De AVG creëert zoals algemeen bekend de mogelijkheid om bij overtredingen astronomische boetes op te leggen, tot 20 miljoen euro of voor een onderneming maximaal 4% van de wereldwijde omzet. Deze mogelijkheid is gecreëerd om een vuist te kunnen maken tegen de internationale Big Tech die niet schrikt van een boete van een paar ton. In Nederland zijn de hoogste boetes tot op heden echter opgelegd aan overheidsorganisaties. Op 7 april 2022 heeft de Belastingdienst de twijfelachtige eer gekregen het eigen boeterecord - dat stond op 2,7 miljoen Euro (voor het verwerken van de dubbele nationaliteit van aanvragers van kinderopvangtoeslag) - met 1 miljoen Euro te verbreken. De AP legde een boete op van 3,7 miljoen Euro, kort gezegd in verband met de Fraude Signalerings Voorziening (FSV). In dit blog wordt weergegeven hoe de boete zich verhoudt tot eerdere in Nederland opgelegde boetes, de boetebeleidsregels van de AP en wat het de betrokkenen verder brengt.
Overheidsorganisaties vaak de klos
Het is opvallend te noemen dat de hoogste boetes van de AP tot op heden zijn opgelegd aan overheidsorganisaties zoals uit onderstaand overzicht blijkt:
Boetes
Last onder dwangsom
Overige sancties AP
Dat overheidsorganisaties de privacywetgeving vaak overtreden kan enerzijds verklaard worden doordat overheidsorganisaties naar hun aard grote hoeveelheden vaak gevoelige persoonsgegevens verwerken. Het is niet verbazingwekkend dat er dan soms zaken fout lopen. Honderd procent compliance is een grote uitdaging, zo niet een illusie. De overtredingen uit het bovenstaande overzicht betreffen echter geen foutjes of formaliteiten, maar veelal ernstige schendingen van kernbeginselen van privacywetgeving. De AP heeft er kennelijk de handen vol aan.
De FSV
De FSV was een applicatie waarin signalen werden opgenomen over vastgestelde fraude en signalen die konden wijzen op een verhoogde kans op fraude met belastingen en toeslagen. De Belastingdienst nam in FSV voornamelijk personen op die fraude hadden gepleegd en personen waarvan het vermoeden bestond dat ze mogelijk belasting- of toeslagenfraude zouden hebben gepleegd. De reden waarom mensen op de lijst geplaatst werden was vaak onduidelijk. FSV werd binnen de Belastingdienst gebruikt bij de beoordeling van belastingaangiftes en aanvragen voor toeslagen en werd gebruikt voor het registreren van informatieverzoeken vanuit andere overheden. FSV werd ook geraadpleegd voor het opstellen van risicomodellen en bij het bepalen of er een boete moest worden opgelegd in het kader van de invordering van belasting- of toeslagenschulden. Voor iemand die om wat voor reden ook op de lijst werd geplaatst, had dit dan ook potentieel grote consequenties.
De AP erkende dat de belastingwetgeving de bevoegdheid biedt om in concrete gevallen persoonsgegevens te verzamelen voor toezichtdoeleinden. De belastingwetgeving biedt echter onvoldoende precieze aanknopingspunten om als grondslag te dienen voor een aparte, structurele, omvangrijke en segment-overstijgende verzameling van veelsoortige, (te) gedetailleerde (bijzondere en strafrechtelijke) persoonsgegevens in FSV. Daarnaast waren de verwerkingen in FSV niet noodzakelijk voor de vervulling van de publieke taak van de Belastingdienst om toezicht te houden. Er werd namelijk niet voldaan aan het proportionaliteitsbeginsel omdat de inbreuk op de belangen van de betrokkenen onevenredig was in verhouding tot het met de verwerking te dienen doel, waarbij geldt dat de doeleinden van FSV niet welbepaald en daarmee onduidelijk waren. De AP is verder van oordeel dat ook niet aan het subsidiariteitsbeginsel werd voldaan omdat het nagestreefde doel op een andere, minder vergaande wijze kan worden gediend, namelijk zonder FSV of met vormgeving van een andere meer beperkte applicatie.
De AP legt een boete op voor het ontbreken van een grondslag, het schenden van de beginselen van doelbinding, juistheid, opslagbeperking, daarnaast voor het niet nemen van passende beveiligingsmaatregelen en het niet naar behoren en tijdig betrekken van de Functionaris Gegevensbescherming (de FG).
De nieuwste belastingdienst-boete is een optelsom
In de boetebeleidsregels van de AP wordt voor de zwaarste overtredingen een bandbreedte gehanteerd tussen EUR 450.000 en EUR 1.000.000. De basisboete van EUR 725.000 bij dergelijke overtredingen kan worden verhoogd of verlaagd aan de hand van tal van factoren zoals de aard, de ernst en de duur, de mate van nalatigheid en eerdere relevante inbreuken (art. 7 boetebeleidsregels).
Indien de voor de overtreding bepaalde boetecategorie in het concrete geval geen passende bestraffing toelaat, kan de Autoriteit Persoonsgegevens bij het bepalen van de hoogte van de boete de boetebandbreedte van de naast hogere categorie respectievelijk de boetebandbreedte van de naast lagere categorie toepassen. Daarnaast kan in geval van recidive de boete met 50% verhoogd worden.
De boete van 3,7 miljoen ligt ruim hoger dan de hoogste boetecategorie. Dat komt omdat de boete een optelsom is van afzonderlijke boetes voor de verschillende genoemde overtredingen.
De AP legt de volgende (deel)boetes op:
De AP stelt vast dat de verschillende overtredingen apart beboetbaar zijn omdat de overtredingen verschillende belangen schenden. Wel matigt de AP de boete ten aanzien van de opslagbeperking wegens de samenhang met het ontbreken van een wettelijke grondslag.
Artikel 10 van de boetebeleidsregels bepaalt dat ingeval van meerdere overtredingen met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten, de totale boete niet hoger is dan het wettelijk boetemaximum van de zwaarste overtreding. Dat maximum zou in dit geval op EUR 20 miljoen liggen. Er was dus nog wel ruimte voor een hogere sanctie.
Vestzak - broekzak
Met name in het geval van de Belastingdienst, die formeel acteert onder de Minister van Financiën, heeft de boete natuurlijk een hoog vestzak-broekzak gehalte. De vraag rijst dan ook al snel wat de betrokkene er aan heeft. De boetes vormen echter wel degelijk een stevig signaal, dat in de politiek niet onopgemerkt blijft en dat ook juridisch zijn schaduw vooruit werpt. De voorzitter van de AP, Aleid Wolfsen, heeft bij de publicatie van de boete een oproep gedaan tot een ruimhartige compensatie van betrokkenen die zonder goed onderbouwde fraudeverdenking in de FSV stonden. Het kabinet heeft aangegeven daarvoor open te staan. Dat is begrijpelijk. Bij het uitblijven van deugdelijke compensatie lijkt de kwestie zich immers bij uitstek te lenen voor een massaclaim.
De AVG creëert zoals algemeen bekend de mogelijkheid om bij overtredingen astronomische boetes op te leggen, tot 20 miljoen euro of voor een onderneming maximaal 4% van de wereldwijde omzet. Deze mogelijkheid is gecreëerd om een vuist te kunnen maken tegen de internationale Big Tech die niet schrikt van een boete van een paar ton. In Nederland zijn de hoogste boetes tot op heden echter opgelegd aan overheidsorganisaties. Op 7 april 2022 heeft de Belastingdienst de twijfelachtige eer gekregen het eigen boeterecord - dat stond op 2,7 miljoen Euro (voor het verwerken van de dubbele nationaliteit van aanvragers van kinderopvangtoeslag) - met 1 miljoen Euro te verbreken. De AP legde een boete op van 3,7 miljoen Euro, kort gezegd in verband met de Fraude Signalerings Voorziening (FSV). In dit blog wordt weergegeven hoe de boete zich verhoudt tot eerdere in Nederland opgelegde boetes, de boetebeleidsregels van de AP en wat het de betrokkenen verder brengt.
Overheidsorganisaties vaak de klos
Het is opvallend te noemen dat de hoogste boetes van de AP tot op heden zijn opgelegd aan overheidsorganisaties zoals uit onderstaand overzicht blijkt:
Boetes
Last onder dwangsom
Overige sancties AP
Dat overheidsorganisaties de privacywetgeving vaak overtreden kan enerzijds verklaard worden doordat overheidsorganisaties naar hun aard grote hoeveelheden vaak gevoelige persoonsgegevens verwerken. Het is niet verbazingwekkend dat er dan soms zaken fout lopen. Honderd procent compliance is een grote uitdaging, zo niet een illusie. De overtredingen uit het bovenstaande overzicht betreffen echter geen foutjes of formaliteiten, maar veelal ernstige schendingen van kernbeginselen van privacywetgeving. De AP heeft er kennelijk de handen vol aan.
De FSV
De FSV was een applicatie waarin signalen werden opgenomen over vastgestelde fraude en signalen die konden wijzen op een verhoogde kans op fraude met belastingen en toeslagen. De Belastingdienst nam in FSV voornamelijk personen op die fraude hadden gepleegd en personen waarvan het vermoeden bestond dat ze mogelijk belasting- of toeslagenfraude zouden hebben gepleegd. De reden waarom mensen op de lijst geplaatst werden was vaak onduidelijk. FSV werd binnen de Belastingdienst gebruikt bij de beoordeling van belastingaangiftes en aanvragen voor toeslagen en werd gebruikt voor het registreren van informatieverzoeken vanuit andere overheden. FSV werd ook geraadpleegd voor het opstellen van risicomodellen en bij het bepalen of er een boete moest worden opgelegd in het kader van de invordering van belasting- of toeslagenschulden. Voor iemand die om wat voor reden ook op de lijst werd geplaatst, had dit dan ook potentieel grote consequenties.
De AP erkende dat de belastingwetgeving de bevoegdheid biedt om in concrete gevallen persoonsgegevens te verzamelen voor toezichtdoeleinden. De belastingwetgeving biedt echter onvoldoende precieze aanknopingspunten om als grondslag te dienen voor een aparte, structurele, omvangrijke en segment-overstijgende verzameling van veelsoortige, (te) gedetailleerde (bijzondere en strafrechtelijke) persoonsgegevens in FSV. Daarnaast waren de verwerkingen in FSV niet noodzakelijk voor de vervulling van de publieke taak van de Belastingdienst om toezicht te houden. Er werd namelijk niet voldaan aan het proportionaliteitsbeginsel omdat de inbreuk op de belangen van de betrokkenen onevenredig was in verhouding tot het met de verwerking te dienen doel, waarbij geldt dat de doeleinden van FSV niet welbepaald en daarmee onduidelijk waren. De AP is verder van oordeel dat ook niet aan het subsidiariteitsbeginsel werd voldaan omdat het nagestreefde doel op een andere, minder vergaande wijze kan worden gediend, namelijk zonder FSV of met vormgeving van een andere meer beperkte applicatie.
De AP legt een boete op voor het ontbreken van een grondslag, het schenden van de beginselen van doelbinding, juistheid, opslagbeperking, daarnaast voor het niet nemen van passende beveiligingsmaatregelen en het niet naar behoren en tijdig betrekken van de Functionaris Gegevensbescherming (de FG).
De nieuwste belastingdienst-boete is een optelsom
In de boetebeleidsregels van de AP wordt voor de zwaarste overtredingen een bandbreedte gehanteerd tussen EUR 450.000 en EUR 1.000.000. De basisboete van EUR 725.000 bij dergelijke overtredingen kan worden verhoogd of verlaagd aan de hand van tal van factoren zoals de aard, de ernst en de duur, de mate van nalatigheid en eerdere relevante inbreuken (art. 7 boetebeleidsregels).
Indien de voor de overtreding bepaalde boetecategorie in het concrete geval geen passende bestraffing toelaat, kan de Autoriteit Persoonsgegevens bij het bepalen van de hoogte van de boete de boetebandbreedte van de naast hogere categorie respectievelijk de boetebandbreedte van de naast lagere categorie toepassen. Daarnaast kan in geval van recidive de boete met 50% verhoogd worden.
De boete van 3,7 miljoen ligt ruim hoger dan de hoogste boetecategorie. Dat komt omdat de boete een optelsom is van afzonderlijke boetes voor de verschillende genoemde overtredingen.
De AP legt de volgende (deel)boetes op:
De AP stelt vast dat de verschillende overtredingen apart beboetbaar zijn omdat de overtredingen verschillende belangen schenden. Wel matigt de AP de boete ten aanzien van de opslagbeperking wegens de samenhang met het ontbreken van een wettelijke grondslag.
Artikel 10 van de boetebeleidsregels bepaalt dat ingeval van meerdere overtredingen met betrekking tot dezelfde of daarmee verband houdende verwerkingsactiviteiten, de totale boete niet hoger is dan het wettelijk boetemaximum van de zwaarste overtreding. Dat maximum zou in dit geval op EUR 20 miljoen liggen. Er was dus nog wel ruimte voor een hogere sanctie.
Vestzak - broekzak
Met name in het geval van de Belastingdienst, die formeel acteert onder de Minister van Financiën, heeft de boete natuurlijk een hoog vestzak-broekzak gehalte. De vraag rijst dan ook al snel wat de betrokkene er aan heeft. De boetes vormen echter wel degelijk een stevig signaal, dat in de politiek niet onopgemerkt blijft en dat ook juridisch zijn schaduw vooruit werpt. De voorzitter van de AP, Aleid Wolfsen, heeft bij de publicatie van de boete een oproep gedaan tot een ruimhartige compensatie van betrokkenen die zonder goed onderbouwde fraudeverdenking in de FSV stonden. Het kabinet heeft aangegeven daarvoor open te staan. Dat is begrijpelijk. Bij het uitblijven van deugdelijke compensatie lijkt de kwestie zich immers bij uitstek te lenen voor een massaclaim.