Regels voor de boetevaststelling

Het College bescherming persoonsgegevens,

Gelet op artikel 66 van de Wet bescherming persoonsgegevens;

Heeft besloten om de volgende beleidsregels vast te stellen:

1. Inleiding

De Wet bescherming persoonsgegevens (WBP), die vanaf 1 september 2001 van kracht is, bevat regels over de geautomatiseerde verwerking van persoonsgegevens en verwerking van persoonsgegevens in bestanden. Dit omvat alle handelingen met die gegevens vanaf het verzamelen tot aan het vernietigen. Op grond van deze wet is een verantwoordelijke verplicht om geautomatiseerde verwerkingen van persoonsgegevens te melden bij het College bescherming persoonsgegevens (CBP) of bij de Functionaris voor de gegevensbescherming, tenzij een verwerking is vrijgesteld van melden.

Bij het niet naleven van de meldingsplicht is het CBP ingevolge art. 66 WBP bevoegd tot het opleggen van een boete. De bevoegdheid van het CBP boetes op te leggen is een middel om naleving van de verplichtingen uit de WBP te bevorderen.

Behoudens op grond van het Vrijstellingsbesluit WBP (Stb. 2001, 250) uitgezonderde verwerkingen gaat het om de volgende verplichtingen:

- het tijdig en op de juiste wijze melden van de gegevensverwerking (art. 27 en 28 lid 5 WBP)

- het verstrekken van de juiste en volledige informatie omtrent de gegevensverwerking (art. 28 lid 1 en 2 WBP)

- het tijdig melden van wijzigingen in de opgave bij de oorspronkelijke melding (art. 28 lid 3 WBP)

- het bewaren van gegevens omtrent gewijzigde verwerking (art. 28 lid 4 WBP).

De boete bedraagt ten hoogste 4500 euro per overtreding (art. 66 lid 1 WBP). Als er sprake is van het niet naleven van de meldingsplicht met betrekking tot meerdere gegevensverwerkingen wordt voor elke overtreding zonder vermindering een boete opgelegd. Bij de bepaling van de hoogte van de boete wordt rekening gehouden met de verwijtbaarheid (art. 66 lid 2 WBP) en de ernst en de duur van de overtreding (art. 66 lid 3 WBP).

Het niet naleven van de meldingsplicht is tevens strafbaar gesteld (art. 75 WBP). Het is niet mogelijk om zowel een bestuurlijke boete als een strafrechtelijke sanctie op te leggen (art. 66 lid 5 en art. 75 lid 5 WBP).

Met het publiceren van de Regels voor de boetevaststelling beoogt het CBP inzicht te verschaffen in de hoogte van de boetes die verantwoordelijken kunnen verwachten, in de redenen om in individuele gevallen geen boete op te leggen en in het aangiftebeleid.

De uitgangspunten van de Regels voor de boetevaststelling zijn de volgende. Slechts in zeer ernstige gevallen wordt een zaak voor strafvervolging overgedragen aan het Openbaar Ministerie. In een aantal gevallen wordt geen boete opgelegd, zoals bij het ontbreken van verwijtbaarheid van de betrokkene, in geval van een kennelijke vergissing of bij een geringe overtreding. In andere situaties wordt afgezien van een boete, maar wordt wel een waarschuwing gegeven. Het afzien van een boete wordt verbonden aan het alsnog melden van de gegevensverwerking binnen een bepaalde termijn. Wanneer er voldoende reden is voor het opleggen van een boete, wordt onderscheid gemaakt tussen minder zware en zware overtredingen. Dit onderscheid is nader uitgewerkt in een tabel. Tenslotte kan een boete gematigd worden op grond van financiële omstandigheden en is er een algemene hardheidsclausule opgenomen.

Na één jaar vanaf de inwerkingtreding van deze Regels zal het CBP bezien of aanpassingen dan wel nuanceringen eventueel aan de hand van concrete voorbeelden geboden zijn.

2. Aangiftebeleid

Het niet naleven van de meldingsplicht wordt zoveel mogelijk bestuursrechtelijk afgedaan.

Slechts in zeer speciale gevallen zal aangifte worden gedaan.

Dergelijke speciale gevallen zijn in ieder geval:

- er is in een periode van vijf jaar voorafgaande aan de constatering van een vermoedelijke overtreding van art. 27 en 28 WBP reeds twee keer aan de verantwoordelijke een boete opgelegd

- er is sprake van omstandigheden die wijzen op een ernstige schending van de wettelijke regels voor verwerking van persoonsgegevens en/of de mogelijkheid van aanzienlijke nadelige gevolgen.

3. Geen boete

Als de betrokkene aannemelijk maakt dat het niet nakomen van de verplichtingen van art. 27 en 28 WBP hem niet kan worden verweten wordt geen boete opgelegd. Te denken valt aan situaties van zodanig uitzonderlijke of gecompliceerde gegevensverwerking dat de verantwoordelijke in redelijkheid geen verwijt van de nalatigheid kan worden gemaakt.

Bij een kennelijke vergissing of als er sprake is van een geringe overtreding in combinatie met het ontbreken van zichtbaarheid in de samenleving en eerdere overtredingen van de verplichtingen zal er evenmin een boete worden opgelegd.

Voorwaarde voor het afzien van boete-oplegging is wel dat de niet nagekomen verplichtingen binnen een door het CBP gestelde termijn stipt worden nagekomen.

4. Geen boete, wel waarschuwing

Indien het niet nakomen van de verplichtingen slechts in geringe mate aan de verantwoordelijke kan worden verweten wordt volstaan met een waarschuwing.

Hierbij dient vooral gedacht te worden aan situaties waarin de verantwoordelijke aantoonbaar reeds activiteiten heeft ontplooid om de betreffende verwerking van persoonsgegevens in overeenstemming te brengen met een sector- of branchegebonden gedragscode en/of bedrijfsstandaard met de daarbij geldende voorwaarden en de verantwoordelijke voornemens is in de melding naar een standaardwerkwijze te verwijzen.

Ook geldt dat wanneer een verantwoordelijke de melding niet op de juiste wijze verzorgt (via het voorgeschreven formulier, de diskette of het elektronische formulier) hij door het CBP wordt aangemaand om op de wettelijke voorgeschreven wijze te melden.

Voorwaarde voor het volstaan met een waarschuwing is wel dat de niet nagekomen verplichtingen alsnog binnen een door het CBP gestelde termijn stipt worden nagekomen.

5. Hoogte van de boete

Als besloten wordt tot het opleggen van een boete wordt de hoogte van de boete afgestemd op de ernst en duur van de overtreding. Bij minder zware overtredingen wordt een boete opgelegd van 1500 euro en bij zware overtredingen een boete van 3000 euro. Dit geldt afzonderlijk voor elke verwerking ten aanzien waarvan verplichtingen niet zijn nagekomen. Bij recidive wordt de boete verhoogd met 1500 euro tot een maximum van 4500 euro.

De categorieën van overtredingen en de daarbij behorende boetes zijn uitgewerkt in onderstaande tabel.

6. Geringe financiële draagkracht

Indien niet toerekenbare financiële omstandigheden van de verantwoordelijke daartoe aanleiding geven kan de boete met 50% worden verlaagd.

7. Hardheidsclausule

Het CBP stelt de boete vast volgens deze Regels en met inachtneming van de beginselen van behoorlijk bestuur en het wettelijk maximum. Het CBP kan van de Regels met name die onder 5. genoemd, afwijken indien onverkorte toepassing ervan tot evidente onbillijkheid leidt.

Opmerking 1:

Bij samenloop van overtredingen aangaande één gegevensverwerking wordt de boete van de zwaarste overtreding opgelegd.

Opmerking 2:

Indien de verantwoordelijke de regels heeft overtreden met betrekking tot meerdere verwerkingen van persoonsgegevens die afzonderlijk dienen te worden gemeld, wordt per verwerking zonder vermindering een boete opgelegd.

Den Haag, 23 juni 2003.
P.J. Hustinx, voorzitter College bescherming persoonsgegevens.