GDPR boetes en sancties: schering en inslag? (17/03/2022)

Binnenkort is het alweer de vierde verjaardag van de inwerkingtreding van de Algemene Verordening Gegevensbescherming (AVG of GDPR) en de derde verjaardag van de start van de werking van de Geschillenkamer van de Gegevensbeschermingsautoriteit (GBA).  

Hoog tijd voor een nieuwe stand van zaken. 

In een eerdere nieuwsbrief van 29 mei 2020 gaven we een overzicht van het eerste werkingsjaar van de Geschillenkamer dat, met 22 gepubliceerde beslissingen ten gronde, traag op gang gekomen was. 

Wat wel reeds duidelijk was, en nu ook bevestigd werd, is dat de Geschillenkamer zich niet leek te beperken tot de grote bedrijven: het gros van de procedures gevoerd voor de Geschillenkamer heeft betrekking op KMO’s, VZW’s en zelfs individuele personen. 

Ook konden we een sterke toename aan procedures vaststellen: van 22 gepubliceerde beslissingen in jaar 1 naar een kleine honderd over de eerste drie jaren. 

Bij nagenoeg alle van deze dossiers werden inbreuken vastgesteld door de Geschillenkamer. In slechts een beperkt aantal werd geen sanctie opgelegd. 

De afgelopen 2 jaar werden in 29 zaken berispingen opgelegd,  in 20 dossiers werden boetes uitgedeeld.

Deze sancties gingen meestal gepaard met de verplichting om de werking van de inbreukmaker in regel te brengen met de AVG en/of een verbod om bepaalde praktijken toe te passen. 

Wat de boetes betreft kan er een onderscheid gemaakt worden tussen 3 verschillende categorieën die geviseerd worden: 

1. Een eerste categorie betreft voornamelijk particulieren, VZW’s of andere organisaties zonder winstbejag zoals vb. scholen. Zij ontvingen boetes van 1.000 tot 5.000 euro voornamelijk voor het verwerken van persoonsgegevens zonder rechtsgrond.
2. Een tweede categorie betreft KMO’s die overtredingen begingen in hun professionele activiteit (vb. in het kader van direct marketing) of in de relatie tot hun werknemers. Meestal draait het om een weigering tot recht op inzage/kopie of het verwerken zonder rechtsgrond. De boetes hierbij variëren tussen de 5.000 en 25.000 euro. 
3. Als laatste zijn er de grote bedrijven, waarbij de inbreuken een negatieve impact op een grote groep van mensen kunnen hebben. Zo bv. inbreuken inzake het gebruik van cookies (250.000 euro boete) of het recht op vergetelheid (500.000 euro boete- Google). Ook werd een boete van 100.000 euro opgelegd aan een bank omdat de interne procedures toelieten dat een werknemer op regelmatige basis de financiële situatie van zijn ex-echtgenote, waarmee hij in een gerechtelijke procedure verwikkeld was, opvolgde.

In volgende nieuwsbrieven zullen we dieper ingaan op een aantal van de praktijken en beslissingen van de Geschillenkamer. 

Wie intussen vragen heeft over zijn gegevensbeschermingsbeleid, kan steeds contact opnemen met LM&DS. 

Bericht geplaatst door Veerle Stroobants & Sven Mertens - Advocaat op 17/03/2022.