Uitspraak
RECHTBANK DEN HAAG
Bestuursrecht
zaaknummer: SGR 23/8425
uitspraak van de meervoudige kamer van 8 oktober 2024 in de zaak tussen
de korpschef van politie, de politie
(gemachtigden: mr. E.P.M. Thole en mr. Ӧ. Zivali),
en
de Autoriteit Persoonsgegevens, de AP
(gemachtigden: mr. W. van Steenbergen en mr. A. Karimi).
Inleiding
1. In deze uitspraak beoordeelt de rechtbank het beroep van de politie tegen een boete op grond van de Wet politiegegevens (Wpg).
1.1.
De AP heeft met het besluit van 17 november 2022 een boete van € 50.000,- opgelegd. Met het bestreden besluit van 6 november 2023 heeft de AP het bezwaar van de politie ongegrond verklaard.
1.2.
De AP heeft op het beroep gereageerd met een verweerschrift.
1.3.
De rechtbank heeft het beroep op 27 augustus 2024 op zitting behandeld. Hieraan hebben deelgenomen: [naam 1] en [naam 2] van de politie Rotterdam, de gemachtigden van de politie, mr. Ӧ. Zivali en mr. N.A. Frans, en de gemachtigden van de AP.
Beoordeling door de rechtbank
Waar gaat deze zaak over?
2. De gemeente Rotterdam heeft Mobiele Camera Auto’s (MCA’s) gehuurd. Deze MCA’s zijn aan het begin van de COVID-19 uitbraak, vanaf 10 april 2020, door de gemeente ingezet in verband met de handhaving van onder meer het samenscholingsverbod en de verplichting om 1,5 meter afstand te houden. De inzet van de MCA's leidde tot vragen bij de gemeenteraad van Rotterdam en bij de AP. De inzet is daarom door de politie tijdelijk stopgezet op 17 april 2020. De inzet van het instrument is opnieuw onderzocht en de politie en de gemeente Rotterdam hebben een inzetkader vastgesteld. Op 26 april 2020 zijn de MCA’s opnieuw gaan rijden. De AP heeft aan de politie een boete opgelegd, omdat niet voorafgaande aan de verwerking van persoonsgegevens een gegevensbeschermingseffectbeoordeling (GEB) was uitgevoerd. Dit is een overtreding van de Wpg. De basisboete voor deze overtreding is € 56.500,-, maar de AP heeft aanleiding gezien de boete vast te stellen op € 50.000,-. Hierbij heeft zij er onder meer rekening mee gehouden dat de inzet van de MCA’s plaatsvond aan het begin van de COVID-19 uitbraak. De politie vindt dat de AP geen boete had mogen opleggen of een lagere boete had moeten opleggen. Volgens de politie had de AP meer rekening moeten houden met de uitzonderlijke omstandigheden van de COVID-19 crisis.
Wat zijn de regels?
3. De relevante regels staan in de bijlage. De bijlage hoort bij de uitspraak.
Wat is het oordeel van de rechtbank?
4. De rechtbank beoordeelt de rechtmatigheid en evenredigheid van de aan de politie opgelegde boete. Zij doet dat aan de hand van de beroepsgronden van de politie.
Wat was de aanleiding voor het onderzoek en was het onderzoek gelet daarop zorgvuldig?
5. De politie stelt voorop dat de rechtmatigheid van de tijdelijke inzet van de MCA’s niet ter discussie staat. Zij vermoedt dat de AP het onderzoek en handhavingstraject voornamelijk is gestart met het oog op het vaststellen van de rechtmatigheid van de inzet van de MCA’s in algemene zin. Het onderzoek naar de naleving van een eventuele GEB-verplichting in dit concrete geval lijkt slechts een bijkomstigheid te zijn geweest. Door de focus van de AP op de rechtmatigheidsaspecten, is het onderzoek naar de eventuele GEB-verplichting mogelijk onzorgvuldig geweest.
6. De rechtbank overweegt dat er geen aanleiding bestaat om ervan uit te gaan dat het onderzoek naar de GEB-verplichting een bijkomstigheid was en dat het onderzoek daarom niet zorgvuldig is uitgevoerd door de AP. Al in het inlichtingenverzoek van 17 december 2020 staat dat het onderzoek van de AP ook betrekking heeft op de vraag of de politie in strijd heeft gehandeld met de verplichting tot het uitvoeren van een GEB als bedoeld in de Wpg.
Is sprake van de verwerking van politiegegevens?
7. De politie voert aan dat de Wpg niet is overtreden, omdat geen sprake was van verwerking van politiegegevens in de zin van de Wpg. De AP heeft camerabeelden van 19 mei 2020 tot en met 31 mei 2020 gevorderd. Alleen op 20, 29 en 31 mei 2020 werden camerabeelden gemaakt. Hiervan is alleen 29 mei 2020 relevant. Van de andere twee dagen zijn er namelijk geen screenshots en/of is er geen vermelding van “herkenbare” personen die in beeld zouden zijn gebracht. Voor zover bewegende camerabeelden zijn gemaakt kan niet worden aangenomen dat personen zijn geïdentificeerd en identificeerbaar waren. De MCA’s hadden geen gezichtsherkenningsfunctie. De beelden zijn alleen voor het onderzoek van de AP bewaard gebleven, omdat de bewaartermijn al was teruggebracht naar nul dagen. Er is bovendien geen sprake van verwerking in een bestand. De inhoud van een bestand moet gestructureerd zijn om een eenvoudige toegang tot persoonsgegevens mogelijk te maken. De camerabeelden werden ongestructureerd als opeenvolgende, chronologische filmbeelden opgeslagen en waren niet doorzoekbaar of selecteerbaar gemaakt aan de hand van persoonsgerelateerde criteria.
8. De rechtbank stelt vast dat uit het Verslag van Ambtshandelingen van 18 maart 2021 blijkt dat alleen van 20, 29 en 31 mei 2020 camerabeelden beschikbaar zijn. Op de andere dagen wordt een grijs beeld weergegeven met de tekst “no signal". Voor die dagen is niet vast te stellen dat de camera’s aan hebben gestaan en mensen herkenbaar in beeld hebben gebracht. Uit het verslag valt verder evenmin op te maken dat er op 31 mei 2020 personen herkenbaar in beeld zijn gebracht. Uit het verslag blijkt wel dat er op 20 en 29 mei 2020 personen herkenbaar in beeld zijn gebracht. De stelling van de politie dat er geen screenshots van 20 mei 2020 beschikbaar zijn doet daar niet aan af.
9. De rechtbank is van oordeel dat er op 20 en 29 mei 2020 sprake is geweest van verwerking van politiegegevens in de zin van de Wpg. Een door een camera vastgelegde afbeelding van een persoon valt onder het begrip persoonsgegeven, aangezien de betrokken persoon hierdoor kan worden geïdentificeerd. [1] Dat de personen niet daadwerkelijk zijn geïdentificeerd door de politie doet daar niet aan af. De persoonsgegevens zijn verzameld en doorgezonden naar de meldkamer in de uitoefening van de politietaak, zodat sprake is van verwerking van politiegegevens. Dat de beelden alleen voor het onderzoek van de AP bewaard zijn gebleven maakt dat niet anders. Omdat het gaat om geautomatiseerde verwerking is de Wpg reeds daarom van toepassing en is niet vereist dat sprake is van verwerking in een bestand. De AP stelt terecht dat dit volgt uit artikel 2 van de Richtlijn (EU) 2016/680. [2] Voor zover die richtlijn op dit punt onjuist of onvolledig zou zijn geïmplementeerd in de Wpg moet de Wpg richtlijnconform worden geïnterpreteerd. De AP heeft bovendien voldoende onderbouwd dat wel sprake is van verwerking in een bestand. De filmbeelden zijn chronologisch opgeslagen en hebben dus een structuur in tijd. De beelden hoeven niet ook nog doorzoekbaar te zijn op kenmerken van de gefilmde personen.
Is een GEB noodzakelijk?
10. De politie voert aan dat geen sprake is van een overtreding, omdat de GEB niet noodzakelijk was. De verwerking levert namelijk geen hoog risico voor de rechten en vrijheden van personen op. Of sprake is van een waarschijnlijk hoog risico hangt af van de aard, omvang, context en doelen van de verwerking. De AP heeft deze maatstaf volgens de politie onjuist gehanteerd door geen rekening te houden met de bijzondere aspecten van de Wpg ten opzichte van de AVG. Het bijzondere opsporingskader van de Wpg verschilt fundamenteel van de zeer algemene aard van de AVG. Als de redenering van de AP gevolgd zou worden, zou voor vrijwel iedere verwerking onder de Wpg een GEB uitgevoerd moeten worden. Ook legt de AP ten onrechte de nadruk op nieuwe technologie, terwijl daarvan geen sprake was. MCA’s werden al jaren aangeboden en waarschijnlijk ook gebruikt. Het voornemen was niet om al rijdende grote groepen mensen via camerabeelden te volgen. Alleen onder strikte voorwaarden bij incidenten op vooraf aangewezen locaties mochten de camera’s aangezet worden en bij verplaatsing naar een andere locatie moesten de camera’s uit staan. Mede vanwege deze context is geen sprake van het gebruik van nieuwe technologie. Bovendien is niet doorslaggevend of sprake is van nieuwe technologie. De politie heeft verwezen naar een uitspraak van de rechtbank Gelderland. [3]
11. De rechtbank overweegt dat een GEB noodzakelijk is als een verwerking een hoog risico voor de rechten en vrijheden van personen oplevert en het ook waarschijnlijk is dat dit risico zich voordoet. [4] De AP heeft zich naar het oordeel van de rechtbank terecht aangesloten bij de normuitleg die zij heeft gegeven voor de gelijkluidende norm uit artikel 35, vierde lid, van de AVG. [5] Deze normuitleg is gebaseerd op richtsnoeren van het Europees Comité voor Gegevensbescherming. [6] Het ligt voor de hand om voor de invulling van de GEB-plicht uit de Wpg daarbij zoveel mogelijk aan te sluiten. Zoals ook in de door de politie genoemde uitspraak van de rechtbank Gelderland is overwogen, levert een verwerking op grond van de Wpg niet automatisch een hoog risico op. De AP heeft echter voldoende onderbouwd dat de verwerking van de camerabeelden met behulp van de MCA's waarschijnlijk resulteerde in een hoog risico voor de rechten en vrijheden van personen. De AP heeft toegelicht dat, hoewel de techniek van het maken van 360 graden camerabeelden op zichzelf niet nieuw is, het gebruik van dergelijke camera’s op (snel) rijdende auto's dat wel is. Anders dan bij het gebruik van 360 gradencamera’s bij vast cameratoezicht of op een mobiele mast, maakt het gebruik van dergelijke camera’s op een rijdende auto het bijvoorbeeld mogelijk om personen te volgen en daarvan camerabeelden te maken. Ook worden in de openbaar toegankelijke ruimte persoonsgegevens verzameld van zowel volwassenen als kinderen, terwijl zij mogelijk niet weten dat gegevens worden verzameld en ook niet hoe deze worden gebruikt. Bovendien kan het voor personen onmogelijk zijn om te voorkomen dat zij aan een dergelijke verwerking worden onderworpen. De politie moest rekening houden met de mogelijkheid dat (ook) van grote groepen mensen camerabeelden gemaakt zouden gaan worden en dat dat het karakter van incidentele monitoring zou kunnen ontstijgen. Verder droeg het doel waarvoor de camerabeelden werden gemaakt bij aan een verhoogd risico voor de rechten en vrijheden van personen. Er werd namelijk beoogd om personen te identificeren en een overtreding van de noodverordening kon leiden tot het opleggen van een boete. Daarnaast konden de beelden, naast live uitgekeken te worden, ook worden doorgestuurd en bewaard.
Heeft de politie tijdig voldaan aan de GEB-verplichting?
12. De politie voert aan dat de AP ten onrechte stelt dat de GEB verplicht was vanaf 26 april 2020, het moment waarop de MCA’s opnieuw zijn gaan rijden. Er zijn namelijk pas op 29 mei 2020 voor het eerst persoonsgegevens verwerkt. Op dat moment was de GEB al afgerond.
13. De rechtbank overweegt dat uit artikel 4c, eerste lid, van de Wpg volgt dat een GEB moet zijn uitgevoerd voorafgaand aan een daadwerkelijke verwerking. Er is pas sprake van verwerking als de camera wordt aangezet door de bijzondere opsporingsambtenaar die de MCA bestuurt. Pas op dat moment kan er sprake zijn van een overtreding. De stelling van de AP dat een GEB moet zijn uitgevoerd voorafgaand aan een voorgenomen verwerkingsactiviteit, zelfs al zou achteraf blijken dat pas op een latere datum de daadwerkelijke verwerking plaatsvindt, volgt de rechtbank daarom niet.
14. Gelet op hetgeen zij hiervoor onder 8 en 9 heeft overwogen, is de rechtbank van oordeel dat er politiegegevens zijn verwerkt op 20 mei 2020, terwijl op dat moment de GEB nog niet was uitgevoerd. De politie heeft de GEB-verplichting daarom overtreden op 20 mei 2020. Na 26 mei 2020 was de GEB afgerond, zodat de verwerking van politiegegevens op 29 mei 2020 niet tot een overtreding leidt.
Heeft de politie materieel voldaan aan de GEB-verplichting?
15. De politie vindt dat zij materieel heeft voldaan aan de GEB-verplichting. Het inzetkader, al dan niet in combinatie met de pre-GEB, bevat een GEB-beoordeling. Ook is materieel gevolg gegeven aan de GEB-vereisten.
16. De rechtbank is van oordeel dat de AP voldoende heeft onderbouwd dat het inzetkader diverse essentiële wettelijk voorgeschreven elementen mist, zoals een beoordeling van de risico’s voor de rechten en vrijheden van de betrokkenen en de beoogde maatregelen ter beperking van de risico’s voor de betrokkenen. De AP stelt terecht dat in het inzetkader weliswaar maatregelen zijn geformuleerd, maar dat onduidelijk is welke risico’s er worden gezien en als gevolg daarvan of de beoogde maatregelen ter beperking van deze risico’s adequaat zijn.
Is sprake van een rechtvaardigingsgrond?
17. De politie voert aan dat is sprake van een rechtvaardigingsgrond. [7] Zij beroept zich op overmacht in de zin van noodtoestand. Rotterdam werd geconfronteerd met een ernstige COVID-19 uitbraak en een overbelaste gezondheidszorg. Er was sprake van een onhoudbare situatie. Zij moest de GEB-plicht naleven, maar had ook de maatschappelijke verantwoordelijkheid om de publieke gezondheid te beschermen. Onder deze omstandigheden heeft zij ervoor gekozen het inzetkader vast te stellen. Door op efficiënte wijze gebruik te maken van de MCA’s heeft zij geprobeerd de onhoudbare situatie van de coronapandemie in te dammen. Door de MCA's strategisch in te zetten op locaties waar geen ander cameratoezicht was, en de camera’s alleen te activeren op vooraf afgesproken plekken, heeft zij de proportionaliteit en subsidiariteit gewaarborgd.
18. De rechtbank is van oordeel dat er geen sprake was van een overmacht situatie die rechtvaardigde dat de politie geen GEB opstelde voordat zij persoonsgegevens ging verwerken. De politie had voldoende tijd om een GEB uit te voeren. Hierbij neemt de rechtbank in aanmerking dat de politie wel het inzetkader heeft kunnen opstellen en op 10 mei 2020 ook een pré-GEB had uitgevoerd.
Kan de overtreding aan de politie worden verweten?
19. De politie voert aan dat de verwijtbaarheid ontbreekt en dat daarom geen boete kan worden opgelegd. [8] Artikel 4c, eerste lid, van de Wpg bevat een zeer open norm en de AP heeft nagelaten richtsnoeren uit te brengen of anderszins voorlichting te geven over wanneer een GEB uitgevoerd zou moeten worden. Daarnaast was sprake van een ongekende crisissituatie en is het niet verwijtbaar dat een formeel vereiste niet helemaal tijdig zou zijn nageleefd. Verder wijst zij erop dat de inzet van de MCA's op initiatief van de gemeente Rotterdam heeft plaatsgevonden. Eerst zonder formele betrokkenheid van de politie en daarna grotendeels nog steeds door (handhavers van) de gemeente Rotterdam. Relevant is daarbij ook dat de politie voor wat betreft de handhaving van de openbare orde ondergeschikt is aan dan wel onder gezag staat van de burgemeester.
20. Naar het oordeel van de rechtbank is de overtreding verwijtbaar. Er is geen sprake van een onduidelijke norm. Zoals hiervoor is overwogen lag het voor de hand om zoveel mogelijk aan te sluiten bij de normuitleg die de AP heeft gegeven voor artikel 35, vierde lid, van de AVG. Daarbij heeft het Europees Comité voor Gegevensbescherming specifiek over videobewaking aangegeven dat het redelijk is om aan te nemen dat voor veel gevallen van videobewaking een GEB vereist is. [9] Het feit dat de inzet van de MCA’s plaatsvond tijdens een crisissituatie leidt niet zonder meer tot de conclusie dat de verwijtbaarheid ontbreekt. Dat bij de inzet van de MCA’s ook de gemeente betrokken was, zoals door de politie is gesteld, doet er niet aan af dat voor de politie de verplichting gold om voorafgaande aan de verwerking van persoonsgegevens een GEB uit te voeren en dat zij daaraan niet heeft voldaan. De AP stelt terecht dat de politie niet aannemelijk heeft gemaakt dat deze overtreding vanwege de gezagsverhouding tussen de politie en de burgemeester niet aan haar zou kunnen worden verweten.
Is sprake van een onevenredig hoge boete?
21. De politie vindt dat de boete niet evenredig is gelet op de aard, geringe ernst en geringe duur van de overtreding. De AP heeft de boete met slechts € 6.500,- verlaagd, omdat erkend werd dat er snel gehandeld moest worden door de coronacrisis. De duur van de overtreding staat niet vast en daardoor kan het door de AP vastgestelde aantal van 43 dagen niet in de ernst van de overtreding worden betrokken, nog afgezien van het feit dat dit aantal ook de dagen omvat waarop de gemeente Rotterdam zonder betrokkenheid van de politie de MCA’s had ingezet. Daarnaast is met het inzetkader en de pre-GEB voldoende rekening gehouden met de gegevensbeschermingseffecten. De camera’s hebben slechts zeer sporadisch aangestaan en de beelden hebben niet tot verbalisering of nadeel voor de betrokkenen geleid. De politie heeft er redelijkerwijs alles aan gedaan om de gevolgen zo beperkt mogelijk te houden. Zij heeft uit eigen beweging iedere medewerking geboden aan de AP en heeft ruimschoots laten zien materieel aan de geldende vereisten te (willen) voldoen en te zorgen voor een goed gegevensbeschermingskader. Van opzet of ernstig verwijtbaar handelen was geen sprake. Vanwege de ernstige onzorgvuldigheden in het bestreden besluit en onjuiste grondslag van de inzet van toezichtsbevoegdheden door de AP moet de boete volledig worden herroepen. Ten slotte had de AP binnen 13 weken na het opstellen van het onderzoeksrapport het primaire besluit moeten nemen volgens artikel 5:51, eerste lid, van de Awb, terwijl dit een jaar heeft geduurd. Ook is de redelijke termijn van artikel 6 van het Verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) overschreden.
22. De rechtbank overweegt dat de AP de hoogte van de boete moet afstemmen op de ernst van de overtreding en de mate waarin deze aan de overtreder kan worden verweten. Daarbij moet het bestuursorgaan rekening houden met de omstandigheden waaronder de overtreding is gepleegd. Dit is geregeld in artikel 5:46, tweede lid, van de Awb.
23. Bij het vaststellen van de hoogte van de boete is de AP uitgegaan van de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 (de Boetebeleidsregels). Volgens de Boetebeleidsregels [10] gaat de AP voor een overtreding van artikel 4c van de Wpg uit van een basisbedrag van € 56.500,-. De basisboete kan worden verhoogd of verlaagd afhankelijk van de mate waarin de factoren die zijn genoemd in artikel 35c, tweede lid, van de Wpg en artikel 7 van de Boetebeleidsregels daartoe aanleiding geven. De rechtbank vindt de Boetebeleidsregels 2019 in hun algemeenheid niet onredelijk.
24. De rechtbank is net als de AP van oordeel dat sprake is van een ernstige overtreding. Hierbij is van belang dat de MCA’s zijn ingezet nadat besloten was een GEB uit te voeren en deze nog niet was afgerond. Dat de politie het inzetkader heeft opgesteld maakt de overtreding niet minder ernstig. Zoals hiervoor is overwogen voldeed het inzetkader niet aan -belangrijke- vereisten voor een GEB. De AP heeft bij het bepalen van de hoogte van de boete echter ten onrechte als uitgangspunt genomen dat de MCA’s 43 dagen zijn ingezet. De rechtbank heeft hiervoor overwogen dat er maar ten aanzien van één dag een overtreding is vastgesteld. Er is daarom sprake van een geringe duur van de overtreding. Ook is de kans op herhaling van de overtreding bijzonder klein. De inzet van de MCA’s is immers stopgezet. Gelet hierop vindt de rechtbank de boete van € 50.000,- niet evenredig. De rechtbank acht een boete van € 30.000,- in dit geval passend en geboden. Daarbij heeft de rechtbank meegewogen dat de AP als strafverlichtende omstandigheid heeft aangemerkt dat de MCA’s werden ingezet aan het begin van de COVID-19 uitbraak.
25. Er bestaat geen aanleiding de boete verder te matigen vanwege de medewerking van de politie aan het onderzoek. Zoals de AP heeft gesteld, is de inzet van de MCA’s en de verwerking van persoonsgegevens niet vanwege het onderzoek beëindigd. Dat de AP in eerste instantie met de gemeente Rotterdam heeft gecommuniceerd ziet de rechtbank evenmin als een boetematigende omstandigheid. De AP stelt terecht dat de politie een eigen verantwoordelijkheid heeft om zich te houden aan haar wettelijke verplichtingen. Dat de AP ten onrechte de AVG als grondslag heeft genoemd voor het vorderen van de camerabeelden maakt ook niet dat de boete volledig moet worden herroepen of moet worden gematigd. De AP was bevoegd de camerabeelden te vorderen.
26. De overschrijding van de termijn bedoeld in artikel 5:51, eerste lid, van de Awb geeft ook geen aanleiding om de boete verder te matigen. Dit is een termijn van orde, zodat aan de overschrijding daarvan geen consequenties zijn verbonden. [11] De rechter kan de overschrijding van deze termijn wel verdisconteren in de hoogte van de boete, maar de rechtbank ziet hier geen aanleiding toe. Daarbij weegt de rechtbank mee dat de AP kort na het opmaken van het boeterapport een voornemen tot handhaving aan de politie heeft gestuurd, zodat snel duidelijk was dat zij een boete zou gaan opleggen. Ten slotte kan de politie geen beroep doen op het EVRM
.De in het EVRM opgenomen rechten zijn niet bedoeld voor de bescherming van de overheid. [12]
.De in het EVRM opgenomen rechten zijn niet bedoeld voor de bescherming van de overheid. [12]
Conclusie en gevolgen
27. Het beroep is gegrond, omdat het bestreden besluit in strijd is met artikel 5:46, tweede lid, van de Awb. De rechtbank vernietigt daarom het bestreden besluit.
28. De rechtbank neemt met toepassing van artikel 8:72, derde lid, aanhef en onder b, van de Awb nu zelf een beslissing. De rechtbank herroept het primaire besluit voor zover daarin de boete is vastgesteld op € 50.000,- . De rechtbank bepaalt dat de boete wordt vastgesteld op € 30.000,- en dat deze uitspraak in de plaats treedt van het vernietigde besluit.
29. Omdat het beroep gegrond is, moet de AP het griffierecht aan de politie vergoeden en krijgt de politie ook een vergoeding van haar proceskosten. De vergoeding is met toepassing van het Besluit proceskosten bestuursrecht als volgt berekend. Voor de rechtsbijstand door een gemachtigde krijgt de politie een vast bedrag per proceshandeling. In beroep heeft elke proceshandeling een waarde van € 875,-. Namens de politie is een beroepschrift ingediend en is aan de zitting van de rechtbank deelgenomen. De vergoeding bedraagt dan in totaal € 1.750,-. Verder zijn er geen kosten gemaakt die vergoed kunnen worden.
Beslissing
De rechtbank:
- verklaart het beroep gegrond;
- vernietigt het besluit van 6 november 2023;
- herroept het besluit van 17 november 2022 voor zover daarin de boete is vastgesteld op
€ 50.000,-;
- bepaalt dat de boete wordt vastgesteld op € 30.000,- en bepaalt dat deze uitspraak in de plaats komt van het vernietigde besluit;
- bepaalt dat de AP het griffierecht van € 365,- aan de politie moet vergoeden;
- veroordeelt de AP in de proceskosten van de politie tot een bedrag van € 1.750,-.
Deze uitspraak is gedaan door mr. D.C. Laagland, voorzitter, en mr. M.D. Gunster en
mr. P.T. Heblij, leden, in aanwezigheid van mr. M. de Graaf, griffier. De uitspraak is uitgesproken in het openbaar op 8 oktober 2024.
griffier
voorzitter
Een afschrift van deze uitspraak is verzonden aan partijen op:
Informatie over hoger beroep
Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen.
Bijlage
Wet politiegegevens
Artikel 1. (definities)
In deze wet en de daarop berustende bepalingen wordt verstaan onder:
a. politiegegeven: elk persoonsgegeven dat wordt verwerkt in het kader van de uitvoering van de politietaak, bedoeld in de artikelen 3 en 4 van de Politiewet 2012, met uitzondering van:
–de uitvoering van wettelijke voorschriften anders dan de Wet administratiefrechtelijke handhaving verkeersvoorschriften;
–de bij of krachtens de Vreemdelingenwet 2000 opgedragen taken, bedoeld in artikel 1, eerste lid, onderdeel i, onder 1° en artikel 4, eerste lid, onderdeel f, van de Politiewet 2012;
b.persoonsgegeven: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon;
c. verwerken van politiegegevens: elke bewerking of elk geheel van bewerkingen met betrekking tot politiegegevens of een geheel van politiegegevens, al dan niet uitgevoerd op geautomatiseerde wijze, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, samenbrengen, met elkaar in verband brengen, afschermen of vernietigen van politiegegevens;
[…]
f. verwerkingsverantwoordelijke: dit is bij:
1°.de politie: de korpschef, bedoeld in artikel 27 van de Politiewet 2012;
[…]
o. bestand: elk gestructureerd geheel van politiegegevens dat volgens bepaalde criteria toegankelijk is, ongeacht of dit geheel van gegevens gecentraliseerd of gedecentraliseerd is, dan wel verspreid op een functioneel of geografisch bepaalde wijze;
[…].
Artikel 4c (gegevensbeschermingseffectbeoordeling)
1. Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de omvang, de context of doelen ervan, waarschijnlijk een hoog risico voor de rechten en vrijheden van personen oplevert, voert de verwerkingsverantwoordelijke voorafgaande aan de verwerking een beoordeling uit van het effect van de voorgenomen verwerkingsactiviteiten op de bescherming van persoonsgegevens.
2. De beoordeling bevat tenminste:
a. een algemene beschrijving van de beoogde verwerkingen;
b. een beoordeling van de risico’s voor de rechten en vrijheden van betrokkenen;
c. de beoogde maatregelen ter beperking van de risico’s;
d. de voorzorgs- en beveiligingsmaatregelen en mechanismen om de politiegegevens te beschermen en aan te tonen dat aan het bij of krachtens deze wet bepaalde is voldaan, met inachtneming van de rechten en gerechtvaardigde belangen van de betrokkenen en andere betrokken personen.
[…].
Artikel 35 (toezicht Autoriteit persoonsgegevens)
1. De Autoriteit persoonsgegevens, bedoeld in artikel 6, eerste lid, van de Uitvoeringswet Algemene verordening gegevensbescherming, ziet in het Europese deel van Nederland toe op de verwerking van politiegegevens overeenkomstig het bij en krachtens deze wet bepaalde.
[…].
Artikel 35c (bevoegdheden Autoriteit persoonsgegevens)
1. De Autoriteit persoonsgegevens is bevoegd:
a. de verwerkingsverantwoordelijke of de verwerker te waarschuwen dat met de voorgenomen verwerkingen waarschijnlijk een inbreuk wordt gemaakt op het bij of krachtens deze wet bepaalde;
b. een last onder bestuursdwang op te leggen ter handhaving van het bij of krachtens deze wet bepaalde;
c. een bestuurlijke boete op te leggen indien de verwerkingsverantwoordelijke handelt in strijd met hetgeen is bepaald bij of krachtens:
–de artikelen 4a, 4b, 4c, 6c, 31d, 32, 33a, 33b en 36 van ten hoogste het bedrag van de geldboete van de vijfde categorie van artikel 23, vierde lid, van het Wetboek van Strafrecht;
[…].
2. Bij het besluit over het opleggen van een bestuurlijke boete, bedoeld in het vierde lid, en over de hoogte daarvan wordt voor elk concreet geval naar behoren rekening gehouden met:
a. a) de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;
b) de opzettelijke of nalatige aard van de inbreuk;
c) de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;
d) de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 4a en 4b;
e) eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;
f) de mate waarin er met de Autoriteit persoonsgegevens is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
g) de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
h) de wijze waarop de Autoriteit persoonsgegevens kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;
i. i) de naleving van de in het eerste lid genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen.
[…].
Richtlijn (EU) 2016/680
Artikel 27 Gegevensbeschermingseffectbeoordeling
1. Wanneer een soort verwerking, in het bijzonder een verwerking waarbij nieuwe technologieën worden gebruikt, gelet op de aard, de reikwijdte, de context of de doeleinden daarvan, waarschijnlijk een hoog risico voor de rechten en vrijheden van natuurlijke personen oplevert, voorzien de lidstaten erin dat de verwerkingsverantwoordelijke vóór de verwerking een beoordeling verricht van het effect van de beoogde verwerkingsactiviteiten op de bescherming van persoonsgegevens.
2. De in lid 1 bedoelde beoordeling bevat ten minste een algemene beschrijving van de beoogde verwerkingen, een beoordeling van de risico's voor de rechten en vrijheden van de betrokkenen, de beoogde maatregelen ter beperking van de risico's, de voorzorgsmaatregelen, de beveiligingsmaatregelen en de mechanismen die zijn ingesteld om de persoonsgegevens te beschermen en aan te tonen dat aan deze richtlijn is voldaan, met inachtneming van de rechten en legitieme belangen van de betrokkenen en andere betrokken personen.
Artikel 57 Straffen
De lidstaten stellen de regeling vast betreffende de straffen die van toepassing zijn op inbreuken op deze richtlijn en treffen alle nodige maatregelen om ervoor te zorgen dat zij worden toegepast. De vastgestelde straffen moeten doeltreffend, evenredig en afschrikkend zijn.
Algemene wet bestuursrecht
Artikel 5:5
Het bestuursorgaan legt geen bestuurlijke sanctie op voor zover voor de overtreding een rechtvaardigingsgrond bestond.
Artikel 5:41
Het bestuursorgaan legt geen bestuurlijke boete op voor zover de overtreding niet aan de overtreder kan worden verweten.
Artikel 5:46
1. De wet bepaalt de bestuurlijke boete die wegens een bepaalde overtreding ten hoogste kan worden opgelegd.
2. Tenzij de hoogte van de bestuurlijke boete bij wettelijk voorschrift is vastgesteld, stemt het bestuursorgaan de bestuurlijke boete af op de ernst van de overtreding en de mate waarin deze aan de overtreder kan worden verweten. Het bestuursorgaan houdt daarbij zo nodig rekening met de omstandigheden waaronder de overtreding is gepleegd.
[…].
Artikel 5:51
1. Indien van de overtreding een rapport is opgemaakt, beslist het bestuursorgaan omtrent het opleggen van de bestuurlijke boete binnen dertien weken na de dagtekening van het rapport.
[…].
Boetebeleidsregels Autoriteit Persoonsgegevens 2019
Artikel 5. Categorie-indeling en boetebandbreedtes
5.1
De bepalingen ter zake van overtreding waarvan de Autoriteit Persoonsgegevens een bestuurlijke boete van ten hoogste het bedrag van de geldboete van de vijfde categorie van artikel 23, vierde lid, van het Wetboek van Strafrecht (per 1 januari 2018: € 83.000) kan opleggen, zijn in bijlage 5 ingedeeld in categorie I, categorie II of categorie III.
5.2
De Autoriteit Persoonsgegevens stelt de basisboete voor overtredingen waarvoor een wettelijk boetemaximum geldt van € 83.000 vast binnen de volgende boetebandbreedtes:
Categorie I Boetebandbreedte tussen € 0 en € 25.000 Basisboete: € 12.500
Categorie II Boetebandbreedte tussen € 15.000 en € 50.000 Basisboete: € 32.500
Categorie III Boetebandbreedte tussen € 30.000 en € 83.000 Basisboete: € 56.500
5.3
De hoogte van de basisboete wordt vastgesteld op het minimum van de bandbreedte vermeerderd met de helft van de bandbreedte van de aan een overtreding gekoppelde boetecategorie.
Artikel 7. Relevante factoren
Onverminderd de artikelen 3:4 en 5:46 van de Algemene wet bestuursrecht houdt de Autoriteit Persoonsgegevens rekening met de factoren genoemd onder a tot en met k, voor zover in het concrete geval van toepassing:
a. a) de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;
b) de opzettelijke of nalatige aard van de inbreuk;
c) de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;
d) de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32 van de Algemene verordening gegevensbescherming;
e) eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;
f) de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
g) de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
h) de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;
i. i) de naleving van de in artikel 58, tweede lid, van de Algemene verordening gegevensbescherming genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen;
j) het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 van de Algemene verordening gegevensbescherming of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42 van de Algemene verordening gegevensbescherming; en
k) elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien.