Onnodige belemmeringen

Begin 2022 kreeg DPG Media B.V. (hierna: DPG) een flinke boete van 525.000 euro opgelegd door de AP wegens schending van de Algemene verordening gegevensbescherming, beter bekend als de AVG. De overtreding betrof het feit dat DPG gedurende lange tijd alleen inzageverzoeken of verzoeken tot verwijdering van gegevens van betrokkenen (op haar websites) in behandeling nam, als door die betrokkenen een kopie van het identiteitsbewijs was overgelegd. Indien betrokkenen het verzoek binnen het DPG-inlogsysteem op de website hadden ingediend, dan was een dergelijke kopie niet vereist.

Op grond van de AVG is een verwerkingsverantwoordelijke gehouden om de uitoefening van de rechten van de betrokkenen (waaronder het recht op inzage en het recht op verwijdering) te faciliteren. Volgens de AP legde het beleid van DPG onnodige belemmeringen op en werd daardoor de uitoefening van de rechten van betrokkenen op een onnodige wijze gehinderd, wat in strijd was met artikel 12, tweede lid van de AVG. De AP legde daarom voornoemde boete op.

Wel overtreding, geen boete

DPG is tegen de boete in beroep gegaan bij de rechtbank. De rechtbank oordeelt dat er inderdaad sprake is van een overtreding van het tweede lid van artikel 12 van de AVG en stelt vast dat DPG een te rigide procedure hanteerde voor het identificeren van betrokkenen. Door dit beleid te hanteren, werd van tevoren in ieder geval een onnodige belemmering opgeworpen. Hoewel de rechtbank dus de overtreding van DPG bevestigt, oordeelt de rechtbank echter dat de AP in dit geval onder deze specifieke omstandigheden niet mocht overgaan tot het opleggen van de boete.

Specifieke omstandigheden van het geval

Wat betreft het beoordelen van de ernst van de overtreding wijken het oordeel van de rechtbank en de zienswijze van de AP van elkaar af. Volgens de rechtbank heeft DPG niet ernstig verwijtbaar gehandeld, maar heeft zij slechts een onjuiste inschatting gemaakt.

Bovendien oordeelt de rechtbank dat de AP te weinig communicatie met DPG heeft gehad over de zaak en dat de toezichthouder meer inspanningen had moeten leveren in haar rol als voorlichter. Verder wijst de rechtbank de toezichthouder er ook op dat zij al in een eerder stadium had kunnen constateren dat het beleid van DPG in strijd was met artikel 12 van de AVG, toen DPG in 2019 al in een reactie openheid van zaken had gegeven over haar beleid. Hierdoor kan het langdurige karakter van de overtreding door DPG volgens de rechtbank niet aan DPG worden tegengeworpen. Verder heeft de AP onvoldoende rekening gehouden met het feit dat DPG haar werkwijze direct aanpaste nadat het onderzoeksrapport van de AP was gepubliceerd.

Dat er sprake is geweest van een “meer dan kleine inbreuk op de AVG”, kan de rechtbank niet vaststellen. De rechtbank vindt het belangrijk om op te merken dat het beleid van DPG een veel breder scala aan verzoeken van betrokkenen betrof, dan het deel waarop de boete ziet. In de meeste gevallen, namelijk als een betrokkene een verzoek deed tot inzage of wissing van persoonsgegevens binnen het inlogdomein van de website, bleek het dat van een overtreding van de AVG geen sprake was. Volgens de rechtbank ging het in dit geval om een relatief beperkt aantal verzoeken. De AP heeft bovendien niet vastgesteld in hoeveel van die gevallen het door DPG gehanteerde beleid in de praktijk daadwerkelijk tot een onnodige belemmering heeft geleid, omdat het vragen van een kopie van een identificatiebewijs daadwerkelijk niet nodig bleek te zijn geweest. Bij het opleggen van de boete heeft de AP onvoldoende oog gehad voor de genoemde omstandigheden.

Alternatieve maatregel

De rechtbank laat in het midden of er in de gegeven omstandigheden een alternatieve maatregel zoals bedoeld in artikel 58, tweede lid, van de AVG zou moeten worden opgelegd. De AP zou bijvoorbeeld op grond van dit artikel corrigerende maatregelen kunnen opleggen in de vorm van een berisping of een waarschuwing.

Indien u vragen heeft over de AVG, helpen wij u graag verder. Neem hier contact met ons op.