Algemene voorwaarden voor het opleggen van administratieve boeten door instanties voor toegang tot gezondheidsgegevens

Elke instantie voor toegang tot gezondheidsgegevens waarborgt dat de administratieve boeten die uit hoofde van dit artikel worden opgelegd voor de in de leden 4 en 5 genoemde inbreuken in elk individueel geval doeltreffend, evenredig en afschrikkend zijn. 2. Administratieve boeten worden, afhankelijk van de omstandigheden van elk geval, opgelegd naast, of in plaats van, de in artikel 63, leden 3 en 4, bedoelde handhavingsmaatregelen. Instanties voor toegang tot gezondheidsgegevens besluiten over de vraag of een administratieve boete moet worden opgelegd en over de hoogte daarvan in elk individueel geval, door naar behoren rekening houden met de volgende omstandigheden: a) de aard, de ernst en de duur van de inbreuk; b) de vraag of andere bevoegde autoriteiten reeds sancties of administratieve boeten hebben opgelegd voor dezelfde inbreuk; c) het opzettelijke of nalatige karakter van de inbreuk; d) alle door de houder van gezondheidsgegevens of de gebruiker van gezondheidsgegevens genomen maatregelen om de veroorzaakte schade te beperken; e) de mate van verantwoordelijkheid van de gebruiker van gezondheidsgegevens, rekening houdend met de technische en organisatorische maatregelen die die gebruiker van gezondheidsgegevens op grond van artikel 67, lid 2, punt g), en lid 4, heeft getroffen; f) alle relevante eerdere inbreuken door de houder van gezondheidsgegevens of de gebruiker van gezondheidsgegevens;

g) de mate waarin de houder van gezondheidsgegevens of de gebruiker van gezondheidsgegevens met de instantie voor toegang tot gezondheidsgegevens samenwerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen ervan te beperken;

h) de wijze waarop de instantie voor toegang tot gezondheidsgegevens kennis heeft gekregen van de inbreuk, met name of en in hoeverre de gebruiker van gezondheidsgegevens de inbreuk heeft gemeld;

i) de naleving van de in artikel 63, leden 3 en 4, bedoelde handhavingsmaatregelen die eerder ten aanzien van de betrokken verwerkingsverantwoordelijke of verwerker met betrekking tot dezelfde aangelegenheid zijn genomen;

j) elke andere verzwarende of verzachtende factor die op de omstandigheden van de zaak van toepassing is, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien.

Indien de houder van gezondheidsgegevens of de gebruiker van gezondheidsgegevens opzettelijk of uit nalatigheid een inbreuk pleegt op meerdere bepalingen van deze verordening met betrekking tot dezelfde of daarmee verband houdende gegevensvergunningen voor of verzoeken om gezondheidsgegevens, is het totale bedrag van de administratieve boete niet hoger dan het bedrag dat is vastgesteld voor de zwaarste inbreuk.

Overeenkomstig lid 2 van dit artikel worden inbreuken op de verplichtingen van de houder van gezondheidsgegevens of gebruiker van gezondheidsgegevens uit hoofde van artikel 60 en artikel 61, leden 1, 5 en 6, bestraft met administratieve boeten van maximaal 10 000 000 EUR of, in het geval van een onderneming, van maximaal 2 % van de totale wereldwijde jaaromzet ervan in het voorgaande boekjaar, indien dit cijfer hoger is.

Overeenkomstig lid 2 zijn onderstaande inbreuken onderworpen aan administratieve boeten van maximaal 20 000 000 EUR of, in het geval van een onderneming, van maximaal 4 % van de totale wereldwijde jaaromzet ervan in het voorgaande boekjaar, indien dit cijfer hoger is:

a) gebruikers van gezondheidsgegevens die elektronische gezondheidsgegevens verwerken die zijn verkregen via een op grond van artikel 68 afgegeven gegevensvergunning voor het in artikel 54 genoemde gebruik;

b) gebruikers van gezondheidsgegevens die persoonlijke elektronische gezondheidsgegevens uit beveiligde verwerkingsomgevingen halen;

c) het heridentificeren of trachten te heridentificeren van de natuurlijke personen op wie de elektronische gezondheidsgegevens die de gebruikers van gezondheidsgegevens hebben verkregen op basis van een gegevensvergunning of een verzoek om gezondheidsgegevens, betrekking hebben, overeenkomstig artikel 61, lid 3;

d) niet-naleving van handhavingsmaatregelen die krachtens artikel 63, leden 3 en 4, door de instantie voor toegang tot gezondheidsgegevens zijn genomen.

Onverminderd de bevoegdheden van de instanties voor toegang tot gezondheidsgegevens krachtens artikel 63 kan elke lidstaat regels vaststellen betreffende de vraag of en in hoeverre administratieve boeten kunnen worden opgelegd aan in die lidstaat gevestigde overheidsinstanties en openbare lichamen.

De uitoefening door een instantie voor toegang tot gezondheidsgegevens van haar bevoegdheden krachtens dit artikel is onderworpen aan passende procedurele waarborgen overeenkomstig het Unierecht en het nationale recht, waaronder een doeltreffende voorziening in rechte en eerlijke rechtsbedeling.

Wanneer het rechtsstelsel van een lidstaat niet in administratieve boeten voorziet, kan dit artikel zodanig worden toegepast dat er, in overeenstemming met zijn nationale rechtskader, voor wordt gezorgd dat die rechtsmiddelen doeltreffend zijn en een soortgelijk effect hebben als de door instanties voor toegang tot gezondheidsgegevens opgelegde administratieve boeten. De opgelegde boeten zijn in elk geval doeltreffend, evenredig en afschrikkend. De betrokken lidstaat stelt de Commissie uiterlijk op 26 maart 2029 in kennis van de wettelijke bepalingen die hij op grond van dit lid vaststelt, en meldt onverwijld alle latere wetgeving tot wijziging van die bepalingen en alle wijzigingen die op de bepalingen van invloed zijn.