Gedeeltelijke vernietiging boetebesluit AP; boete verlaagd naar €262.500

Raad van State 24 september 2025, IT 5036; ECLI:NL:RVS:2025:4562. [appellante sub 2] publiceert tijdschriften waarop klanten een abonnement kunnen afsluiten. Hierdoor verwerkt zij persoonsgegevens. De AP heeft geconstateerd dat [appellante sub 2] het recht van betrokkenen op inzage en wissing niet heeft gefaciliteerd zoals vereist in artikel 12 lid 2 AVG. [appellante sub 2] vroeg aan betrokkenen die buiten de online inlogomgeving van [appellante sub 2] een verzoek deden om uitoefening van hun recht op inzage in of wissing van hun persoonsgegevens, standaard en op voorhand om hun identiteit te bevestigen met een kopie van hun identiteitsbewijs. Dit deed [appellante sub 2] zonder van tevoren te beoordelen of de desbetreffende verzoeker op een andere, minder ingrijpende wijze kon worden geïdentificeerd. Bij besluit van 14 januari 2022 heeft de AP aan [appellante sub 2] een boete van €525.000 opgelegd wegens overtreding van artikel 12 lid 2 AVG. [appellante sub 2] ging hiertegen in bezwaar. Dit werd ongegrond verklaard. De rechtbank verklaarde het beroep juist weer gegrond. Tegen deze uitspraak heeft de AP hoger beroep ingesteld.  

De Afdeling acht het beroep van de AP gegrond. De Afdeling bevestigt dat [appellante sub 2] ten onrechte altijd om een identiteitsbewijs vroeg. Dit is een schending van het proportionaliteits- en subsidiariteitsbeginsel. De AP mocht een boete opleggen. De overtreding was structureel en niet incidenteel, en het ging om een professionele partij die extra zorgvuldigheid had moeten zijn. De oorspronkelijke boete van €525.000 vond de Afdeling alleen te hoog. Het ging slechts om een beperkt aantal gevallen waarvan de gegevens ook maar kort werden bewaard. De Afdeling verlaagt daarom de boete met 50% naar €262.500. De Afdeling acht het beroep van de AP gegrond. De uitspraak van de rechtbank wordt vernietigd. De AP moet de proceskosten van [appellante sub 2] vergoeden.  

9.5.    De Afdeling is van oordeel dat er aanleiding is de boete te matigen. [appellante sub 2] heeft een onjuiste inschatting van de eisen die artikel 12, tweede lid, van de AVG stelt gemaakt. Dat is haar op zichzelf te verwijten. Het beleid van [appellante sub 2] ter uitvoering van de identificatieplicht van artikel 12, tweede lid, van de AVG heeft evenwel niet betrekking op alle gevallen waarin abonnees van [appellante sub 2] een verzoek tot inzage en/of wissing deden. Voor alle klanten stond in beginsel de onlineomgeving open, waarin geen identificatiebewijs werd gevraagd. In de praktijk ging het daarom slechts om een relatief klein aantal gevallen. De ontvangen en niet geschoonde documenten werden niet langer dan een maand bewaard en daarna vernietigd. Verder is van belang dat [appellante sub 2] haar beleid ruim voor het uitbrengen van het voornemen tot handhaving door de AP heeft gewijzigd. Weliswaar heeft [appellante sub 2] die beleidswijziging niet meteen in haar Privacyverklaring verwerkt, maar het feit dat dit niet tijdig is gebeurd, neemt niet weg dát het beleid wel feitelijk was gewijzigd. In de uitspraak van de Afdeling van 17 juli 2023, ECLI:NL:RVS:2023:4071, waarnaar de AP verwijst, was sprake van twee verschillende overtredingen en een zekere samenhang tussen deze overtredingen. Deze situatie kan daarom niet vergeleken worden met de situatie die aan de orde was in die zaak. Ten slotte is niet aannemelijk geworden dat [appellante sub 2] met haar beleid heeft beoogd abonnees te doen afzien van het doen van inzageverzoeken of verzoeken tot wissing. Alles afwegend ziet de Afdeling daarom aanleiding de boete met 50% te matigen.