Gaat schending van de privacyregels ondernemingen volgend jaar geld kosten? Het College Bescherming Persoonsgegevens (CBP) krijgt meer boetebevoegdheden. Maar of dit gaat leiden tot een betere naleving van de Wet bescherming persoonsgegevens (Wbp) is de vraag. Ook volgens het CBP zelf.
Het CBP handhaaft nu vooral door toepassing van bestuursdwang en dwangsommen. Dit betekent dat het CBP de onderneming kan verplichten een Wbp-overtreding ongedaan te maken op straffe van een dwangsom. Een directe boete kan nu slechts door het CBP worden opgelegd als de verplichting gegevensverwerkingen vooraf bij het CBP te melden, niet is nagekomen. Het gebrek aan handhavingsbevoegdheden heeft de Wbp jarenlang tot een ondergeschoven kind gemaakt. Naar verwachting kan het CBP in 2015 hoge boetes opleggen voor vrijwel alle overtredingen van de Wbp, echter niet zonder eerst een bindende aanwijzing te geven. Dit lijkt dus sterk op het huidige systeem van bestuursdwang en dwangsom.
Het wetsvoorstel voorziet in een uitbreiding van de boetebevoegdheden van het CBP. Als het wetsvoorstel wordt aangenomen, kan het CBP boetes opleggen tot maximaal EUR 810.000 voor overtredingen van vrijwel alle verplichtingen in de Wbp waaronder: persoonsgegevens in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze te verwerken, persoonsgegevens slechts te verzamelen voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden, over een rechtmatige grondslag te beschikken, persoonsgegevens niet langer te bewaren dan nodig, niet meer persoonsgegevens te verwerken dan nodig, voldoende beveiligingsmaatregelen te treffen, de plicht individuen te informeren over onder meer de doeleinden van verwerking, persoonsgegevens slechts naar landen buiten de EU door te geven indien aan bepaalde regels is voldaan.
Het CBP zal echter eerst een bindende aanwijzing geven (tenzij de overtreding opzettelijk is gepleegd) en kan een termijn stellen waarbinnen de aanwijzing moet worden opgevolgd. Het CBP meent dat het via deze werkwijze nog steeds niet snel en effectief zal kunnen optreden tegen schendingen van de privacywetgeving. Hoewel dit wellicht klopt, is een werkwijze waarbij het CBP wel directe boetes kan opleggen wat mij betreft een brug te ver. De Wbp zit namelijk vol open normen die zich niet lenen voor een systeem waarbij direct hoge boetes kunnen worden opgelegd.
Het CBP krijgt naar verwachting in 2015 de mogelijkheid deze hoge boetes op te leggen. En hoewel de boetes niet direct kunnen worden opgelegd is het toch zaak dat ondernemingen nu Wbp compliant worden gemaakt. Naast een verhoogde boetedreiging, wacht de wereld namelijk met ingehouden adem op de Europese Privacyverordening die de Wbp moet gaan vervangen. Als deze verordening een feit is, kunnen mogelijk zelfs boetes tot 5% van de jaarlijkse wereldwijde omzet worden opgelegd voor schending van de privacyregels. Deze privacyregels zijn deels nieuw, maar deels ook al vastgelegd in de Wbp. Hoe dan ook, vluchten (in een privacyrechtloze wereld) kan niet meer.
Jacqueline van Essen is advocaat bij NautaDutilh
