ECLI:NL:RBROT:2024:13685

• Datum uitspraak: 8 mei 2024
• Publicatiedatum: 4 maart 2025
• Zaaknummer: ROT 23/4540
• Instantie: Rechtbank Rotterdam
• Type: Uitspraak
• Rechtsgebied: Bestuursrecht
• Procedures: Eerste aanleg - enkelvoudig
• Rechters: E.C. Harting
• Vindplaatsen: Rechtspraak.nl

AI samenvatting door Lexboost • Automatisch gegenereerd

Beoordeling van handhavingsverzoek en onderzoeksverplichtingen van de Autoriteit Persoonsgegevens in het kader van de AVG

In deze zaak heeft eiser een klacht en handhavingsverzoek ingediend bij de Autoriteit Persoonsgegevens (AP) naar aanleiding van een e-mail die hij ontving van [naam bedrijf]. Eiser stelde dat er drie overtredingen van de Algemene Verordening Gegevensverwerking (AVG) waren, en verzocht de AP om handhavend op te treden. De AP heeft het verzoek afgewezen, wat leidde tot bezwaar van eiser. De rechtbank heeft het beroep op 5 maart 2024 behandeld, waarbij eiser en de gemachtigden van de AP aanwezig waren. De rechtbank oordeelde dat de AP niet verplicht was om handhavend op te treden, gezien de geringe ernst van de overtredingen en het feit dat herstel niet mogelijk was. De rechtbank concludeerde dat de AP terecht had afgezien van een herstelsanctie, boete of berisping. Eiser had niet aangetoond dat er een doorlopende overtreding was, en de AP had voldoende onderzoek gedaan naar de klachten. De rechtbank verklaarde het beroep ongegrond, wat betekent dat de AP geen verdere actie hoefde te ondernemen naar aanleiding van de klachten van eiser. Eiser kreeg geen griffierecht terug en ook geen vergoeding van proceskosten.

Uitspraak

RECHTBANK ROTTERDAM

Zittingsplaats Rotterdam

Bestuursrecht

zaaknummer: ROT 23/4540

uitspraak van de enkelvoudige kamer van 8 mei 2024 in de zaak tussen

[eiser], uit [woonplaats], eiser

en

Autoriteit Persoonsgegevens,

(gemachtigden: mr. A. Karimi en mr. E. Nijhof).

Als derde-partij heeft aan het geding deelgenomen:
[naam bedrijf] , te [plaatsnaam],

(gemachtigde: [naam 1]).

Inleiding

1.1.

Op 17 juli 2021 heeft eiser een klacht en handhavingsverzoek ingediend bij de Autoriteit Persoonsgegevens (AP) naar aanleiding van een e-mail die hij op 8 juni 2021 ontving van [naam bedrijf] ([naam bedrijf]). Daarin heeft hij – voor zover in beroep nog relevant - drie overtredingen van de Algemene Verordening Gegevensverwerking (de AVG) door [naam bedrijf] aangekaart en de AP verzocht daartegen handhavend op te treden. Bij besluit van 22 december 2022 heeft de AP dit verzoek afgewezen. Eiser heeft hiertegen bezwaar gemaakt. Met het besluit op bezwaar van 22 mei 2023 heeft de AP vastgesteld dat [naam bedrijf] weliswaar geen geldige grondslag had voor het versturen van de e-mail van 8 juni 2021, maar dat de AP daartegen niet handhavend hoefde op te treden. De bezwaren op de andere twee punten heeft de AP ongegrond verklaard.

1.2.

De rechtbank heeft het beroep op 5 maart 2024 op zitting behandeld. Hieraan hebben deelgenomen: eiser en de gemachtigden van de AP, en namens [naam bedrijf] [naam 1] en [naam 2].

Beroepsgronden

2.

2.1.

Volgens eiser heeft de AP zijn bezwaar ten onrechte ongegrond verklaard. Hij stelt zich op het standpunt dat het AP alsnog positief zou moeten besluiten op zijn handhavingsverzoek omdat:

• de AP handhavend had moeten optreden tegen het ontbreken van een geldige verwerkingsgrondslag voor het versturen van de e-mail van 8 juni 2021;
• de AP een overtreding had moeten constateren op het punt van het ontbreken van een geldige verwerkersovereenkomst tussen [naam bedrijf] en ActiveCampaign en daartegen handhavend had moeten optreden; en
• de AP een overtreding had moeten constateren op het punt van het ontbreken van de vereiste passende waarborgen in de vorm van

2.2.

Volgens eiser is de AP voorbij gegaan aan verschillende mogelijkheden tot handhavend optreden, zoals het opleggen van boete maar ook een (preventieve) herstelsanctie. Daarbij had de AP moeten aansluiten bij de Richtsnoeren voor de toepassing en vaststelling van administratieve geldboeten in de zin van Verordening (EU) 2016/679 (richtsnoeren).

Beoordeling door de rechtbank

Had de AP handhavend moeten optreden tegen de overtreding van 8 juni 2021?

3.

3.1.

Partijen zijn het erover eens dat [naam bedrijf] geen geldige grondslag had voor het verwerken van eisers persoonsgegevens voor de e-mail van 8 juni 2021. Het is de vraag of de AP handhavend had moeten optreden tegen die overtreding van de AVG.

3.2.

Eiser zegt van wel, want de intentie van de AVG is dat voor elke overtreding straffen worden opgelegd. Als het een kleine inbreuk betreft of een geldboete onevenredig zou zijn, kan er een berisping worden opgelegd in plaats van een geldboete (overweging 148 van de AVG). De situatie waarin er wel een overtreding heeft plaatsgevonden maar er geen enkele maatregel of sanctie op volgt, is binnen dit kader geen mogelijkheid. Het is vaste rechtspraak van de Afdeling bestuursrechtspraak van de Raad van State (de Afdeling) dat handhavingsbeleid er niet toe mag strekken dat tegen overtredingen met een lage prioriteit nooit wordt opgetreden. Ook had de AP een (preventie) herstelsanctie kunnen opleggen. De strekking daarvan zou, als het gaat om deze klacht, moeten zijn dat [naam bedrijf] de gegevens die bedoeld zijn voor het voldoen aan een wettelijke verplichting niet langer gebruikt voor direct marketing. Eiser heeft hieraan ter zitting nog toegevoegd dat mogelijk sprake is van een doorlopende overtreding omdat hij niet weet of [naam bedrijf] zijn e-mailadres verwijderd heeft.

3.3.

De AP stelt zich op het standpunt dat het gaat om een zeer geringe overtreding. Hoewel de AP in beginsel gehouden is handhavend op te treden door een herstelsanctie op te leggen, is herstel in dit geval niet mogelijk. Een bestraffende sanctie vindt de AP niet proportioneel. De AP stelt zich ook op het standpunt dat zij niet verplicht is handhavend op te treden.

Handhaving door de AP

3.4.

De AP heeft een beginselplicht tot handhaving die geldt voor het opleggen van herstelsancties, maar niet voor boetes. In dat kader heeft de AP terecht verwezen naar de uitspraak van de Afdeling van 30 juni 2021 (ECLI:NL:RVS:2021:1407). Dat het in die uitspraak ging over de voorloper van de AVG maakt dit niet anders, want de redenering die de Afdeling in de uitspraak gebruikt blijft van toepassing. Anders dan eiser stelt, wordt in overweging 148 van de AVG geen verplichting aan de toezichthoudende autoriteit opgelegd om elke inbreuk, ook een kleine overtreding, te bestraffen met minimaal een berisping. In de wettekst van de AVG zelf (artikel 58, tweede lid, van de AVG) en in de jurisprudentie van het Hof van Justitie (zie bijvoorbeeld het Arrest van het Hof van 5 december 2023, ECLI:EU:C:2023:949), is het opleggen van corrigerende maatregelen geformuleerd als een bevoegdheid, niet als een verplichting. Als het gaat om de keuze om een boete op te leggen is het in de eerste plaats aan de AP om hierin een afweging te maken. De AP heeft beleidsvrijheid (zie artikel 57, eerste lid, onder f, en artikel 58, tweede lid, aanhef en onder i, van de AVG). Die afweging van de AP wordt door de bestuursrechter terughoudend getoetst.

Herstelsanctie

3.5.

De AP heeft zich niet ten onrechte op het standpunt gesteld dat een (preventieve) herstelsanctie hier niet aangewezen is. Herstelsancties zijn gericht op het ongedaan maken of beëindigen van een overtreding, het voorkomen van herhaling van een overtreding, of het wegnemen of beperken van de gevolgen van een overtreding. Deze ‘herstellende’ functie ligt ten grondslag aan de beginselplicht tot handhaving. De e-mail van 8 juni 2021 is eenmalig verzonden zonder geldige verwerkingsgrondslag en dat kan niet worden teruggedraaid. Er is geen gegronde vrees voor herhaling of een klaarblijkelijke dreiging van nieuwe overtredingen. [naam bedrijf] heeft aan de AP toegelicht dat de e-mail bedoeld was voor het destijds bestaande werknemersbestand, maar dat een foutieve datumselectie ertoe heeft geleid dat deze ook is verstuurd naar ex-werknemers die al langere tijd uit dienst waren. [naam bedrijf] heeft verder verklaard voortaan een maximale termijn van één jaar na uitdiensttreding te hanteren. Ook heeft [naam bedrijf] haar werkprocessen aangepast om herhaling te voorkomen. Dat [naam bedrijf] mogelijk zou hebben nagelaten het e-mailadres van eiser te verwijderen, zodat de overtreding voortduurt, heeft eiser niet aan zijn handhavingsverzoek ten grondslag gelegd maar pas ter zitting aangevoerd. Bovendien is het onzeker of dit het geval is.

3.6.

Als [naam bedrijf] vergelijkbare e-mails is blijven sturen naar andere (ex-)werknemers (tot één jaar na uitdiensttreding), maakt dat het bovenstaande niet anders. Eiser kan alleen een AVG-klacht indienen over de verwerking van zijn eigen persoonsgegevens (artikel 77 van de AVG). Wat betreft de persoonsgegevens van anderen is hij, zoals de AP terecht stelt, niet aan te merken als belanghebbende. Eiser kan er dus niet met succes over klagen dat de AP een herstelsanctie had moeten opleggen om te voorkomen dat [naam bedrijf] door zou gaan met het gebruik van gegevens (van anderen) voor direct marketing.

Boete

3.7.

De AP heeft ook kunnen beslissen om [naam bedrijf] geen boete op te leggen met als redenering dat een boete onevenredig en niet doelmatig is. Daarbij heeft de AP kunnen meewegen dat het gaat om een geringe overtreding: het eenmalig versturen van een e-mail zonder bijzondere persoonsgegevens door een foutieve datumselectie. [naam bedrijf] heeft de onrechtmatigheid zelf erkend, excuses aangeboden en maatregelen genomen. De e-mail is algemeen geformuleerd en niet afgestemd op de persoonlijke situatie van eiser. Hij bevat ook geen persoonsgegevens of bijzondere categorieën van persoonsgegevens in de zin van artikel 9 van de AVG. Eiser heeft niet gesteld dat hij concrete nadelige gevolgen van de e-mail heeft gehad. Dat de AP de richtsnoeren niet heeft gevolgd bij het bepalen van de hoogte van de boete is niet relevant, aangezien de AP van het opleggen van een boete heeft kunnen afzien. Ook doet de vraag of het gaat om een kleine overtreding hier niet ter zake, want het is aan de AP om de afweging te maken of een boete op z’n plaats is. De AP heeft die afweging inzichtelijk gemaakt.

Berisping

3.8.

De AP heeft ook de berisping achterwege kunnen laten, aangezien [naam bedrijf] de overtreding zelf inziet en maatregelen heeft genomen om herhaling te voorkomen.

Conclusie

3.9.

De AP heeft dus – ondanks de beginselplicht tot handhaving op dat punt – terecht afgezien van een herstelsanctie. Ook kon de AP besluiten [naam bedrijf] in dit geval geen boete of berisping op te leggen. Eiser heeft terecht gesteld dat uit de jurisprudentie volgt dat handhavingsbeleid er niet toe mag strekken dat tegen overtredingen met een lage prioriteit nooit wordt opgetreden. In dit geval heeft de AP echter, zoals hierboven uiteengezet, wel kunnen besluiten niet te handhaven.

3.10.

De beroepsgrond slaagt niet.

Had de AP meer inbreuken moeten constateren en handhavend moeten optreden?

3.11.

Eiser heeft verder aangevoerd dat de AP nog twee overtredingen had moeten constateren, omdat de vereiste verwerkersovereenkomst tussen [naam bedrijf] en ActiveCampaign en passende waarborgen voor doorgifte in de vorm van SCC’s ontbraken. De AP moet, samengevat, volgens eiser bewijzen dat zijn rechten niet geschonden zijn en dus voldoende onderzoek doen om dat te kunnen vaststellen. De AP moest daarnaast ook handhavend optreden tegen de twee overtredingen.

3.12.

Volgens de AP is er nader onderzoek nodig om de gestelde overtredingen te kunnen constateren, maar is dat hier niet aangewezen. Het standpunt van de AP is dat het daarvan heeft kunnen afzien op basis van de uitkomsten van globaal bureauonderzoek. Daartoe heeft de AP aangevoerd dat zij keuzes moet maken. Dit gebeurde ten tijde van de beslissing op bezwaar aan de hand van prioriteringsbeleid, op grond waarvan er geen aanleiding was tot verder onderzoek naar de twee andere gestelde overtredingen.

Onderzoeksverplichtingen AP

3.13.

Op grond van artikel 57, eerste lid, aanhef en onder f, van de AVG moet de AP klachten ‘in gepaste mate’ onderzoeken. De AP ontvangt jaarlijks tienduizenden klachten en beschikt over een beperkte capaciteit. Dit volgt ook uit het ambtsbericht van het Ministerie van Justitie en Veiligheid van 20 december 2023 dat eiser ter zitting heeft aangehaald, waarin staat dat het de AP niet lukt om de grondrechtelijke verplichtingen van (onder meer) de AVG na te leven door beperkte capaciteit. Daarom bepaalt de AP aan de hand van de Beleidsregels prioritering klachtenonderzoek AP (Stcrt. 2018, 54287), zoals deze golden ten tijde van de beslissing op bezwaar, welke klachten in welke mate worden onderzocht. Het prioriteringsbeleid houdt in dat onderzoek naar aanleiding van een handhavingsverzoek in fases wordt uitgevoerd en tussendoor wordt bepaald of het de volgende fase ingaat. In fase I wordt getoetst aan de formele eisen uit de Algemene wet bestuursrecht (Awb) en AVG. Als aan die formele eisen is voldaan, vindt aansluitend een globaal bureauonderzoek plaats. Op grond van dat bureauonderzoek wordt beoordeeld of aannemelijk is dat zich een overtreding van de AVG heeft voorgedaan of voordoet. Volgt uit dit onderzoek dat zich mogelijk een overtreding heeft voorgedaan, dan wordt het handhavingsverzoek in fase II getoetst aan prioriteringscriteria om te beoordelen of een uitgebreid onderzoek moet worden gedaan. Deze werkwijze is volgens vaste rechtspraak van de Afdeling bestuursrechtspraak van de Raad van State niet onredelijk (zie bijvoorbeeld de uitspraak van 10 november 2021, ECLI:NL:RVS:2021:2508).

3.14.

De onderzoeksplicht van de AP gaat dan ook niet zo ver dat de AP onderzoek moet blijven doen totdat de AP kan bewijzen dat eisers rechten niet geschonden zijn, zoals eiser ter zitting heeft aangevoerd, maar beperkt zich tot het in gepaste mate onderzoeken van eisers klachten.

Geldigheid verwerkersovereenkomst en aanwezigheid passende waarborgen

3.15.

Naar het oordeel van de rechtbank heeft de AP kunnen concluderen dat de twee andere gestelde overtredingen in het globale bureauonderzoek van Fase I niet vast zijn komen te staan. Hierbij heeft de AP kunnen betrekken dat [naam bedrijf] in 2020 een verwerkersovereenkomst en een ingevuld exemplaar van de SCC’s (voor doorgifte aan een verwerker in een derde land) heeft ontvangen van ActiveCampaign. Deze overeenkomsten zijn ondertekend door ActiveCampaign. [naam bedrijf] heeft ze op 1 juli 2021 ondertekend. Met de AP is de rechtbank van oordeel dat de overtreding van de AVG door [naam bedrijf] daarmee (nog) niet vast staat, aangezien de totstandkoming van een overeenkomst een civielrechtelijke vraag is, die meer omvat dan alleen of er handtekeningen zijn gezet. Ten aanzien van de passende waarborgen heeft de AP gesteld dat in het globale bureauonderzoek niet is vastgesteld dat de e-mail van 8 juni 2021 is verzonden vanaf het door eiser genoemde IP-adres, en – als dat het geval zou zijn – dat dit betekent dat de verwerking van het emailadres van eiser in de Verenigde Staten heeft plaatsgevonden. De rechtbank kan de AP hierin volgen.

3.16.

De AP heeft vervolgens op basis van het prioriteringsbeleid kunnen beslissen na dit globale bureauonderzoek geen nader onderzoek te doen om vast te stellen of sprake was van een overtreding waartegen de AP handhavend kan optreden. De AP heeft hierbij kunnen overwegen dat er al voordat eiser zijn klachten bij de AP had ingediend sprake was van een (eenzijdig) getekende verwerkersovereenkomst, dat het slechts gaat om een eenmalige verwerking van reguliere (niet-bijzondere) persoonsgegevens van eiser, waarvan de impact voor eiser beperkt is, en de klacht ook niet valt binnen de aandachtsgebieden die de AP voor de periode 2020-2023 heeft vastgesteld. Deze omstandigheden maken dat de klacht laag scoort op de prioriteringscriteria van de AP. Naar het oordeel van de rechtbank heeft de AP hiermee voldaan aan de verplichting van artikel 57 van de AVG om de twee overige klachten in gepaste mate te onderzoeken.

3.17.

Uit het bovenstaande volgt dat de AP zich terecht op het standpunt heeft gesteld dat uit Fase I onvoldoende van de gestelde overtredingen is gebleken en van verder onderzoek heeft kunnen afzien. Daarom komt de rechtbank niet toe aan de vraag of, en zo ja, hoe de AP daartegen handhavend had moeten optreden.

3.18.

De beroepsgrond slaagt niet.

Conclusie en gevolgen

4. Het beroep is ongegrond. Dat betekent dat de AP heeft kunnen besluiten geen verdere actie te ondernemen naar aanleiding van eisers klachten tegen [naam bedrijf] en het bijbehorende handhavingsverzoek. Omdat eiser geen gelijk krijgt, krijgt hij het griffierecht niet terug. Hij krijgt ook geen vergoeding van zijn proceskosten.

Beslissing

De rechtbank verklaart het beroep ongegrond.

Deze uitspraak is gedaan door mr. E.C. Harting, rechter, in aanwezigheid van T.E. Brouwer, griffier. De uitspraak is uitgesproken in het openbaar op 8 mei 2024.

De griffier is verhinderd

te ondertekenen.

griffier

rechter

Een afschrift van deze uitspraak is verzonden aan partijen op:

Informatie over hoger beroep

Een partij die het niet eens is met deze uitspraak, kan een hogerberoepschrift sturen naar de Afdeling bestuursrechtspraak van de Raad van State waarin wordt uitgelegd waarom deze partij het niet eens is met deze uitspraak. Het hogerberoepschrift moet worden ingediend binnen zes weken na de dag waarop deze uitspraak is verzonden. Kan de indiener de behandeling van het hoger beroep niet afwachten, omdat de zaak spoed heeft, dan kan de indiener de voorzieningenrechter van de Afdeling bestuursrechtspraak van de Raad van State vragen om een voorlopige voorziening (een tijdelijke maatregel) te treffen.