REP27 · Handhaving
Artikel 83(4)(a) · Handhaving
Artikel 27 is ongebruikelijk onder de GDPR-verplichtingen: het kan van buitenaf, in een browser, in ongeveer tien seconden worden gecontroleerd. Er is geen behoefte om uw systemen te auditen of uw contracten te lezen — ofwel noemt uw privacyverklaring een entiteit die in de Unie is gevestigd, of dat doet hij niet. Die zichtbaarheid is de reden waarom de ontbrekende aanduiding zo vaak opduikt in handhaving, en waarom het als een schending op zichzelf wordt behandeld.
Dit is de praktische reden waarom de formulering op uw site net zo belangrijk is als het mandaat erachter. Een aanduiding die bestaat maar niet gepubliceerd is, is onzichtbaar voor precies de mensen voor wie deze is gemaakt.
Artikel 83(2) somt de factoren op. Vier daarvan worden rechtstreeks beïnvloed door hoe snel u handelt.
| Factor | Wat het hier betekent |
|---|---|
| Natuur en ernst | Of betrokkenen überhaupt een manier hadden om u te bereiken |
| Duur | Hoe lang de verwerking heeft plaatsgevonden zonder dat er een aanduiding was |
| Opzettelijk of nalatig | Of de verplichting bekend was en niet is aangepakt |
| Verzachtende stappen | Snel benoemen zodra geïdentificeerd telt hier mee |
| Samenwerking | Antwoorden via een werkend contactpunt in plaats van stilte |
| Eerdere inbreuken | Of dezelfde lacune eerder is aangekaart |
Uit onze ervaring is de toezichthouder zelden de eerste consequentie. Een Europese bedrijfs koper vraagt om de naam van de vertegenwoordiger in een beveiligingsvragenlijst, het veld komt leeg terug, en het dossier gaat naar de juridische afdeling. De deal sterft niet — hij glijdt, en de glij is gemeten in kwartalen.
Dat is het argument dat financiële teams overtuigt: niet de theoretische bovengrens onder Artikel 83, maar het contract dat stopte omdat er een ontbrekende regel in een privacyverklaring was.
Toezichthoudende autoriteiten hebben beperkte middelen en een groot mandaat. Wat ze goedkoop kunnen aanpakken, doen ze vaker — en Artikel 27 is het goedkoopste om te verifiëren in de regelgeving.
Vaststellen of de beveiligingsmaatregelen van een bedrijf passend zijn onder Artikel 32 vereist een onderzoek, technische expertise en maanden. Vaststellen of een privacyverklaring een vertegenwoordiger noemt die in de Unie is gevestigd, vereist een browser en een minuut, in elke taal, zonder iemand te informeren. Een autoriteit kan in een middag honderd niet-EU-websites die haar markt bedienen, onderzoeken.
Die asymmetrie vormt de handhaving op een manier die het waard is om te begrijpen. De ontbrekende aanduiding is zelden de reden waarom een onderzoek begint, maar het is vaak het eerste dat wordt geregistreerd zodra er een is, omdat het al is vastgesteld voordat de eerste brief wordt verzonden. Het kleurt ook alles wat volgt: een bedrijf dat nooit een contactpunt heeft verstrekt, is moeilijker te karakteriseren als zorgvuldig met betrekking tot de andere factoren van Artikel 83(2).
Het omgekeerde is ook waar. Een duidelijk gepubliceerde aanduiding, onafhankelijk verifieerbaar en vanaf het begin aanwezig, is het goedkoopste bewijs van goede trouw dat beschikbaar is in de hele regelgeving.
Ja. Artikel 83(4)(a) somt Artikel 27 op onder de bepalingen waarvan de schending de lagere laag van boetes met zich meebrengt, en EDPB-richtlijnen 3/2018 stellen dat de afwezigheid van een aanduiding een schending op zichzelf is. Het hoeft niet gepaard te gaan met een datalek of enige andere tekortkoming.
Tot €10 miljoen, of 2% van de wereldwijde jaarlijkse omzet van het voorgaande boekjaar, afhankelijk van wat hoger is. De omzet wordt op groepsniveau beoordeeld, niet voor de entiteit die toevallig het contract heeft ondertekend.
Ja. Verschillende toezichthoudende autoriteiten hebben boetes opgelegd waarbij de ontbrekende vertegenwoordiger een van de geconstateerde inbreuken was, en het is een standaardbevinding in onderzoeken naar niet-EU-websites. Het is ook een van de gemakkelijkste dingen voor een autoriteit om vast te stellen: de privacyverklaring is openbaar.
Meestal een klacht van een betrokkene die niemand kon vinden om naar te schrijven, of een controle door een autoriteit die privacyverklaringen in zijn eigen markt leest. Beide beginnen met wat uw site openbaar zegt.
Het stopt de voortdurende inbreuk, wat belangrijk is: autoriteiten wegen de duur van de inbreuk en de genomen stappen. Het wist de periode niet uit waarin er geen aanwijzing was.
Voor de meeste bedrijven komt de commerciële kost als eerste. Europese kopers vragen om de vertegenwoordiger tijdens de onboarding van leveranciers, en een ontbrekend antwoord vertraagt contracten lang voordat een autoriteit schrijft.
Het plafond is proportioneel, aangezien 2% van een kleine omzet een klein bedrag is, maar het alternatief van €10 miljoen geldt waar het hoger is. Autoriteiten houden ook rekening met samenwerking en duur, wat de reden is dat een snelle aanstelling belangrijker is dan de grootte.
Aanwijzing ondertekend binnen 24 uur, met de formulering die uw kennisgeving nodig heeft en een certificaat dat iedereen kan verifiëren.
Stel ons aan Controleer eerst uw kennisgeving