De AVG schrijft voor dat organisaties een boete kunnen krijgen als zij de wet overtreden.
Afhankelijk van hoe erg de overtreding was, kan deze boete oplopen tot maximaal 10 miljoen euro of tot maximaal 20 miljoen euro.
Voor “lichte” overtredingen, zoals het niet melden van een datalek aan een betrokkene, geldt een maximum van 10 miljoen.
Voor “zware” overtredingen, zoals het niet meewerken aan de uitoefening van rechten door betrokkenen, geldt een maximum van 20 miljoen.
Deze maxima kunnen zelfs worden overschreden, waardoor de boete oploopt tot 2% of 4% van de wereldwijde omzet van de overtreder.
Dit kan oplopen tot enorme bedragen, zoals de boete van 1,2 miljard euro voor Meta, de organisatie achter Facebook en Instagram.
De AVG schrijft wel voor dat de boete eerlijk moet zijn: de boete moet “in elke zaak doeltreffend, evenredig en afschrikkend zijn”.
De AP heeft al naar een aantal factoren omstandigheden gekeken, maar kijkt nu nog of er andere omstandigheden zijn die een vermindering of verhoging van de basisboete rechtvaardigen, zoals de schadebeperkende maatregelen, de verantwoordelijkheid van de overtreder en de mate van medewerking met de AP.
De boete mag verhoogd worden, maar mag het maximum uit de wet niet overschrijden.