Er gloort hoop voor eenieder die weleens heeft geprobeerd de Autoriteit Persoonsgegevens (AP) te verleiden tot een vermoeden van handhaving. De European Data Protection Board (EDPB); het samenwerkingsverband van Europese privacytoezichthouders, heeft namelijk nieuwe conceptrichtlijnen gepubliceerd. En volgens Vonne Laan, privacy-advocaat bij The Data Lawyers, betekenen deze richtlijnen dat de de toezichthouder (AP en haar collega’s) meer boetes gaan uitdelen.

Maar laten we niet te vroeg juichen; want de conceptrichtlijnen zeggen het volgende (randnummer 57, pagina 20):

if the infringement is considered minor, as a general rule, the supervisory authority will not impose an administrative fine. Conversely, if the infringement is not considered minor, there is a strong presumption to impose an administrative fine.

Als de overtreding niet-gering is, dan is het uitgangspunt dat er een boete volgt. Prima, maar hoe stel je vast of een overtreding niet-gering is? Wat zijn de criteria? Die zien er zo uit (artikel 83 lid 2 AVG):

EDPB Criteria voor vaststelling ernst overtreding (gering – niet-gering)

Die criteria vragen om een beoordeling van het concrete geval. Maar ze staan al in de AVG. De vraag is dus wat deze conceptrichtlijnen aan de handhavingspraktijk gaan veranderen. En er blijft ruimte voor twijfel. Volgens randnummer 119 van de conceptrichtlijnen mag de toezichthouder ook bij een niet-geringe overtreding voor een andere corrigerende maatregel kiezen. Een boete wordt het uitgangspunt, maar is geen automatisme.

Meer boetes? Mogelijk. Maar of burgers straks ook daadwerkelijk beter worden beschermd, moet blijken uit wat de AP met deze richtlijnen doet. Ik ga mijn adem slechts in zeer geringe mate inhouden.