Sinds de invoering van de AVG gebeurt het dat opdrachtgevers extra aansprakelijkheid neerleggen bij opdrachtnemers. Er zijn bijvoorbeeld opdrachtgevers die AVG-boetes onterecht doorschuiven naar hun IT-leverancier.
NLdigital deelde zorgen hierover met het ministerie van Justitie en Veiligheid. En met succes. In een recente brief aan de Tweede Kamer erkent minister Dekker de zorgen van NLdigital. Hij stelt dat er overleg zal plaatsvinden.
Dekker schrijft:
“Naar aanleiding van een gesprek van het ministerie van JenV onlangs met NLdigital, de branchevereniging van ICT-bedrijven, had, ligt nog de vraag open of de AP bij het opleggen van boetes aan de Rijksoverheid als verwerkingsverantwoordelijke en een ICT-bedrijf als verwerker niet al in voldoende mate het principe ‘de vervuiler betaalt’ hanteert. Dit zodat voor het doorberekenen van de boete door de Rijksoverheid aan het bedrijf dat gegevens voor hen verwerkt, geen goede rechtvaardiging bestaat. Ook daarover zal nog overleg met betrokken partijen plaatsvinden.”
Hoe zit het precies?
Sinds de invoering van de AVG, in mei 2018, heeft de Autoriteit Persoonsgegevens de bevoegdheid om een boete op te leggen aan zowel de verwerker als de verwerkingsverantwoordelijke. In de AVG staat dat de toezichthouder, de Autoriteit Persoonsgegevens, bij het opleggen van AVG-boetes rekening moet houden met de mate van verwijtbaarheid van zowel verwerker als verwerkingsverantwoordelijke. Dit kan leiden tot een boete voor beiden.
Het is wat NLdigital betreft onredelijk dat de verwerkingsverantwoordelijke de boete kan doorschuiven naar de verwerker (en andersom). Daar komt bij dat de bevoegdheid van de AP om aan beide partijen AVG-boetes op te leggen onder meer is ingegeven door proportionaliteit. Een aan de omzet gerelateerde boete, wordt dan gerelateerd aan de omzet van de tekortschietende partij. En dus niet aan de omzet van de andere partij.
Dat voorkomt dat boete-verzwarende factoren die te wijten zijn aan de ene partij worden verhaald op de andere partij. Dat geldt bijvoorbeeld voor een partij die al eerder een boete of maatregel kreeg. Dit kan leiden tot een opslag van de boete met 50%. Of een partij die niet meewerkt met onderzoek van de AP. Dit kan ook leiden tot een opslag van de boete.
Dubbel
Het voorkomt ook dat de verwerker een eigen boete van de toezichthouder opgelegd krijgt. Met daarbovenop dan ook de boete van de verwerkingsverantwoordelijke. Dat betekent dus dubbel beboet worden voor een bepaald feit. Dat is niet eerlijk.
Bovendien kan de verwerker zich niet verzekeren voor contractueel verlegde boetes. Het contractueel aanvaarden van aansprakelijkheden die je zonder de contractbepaling niet zou hebben gehad, is doorgaans niet gedekt.
Het idee van de nieuwe boetebevoegdheid van de AP is wat NLdigital betreft dat de toezichthouder de boete bij de partij legt die verwijtbaar heeft gehandeld. Dit is gerelateerd aan de eigen omzet en dat boete-verzwarende factoren alleen meetellen voor de partij waarop deze betrekking hebben.
