AP legt boete op van EUR 310.

AP legt boete op van EUR 310.000 deze wordt in bezwaar verlaagd naar EUR 148.750 en nu door de Rb. verder verlaagd naar EUR 58.125. Uit de boedel van een failliete zorginstelling waren enkele gegevensdragers bij de veiling van de boedel. Op deze, onder meer harde schijf, stonden bijzondere categorieën van persoonsgegevens, zoals gezondheidsgegevens. De koper meldde dit als tipgever bij de AP die na onderzoek een boete oplegde. Deze wordt bestreden. In deze zaak komt ook de vraag naar voren of de curator verwerkingsverantwoordelijke is nu deze niet beschikte of redelijkerwijs kon beschikken over de pgg die op de harde schijf stonden. De AP had volgens eiser niet voldaan aan de bewijslast die hoort bij een belastend besluit. (r.o. 5.1). De Rb. ziet dat echter anders. (r.o. 5.3-5.4). Ook werd gesteggeld over de betrouwbaarheid van de tipgever (r.o. 5.5 & r.o. 5.7) maar ook daarin gaat de Rb. niet mee. Vervolgens wordt er een alternatief scenario geschetst (de aardeschijf (HDD) zou zijn ontvreemd voorafgaand aan de veiling) (r.o. 5.8). De Rb. oordeelt echter dat dit alternatieve scenario niet aannemelijk is gemaakt (r.o. 5.9-5.11). Kortom, de Rb. concludeert dat de curator redelijkerwijs kon beschikken over de pgg op de HDD. Over het punt dat de curator daarover geen invloed kon uitoefenen omdat deze geen weet zou hebben van het feit dat er pgg op de HDD stonden is de Rb. ook gauw klaar. De maatstaf is : "bepalend is of de persoonsgegevens in de beschikkingsmacht van eiser lagen en hij hierdoor invloed kon uitoefenen op de verwerking ervan". Dat de curator geen weet had van de persoonsgegevens of feitelijk over de persoonsgegevens beschikt, maakt het niet anders dat de curator als vwv kan worden aangemerkt. In dat argument meegaan zou de bedoeling achter de verplichtingen uit de AVG ondergraven. (r.o. 6.1). Kortom, de curator is de verwerkingsverantwoordelijk. Dan de vraag of er voldoende passende technische en organisatorische maatregelen waren genomen. De Rb. weegt hierbij de aard van de gegevens zwaar mee en stelt dat de opdracht aan een deskundige te geven om een IP-scan uit te voeren en daarop alle gegevensdragers te verwijderen onvoldoende is (r.o. 7.2.2.). Het afgaan op het oordeel van de deskundige in deze (het ontvangen van een doos met datadragers) en er vanuitgaan dat hiermee alle datadragers waren verwijderd was niet voldoende volgens de Rb. (r.o. 7.2.2.). Er is niet geverifieerd en door eigen toedoen ook niet kunnen verifiëren of alle gegevensdragers daadwerkelijk zijn verwijderd voordat de boedel ter veiling werd aangeboden en dat had wel van de curator mogen worden verwacht (r.o. 8.3). Bij de verwijtbaarheid gaat de Rb. echter minder ver dan de AP voorstond. De maatregelen die door de curator waren genomen waren onvoldoende, maar er zijn wel degelijk maatregelen genomen, zoals het laten uitvoeren van de IP-scan en de opdracht geven om datadragers te verwijderen. De AP boete is gematigd in bezwaar door deze laatste opdracht aan het veilingsbedrijf maar niet vanwege de IP-scan terwijl dat wel volgens de Rb. aanleiding is om nog verder te matigen tot EUR 77.500. Het uiteindelijke bedrag komt echter nóg lager uit, nu er een redelijke termijn is overschreden door de AP. De redelijke termijn begon te lopen op het moment met de e-mail van de AP waarin bijna twee weken na het toezenden van het definitieve onderzoeksrapport aan de gemachtigde van de curator wordt gemaild waarin deze wordt gewezen op de mogelijkheid om een zienswijze op het rapport 'en het voornemen tot het opleggen van een sanctie' waaruit blijkt dat dit voornemen er dus is. Dit leidt tot een matiging tot EUR 58.125 (r.o. 9.5). Zie ook r.o. 10.1 over de kostenvergoeding welke is beperkt tot de kosten in beroep gelet op aanvullende informatie verstrekt na bezwaar.