Sinds het van kracht worden van de Algemene Verordening Gegevensbescherming (AVG) op 25 mei 2018 deelde de Autoriteit Persoonsgegevens 5 boetes, goed voor een gezamenlijk bedrag van ruim 3 miljoen euro, uit aan bedrijven die de AVG hebben overtreden. Omdat de Autoriteit Persoonsgegevens een toezichthoudende taak heeft en omdat het “in het kader van deze toezichthoudende taak past dat boetebesluiten worden gepubliceerd”, maakte zij deze boetes vervolgens bekend via haar website en via de media. Twee van de beboete organisaties probeerden hun naam uit de media te houden door bij de rechtbank een voorlopige voorziening aan te vragen; één daarvan wist de publicatie van zijn naam met een jaar uit te stellen, terwijl de naam van het andere bedrijf tot nu toe onbekend is gebleven.
Is het aanvragen van een voorlopige voorziening een verstandige strategie om te voorkomen dat je als organisatie met naam en toenaam in de kranten wordt genoemd? Een korte analyse.
Boete voor niet nader genoemd bedrijf
Eerder dit jaar legde de Autoriteit Persoonsgegevens (AP) een bestuurlijke boete van 725.000 euro op aan een bedrijf voor het verwerken van vingerafdrukken van haar werknemers. De werknemers van dit bedrijf moesten hun vingerafdrukken laten scannen voor aanwezigheids- en tijdsregistratie. Na onderzoek concludeerde de AP dat het bedrijf de vingerafdrukken van medewerkers niet had mogen verwerken, omdat het bedrijf zich niet kon beroepen op een uitzonderingsgrond voor het verwerken van bijzondere persoonsgegevens.
De AP wilde het boetebesluit vervolgens openbaar maken. Het bedrijf in kwestie tekende bezwaar aan bij de AP tegen het boetebesluit en vroeg tegelijkertijd aan de rechtbank een voorlopige voorziening te treffen om publicatie van het besluit te voorkomen. De rechtbank Limburg maakte in haar uitspraak[1] duidelijk dat er bij het treffen van een voorlopige voorziening een samenhang bestaat tussen het boetebesluit en het openbaarmakingsbesluit: ten aanzien van het boetebesluit was door het bedrijf geen voorlopige voorziening gevraagd, waardoor de rechtbank dit besluit ook niet kon beoordelen. En als gevolg daarvan was de rechtmatigheid van het openbaarmakingsbesluit ook onzeker.
De rechtbank stelde verder vast dat beide partijen kennelijk niet wisten dat er ook ten aanzien van het boetebesluit een voorlopige voorziening kon worden gevraagd. Zij vond dat deze onwetendheid niet volledig aan het bedrijf in kwestie kon worden tegengeworpen. Op basis daarvan werd het verzoek deels toegewezen: het feit dat er een boete was uitgedeeld mocht door de AP worden bekend gemaakt, maar de naam van het betreffende bedrijf niet.
Boete voor BKR
Iets anders verliep het voor Stichting Bureau Krediet Registratie (BKR): op 30 juli 2019 legde de AP een bestuurlijke boete op van 830.000 euro. BKR wierp kort gezegd te hoge drempels op voor mensen die hun inzagerecht bij haar wilden uitoefenen en overtrad hiermee de privacywetgeving.[2]
Nadat de AP de bezwaren van BKR ongegrond had verklaard, probeerde BKR de publicatie van het boetebesluit te voorkomen door een voorlopige voorziening aan te vragen bij de rechtbank. Op 29 juni van dit jaar oordeelde de rechtbank Gelderland echter dat de AP het boetebesluit, inclusief naam van de organisatie, mocht publiceren.
Het verschil met de hierboven besproken procedure was dat ditmaal aan de rechtbank was gevraagd voorlopige voorzieningen te treffen ten aanzien van zowel het boete- als het openbaarmakingsbesluit. De rechtbank kon hierdoor de inhoud van het boetebesluit wél (beknopt) beoordelen en kwam tot het voorlopige oordeel dat de AP terecht had geconcludeerd dat BKR de privacywetgeving overtrad. Het algemeen belang bij openbaarmaking woog volgens de rechtbank in deze situatie zwaarder dan de financiële en imagoschade voor BKR.
Inmiddels is BKR in beroep gegaan bij de rechtbank. Daarmee is het in theorie, net als in de andere zaak, onzeker of het boetebesluit in stand zal blijven.
Conclusie
Na de recente BKR-uitspraak lijkt het vragen van een voorlopige voorziening om naming & shaming te voorkomen niet erg kansrijk. In de uitspraak rond biometrie is publicatie weliswaar tot nu toe voorkomen, maar was het bedrijf in kwestie niet op de hoogte van alle mogelijkheden rondom het aanvragen van voorlopige voorzieningen. Bovendien laten organisaties zich in dit soort procedures vaak bijstaan door een advocaat, dus is het maar de vraag in hoeverre je als organisatie dan nog een succesvol beroep kunt doen op dergelijke onwetendheid.
Als concept zijn voorlopige voorzieningen bedoeld om onomkeerbare gevolgen van een besluit te voorkomen. In de BKR-zaak heeft de rechter, op basis van een beknopte beoordeling van het boetebesluit, voorlopig geconcludeerd dat het besluit van de AP juist was. Daargelaten of dit inderdaad ook zo is, heeft de daaropvolgende publicatie van het boetebesluit vervelende gevolgen voor de organisatie: ook als later blijkt dat het besluit geen standhoudt, is de imagoschade dan al geleden. Als je bedenkt dat het hier gaat om een beknopte beoordeling van het boetebesluit én dat dit besluit, na een uitgebreide beoordeling, in (hoger) beroep alsnog vernietigd kan worden, dan heeft zo’n beknopte beoordeling best vérstrekkende consequenties voor een organisatie. Want daardoor leidt een voorlopige voorziening toch tot onomkeerbare gevolgen.
Voetnoten
[1] Zie uitspraak rechtbank Limburg, 4 maart 2020: https://uitspraken.rechtspraak.nl/inziendocument?id=ECLI:NL:RBLIM:2020:1795
[2] Zie uitspraak rechtbank Gelderland, 29 juni 2020: https://uitspraken.rechtspraak.nl/inziendocument?id=ECLI:NL:RBGEL:2020:3159
