Wetsvoorstel kredietregistratie gaat goede kant op, maar nog aanpassingen nodig

De European Data Protection Board (EDPB) heeft nieuwe guidelines vastgesteld voor de wisselwerking tussen de Algemene verordening gegevensbescherming (AVG) en de Digital Services Act (DSA). Daarnaast stelde de EDPB nieuwe guidelines op voor de procedure rond het opleggen van AVG-boetes.

In de DSA staan regels voor aanbieders van online diensten zoals sociale media, marktplaatsen, internetproviders, hostingdiensten, online platforms en zoekmachines. Deze online diensten slaan informatie van gebruikers op, sturen het door of maken het openbaar. De DSA eist dat dit veilig, voorspelbaar en betrouwbaar gebeurt.

Afhankelijk van het type online dienst gelden er specifieke regels, bijvoorbeeld voor het bestrijden van illegale content, de bescherming van gebruikers en transparantieverplichtingen. Zo moeten platforms gebruikers altijd op de hoogte brengen wanneer hun inhoud wordt verwijderd of aangepast.

Omdat voor het aanbieden van online diensten vaak persoonsgegevens worden verwerkt, zijn de AVG en de DSA in veel gevallen allebei van toepassing.

Het samenspel tussen de DSA en de AVG

De nieuwe guidelines helpen toezichthouders om de twee verordeningen op dezelfde manier te gebruiken. Dit geldt vooral als de regels van de DSA gaan over de verwerking van persoonsgegevens door intermediaire dienstverleners en als ze verwijzen naar begrippen en definities uit de AVG.

Procedure voor AVG-boetes

De EDPB heeft ook guidelines vastgesteld voor het proces rond het opleggen van AVG-boetes. Hiermee zorgen toezichthouders ervoor dat zij boetes opleggen volgens de meest recente regels en rechtspraak. Ook kunnen toezichthouders elkaar hierdoor beter controleren wanneer zij meekijken met een onderzoek van een collega-toezichthouder.

Toezichthouders doorlopen voortaan vijf vaste stappen voordat zij een boete opleggen:

1. Nagaan of er sprake is van een beboetbare overtreding.
2. Aansprakelijkheid beoordelen: Beoordelen of de persoon kan worden aangesproken op de overtreding. Zo zorgen de privacytoezichthouders ervoor dat zij de juiste partij aanspreken.
3. Bekijken of de overtreding opzettelijk of door nalatigheid is begaan: Dit is een voorwaarde om een boete te kunnen opleggen.
4. Ernst van de inbreuk vaststellen: De toezichthouder kijkt bijvoorbeeld naar hoeveel mensen zijn getroffen door de overtreding en of zij daar schade van hebben ondervonden. Bij een kleine inbreuk kan er mogelijk een berisping volgen in plaats van een boete.
5. Controleren of het besluit passend, evenredig en afschrikwekkend genoeg is: Zo zorgt de privacytoezichthouder dat de keuze een boete op te leggen goed onderbouwd is.

Berekening van de boetes

Als een toezichthouder besluit om een boete op te leggen, dan worden hierna de Guidelines 04/2022 gevolgd voor de berekening van de geldboete. Hier staat uitgelegd dat de guidelines voor de berekening alleen gelden voor bedrijven. De AP hanteert aanvullend beleid voor de berekening van boetes aan overheden.

Publieke consultatie

De nieuwe guidelines over de wisselwerking tussen de DSA en de AVG en de regels voor AVG-boetes zijn nog niet definitief vastgesteld. Tot en met 13 november 2026 lopen voor beide nieuwe guidelines publieke consultaties. Dat betekent dat iedereen die te maken krijgt met de nieuwe regels, verbeteringen kan voorstellen. De EDPB bekijkt alle voorstellen en komt daarna met een nieuwe definitieve versie van de guidelines.

• Publieke consultatie samenspel DSA/AVG
• Publieke consultatie boetes AVG