33 662 Wijziging van de Wet bescherming persoonsgegevens en enige andere wetten in verband met de invoering van een meldplicht bij de doorbreking van maatregelen voor de beveiliging van persoonsgegevens alsmede uitbreiding van de bevoegdheid van het College bescherming persoonsgegevens om bij overtreding van het bepaalde bij of krachtens de Wet bescherming persoonsgegevens een bestuurlijke boete op te leggen (meldplicht datalekken en uitbreiding bestuurlijke boetebevoegdheid Cbp)

Nr. 17 AMENDEMENT VAN HET LID OSKAM

Ontvangen 4 februari 2015

De ondergetekende stelt het volgende amendement voor:

In artikel I, onderdeel D, wordt in artikel 66, vierde lid, voor de punt aan het slot ingevoegd: tenzij het College dit niet redelijk acht.

Toelichting

Onderhavig wetsvoorstel bepaalt dat alvorens het Cbp een bestuurlijke boete oplegt, een bindende aanwijzing aan de betrokkene wordt gegeven (artikel 66, derde lid van de Wbp). Het wetsvoorstel maakt hierop ook een uitzondering mogelijk, namelijk ingeval de betrokkene opzettelijk een overtreding heeft gepleegd (artikel 66, vierde lid van de Wbp). In dat geval kan direct een bestuurlijke boete worden opgelegd.

Volgens materieelrechtelijke bepalingen valt onder het begrip «opzet» ook voorwaardelijk opzet, hetgeen concreet betekent dat het Cbp ook een boete kan opleggen indien de overtreder redelijkerwijs wist of had kunnen vermoeden dat door zijn handelen of nalaten ernstige nadelige gevolgen hadden kunnen plaatsvinden.

Indiener steunt dit gegeven vanuit het belang van bescherming van persoonsgegevens. In bepaalde gevallen acht de indiener het echter niet wenselijk dat direct een bestuurlijke boete kan worden opgelegd (zonder daaraan voorafgaand een bindende aanwijzing). Indien formeel kan worden aangenomen dat sprake is van (voorwaardelijk) opzet, maar de overtreding bijv. zeer kleine -of geen directe- gevolgen heeft, acht de indiener het niet wenselijk dat direct een boete wordt opgelegd. De indiener laat de keuze om direct een boete op te leggen indien sprake is van (voorwaardelijk) opzet aan het Cbp, zodat het Cbp per geval kan bepalen of de directe oplegging van een boete al dan niet wenselijk is. Het Cbp zal hierbij in ieder geval de gevolgen voor betrokkenen van de overtreding in ogenschouw dienen te nemen.

Te denken valt aan situaties waarin vergeten is om gegevens waarvan de bewaartermijn is verstreken te wissen, het beveiligingsniveau door voortschrijdende techniek niet is bijgewerkt, een privacyverklaring (op een website bijvoorbeeld) niet is geüpdatet en tijdelijk foutieve informatie vertoont of gegevens (tijdelijk) zijn kwijtgeraakt zonder dat daarbij deze gegevens achteraf inzichtelijk blijken te zijn geweest voor derden.

In dergelijke situaties meent indiener dat het passender is dat het Cpb kiest voor een bindende aanwijzing; indien die niet wordt opgevolgd, kan het Cbp alsnog een bestuurlijke boete opleggen.

In welke gevallen is dan wél helder volgens indiener wanneer sprake is van opzet (al dan niet voorwaardelijk) waarin de door hem voorgestelde uitzonderingsclausule niet geldt? Terugkomend op het hierboven genoemde voorbeeld van de privacyverklaring, denkt de indiener aan een situatie waarin de consument gewezen wordt op de geldende privacyverklaring, waarin nadrukkelijk staat dat gegevens nooit met derden zullen worden gedeeld. Echter, later blijkt alsnog dat het bedrijf de gegevens toch aan derden heeft verkocht.

Tot slot heeft de voorgestelde wijziging in combinatie met de voorgestelde bepaling van artikel 66 door de regering volgens indiener een tweeledig doel. Enerzijds worden bedrijven en organisaties geprikkeld om alles in het werk te stellen om privacy gerelateerde schade aan betrokkenen te voorkomen. Anderzijds wordt duidelijk dat niet álle tekortkomingen waarbij valt te betwisten of sprake is van (opzettelijk) voorwaardelijk handelen, direct door het Cbp met een boete kunnen worden bestraft.

Oskam