Boetebeleidsregels Autoriteit Persoonsgegevens 2016

Artikel 1 Definities In deze beleidsregels wordt verstaan onder: a. Autoriteit Persoonsgegevens: artikel 51 van de Wet bescherming persoonsgegevens het College bescherming persoonsgegevens, genoemd in; b. basisboete: paragrafen 2.4 2.5 het bedrag dat de basis vormt voor het bepalen van de hoogte van een op te leggen bestuurlijke boete, vastgesteld binnen de bandbreedte van de aan een overtreding gekoppelde boetecategorie, voordat toepassing is gegeven aan deen; c. betrokkene: artikel 1, aanhef en onder f, van de Wet bescherming persoonsgegevens degene op wie een persoonsgegeven betrekking heeft als bedoeld in. 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

Artikel 2 Categorie-indeling en boetebandbreedtes 2.1 artikel 23, vierde lid, van het Wetboek van Strafrecht 1 Stb. Zie artikel I van het Besluit van 10 november 2015 tot wijziging van de bedragen van de categorieën, bedoeld in artikel 23, vierde lid, van het Wetboek van Strafrecht (2015, nr. 420). bijlage 1 De bepalingen ter zake van overtreding waarvan de Autoriteit Persoonsgegevens een bestuurlijke boete van ten hoogste het bedrag van de geldboete van de zesde categorie van(per 1 januari 2016: € 820.000)kan opleggen, zijn iningedeeld in categorie I, categorie II of categorie III. 2.2 De Autoriteit Persoonsgegevens stelt de basisboete voor overtredingen waarvoor een wettelijk boetemaximum van € 820.000 geldt vast binnen de volgende boetebandbreedtes: Categorie I Boetebandbreedte tussen € 0 en € 200.000 Categorie II Boetebandbreedte tussen € 120.000 en € 500.000 Categorie III Boetebandbreedte tussen € 350.000 en € 820.000 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

Artikel 3 Categorie-indeling en boetebandbreedtes 3.1 bijlage 2 De bepalingen ter zake van overtreding waarvan de Autoriteit Persoonsgegevens een bestuurlijke boete van ten hoogste het bedrag van € 900.000 kan opleggen, zijn iningedeeld in categorie I, categorie II of. 3.2 De Autoriteit Persoonsgegevens stelt de basisboete voor overtredingen waarvoor een wettelijk boetemaximum van € 900.000 geldt vast binnen de volgende boetebandbreedtes: Categorie I Boetebandbreedte tussen € 0 en € 250.000 Categorie II Boetebandbreedte tussen € 150.000 en € 600.000 Categorie III Boetebandbreedte tussen € 360.000 en € 900.000 2016 34960 06-07-2016 28-06-2016 2016 34960 06-07-2016 28-06-2016 01-07-2016 De datum van inwerkingtreding ligt voor de datum van uitgifte.

Artikel 4 Categorie-indeling en boetebandbreedtes 4.1 artikel 23, vierde lid, van het Wetboek van Strafrecht 2 Zie artikel I van het Besluit van 10 november 2015 tot wijziging van de bedragen van de categorieën, bedoeld in artikel 23, vierde lid, van het Wetboek van Strafrecht. bijlage 3 De bepalingen ter zake van overtreding waarvan de Autoriteit Persoonsgegevens een bestuurlijke boete van ten hoogste het bedrag van de geldboete van de vierde categorie van(per 1 januari 2016: € 20.500)kan opleggen, zijn iningedeeld in categorie I of categorie II. 4.2 De Autoriteit Persoonsgegevens stelt de basisboete voor overtredingen waarvoor een wettelijk boetemaximum van € 20.500 geldt vast binnen de volgende boetebandbreedtes: Categorie I Boetebandbreedte tussen € 0 en € 12.500 Categorie II Boetebandbreedte tussen € 7.500 en € 20.500 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

Artikel 5 De basisboete en mogelijke verhoging of verlaging artikel 6 De Autoriteit Persoonsgegevens bepaalt de hoogte van de boete door het bedrag van de basisboete naar boven (tot ten hoogste het maximum van de bandbreedte van de aan een overtreding gekoppelde boetecategorie) of naar beneden (tot ten laagste het minimum van die bandbreedte) bij te stellen. De basisboete wordt verhoogd of verlaagd afhankelijk van de mate waarin de factoren die zijn genoemd indaartoe aanleiding geven. 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

Artikel 6 Relevante factoren 6.1 De Autoriteit Persoonsgegevens houdt rekening met de ernst van de overtreding. De Autoriteit Persoonsgegevens stemt de beoordeling van de ernst van de overtreding in het concrete geval af op: a. de aard en omvang van de overtreding; b. de duur van de overtreding; c. de impact van de overtreding op (de bescherming van persoonsgegevens en van de persoonlijke levenssfeer voor) de betrokkenen en/of de maatschappij. 6.2 artikel 66, vierde lid, van de Wet bescherming persoonsgegevens De Autoriteit Persoonsgegevens houdt rekening met de mate waarin de overtreding aan de overtreder kan worden verweten. Indien de overtreding opzettelijk is gepleegd of het gevolg is van ernstig verwijtbare nalatigheid als bedoeld in, wordt aangenomen dat sprake is van een aanzienlijke mate van verwijtbaarheid van de overtreder. 6.3 De Autoriteit Persoonsgegevens houdt zo nodig rekening met de omstandigheden waaronder de overtreding is gepleegd en de (financiële) omstandigheden waarin de overtreder verkeert. 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

Artikel 7 Buiten de bandbreedte treden en boetemaximum van tien procent van de jaaromzet 7.1 Indien de voor de overtreding bepaalde boetecategorie in het concrete geval geen passende bestraffing toelaat, kan de Autoriteit Persoonsgegevens bij het bepalen van de hoogte van de boete de boetebandbreedte van de naast hogere categorie respectievelijk de bandbreedte van de naast lagere categorie toepassen. 7.2 artikel 23, zevende lid, van het Wetboek van Strafrecht artikel 377, zesde lid, van Boek 2 van het Burgerlijk Wetboek Indien ter zake van de overtreding aan een rechtspersoon een bestuurlijke boete van € 820.000 kan worden opgelegd en dit wettelijk boetemaximum naar het oordeel van de Autoriteit Persoonsgegevens geen passende bestraffing toelaat, kan zij op grond vaneen hogere boete opleggen tot ten hoogste tien procent van de jaaromzet van de rechtspersoon in het boekjaar voorafgaande aan het besluit waarbij de bestuurlijke boete wordt opgelegd. Voor de jaaromzet van de rechtspersoon wordt aangesloten bij de netto-omzet, bedoeld in. 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

Artikel 8 Eventuele boeteverhoging of boeteverlaging paragraaf 2.4 artikelen 9 10 Indien naar het oordeel van de Autoriteit Persoonsgegevens sprake is van boeteverhogende of boeteverlagende omstandigheden, kan het bedrag van de boete nadat toepassing is gegeven aan, worden verhoogd dan wel verlaagd vanwege omstandigheden als bedoeld in deen. De Autoriteit Persoonsgegevens kan daarbij buiten de grenzen van de toegepaste boetebandbreedte treden, met inachtneming van het wettelijk boetemaximum. 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

Artikel 9 Boeteverhogende omstandigheden 9.1 De Autoriteit Persoonsgegevens merkt als boeteverhogende omstandigheden aan: a. artikel 5:48, eerste lid, van de Algemene wet bestuursrecht artikel 15.4, vijfde lid, van de Telecommunicatiewet de omstandigheid dat de Autoriteit Persoonsgegevens voorafgaand aan de dagtekening van het van de overtreding opgemaakte rapport, bedoeld invoor een eerdere overtreding van eenzelfde of een soortgelijke door die overtreder begane overtreding een bestuurlijke boete heeft opgelegd die onherroepelijk is geworden. In geval van recidive als bedoeld in de vorige zin verhoogt de Autoriteit Persoonsgegevens behoudens het bepaalde inde boete met 50%, tenzij dit gezien de omstandigheden van het concrete geval onredelijk zou zijn. b. de omstandigheid dat de overtreder het onderzoek van de Autoriteit Persoonsgegevens heeft tegengewerkt of belemmerd. 9.2 artikel 66, vijfde lid, van de Wet bescherming persoonsgegevens Niet-nakoming van een bindende aanwijzing, bedoeld in, wordt niet aangemerkt als eenzelfde of soortgelijke overtreding als de overtreding van het in artikel 66, tweede lid, van de Wet bescherming persoonsgegevens genoemde voorschrift waarvoor de Autoriteit Persoonsgegevens de bindende aanwijzing heeft gegeven. 2016 34960 06-07-2016 28-06-2016 2016 34960 06-07-2016 28-06-2016 01-07-2016 De datum van inwerkingtreding ligt voor de datum van uitgifte.

Artikel 10 Boeteverlagende omstandigheden Boeteverlagende omstandigheden zijn in ieder geval: a. de omstandigheid dat de overtreder verdergaande medewerking aan de Autoriteit Persoonsgegevens heeft verleend dan waartoe hij wettelijk gehouden was; b. de omstandigheid dat de overtreder uit eigen beweging de overtreding heeft beëindigd voor of bij de eerste bekendwording met het onderzoek van de Autoriteit Persoonsgegevens; c. de omstandigheid dat de overtreder uit eigen beweging degenen aan wie door de overtreding schade is berokkend, schadeloos heeft gesteld. 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

Artikel 11 Intrekking oude beleidsregels Regels voor de boetevaststelling De(Stcrt. 2003, nr. 123) worden ingetrokken. Beleidsregels CBP handhaving protocolplicht Wet politiegegevens bijlage De(Stcrt. 2009, nr. 15761 en Stcrt. 2009, nr. 17372) en de bij dit besluit behorendeworden ingetrokken. 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

Artikel 12 Inwerkingtreding Deze beleidsregels treden in werking met ingang van de dag na de datum van uitgifte van de Staatscourant waarin ze worden geplaatst. 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

Artikel 13 Citeertitel Deze beleidsregels worden aangehaald als: Boetebeleidsregels Autoriteit Persoonsgegevens 2016. 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

Artikel 14 Bekendmaking Deze beleidsregels zullen met de toelichting in de Staatscourant worden geplaatst. 2016 2043 15-01-2016 15-12-2015 2016 2043 15-01-2016 15-12-2015 16-01-2016

artikel 2

artikel 3

artikel 4