Wanneer een bedrijf in Europa persoonlijke gegevens verkeerd behandelt, worden de gevolgen bepaald door een tamelijk eenvoudig kader. Inzicht in GDPR-boetes en boetecategorieën helpt verklaren waarom toezichthouders handelen zoals ze doen, en het laat gewone mensen ook zien welke middelen zij hebben wanneer een bedrijf het verkeerd aanpakt. Deze gids, gebaseerd op een recent overzicht van LegalHelp, loopt door hoe de boetes zijn gestructureerd, hoe handhaving werkt, en welke opties er bestaan naast de sancties van de toezichthouder zelf.

Hoe GDPR-boetes en boetecategorieën werken

De Algemene Verordening Gegevensbescherming splitst haar maximale bestuurlijke boetes in twee categorieën, uiteengezet in Artikel 83.

  • Lagere categorie: tot €10 miljoen of 2% van de totale wereldwijde jaarlijkse omzet van een bedrijf, afhankelijk van welke hoger is.
  • Hogere categorie: tot €20 miljoen of 4% van de wereldwijde jaarlijkse omzet, afhankelijk van welke hoger is.

Twee details zijn hier van belang. Ten eerste zijn dit plafonds, geen vaste prijzen. Toezichthouders berekenen het werkelijke bedrag per geval, dus een boete kan ruim onder het maximum uitvallen. Ten tweede betekent de formulering "afhankelijk van welke hoger is" dat het percentage het vaste eurobedrag kan overschrijden voor grote multinationale ondernemingen. Een vast plafond alleen zou een afrondingsfout zijn voor een bedrijf met enorme omzet, en de op omzet gebaseerde optie is wat de regels op die schaal echte gewicht geeft.

De hogere categorie is over het algemeen gereserveerd voor de ernstigere inbreuken. De lagere categorie dekt minder ernstige tekortkomingen. In de praktijk geeft de categorie waarin een zaak valt aan hoe ernstig de toezichthouder het gedrag beschouwt.

Wat grote handhavingszaken onthullen over datamisbruik

Boetecategorieën lijken abstract totdat je ze toegepast ziet. Handhavingszaken tonen welke soorten tekortkomingen de meeste aandacht trekken en hoe toezichthouders de omstandigheden wegen bij het bepalen van een bedrag.

Onze berichtgeving over Uber's €825M GDPR-boete is een nuttig voorbeeld van hoe een sanctie aan de bovenkant van de schaal tot stand komt en wat die signaleert aan andere bedrijven die gegevens over de grens verwerken. Gegevens van kinderen zijn een ander gebied dat zwaar onder de loep ligt. Ons stuk over waarom checkbox-compliance faalt onder de GDPR-regels voor kindergegevens toont aan dat toezichthouders steeds vaker voorbij het papierwerk kijken naar wat organisaties daadwerkelijk doen met persoonlijke informatie.

De rode draad is dat toezichthouders zich richten op de praktijk in de echte wereld. Een privacybeleid dat op papier bestaat, beschermt een bedrijf niet als de feitelijke gegevensverwerking tekortschiet.

Hoe u een klacht indient bij uw gegevensbeschermingsautoriteit

Boetes worden opgelegd door toezichthouders, maar toezichthouders horen vaak over problemen omdat individuen ze melden. Als u van mening bent dat een organisatie uw gegevens heeft misbruikt, heeft u over het algemeen het recht om een klacht in te dienen bij een gegevensbeschermingsautoriteit (DPA). De exacte procedure verschilt per land, dus het beste startpunt is de website van de DPA in uw eigen EU-lidstaat.

Een paar praktische stappen maken een klacht doorgaans sterker:

  1. Begin bij het bedrijf. Stuur een schriftelijk verzoek waarin u vraagt welke gegevens het over u heeft, hoe deze worden gebruikt en met wie ze worden gedeeld. Bewaar een kopie en de datum waarop u het heeft verzonden.
  2. Verzamel bewijsmateriaal. Bewaar e-mails, screenshots, accountpagina's en alle antwoorden die u ontvangt, inclusief het uitblijven van een reactie.
  3. Wees specifiek. Beschrijf wat er is gebeurd, wanneer het is gebeurd en welke van uw gegevens erbij betrokken waren.
  4. Dien in bij de juiste autoriteit. Gebruik het klachtformulier of contactkanaal van uw nationale DPA en voeg uw documentatie bij.

Een klacht garandeert geen boete. De toezichthouder beslist of er onderzoek wordt gedaan en welke actie, indien any, wordt ondernomen. Maar klachten zijn onderdeel van hoe patronen van wangedrag aan het licht komen.

Verder dan boetes: privé-rechtszaken en beroep door bedrijven

Bestuurlijke boetes zijn slechts een deel van het beeld. Het overzicht van LegalHelp behandelt ook handhavingsbevoegdheden naast boetes, privé-rechtszaken en beroepsmogelijkheden.

Aan de kant van het individu kunnen mensen die schade hebben geleden door een schending mogelijk via de rechter een schadevergoeding vorderen. Deze route staat los van een boete van de toezichthouder: het geld van een bestuurlijke sanctie gaat niet naar het getroffen individu. Als u juridische stappen overweegt, is het verstandig om met een gekwalificeerde advocaat in uw rechtsgebied te spreken, aangezien regels en procedures verschillen.

Aan de kant van het bedrijf kunnen organisaties die een sanctie krijgen doorgaans in beroep gaan. Dat betekent dat een boete in de krant niet altijd het laatste woord is, en bedragen of bevindingen kunnen worden betwist. Lezers die een grote zaak volgen, moeten de eerste aankondiging behandelen als een fase in een langer proces.

Wat dit voor u betekent

De tweeledige structuur lijkt misschien iets voor compliance-teams van bedrijven, maar ze bepaalt uw onderhandelingspositie als individu. Omdat boetes 2% of 4% van de wereldwijde omzet kunnen bereiken, hebben bedrijven een sterke financiële reden om te reageren wanneer gegevensbeschermingsautoriteiten zich ermee bemoeien. Uw klacht of inzageverzoek voedt dat systeem.

Dit geldt zelfs als u in het dagelijks leven niet in de EU bent. Veel wereldwijde diensten verwerken de gegevens van Europese ingezetenen, en de regels zijn ontworpen om de gegevens te volgen. Een VPN of andere privacytools kunnen beperken hoeveel informatie u blootstelt, maar wettelijke rechten dekken wat er met gegevens gebeurt zodra een bedrijf ze al heeft. De twee benaderingen werken het beste samen.

Belangrijkste punten

  • GDPR-boetes en boetecategorieën zijn gemaximeerd op €10 miljoen of 2% van de wereldwijde omzet (lagere categorie) en €20 miljoen of 4% (hogere categorie), afhankelijk van welke hoger is.
  • Die cijfers zijn maximums. Toezichthouders stellen werkelijke boetes vast op basis van de bijzonderheden van elk geval.
  • U kunt een inzageverzoek naar een bedrijf sturen en, indien nodig, een klacht indienen bij uw nationale gegevensbeschermingsautoriteit.
  • Schadevergoedingsclaims via de rechter staan los van bestuurlijke boetes, en bedrijven kunnen tegen sancties in beroep gaan.

Als een organisatie uw gegevens slecht heeft behandeld, gebruik dan deze rechten. Stuur het inzageverzoek, documenteer het antwoord en dien een klacht in als het tekortschiet. Om te zien hoe handhaving in de praktijk uitpakt, lees onze analyse van de Uber-boete en ons rapport over regels voor kindergegevens.