De Raad van State heeft een AVG-boete van 525.000 euro gehalveerd die DPG Media van de Autoriteit Persoonsgegevens (AP) kreeg opgelegd wegens het onnodig opvragen van identiteitsbewijzen aan mensen die hun gegevens wilden inzien of laten verwijderen. Eerder oordeelde de rechtbank Amsterdam dat de AP geen boete had mogen opleggen, ook al had DPG Media wel de AVG overtreden.

Wie wilde weten welke persoonsgegevens DPG Media bijhield, of gegevens wilde laten wissen, moest eerst een identiteitsbewijs uploaden of opsturen. Daarnaast werden deze personen niet door DPG Media ingelicht dat zij gegevens daarvan mochten afschermen. Daardoor vroeg het mediabedrijf te veel persoonsgegevens op. Het ging om klanten van DPG Media die geen online account bij het mediabedrijf hadden aangemaakt. Deze klanten konden moeilijker bij hun gegevens om ze in te zien of te wijzigen.

DPG stelde dat zolang het de identiteit van de verzoeker niet kan vaststellen, de AVG niet van toepassing is. Verder stelde het mediabedrijf dat het vragen van een kopie identificatiebewijs noodzakelijk is om zo te voorkomen dat een kopie van de persoonsgegevens aan de verkeerde persoon worden verstrekt of persoonsgegevens van de verkeerde persoon worden verwijderd. De AP was het hier niet mee eens. De toezichthouder concludeerde dat DPG met haar beleid en het actief uitdragen ervan het recht van inzage en gegevenswissing van personen belemmerde. Daarbij wierp het bedrijf onnodige drempels op voor het kunnen inzetten van deze rechten.

De Autoriteit Persoonsgegevens vond een boete van 525.000 euro passend. DPG Media ging hier tegen in beroep. Op 10 augustus 2023 oordeelde de rechtbank Amsterdam dat DPG Media de AVG had overtreden, maar dat de AP in de gegeven omstandigheden geen boete had mogen opleggen. De AP ging tegen deze uitspraak bij de Raad van State in beroep en krijgt daar deels gelijk.

De Raad van State stelt dat de AP wel een boete aan DPG Media wegens het overtreden van de AVG mocht opleggen. "In dit geval staat vast dat in minimaal vijf afzonderlijke gevallen een verzoek om inzage in of wissing van persoonsgegevens niet in behandeling werd genomen zolang er geen kopie van het identiteitsbewijs was verstrekt. Dat beleid is aan te merken als een door nalatigheid veroorzaakte inbreuk." De AP mocht dan ook oordelen dat er sprake was van een ernstige overtreding, aldus de Raad van State. Die stelt, in tegenstelling tot de rechtbank Amsterdam, dat de toezichthouder wel handhavend mocht optreden en een boete voor deze overtreding mocht opleggen.

Wel vindt de Raad van State dat de oorspronkelijke boete van 525.000 euro moet worden gehalveerd. In de praktijk ging het om een relatief klein aantal personen, werden de ontvangen identiteitsbewijzen niet langer dan een maand bewaard en daarna vernietigd en wijzigde DPG Media het beleid ruim voordat de AP tot handhaving over ging. Daarnaast zou DPG Media met het beleid niet hebben geprobeerd om te voorkomen dat abonnees inzage- of verwijderverzoeken zouden doen. Dit is voor de Raad van State aanleiding om de boete te halveren tot 262.500 euro. DPG Media won eerder dit jaar een Big Brother Award, de prijs voor de grootste privacyschender van Nederland.