Boetes?
De Autoriteit Persoonsgegevens (AP) houdt toezicht op de naleving van de verordening en kan boetes opleggen. De maximale boete is 20 miljoen euro of 4% van de wereldwijde jaaromzet (mocht dat bedrag hoger zijn). Onder EU-recht moeten sancties doeltreffend, evenredig én afschrikkend zijn. Dat laatste punt is waarschijnlijk de reden dat het plafond voor de boetes zo hoog ligt.
Overtredingen
De AVG noemt twee categorieën overtredingen. Wanneer een verwerkingsverantwoordelijke of verwerker een overtreding begaat van de meer fundamentele verplichtingen uit de AVG, dan kan deze worden bestraft met een boete van de hoogste categorie. Het gaat dan voornamelijk om schending van rechten van een betrokkene, zoals het recht van inzage, het recht op gegevenswissing en het recht op dataportabiliteit, of bijvoorbeeld om doorgiften van persoonsgegevens aan landen of organisaties buiten de EU.
Onder de tweede categorie valt vooral het niet volgen van procedures uit de AVG, zoals het niet aanstellen van een functionaris voor gegevensbescherming, het melden van datalekken of het nemen van onvoldoende beveiligingsmaatregelen.
Overwegingen bij het opleggen van een geldboete
Uit de AVG volgt verder dat een toezichthouder zorgvuldig moet afwegen of het opleggen van een geldboete passend (doeltreffend, evenredig en afschrikkend) is voor de overtreding. Wanneer het gaat om een kleine inbreuk kan ook gekozen worden voor een berisping in plaats van meteen een geldboete. Toezichthouders mogen naar eigen inzicht hun boetebeleid opstellen.