Home Naming and shaming onder de AVG: hoe zit dat eigenlijk?

Naming and shaming onder de AVG: hoe zit dat eigenlijk?

juli 16, 2020

Redactie Outvie

Naming and shaming heeft al jaren de aandacht bij rechtsgebieden buiten het privacyrecht. AVG toezichthouders maken sancties met naam en toenaam van de overtreder openbaar. Onlangs is de discussie weer opgelaaid naar aanleiding van een uitspraak van de hoogste economische bestuursrechter, het College van Beroep voor het bedrijfsleven (CBb).

Openbaarmaking van besluiten kan er, volgens de president van deze instantie, toe leiden dat bedrijven te snel inbinden voor de toezichthouder uit angst voor reputatieschade. Bedrijven zouden zichzelf daarmee ten onrechte de mogelijkheid onthouden om een eventueel gelijk te halen bij de rechter (Interview FD, 1 juli 2020, ‘Bedrijven buigen te snel voor toezichthouders uit angst voor publiciteit’). In welke context moet deze opinie begrepen worden? En wat is hiervan de relevantie binnen het privacyrecht? Dat zijn de vragen die in het navolgende aan de orde komen.

Regels voor actieve openbaarmaking in het algemeen

Verschillende wetten voorzien expliciet in de mogelijkheid of verplichten zelfs om boetebesluiten en geconstateerde overtredingen openbaar te maken (zoals in de Wet op het financieel toezicht (Wft)). De president van het CBb pleit voor meer vrijheid van toezichthouders om te ‘kunnen publiceren’ in plaats te ‘moeten publiceren’. Daarop zijn reacties uit de praktijk gekomen, waarbij onder meer alternatieve oplossingen zijn aangedragen.

Denk aan tussentijdse toetsing van besluiten of zelfs een wetswijziging die ervoor moeten zorgen dat besluiten van de toezichthouder eerder door een derde getoetst worden (FD, Commentaar, 2 juli 2020, FD Opiniebijdrage Silvia Vinken, 6 juli 2020). Anderen menen dat de soep niet zo heet gegeten moet worden omdat een onderbouwing of bewijs voor het vermeende probleem zou ontbreken (FD Opiniebijdrage Rob Velders, 12 juli 2020). Hoe weten we dat organisaties zich daadwerkelijk door angst voor naming and shaming laten leiden in hun keuze om de instructies van de autoriteiten op te volgen?

De discussie is nog volop gaande. Een interessante species daarbinnen betreft de openbaarmaking van bevindingen door de Autoriteit Persoonsgegevens (AP). Hoe zit het daarbij? En speelt het probleem dat organisaties te snel inbinden ook in relatie tot de AP?

Regels voor actieve openbaarmaking door de AP

De AVG en Uitvoeringswet AVG (UAVG) bevatten geen verplichting of expliciete bevoegdheid voor het actief openbaar maken van sancties. De bevoegdheid tot openbaarmaking van besluiten, onderzoeken en adviezen door de AP was eerst wel expliciet opgenomen in artikel 20 van het in consultatie gebrachte wetsvoorstel UAVG. Het is daaruit verdwenen nadat de IT branche aangaf dat deze bevoegdheid zou leiden tot naming and shaming als zelfstandig doel. De AP is overigens wel voorstander van het opnemen van een specifieke wettelijke grondslag voor actieve openbaarmaking van handhavingsbesluiten.

De (toenmalige) Minister van Veiligheid en Justitie heeft bij de wijziging van de Wbp in 2016 een toezegging gedaan: een specifieke wettelijke grondslag zou worden gecreëerd waarbij de voorkeur werd gegeven aan “een zoveel mogelijk verplichtende regeling voor openbaarmaking van toezichtsgegevens en handhavingsbesluiten van de AP. [..] Daar waar noodzakelijk zal ruimte blijven voor de AP om na een belangenafweging om openbaarmaking achterwege te laten dan wel uit te stellen.” De grondslag is blijkens de MvT niet opgenomen omdat deze ook niet in de Wbp stond en de UAVG een beleidsneutraal karakter heeft.

Openbaar maken van gegevens

De AP heeft op grond van artikel 8 van de Wet openbaarheid bestuur (Wob) de algemene plicht om uit eigen beweging informatie te verschaffen over haar beleid, de voorbereiding en de uitvoering ervan. Dit artikel vormt ook de basis om besluiten te publiceren, met inbegrip van de namen van de betrokkenen (rechts)personen. In haar Beleidsregels openbaarmaking Autoriteit Persoonsgegevens uit 2016 geeft de AP inzicht in de wijze waarop zij haar bevindingen, besluiten, wetgevingsadviezen en zienswijzen openbaar maakt. Het uitgangspunt is dat deze stukken openbaar worden gemaakt.

De Beleidsregels bepalen dat het verschaffen van informatie achterwege blijft voor zover artikel 10 van de Wob of bijzondere omstandigheden zoals bedoeld in artikel 4:84 van de Algemene wet bestuursrecht zich hiertegen verzetten. Dat houdt in dat er een belangafweging gemaakt moet worden (zie uitleg volgende alinea). Verder bepalen de beleidsregels dat namen van rechtspersonen in beginsel gepubliceerd worden, met uitzondering van de naam van een natuurlijke persoon als onderdeel van de bedrijfsnaam.

AVG Naming and coincidental shaming

De AP moet bij de publicatie een afweging van belangen maken. Het belang van openbaarmaking is het bevorderen van het privacybewustzijn en normnaleving van de AVG. Dit kan de effectiviteit van het werk van de AP vergroten, die met de publicatie tegelijkertijd verantwoording voor haar werk aflegt aan de samenleving. Dat belang moet worden afgewogen tegen de belangen van de betrokken (rechts)personen als genoemd in artikel 10 Wob.

Zo mogen de belangen van betrokken (rechts)personen door onverkorte openbaarmaking niet onevenredig worden benadeeld (artikel 10 lid 2 sub g Wob). Uit vaste rechtspraak volgt dat van onevenredige benadeling sprake kan zijn als het boetebesluit uiteindelijk in rechte geen standhoudt en de betrokken rechtspersoon ten onrechte als overtreder kenbaar is gemaakt. Of sprake is van onevenredige benadeling hangt daarmee af van een oordeel over de rechtmatigheid van het boetebesluit (Afdeling bestuursrechtspraak van de Raad van State van 10 november 2010, ECLI:NL:RVS:BO3468).

Naming and purposefully shaming

Wanneer de openbaarmaking van een opgelegde sanctie (zoals een boetebesluit) zelf een (punitieve) sanctie is en er dus sprake is van bedoelde naming and shaming, geldt een zwaarder regime. Hiervoor is een specifieke grondslag in een bijzondere wet vereist (vlg. prof. mr. H.E. Bröring, Module Algemeen Bestuursrecht, art. 5:4 Awb, aant. 2.3.2). Deze expliciete basis ontbreekt in de AVG en UAVG. Daaruit zou volgen dat de AP dus geen boetebesluiten openbaar mag maken met het doel de overtreder in een kwaad daglicht te stellen.

Rechtsmiddelen ter voorkoming openbaarmaking boetebesluiten

Om publicatie van een boetebesluit te voorkomen kan de overtreder (belanghebbende) naast het bezwaar tegen het boetebesluit ook bezwaar maken tegen het besluit tot openbaarmaking. Daarnaast bestaat de mogelijkheid om, hangende bezwaar, beroep of hoger beroep met betrekking tot het boetebesluit, bij de voorzieningenrechter een voorlopige voorziening te vragen, met als argument dat het boetebesluit in bezwaar of beroep naar verwachting geen stand zal houden. Als voorlopige voorziening kan worden gevraagd dat het boetebesluit niet of bijvoorbeeld geanonimiseerd openbaar wordt gemaakt. De rechter toetst vervolgens of openbaarmaking (gedeeltelijk) mag plaatsvinden of moet worden uitgesteld.

Rechtspraak over uitgestelde publicatie boetebesluiten AP

Bij de twee recentste boetebesluiten van de AP hebben de overtreders de voorzieningenrechter verzocht om de openbaarmaking van het betreffende boetebesluit te verbieden:

Rechtbank Limburg: inzake boetebesluit gebruik vingerscans (ECLI:NL:RBLIM:2020:1795)
De rechtbank Limburg heeft onlangs de publicatie van de naam, het adres en het KvK-nummer in een boetebesluit van de AP middels een voorlopige voorziening verboden. Het openbaarmakingsbesluit zag op de opgelegde boete van EUR 725.000 voor overtreding van het verbod om biometrische gegevens (vingerafdrukken) van personeel te verwerken. De AP betoogt in deze zaak dat het publieke belang van openbaarmaking van het boetebesluit zwaarder weegt dan het belang van verzoekster.

Besluitmaking

De AP wijst onder meer op de generale preventieve werking van de openbaarmaking van het boetebesluit en de publicatie als publieke verantwoording van de toezichthouder. Bij de beoordeling herhaalt de rechter de rechtsregel dat de vraag of sprake is van onevenredige benadeling in de zin van artikel 10 lid 2 sub g Wob, afhangt van een oordeel over de rechtmatigheid van het boetebesluit. In deze zaak kon de rechter deze rechtmatigheid niet beoordelen omdat door de overtreder geen beoordeling van de rechtmatigheid was verzocht. De rechter overweegt echter dat het niet vragen van deze beoordeling niet “volledig” aan de overtreder (verzoekster) te wijten was:

“Verzoekster heeft een dergelijke voorziening hangende bezwaar tegen het boetebesluit dan ook niet gevraagd. Beide partijen hebben er geen blijk van gegeven dat zij wisten dat deze mogelijkheid bestaat. De voorzieningenrechter acht het onder deze omstandigheden niet volledig aan verzoekster tegen te werpen dat zij van deze mogelijkheid, de rechtmatigheid van het boetebesluit voorlopig beoordeeld te krijgen, geen gebruik heeft gemaakt.”

Het feit dat rechter de rechtmatigheid van het boetebesluit niet kon beoordelen lijkt in deze zaak doorslaggevend in de belangenafweging, die uitvalt in het voordeel van de overtreder:

“Verzoekster heeft aangegeven dat zij door volledige openbaarmaking van het boetebesluit op dit moment in de procedure zwaar zou kunnen worden benadeeld. Niet alleen in financieel opzicht, ook haar marktpositie en naam zouden kunnen worden aangetast. De belangen tegen elkaar afwegende ziet de voorzieningenrechter reden het verzoek deels toe te wijzen en een voorlopige voorziening te treffen in de zin dat de naam van verzoekster, haar adres en haar inschrijvingsnummer bij de Kamer van Koophandel niet openbaar mogen worden gemaakt”

Het verbod tot publicatie geldt tot zes weken na bekendmaking van de beslissing op bezwaar tegen het boetebesluit.

Boetebesluit

Rechtbank Gelderland: inzake boetebesluit Stichting BKR (ECLI:NL:RBGEL:2020:3159)
Recent publiceerde de AP het boetebesluit gericht aan de Stichting Bureau Krediet Registratie (Stichting BKR) waarin een boete is opgelegd van EUR 830.000 wegens schending van de verplichtingen bij de naleving van het inzagerecht van betrokkenen uit de AVG.

Stichting BKR wilde niet dat het boetebesluit van de AP openbaar zou worden. Stichting BKR heeft hangende bezwaar een voorlopige voorziening verkregen waarmee het openbaarmakingsbesluit was geschorst tot een termijn na de beslissing op het bezwaar tegen het boetebesluit. Stichting BKR heeft vervolgens beroep ingesteld en heeft daarnaast de voorzieningenrechter van de Rechtbank Gelderland verzocht om een voorlopige voorziening te treffen ten aanzien van het boetebesluit (in de vorm van een voorlopige beoordeling rechtmatigheid) en ten aanzien van het openbaarmakingsbesluit.

De Voorzieningenrechter is het niet eens met de stelling van de Stichting BKR dat de publicatie van het boetebesluit een punitieve sanctie is (waarvoor artikel 8 van de Wob volgens de Stichting BKR geen grondslag biedt tot openbaarmaking). Door het openbaar maken van een boetebesluit kunnen anderen die mogelijk de AVG overtreden zien dat de AP hier tegen optreedt. “Het doel van de openbaarmaking is dan de algemene preventieve werking en niet leedtoevoeging”.
Daarnaast stelt het BKR dat het informeren van het publiek niet meer nodig was, omdat de overtredingen inmiddels waren beëindigd. Ook hier is de rechter het niet mee eens, aangezien met de openbaarmaking ook andere doelen worden nagestreefd.
Ook het enkele feit dat de boete nog niet onherroepelijk was, betekent volgens de rechter ook niet dat het belang van de Stichting BKR zwaarder weegt dan de openbaarmaking door de AP.

Overtreding AVG

De rechter herhaalt vervolgens de rechtsregel dat de vraag of sprake is van onevenredige benadeling in de zin van artikel 10 van de Wob, afhangt van een oordeel over de rechtmatigheid van het boetebesluit. In deze zaak is de rechter van oordeel dat de Stichting BKR de AVG heeft overtreden zodat openbaarmaking van het boetebesluit in zoverre niet tot onevenredige benadeling van de Stichting zal leiden. Daarnaast vond de Stichting BKR dat de hoogte van de boete een vertekend beeld van de overtredingen geven, tot onherstelbare imagoschade kunnen leiden en voor extra administratieve kosten kunnen zorgen.

De rechter beaamt dat openbaarmaking tot een bepaalde mate van imagoschade zal leiden en aannemelijk is dat mensen het geld dat ze voor het inzien van hun persoonsgegevens betaalden zullen terugvorderen. Echter, het is volgens de rechter niet aannemelijk geworden dat die imagoschade en de administratieve kosten zodanig zullen zijn dat sprake is van een onevenredige benadeling van de overtreder die zwaarder weegt dan het algemeen belang dat met openbaarmaking is gediend.

Daarbij is relevant dat de imagoschade en extra administratieve kosten voornamelijk het gevolg zijn van de overtredingen door de Stichting BKR zelf, en niet de openbaarmaking. De rechter wijst het verzoek van de Stichting BKR dan ook af.

Wat valt te verwachten?

De AP heeft haar focus verschoven van voorlichting naar handhaving. Het ligt in de lijn der verwachting dat de AP deze lijn voortzet en ook meer (handhavings)besluiten zal publiceren. (Vermeende) overtreders zullen mogelijk vaker om een voorlopige voorziening verzoeken om publicatie van een besluit van de AP te voorkomen. Daarbij dient de overtreder de rechter ook te verzoeken om een (voorlopig) rechtmatigheidsoordeel van het boetebesluit. Dat betekent dat besluiten hierdoor mogelijk vaker en eerder worden getoetst door de rechter. Of dat er ook voor zal zorgen dat organisaties zich minder snel zullen inbinden als de AP aanklopt, valt nog te bezien.

Daarbij komt dat als de opgelegde sanctie (naar verwachting) standhoudt, het besluit vroeg of laat alsnog wordt gepubliceerd. Organisaties die geconfronteerd worden met handhaving door het AP en naming and shaming vrezen, hoeven in ieder geval niet per definitie het hoofd te laten hangen naar de AP, maar kunnen de beslissing tot publicatie in een voorlopige voorziening ter discussie stellen.