Sinds duidelijk is dat de maximale boetes onder de Algemene Verordening Gegevensbescherming (AVG) torenhoog zijn, wordt hier en daar gespeculeerd over waar de eerste zou vallen, en hoe hoog ze zouden zijn. De Europees Toezichthouder voor gegevensbescherming kondigde recent in een interview nog aan dat nog dit jaar de eerste boetes zouden worden uitgedeeld. Hij had misschien meer gelijk dan hij zelf wist: bij publicatie van zijn woorden waren de eerste boetes al een feit.
Wie heeft de primeur?
De runner-up is Oostenrijk, waar de lokale toezichthouder DSB in september een boete uitdeelde aan een wedkantoor. Aan de buitenkant van zijn pand had de ondernemer een camera gehangen die een deel van de openbare weg filmde. De toezichthouder oordeelde dat het bedrijf daarvoor geen grondslag had, en bovendien was onvoldoende gedaan om betrokkenen te informeren over het gebruik van de camera.
De twijfelachtige eer van deze snelle AVG-boete weegt misschien zwaarder dan de financiële schade: de boete bedraagt slechts € 4.800. De toezichthouder liet doorschemeren dat dit bedrag vooral zo laag is doordat rekening is gehouden met de financiële draagkracht van de overtreder. Dat is in lijn met de verwachting dat boetes onder de AVG vooral als prikkel moeten dienen om gedrag aan te passen, niet als middel om bedrijven zo hard mogelijk in de portemonnee te raken.
53 dagen
Veel meer pijn zal een ziekenhuis vlakbij Lissabon lijden, als gevolg van de sanctie die de Portugese toezichthouder CNPD heeft opgelegd: € 400.000 boete ontving het Centro Hospitalar Barreiro Montijo voor grove schendingen van de AVG die al lange tijd aan de gang waren, maar recent aan het licht kwamen. Zo bleek uit onderzoek van de CNPD dat bijna 1.000 personen toegang hadden tot de opgeslagen medische gegevens, terwijl er slechts 296 artsen werkzaam waren. Ook de beveiliging van systemen liet te wensen over.
Al op 17 juli (53 dagen na inwerkingtreden van de AVG!) lag de boete bij het ziekenhuis op de mat, maar nu pas is erover gepubliceerd. Met terugwerkende kracht lijkt Portugal dus de ‘winnaar’ – ervan uitgaande dat er geen andere onbekende boetes zijn uitgedeeld. Bovendien geldt voor beide dat er nog beroep open staat (waar het Portugese ziekenhuis al gebruik van maakt). Er staat dus nog niets onherroepelijk vast.
Twee schapen over de dam; volgen er meer?
In Nederland is het nog wachten op de eerste boete van de Autoriteit Persoonsgegevens (AP). Recent hebben zij weliswaar een hoge last onder dwangsom opgelegd aan het UWV, maar zoals we eerder schreven is een dwangsom niet hetzelfde als een boete onder de AVG.
