ECLI:NL:RVS:2025:4562 text/xml public 2026-03-12T10:06:08 2025-09-24 Raad voor de Rechtspraak nl Raad van State 2025-09-24 202305954/1/A3 Uitspraak Hoger beroep NL Bestuursrecht Eerste aanleg: ECLI:NL:RBAMS:2023:5074, Meerdere afhandelingswijzen
Rechtspraak.nl NJB 2025/2352 Module Privacy & AVG 2025/4470 JBP 2025/169
http://deeplink.rechtspraak.nl/uitspraak?id=ECLI:NL:RVS:2025:4562 text/html public 2025-09-24T10:17:55 2025-09-24 Raad voor de Rechtspraak nl ECLI:NL:RVS:2025:4562 Raad van State , 24-09-2025 / 202305954/1/A3
Bij besluit van 14 januari 2022 heeft de Autoriteit Persoonsgegevens aan [appellante sub 2] een boete van € 25.000,00 opgelegd wegens overtreding van artikel 12, tweede lid, van de Algemene Verordening Gegevensbescherming. [appellante sub 2] publiceert tijdschriften waarop klanten een abonnement kunnen afsluiten. [appellante sub 2] verwerkt in het kader van die abonnementen persoonsgegevens van haar abonnees. De AP heeft geconstateerd dat [appellante sub 2] het recht van betrokkenen op inzage en wissing niet heeft gefaciliteerd zoals vereist in artikel 12, tweede lid, van de AVG. [appellante sub 2] vroeg aan betrokkenen die buiten de online inlogomgeving van [appellante sub 2] een verzoek deden om uitoefening van hun recht op inzage in of wissing van hun persoonsgegevens, standaard en op voorhand om hun identiteit te bevestigen met een kopie van hun identiteitsbewijs. Dit deed [appellante sub 2] zonder van tevoren te beoordelen of de desbetreffende verzoeker op een andere, minder ingrijpende wijze kon worden geïdentificeerd. In een besluit van 14 januari 2022 heeft de AP aan [appellante sub 2] daarom een boete van € 525.000,00 opgelegd wegens overtreding van artikel 12, tweede lid, van de AVG.
202305954/1/A3.
Datum uitspraak: 24 september 2025
AFDELING
BESTUURSRECHTSPRAAK
Uitspraak op de hoger beroepen van:
1. de Autoriteit Persoonsgegevens (hierna: de AP),
2. [appellante sub 2], gevestigd in [plaats],
appellanten,
tegen de uitspraak van de rechtbank Amsterdam van 10 augustus 2023 in zaak nr. 22/5458 in het geding tussen:
de AP
en
[appellante sub 2].
Procesverloop
Bij besluit van 14 januari 2022 heeft de AP aan [appellante sub 2] een boete van € 25.000,00 opgelegd wegens overtreding van artikel 12, tweede lid, van de Algemene Verordening Gegevensbescherming (hierna: AVG).
Bij besluit van 4 oktober 2022 heeft de AP het door [appellante sub 2] daartegen gemaakte bezwaar ongegrond verklaard.
Bij uitspraak van 10 augustus 2023 heeft de rechtbank het door [appellante sub 2] daartegen ingestelde beroep gegrond verklaard, het besluit van 4 oktober 2022 vernietigd voor zover daarbij een boete is opgelegd en het besluit van 14 januari 2022 herroepen ook voor zover daarbij een boete is opgelegd. Verder heeft de rechtbank geoordeeld dat deze uitspraak in de plaats treedt van het vernietigde besluit.
Tegen deze uitspraak heeft de AP hoger beroep ingesteld.
[appellante sub 2] heeft een schriftelijke uiteenzetting gegeven en voorwaardelijk incidenteel hoger beroep ingesteld.
De AP heeft een zienswijze ingediend.
De AP heeft een nader stuk ingediend.
De Afdeling heeft de zaak op een zitting behandeld op 17 juni 2025, waar de AP, vertegenwoordigd door mr. A. Karimi en mr. O.S. Nijveld, en [appellante sub 2], vertegenwoordigd door [gemachtigde A] en [gemachtigde B], bijgestaan door mr. Q.R. Kroes en mr. M. Rijsenbrij, advocaten in Amsterdam, zijn verschenen.
Overwegingen
Inleiding
1. [appellante sub 2] publiceert tijdschriften waarop klanten een abonnement kunnen afsluiten. [appellante sub 2] verwerkt in het kader van die abonnementen persoonsgegevens van haar abonnees. De AP heeft geconstateerd dat [appellante sub 2] het recht van betrokkenen op inzage en wissing niet heeft gefaciliteerd zoals vereist in artikel 12, tweede lid, van de AVG. [appellante sub 2] vroeg aan betrokkenen die buiten de online inlogomgeving van [appellante sub 2] een verzoek deden om uitoefening van hun recht op inzage in of wissing van hun persoonsgegevens, standaard en op voorhand om hun identiteit te bevestigen met een kopie van hun identiteitsbewijs. Dit deed [appellante sub 2] zonder van tevoren te beoordelen of de desbetreffende verzoeker op een andere, minder ingrijpende wijze kon worden geïdentificeerd. In een besluit van 14 januari 2022 heeft de AP aan [appellante sub 2] daarom een boete van € 525.000,00 opgelegd wegens overtreding van artikel 12, tweede lid, van de AVG.
2. De Afdeling zal eerst in overweging 4 tot en met 6.3 het voorwaardelijk incidenteel hoger beroep van [appellante sub 2] bespreken, omdat dit het meest verstrekkende betoog is. Daarin zal de Afdeling beoordelen of het beleid van [appellante sub 2] in strijd is met artikel 12, tweede lid, van de AVG. Vervolgens zal de Afdeling beoordelen of de AP op grond van artikel 58, tweede lid, aanhef en onder i, van de AVG een boete mocht opleggen (overweging 8 tot en met 8.4) en of de opgelegde boete evenredig is (overweging 9 tot en met 9.6).
3. Het wettelijk kader is opgenomen in de bijlage, die deel uitmaakt van deze uitspraak.
Hoger beroep
Voorwaardelijk incidenteel hoger beroep
4. [appellante sub 2] heeft incidenteel hoger beroep ingesteld onder de voorwaarde dat het door de AP ingestelde hoger beroep tegen de uitspraak van de rechtbank gegrond is. Omdat, zoals hierna zal blijken, het hoger beroep van de AP gegrond is, wordt deze voorwaarde vervuld en komt de Afdeling toe aan het bespreken van de gronden van het incidenteel hoger beroep.
5. [appellante sub 2] betoogt dat de rechtbank ten onrechte heeft geoordeeld dat haar beleid niet in overeenstemming was met bepaalde in artikel 12, tweede lid, van de AVG. Zij voert hiertoe aan dat het beleid in overeenstemming was met de beginselen van proportionaliteit, subsidiariteit en minimale gegevensverwerking. Het beleid stond immers in verhouding tot het daarbij te dienen doel, namelijk het op een veilige manier inzage verschaffen in persoonsgegevens, dan wel het uitoefenen van het recht op wissing van de persoonsgegevens. Voor het identificeren van verzoekers vormde een (afgeschermde) kopie van het identiteitsbewijs een noodzakelijk middel, omdat [appellante sub 2] bij abonnees die geen gebruik maakten van de inlogomgeving vaak alleen beschikte over een beperkte set aan gegevens zoals een naam, geboortedatum en adresgegevens. In het privacy statement staat dat het om een afgeschermde kopie mag gaan, zodat voldaan wordt aan het beginsel van minimale gegevensverwerking, aldus [appellante sub 2].
Is er een overtreding van artikel 12, tweede lid, van de AVG?
6. Artikel 12, tweede lid, van de AVG bepaalt dat de verwerkingsverantwoordelijke de uitoefening van de rechten van de betrokkene uit hoofde van de artikelen 15 tot en met 22 faciliteert. In de in artikel 11, tweede lid, bedoelde gevallen mag de verwerkingsverantwoordelijke niet weigeren gevolg te geven aan het verzoek van de betrokkene om diens rechten uit hoofde van de artikelen 15 tot en met 22 uit te oefenen, tenzij de verwerkingsverantwoordelijke aantoont dat hij niet in staat is de betrokkene te identificeren.
6.1. De Afdeling overweegt dat een kopie van een identiteitsbewijs op zichzelf geen onredelijk middel is om een persoon te identificeren (vergelijk de uitspraak van 9 december 2020, ECLI:NL:RVS:2020:2927, r.o. 6.2). [appellante sub 2] heeft in de hier bedoelde gevallen, waarin geen gebruik werd gemaakt van de inlogomgeving, echter altijd en op voorhand om een kopie van het identiteitsbewijs gevraagd. Een verzoek om inzage in of wissing van persoonsgegevens werd niet in behandeling genomen zolang er geen kopie van het identiteitsbewijs was verstrekt. In de Privacyverklaring gaf [appellante sub 2] weliswaar aan dat een afgeschermde kopie, waarbij het Burgerservicenummer (hierna: BSN-nummer) en de pasfoto onherkenbaar waren gemaakt, ook voldoende was, maar in de verzoeken van [appellante sub 2] om een kopie van een identiteitsbewijs te overleggen, die zij stuurde naar de klagers na ontvangst van de verzoeken om inzage en wissing, werd dit echter niet aangegeven. Dit was dus niet steeds duidelijk voor de verzoekers.
6.2. Een niet-afgeschermde kopie van een identiteitsbewijs bevat veel meer persoonsgegevens dan de gegevens die nodig zijn voor een identiteitscontrole, zoals een BSN-nummer en een handtekening. Het vragen van meer informatie dan nodig is, is in strijd met het beginsel van minimale gegevensverwerking, zoals neergelegd in artikel 5, eerste lid, onder c, van de AVG. In dat artikel staat immers dat persoonsgegevens toereikend moeten zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt. Verder acht de Afdeling van belang dat [appellante sub 2] niet heeft onderzocht of een alternatieve, minder ingrijpende verificatiemethode, zoals met behulp van een abonnee- of klantnummer,e-mailverificatie of met andere persoonlijke gegevens, verificatie mogelijk is. Daarmee is het beleid in strijd met de beginselen van proportionaliteit en subsidiariteit. Uit het nieuwe beleid van [appellante sub 2], dat na het tijdstip van het bestreden besluit werd ingevoerd, blijkt dat een andere, minder ingrijpende manier voor identificatie mogelijk is. Zo heeft [appellante sub 2] dat ook op zitting bevestigd. Het actief uitgevoerde beleid dat bij verzoeken om inzage en wissing buiten de inlogomgeving altijd en op voorhand om een kopie van het identiteitsbewijs werd gevraagd, heeft daarom onnodige drempels voor betrokkenen opgeworpen die zich op hun rechten uit de AVG wilden beroepen (vergelijk de uitspraak van 9 december 2020, ECLI:NL:RVS:2020:2915, r.o. 5.1). Gelet hierop heeft de rechtbank terecht geoordeeld dat het beleid van [appellante sub 2] niet in overeenstemming is met de faciliteringsplicht uit artikel 12, tweede lid, van de AVG.
6.3. Het betoog van [appellante sub 2] slaagt niet. Dat betekent dat het incidentele hoger beroep ongegrond is.
Hoger beroep van de AP
7. Aangezien de rechtbank terecht het beleid van [appellante sub 2] in strijd met de faciliteringsplicht heeft geacht, komt de Afdeling toe aan de beoordeling van de gronden over het opleggen van de boete.
Mocht de AP op grond van artikel 58, tweede lid, aanhef en onder i, van de AVG hiervoor een boete opleggen?
8. De AP betoogt in haar hoger beroep dat de rechtbank ten onrechte heeft geoordeeld dat zij in dit geval niet zonder meer tot de oplegging van de boete had mogen overgaan. De AP voert hiertoe aan dat de overtreding [appellante sub 2] kan worden verweten. [appellante sub 2] heeft nagelaten een op de situatie toegesneden afweging van de persoonsgegevens die zij nodig heeft voor de identificatie van de betrokkene die zich op haar recht beroept, te maken. Zij voert verder aan dat de oplegging van een boete in dit geval, gezien de aard en de ernst van de overtreding, een doeltreffende, evenredige en afschrikwekkende maatregel was. Het ging om een vast en actief uitgedragen beleid en het betrof geen incidentele overtreding. Daarom is sprake van een ernstige inbreuk. Zij voert verder aan dat de rechtbank ten onrechte heeft overwogen dat het enkel gaat om een onjuiste inschatting van [appellante sub 2]. Ook heeft de rechtbank onvoldoende belang gehecht aan de significante risico’s die gepaard gaan met het onnodig verzamelen van kopieën van identiteitsbewijzen, in het bijzonder wanneer deze niet zijn afgeschermd. Het aantal betrokkenen dat is geraakt door het beleid van [appellante sub 2] kan niet worden vastgesteld. Dit aantal is in ieder geval veel hoger dan het aantal klagers. De rechtbank heeft dit ten onrechte niet onderkend door het toe te spitsen op en te beperken tot de daadwerkelijk ingediende verzoeken, aldus de AP.
8.1. Zoals de Afdeling eerder heeft overwogen (uitspraak van 29 mei 2024, ECLI:NL:RVS:2024:2221 onder 4.1), kan de AP op grond van artikel 58, tweede lid, van de AVG in geval van overtreding verschillende corrigerende maatregelen treffen. Ingevolge sub i kan, afhankelijk van de omstandigheden van elke zaak, naast of in plaats van de in dit lid bedoelde maatregelen, een administratieve geldboete op grond van artikel 83 van de AVG worden opgelegd. Bij de beoordeling of een boete wordt opgelegd en het vaststellen van de hoogte van die boete, wordt rekening gehouden met de in artikel 83, tweede lid, van de AVG genoemde factoren. Hiertoe behoren onder meer de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie net als het aantal getroffen betrokkenen en de omvang van de door hen geleden schade. De AP heeft aan haar bevoegdheid invulling gegeven door de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 (hierna: Boetebeleidsregels) vast te stellen, waarin zij de in de AVG genoemde factoren heeft overgenomen.
8.2. Op grond van artikel 83, vijfde lid, van de AVG is de AP bevoegd een boete op te leggen bij een inbreuk van artikel 12 van de AVG. Op grond van de Boetebeleidsregels valt de overtreding van artikel 12, tweede lid, van de AVG onder Categorie III. De basisboete van Categorie III bedraagt € 525.000,00. Bij het opleggen van een boete moet de AP de factoren uit artikel 83, tweede lid, van de AVG en de factoren uit artikel 7 van de Boetebeleidsregels in acht nemen.
8.3. Zoals de Afdeling eerder heeft overwogen (uitspraak van 13 december 2023, ECLI:NL:RVS:2023:4624, onder 6.1), heeft de AP beleidsruimte om al dan niet handhavend op te treden. De AP heeft in de periode van mei 2018 tot en met januari 2019 klachten ontvangen over de handelswijze van [appellante sub 2] bij verzoeken om inzage in en wissing van persoonsgegevens van betrokkenen buiten de inlogomgeving. De Afdeling overweegt dat van een grote, professionele mediapartij die veel persoonsgegevens verwerkt, mag worden verwacht dat in het faciliteren van rechten op grond van de AVG extra zorgvuldigheid wordt betracht (vergelijk de uitspraak van 23 oktober 2024, ECLI:NL:RVS:2024:4281). Daarbij acht de Afdeling van belang dat geen sprake is van een incident of een enkele vergissing, maar van structureel beleid waarbij standaard en op voorhand een kopie van het identiteitsbewijs werd verlangd van betrokkenen die buiten de online inlogomgeving van [appellante sub 2] een verzoek deden om uitoefening van hun recht op inzage in of wissing van hun persoonsgegevens. In dit geval staat vast dat in minimaal vijf afzonderlijke gevallen een verzoek om inzage in of wissing van persoonsgegevens niet in behandeling werd genomen zolang er geen kopie van het identiteitsbewijs was verstrekt. Dat beleid is aan te merken als een door nalatigheid veroorzaakte inbreuk. [appellante sub 2] valt daarvan een verwijt te maken. Onder deze omstandigheden heeft de AP mogen oordelen dat sprake was van een ernstige overtreding. Anders dan de rechtbank, is de Afdeling van oordeel dat de AP op grond van artikel 58, tweede lid, aanhef en onder i, gelezen in samenhang met artikel 83 van de AVG handhavend mocht optreden. De AP mocht dus een boete opleggen voor deze overtreding.
8.4. Het betoog van de AP slaagt in zoverre.
Is de opgelegde boete evenredig?
9. De AP betoogt verder dat de rechtbank ten onrechte heeft geoordeeld dat de hoogte van de boete niet evenredig is waardoor de AP niet tot oplegging van de boete had mogen overgaan. Zij voert daartoe aan dat de rechtbank ten onrechte verschillende elementen als verzachtende omstandigheden heeft aangemerkt. Op de zitting bij de Afdeling heeft de AP in dit kader verwezen naar de uitspraak van 17 juli 2023, ECLI:NL:RVS:2023:4071. Uit deze uitspraak volgt dat een overtreding pas is beëindigd als deze in het geheel is beëindigd en dus niet als deze slechts gedeeltelijk is beëindigd. Daarom kan de enkele wijziging van het contactformulier op 17 december 2020 niet als boeteverlagende omstandigheid gezien worden, aldus de AP.
9.1. Nu de Afdeling, anders dan de rechtbank, van oordeel is dat de AP wel een boete heeft mogen opleggen, moet de Afdeling ook de hoogte van de boete beoordelen.
9.2. De AP heeft met inachtneming van de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 een basisboete van € 525.000,00 opgelegd. Bij de beoordeling of een boete wordt opgelegd en het vaststellen van de hoogte daarvan, wordt rekening gehouden met de in artikel 83, tweede lid, van de AVG genoemde factoren. Hiertoe behoort onder meer de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade. De Autoriteit heeft aan haar bevoegdheid invulling gegeven door de Boetebeleidsregels Autoriteit Persoonsgegevens 2019 vast te stellen, waarin zij de in de AVG genoemde factoren heeft overgenomen. Gelet op artikel 5:46, tweede lid, van de Awb moet het bestuursorgaan de boete afstemmen op de ernst van de overtreding en de mate waarin deze aan de overtreder wordt verweten. Indien een overtreder gronden voor matiging aanvoert, moet het bestuursorgaan deze gronden bij de oplegging van een boete beoordelen, en in het geval dat deze gronden geen aanleiding vormen voor een lagere boete, dit motiveren. De bestuursrechter beoordeelt vervolgens zelf of aan de eisen van artikel 5:46, tweede lid, van de Awb en het evenredigheidsbeginsel is voldaan.
9.3. [appellante sub 2] stelt dat de AP niet mocht volstaan met oplegging van de basisboete uit Categorie III en deze boete in ieder geval had moeten matigen. [appellante sub 2] betoogt daartoe - samengevat - dat sprake is van verminderde verwijtbaarheid en dat zij met haar beleid beoogde op voorhand duidelijkheid te geven over de wijze waarop zij gevolg gaf aan het recht op inzage en wissing. Verder stelt zij dat zij haar werkwijze al had aangepast voordat de AP haar voornemen tot handhaving had uitgesproken. Dat is volgens haar al in november 2020 gebeurd en per 17 december 2020 is het contactformulier vervolgens aangepast. Verder wijst [appellante sub 2] er op dat alleen om een niet geschoond identificatiebewijs werd gevraagd bij de kleine groep klanten die geen (digitaal) account hadden bij [appellante sub 2] en die dus geen gebruik konden maken van de inlogomgeving. Zij heeft er tenslotte op gewezen dat de AP tot het uitbrengen van haar voornemen niet bereid is gebleken tot het geven van antwoord op de vraag van [appellante sub 2] of haar beleid in strijd was met de AVG.
9.4. De Afdeling heeft aan de AP op de zitting gevraagd waarom deze argumenten van [appellante sub 2] voor de AP geen aanleiding waren om de boete te verlagen. De AP heeft volstaan met de stelling dat de AP geen reden ziet voor verhoging van de standaardboete en verder dat zij ook geen reden ziet voor verlaging. De AP heeft de aangevoerde redenen voor een mogelijke boeteverlaging verder onbesproken gelaten. De Afdeling stelt vast dat de AP daarmee onvoldoende is ingegaan op de door [appellante sub 2] aangevoerde gronden voor matiging. Daarmee heeft zij gehandeld in strijd met het motiveringsbeginsel.
9.5. De Afdeling is van oordeel dat er aanleiding is de boete te matigen. [appellante sub 2] heeft een onjuiste inschatting van de eisen die artikel 12, tweede lid, van de AVG stelt gemaakt. Dat is haar op zichzelf te verwijten. Het beleid van [appellante sub 2] ter uitvoering van de identificatieplicht van artikel 12, tweede lid, van de AVG heeft evenwel niet betrekking op alle gevallen waarin abonnees van [appellante sub 2] een verzoek tot inzage en/of wissing deden. Voor alle klanten stond in beginsel de onlineomgeving open, waarin geen identificatiebewijs werd gevraagd. In de praktijk ging het daarom slechts om een relatief klein aantal gevallen. De ontvangen en niet geschoonde documenten werden niet langer dan een maand bewaard en daarna vernietigd. Verder is van belang dat [appellante sub 2] haar beleid ruim voor het uitbrengen van het voornemen tot handhaving door de AP heeft gewijzigd. Weliswaar heeft [appellante sub 2] die beleidswijziging niet meteen in haar Privacyverklaring verwerkt, maar het feit dat dit niet tijdig is gebeurd, neemt niet weg dát het beleid wel feitelijk was gewijzigd. In de uitspraak van de Afdeling van 17 juli 2023, ECLI:NL:RVS:2023:4071, waarnaar de AP verwijst, was sprake van twee verschillende overtredingen en een zekere samenhang tussen deze overtredingen. Deze situatie kan daarom niet vergeleken worden met de situatie die aan de orde was in die zaak. Ten slotte is niet aannemelijk geworden dat [appellante sub 2] met haar beleid heeft beoogd abonnees te doen afzien van het doen van inzageverzoeken of verzoeken tot wissing. Alles afwegend ziet de Afdeling daarom aanleiding de boete met 50% te matigen.
9.6. Het betoog slaagt in zoverre dat de AP een boete aan [appellante sub 2] Media mocht opleggen. Dat betekent dat [appellante sub 2] wel een boete moet betalen, maar dat die boete minder hoog wordt dan in het besluit door de AP is bepaald.
Conclusie
10. Het hoger beroep van de AP is gegrond. Het incidenteel hoger beroep is ongegrond. De uitspraak van de rechtbank moet worden vernietigd voor zover is geoordeeld dat het besluit van 4 oktober 2022 moet worden vernietigd en het besluit van 14 januari 2022 moet worden herroepen, beide voor zover daarbij een boete is opgelegd. Deze uitspraak treedt in de plaats daarvan. De uitspraak moet voor het overige worden bevestigd. Doende wat de rechtbank had moeten doen, zal de Afdeling het besluit van 4 oktober 2022 vernietigen voor zover daarbij de boete niet is gematigd. Dit besluit is in strijd met artikel 83, tweede lid, van de AVG en artikel 5:46, tweede lid, van de Awb. De Afdeling zal verder het besluit van 14 januari 2022 herroepen, voor zover het de hoogte van de opgelegde boete betreft. De Afdeling zal de bestuurlijke boete vaststellen op € 262.500,00. Ook zal de Afdeling bepalen dat deze uitspraak in de plaats treedt van het vernietigde besluit. De procedure is hiermee beëindigd.
11. De AP moet de proceskosten vergoeden.
Beslissing
De Afdeling bestuursrechtspraak van de Raad van State:
I. verklaart het hoger beroep van de Autoriteit Persoonsgegevens gegrond;
II. verklaart het incidenteel hoger beroep van [appellante sub 2] Media B.V. ongegrond;
III. vernietigt de uitspraak van de rechtbank Amsterdam van 10 augustus 2023 in zaak nr. 22/5458, voor zover daarbij het besluit van 4 oktober 2022 is vernietigd, het besluit van 14 januari 2022 is herroepen en bepaald is dat deze uitspraak in de plaats treedt van deze besluiten;
IV. bevestigt de aangevallen uitspraak voor het overige;
V. vernietigt het besluit van de Autoriteit Persoonsgegevens van 4 oktober 2022, kenmerk z2022-01103;
VI. herroept het besluit van de Autoriteit Persoonsgegevens van 14 januari 2022, met kenmerk z2021-16100, voor zover daarin de boete is vastgesteld op € 525.000,00;
VII. bepaalt dat boete wordt vastgesteld op € 262.500,00;
VIII. bepaalt dat deze uitspraak in de plaats treedt van het vernietigde besluit;
IX. veroordeelt de Autoriteit Persoonsgegevens tot vergoeding van bij [appellante sub 2] Media B.V. in verband met de behandeling van het hoger beroep opgekomen proceskosten tot een bedrag van € 2.721,00, geheel toe te rekenen aan door een derde beroepsmatig verleende rechtsbijstand.
Aldus vastgesteld door mr. E.J. Daalder, voorzitter, en mr. W. den Ouden en mr. G.O. van Veldhuizen, leden, in tegenwoordigheid van mr. I.W.M.J. Bossmann, griffier.
w.g. Daalder
voorzitter
w.g. Bossmann
griffier
Uitgesproken in het openbaar op 24 september 2025
BIJLAGE
Algemene Verordening Gegevensbescherming
Artikel 12, derde lid
"(…) De verwerkingsverantwoordelijke verstrekt de betrokkene onverwijld en in ieder geval binnen één maand na ontvangst van het verzoek krachtens de artikelen 15 tot en met 22 informatie over het gevolg dat aan het verzoek is gegeven. Afhankelijk van de complexiteit van de verzoeken en van het aantal verzoeken kan die termijn indien nodig met nog eens twee maanden worden verlengd. De verwerkingsverantwoordelijke stelt de betrokkene binnen één maand na ontvangst van het verzoek in kennis van een dergelijke verlenging, met vermelding van de redenen voor de vertraging. Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt.
(…)"
Artikel 12, zesde lid
"(…) Onverminderd artikel 11 kan de verwerkingsverantwoordelijke, wanneer hij redenen heeft om te twijfelen aan de identiteit van de natuurlijke persoon die het verzoek indient als bedoeld in de artikelen 15 tot en met 21, om aanvullende informatie vragen die nodig is ter bevestiging van de identiteit van de betrokkene."
Artikel 17, eerste lid
"i. De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
(…)
b) de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;
c) de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
(…)"
Artikel 83, vijfde lid
"5. Inbreuken op onderstaande bepalingen zijn overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot 20.000.000 EUR of, voor een onderneming, tot 4 % van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is:
(…)
b) de rechten van de betrokkenen overeenkomstig de artikelen 12 tot en met 22;
(…)"
Boetebeleidsregels Autoriteit Persoonsgegevens 2019
Artikel 6. De basisboete en mogelijke verhoging of verlaging
"De Autoriteit Persoonsgegevens bepaalt de hoogte van de boete door het bedrag van de basisboete naar boven (tot ten hoogste het maximum van de bandbreedte van de aan een overtreding gekoppelde boetecategorie) of naar beneden (tot ten laagste het minimum van die bandbreedte) bij te stellen. De basisboete wordt verhoogd of verlaagd afhankelijk van de mate waarin de factoren die zijn genoemd in artikel 7 daartoe aanleiding geven."
Artikel 7. Relevante factoren
"Onverminderd de artikelen 3:4 en 5:46 van de Algemene wet bestuursrecht houdt de Autoriteit Persoonsgegevens rekening met de factoren genoemd onder a tot en met k, voor zover in het concrete geval van toepassing:
a. de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;
b) de opzettelijke of nalatige aard van de inbreuk;
c) de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken;
d) de mate waarin de verwerkingsverantwoordelijke of de verwerker verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32 van de Algemene verordening gegevensbescherming;
e) eerdere relevante inbreuken door de verwerkingsverantwoordelijke of de verwerker;
f) de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken;
g) de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft;
h) de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke of de verwerker de inbreuk heeft gemeld;
i) de naleving van de in artikel 58, tweede lid, van de Algemene verordening gegevensbescherming genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke of de verwerker in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen;
j) het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 van de Algemene verordening gegevensbescherming of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42 van de Algemene verordening gegevensbescherming; en
k) elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien."