Toen het Ierse boetebesluit werd voorgelegd aan de andere betrokken nationale toezichthouders, waaronder de Autoriteit Persoonsgegevens, kwamen de toezichthouders er samen niet uit. Daarom werd een geschillenbeslechtingsprocedure (art. 65 AVG) gestart. De uitkomst daarvan is te vinden in een door de EDPB genomen bindend besluit. De EDPB oordeelde dat de DPC haar boetebesluit op verschillende punten moest herzien en aanvullen. In het finale besluit van de DPC werd uiteindelijk niet de voorgenomen boete van maximaal 50 miljoen euro, maar een boete van 225 miljoen euro opgelegd aan WhatsApp.
Dat verschil is onder andere te verklaren door het verschil in opvatting over de regels die zijn geschonden door WhatsApp.
Het was echter vooral de (norm)uitleg die de EDPB gaf aan de bepalingen inzake de administratieve boetes in de AVG die voor een hogere boete zorgde. Zo verduidelijkte de EDPB art. 83(3) AVG dat – simpel gezegd – stelt dat voor het vaststellen van de maximale boete rekening gehouden moet worden met alle normschendingen en dat het niet de bedoeling is de boete af te stemmen op de zwaarste schending, in dit geval de overtreding van art. 14 AVG.
De EDPB sprak zich ook uit over de berekening van de maximale administratieve boete die een toezichthouder kan opleggen. Deze wordt berekend aan de hand van de wereldwijde omzet van het voorafgaande boekjaar van de onderneming. De DPC ging er ten onrechte vanuit dat voor de berekening daarvan moest worden gekeken naar de cumulatieve wereldwijde omzet van WhatsApp Ierland en Facebook, Inc. het moederbedrijf. De EDPB zoekt voor haar uitleg daarentegen aansluiting bij het mededingingsrecht en stelde dat de DPC, voor het vaststellen van de wereldwijde omzet, moest uitgaan van de gehele Facebook, Inc. groep.
Tot slot oordeelde de EDPB dat de omvang van de wereldwijde omzet niet alleen van belang is voor de berekening van de maximaal op te leggen boete, maar dat die omzet ook relevant is voor het bepalen van de hoogte van de op te leggen boete. Een boete dient namelijk doeltreffend, evenredig en afschrikkend te zijn (art. 83(1) AVG).
De boete moet ook voor de overtreder in kwestie afschrikkend werken. Een boete van 50 miljoen euro heeft voor een lokale MKB’er een enorme afschrikwekkende werking, maar niet voor een miljardenonderneming als Facebook, Inc. De wereldwijde omzet is dus ook relevant om te bepalen of een boete afschrikwekkend is.
Al met al kan WhatsApp na de interventie/inmenging van de EDPB rekenen op een fors hogere boete. De zaak laat ook zien dat hoewel er maar één leidende toezichthouder is, de overige Europese toezichthouders toch nog een flinke vinger in de pap kunnen hebben in het uiteindelijke boetebesluit. Of de Ierse toezichthouder geleerd heeft van het bindend besluit zullen we binnenkort meemaken, nu een volgend voorgenomen boetebesluit openbaar is geworden, dit keer gericht aan Facebook. Het besluit is inmiddels aan de andere betrokken toezichthouders gestuurd; we gaan zien of dit aanleiding vormt voor een derde bindend besluit van de EDPB.
