Eigen gezag ondergraaft de AP zelf met boetebeleid

De Autoriteit Persoonsgegevens(AP) heeft een nogal ongelukkige hand van boetes uitdelen. Ze deelt boetes uit vanwege overtredingen van privacyregels, c.q. de Algemene Verordening Gegevensbescherming(AVG). Op 12 juni 2025 maakte de AP bekend dat ze bij het moederbedrijf achter drogisterijketen Kruidvat, A.S. Watson, de eerder opgelegde boete van 600.000 euro heeft verlaagd naar 50.000 euro. AS Watson kreeg de boete omdat het bedrijf bezoekers van Kruidvat.nl volgde met tracking cookies, zonder dat zij dat wisten of daarvoor toestemming hadden gegeven. Het bedrijf verzamelde en gebruikte daarmee tegen de regels in gevoelige persoonsgegevens van miljoenen websitebezoekers. Na bezwaar van AS Watson verlaagde de AP de boete aanzienlijk. Het is niet de eerste keer dat de AP een boete bij nader inzien, al dan niet na bezwaar, naar beneden bijstelt. Ook is het de afgelopen jaren frequent voorgekomen dat de rechter de boetes of de hoogte ervan incorrect acht.

Reden van verlaging boete AS Watson

Als reden voor de 12-voudige verlaging van de boete geeft de AP het volgende aan:

“De lange duur van de procedure bij de AP, zonder dat het onderzoek en de daaropvolgende handhavingsfase deze behandelduur rechtvaardigen, de erkenning van de (volledige) overtreding door AS Watson, de geringe ernst van de overtreding en de omstandigheid dat in een vergelijkbare procedure inzake (tracking) cookies de AP tot een (in relatief opzicht) vergelijkbare boete is gekomen, zijn voor de AP aanleiding om de boete in dit besluit vast te stellen op een bedrag van € 50.000.”

Ten aanzien van de behandelduur het volgende. Uit het document dat bij de aanvankelijke boete van 600.000 euro blijkt dat het onderzoek dat de AP deed al in 2020 plaatsvond naar aanleiding van het privacy-onvriendelijke handelen van AS Watson.

Eerst ernstige nu milde overtreding

In haar motivatie bij de hoge boete van  600.000 euro schreef de AP in 2024 nog :

“De AP is van oordeel dat het opleggen van een bestuurlijke boete aan A.S. Watson niet alleen gepast is maar ook noodzakelijk. A.S. Watson heeft namelijk de rechten en vrijheden van burgers geschonden door hun persoonsgegevens op onrechtmatige wijze te verwerken. De AP vindt dat ernstig(vet door WJJ) en gaat om die reden over tot handhaving jegens A.S. Watson.”

Niet erg handig optreden

Op zijn zachtst gezegd is het handelen van de AP niet bepaald handig te noemen. De argumenten die ze bij de verlaging van de boete gebruikt berusten op zaken die ook in 2024 bekend waren. Het enige verschil is dat het beboete bedrijf bezwaar aantekende. Een beetje langer nadenken had de AP deze 180-graden-bocht bespaard.

Geen gelukkige hand van beboeten

Als je kijkt naar alle zaken waarin de AP sinds 2018 boetes heeft uitgedeeld valt op dat er nogal wat boetes zijn die bij de rechter gesneuveld zijn of na bezwaar of herbeoordeling naar beneden zijn bijgesteld. Nooit omhoog bijgesteld.

Ik zal daarvan enige voorbeelden geven:

• De Barbie-zaak waarbij in 2019 het HAGA-ziekenhuis in Den Haag een boete kreeg werd door de rechter naar beneden bijgesteld. Van 460.000 naar 350.00 euro.
• De boete van 600.000 euro die de AP de gemeente Enschede oplegde voor wifi-tracking van burgers in het stadscentrum hield bij de rechter totaal geen stand.
• De boete die de AP de Sociale VerzekeringsBank(SVB) oplegde ter hoogte van 310.00 euro verlaagde de AP naar 150.000 euro. Zulks vanwege het snelle en voortvarende herstel dat de SVB liet zien in de ogen van de AP.

Twee grote zaken

In twee grote zaken hebben rechters de AP ook in het ongelijk gesteld. Dat ging om de zaak rond VoetbalTV en de Nederlandse tennisbond KNLTB. De eerste zaak ging over het willen vertonen van beelden van amateur-voetbalwedstrijden door TALPA. De tweede casus ging om het verkopen van gegevens van haar leden, zoals namen, adressen en telefoonnummers, zonder de juiste toestemming van de leden van de leden van de KNLTB aan derden.

• In de VoetbalTV zaak maakte de rechter gehakt van het oordeel van de AP om een boete van 575.000 euro op te leggen.
• In de KNLTB-casus kwam er een uitspraak van het Europese Hof van Justitie. Het ging om een verzoek aan dat Hof om een prejudiciële beslissing krachtens artikel 267 VWEU, ingediend door de rechtbank Amsterdam (Nederland) bij beslissing van 22 september 2022, in de procedure tegen de KNLTB. Het Hof oordeelde dat dat de KNLTB de gegevensverstrekking kon/mocht baseren op een gerechtvaardigd belang, namelijk het creëren van meerwaarde voor het lidmaatschap, en dat de belangen van de KNLTB correct zijn weergegeven.

Gezag ondergraven

Wat je aan het voorgaande ziet is dat de AP nog steeds moeite heeft om een voor haarzelf consistent beleid te voeren ten aanzien van het opleggen van boetes bij privacy-overtreders.

Fnuikend is natuurlijk zoals in de Kruidvat-zaak dat de argumenten om de boete te verminderen na bezwaar al bij het opleggen van de aanvankelijke boete aanwezig waren.

W.J. Jongejan, 19 juni 2025

Afbeelding van Adina Voicu via Pixabay