In deze beleidsregels wordt verstaan onder:

1. a.

   Autoriteit Persoonsgegevens: het College bescherming persoonsgegevens, genoemd in artikel 51 van de Wet bescherming persoonsgegevens;

2. b.

   basisboete: het bedrag dat de basis vormt voor het bepalen van de hoogte van een op te leggen bestuurlijke boete, vastgesteld binnen de bandbreedte van de aan een overtreding gekoppelde boetecategorie, voordat toepassing is gegeven aan de paragrafen 2.4 en 2.5;

3. c.

   betrokkene: degene op wie een persoonsgegeven betrekking heeft als bedoeld in artikel 1, aanhef en onder f, van de Wet bescherming persoonsgegevens.

1. 2.1

   De bepalingen ter zake van overtreding waarvan de Autoriteit Persoonsgegevens een bestuurlijke boete van ten hoogste het bedrag van de geldboete van de zesde categorie van artikel 23, vierde lid, van het Wetboek van Strafrecht (per 1 januari 2016: € 820.000)¹ kan opleggen, zijn in bijlage 1 ingedeeld in categorie I, categorie II of categorie III.

2. 2.2

   De Autoriteit Persoonsgegevens stelt de basisboete voor overtredingen waarvoor een wettelijk boetemaximum van € 820.000 geldt vast binnen de volgende boetebandbreedtes:

   Categorie I	Boetebandbreedte tussen € 0 en € 200.000
   Categorie II	Boetebandbreedte tussen € 120.000 en € 500.000
   Categorie III	Boetebandbreedte tussen € 350.000 en € 820.000

1. 3.1

   De bepalingen ter zake van overtreding waarvan de Autoriteit Persoonsgegevens een bestuurlijke boete van ten hoogste het bedrag van € 450.000 kan opleggen, zijn in bijlage 2 ingedeeld in categorie I, categorie II of categorie III.

2. 3.2

   De Autoriteit Persoonsgegevens stelt de basisboete voor overtredingen waarvoor een wettelijk boetemaximum van € 450.000 geldt vast binnen de volgende boetebandbreedtes:

   Categorie I	Boetebandbreedte tussen € 0 en € 100.000
   Categorie II	Boetebandbreedte tussen € 60.000 en € 300.000
   Categorie III	Boetebandbreedte tussen € 200.000 en € 450.000

1. 4.1

   De bepalingen ter zake van overtreding waarvan de Autoriteit Persoonsgegevens een bestuurlijke boete van ten hoogste het bedrag van de geldboete van de vierde categorie van artikel 23, vierde lid, van het Wetboek van Strafrecht (per 1 januari 2016: € 20.500)² kan opleggen, zijn in bijlage 3 ingedeeld in categorie I of categorie II.

2. 4.2

   De Autoriteit Persoonsgegevens stelt de basisboete voor overtredingen waarvoor een wettelijk boetemaximum van € 20.500 geldt vast binnen de volgende boetebandbreedtes:

   Categorie I	Boetebandbreedte tussen € 0 en € 12.500
   Categorie II	Boetebandbreedte tussen € 7.500 en € 20.500

De Autoriteit Persoonsgegevens bepaalt de hoogte van de boete door het bedrag van de basisboete naar boven (tot ten hoogste het maximum van de bandbreedte van de aan een overtreding gekoppelde boetecategorie) of naar beneden (tot ten laagste het minimum van die bandbreedte) bij te stellen. De basisboete wordt verhoogd of verlaagd afhankelijk van de mate waarin de factoren die zijn genoemd in artikel 6 daartoe aanleiding geven.

1. 6.1

   De Autoriteit Persoonsgegevens houdt rekening met de ernst van de overtreding. De Autoriteit Persoonsgegevens stemt de beoordeling van de ernst van de overtreding in het concrete geval af op:

   1. a.

      de aard en omvang van de overtreding;

   2. b.

      de duur van de overtreding;

   3. c.

      de impact van de overtreding op (de bescherming van persoonsgegevens en van de persoonlijke levenssfeer voor) de betrokkenen en/of de maatschappij.

2. 6.2

   De Autoriteit Persoonsgegevens houdt rekening met de mate waarin de overtreding aan de overtreder kan worden verweten. Indien de overtreding opzettelijk is gepleegd of het gevolg is van ernstig verwijtbare nalatigheid als bedoeld in artikel 66, vierde lid, van de Wet bescherming persoonsgegevens, wordt aangenomen dat sprake is van een aanzienlijke mate van verwijtbaarheid van de overtreder.

3. 6.3

   De Autoriteit Persoonsgegevens houdt zo nodig rekening met de omstandigheden waaronder de overtreding is gepleegd en de (financiële) omstandigheden waarin de overtreder verkeert.

1. 7.1

   Indien de voor de overtreding bepaalde boetecategorie in het concrete geval geen passende bestraffing toelaat, kan de Autoriteit Persoonsgegevens bij het bepalen van de hoogte van de boete de boetebandbreedte van de naast hogere categorie respectievelijk de bandbreedte van de naast lagere categorie toepassen.

2. 7.2

   Indien ter zake van de overtreding aan een rechtspersoon een bestuurlijke boete van € 820.000 kan worden opgelegd en dit wettelijk boetemaximum naar het oordeel van de Autoriteit Persoonsgegevens geen passende bestraffing toelaat, kan zij op grond van artikel 23, zevende lid, van het Wetboek van Strafrecht een hogere boete opleggen tot ten hoogste tien procent van de jaaromzet van de rechtspersoon in het boekjaar voorafgaande aan het besluit waarbij de bestuurlijke boete wordt opgelegd. Voor de jaaromzet van de rechtspersoon wordt aangesloten bij de netto-omzet, bedoeld in artikel 377, zesde lid, van Boek 2 van het Burgerlijk Wetboek.

Indien naar het oordeel van de Autoriteit Persoonsgegevens sprake is van boeteverhogende of boeteverlagende omstandigheden, kan het bedrag van de boete nadat toepassing is gegeven aan paragraaf 2.4, worden verhoogd dan wel verlaagd vanwege omstandigheden als bedoeld in de artikelen 9 en 10. De Autoriteit Persoonsgegevens kan daarbij buiten de grenzen van de toegepaste boetebandbreedte treden, met inachtneming van het wettelijk boetemaximum.

1. 9.1

   De Autoriteit Persoonsgegevens merkt als boeteverhogende omstandigheden aan:

   1. a.

      de omstandigheid dat de Autoriteit Persoonsgegevens voorafgaand aan de dagtekening van het van de overtreding opgemaakte rapport, bedoeld in artikel 5:48, eerste lid, van de Algemene wet bestuursrecht voor een eerdere overtreding van eenzelfde of een soortgelijke door die overtreder begane overtreding een bestuurlijke boete heeft opgelegd die onherroepelijk is geworden. In geval van recidive als bedoeld in de vorige zin verhoogt de Autoriteit Persoonsgegevens de boete met 50%, tenzij dit gezien de omstandigheden van het concrete geval onredelijk zou zijn.

   2. b.

      de omstandigheid dat de overtreder het onderzoek van de Autoriteit Persoonsgegevens heeft tegengewerkt of belemmerd.

2. 9.2

   Niet-nakoming van een bindende aanwijzing, bedoeld in artikel 66, vijfde lid, van de Wet bescherming persoonsgegevens, wordt niet aangemerkt als eenzelfde of soortgelijke overtreding als de overtreding van het in artikel 66, tweede lid, van de Wet bescherming persoonsgegevens genoemde voorschrift waarvoor de Autoriteit Persoonsgegevens de bindende aanwijzing heeft gegeven.

Boeteverlagende omstandigheden zijn in ieder geval:

1. a.

   de omstandigheid dat de overtreder verdergaande medewerking aan de Autoriteit Persoonsgegevens heeft verleend dan waartoe hij wettelijk gehouden was;

2. b.

   de omstandigheid dat de overtreder uit eigen beweging de overtreding heeft beëindigd voor of bij de eerste bekendwording met het onderzoek van de Autoriteit Persoonsgegevens;

3. c.

   de omstandigheid dat de overtreder uit eigen beweging degenen aan wie door de overtreding schade is berokkend, schadeloos heeft gesteld.

De Regels voor de boetevaststelling (Stcrt. 2003, nr. 123) worden ingetrokken.

De Beleidsregels CBP handhaving protocolplicht Wet politiegegevens (Stcrt. 2009, nr. 15761 en Stcrt. 2009, nr. 17372) en de bij dit besluit behorende bijlage worden ingetrokken.

Deze beleidsregels treden in werking met ingang van de dag na de datum van uitgifte van de Staatscourant waarin ze worden geplaatst.

Deze beleidsregels worden aangehaald als: Boetebeleidsregels Autoriteit Persoonsgegevens 2016.

Deze beleidsregels zullen met de toelichting in de Staatscourant worden geplaatst.