Alert | Autoriteit Persoonsgegevens past boetebeleidsregels aan

Met de komst van de Algemene Verordening Gegevensbescherming (AVG) dienen bedrijven, waaronder ook zorgaanbieders, aan strengere privacyregels te voldoen. De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van deze privacyregels. Wanneer de AP constateert dat een zorgaanbieder de privacyregels overtreedt, dan kan de AP onder andere een boete opleggen. De AP heeft daarvoor nieuwe boetebeleidsregels opgesteld. De AP past deze beleidsregels toe, totdat er in Europa richtlijnen zijn opgesteld voor de berekening van de hoogte van boetes. Vanaf dat moment zal de AP deze Europese richtlijnen hanteren.

Boetemaximum

De AP houdt bij het vaststellen van de hoogte van de boete rekening met het maximale bedrag van de boete dat kan worden opgelegd. De AVG deelt de overtredingen daarbij in twee groepen in:

Fundamentele overtredingen zoals het langer bewaren van gegevens dan noodzakelijk voor het doel waarvoor de gegevens zijn verzameld, het niet op basis van een gerechtvaardigde grondslag verwerken van gegevens of het niet voldoen aan een verzoek van een patiënt om een afschrift van zijn gegevens.

Voor deze overtredingen kan de AP een boete opleggen van maximaal 20 miljoen euro of van 4% van de jaaromzet van de zorgaanbieder, wanneer dit bedrag hoger is dan 20 miljoen euro.

Inhoudelijke overtredingen zoals het niet of niet correct bijhouden van een verwerkingsregister, het niet aanstellen van een functionaris gegevensbescherming en het niet of te laat melden van een datalek.

Voor deze overtredingen kan de AP een boete opleggen van maximaal 10 miljoen euro of van 2% van de jaaromzet van de zorgaanbieder, wanneer dit bedrag hoger is dan 10 miljoen euro.

Boetecategorieën

Elke overtreding van de AVG is vervolgens ingedeeld in één van de vier boetecategorieën. Deze indeling is gemaakt op basis van de zwaarte en de ernst van de overtreding, waarbij een lichte overtreding in de eerste categorie wordt ingedeeld en een ernstige overtreding in de vierde categorie. Per categorie geldt een basisboete. Dat bedrag vormt de basis voor het bepalen van de hoogte van een op te leggen boete. De eerste boetecategorie kent als basisboete een bedrag van € 100.000,-, de tweede categorie € 310.000,-, de derde categorie € 525.000,- en de vierde boetecategorie € 725.000,-. Pas wanneer naar het oordeel van de AP een boete uit laatstgenoemde boetecategorie niet passend is, dan kan de AP overgaan tot het opleggen van de maximale boetes van 20 of 10 miljoen euro (of 2% of 4% van de jaaromzet).

Factoren

De basisboete van een categorie kan afhankelijk van de omstandigheden van het geval vervolgens door de AP aan de hand van een aantal factoren worden verhoogd of verlaagd. Daarbij kan worden gedacht aan de aard, ernst en duur van de overtreding, het aantal personen dat betrokken is bij de overtreding en de omvang van de schade. Bij recidive wordt de boete in beginsel met 50% verhoogd. Wanneer een zorgaanbieder onvoldoende draagkracht heeft, dan kan de boete ook worden gematigd.

Vragen

Heeft u vragen over de AVG-verplichtingen of de handhavingsmogelijkheden van de AP, neemt u dan contact op met de experts van de Marktgroep Zorg van Nysingh, die u hierover kunnen adviseren.

Actueel