Boetes
In 2022 legde de AP de hoogste AVG-boete tot nu toe op: 3,7 miljoen euro aan de Belastingdienst wegens het onrechtmatig verwerken van persoonsgegevens in het kader van de Fraude Signaleringsvoorziening (FSV). De FSV was een applicatie waarin fraudesignalen werden verwerkt. De Belastingdienst had geen grondslag voor het verwerken van deze gegevens. Ook waren de doeleinden van de FSV onduidelijk, stonden er onjuiste gegevens in de FSV en werden de gegevens te lang bewaard.
De AP deelde in 2022 ook een boete uit aan DPG Media voor het onrechtmatig verwerken van kopieën van ID-bewijzen (525.000 euro) en aan het ministerie van Buitenlandse Zaken vanwege de slechte beveiliging van het Nationaal Visum Informatie Systeem (NVIS) (565.000 euro). Tot slot kreeg de gemeente Rotterdam net voor de kerst een boete (50.000 euro) wegens de inzet van camera-auto’s om te controleren of burgers zich aan de coronamaatregelen hielden, waarmee te veel gegevens werden verwerkt. Ook was de benodigde data protection impact assessment niet uitgevoerd.
Grondslagendiscussie
Een andere boete ging juist van tafel: de boete van 575.000 euro die in juli 2020 aan VoetbalTV was opgelegd. Volgens de AP kon VoetbalTV zich voor het verwerken van beelden van amateurvoetbalwedstrijden niet baseren op de grondslag gerechtvaardigd belang omdat VoetbalTV uitsluitend een zuiver commercieel belang zou hebben. Volgens de normuitleg van de AP kan een zuiver commercieel belang nooit een gerechtvaardigd belang zijn. De rechtbank Midden-Nederland vernietigde dit boetebesluit in november 2020, omdat er sprake was van een onzorgvuldig genomen besluit, hetgeen door de Afdeling bestuursrechtspraak van de Raad van State (de Afdeling) in juli 2022 is bevestigd. Helaas gaf de Afdeling geen antwoord op de vraag of een ‘zuiver commercieel belang’ een gerechtvaardigd belang zou kunnen zijn. Dit antwoord krijgen we misschien binnenkort vanuit Luxemburg, want in de KNLTB-zaak zijn hierover prejudiciële vragen gesteld door de rechtbank Amsterdam. De AP legde in maart 2020 aan de KNLTB een boete op van 525.000 euro op, omdat de KNLTB gegevens van leden op basis van de grondslag ‘gerechtvaardigd belang’ aan twee sponsoren had verkocht. Het is nu dus wachten op de beantwoording van de prejudiciële vragen door het Hof van Justitie EU.
In het licht van de grondslagendiscussie blik ik toch ook alvast een klein beetje vooruit, want eind 2022 lekte uit dat Meta Platforms Inc. mogelijk een recordboete boven het hoofd hangt. Wat is er aan de hand? In mei 2018, op de dag dat de AVG van toepassing werd, besloot Meta gebruikers niet langer toestemming te vragen voor het verwerken van persoonsgegevens om hen gepersonaliseerde advertenties te kunnen tonen. Door een bepaling aan de gebruiksvoorwaarden toe te voegen werd deze verwerking zogenaamd noodzakelijk voor de overeenkomst die gebruikers met Meta sluiten (art. 6 lid 1 onder b AVG), waardoor de strenge eisen die onder de AVG voor het vragen van toestemming gelden konden worden omzeild. De welbekende Max Schrems diende met zijn organisatie noyb diverse klachten in. De Ierse privacytoezichthouder volgde aanvankelijk het standpunt van Meta, maar zou volgens de laatste berichtgeving zijn teruggefloten door de European Data Protection Board (EDPB). De EDPB heeft de Ierse toezichthouder verplicht om in januari 2023 een definitief besluit te nemen en hierbij een substantiële boete op te leggen.
Vooruitblikken
2022 was dus allesbehalve saai te noemen. Wilt u weten wat u in 2023 op privacyrechtelijk gebied te wachten staat? Lees dan de volgende Snelrecht Privacy van mr. Anna Berlee, die zal vooruitblikken op 2023. Rest mij niets anders dan u alle goeds te wensen voor 2023!
