CBP kan straks boetes gaan opleggen

Onze privacywaakhond, het College Bescherming Persoonsgegevens, krijgt op afzienbare termijn echte tanden. Natuurlijk, het college beschikt reeds over een melkgebit, in die zin dat het bij geconstateerde overtredingen van de Wet Bescherming Persoonsgegevens een zogenaamde “last onder dwangsom” kan opleggen. Dat is echter geen straf, maar een aansporing tot het nakomen van een door het college opgelegde verplichting (meestal tot wijziging van het bestaande beleid in het omgaan met persoonsgegevens). Straks kan er ook gewoon een sanctie worden opgelegd vanwege dat verkeerde beleid in het verleden.

Nu hing zoiets al wel in de lucht als gevolg van de in voorbereiding zijnde Europese Privacyverordening. Die laat echter nog wel enkele jaren op zich wachten. De Tweede Kamer heeft in het voorjaar van 2012 bij motie al aangedrongen op het “met enige spoed” invoeren van “deze noodzakelijke boetebevoegdheid”. En daar lijkt het kabinet nu gehoor aan te gaan geven.

In de memorie van toelichting bij het wetsvoorstel Meldplicht Datalekken wordt duidelijk gesteld: “Het nalaten aan deze verplichtingen te voldoen kan worden gesanctioneerd met een bestuurlijke boete, op te leggen door het Cbp.” Het kabinet realiseert zich dat het huidige wetsvoorstel daartoe nog wel wat zal moeten worden aangepast. Verwijzend naar bovengenoemde motie kondigt het aan dat op korte termijn een nota van wijziging zal worden ingediend: “In dat verband wijzen wij op het in het regeerakkoord van het kabinet-Rutte II van 29 oktober 2012 aangekondigde voornemen om te komen tot uitbreiding van de bevoegdheid van het Cbp om bestuurlijke boetes op te leggen met het oog op de versterking van de handhaving van de normen van de Wbp (vgl. ook de motie van het lid Recourt, Kamerstukken II 2011/12, 32761, nr. 22). De Staatssecretaris van Veiligheid en Justitie en de Minister van Binnenlandse Zaken zullen bij nota van wijziging op het onderhavige wetsvoorstel voorzien in een regeling die strekt tot uitbreiding van de bestuurlijke bevoegdheden van het Cbp.”

Gezien deze wijze van formuleren mogen we er wel van uit gaan dat de boetebevoegdheden niet beperkt zullen blijven tot het niet (aan het CBP en belanghebbenden) melden van datalekken. Vooruitlopend op de Privacyverorderning zal ook op overige overtredingen van de WBP wel een sanctie gesteld gaan worden. Wat mij betreft zeker niet te vroeg.