De Gegevensbeschermingsautoriteit en haar sanctiebevoegdheden

Het merendeel van de regels inzake de bescherming van persoonsgegevens was al vastgelegd in de Richtlijn 95/46/EG. Aangezien er echter geen toezichthoudende instantie was die sancties kon opleggen, werden de voorschriften van de richtlijn van 1995 in de praktijk grotendeels niet nageleefd.
Om dit probleem op te lossen, heeft de Europese wetgever de AVG aangenomen en heeft de lidstaten verplicht nationale controle-instanties op te richten die over daadwerkelijke sanctiebevoegdheden beschikken.
In tegenstelling tot de Commissie voor de bescherming van de persoonlijke levenssfeer, die als bemiddelaar optrad, beschikt de GBA vandaag over ruime bevoegdheden op het gebied van onderzoek, toezicht en sancties.

Mogelijke uitkomsten van een dossier

Wanneer een zaak aanhangig wordt gemaakt, kan de Geschillenkamer :

• de klacht seponeren,
• een schikking voorstellen,
• het dossier doorsturen naar het parket van de procureur des Konings te Brussel,
• een „lichte” beslissing nemen, waarbij de Geschillenkamer waarschuwingen geeft of de organisatie die de gegevens verwerkt, opdraagt maatregelen te nemen om aan de voorschriften te voldoen.
• haar beslissing bekendmaken
• besluiten de zaak die aan haar is voorgelegd inhoudelijk te onderzoeken.

De sanctiemogelijkheden waarover de GBA beschikt

Indien de GBA besluit de zaak inhoudelijk te onderzoeken, kan zij, na een grondig onderzoek van het dossier, de zaak seponeren (bijvoorbeeld bij gebrek aan voldoende bewijs van een inbreuk), de vorderingen van de klager afwijzen (bijvoorbeeld bij gebrek aan een inbreuk) of, indien zij daadwerkelijk inbreuken op de AVG vaststelt, sancties opleggen aan de verwerkingsverantwoordelijke of de verwerker.

Van de sancties waarover de GBA beschikt, kan de Geschillenkamer de volgende sancties opleggen :

• de waarschuwing en de berisping
• het bevel om aan de verzoeken van de betrokkenen tegemoet te komen (bijv. tegemoetkomen aan een verzoek om inzage of verwijdering)
• het bevel om persoonsgegevens te corrigeren of te verwijderen of de verwerking ervan te beperken
• het bevel tot naleving (volgens de voorwaarden en binnen de termijn die de GBA in haar besluit heeft vastgesteld)
• het bevel om de betrokkene in kennis te stellen van een inbreuk op persoonsgegevens (bijv. personen informeren over een datalek dat hen betreft)
• de tijdelijke of definitieve beperking, met inbegrip van het verbod, van de verwerking
• de opschorting van grensoverschrijdende gegevensstromen (bijv. bij gebruik van een IT-dienstverlener die buiten de Europese Unie is gevestigd, wanneer de doorgifte van gegevens buiten de EU niet berust op een door de AVG erkend mechanisme)
• de administratieve boete

De administratieve boete

Het zijn ongetwijfeld de administratieve boetes waar organisaties die onder de AVG vallen het meest tegen opzien.
De boetes kunnen oplopen tot 20.000.000 euro of 4% van de totale wereldwijde omzet van het voorgaande boekjaar, waarbij het hoogste bedrag in aanmerking wordt genomen.

De hoogte van de boete wordt door de GBA vastgesteld, rekening houdend met de richtsnoeren van de EDPB voor de berekening van administratieve geldboeten en de volgende criteria:

• de aard, de ernst en de duur van de inbreuk;
• de aard, de omvang of het doel van de betrokken verwerking;
• het aantal betrokkenen dat door de inbreuk is getroffen;
• de omvang van de geleden schade;
• het feit of de inbreuk opzettelijk of door nalatigheid is begaan;
• alle maatregelen die zijn genomen om de door de betrokkenen geleden schade te beperken;
• de technische en organisatorische maatregelen die zijn getroffen;
• eventuele eerdere relevante inbreuken;
• de mate van medewerking met de toezichthoudende autoriteit;
• de categorieën persoonsgegevens waarop de inbreuk betrekking heeft;
• de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of de inbreuk al dan niet is gemeld;
• de naleving van eerder door de autoriteit opgelegde maatregelen, indien van toepassing;
• de toepassing van goedgekeurde gedragscodes of certificeringsmechanismen;
• alle andere verzwarende of verzachtende omstandigheden, zoals de financiële voordelen die zijn behaald of de verliezen als gevolg van de inbreuk die direct of indirect zijn voorkomen .

De publicatie van de beslissing

De uitspraken van de Kamer voor geschillenbeslechting kunnen op de website van de Autoriteit worden gepubliceerd.
De publicatie van een uitspraak kan aanzienlijke nadelige gevolgen hebben voor de entiteit die door de Autoriteit wordt aangewezen als degene die onrechtmatige verwerkingen heeft uitgevoerd.