Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Hoge Nieuwstraat 8, 2514 EL Den Haag
T 070 8888 500
autoriteitpersoonsgegevens.nl
Coolblue B.V.
T.a.v. de directie
Weena 664
3012 CN ROTTERDAM
Datum Ons kenmerk
23 december 2024 [VERTROUWELIJK]
Contactpersoon
[VERTROUWELIJK]
070 8888 500
Onderwerp
Beslissing op bezwaar
Geachte leden van de directie,
Coolblue B.V. (hierna: Coolblue) heeft bezwaar gemaakt tegen het besluit van de Autoriteit
Persoonsgegevens (hierna: AP) van 11 januari 2024 (kenmerk [VERTROUWELIJK]; hierna: het primaire
besluit). Bij dat besluit heeft de AP aan Coolblue een boete opgelegd voor de overtreding van artikel 5,
eerste lid, gelezen in samenhang met artikel 6, eerste lid, van de Algemene verordening
gegevensbescherming (hierna: AVG). De overtreding bestaat er kort gezegd uit dat Coolblue
persoonsgegevens verwerkte door middel van zogeheten cookies, terwijl Coolblue niet op de juiste wijze
om toestemming van de bezoeker vroeg. Daardoor was geen sprake van toestemming als bedoeld in de
AVG en miste Coolblue dus een rechtsgeldige grondslag voor de verwerking van persoonsgegevens.
De AP heeft het bestreden besluit heroverwogen met inachtneming van hetgeen in bezwaar door Coolblue
is aangevoerd, en verklaart het bezwaar van Cooblue gegrond. De AP blijft van oordeel dat Coolblue de
AVG heeft overtreden door persoonsgegevens te verwerken zonder rechtsgeldige grondslag. De AP ziet
evenwel aanleiding om de boete in bezwaar vast te stellen op € 40.000,00 (zegge: veertigduizend euro). De
AP licht dit besluit hieronder toe.
1. De overtreding
In oktober en november 2019 hebben toezichthouders van de AP onderzoek gedaan naar de website van
(onder meer) Coolblue, om te toetsen of die website voldeed aan de eisen die de AVG stelt aan het gebruik
1
Datum Ons kenmerk
23 december 2024 [VERTROUWELIJK]
van (tracking) cookies. Daarbij is tevens nagegaan of toestemming van betrokkenen werd gevraagd voor
het verwerken van persoonsgegevens door middel van (tracking) cookies, en of de wijze waarop het vragen
van deze toestemming was vormgegeven, juist was. Uit het onderzoek door toezichthouders van de AP is
gebleken dat een bezoeker van de website van Coolblue (www.coolblue.nl) destijds de volgende
cookiebanner te zien kreeg:
Figuur 1: cookiebanner op de website van Coolblue. De tekst onderin luidt: “Om je beter en persoonlijker te helpen,
gebruiken wij cookies en vergelijkbare technieken. Met de cookies volgen wij en derde partijen jouw internetgedrag
binnen onze site. Hiermee tonen we advertenties op basis van jouw interesse en kun je informatie delen via social media.
Als je verder gaat op onze website gaan we ervan uit de je dat goedvindt. Meer weten? Bekijk onze cookiepagina.”
De AP heeft Coolblue op 29 november 2019 een normoverdragende brief gestuurd waarin is vermeld dat
de website op dat moment vermoedelijk niet voldeed aan de vereisten die volgen uit de AVG. In de brief is
Coolblue gevraagd om de werkwijze rond het vragen van toestemming voor (tracking) cookies tegen het
licht te houden. Op 28 april 2020 en 6 mei 2020 hebben toezichthouders van de AP geconstateerd dat de
werkwijze niet was aangepast, waarna is besloten een onderzoek te starten.
In het onderzoeksrapport van 10 februari 2022 heeft de onderzoeksafdeling van de AP geconcludeerd dat
Coolblue persoonsgegevens verwerkte zonder rechtsgeldige grondslag. Coolblue ging met bovenstaande
cookiebanner uit van stilzwijgende toestemming van betrokkenen voor het verwerken van hun
persoonsgegevens via (tracking) cookies. Daarbij was het “persoonlijk cookiepakket” automatisch actief
(aangekruist). Noch het uitgaan van stilzwijgende toestemming, noch het gebruik van vooraf aangekruiste
vinkjes kunnen leiden tot rechtsgeldig verkregen toestemming voor de verwerking van persoonsgegevens.
Zo heeft ook het Hof van Justitie van de Europese Unie (hierna: het Hof) geoordeeld in haar arrest van
1 oktober 2019 (ECLI:EU:C:2019:801; Planet49). Rechtsgeldige toestemming vereist volgens artikel 4 van
de AVG immers een ondubbelzinnige actieve handeling waaruit een vrije, specifieke, geïnformeerde en
ondubbelzinnige wilsuiting blijkt dat de betrokkene de hem betreffende verwerking van persoonsgegevens
aanvaardt. Op 17 juni 2020 heeft Coolblue een nieuwe cookiebanner in gebruik genomen, die vanaf dat
moment wél voldoet aan de vereisten die volgen uit de AVG.
Nu Coolblue in de periode van 28 april 2020 tot 17 juni 2020 persoonsgegevens verwerkte zonder over een
rechtsgeldige grondslag te beschikken, heeft zij gehandeld in strijd met artikel 5, eerste lid, aanhef en onder
a, gelezen in samenhang met artikel 6, eerste lid, aanhef en onder a, van de AVG.
2/9
Datum Ons kenmerk
23 december 2024 [VERTROUWELIJK]
2. Omvang van het bezwaar
Coolblue is in bezwaar opgekomen tegen de door de AP opgelegde bestuurlijke boete. Coolblue heeft in
bezwaar erkend dat zij in haar hoedanigheid van verwerkingsverantwoordelijke verantwoordelijk is voor
de verwerking van persoonsgegevens via (tracking) cookies op haar website. Coolblue heeft de in het
onderzoeksrapport geconstateerde overtreding van de vermelde bepalingen onderschreven, en heeft
erkend dat deze overtreding haar kan worden toegerekend en verweten. In bezwaar ligt dan ook nog
slechts de vraag voor naar de hoogte van de voor de geconstateerde overtreding op te leggen boete.
3. Boetehoogte
3.1. Systematiek
De AP slaat bij de uitoefening van de bevoegdheid om een bestuurlijke boete op te leggen in dit geval acht
op zowel de Boetebeleidsregels 2019 (Stcrt. 2019, 14586; hierna: de Boetebeleidsregels) als de Richtsnoeren
04/2022 voor de berekening van administratieve geldboeten krachtens de AVG (hierna: de Richtsnoeren). 1 In de
toelichting bij de Boetebeleidsregels is vermeld dat de EDPB2 nog geen gezamenlijke uitgangspunten voor
de berekening van boetes heeft vastgesteld. Daarom bestond aanleiding om omwille van de
rechtsgelijkheid en rechtszekerheid beleid vast te stellen met betrekking tot de bevoegdheid tot het
opleggen van een boete. Omdat binnen de EDPB het streven bestond om te komen tot gezamenlijke
uitgangspunten over de boeteberekening, was dit beleid tijdelijk van aard. Op 24 mei 2023 heeft de EDPB
de Richtsnoeren definitief vastgesteld. In dit beleid zijn de gezamenlijke uitgangspunten neergelegd voor
de situatie dat bedrijven de AVG overtreden. In het nu voorliggende geval leidt de toepassing van de
Boetebeleidsregels tot een zelfde boetebedrag als toepassing van de Richtsnoeren. De bepaling van het
boetebedrag wordt hierna achtereenvolgens in de volgende stappen toegelicht:
1. Bepalen van het startbedrag van de boete aan de hand van de Boetebeleidsregels;
2. Verlichtende en/of verzwarende omstandigheden op basis van de Boetebeleidsregels;
3. Verlichtende en/of verzwarende omstandigheden op basis van de Richtsnoeren;
4. Vaststellen boetehoogte en beoordeling doeltreffendheid, evenredigheid, en afschrikking.
3.2. Bepalen startbedrag aan de hand van de Boetebeleidsregels
In dit geval wordt het vertrekpunt van de berekening van de boetehoogte gevormd door de basisboete
zoals die volgt uit de Boetebeleidsregels. Onder de Boetebeleidsregels wordt een overtreding ingedeeld in
een categorie aan de hand van de wettelijke bepaling die is geschonden, strekkend van categorie I tot en
met IV. Deze categorieën zijn gerangschikt naar zwaarte van de overtreding van de genoemde artikelen,
waarbij categorie I de minst zware overtredingen bevat en categorie IV de zwaarste overtredingen. Indien
de voor de overtreding bepaalde boetecategorie in het concrete geval geen passende bestraffing toelaat,
1 De Richtsnoeren zijn te raadplegen op <https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042022-
calculation-administrative-fines-under_nl>.
2 European Data Protection Board, ofwel het in artikel 68 e.v. van de AVG bedoelde Europees Comité voor gegevensbescherming.
3/9
Datum Ons kenmerk
23 december 2024 [VERTROUWELIJK]
kan de AP bij het bepalen van de hoogte van de boete de bandbreedte van de naast hogere of lagere
categorie toepassen.
De Boetebeleidsregels bepalen dat een overtreding van artikel 5 en 6 van de AVG (zoals nu aan de orde) in
categorie III valt. De bandbreedte van deze boetecategorie loopt van € 300.000,00 tot en met € 750.000,00
en de basisboete bedraagt € 525.000,00. De boetebandbreedte en basisboete van deze categorie kunnen
gelet op de navolgende bespreking van verzwarende en verlichtende omstandigheden in dit geval niet
leiden tot een passende bestraffing van de geconstateerde overtreding. Daarom zal de AP gebruik maken
van de mogelijkheid om de naast lagere categorie toe te passen, zijnde boetecategorie II. De
boetebandbreedte van deze categorie loopt van € 120.000,00 tot € 500.000,00 en de basisboete bedraagt
€ 310.000,00.
De basisboete van € 310.000,00 geldt als neutraal uitgangspunt en dient te worden verhoogd of verlaagd
voor zover de relevante omstandigheden van het geval daartoe aanleiding geven.
3.3. Beoordeling van de omstandigheden op basis van de Boetebeleidsregels
Bij het opleggen van een boete moet op grond van artikel 7 van de Boetebeleidsregels en artikel 83,
tweede lid, van de AVG naar behoren rekening worden gehouden met de omstandigheden die zijn vermeld
in die bepalingen (onderdelen a tot en met k). Hieronder worden de omstandigheden besproken die van
toepassing zijn op dit geval. De onderdelen van artikel 7 van de Boetebeleidsregels en artikel 83,
tweede lid, van de AVG die niet worden besproken, missen in dit geval toepassing.
a) Aard, ernst en duur van de inbreuk
Op grond van de eerste factor dient rekening te worden gehouden met de aard, de ernst en de duur van de
inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het
aantal getroffen betrokkenen en de omvang van de door hen geleden schade.
Aard van de inbreuk
De inbreuk heeft betrekking op het beginsel van rechtmatigheid. Dit is een van de zes basisbeginselen van
de AVG en daarmee een fundamenteel vereiste voor de bescherming van persoonsgegevens. Het beginsel
van rechtmatigheid waarborgt de zeggenschap van betrokkenen over hun persoonsgegevens. Door
stilzwijgend toestemming te veronderstellen en gebruik te maken van vooraf ingevulde vinkjes, is
Coolblue voorbijgegaan aan het beginsel van rechtmatigheid en heeft zij de zeggenschap van betrokkenen
over hun persoonsgegevens geschaad.
Ernst van de inbreuk
De vraag of de ernst van de inbreuk moet worden getypeerd als laag, gemiddeld of hoog, moet worden
beantwoord aan de hand van de omvang van de verwerking, het aantal getroffen betrokkenen en de door
hen geleden schade.
4/9
Datum Ons kenmerk
23 december 2024 [VERTROUWELIJK]
Coolblue richt de onderzochte website op het online winkelpubliek in geheel Nederland. Gelet hierop was
zeker geen sprake van een kleinschalige verwerking. Tegelijkertijd was ook geen sprake van een zeer grote
verwerking. De verwerkingsactiviteiten van Coolblue waren beperkt tot enkel de eigen website.
In het kader van het aantal getroffen betrokkenen is van belang dat de website een substantieel aantal
bezoekers heeft. Coolblue heeft echter gemotiveerd gesteld dat het aantal bezoekers beduidend hoger is
dan het aantal daadwerkelijke betrokkenen. Allereerst heeft Coolblue te maken met terugkerende
bezoekers, die in de bezoekersaantallen niet zijn ontdubbeld. Daarnaast heeft Coolblue in de periode
waarin de overtreding is geconstateerd, uitgebreide A/B-tests uitgevoerd om de effectiviteit van
verschillende ontwerpen cookiebanners te testen. Hierdoor kreeg een steeds groter deel van de bezoekers
een cookiebanner te zien die voldeed aan de vereisten van de AVG. Het aantal getroffen betrokkenen werd
dus in die periode steeds kleiner, tot het moment dat de inbreuk geheel is weggenomen.
Ten aanzien van de schade constateert de AP dat Coolblue de betrokkenen de zeggenschap heeft
ontnomen over hun persoonsgegevens. Hiermee heeft Coolblue een inbreuk gemaakt op de rechten en
vrijheden van deze betrokkenen. Er is echter niet gebleken dat betrokkenen anderszins schade hebben
geleden.
Duur van de inbreuk
Zoals vermeld heeft de inbreuk plaatsgevonden van 28 april 2020 tot en met 17 juni 2020. De inbreuk
duurde zeven weken en één dag en is naar het oordeel van de AP derhalve zeker niet als langdurig aan te
merken.
Gelet op het bovenstaande moet de inbreuk gelet op de aard, ernst en duur worden gekwalificeerd als van
lage ernst. Deze omstandigheid werkt verzachtend op de boetehoogte.
b) Opzettelijke of nalatige karakter van de inbreuk
In het arrest van het Hof van 5 december 2023 (ECLI:EU:C:2023:950; Deutsche Wohnen) oordeelde het Hof
dat enkel een administratieve geldboete kan worden opgelegd wanneer een verwerkingsverantwoordelijke
verwijtbaar de AVG heeft overtreden. Verwijtbaar betekent in dit geval dat er sprake is van opzet dan wel
nalatigheid met betrekking tot de inbreuk (overweging 68). Daarvan is in ieder geval sprake indien de
overtreder niet onkundig kon zijn van het feit dat zijn gedraging een inbreuk opleverde, ongeacht of hij er
zich van bewust was dat hij de bepalingen van de AVG schond.
De AP heeft voorafgaand aan het onderzoek op 29 november 2019 een normoverdragende brief gestuurd,
waarin Coolblue op de tekortkoming is gewezen en de mogelijkheid tot herstel is geboden. Bovendien
heeft de (Europese) wetgever benadrukt dat deze wijze van toestemming verkrijgen niet in lijn is met de
AVG (vergelijk overweging 32 bij de AVG). Gelet hierop is sprake van verwijtbaarheid. Coolblue heeft in
bezwaar overigens ook erkend dat zij verwijtbaar laat heeft gehandeld.
5/9
Datum Ons kenmerk
23 december 2024 [VERTROUWELIJK]
g) Categorieën van persoonsgegevens waarop de inbreuk betrekking heeft
De verwerking waarop de overtreding ziet heeft geen betrekking op persoonsgegevens waarvoor in de
AVG aanvullende bescherming is geregeld (artikelen 9 en 10). De verwerking ziet slechts op een beperkt
aantal categorieën van persoonsgegevens. Coolblue heeft toegelicht dat het gaat om niet-gevoelige
gegevens met een laag risico, omdat de gegevens werden gebruikt voor interne analyse, het tonen van
relevante producten en advertenties en het toesturen van een gepersonaliseerde nieuwsbrief. Dit zijn naar
het oordeel van de AP verzachtende omstandigheden
k) Overige relevante omstandigheden van toepassing op de zaak
Volgens onderdeel k van artikel 7 van de Boetebeleidsregels en artikel 83, tweede lid, van de AVG kan de
AP alle overige relevante omstandigheden van de zaak in acht nemen indien deze leiden tot verzwarende
of verzachtende omstandigheden. De AP ziet de volgende relevante omstandigheden, die elk verzachtend
werken.
Omstandigheden rond beëindiging van de overtreding
Zoals vermeld heeft de AP Coolblue op 29 november 2019 een normoverdragende brief gestuurd waarin
Coolblue op de tekortkoming is gewezen en waarin de mogelijkheid tot herstel is geboden. Coolblue heeft
toegelicht dat het hersteltraject intensief is geweest omdat Coolblue alle zorgvuldigheid heeft willen
betrachten. Achteraf kan worden geconstateerd dat het door Coolblue ingezette traject tot herstel te lang
heeft geduurd, maar dat neemt niet weg dat Coolblue op het moment dat het onderzoek van de AP aanving
wél bezig was om de overtreding daadwerkelijk te beëindigen. Coolblue heeft de overtreding vervolgens
ook daadwerkelijk beëindigd vóórdat de AP aan Coolblue bekend had gemaakt een onderzoek te zijn
gestart. Anders dan Coolblue in bezwaar heeft aangevoerd vindt de AP niet dat sprake is van een situatie
waarin Coolblue uit eigen beweging de overtreding heeft beëindigd. Vaststaat immers dat Coolblue pas in
actie is gekomen nadat zij door de AP op de tekortkomingen is gewezen met de normoverdragende brief.
Enige onduidelijkheid over geboden hersteltermijn
Samenhangend met het voorgaande, heeft Coolblue in bezwaar aangevoerd dat het voor haar niet duidelijk
was dat aan de geboden mogelijkheid tot herstel een harde termijn was verbonden. De normoverdragende
brief vermeldt geen datum waarvóór de overtreding had moeten worden hersteld. Dit betoog treft doel, zij
het ten dele. Weliswaar vermeldt de brief geen concrete einddatum, maar wel is vermeld dat de AP “over
enkele maanden” start met een onderzoek. Bovendien heeft Coolblue tijdens de zienswijzezitting bij de AP
op 22 juni 2022 verklaard dat de testfase te lang heeft geduurd en dat eerder op de rem had kunnen worden
getrapt door Coolblue.
Periode tussen aanvang onderzoek en primair besluit
De procedure van de AP ving aan met de normoverdragende brief van 29 november 2019 en de overtreding
is beëindigd op 17 juni 2020. Het primaire besluit dateert dus van ruim vier jaar na de normoverdragende
brief en drieënhalf jaar na het beëindigen van de overtreding. Het onderzoek, de geconstateerde feiten en
de overtreding zijn niet zodanig gecompliceerd, dat zij deze behandelduur rechtvaardigen. De AP erkent
6/9
Datum Ons kenmerk
23 december 2024 [VERTROUWELIJK]
dat de lange periode die is verstreken sinds de aanvang van de procedure en het beëindigen van de
overtreding, gelet op de inhoud van de zaak verzachtend moet werken.
3.4. Beoordeling van de omstandigheden op basis van de Richtsnoeren
Zoals hiervoor vermeld heeft de EDPB op 24 mei 2023 in de Richtsnoeren gezamenlijke uitgangspunten
vastgesteld ten aanzien van de berekening van boetes wegens overtredingen van de AVG. De Richtsnoeren
beschrijven een methodiek waarbij achtereenvolgens wordt bezien:
1. welke en hoeveel handelingen en inbreuken ter beoordeling voorliggen;
2. welk startbedrag het uitgangspunt vormt bij de berekening van de boete hiervoor;
3. of zich verzachtende of verzwarende omstandigheden voordoen die nopen tot aanpassing van het
bedrag uit stap 2;
4. welke maximumbedragen gelden voor de overtredingen, en of eventuele verhogingen uit de vorige
stap dit bedrag niet te boven gaan;
5. of het uiteindelijke bedrag van de berekende boete voldoet aan de vereisten van effectiviteit,
afschrikking en proportionaliteit, en zo nodig daaraan wordt aangepast.
Het aantal handelingen en inbreuken (stap 1) en het startbedrag (stap 2) zijn reeds besproken in
paragraaf 3.2 van dit besluit. De beoordeling van verzwarende en verzachtende omstandigheden onder de
Richtsnoeren (stap 3) vindt hieronder plaats. De controle op het overschrijden van het maximumbedrag
(stap 4) en de beoordeling van effectiviteit, afschrikking en proportionaliteit (stap 5) volgen in
paragraaf 3.5.
Zwaarte van de inbreuk
Allereerst moet aandacht worden besteed aan de zwaarte van de inbreuk. Hierbij wordt rekening
gehouden met de aard, ernst en duur van de inbreuk, evenals de opzettelijke of nalatige aard van de
inbreuk en de betrokken categorieën van persoonsgegevens. In paragraaf 3.3 is reeds ingegaan op deze
factoren. Onder verwijzing naar hetgeen in aanmerking is genomen onder de factoren a (aard, ernst en
duur), b (opzettelijk of nalatig karakter) en g (betrokken categorieën van persoonsgegevens) kwalificeert
de AP de zwaarte van de inbreuk, ook bij toepassing van de Richtsnoeren, als “laag”.
Relevante omstandigheden
Onder verwijzing naar hetgeen is vermeld in paragraaf 3.3 van dit besluit, wordt ook hier in aanmerking
genomen dat zich relevante omstandigheden voordoen die tot aanpassing van het uitgangsbedrag moeten
leiden. Dit betreft de omstandigheden rond de beëindiging van de overtreding, de omstandigheid dat er
enige onduidelijkheid heeft kunnen ontstaan over de geboden hersteltermijn en de lengte van de periode
tussen enerzijds de aanvang van de procedure en anderzijds het primaire besluit. Ook onder de
Richtsnoeren werken deze drie omstandigheden verzachtend.
7/9
Datum Ons kenmerk
23 december 2024 [VERTROUWELIJK]
3.5. Vaststellen boetehoogte en beoordeling doeltreffendheid, evenredigheid en afschrikking
Vaststellen boetehoogte
In paragraaf 3.2 van dit besluit is het startbedrag voor de berekening van de boete bepaald op € 310.000,00.
In de paragrafen 3.3 en 3.4 van dit besluit zijn omstandigheden in aanmerking genomen die zowel onder
de Boetebeleidsregels als onder de Richtsnoeren als verzachtend moeten worden aangemerkt. Gelet op de
lage ernst van de overtreding en de besproken omstandigheden van dit geval, acht de AP een boete van
€ 40.000,00 passend en geboden. Deze boete ligt onder de bandbreedte van categorie II van de
Boetebeleidsregels. Dit betekent dat de boete in zoverre moet worden gematigd op grond van het
evenredigheidsbeginsel, dat ook is neergelegd in de artikelen 3:4, tweede lid, en 5:46, tweede lid, van de
Algemene wet bestuursrecht (Awb). De AP stelt vast dat dit boetebedrag lager is dan het wettelijk
boetemaximum van artikel 83, vijfde lid, van de AVG, zodat overschrijding daarvan zich niet voordoet.
Effectief, proportioneel en afschrikkend
Tot slot moet worden beoordeeld of de boete effectief, proportioneel en afschrikkend is. Ingevolge
artikel 49, derde lid, van het Handvest van de grondrechten van de EU en de artikelen 3:4 en 5:46,
tweede lid, van de Awb mag de bestuurlijke boete gezien de omstandigheden van het geval niet leiden tot
een onevenredige uitkomst.
De Richtsnoeren schrijven voor dat het opleggen van een bestuurlijke boete als effectief kan worden
beschouwd indien deze het doel bereikt waarvoor zij is opgelegd.3 Het doel kan zijn het bestraffen van
onrechtmatige gedragingen, alsmede het bevorderen van naleving van geldende voorschriften. Gezien de
overwegingen aangaande de aard, ernst en duur van de inbreuk, alsmede in aanmerking genomen
omstandigheden neergelegd in artikel 83, tweede lid, van de AVG is de AP van oordeel dat de bestuurlijke
boete beide doelen bereikt en derhalve effectief en afschrikkend is.
De AP acht de boete evenredig, gelet op de ernst en omvang van de overtreding. De Richtsnoeren schrijven
voor dat er een maatregel opgelegd dient te worden die het minst belastend is, waarbij de nadelen niet
onredelijk bezwarend mogen zijn ten opzichte van het beoogde doel. Nu overtreding van een van de
basisbeginselen van de AVG heeft plaatsgevonden, acht de AP een bestuurlijke boete noodzakelijk. De
omstandigheden van het concrete geval hebben omwille van de evenredigheid evenwel tot een wezenlijke
matiging geleid.
Tot slot dient de opgelegde boete afschrikkend te zijn. Dat houdt in dat Coolblue zich in de toekomst zal
weerhouden van een inbreuk van de AVG. De AP is van oordeel dat de voorgeschreven boete een
afschrikkende werking heeft.
3 Richtsnoeren, onder 135.
8/9
Datum Ons kenmerk
23 december 2024 [VERTROUWELIJK]
4. Conclusie
De AP heeft het primaire besluit heroverwogen en is daarbij tot de conclusie gekomen dat een boete van
€ 40.000,00 passend en geboden is. Hieruit volgt dat hetgeen Coolblue in bezwaar heeft aangevoerd slaagt,
zodat het bezwaar gegrond zal worden verklaard. De AP zal het primaire besluit in zoverre herroepen en
aan Coolblue een boete opleggen van € 40.000,00.
5. Besluit
De Autoriteit Persoonsgegevens:
- verklaart het door Coolblue B.V. gemaakte bezwaar gegrond;
- herroept het besluit van 11 januari 2024 met kenmerk [VERTROUWELIJK];
- legt aan Coolblue B.V. een bestuurlijke boete op van € 40.000,00 (zegge: veertigduizend euro) voor
het overtreden van artikel 5, eerste lid, aanhef en onder a, gelezen in samenhang met
artikel 6, eerste lid, van de AVG. 4
Hoogachtend,
Autoriteit Persoonsgegevens
w.g.
mr. A. Wolfsen
voorzitter
Rechtsmiddelenclausule
Indien Coolblue het niet eens is met dit besluit kan zij binnen zes weken na de datum van verzending
van het besluit ingevolge de Awb een beroepschrift indienen bij de rechtbank (sector bestuursrecht) in
het arrondissement, waarbinnen Cooblue is gevestigd. Coolblue dient een afschrift van dit besluit mee
te zenden. Het indienen van een beroepschrift schort de werking van dit besluit op. Voor het indienen
van beroep bij de rechtbank zijn kosten verschuldigd aan de rechtbank (griffierecht). Voor de hoogte
van het bedrag van deze kosten kan worden gekeken op de internetpagina van de rechtspraak:
https://www.rechtspraak.nl/Naar-de-rechter/Kosten-rechtszaak/Griffierecht/Paginas/Griffierecht-
bestuursrecht.aspx
4 De AP zal de vordering uit handen geven aan het Centraal Justitieel Incassobureau (CJIB).
9/9