Met de komst van de Algemene Verordening Gegevensbescherming (AVG) in mei 2018 staat het onderwerp ‘privacy’ bij bijna elk bedrijf wel op de agenda. Met name de mogelijkheid voor privacytoezichthouders om bestuurlijke boetes tot 20 miljoen euro of vier procent van de totale wereldwijde omzet van een onderneming in het voorgaande boekjaar op te leggen, speelt hierbij een belangrijke rol. Bijna twee jaar later staat de teller op ruim 200 boetes die door de verschillende Europese privacytoezichthouders zijn opgelegd. Bij de Autoriteit Persoonsgegevens staat de teller officieel op twee, maar schijn bedriegt…
Bekend zijn de boetes die aan het HagaZiekenhuis en de Koninklijke Nederlandse Lawn Tennis Bond (KNLTB) zijn opgelegd. Bij het HagaZiekenhuis bleken tal van medewerkers gesnuffeld te hebben in het medische dossier van reality-ster Barbie. De beveiliging van de patiëntendossiers was (dus) niet op orde en de AP legde in de zomer van 2019, naast een fikse dwangsom, een boete van 460.000 euro op. Begin maart 2020 was de KNLTB aan de beurt: 525.000 euro boete voor de onrechtmatige verkoop van persoonsgegevens van honderdduizenden leden aan twee sponsors.
Is dit nu alles na bijna twee jaar? Zoals ik al aangaf; schijn bedriegt. Al langer geeft de AP in interviews aan dat er in diverse boetes op komst zijn en ja hoor, goed verstopt in een uitspraak van de rechtbank Limburg in kort geding van 4 maart jl. zien we dat er in december 2019 ook een boete is opgelegd. Een nog onbekende partij is beboet voor het overtreden van het verbod van artikel 9 AVG om biometrische persoonsgegevens te verwerken. In dit geval zou het gaan om het verwerken van vingerafdrukken van werknemers. In augustus 2019 oordeelde de civiele rechter in de Manfield-zaak al dat de inzet van een vingerscanautorisatiesysteem door een werkgever de AVG-toets veelal niet kan doorstaan.
Uit officieuze bron heb ik vernomen dat de boete ruim 700.000 euro bedraagt. Voorlopig zullen we er niet achter komen om welke partij dit gaat, omdat de vermeende overtreedster via bovengenoemd kort geding heeft weten af te dwingen dat “de naam van verzoekster, haar adres en haar inschrijvingsnummer bij de Kamer van Koophandel in het boetebesluit van 4 december 2019 niet openbaar mogen worden gemaakt tot zes weken na bekendmaking van de beslissing op bezwaar”. Het blijft dus spannend, maar een ding is duidelijk: de AP zit niet stil. Wordt vervolgd!
