Overheidsorganisaties die waarschuwingen van hun eigen privacyfunctionaris negeren, riskeren dat dit tegen hen wordt meegewogen wanneer zij de privacywet overtreden. Ook kunnen leidinggevenden persoonlijk worden beboet. Dat blijkt uit het handhavingsbeleid dat de Autoriteit Persoonsgegevens (AP) op 30 oktober heeft gepubliceerd.
AP kan overheden harder aanpakken als privacywaarschuwingen zijn genegeerd
De AP beschrijft dat onder bepaalde omstandigheden ook een feitelijk leidinggevende persoonlijk kan worden beboet.
In het document legt de privacytoezichthouder vast welke omstandigheden meewegen bij de keuze om een organisatie een boete of andere maatregel op te leggen. Daarbij kijkt de AP nadrukkelijk naar de manier waarop organisaties intern met privacyrisico's omgaan. Niet alleen de overtreding zelf telt mee, maar ook de vraag of die voorkomen had kunnen worden.
Genegeerde adviezen
Een belangrijke rol is daarbij weggelegd voor de functionaris gegevensbescherming (FG). Overheidsorganisaties zijn verplicht zo'n onafhankelijke privacyfunctionaris aan te stellen. Die adviseert onder meer over de verwerking van persoonsgegevens en de risico's die daarmee gepaard gaan.
Wanneer de AP een overtreding vaststelt, kan zij onderzoeken of de FG eerder voor de betreffende risico's heeft gewaarschuwd. Daarbij kijkt de toezichthouder naar gegevensbeschermingseffectbeoordelingen (DPIA's), adviezen en andere documenten. Ook weegt mee in hoeverre de organisatie daadwerkelijk opvolging heeft gegeven aan die waarschuwingen.
Daarnaast kan de AP rekening houden met de vraag of een overtreding voortvloeit uit het beleid van de organisatie. Ook eerdere overtredingen, de duur en ernst van de overtreding en de bereidheid om mee te werken aan herstel spelen een rol.
Leidinggevenden beboeten
De verantwoordelijkheid hoeft bovendien niet uitsluitend bij de organisatie te liggen. De AP beschrijft dat onder bepaalde omstandigheden ook een feitelijk leidinggevende persoonlijk kan worden beboet. Dat kan wanneer iemand opdracht heeft gegeven tot een overtreding of daaraan feitelijk leiding heeft gegeven.
Het herstellen van een overtreding betekent evenmin dat een boete automatisch van tafel is. De AP staat open voor overleg met organisaties die hun werkwijze willen aanpassen, maar behoudt de mogelijkheid om alsnog een sanctie op te leggen. Ook kan de toezichthouder een verwerking van persoonsgegevens tijdelijk stilleggen voordat een onderzoek is afgerond, bijvoorbeeld om te voorkomen dat burgers schade ondervinden die achteraf moeilijk te herstellen is.
Lange procedures
De AP geeft verder inzicht in de duur van handhavingsprocedures. Vanaf het voornemen om een formele maatregel op te leggen duurt zo'n procedure gemiddeld negen tot achttien maanden. Als wettelijke beslistermijnen worden overschreden, kan dat aanleiding zijn voor een korting op de uiteindelijke boete.
Plaats als eerste een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.