Wanneer een bedrijf persoonsgegevens verkeerd behandelt, is het getal in de kop meestal de maximale boete. Onder de GDPR kunnen boetes in het VK oplopen tot £17,5 miljoen of 4% van de wereldwijde omzet, en in de EU tot 20 miljoen EUR of 4% van de wereldwijde omzet. Die bedragen klinken abstract, maar ze bestaan om jou te beschermen. Deze gids legt in begrijpelijke taal uit wat ze betekenen.

De maximale GDPR-boetes in het VK en de EU

De twee regimes volgen hetzelfde basisontwerp. Elk stelt een vast maximum in de eigen valuta en een percentage van de wereldwijde omzet van de organisatie.

  • VK: tot £17,5 miljoen of 4% van de wereldwijde omzet
  • EU: tot 20 miljoen EUR of 4% van de wereldwijde omzet

Het percentage is belangrijk omdat het meeschaalt met de omvang van de organisatie. Een vast bedrag zou verwaarloosbaar zijn voor een zeer groot bedrijf, dus met de op omzet gebaseerde optie kunnen toezichthouders een boete opleggen die daadwerkelijk pijn doet. Toonaangevende gidsen over dit onderwerp beschrijven de regel als "welk bedrag het hoogst is" voor de lagere tier, en diezelfde logica maakt het maximale bedrag in de kop betekenisvol voor grote bedrijven.

Dit zijn plafonds, geen standaardboetes. De meeste boetes liggen ruim onder het maximum, en een toezichthouder moet onderbouwen waar een zaak uitkomt.

Welke inbreuken in welke tier vallen

De GDPR gebruikt een tweelaagsstructuur. De hogere tier, degene met het plafond van £17,5 miljoen of 20 miljoen EUR, is gereserveerd voor de ernstigere inbreuken. De lagere tier covers minder ernstige tekortkomingen en heeft een lager plafond. Openbaar beschikbare samenvattingen stellen de lagere EU-tier op 10 miljoen EUR of 2% van de wereldwijde jaaromzet.

In grote lijnen is de hogere tier gericht op schendingen die de kern van je rechten raken, zoals het overtreden van de basisbeginselen voor gegevensverwerking of het mensen ontzeggen van de rechten die de wet hun geeft. De lagere tier wordt over het algemeen geassocieerd met meer procedurele of organisatorische verplichtingen. Voor een diepere uitleg van hoe de splitsing werkt, zie onze uitleg over hoe het tweelaagse GDPR-boetesysteem werkt.

Hoe toezichthouders de daadwerkelijke boete vaststellen

Het maximum is alleen het uitgangskader. Toezichthouders wegen de omstandigheden van elke zaak, en het proces is geen simpele opzoektabel.

Eén regel die je moet kennen: wanneer meerdere overtredingen samen voorkomen, mag de totale boete niet hoger zijn dan het bedrag dat is vastgesteld voor de zwaarste inbreuk. In de praktijk betekent dat dat het toepasselijke plafond gekoppeld is aan de ernstigste overtreding in de zaak, niet aan de som van elk plafond.

Ernst, de omvang van de organisatie en de aard van de fout spelen allemaal mee in het uiteindelijke bedrag. Daarom kunnen twee bedrijven met vergelijkbare inbreuken heel verschillende boetes krijgen, en daarom moeten de maximale bedragen in de kop worden gelezen als een bovengrens, niet als een voorspelling.

Wat dit voor jou betekent

Boetes gaan naar toezichthouders, niet naar getroffen personen, dus de boete zelf levert jou geen geld op. De waarde ervoor voor jou is indirect, maar reëel.

  • Ze werken afschrikkend. Een plafond gekoppeld aan de wereldwijde omzet geeft zelfs grote organisaties een reden om gegevensbescherming serieus te nemen.
  • Ze ondersteunen je rechten. De hoge-tier-boetes zijn gekoppeld aan de overtredingen die er voor jou het meest toe doen, waaronder hoe je gegevens worden gebruikt en of je rechten worden gerespecteerd.
  • Ze geven je een route om actie te ondernemen. Als je denkt dat een organisatie je gegevens heeft misbruikt, kun je het probleem eerst bij de organisatie aankaarten en het daarna voorleggen aan de gegevensbeschermingstoezichthouder in je land. In het VK is dat de ICO.

Het helpt ook om verwachtingen realistisch te houden. Een zeer hoog maximum betekent niet dat elke inbreuk een zeer hoge boete oplevert. Onze berichtgeving over GDPR-boetes en het tweelaagse systeem onderzoekt waarom de in het oog springende cijfers misleidend kunnen zijn.

Praktische aandachtspunten

GDPR-boetes begrijpen is vooral nuttig omdat het je laat zien waar je invloed ligt. Een paar stappen zetten die kennis aan het werk:

  1. Ken het verschil tussen de regels van het VK en de EU. Het VK-plafond is £17,5 miljoen of 4%, en het EU-plafond is 20 miljoen EUR of 4%. Welke van toepassing is, hangt af van waar de organisatie actief is en waar jij bent.
  2. Houd gegevens bij. Als je contact opneemt met een bedrijf over je gegevens, bewaar dan de e-mails, data en reacties. Ze zijn belangrijk als je later een klacht indient bij een toezichthouder.
  3. Gebruik je rechten. Je kunt organisaties vragen welke gegevens ze over je hebben en zorgen uiten wanneer iets er verkeerd uitziet.
  4. Escaleer wanneer nodig. Als een bedrijf je zorg niet oplost, is de nationale gegevensbeschermingstoezichthouder de volgende stap.
  5. Beperk je blootstelling. Deel alleen de gegevens die een dienst echt nodig heeft, en gebruik sterke, unieke wachtwoorden en tweefactorauthenticatie.

GDPR-boetes, of het nu £17,5 miljoen in het VK is of 20 miljoen EUR in de EU, zijn de zichtbare rand van een breder systeem dat is ontworpen om je persoonsgegevens onder jouw controle te houden. Weten hoe dat systeem werkt, maakt het makkelijker om het te gebruiken.