In welke gevallen legt de Autoriteit Persoonsgegevens een boete op?

Bij het opleggen van een boete houdt de Autoriteit Persoonsgegevens rekening met alle omstandigheden van het geval. Een omstandigheid van het geval is bijvoorbeeld dat de gelekte gegevens niet door derden zijn ingezien. Als de overtreding niet opzettelijk is gepleegd en er geen sprake is van ernstig verwijtbare nalatigheid dan legt de Autoriteit Persoonsgegevens eerst een bindende aanwijzing op, eventueel gevolgd door een boete.
De toezichthouder moet in zijn afweging (wel of geen boete en de hoogte van boete) in ieder geval rekening te houden met de volgende overwegingen:

• De aard, de ernst en de duur van de inbreuk. Daarbij wordt gekeken naar het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;
• Of de verwerkingsverantwoordelijke of verwerker opzettelijk of nalatig handelde;
• De maatregelen die zijn genomen om de schade te beperken;
• Eerdere inbreuken door de verwerkingsverantwoordelijke of verwerker;
• In hoeverre medewerking is verleend aan de toezichthouder om de inbreuk te verhelpen en de schade te beperken;
• Welke categorie van persoonsgegevens het betreft;
• Hoe de toezichthouder op de hoogte is geraakt van de inbreuk, met name of de verwerkingsverantwoordelijke of verwerker zelf melding heeft gedaan;
• Naleving van een eerder opgelegde corrigerende maatregel;
• Of de verwerkingsverantwoordelijke of verwerker aangesloten is bij goedgekeurde gedragscodes of certificeringsmechanismen;
• Andere verzwarende of verzachtende factoren.

In de Boetebeleidsregels Autoriteit Persoonsgegevens 2016 is omschreven hoe de Autoriteit Persoonsgegevens de hoogte van boetes bepaalt.