202401169/1/A3.Datum uitspraak: 29 mei 2024 AFDELINGBESTUURSRECHTSPRAAK Uitspraak op het hoger beroep van: [appellante], gevestigd te [plaats], appellante, tegen de uitspraak van de rechtbank Amsterdam van 15 januari 2024 in zaak nr. 22/101 en 22/102 in het geding tussen: [appellante] en de Autoriteit Persoonsgegevens. Procesverloop Bij besluit van 30 juli 2020 heeft de Autoriteit aan [appellante] een boete van € 6.000 opgelegd wegens overtreding van Verordening 2016/679 van het Europees Parlement en de Raad van de Europese Unie van 27 april 2016 betreffende de bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens en tot intrekking van Richtlijn 95/46/EG (de Algemene Verordening Gegevensbescherming, hierna: AVG). Bij besluit van 10 mei 2021 heeft de Autoriteit op grond van artikel 8 van de Wet openbaarheid van bestuur (hierna: Wob) besloten het besluit van 30 juli 2020 openbaar te maken. Bij afzonderlijke besluiten van 4 januari 2022 heeft de Autoriteit de door [appellante] tegen de besluiten van 30 juli 2020 en 10 mei 2021 gemaakte bezwaren ongegrond verklaard. Bij uitspraak van 15 januari 2024 heeft de rechtbank de door APG daartegen ingestelde beroepen ongegrond verklaard. Tegen deze uitspraak heeft [appellante] hoger beroep ingesteld. De Afdeling heeft de zaak ter zitting behandeld op 2 mei 2024, waar [appellante], vertegenwoordigd door mr. J.M. van den Hil-ten Thij, advocaat te Amsterdam en [gemachtigden], en de Autoriteit, vertegenwoordigd door mr. J.M.A. Koster en mr. E. Nijhof, zijn verschenen. Overwegingen Wettelijk kader 1. Het wettelijk kader is opgenomen in een bijlage, die deel uitmaakt van deze uitspraak. Inleiding 2. [ appellante] is een recruitmentbedrijf. Zij verwerkt persoonsgegevens van personen die zich via haar website hebben ingeschreven, onder meer om die personen via e-mail te kunnen benaderen met relevante vacatures. De Autoriteit heeft in november 2018 en maart 2019 klachten van drie personen ontvangen dat [appellante] niet tijdig reageerde op hun verzoeken om verwijdering van hun persoonsgegevens. De Autoriteit heeft naar aanleiding van deze klachten een onderzoek ingesteld. In het onderzoeksrapport van 3 december 2019 heeft de Autoriteit geconcludeerd dat [appellante] in strijd met de AVG heeft gehandeld. De Autoriteit heeft aan [appellante] een boete van € 6.000 opgelegd wegens overtreding artikel 17, eerste lid, in samenhang gelezen met artikel 12, derde lid, van de AVG. Overeenkomstig de Beleidsregels openbaarmaking door de Autoriteit Persoonsgegevens (Stcrt. 2016, nr. 1380) heeft de Autoriteit het boetebesluit openbaar gemaakt. De Autoriteit heeft deze besluiten in bezwaar gehandhaafd. 3. De rechtbank heeft de beroepen ongegrond verklaard. Hoger beroep Boetebesluit 4. [ appellante] betoogt dat de Autoriteit gelet op de omstandigheden van dit geval had moeten afzien van het opleggen van een boete of een alternatieve sanctie had moeten opleggen. Hiertoe voert zij aan dat de Autoriteit de overtreding van de AVG ten onrechte als ‘ernstig’ aanmerkt. De Autoriteit heeft ten onrechte meegewogen dat [appellante] zou zijn gewaarschuwd. De twee normoverdragende brieven die de Autoriteit in 2018 stelt te hebben verstuurd, heeft [appellante] nooit ontvangen. Verder wijst [appellante] op punt 148 van de considerans van de AVG, waaruit volgt dat - afhankelijk van de omstandigheden van het geval - met een berisping kan worden volstaan. In de praktijk blijkt de Autoriteit ook gevallen van het niet tijdig reageren op verwijderingsverzoeken als een kleine inbreuk te hebben aangemerkt en te volstaan met een berisping, ook al ging het om situaties met meerdere overtredingen. [appellante] stelt verder dat, als de boete mocht worden opgelegd, deze nog verdergaand had moeten worden gematigd, namelijk tot nihil. [appellante] heeft niet met opzet gehandeld. Zij had haar privacybeleid op orde en had al het mogelijke gedaan om overtredingen te voorkomen. Onvoldoende gewicht is toegekend aan de omstandigheid dat de verwijderverzoeken niet waren gericht aan het in de privacyverklaring genoemde e-mailadres. De drie incidenten waren het gevolg van een menselijke fout. [appellante] acht onduidelijk hoe de Autoriteit op grond van de factoren in de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 (hierna: Boetebeleidsregels) in de praktijk op zeer uiteenlopende boetes kan uitkomen. Gelet op het motiveringsbeginsel en het rechtszekerheidsbeginsel moet de Autoriteit uitleggen hoe zij tot een bepaalde boetehoogte is gekomen, maar dat heeft zij in dit geval niet gedaan. 4.1. Tussen partijen is niet in geschil dat [appellante] artikel 17, eerste lid, in samenhang gelezen met artikel 12, derde lid, van de AVG heeft overtreden. Op grond van artikel 58, tweede lid, van de AVG kan de Autoriteit in dit geval verschillende corrigerende maatregelen treffen. Wanneer met verwerkingen inbreuk op bepalingen van de AVG is gemaakt, kan de verwerkingsverantwoordelijke ingevolge sub b worden berispt. Ingevolge sub i kan, naargelang de omstandigheden van elke zaak, naast of in plaats van de in dit lid bedoelde maatregelen, een administratieve geldboete op grond van artikel 83 van de AVG worden opgelegd. Bij de beoordeling of een boete wordt opgelegd en het vaststellen van de hoogte daarvan, wordt rekening gehouden met de in artikel 83, tweede lid, van de AVG genoemde factoren. Hiertoe behoort onder meer de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade. De Autoriteit heeft aan haar bevoegdheid invulling gegeven door de Boetebeleidsregels vast te stellen, waarin zij de in de AVG genoemde factoren heeft overgenomen. 4.2. De Boetebeleidsregels bepalen voor een categorie II-situatie, het niet tijdig gevolg geven aan een verwijderingsverzoek, een basisboete van € 310.000 en een boetebandbreedte tussen € 120.000 en € 500.000. Afhankelijk van de in artikel 7 van de Boetebeleidsregels genoemde factoren kan de basisboete binnen de bandbreedte worden verhoogd of verlaagd. De Autoriteit heeft een boete van € 310.000 onevenredig hoog geacht. [appellante] heeft namelijk privacybeleid vastgesteld en meer dan 650 verwijderverzoeken wel succesvol verwerkt. Aannemelijk is dat de drie incidenten het resultaat zijn van een menselijke fout. Ook heeft [appellante] het beleid na de klachten aangescherpt. De Autoriteit heeft de boete in afwijking van de Boetebeleidsregels daarom gematigd en een boete van € 6.000 passend en geboden geacht. 4.3. Zoals de Afdeling eerder heeft overwogen (uitspraak van 13 december 2023, ECLI:NL:RVS:2023:4624), heeft de Autoriteit beleidsruimte om al dan niet handhavend op te treden. De Autoriteit heeft in het besluit op bezwaar overwogen dat het recht op verwijdering onlosmakelijk is verbonden met de controle op de verwerking van persoonsgegevens waardoor de belanghebbende in staat is te achterhalen of persoonsgegevens op rechtmatige wijze zijn verwerkt. Volgens de Autoriteit ging het om een ernstige overtreding, omdat in drie gevallen is geconstateerd dat [appellante] niet op verwijderingsverzoeken heeft gereageerd. De Autoriteit heeft in de schriftelijke uiteenzetting nader toegelicht dat het hier gaat om een groot bedrijf dat veel gevoelige persoonsgegevens onder zich heeft. De overtredingen deden zich voor bij verschillende labels van het bedrijf, waaruit kan worden opgemaakt dat het privacybeleid van [appellante] in de praktijk niet in brede zin werd nageleefd. De Afdeling kan de Autoriteit hierin volgen. Dat het niet om een incident ging, wordt ondersteund door twee waarschuwingsbrieven van de Autoriteit uit oktober en november 2018. Niet alleen blijkt daaruit dat er, naast de drie personen die klachten indienden en waarvoor de boete is opgelegd, nog twee andere personen klachten over [appellante] hebben ingediend. Daarnaast heeft [appellante] niet naar aanleiding van die brieven de feitelijke uitvoering van haar werkprocessen verbeterd. De stelling dat zij de beide aangetekend verstuurde brieven, gericht aan verschillende adressen van [appellante] niet heeft ontvangen, acht de Afdeling net als de Autoriteit niet geloofwaardig. De Autoriteit heeft verder toegelicht dat de voorliggende situatie verschilt van de door [appellante] genoemde gevallen waarin sprake was van een kleine inbreuk en met een berisping werd volstaan, omdat de Autoriteit [appellante] op de overtredingen heeft moeten wijzen en pas daarna gevolg is gegeven aan de verwijderingsverzoeken. Onder deze omstandigheden heeft de Autoriteit in dit geval mogen oordelen dat sprake was van een ernstige overtreding. Anders dan door [appellante] is betoogd, is het opleggen van een boete in plaats van een berisping niet in strijd met de uitspraak van het Hof van Justitie van 5 december 2023, ECLI:EU:C:2023:950 (Deutsche Wohnen). In die zaak heeft het Hof van Justitie overwogen dat voor het opleggen van een administratieve boete in de zin van artikel 83 van de AVG vanwege een inbreuk is vereist dat de verwerkingsverantwoordelijke deze inbreuk opzettelijk of uit nalatigheid heeft begaan (punt 75). Daarvoor is geen handeling en zelfs geen kennis van het leidinggevend orgaan van die rechtspersoon vereist (punt 77). In dit geval staat vast dat in drie afzonderlijke gevallen door medewerkers van [appellante] geen gevolg is gegeven aan verzoeken tot verwijdering van persoonsgegevens en dat de verzoekers opnieuw door medewerkers van [appellante] zijn benaderd. Dat handelen van de betreffende medewerkers is aan te merken als een door nalatigheid veroorzaakte inbreuk. Zoals hierna wordt overwogen, valt [appellante] namelijk een verwijt te maken. De Autoriteit mocht dan ook op grond van artikel 58, tweede lid, aanhef en onder i, van de AVG een boete opleggen. 4.4. De Afdeling begrijpt het betoog van [appellante] zo dat zij de opgelegde boete van € 6.000 nog steeds onevenredig hoog acht. De Afdeling zal het boetebesluit, dat op grond van Unierecht is genomen, mede gelet op artikel 83, eerste lid, van de AVG toetsen aan het Unierechtelijke evenredigheidsbeginsel. De Afdeling stelt vast dat de boete aanzienlijk lager is vastgesteld dan de in de Boetebeleidsregels genoemde basisboete. Met de rechtbank is zij van oordeel dat de boete in dit geval terecht niet verdergaand is gematigd. Met de omstandigheden dat [appellante] privacybeleid had, te weten een intern Handboek gegevensbescherming uit mei 2018, een interne Handleiding voor AVG-verzoeken uit 2018 en een privacy statement op de website, heeft de Autoriteit al rekening gehouden. Naar het oordeel van de Afdeling kan niet worden gezegd dat [appellante] haar privacybeleid ook op orde had. De betrokkenen hebben hun verwijderverzoeken ingediend als antwoord op de mailings die zij van recruiters ontvingen. Hoewel de Handleiding voor AVG-verzoeken - kennelijk als vangnet voor het in het privacy statement genoemde e-mailadres [mailadres] - in zo’n situatie voorzag, zijn de instructies om een bevestiging te sturen en de manager in te lichten om de benodigde stappen te ondernemen niet (goed) opgevolgd. Ook al is dat niet opzettelijk gebeurd, hiervan valt [appellante] wel een verwijt te maken. Uit de e-mailcorrespondentie met de drie betrokkenen, die bij het onderzoeksrapport van 3 december 2019 zijn gevoegd, blijkt dat [appellante] ook geen gevolg gaf aan herhaalde verzoeken om verwijdering en de betrokkenen bleef benaderen voor vacatures. Niet is gebleken van willekeur. Dat de Autoriteit in de praktijk op zeer uiteenlopende boetes kan uitkomen, maakt de in dit geval opgelegde boete niet onevenwichtig. Gelet op het doel van de AVG van een doeltreffende bescherming van persoonsgegevens, acht de Afdeling de boete van € 6.000 niet onevenredig. 4.5. Het betoog slaagt niet. Openbaarmakingsbesluit 5. [ appellante] stelt dat zij door de openbaarmaking van het boetebesluit onevenredig zal worden benadeeld, omdat zij reputatieschade en ten gevolge daarvan financiële schade zal lijden. Ervan uitgaand dat zij voor de duur van een jaar één plaatsing per maand minder realiseert en één eigen interne vacature minder vervult, begroot [appellante] haar schade op € 300.000. De rechtbank heeft dit schadebedrag ten onrechte afgezet tegen de omzet van [appellante] in plaats van de boetehoogte. [appellante] betoogt dat de rechtbank ten onrechte de door haar aangedragen belangen afzonderlijk heeft afgewogen in plaats van samen. De reputatieschade en financiële schade moeten volgens haar zwaarder wegen dan het algemeen belang bij publicatie. [appellante] voert verder aan dat van publicatie had moeten worden afgezien op grond van de bijzondere omstandigheden die zij heeft aangedragen in het kader van het boetebesluit. De publicatie voelt als een bestraffing. [appellante] verzet zich niet tegen anonieme publicatie; daarmee kan de Autoriteit ook de gestelde doelen nastreven. 5.1. Op 1 mei 2022 is de Wet open overheid in werking getreden. Het besluit op bezwaar tegen het openbaarmakingsbesluit dat in deze procedure ter beoordeling staat, is genomen op 4 januari 2022, dus voor 1 mei 2022. Dat betekent dat voor de beoordeling van dit geding de Wob nog van toepassing is (zie de uitspraak van de Afdeling van 15 juni 2022, ECLI:NL:RVS:2022:1699, onder 1.2). 5.2. Zoals de Afdeling eerder heeft overwogen (onder meer de uitspraak van 13 oktober 2021, ECLI:NL:RVS:2021:2295 en de uitspraak van 10 november 2010, ECLI:NL:RVS:2010:BO3468) past bij de taak van een toezichthouder dat boetebesluiten worden gepubliceerd, zodat bekendheid wordt gegeven aan de wijze van uitvoering van deze taak en anderen worden gewaarschuwd. Ook in de situatie waarin wordt overgegaan tot een openbaarmaking uit eigen beweging op grond van artikel 8 van de Wob, moet een afweging van belangen plaatsvinden. Die afweging houdt in dit geval in dat het algemene belang dat met openbaarmaking wordt gediend, moet worden afgewogen tegen het belang van [appellante] om geen onevenredig nadeel te lijden als gevolg van de publicatie. Daarbij wordt aan het algemeen belang van openbaarmaking een groot gewicht toegekend. 5.3. De Autoriteit heeft aan haar bevoegdheid als bedoeld in artikel 8 van de Wob invulling gegeven door de Beleidsregels openbaarmaking door de Autoriteit Persoonsgegevens vast te stellen. Ingevolge artikel 2.1 van die beleidsregels verschaft de Autoriteit uit eigen beweging informatie over het beleid, daaronder begrepen de voorbereiding en uitvoering daarvan met het oog op (
AI-uitleg op basis van de officiële wettekst. Indicatief, vervangt geen juridisch advies.