de voormalige Privacycommissie en werd overgenomen door de huidige Belgische Gegevensbeschermingsautoriteit. De Privacycommissie argumenteerde dat de Belgische rechtbanken bevoegd zijn en eiste dat Facebook zich zou houden aan de Belgische en Europese privacyregels. 

In eerste aanleg kreeg de toenmalige Privacycommissie gelijk, maar Facebook ging in beroep. Op 8 mei 2019 oordeelde het Hof van Beroep van Brussel om enkele prejudiciële vragen te stellen aan het Hof van Justitie van de Europese Unie alvorens een uitspraak ten gronde te doen. 

5. Wat brengt de toekomst?

5.1. Wellicht meer (en hogere) boetes

In vergelijking met 2018 en de eerste helft van 2019, werden er in de tweede helft van 2019 en in de eerste helft van 2020 meer en hogere boetes opgelegd. Er zijn op dit moment weinig elementen die erop zouden kunnen wijzen dat deze trend zich in 2020 en de komende jaren niet zou kunnen voortzetten.

Wellicht zullen toekomstige boetes in lijn liggen met de strategische doelstellingen van de toezichthoudende autoriteiten. Aangezien cookies en online trackers tot de prioriteiten van verschillende toezichthoudende autoriteiten behoren, verwachten we zeker meer cookieboetes in 2020 en de komende jaren. De Belgische, Spaanse en Turkse toezichthoudende autoriteiten gaven al zo’n cookieboete.

Toch zal er ook niet altijd een boete worden opgelegd. Hoewel het melden van een gegevenslek kan leiden tot een (hoge) geldboete zoals in het geval van British Airways, bleek dat het melden van een gegevenslek niet noodzakelijk aanleiding geeft tot een geldboete. Dit bleek uit een recente beslissing door de Belgische DPA. Die legde geen geldboete op aan een telecombedrijf omdat uit onderzoek was gebleken dat het datalek correct werd gemeld en dat het bedrijf passende organisatorische en technische maatregelen had genomen.

5.2. Verzekerbaarheid van boetes

Aangezien er steeds meer en hogere boetes worden opgelegd, wordt de vraag naar de verzekerbaarheid ervan ook steeds meer prangend. Een geldboete voor een inbreuk op de GDPR opgelegd door een toezichthoudende autoriteit is een administratieve geldboete en kan in principe wel worden verzekerd (in België), maar hier stellen zich wel twee vragen bij, namelijk of administratieve geldboetes door de verzekeringspolis zijn uitgesloten, en of de dekking van de verzekeringspolis voldoende hoog is.

Voor een verdere bespreking van deze vragen verwijzen we naar ons overzicht van vorig jaar.

5.3. Hebben klagers recht op een schadevergoeding?

Het gebeurt dat klagers aan de Belgische DPA ook vragen om een schadevergoeding aan hen toe te kennen, maar de DPA heeft niet de bevoegdheid om een schadevergoeding toe te kennen. De DPA kan wel een inbreuk vaststellen en administratief beboeten, maar het toekennen van een schadevergoeding is voorbehouden aan de bevoegde rechtbanken. Daarnaast kan de DPA ook geen rechtsplegingsvergoeding toekennen, want het gaat om een administratieve procedure.

In Nederland oordeelde de Nederlandse Afdeling bestuursrechtspraak van de Raad van State dat in de GDPR niet wordt bepaald op welke wijze immateriële schade moet worden vastgesteld. Dus dat moet op grond van nationaal recht worden bepaald. Wat betreft het schadebegrip bepaalt overweging 146 van de GDPR het volgende: “Het begrip “schade” moet ruim worden uitgelegd in het licht van de rechtspraak van het Hof van Justitie, op een wijze die ten volle recht doet aan de doelstellingen van deze verordening. Dit laat eventuele eisen tot schadeloosstelling wegens inbreuken op andere regels in het Unierecht of het lidstatelijke recht onverlet.” Hoewel niet iedere inbreuk op de GDPR aanleiding zal geven tot een schadevergoeding, kende de Raad van State in een bedrag van 500 EUR toe aan een betrokkene waarvan de medische gegevens door de directeur van het Pieter Baan Centrum werden opgenomen in een verweerschrift in het kader van een tuchtprocedure. Deze schadevergoeding werd naar billijkheid begroot.

5.4. Komen er boetebeleidsregels in meer lidstaten?

Om te garanderen dat toezichthoudende autoriteiten geen willekeurige geldboetes opleggen, is het nuttig om zogenaamde boetebeleidsregels op te stellen zoals in Nederland en Duitsland. De Nederlandse DPA heeft zich hiervoor gebaseerd op de in 2017 gepubliceerde richtsnoeren en onderscheidt vier categorieën van inbreuken. Elke categorie heeft een basisboete die naar boven of naar beneden kan worden bijgesteld naargelang de omstandigheden.

5.5. Meer richtlijnen in functie van strategische doelstellingen

Naast de bevoegdheid om sanctionerend op te treden, hebben de toezichthoudende autoriteiten ook de bevoegdheid om richtlijnen over de verwerking van persoonsgegevens te geven. Deze richtlijnen zijn meestal terug te vinden op de website van de lokale toezichthoudende autoriteit. Voor de Belgische DPA gaat het om de volgende richtlijnen sinds de GDPR van toepassing is:

• Een nota over de begrippen verwerkingsverantwoordelijke/verwerker (lees ook onze blog hierover),
• Een aanbeveling over direct marketing (lees ook onze blog hierover),
• Een aanbeveling over de protocolverplichting (een protocol is verplicht voor het delen van persoonsgegevens tussen bepaalde overheden),
• Een themapagina over cookies.
• Praktische ondersteuning voor kmo’s (project BOOST in 2020).

Bij het geven van richtlijnen is het niet uitgesloten dat er verschillen zijn tussen de richtlijnen van de ene en de andere toezichthoudende autoriteit. Bijvoorbeeld, volgens een aanbeveling van de Nederlandse DPA kunnen zuiver commerciële belangen niet kwalificeren als een gerechtvaardigd belang, terwijl volgens de Belgische DPA direct marketing wel mogelijk kan zijn op basis van een gerechtvaardigd commercieel belang. 

Omgekeerd kan het ook zijn dat richtlijnen van de ene toezichthoudende autoriteit worden bevestigd of gevolgd door andere toezichthoudende autoriteiten. Bijvoorbeeld, bijna alle toezichthoudende autoriteiten hebben ondertussen verklaard dat een cookiewall illegaal is. Dit betekent dat een website enkel gebruikt kan worden als alle cookies worden aanvaard door de bezoeker, ook marketing cookies bijvoorbeeld. 

5.6. Evaluatie van de GDPR en de nieuwe ePrivacy verordening

Op basis van artikel 97 van de GDPR diende de Europese Commissie uiterlijk op 25 mei 2020 en om de vier jaar daarna een verslag in te dienen bij het Europees Parlement en de Raad over de evaluatie en de toetsing van de GDPR. Dit verslag is hier beschikbaar.

De EDPB publiceerde op 18 februari 2020 wel een evaluatiedocument waarin de EDPB stelt dat het momenteel te vroeg is om de GDPR te herzien. Tegelijkertijd doet de EDPB een oproep om werk te maken van de nieuwe ePrivacy verordening die er tot op de dag van vandaag nog niet is. Hierover schreven wij reeds eerder op onze blog.

5.7. Update van standard contractual clauses

De huidige versies van de Standard Contractual Clauses (SCCs) zijn opgesteld vóór de inwerkingtreding van de GDPR. Timelex heeft de Europese Commissie geadviseerd over een aanpassing van de Standard Contractual Clauses aan de GDPR. Als u hiervan op de hoogte wilt blijven, kunt u ons volgen op LinkedIn.

5.8. Meer certificering in 2020 en de komende jaren

GDPR-certificatie is een manier voor een organisatie om de naleving van de GDPR aan te tonen. Bij certificering kan een geaccrediteerde certificatie-instelling een organisatie beoordelen, goedkeuren, en een certificaat afleveren. Een voorbeeld van een GDPR-certificatieschema is EuroPrivacy. Timelex assisteert organisaties bij het bekomen van een GDPR-certificaat. 

6. Zal het coronavirus de handhaving beïnvloeden?

Verschillende toezichthoudende autoriteiten zijn momenteel druk bezig met corona-apps en ook de handhaving lijkt te worden beïnvloed door de huidige uitzonderlijke omstandigheden. De ICO toont bijvoorbeeld begrip voor organisaties die momenteel andere prioriteiten hebben: “We understand that resources, whether they are finances or people, might be diverted away from usual compliance or information governance work. We won’t penalise organisations that we know need to prioritise other areas or adapt their usual approach during this extraordinary period.” 

Hoewel de ICO de termijnen niet verlengt, doet de CNIL dat wel. Termijnen uit ingebrekestellingen door de CNIL worden in bepaalde gevallen verlengd tot 24 juni 2020. Daarnaast stelt de CNIL dat zij ook in deze uitzonderlijke omstandigheden zal blijven optreden tegen ernstige inbreuken op gegevensbeschermingswetgeving.

7. Een overzicht van opgelegde geldboetes

Onderstaand overzicht is gerangschikt in oplopende volgorde volgens de hoogte van de boete en geeft een bloemlezing van de geldboetes die tot nu toe werden opgelegd (voornamelijk) in de EU lidstaten.

Let wel, dit overzicht is niet als een compleet overzicht bedoeld. Het is wel onze ambitie om de meest spraakmakende geldboetes erin op te nemen, maar als u op zoek bent naar meer informatie over de handhaving in een bepaalde lidstaat of sector, kunt u best contact met ons opnemen.