ECLI:NL:RBGEL:2023:4071

Uitspraak

RECHTBANK GELDERLAND

Zittingsplaats Arnhem

Bestuursrecht

zaaknummer: ARN 20/2537

uitspraak van de meervoudige kamer van

in de zaak tussen

Stichting Bureau Krediet Registratie ( BKR ), uit Tiel,

(gemachtigden: mr. E.E. Troll en mr. H.H. de Vries),

de Autoriteit Persoonsgegevens,

(gemachtigden: mr. W. van Steenbergen en mr. E. Nijhof).

Inleiding

1. In deze uitspraak beoordeelt de rechtbank het beroep van BKR tegen de bestuurlijke boete van € 830.000 die haar is opgelegd door de autoriteit wegens overtredingen van artikel 12, tweede en vijfde lid, van de Algemene verordening gegevensbescherming (AVG). Deze boete heeft de autoriteit opgelegd met zijn besluit van 30 juli 2019.

1.1.

Met het bestreden besluit van 8 april 2020 is de autoriteit bij dat besluit gebleven.^[1]

1.2.

De autoriteit heeft op het beroep gereageerd met een verweerschrift. BKR heeft met een schriftelijke reactie gereageerd op het verweerschrift.

1.3.

De rechtbank heeft de beroepen op 25 mei 2023 op zitting behandeld. Namens BKR zijn verschenen: [naam] , [naam] , [naam] en [naam] , bijgestaan door de gemachtigden en mr. S.A.M. Meijer. Namens de autoriteit zijn verschenen: zijn gemachtigde en mr. E. Nijhof.

1.4.

Op 26 mei 2023 heeft de rechtbank van BKR een nader stuk ontvangen, inhoudende een schriftelijke weergave van het namens haar gehouden slotpleidooi, met het verzoek dit bij de stukken in geding te betrekken. De rechtbank wijst dit verzoek af, omdat het stuk is ontvangen nadat het onderzoek op zitting is gesloten.

Beoordeling door de rechtbank

2. De rechtbank beoordeelt de rechtmatigheid van de opgelegde boete. Zij doet dat aan de hand van de beroepsgronden van BKR .

2.1.

De boete is opgelegd omdat volgens de autoriteit BKR twee overtredingen heeft begaan. De autoriteit is van oordeel dat BKR artikel 12, vijfde lid, van de AVG vanaf 25 mei 2018 tot en met 28 april 2019 heeft overtreden, omdat zij niet kosteloos op elektronische wijze inzage in persoonsgegevens heeft gegeven aan betrokkenen in het kader van het recht op inzage. Daarnaast is de autoriteit tot de conclusie gekomen dat BKR tussen 25 mei 2018 tot en met 12 maart 2019 artikel 12, tweede lid, van de AVG heeft overtreden, doordat BKR het recht van inzage ingevolge artikel 15 van de AVG niet heeft gefaciliteerd. BKR droeg actief het beleid uit dat een betrokkene eenmaal per jaar zonder kosten schriftelijk inzage kon krijgen in de persoonsgegevens.

3. De rechtbank komt tot het oordeel dat de autoriteit een boete aan BKR mocht opleggen wegens overtredingen van de AVG
.Wel ziet de rechtbank aanleiding om de opgelegde boete te matigen. Het is beroep is in zoverre gegrond. Hierna legt de rechtbank uit hoe zij tot dit oordeel komt en welke gevolgen dit oordeel heeft.

Heeft BKR artikel 12, vijfde lid van de AVG overtreden?

4. De autoriteit heeft aan het standpunt dat BKR artikel 12, vijfde lid, van de AVG heeft overtreden ten grondslag gelegd dat zij in de betreffende periode betrokkenen liet betalen voor elektronische inzage in hun persoonsgegevens. Betrokkenen konden via de betaalde diensten BKR Basis, Plus of Premium inzage krijgen in hun kredietinformatie.

4.1.

BKR betoogt dat zij artikel 12, vijfde lid, van de AVG niet heeft overtreden. Zij heeft invulling gegeven aan het recht op inzage van betrokkenen door hen de mogelijkheid te bieden om een schriftelijk verzoek om inzage te doen via een door BKR verstrekt inzageformulier. De gevraagde informatie werd dan schriftelijk naar hun huisadres verzonden. Daarmee heeft zij aan de AVG voldaan, want deze verplicht niet tot het bieden van kosteloze elektronische inzage, al helemaal niet in onbeperkte vorm. Als betrokkenen vaker dan één keer per jaar inzage wensten kon dat op elektronische wijze, met de betaalde diensten. Betaling was in dat geval toegestaan omdat het in het geval van buitensporige verzoeken is toegestaan om een redelijke vergoeding te vragen voor administratieve kosten. Uit de eigen ervaringscijfers van BKR volgt dat betrokkenen gemiddeld niet meer dan een keer per jaar inzage vragen in hun persoonsgegevens. Als betrokkenen meer dan eens per jaar inzage willen, kan dit worden aangemerkt als een buitensporig verzoek waar BKR kosten voor in rekening mocht brengen. De betaalde diensten die BKR aanbood moeten dus worden gezien als onverplichte diensten, dan wel diensten waarvoor BRK een vergoeding mocht vragen.

4.2.

Uit de AVG volgt dat een betrokkene het recht heeft om van de verwerkingsverantwoordelijke inzage te verkrijgen in de hem betreffende persoonsgegevens die door de verwerkingsverantwoordelijke worden verwerkt.^[2]De verwerkingsverantwoordelijke is gehouden een kopie te verstrekken van de persoonsgegevens die worden verwerkt. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.^[3]Op grond van artikel 12, vijfde lid van de AVG geschiedt die verstrekking in beginsel kosteloos. De verwerkingsverantwoordelijke kan een redelijke vergoeding in rekening brengen als het verzoek kennelijk ongegrond of buitensporig is.

4.3.

De beroepsgrond slaagt niet. Uit artikel 12 derde lid, en 15, derde lid van de AVG volgt dat als betrokkenen een verzoek om inzage elektronisch indienen, BKR deze informatie indien mogelijk in elektronische vorm moet verstrekken. Uit overweging 59 van de AVG blijkt daarbij dat een verwerkingsverantwoordelijke als BKR middelen moet verstrekken om verzoeken elektronisch in te dienen, “vooral wanneer persoonsgegevens langs elektronische weg worden verwerkt”. Aangezien de verwerking van persoonsgegevens door BKR juist elektronisch geschiedt, diende zij een elektronische inzagemogelijkheid voorhanden te hebben. Vervolgens volgt uit artikel 12, vijfde lid, van de AVG dat de verstrekking van inzage als hoofdregel kosteloos moet geschieden. Het door BKR gehanteerde systeem, waarbij een betrokkene voor elektronische inzage een abonnement moest afsluiten, is hiermee in strijd. De stelling van BKR dat het vragen van een vergoeding in dit geval gerechtvaardigd is, omdat onbeperkte inzage wordt gegeven en zij in het geval van buitensporige verzoeken een vergoeding mag vragen, slaagt niet. In het door BKR gehanteerde systeem diende de betrokkene immers ook bij zijn allereerste elektronische inzageverzoek, dat evident geen buitensporig karakter had, het abonnementsgeld te betalen. Daarmee heeft zij de mogelijkheid van kosteloze elektronische inzage, in strijd met de AVG, volledig uitgesloten.

Heeft BKR artikel 12, tweede lid van de AVG overtreden?

5. De autoriteit heeft aan de overtreding van artikel 12, tweede lid van de AVG ten grondslag gelegd dat BKR actief aan betrokkenen heeft uitgedragen dat de mogelijkheid om kosteloze inzage te krijgen in de persoonsgegevens beperkt is tot één keer per jaar. Zij wijst daarbij op de privacyverklaring van BKR . Daarin was destijds het volgende opgenomen:

“Iedereen heeft het recht om één keer per jaar kosteloos alle persoons- en kredietgegevens die in het CKI zijn geregistreerd in te zien. De inzage wordt op papier verstrekt op het opgegeven huisadres. [...]

Indien u inzage wilt hebben in uw gegevens in het PEP-registratiesysteem, kunt u hetzelfde formulier gebruiken als voor inzage in uw persoonsgegevens in het Centraal Krediet Informatiesysteem (CKI) Ook deze inzage wordt één keer per jaar kosteloos gegeven. […]

Indien u inzage wilt hebben in uw gegevens in het VIS-registratiesysteem, kunt u hetzelfde formulier gebruiken als voor inzage in uw persoonsgegevens in het Centraal Krediet Informatiesysteem (CKI). Ook deze inzage wordt één keer per jaar kosteloos gegeven.”

Daarnaast wijst de autoriteit op de vermeldingen op de website van BKR . Hierop stond het volgende vermeld:

“U kunt een keer per jaar kosteloos inzage doen in uw gegevens. Wilt u snel inzicht of heeft u het overzicht nodig voor kredietaanvragen? Kies dan voor BKR Basis, Plus of Premium. De AVG inzage wordt binnen 28 dagen op papier aangeleverd.”

Tot slot verwijst de autoriteit naar e-mails die BKR aan betrokkenen heeft verstuurd. Ook hierin stelt BKR expliciet dat het recht op kosteloze inzage beperkt is tot eenmaal per jaar. Volgens de autoriteit maakt dit door BKR actief uitgedragen beleid dat zij het recht op inzage niet heeft gefaciliteerd. Dit levert een overtreding op van artikel 12, tweede lid van de AVG.

5.1.

BKR betoogt dat zij met het bieden van een kosteloze schriftelijke inzagemogelijkheid van één keer per jaar voldeed aan de verplichtingen uit de AVG. Door betrokkenen te wijzen op dit recht en een inzageformulier aan te bieden op haar website heeft BKR het inzagerecht gefaciliteerd. Het standpunt van de autoriteit dat BKR daarbij een onjuiste interpretatie hanteert van het begrip “buitensporig karakter” en dat er geen sprake is van “faciliteren”, volgt niet uit de AVG. Voor zover al sprake zou zijn van een overtreding, betoogt BKR dat het opleggen van een boete in strijd zou zijn met het lex certa-beginsel. De AVG kent een aantal open normen en vage begrippen die ten tijde van het opleggen van de boete ook nog niet verder door jurisprudentie waren ingevuld. BKR kon daarom niet weten wat er van haar verwacht werd.

5.2.

Volgens vaste rechtspraak^[4]verlangt het lex certa-beginsel, dat onder meer besloten ligt in artikel 7 van het EVRM, van de wetgever dat hij met het oog op de rechtszekerheid op een zo duidelijk mogelijke wijze de verboden gedraging omschrijft. Daarbij moet niet uit het oog worden verloren dat de wetgever soms met een zekere vaagheid, bestaande uit het gebruik van algemene termen, verboden gedragingen omschrijft om te voorkomen dat gedragingen die strafwaardig zijn buiten het bereik van die omschrijving vallen. Die vaagheid kan onvermijdelijk zijn, omdat niet altijd te voorzien is op welke wijze de te beschermen belangen in de toekomst zullen worden geschonden en omdat, indien dit wel is te voorzien, de omschrijvingen van verboden gedragingen anders te verfijnd worden met als gevolg dat de overzichtelijkheid wegvalt en daarmee het belang van de algemene duidelijkheid van wetgeving schade lijdt.

5.2.1.

Op grond van artikel 12, tweede lid van de AVG dient de verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22 te faciliteren. De AVG kent geen definitie van het begrip “faciliteren”. Volgens het Van Dale Groot Woordenboek kan dit begrip zowel “vereenvoudigen” als “mogelijk maken” betekenen. Toch is voldoende duidelijk wat onder dit begrip moet worden verstaan. Zoals de autoriteit terecht stelt onder verwijzing naar het arrest Cilfit,^[5]kan voor de uitleg van begrippen in Europeesrechtelijke regelingen steun worden gevonden in de vergelijking van verschillende taalversies. Uit de Engelse (
facilitate), Franse (
faciliter) en Duitse (
erleichtern) taalversies volgt onmiskenbaar dat faciliteren in dit geval moet worden uitgelegd als “vereenvoudigen”. Dit vindt steun in overweging 59 van de AVG, waarin is verwoord dat “regelingen voorhanden [dienen] te zijn om de betrokkene in staat te stellen zijn rechten uit hoofde van deze verordening gemakkelijker uit te oefenen”. Tot slot wijst ook de systematiek van artikel 12, eerste en tweede lid, op deze uitleg. In het eerste lid is namelijk al beschreven dat de verwerkingsverantwoordelijke passende maatregelen moet nemen om de betrokkene de communicatie zoals bedoeld in (onder meer) artikel 15 te verstrekken op een transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in eenvoudige taal. Als onder het begrip “faciliteren” in het tweede lid enkel het “mogelijk maken” moest worden begrepen, zou dit artikellid ten opzichte van het eerste lid geen toegevoegde waarde hebben.

5.2.2.

Het voorgaande leidt tot het oordeel dat voor de vraag of BKR in overeenstemming gehandeld heeft met artikel 12, tweede lid van de AVG, bepalend of BKR het uitoefenen van de daarin genoemde rechten van betrokkenen heeft vereenvoudigd.

5.3.

Voor het antwoord op die vraag is vervolgens van belang of de onder 5 genoemde uitlatingen van BKR in overeenstemming zijn met de AVG. Daarover overweegt de rechtbank als volgt.

5.3.1.

BKR heeft het door haar uitgedragen standpunt dat betrokkenen recht hadden op eenmaal kosteloze inzage per jaar gebaseerd op haar lezing van het begrip “buitensporig”, in de zin van artikel 12, vijfde lid van de AVG. Uit dit artikel volgt dat met name het repetitieve karakter van verzoeken maakt dat deze als buitensporig kunnen worden aangemerkt. Volgens BKR is de strekking hiervan gelijk aan de zinsnede in overweging 63 van de AVG, waarin verwoord is dat een betrokkene het recht heeft om “met redelijke tussenpozen” het recht op inzage uit te oefenen. Hiermee wordt hetzelfde bedoeld als de redelijke tussenpozen genoemd in artikel 12 van Richtlijn 95/46/EG (de Databeschermingsrichtlijn) die voorafging aan de AVG. Dit artikel was in Nederland omgezet in artikel 35 van de Wet bescherming persoonsgegevens (Wbp). In de Memorie van Toelichting bij die wet was beschreven dat als gevolg van die redelijke tussenpozen het de betrokkene niet is toegestaan de verantwoordelijke meer dan gemiddeld en noodzakelijk te benaderen met een verzoek om informatie. Volgens BKR ligt het gemiddelde van verzoeken om inzage binnen haar branche op eens per jaar.

5.3.2.

BKR geeft met het bovenstaande blijk van een onjuiste lezing van artikel 12, vijfde lid van de AVG. In het artikel is immers bepaald dat het aan de verwerkingsverantwoordelijke is om de kennelijk ongegronde of buitensporige aard van het
verzoekaan te tonen. Met een enkele verwijzing naar een gemiddeld aantal verzoeken per jaar is nog niet aangetoond dat een tweede of volgend concreet verzoek buitensporig is. Dit vergt ook een beoordeling van de feiten en omstandigheden die verband houden met het individuele verzoek, waarvoor de handelwijze van BKR geen ruimte biedt.

Daargelaten of de stelling van BKR juist is dat haar klanten gemiddeld niet vaker dan eens per jaar vragen om inzage in hun persoonsgegevens, betekent dit niet dat dit voor groepen van klanten niet anders kan zijn. Er kan namelijk geenszins worden uitgesloten dat veel klanten van BKR niet of nauwelijks om inzage vragen, terwijl anderen op enig moment in hun leven behoefte hebben aan meerdere inzagen kort na elkaar. Daarbij is van belang dat BKR gegevens verwerkt die naar hun aard op korte termijn kunnen wijzigen. Voor zover bij de uitleg van het begrip buitensporig al kan worden aangehaakt bij wat gebruikelijk is, kan dus niet worden aangehaakt bij het gemiddeld aantal inzageverzoeken van gehele klantenbestand van BKR , maar moet worden gekeken naar de relevante groep waartoe de betreffende aanvrager behoort. Dat veel klanten niet voldoende hebben aan één inzage per jaar blijkt ook wel uit de erkenning van BKR in haar beroepschrift en op zitting dat het niet snel voorkomt dat een consument een abonnement afsluit om er vervolgens maar één keer gebruik van te maken. Bij (in ieder geval een deel van) de klanten van haar betaalde dienst bestaat dus een behoefte aan meerdere malen inzage per jaar. Een werkwijze waarbij in alle gevallen waarin een tweede verzoek in hetzelfde jaar is ingediend op voorhand wordt uitgegaan van ‘kennelijke’ buitensporigheid, is dus in strijd met artikel 12, vijfde lid, van de AVG. Dit volgt voldoende duidelijk uit het artikel zelf.

5.3.3.

De verwijzing naar de Memorie van Toelichting bij de voorheen geldende Wbp treft ook geen doel. De enkele omstandigheid dat in de considerans van de AVG ook de bewoording “redelijke tussenpozen” wordt gebruikt en dat in diezelfde considerans in algemene zin gesteld wordt dat de doelstellingen van Richtlijn 95/46/EG gehandhaafd blijven, maakt niet dat dit bepalend is voor de uitleg van het begrip “kennelijk buitensporig” in de zin van artikel 12, vijfde lid van de AVG.

5.3.4.

Anders dan BKR betoogt wordt haar lezing van artikel 12, vijfde lid van de AVG niet ondersteund door artikel 15, derde lid van de AVG, voor zover daarin is verwoord dat de verwerkingsverantwoordelijke een redelijke vergoeding mag aanrekenen voor “bijkomende kopieën”. Hier wordt gedoeld op een bijkomende kopie in het kader van hetzelfde verzoek om inzage. De AVG biedt geen steun voor het standpunt dat hier een tweede verzoek wordt bedoeld, of dat dit artikel als een bijzondere regel moet worden gezien die nadere invulling geeft aan het begrip ‘buitensporig’ in de zin van artikel 12, vijfde lid. Ook het door BKR aangehaalde arrest van het Hof van Justitie van 4 mei 2023^[6]ondersteunt dit standpunt niet. In dit arrest benadrukt het Hof weliswaar dat de term “kopie” slaat op de persoonsgegevens en niet verwijst naar een document als zodanig, maar overweegt zij ook dat het recht op inzage onder omstandigheden met zich meebrengt dat er uittreksels, of zelfs gehele afschriften van documenten verstrekt moeten worden. Dit staat de lezing dat het gaat om verstrekking van een bijkomende kopie in het kader van hetzelfde verzoek dus niet in de weg. Het arrest biedt aldus geen steun voor het standpunt dat ook een nieuw verzoek een “bijkomende kopie” zou vormen.

5.3.5.

Het door BKR geuite standpunt dat betrokkenen recht hadden op eenmalige kosteloze inzage per jaar in hun persoonsgegevens, is dus in strijd is met artikel 12, vijfde lid, van de AVG. Deze bepaling is op zichzelf voldoende duidelijk, zodat BKR had moeten inzien dat deze lezing niet juist was en van strijd met het lex certa-beginsel in zoverre ook geen sprake kan zijn. De autoriteit stelt in dit kader ook terecht dat van BKR als professionele organisatie mocht worden verwacht dat zij zich behoorlijk informeert over de voor haar geldende verplichtingen. Het betoog van BKR dat de regels ook voor de autoriteit niet duidelijk waren, nu de autoriteit aanvankelijk zelf alleen een inzagemogelijkheid per post aanbood, slaagt niet. Dit doet er immers niet aan af dat uit de AVG voor BKR voldoende duidelijk bleek wat er van haar verwacht werd. Bovendien is de situatie van BRK niet geheel vergelijkbaar met die van de autoriteit, nu het bij BKR juist ging om persoonsgegevens die geheel elektronisch werden verwerkt.

5.4.

De autoriteit stelt zich terecht op het standpunt dat BKR met het door haar actief uitgedragen beleid het inzagerecht van betrokkenen heeft belemmerd. Door herhaaldelijk en op verschillende plaatsen een te beperkte uitleg van het recht op inzage te verkondigen heeft BKR betrokkenen op het verkeerde been gezet, waardoor zij mogelijk van dit recht geen gebruik hebben gemaakt. Gelet op de onder 5.2.1. gegeven uitleg van het begrip “faciliteren” volgt hieruit dat BKR artikel 12, tweede lid van de AVG heeft overtreden. Aangezien het enkel uitdragen van dit beleid al een overtreding oplevert, kan de stelling van BKR dat zij in de praktijk in voorkomende gevallen ook bij een tweede inzageverzoek in hetzelfde jaar kosteloze inzage verstrekte, hier niet aan afdoen.

5.5.

De beroepsgrond slaagt niet.

Mocht de autoriteit overgaan tot het opleggen van een boete?

6. BKR betoogt subsidiair dat, ook al zou zij de AVG hebben overtreden, de autoriteit niet tot het opleggen van de boete mocht overgaan. De autoriteit had op basis van haar eigen Beleidsregels Prioritering klachtenonderzoek moeten volstaan met een waarschuwing. Aan het opleggen van de boete ligt een beperkt aantal klachten ten grondslag en in het bevindingenrapport dat de autoriteit ten grondslag heeft gelegd aan het boetebesluit staan overdrijvingen. BRK heeft zich voorts meewerkend opgesteld. Door haar desondanks een boete op te leggen, heeft de autoriteit in strijd gehandeld met het zorgvuldigheidsbeginsel en het gelijkheidsbeginsel. BKR verwijst in dit kader naar een aantal in haar ogen vergelijkbare procedures waarin de autoriteit niet tot een onderzoek is gekomen, of heeft volstaan met een berisping, dan wel een lagere boete. Daarbij wijst zij in het bijzonder op de wijze waarop de autoriteit is omgegaan met een vermeende overtreding van de Dienst Wegverkeer (de RDW). Ook daar ging het om een situatie waarin een organisatie volgens de autoriteit ten onrechte liet betalen voor de inzage in persoonsgegevens. Tot slot heeft de autoriteit aan BKR imagoschade toegebracht door haar uitlatingen in de media op het moment dat het onderzoek nog liep.

6.1.

De autoriteit stelt zich op het standpunt dat zij geen redengevend feit nodig heeft om onderzoek naar een vermeende overtreding te starten. Voldoende is dat er concrete signalen bestaan dat de AVG niet wordt nageleefd. De autoriteit moet vanwege haar beperkte toezicht- en handhavingscapaciteit zelf een afweging maken in welke zaken het opportuun is om een onderzoek in te stellen. In het geval van BKR waren de signalen die de autoriteit ontving voldoende aanleiding om te veronderstellen dat sprake was van een ernstige overtreding van de AVG. Daarom is het onderzoek in gang gezet. Om geloofwaardig en effectief te handhaven is het juist van belang dat naar aanleiding van een dergelijk traject een sanctie wordt opgelegd als uit het onderzoek inderdaad een overtreding naar voren komt. Dat was in het geval van BKR aan de orde. De autoriteit heeft ten opzichte van de andere door BKR genoemde gevallen niet in strijd gehandeld met het gelijkheidsbeginsel. De feiten, omstandigheden en (vermeende) overtredingen zijn steeds anders, zodat van een rechtens vergelijkbare situatie geen sprake is. Ook de situatie van de RDW acht de autoriteit niet vergelijkbaar. Zij wijst er in dat kader wederom naar de beperkte toezicht- en handhavingscapaciteit. In het geval van de RDW zag zij onvoldoende aanleiding om een onderzoek in te stellen. Daarbij was van belang dat het in het geval van de RDW enkel ging om inzage in historische kentekengegevens. Het aantal betrokkenen dat belang had bij deze informatie lag een stuk lager en ook het maatschappelijk belang dat gemoeid was bij (snelle) inzage in deze gegevens, zoals in het geval van BKR , speelde hier niet. Bovendien waren in het geval van de RDW geen aanwijzingen van sterk sturende informatie op de website.

6.2.

Wat hetgeen BKR heeft aangevoerd biedt geen aanknopingspunten voor de conclusie dat de autoriteit niet mocht overgaan tot opleggen van de boete. De Beleidsregels Prioritering klachtenonderzoek staan hier niet aan in de weg. Allereerst geldt daarbij dat deze beleidsregels slechts zien op de wijze waarop de autoriteit omgaat met klachten die zij ontvangt van betrokkenen over de verwerking van hun persoonsgegevens. Hieruit volgt niet dat de autoriteit alleen maar op basis van klachten een onderzoek mag starten, of dat er een minimaal aantal klachten moet zijn ontvangen. Het betoog van BKR dat het bevindingenrapport een onjuiste weergave bevat van de aanleiding van het onderzoek, omdat er feitelijk slechts sprake was van vier klachten en twee tips, slaagt daarom niet. De stelling van BKR dat de autoriteit in dit kader in strijd heeft gehandeld met artikel 5:13 van de Algemene wet bestuursrecht (Awb) kan geen doel treffen, alleen al omdat dit artikel ziet op de handeling van een toezichthouder in de zin van artikel 5:11 van de Awb, en die situatie hier niet aan de orde is.

6.2.1.

Dat de autoriteit in voorkomende gevallen, zoals ook in deze beleidsregel is beschreven, kan volstaan met een minder verstrekkend middel, zoals een waarschuwing, betekent niet dat zij dat in deze situatie ook had moeten doen. De autoriteit is in het licht van het evenredigheidsbeginsel gehouden om te beoordelen of oplegging van een boete in het voorkomende geval noodzakelijk is, of dat er met een minder verstrekkende maatregel kon worden volstaan.^[7]De autoriteit heeft deugdelijk onderbouwd dat de aard en ernst van de overtredingen in dit geval aanleiding gaven om tot oplegging van een boete over te gaan. De rechtbank volgt de autoriteit in haar standpunt dat in die situatie, zeker gelet op de beperkte toezichtcapaciteit van de autoriteit, een effectieve handhaving de oplegging van een boete rechtvaardigt. Daarbij betrekt zij ook dat de autoriteit, mede in het licht van artikel 83 van de AVG, gehouden is op een doeltreffende, evenredige en effectieve wijze invulling te geven aan haar bevoegdheid tot boeteoplegging.

6.3.

Voorts is de rechtbank van oordeel dat BKR niet aannemelijk heeft gemaakt dat de autoriteit met het opleggen van de boete het gelijkheidsbeginsel heeft geschonden. Voor een geslaagd beroep op het gelijkheidsbeginsel moet sprake zijn van een gelijke situatie die de autoriteit ongelijk heeft behandeld. Zoals de autoriteit stelt waren de feiten, omstandigheden en vermeende overtredingen in de door BKR aangehaalde gevallen niet vergelijkbaar, zodat om die reden van strijd met het gelijkheidsbeginsel geen sprake is. Ten aanzien van de RDW heeft de autoriteit met de onder 6.1 weergegeven uitleg voldoende onderbouwd waarom zij ondanks enkele gelijkenissen met de zaak van BKR in dat geval niet tot het instellen van een onderzoek en het opleggen van een boete is gekomen.

6.4.

Ook de stelling van BKR dat de autoriteit de onderzoeksresultaten in haar bevindingenrapport heeft overdreven, slaagt niet. BKR doelt erop dat de autoriteit meermaals de indruk heeft gewekt dat BKR zou hebben uitgedragen dat betrokkenen “slechts” één keer per jaar kosteloos inzage hebben, terwijl het woord “slechts” niet door BKR is gebruikt in haar vermeldingen op de website en in haar privacyverklaring. Tussen partijen is niet in geschil wat de letterlijke teksten zijn die door BKR zijn gebruikt. In zoverre is niet gebleken dat de autoriteit onjuiste feiten aan de boeteoplegging ten grondslag heeft gelegd. De rechtbank ziet in de stelling van BRK dan ook geen aanknopingspunt dat maakt dat van oplegging van de boete moest worden afgezien.

6.5.

Ten slotte ziet de rechtbank ook in de omstandigheid dat de autoriteit zich in de media heeft uitgelaten over het lopende onderzoek tegen BKR , geen aanleiding voor de conclusie dat van boeteoplegging moest worden afgezien. Nog daargelaten of de uitlatingen van de autoriteit wel of niet in lijn waren met haar openbaarmakingsbeleid, heeft BKR niet aannemelijk gemaakt dat zij hierdoor benadeeld is en dat die benadeling van een zodanige aard is dat in het kader van evenredigheid van oplegging van de boete had moeten worden afgezien.

6.6.

Deze beroepsgrond slaagt niet.

De hoogte van de boete

7. BKR voert meer subsidiair aan dat het opgelegde boetebedrag te hoog is. Er is sprake van eendaadse samenloop, wat betekent dat de autoriteit slechts voor één overtreding een boete had mogen opleggen. De autoriteit heeft vervolgens ten onrechte de beleidsregel uit 2019 toegepast. Verder heeft de autoriteit ten onrechte boeteverzwarende aspecten aanwezig geacht en relevante feiten en omstandigheden die juist tot een lagere boete zouden moeten leiden niet meegewogen.

Het toetsingskader

7.1.

De hoogte van een bestuurlijke boete op grond van artikel 12, tweede en vijfde lid, van de AVG is niet bij wet vastgesteld. Op grond van artikel 5:46, tweede lid, van de Awb dient de autoriteit in dat geval de hoogte af te stemmen op de ernst van de overtreding en de mate waarin deze aan de overtreder kan worden verweten. Daarbij dient de autoriteit zo nodig rekening te houden met de omstandigheden waaronder de overtreding is gepleegd. Zij mag daarbij gebruikmaken van een beleidsregel. Ook als het beleid als zodanig door de rechter niet onredelijk is bevonden, dient de autoriteit bij de toepassing daarvan in elk voorkomend geval te beoordelen of die toepassing strookt met de hiervoor bedoelde beoordeling van de evenredigheid. Indien dat niet het geval is, dient de autoriteit de boete in aanvulling of in afwijking van het beleid vast te stellen op een bedrag dat passend en geboden is. De rechter toetst zonder terughoudendheid of het boetebesluit voldoet aan deze eisen, en dus leidt tot een evenredige sanctie.

De samenhang van de overtredingen

7.2.

Het is vaste rechtspraak^[8]dat uit de wetsgeschiedenis bij artikel 5:8 van de Awb^[9](volgt dat het evenredigheidsbeginsel zich verzet tegen cumulatie van sancties als er sprake is van eendaadse samenloop. Die situatie doet zich voor als door één gedraging twee of meer voorschriften worden overtreden die naar hun strekking zodanig nauw samenhangen dat in wezen slechts één overtreding plaatsvindt.

7.3.

Van eendaadse samenloop is in dit geval geen sprake. De overtreding van artikel 12, vijfde lid van de AVG ziet op het niet kosteloos verstrekken van persoonsgegevens wanneer betrokkenen hierom verzochten via de elektronische weg, terwijl de overtreding van artikel 12, tweede lid van de AVG ziet op het herhaaldelijk uitdragen van de boodschap dat betrokkenen één keer per jaar recht hadden op kosteloze inzage. Het gaat om gedragingen die afzonderlijk van elkaar hadden kunnen worden begaan en die voor wat betreft de strekking van de bepalingen en het feitencomplex niet zodanig samenhangen dat aan BKR maar één verwijt kan worden gemaakt. Zoals de autoriteit ook terecht stelt, wordt het onafhankelijke karakter van deze gedragingen verder ondersteund door het feit dat zij op verschillende momenten zijn beëindigd (28 april 2019, respectievelijk 12 maart 2019).

7.3.1.

Ook als er geen sprake is van eendaadse samenloop, kan de mate waarin de overtredingen samenhangen nog steeds een relevante factor zijn om de boete te matigen.^[10]De autoriteit heeft in dit geval aanleiding gezien om het totale boetebedrag met 20% te matigen, omdat weliswaar sprake is van afzonderlijke overtredingen, maar beide overtredingen plaatsvonden in het kader van hetzelfde achterliggende uitgangspunt uit de AVG, namelijk transparantie met het oogmerk om betrokkenen controle te laten houden over de hen betreffende persoonsgegevens. De rechtbank is het met de autoriteit eens dat de samenhang tussen de overtredingen aanleiding gaf tot matiging. Daarbij neemt zij in aanmerking dat beide overtredingen voortvloeien uit dezelfde onjuiste opvatting van BKR over hoe het inzagerecht op grond van de AVG dient te worden vormgegeven. De rechtbank acht een matiging van 20% over het totale boetebedrag, zoals die door de autoriteit is gehanteerd, in dit kader redelijk.

Stond het moment van inwerkingtreding van het beleid in de weg aan toepassing?

7.4.

BKR betoogt dat de autoriteit zich bij de bepaling van de hoogte van de boete niet mocht baseren op de Boetebeleidsregels Autoriteit Persoonsgegevens 2019^[11](boetebeleidsregels 2019), omdat dit in strijd is met het rechtszekerheidsbeginsel. De boetebeleidsregels 2019 zijn pas vastgesteld vlak voordat de gedragingen die ten grondslag zijn gelegd aan de overtreding van artikel 12, tweede lid van de AVG door BKR zijn beëindigd en zelfs nádat de gedragingen die ten grondslag zijn gelegd aan de overtreding van artikel 12, vijfde lid zijn beëindigd. BKR kon met het bestaan van de beleidsregel daarom geen rekening houden. De autoriteit had aansluiting moeten zoeken bij haar beleid uit 2016.

7.5.

De boetebeleidsregels 2019 gelden vanaf 15 maart 2019 en waren daarmee van kracht op het moment dat het boetebesluit is genomen. Voordat deze beleidsregels waren vastgesteld, kende de autoriteit geen boetebeleid voor de toepassing van haar bevoegdheden op grond van de AVG.

7.6.

De rechtbank is van oordeel dat het rechtszekerheidsbeginsel zich niet verzet tegen toepassing van de boetebeleidsregels 2019. Uit artikel 83 van de AVG volgt welk boetebedrag bij overtreding(en) van de AVG maximaal mag worden opgelegd en welke omstandigheden bij de vaststelling van die boete moeten worden betrokken. De essentiële kenmerken van de sanctiebevoegdheid waren daarmee voor BKR bekend. Het beleid komt in grote mate overeen met de strekking van artikel 83 van de AVG en vormt met name een nadere invulling van de te hanteren basishoogte en bandbreedte van op te leggen boetes. Ook zonder een beleidskader was de autoriteit bevoegd om een boete vast te stellen binnen de bandbreedte van de AVG en het evenredigheidsbeginsel, zoals voortvloeit uit artikel 5:46, tweede lid, van de Awb. De omstandigheid dat de autoriteit de invulling van deze evenredigheidsbeoordeling voor het eerst heeft vervat in een beleidsregel op het moment dat de overtredingen door BKR al (bijna) waren beëindigd, maakt daarom niet dat de autoriteit de boetebeleidsregels 2019 niet mocht toepassen. De autoriteit stelt zich in dit kader voorts terecht op het standpunt dat zij niet gehouden was om het boetebesluit te baseren op de Boetebeleidsregels Autoriteit Persoonsgegevens 2016.^[12]Deze beleidsregels waren namelijk gebaseerd op de Wbp en de overtredingen die op basis van die wet konden worden begaan. Dit beleid kan daarom niet zien op de situatie van BKR . Ook de verwijzing van BKR naar de uitspraak van de rechtbank Rotterdam van 26 november 2002^[13]treft geen doel. In die zaak ging het namelijk om de situatie waarin een gunstiger beleidsregel wordt vastgesteld nadat een bestuurlijke boete is opgelegd. Die situatie doet zich hier niet voor.

De bepaling van de boetehoogte

7.7.

Op basis van de boetebeleidsregels 2019 geldt voor een overtreding van artikel 12, vijfde lid van de AVG een basisboete van € 310.000. Voor de overtreding van artikel 12, tweede lid van de AVG geldt een basisboete van € 525.000. De autoriteit heeft aanleiding gezien om de basisboetes met € 75.000, respectievelijk € 125.000 te verhogen. Daaraan legt zij ten grondslag dat, gelet op de ernst van de overtreding en het relatief lange tijdsverloop sprake is van verzwarende omstandigheden. In zo’n geval geeft artikel 7 van de boetebeleidsregels 2019 de mogelijkheid om het boetebedrag te verhogen.

7.8.

De rechtbank toetst de hoogte van de boete volgens het kader zoals uiteengezet onder 7.1. Naar het oordeel van de rechtbank zijn de boetebeleidsregels 2019, mede in het licht van de uitgangspunten van een effectief, evenredig en afschrikkende boeteoplegging zoals verwoord in artikel 83 van de AVG, op zichzelf niet onredelijk. Wel is zij van oordeel dat de autoriteit bij de toepassing in het individuele geval van BKR is uitgekomen op een te hoog boetebedrag. Hiertoe overweegt zij als volgt.

7.8.1.

De autoriteit mag de aard en de ernst van de overtredingen meewegen als verzwarende elementen. BKR beheert kredietregistraties van circa 12 miljoen personen. Deze registraties kunnen van grote invloed zijn voor die personen, bijvoorbeeld voor het al dan niet kunnen verkrijgen van een (hypothecaire) lening. Het is dus van groot belang dat betrokkenen de op hen betrekking hebbende registraties kunnen controleren. De door BKR begane overtredingen van artikel 12, tweede en vijfde lid van de AVG doen afbreuk aan dit inzagerecht. De overtredingen raken daarmee aan de kerntaak van BKR en deze kunnen voor betrokkenen verstrekkende gevolgen hebben. Daarmee is sprake van ernstige overtredingen. Verzwarend is dat BKR op de website meldde dat betrokkenen die hun recht op inzage willen inroepen dit weliswaar één keer per jaar kosteloos kunnen doen, maar wanneer hierbij haast is geboden inzage uitsluitend mogelijk is door middel van elektronische inzage, dus tegen betaling. De autoriteit merkt terecht op dat betrokkenen doorgaans op korte termijn inzage nodig hebben in hun gegevens voor de aanvraag van bijvoorbeeld een hypotheek of een andere lening, zodat zij door deze mededeling feitelijk werden gedwongen om via de betaalde variant elektronisch inzage te vragen en zij geen aanspraak konden maken op een kosteloze inzage, terwijl de AVG hen dit recht wel biedt. Uit de ruim 30.000 betaalde abonnementen die BKR in de periode van 25 mei 2018 tot en met 28 april 2019 had, blijkt ook dat zij als gevolg van het overtreden van artikel 12, vijfde lid, van de AVG ten onrechte inkomsten heeft gegenereerd en de betrokkenen daarmee ook financieel heeft benadeeld. Daarbij is de vraag of deze dienst voor BKR zelf winstgevend was niet relevant. Het gaat er namelijk om dat BKR een vergoeding heeft gevraagd voor inzage die geheel kosteloos had moeten plaatsvinden.

7.8.2.

Anders dan de autoriteit, ziet de rechtbank in de duur van de overtreding geen verzwarende omstandigheid en ziet zij in de mate waarin BKR zich heeft ingespannen om de overtredingen te verhelpen juist een verlichtende omstandigheid. Daarbij neemt de rechtbank in aanmerking dat het onderzoek van de autoriteit naar de naleving door BKR is gestart op het moment dat de AVG nog maar kort in werking was en dat de autoriteit in de loop van het onderzoek geen voorlopige conclusie heeft geuit of het handelen door BKR strijd opleverde met de AVG. De autoriteit heeft dit standpunt pas voor het eerst bekend gemaakt met de toezending van het “conceptrapport definitieve bevindingen” van 25 februari 2019. BKR heeft vrijwel direct na ontvangst van dit rapport aangekondigd dat zij haar werkwijze zou aanpassen en daarover in gesprek te willen met de autoriteit. Vervolgens heeft zij die wijzigingen ook daadwerkelijk op korte termijn doorgevoerd. De rechtbank merkt dit aan als een relevante, verlichtende factor zoals bedoeld in artikel 7, aanhef en onder f van de boetebeleidsregels 2019.

7.8.3.

Deze verzwarende en verlichtende omstandigheden tegen elkaar afwegend, komt de rechtbank tot het oordeel dat er geen aanleiding bestond om in het voordeel of in het nadeel van BKR van de basisboetebedragen af te wijken. Aangezien de autoriteit de basisboetebedragen daarmee ten onrechte heeft verhoogd, is er aanleiding om het opgelegde boetebedrag te matigen.

7.8.4.

De overige door BKR aangevoerde omstandigheden zijn geen aanleiding voor een verdere matiging van de boete. Hoewel BKR op zich terecht stelt dat haar draagkracht gelet op onder meer artikel 5:46, tweede lid, van de Awb en artikel 9 van de boetebeleidsregels 2019 bij de beoordeling van de boetehoogte moet worden meegewogen, heeft zij met de door haar overgelegde stukken niet aannemelijk gemaakt dat haar financiële omstandigheden maken dat zij de boete niet zou kunnen betalen. Uit de gedingstukken blijkt dat de autoriteit deze omstandigheid bij het nemen van het bestreden besluit heeft betrokken, zodat het besluit op dit punt ook zorgvuldig is genomen. Ook het beroep op artikel 2a van de Uitvoeringswet Algemene verordening gegevensbescherming treft geen doel. Uit dit artikel volgt dat de autoriteit bij de toepassing van de verordening de behoeften van onder andere middelgrote ondernemingen, zoals BKR , in aanmerking moet nemen. Volgens de wetsgeschiedenis^[14]betreft dit artikel een codificatie van de doelstelling uit overweging 13 van de AVG om onnodige administratieve lasten voor kleinere ondernemingen tegen te gaan. De rechtbank ziet hierin geen aanknopingspunt voor een verdere matiging van de boete.

7.8.5.

Tot slot levert ook de door BKR aangevoerde omstandigheid dat ten tijde van het boetebesluit niet eerder een bestuurlijke boete van deze hoogte is opgelegd voor het overtreden van de AVG, geen reden op tot verdere matiging. De hoogte van de boete moet worden afgestemd op de omstandigheden van de individuele zaak. Dat de autoriteit ten tijde van de boeteoplegging nog niet eerder een boete van deze hoogte had opgelegd, is op zichzelf nog geen aanwijzing dat sprake is van onevenredigheid. Daarbij neemt de rechtbank tevens in aanmerking dat de AVG nog maar kort van toepassing was en er om die reden nog maar weinig andere boeteprocedures gevoerd waren. De autoriteit heeft voldoende toegelicht dat in de tot dan toe bekende zaken waarin zij een boete heeft opgelegd op grond van de AVG sprake was van andere overtredingen, op grond van andere feiten en omstandigheden, zodat deze gevallen in zoverre niet vergelijkbaar waren met haar situatie. Daarbij speelt ook dat in het geval van BRK , anders dan bij die eerdere boetebesluiten, sprake was van twee overtredingen.

7.9.

Gelet op hetgeen de rechtbank heeft overwogen onder 7.8 tot en met 7.8.3, is de opgelegde boete onevenredig hoog. Het bestreden besluit moet in zoverre worden vernietigd wegens strijd met het evenredigheidsbeginsel.^[15]De rechtbank voorziet zelf in de zaak door een beslissing te nemen over de hoogte van de boete. Zij sluit daarbij aan bij de basisboetebedragen uit het boetebeleid 2019 van € 310.000 voor de overtreding van artikel 12, vijfde lid van de AVG en € 525.000 voor de overtreding van artikel 12, tweede lid van de AVG. Vervolgens pas zij hierop, gelet op hetgeen is overwogen onder 7.3.1, vanwege de samenhang van de overtredingen een matiging toe van 20% op het totaalbedrag. Dit levert een boetebedrag op van € 668.000. De rechtbank acht deze boete passend en geboden.

7.10.

Deze beroepsgrond slaagt.

Conclusie en gevolgen

8. Het beroep is gegrond omdat het bestreden besluit in strijd is met artikel 5:46, tweede lid van de Awb. De rechtbank vernietigt daarom het bestreden besluit.

8.1.

De rechtbank voorziet met toepassing van artikel 8:72a van de Awb zelf in de zaak en stelt de boete vast op € 668.000.

8.2.

Omdat het beroep gegrond is moet de autoriteit het griffierecht aan BKR vergoeden en krijgt BKR ook een vergoeding van haar proceskosten. De autoriteit moet deze vergoeding betalen. Deze kosten stelt de rechtbank op grond van het Besluit proceskosten bestuursrecht van door een derde beroepsmatig verleende rechtsbijstand vast op € 2.868 (1 punt voor het indienen van het bezwaarschrift, 1 punt voor het verschijnen ter hoorzitting, 1 punt voor het indienen van het beroepschrift, 1 punt voor het verschijnen ter zitting, met een waarde per punt van € 597 in bezwaar en € 837 in beroep en een wegingsfactor 1).

Beslissing

De rechtbank:

 verklaart het beroep gegrond;

 vernietigt het besluit van 8 april 2020;

 herroept het besluit van 30 juli 2019 voor zover de bestuurlijke boete hierin gesteld is op € 830.000;

 bepaalt dat de bestuurlijke boete wordt gesteld op € 668.000;

 bepaalt dat deze uitspraak in zoverre in de plaats treedt van het bestreden besluit;

 bepaalt dat de autoriteit het griffierecht van € 354,- aan BKR moet vergoeden;

 veroordeelt de autoriteit tot betaling van € 2.868,- aan proceskosten aan BKR .

Deze uitspraak is gedaan door mr. G.A. van der Straaten, voorzitter en mr. W.P.C.G. Derksen, en mr. T. Mol leden, in aanwezigheid van mr. F.E.M. Rosmalen, griffier. De uitspraak is uitgesproken in het openbaar op

griffier

voorzitter

Een afschrift van deze uitspraak is verzonden aan partijen op:

Informatie over hoger beroep

Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen.

Bijlage: voor deze uitspraak belangrijke wet- en regelgeving

Algemene Verordening Gegevensbescherming

Artikel 12
1. De verwerkingsverantwoordelijke neemt passende maatregelen opdat de betrokkene de in de artikelen 13 en 14 bedoelde informatie en de in de artikelen 15 tot en met 22 en artikel 34 bedoelde communicatie in verband met de verwerking in een beknopte, transparante, begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal ontvangt, in het bijzonder wanneer de informatie specifiek voor een kind bestemd is. De informatie wordt schriftelijk of met andere middelen, met inbegrip van, indien dit passend is, elektronische middelen, verstrekt. Indien de betrokkene daarom verzoekt, kan de informatie mondeling worden meegedeeld, op voorwaarde dat de identiteit van de betrokkene met andere middelen bewezen is.

2. De verwerkingsverantwoordelijke faciliteert de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22. In de in artikel 11, lid 2, bedoelde gevallen mag de verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het verzoek van de betrokkene om diens rechten uit hoofde van de artikelen 15 tot en met 22 uit te oefenen, tenzij de verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren.

[…]
5. Het verstrekken van de in de artikelen 13 en 14 bedoelde informatie, en het verstrekken van de communicatie en het treffen van de maatregelen bedoeld in de artikelen 15 tot en met 22 en artikel 34 geschieden kosteloos. Wanneer verzoeken van een betrokkene kennelijk ongegrond of buitensporig zijn, met name vanwege hun repetitieve karakter, mag de verwerkingsverantwoordelijke ofwel:

een redelijke vergoeding aanrekenen in het licht van de administratieve kosten waarmee het verstrekken van de gevraagde informatie of communicatie en het treffen van de gevraagde maatregelen gepaard gaan; ofwel

weigeren gevolg te geven aan het verzoek.

Het is aan de verwerkingsverantwoordelijke om de kennelijk ongegronde of buitensporige aard van het verzoek aan te tonen.

[…]

Artikel 15
1. De betrokkene heeft het recht om van de verwerkingsverantwoordelijke uitsluitsel te verkrijgen over het al dan niet verwerken van hem betreffende persoonsgegevens en, wanneer dat het geval is, om inzage te verkrijgen van die persoonsgegevens en van de volgende informatie:

[…]
3. De verwerkingsverantwoordelijke verstrekt de betrokkene een kopie van de persoonsgegevens die worden verwerkt. Indien de betrokkene om bijkomende kopieën verzoekt, kan de verwerkingsverantwoordelijke op basis van de administratieve kosten een redelijke vergoeding aanrekenen. Wanneer de betrokkene zijn verzoek elektronisch indient, en niet om een andere regeling verzoekt, wordt de informatie in een gangbare elektronische vorm verstrekt.

Artikel 83
1. Elke toezichthoudende autoriteit zorgt ervoor dat de administratieve geldboeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4, 5 en 6 vermelde inbreuken op deze verordening in elke zaak doeltreffend, evenredig en afschrikkend zijn.

[…]
5. Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 20 000 000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is:
[…]

de rechten van de betrokkenen overeenkomstig de artikelen 12 tot en met 22;

Algemene wet bestuursrechtArtikel 5:46:

1. De wet bepaalt de bestuurlijke boete die wegens een bepaalde overtreding ten hoogste kan worden opgelegd.

2. Tenzij de hoogte van de bestuurlijke boete bij wettelijk voorschrift is vastgesteld, stemt het bestuursorgaan de bestuurlijke boete af op de ernst van de overtreding en de mate waarin deze aan de overtreder kan worden verweten. Het bestuursorgaan houdt daarbij zo nodig rekening met de omstandigheden waaronder de overtreding is gepleegd.

[…].

Boetebeleidsregels 2019

Artikel 2
[…]2.2De bepalingen ter zake van overtreding waarvan de Autoriteit Persoonsgegevens een bestuurlijke boete kan opleggen van ten hoogste het bedrag van € 20.000.000 of, voor een onderneming, tot 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is, zijn in bijlage 2 ingedeeld in categorie I, categorie II, categorie III of categorie IV.

2.3De Autoriteit Persoonsgegevens stelt de basisboete voor overtredingen waarvoor een wettelijk boetemaximum geldt van € 10.000.000 of, voor een onderneming, tot 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is, dan wel € 20.000.000 of, voor een onderneming, tot 4% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is, vast binnen de volgende boetebandbreedtes:

[…]

Artikel 7
Onverminderd de artikelen 3:4 en 5:46 van de Algemene wet bestuursrecht houdt de Autoriteit Persoonsgegevens rekening met de factoren genoemd onder a tot en met k, voor zover in het concrete geval van toepassing:

a)de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;

b)de opzettelijke of nalatige aard van de inbreuk;

c)de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;

d)de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32 van de Algemene verordening gegevensbescherming;

e)eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;

f)de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
[…]