DPIA-boete van €220.000: wat ging er mis?
Een DPIA overslaan is geen theoretisch risico — het kost geld. Een Spaanse werkgever kreeg een boete van in totaal €220.000 nadat bleek dat hij werknemers via gezichtsherkenning liet inklokken zonder ooit een DPIA te hebben uitgevoerd. Een overzicht van de zaak en wat je organisatie ervan kan leren.
Wat deed de werkgever?
Het bedrijf gebruikte gezichtsherkenning om de aanwezigheid van werknemers te registreren — sneller en makkelijker dan een pasje of pincode, dacht de werkgever. Het systeem werd na onderzoek van de Spaanse toezichthouder AEPD stopgezet op 29 mei 2023.
Wat ging er mis, precies?
De AEPD stelde meerdere AVG-overtredingen vast:
- Geen DPIA (artikel 35 AVG). Gezichtsherkenning is grootschalige biometrische identificatie — een van de situaties waarin een DPIA altijd verplicht is. Die was er niet.
- Geen geldige grondslag voor biometrische gegevens (artikel 9 AVG). Gezichtskenmerken zijn bijzondere persoonsgegevens. Daarvoor gelden strengere eisen dan voor gewone persoonsgegevens, en die waren niet ingevuld.
- Onvoldoende reactie op inzageverzoeken (artikel 15 AVG). Werknemers die inzage vroegen in hun eigen gegevens kregen geen adequaat antwoord — een aparte overtreding, goed voor €20.000 van de totale boete.
Het totaalbedrag: €200.000 voor het ontbreken van de DPIA en de onrechtmatige biometrische verwerking, plus €20.000 voor de inzageverzoeken.
Waarom dit ook in Nederland relevant is
De AVG geldt EU-breed, en de Autoriteit Persoonsgegevens heeft dezelfde boetebevoegdheid als de AEPD: tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Deze zaak past bovendien in een breder patroon. Ook elders in Europa grepen toezichthouders in 2025 en 2026 hard in bij ontbrekende DPIA's — van een boete van €10 miljoen voor een Spaanse luchthavenexploitant wegens onder meer een ontbrekende DPIA voor gezichtsherkenning, tot een Franse gemeente die werd beboet voor cameratoezicht met 73 camera's zonder DPIA. Toezichthouders beschouwen een ontbrekende DPIA steeds vaker als een verzwarende omstandigheid die de boete verhoogt.
De les: DPIA vóóraf, niet achteraf
In alle genoemde zaken gold hetzelfde patroon: de verwerking was al gestart voordat er een DPIA lag, of er kwam helemaal geen DPIA. Dat is precies wat de AVG wil voorkomen — een DPIA moet vóórdat je een risicovolle verwerking start zijn afgerond, niet achteraf als reparatie.
Kort samengevat: biometrische identificatie zoals gezichtsherkenning vraagt altijd om een DPIA, uitgevoerd vóórdat je begint. Twijfel je of jouw verwerking hieronder valt? Check eerst wanneer een DPIA verplicht is, en volg dan ons stappenplan om het goed aan te pakken.
Bron: DPIA.nu — Boete van €200.000 voor niet uitvoeren DPIA
Volgend in deze reeks: DPIA en AI: wanneer ook een FRIA nodig?