Wet Meldplicht Datalekken – update Oktober 2015

 in IT-recht

Het College Bescherming Persoonsgegevens (CBP), heeft op 22 oktober jl. conceptbeleidsregels gepubliceerd betreffende het opleggen van bestuurlijke boetes bij overtreding van de Wet bescherming persoonsgegevens, de Telecommunicatiewet, de Algemene wet bestuursrecht, de Wet politiegegevens en de Wet justitiële en strafvorderlijke gegevens (‘Boetebeleidsregels Autoriteit Persoonsgegevens’). De uitbreiding van haar boetebevoegdheid is gebaseerd op de op 1 januari 2016 in werking tredende Wet meldplicht datalekken en uitbreiding bestuurlijke boetebevoegdheid Cbp en loopt vooruit op de beoogde boetebevoegdheid op grond van de nog in voorbereiding zijnde Europees brede Algemene verordening gegevensbescherming (General Data Protection Regulation). Vanaf 1 januari 2016 zal het College Bescherming Persoonsgegevens voortaan als Autoriteit Persoonsgegevens worden aangeduid. De beleidsregels betreffen vooralsnog een consultatieversie.

Wet bescherming persoonsgegevens
Ten aanzien van overtredingen van de Wet bescherming persoonsgegevens gelden twee wettelijke boetemaxima. Te weten een wettelijke boetemaximum van € 810.000,– en een wettelijk boetemaximum van € 20.250,–.

Het boetemaximum van € 810.000,– geldt onder meer ten aanzien van het overtreden van de volgende plichten uit de Wet bescherming persoonsgegevens:
1. een behoorlijke en zorgvuldige gegevensverwerking;
2. doeleindenomschrijving;
3. grondslag gegevensverwerking;
4. doelbinding;
5. geen verwerking als geheimhoudingsplicht;
6. maximale bewaartermijn;
7. toereikende, ter zake dienende en niet bovenmatige gegevensverwerking;
8. geheimhoudingsplicht bewerker;
9. beveiligingsverplichting;
10. verbod verwerking bijzondere persoonsgegevens;
11. gebruik wettelijk identificatienummer;
12. informatieplicht;
13. meldplicht datalekken;
14. inzagerecht betrokkene;
15. recht op verbetering, aanvulling, verwijdering of afscherming persoonsgegevens;
16. absoluut recht van verzet tegen verwerking voor commerciële of charitatieve doelen;
17. verbod doorgifte naar land buiten de EU zonder passen beschermingsniveau.

Binnen het boetemaximum van € 810.000,– onderscheidt het CBP in haar concept beleidsregels drie categorieën boetebandbreedten. Categorie I: tussen € 0,00 en € 200.000,–; categorie II : tussen € 120.000,– en € 500.000,–; en categorie III: tussen € 350.000,– en € 810.000,–.  Indien meerdere categorieën van toepassing zijn, stelt de Autoriteit Persoonsgegevens op basis van de ernst van de overtreding vast binnen welke categorie een specifieke overtreding valt.

Factoren op basis waarvan de ernst van de overtreding wordt beoordeeld, zijn de aard en omvang van de overtreding, de duur van de overtreding en de impact van de overtreding op de betrokkenen en/of de maatschappij.

De Autoriteit Persoonsgegevens kan in een onderhavig geval een meer passende boete opleggen, dit kan een boete zijn uit de naast gelegen categorie (omhoog of omlaag). Indien de boete van € 810.000,– niet afdoende wordt geacht, kan de Autoriteit Persoonsgegevens een boete opleggen van maximaal 10 procent van de netto jaaromzet van de rechtspersoon.

In de concept beleidsregels zijn een aantal boete verhogende dan wel boete verlagende omstandigheden opgesomd op basis waarvan de Autoriteit Persoonsgegevens de hoogte van de boete kan aanpassen.
Het verlenen van medewerking aan de Autoriteit Persoonsgegevens dat verder gaat dan hetgeen waartoe men wettelijk is verplicht kan boeteverlagend werken, alsook het ook uit eigen beweging beëindigen van de overtreding en het schadeloos stellen van degene aan wie schade is berokkend.

Contact
Voor meer informatie over deze concept beleidsregels kunt u contact opnemen met mr. I.M. Tempelman.

De volledige consultatieversie van de ‘Boetebeleidsregels Autoriteit Persoonsgegevens 2015’ treft u hier aan.

Recente berichten
  • 31 oktober 2019

    Uw ziekmelding wordt niet geaccepteerd! Of toch wel?

    Marion Hagenaars
    Lastige gesprekken met werknemers. Over functioneren, samenwerkingsproblemen, houding en gedrag. En dan – u had het al voorzien – een ziekmelding. Soms met een enkel WhatsApp bericht. U bent geen arts, maar bij een ziekmelding in dergelijke omstandigheden plaatst u vraagtekens. Er lijkt immers meer sprake te zijn van een “vlucht in ziekte”. U besluit
    Lees verder
  • 4 oktober 2019

    Storing cookies requires internet users’ active granular (specific) consent

    Bob Cordemeyer
    A pre-ticked checkbox is therefore insufficient Answering questions of The Bundesgerichtshof (Federal Court of Justice, Germany)  to interpret the EU law on the protection of electronic communications privacy.2 the EU Court of Justice decides on October 1, 2019 that the consent which a website user must give to the storage of and access to cookies
    Lees verder
  • 30 september 2019

    Uitgeleende werknemer, een vrije vogel?

    Marion Hagenaars
    U heeft met uw werknemers een relatiebeding gesloten. En met uw opdrachtgevers een verbod op indiensttreding. Met boetes op overtreding. U vreest een overstap van uw werknemers naar een opdrachtgever dus niet. En mocht het onverhoopt toch gebeuren, dan bent u in ieder geval zeker van een financiële compensatie. Of toch niet?!
    Lees verder

Plaats een reactie

Top