A Holland Adatvédelmi Hatóság (Autoriteit Persoonsgegevens) - elsőként az EU-ban működő adatvédelmi hatóságok közül - közzétett egy bírságolási politikát, amelyben részletesen bemutatja azokat az elveket, amelyek alapján a konkrét ügyekben a bírság mértékét meghatározza. 

A holland útmutató messze túlmutathat Hollandián, hiszen a GDPR alapján, figyelemmel a WP29 korábbi, bírságolásra vonatkozó iránymutatására is (erről itt és itt írtam részletesen), cél az egységesebb jogalkalmazás, amelynek a bírságösszegek egymáshoz legalább közelítő mértékében is meg kellene mutatkoznia. ("A közigazgatási bírságok Európai Unió-szerte egységes alkalmazására vonatkozó gyakorlat fejlődő terület. A felügyeleti hatóságoknak egymással együttműködve lépéseket kell tenniük az egységesség folyamatos javítására. Ez megvalósítható rendszeres ügykezelési munkaértekezletek vagy más események keretében történő véleménycsere útján, ahol lehetőség nyílik összehasonlítani a szubnacionális, nemzeti és nemzetközi szintű eseteket. E folyamat támogatása érdekében javasolt létrehozni egy, a Testület érintett részéhez rendelt állandó alcsoportot." Lásd az iránymutatás 18. oldalán.)

(Érdekes és az adatvédelmi hatóságok eltérő megközelítésére utalhat, hogy a Holland Adatvédelmi Hatóság a bírságolás kapcsán általános iránymutatást adott ki, míg Magyarországon a NAIH több alkalommal maga is utalt rá, hogy "[...] az általános adatvédelmi rendelettel kapcsolatos jogértelmezés, iránymutatás, vélemény kialakítása az Európai Adatvédelmi Testület feladata, ezért és az egységesség elve miatt a Hatóság állásfoglalás kiadására nem tartja magát feljogosítottnak." Lásd pl. a NAIH/2019/1073. sz. állásfoglalásban.)

Mit tartalmaz a Holland Adatvédelmi Hatóság bírságolási politikája?

A hatóság négy kategóriát állít fel, és ezekbe sorolja be a különböző típusú jogsértéseket. A négy kategória az alábbi: 

A 10 millió eurós vagy a világpiaci forgalom 2%-áig terjedő bírsággal sújtható jogsértések esetén, alapvetően az 1., 2. vagy a 3. kategóriába kell besorolni a jogsértéseket. A 20 millió eurós vagy a világpiaci forgalom 4%-áig terjedő bírsággal sújtható jogsértések esetében pedig mind a négy kategóriába eshet jogsértés. 

A jogsértések besorolását a bírságolási politika 1., illetve 2. mellékletei tartalmazzák, a GDPR cikkei szerinti bontásban. 

(A hatóság, egyéb általa kiszabható bírságok tekintetében is meghatároz a fentiekhez hasonló kategóriákat. Ilyen pl. a holland telekommunikációs törvény vagy az eIDAS Rendelet alapján kiszabható bírság.) 

Hogyan történik a bírságkiszabás?

A hatóság az alap bírságösszegből indul ki és a bírságnövelő- és csökkentő tényezők figyelembevételével az adott kategóriában meghatározott sávon belül alkalmaz eltérést. 

A bírság összegének meghatározásakor a GDPR 83. cikkében szereplő tényezők vehetők figyelembe. (Ezekről lásd részletesebben a WP29 iránymutatását, illetve az erről írt korábbi posztot.)

Amennyiben az adott ügyben elkövetett jogsértésre tekintettel az adott kategóriához tartozó bírságmérték nem alkalmas a megfelelő szankcionálásra, akkor súlyosabb esetben az eggyel magasabb, enyhébb esetben, az eggyel alacsonyabb kategória szerint szabható ki a bírság. 

Ha az eset összes körülményei alapján az iránymutatás szerinti kategorizálás szerinti maximális bírságmérték nem megfelelő, akkor a GDPR szerint kiszabható maximális összegig terjedhet a bírság összege (azaz 10 vagy 20 millió euróig, illetve a világpiaci forgalom 2 vagy 4%-áig).  

Milyen egyéb mérlegelést végez még a hatóság?

A bírság kiszabása során a hatóság figyelembe veheti az eljárás alá vont pénzügyi helyzetét és amennyiben ez indokolt, további bírságcsökkentésre is lehetőség van. 

Többszörös jogsértés esetén a legsúlyosabb jogsértés maximuma határozza meg a kiszabható bírság maximumát.