ABRvS 24 september 2025, ECLI:NL:RVS:2025:4562 – Afdeling vernietigt uitspraak Rb Amsterdam over boete aan DPG. AP mocht boete opleggen ondanks dat AVG net in werking was.

Instantie Afdeling bestuursrechtspraak van de Raad van State

Datum uitspraak: 24 september 2025

Datum publicatie: 24 september 2025

ECLI: ECLI:NL:RVS:2025:4562

Fragment:

Mocht de AP op grond van artikel 58, tweede lid, aanhef en onder i, van de AVG hiervoor een boete opleggen?

8.       De AP betoogt in haar hoger beroep dat de rechtbank ten onrechte heeft geoordeeld dat zij in dit geval niet zonder meer tot de oplegging van de boete had mogen overgaan. De AP voert hiertoe aan dat de overtreding [appellante sub 2] kan worden verweten. [appellante sub 2] heeft nagelaten een op de situatie toegesneden afweging van de persoonsgegevens die zij nodig heeft voor de identificatie van de betrokkene die zich op haar recht beroept, te maken. Zij voert verder aan dat de oplegging van een boete in dit geval, gezien de aard en de ernst van de overtreding, een doeltreffende, evenredige en afschrikwekkende maatregel was. Het ging om een vast en actief uitgedragen beleid en het betrof geen incidentele overtreding. Daarom is sprake van een ernstige inbreuk. Zij voert verder aan dat de rechtbank ten onrechte heeft overwogen dat het enkel gaat om een onjuiste inschatting van [appellante sub 2]. Ook heeft de rechtbank onvoldoende belang gehecht aan de significante risico’s die gepaard gaan met het onnodig verzamelen van kopieën van identiteitsbewijzen, in het bijzonder wanneer deze niet zijn afgeschermd. Het aantal betrokkenen dat is geraakt door het beleid van [appellante sub 2] kan niet worden vastgesteld. Dit aantal is in ieder geval veel hoger dan het aantal klagers. De rechtbank heeft dit ten onrechte niet onderkend door het toe te spitsen op en te beperken tot de daadwerkelijk ingediende verzoeken, aldus de AP.

8.1.    Zoals de Afdeling eerder heeft overwogen (uitspraak van 29 mei 2024, ECLI:NL:RVS:2024:2221 onder 4.1), kan de AP op grond van artikel 58, tweede lid, van de AVG in geval van overtreding verschillende corrigerende maatregelen treffen. Ingevolge sub i kan, afhankelijk van de omstandigheden van elke zaak, naast of in plaats van de in dit lid bedoelde maatregelen, een administratieve geldboete op grond van artikel 83 van de AVG worden opgelegd. Bij de beoordeling of een boete wordt opgelegd en het vaststellen van de hoogte van die boete, wordt rekening gehouden met de in artikel 83, tweede lid, van de AVG genoemde factoren. Hiertoe behoren onder meer de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie net als het aantal getroffen betrokkenen en de omvang van de door hen geleden schade. De AP heeft aan haar bevoegdheid invulling gegeven door de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 (hierna: Boetebeleidsregels) vast te stellen, waarin zij de in de AVG genoemde factoren heeft overgenomen.

8.2.    Op grond van artikel 83, vijfde lid, van de AVG is de AP bevoegd een boete op te leggen bij een inbreuk van artikel 12 van de AVG. Op grond van de Boetebeleidsregels valt de overtreding van artikel 12, tweede lid, van de AVG onder Categorie III. De basisboete van Categorie III bedraagt € 525.000,00. Bij het opleggen van een boete moet de AP de factoren uit artikel 83, tweede lid, van de AVG en de factoren uit artikel 7 van de Boetebeleidsregels in acht nemen.

8.3.    Zoals de Afdeling eerder heeft overwogen (uitspraak van 13 december 2023, ECLI:NL:RVS:2023:4624, onder 6.1), heeft de AP beleidsruimte om al dan niet handhavend op te treden. De AP heeft in de periode van mei 2018 tot en met januari 2019 klachten ontvangen over de handelswijze van [appellante sub 2] bij verzoeken om inzage in en wissing van persoonsgegevens van betrokkenen buiten de inlogomgeving. De Afdeling overweegt dat van een grote, professionele mediapartij die veel persoonsgegevens verwerkt, mag worden verwacht dat in het faciliteren van rechten op grond van de AVG extra zorgvuldigheid wordt betracht (vergelijk de uitspraak van 23 oktober 2024, ECLI:NL:RVS:2024:4281). Daarbij acht de Afdeling van belang dat geen sprake is van een incident of een enkele vergissing, maar van structureel beleid waarbij standaard en op voorhand een kopie van het identiteitsbewijs werd verlangd van betrokkenen die buiten de online inlogomgeving van [appellante sub 2] een verzoek deden om uitoefening van hun recht op inzage in of wissing van hun persoonsgegevens. In dit geval staat vast dat in minimaal vijf afzonderlijke gevallen een verzoek om inzage in of wissing van persoonsgegevens niet in behandeling werd genomen zolang er geen kopie van het identiteitsbewijs was verstrekt. Dat beleid is aan te merken als een door nalatigheid veroorzaakte inbreuk. [appellante sub 2] valt daarvan een verwijt te maken. Onder deze omstandigheden heeft de AP mogen oordelen dat sprake was van een ernstige overtreding. Anders dan de rechtbank, is de Afdeling van oordeel dat de AP op grond van artikel 58, tweede lid, aanhef en onder i, gelezen in samenhang met artikel 83 van de AVG handhavend mocht optreden. De AP mocht dus een boete opleggen voor deze overtreding.

8.4.    Het betoog van de AP slaagt in zoverre.

Bron: https://uitspraken.rechtspraak.nl/details?id=ECLI:NL:RVS:2025:4562