Het middel en de hoogte van de boete

19. Op grond van artikel 83, vijfde lid, van de AVG is verweerder bevoegd een boete op te leggen bij een inbreuk van artikel 12 van de AVG. Op grond van de Boetebeleidsregels Autoriteit Persoonsgegevens (Boetebeleidsregels) valt de overtreding van artikel 12, tweede lid, van de AVG onder Categorie III. De basisboete van Categorie III bedraagt € 525.000.4 Bij het opleggen van een boete moet verweerder een aantal factoren in acht nemen. Deze factoren zijn opgesomd in artikel 83, tweede lid, van de AVG en artikel 7 van de Boetebeleidsregels.

20. Volgens vaste jurisprudentie van de Afdeling5 moet een bestuursorgaan bij het toepassen van de bevoegdheid om een boete op te leggen de hoogte van de boete afstemmen op de ernst van de overtreding en de mate waarin deze aan de overtreder kan worden verweten. Daarbij moet rekening worden gehouden met de omstandigheden waaronder de overtreding is gepleegd. Dit is geregeld in artikel 5:46, tweede lid, van de Algemene wet bestuursrecht. Verweerder heeft beleidsregels vastgesteld waarin de boetebedragen voor de overtredingen zijn vastgelegd. Ook als de rechter het beleid niet onredelijk heeft bevonden, moet verweerder bij de toepassing daarvan in een individueel geval beoordelen of die toepassing in overeenstemming is met de hiervoor bedoelde wettelijke eisen aan de uitoefening van de boetebevoegdheid. Steeds moet ten aanzien van de boete, zo nodig in aanvulling op of in afwijking van het beleid, worden vastgesteld dat deze evenredig is. De rechtbank toetst het besluit zonder terughoudendheid.

21. De rechtbank is van oordeel dat verweerder in dit geval niet zonder meer tot de oplegging van de boete had mogen komen. Naar het oordeel van de rechtbank heeft verweerder onvoldoende oog gehad voor de onderstaande omstandigheden.

22. De doelstelling van de AVG is gelegen in het beschermen van persoonsgegevens. Ook de identificatieplicht strekt hiertoe. DPG heeft bij het maken van het beleid een invulling gegeven aan deze identificatieplicht, om er zeker van te zijn dat de persoon die een verzoek doet de betrokkene is in de zin van de AVG. Zij is daarmee niet lichtzinnig omgegaan met haar plichten als verwerkingsverantwoordelijke, maar heeft enkel een onjuiste inschatting gemaakt van het vereiste evenwicht tussen databescherming en het faciliteren van andere rechten uit de AVG. Van ernstig verwijtbaar handelen kan in zoverre niet worden gesproken. Zoals in overweging 14 is gesteld, is een kopie van een identiteitsbewijs bovendien volgens de Afdeling op zichzelf een goed middel om iemand te identificeren.

23. Daarbij komt dat de AVG in de periode waarom het gaat nog maar recent in werking was getreden, namelijk op 25 mei 2018. Verweerder nam hierna bij e-mail van

29 januari 2019 voor het eerst contact met DPG op, waarop DPG op 18 februari 2019 reageerde. Na 18 februari 2019 hoorde DPG vervolgens enige tijd niets, waarna verweerder haar op 3 juli 2019 vroeg specifiek te reageren op de vijf klachten die verweerder had ontvangen. Nadat DPG op 17 juli 2019 aan dit verzoek had voldaan, hoorde DPG pas op

21 oktober 2021 pas weer van verweerder, toen deze het concept rapport opstuurde. De rechtbank overweegt dat verweerder al in een eerder stadium het gesprek aan had kunnen gaan en minst genomen de suggestie had kunnen doen om het beleid aan te passen. Dit klemt temeer, nu DGP in haar brief van 18 februari 2019 al expliciet de vraag aan de orde had gesteld of zij haar beleid zo kon voortzetten, terwijl verweerder, zeker in de periode direct na de inwerkingtreding van de AVG, ook een voorlichtende rol op zich genomen had als toezichthoudende autoriteit. DPG had in de eerste reactie van 18 februari 2019 ook al zodanige openheid van zaken gegeven over haar beleid, dat verweerder zonder meer al op dat moment had kunnen constateren dat het beleid naar haar oordeel in strijd kwam met het bepaalde in artikel 12 van de AVG. Een en ander maakt dat het door verweerder genoemde langdurige karakter van de overtreding niet aan DPG kan worden tegengeworpen. Daarbij constateert de rechtbank ook nog dat DPG het beleid al uit eigen beweging had gewijzigd op het moment dat het concept rapport verscheen. Vanaf 17 december 2020 vroeg DPG niet meer standaard en op voorhand om een kopie van het identiteitsbewijs. Hoewel het privacy statement pas in oktober 2021 wijzigde, is de rechtbank van oordeel dat de wijziging op 17 december 2020 betekende dat niet langer standaard en op voorhand werd gevraagd om een kopie van het identiteitsbewijs.

24. Ten slotte acht de rechtbank van belang dat het beleid van DPG een veel breder scala aan verzoeken ontving dan het deel waarop de onderhavige beslissing ziet. Zoals reeds overwogen blijkt uit het dossier en het verhandelde ter zitting, dat in verreweg de meeste gevallen, namelijk als een betrokkene om inzage of wissing van persoonsgegevens verzocht binnen de inlogomgeving, van een overtreding van artikel 12, tweede lid, van de AVG geen sprake was. Het gaat in dit geval om een relatief beperkt aantal verzoeken. Verweerder heeft bovendien niet vastgesteld in hoeveel van die gevallen het beleid in de praktijk daadwerkelijk tot een onnodige belemmering heeft geleid, omdat het vragen van een kopie van het identificatiebewijs daadwerkelijk niet nodig was geweest, en in hoeveel gevallen DPG daartoe goede gronden had gehad. Dat sprake is geweest van meer dan een kleine inbreuk op de AVG, kan naar het oordeel van de rechtbank tegen de achtergrond van al het voorgaande niet worden vastgesteld.

25. Verweerder heeft bij het opleggen van de boete onvoldoende oog gehad voor de hiervoor genoemde omstandigheden. De rechtbank is van oordeel dat verweerder gelet op al deze omstandigheden tezamen niet tot oplegging van een boete had mogen komen. Wellicht dat de omstandigheden aanleiding zouden kunnen geven om een alternatieve maatregel op te leggen als bedoeld in artikel 58, tweede lid, van de AVG, maar de rechtbank laat dit verder in het midden. Het is aan verweerder om te bezien of hiertoe eventueel nog aanleiding bestaat.

https://uitspraken.rechtspraak.nl/#!/details?id=ECLI:NL:RBAMS:2023:5074