Give prompt payers of privacy fines an “early bird discount”
In this article Vonne Laan argues that giving an “early bird discount” to prompt payers of privacy fines in the Netherlands, would alleviate and facilitate the congested enforcement department of the Dutch Data Protection Authority (the Autoriteit Persoonsgegevens). It’s an opinion piece written for a Dutch newspaper (het Financieel Dagblad).
This article was initially published in a Dutch newspaper: het Financieel Dagblad on 8 April 2019.
Geef snelle betalers van privacyboetes een 'early bird-korting'
Opinie | Vonne Laan, advocaat privacyrecht
Binnenkort gaat de Autoriteit Persoonsgegeven (AP) echt boetes opleggen. Bestuursvoorzitter Aleid Wolfsen wordt geciteerd in het FD van 4 april: ‘Gelooft u mij: de eerste boetes komen er dit jaar aan.’ Dit is echter niet de eerste keer dat Wolfsen het over boetes heeft. Direct na zijn aantreden repte hij over ‘draconische boetes’ die onder de Algemene Verordening Gegevensbescherming zouden worden gaan opgelegd (in vakblad P&I, oktober 2016). In 2016 bleven de boetes echter uit.
In 2017 voltrok zich hetzelfde tafereel. Wolfsen in het FD van 11 juni 2017: ‘[bedrijven gaan ervan uit] dat we niet zo snel een boete geven. Maar dat gaan we wel doen.’ Ook dat jaar werd aan geen enkele organisatie een boete opgelegd. Pas op 6 november 2018 ging de voorlopig enige boete van €600.000 naar Uber voor het niet tijdig melden van een datalek. Waarom bleven de beloofde ‘draconische boetes’ uit?
‘Bedrijven kunnen bezwaar maken tegen een sanctie en zo de doorloopsnelheid van andere lopende onderzoeken vertragen’
Vaak wordt gesteld dat de Autoriteit Persoonsgegevens te klein is om zijn takenpakket te behapstukken. Maar hoe zit dat in vergelijking met bijvoorbeeld de Information Commissioner’s Office (ICO), de privacytoezichthouder in het Verenigd Koninkrijk? In de jaren 2017 en 2018 had de ICO gemiddeld 480 voltijds werknemers in dienst. Voor de AP waren dat er 188. Grofweg beschikte de ICO daarmee over 2,5 keer zoveel mankracht als de AP.
Dit verklaart echter niet het verschil in aantal boetebesluiten tussen de twee autoriteiten. Als we het ene boetebesluit van de AP uit 2018 vermenigvuldigen met 2,5 komen we niet in de richting van de 42 boetes (‘monetary penalties’) die de ICO in 2018 heeft opgelegd.
Toch kan worden aangenomen dat ook in Nederland de boetes dit jaar echt gaan komen, aangezien hier nu zelfs melding van wordt gemaakt in het jaarverslag 2018 van de AP. De focus van het toezicht wordt voortaan verbreed van ‘voornamelijk voorlichting naar meer handhaving’. Dit in vergelijking tot 2018. Meer dan 1 dus in elk geval.
Maar met een boete is de kous nog niet af. Bedrijven kunnen bezwaar maken tegen een sanctie en zo de doorloopsnelheid van andere lopende onderzoeken vertragen. De AP kan daarom overwegen of het mogelijk is om, net als de ICO, een ‘early bird-korting’ toe te kennen aan bedrijven die opgelegde boetes bijtijds betalen en geen bezwaar aantekenen.
