Wanneer wel en wanneer geen boete: de EDPB schrijft het ontbrekende deel op

Het onderscheid tussen beide documenten is het enige dat men goed moet vatten. De richtsnoeren van 2022 beantwoorden de vraag «hoeveel»: men vertrekt van de ernst, vindt een startpunt, past de factoren van artikel 83, lid 2, toe en kijkt naar de omzet. De 04/2026 beantwoorden een vraag die daaraan voorafging en die niemand ooit ordelijk had opgeschreven: «komt het überhaupt tot een boete, en waarom niet tot een berisping, een bevel of een beperking». Tot gisteren was dat deel praktijk, dat wil zeggen: het verschilde per toezichthouder.

De methode telt vijf stappen, in volgorde te lezen: elk kan de zaak vóór de volgende afsluiten.

• Ten eerste: de toezichthouder gaat na of de verweten inbreuk überhaupt tot een boete kan leiden, met grondslag in de AVG of in het nationale recht.
• Ten tweede: hij gaat na of de onderzochte partij geadresseerde kan zijn. Of de verwerkingsverantwoordelijke dan wel de verwerker aanspreekbaar is, hangt af van wie door de geschonden bepaling wordt gebonden.
• Ten derde: hij beoordeelt of de inbreuk opzettelijk of uit nalatigheid is begaan. Verwijtbaarheid is een voorwaarde voor de boete, geen kortingsfactor.
• Ten vierde: hij weegt verzwarende en verzachtende omstandigheden. Is de inbreuk gering, dan volgt in de regel geen boete maar een berisping; is zij niet gering, dan geldt een sterk vermoeden dat een boete moet worden opgelegd.
• Ten vijfde: hij gaat na of de boete in het concrete geval doeltreffend, evenredig en afschrikkend is, en of er reden is om van de standaardbenadering af te wijken.

De derde stap verdient dezelfde aandacht, om de omgekeerde reden. Verwijtbaarheid wordt als voorwaarde gepresenteerd: zonder opzet of nalatigheid geen boete. Dat lijkt goed nieuws voor de verantwoordelijke, en dat is het deels, maar het slaat meteen om in een praktische last. Afwezigheid van schuld wordt niet beweerd, zij wordt getoond: met de datum waarop een risico is opgemerkt, het advies dat de FG gaf, het besluit van het orgaan dat het mocht nemen, de uitgevoerde maatregel. Een organisatie die daarvan geen spoor bijhoudt, kan zich niet onderscheiden van een nalatige, want van buitenaf lijken die twee bijzonder veel op elkaar.

Het nuttigste deel van het document, voor wie het werk doet, zijn de veertien praktijkvoorbeelden: casussen die tonen hoe een toezichthouder kiest tussen berisping, bevel, beperking, verbod, intrekking van certificering en boete, en wanneer hij ze combineert. Dat materiaal is meer waard dan vele bladzijden beginselen, omdat het de grens tussen situaties leesbaar maakt.

Nog één ding, met een termijn. De tekst staat open voor publieke consultatie tot 13 november 2026: iedereen kan opmerkingen indienen, niet alleen branchorganisaties. Voor een kantoor met klanten in meerdere lidstaten is dat een concrete kans, want juist de ongelijkheid tussen nationale toezichthouders is het probleem dat deze richtsnoeren zeggen te willen sluiten.