Autoriteit Persoonsgegevens
Postbus 93374, 2509 AJ Den Haag
Bezuidenhoutseweg 30, 2594 AV Den Haag
T 070 8888 500 - F 070 8888 501
autoriteitpersoonsgegevens.nl

Locatefamily.com
[VERTROUWELIJK]

Contactpersoon
[VERTROUWELIJK]

Onderwerp
Besluit tot het opleggen van een bestuurlijke boete en een last onder dwangsom

Geachte mevrouw/heer,

De Autoriteit Persoonsgegevens (AP) heeft besloten aan Locatefamily.com een bestuurlijke boete van € 525.000,-- op te leggen, omdat Locatefamily.com in de periode van 25 mei 2018 tot heden niet heeft voldaan aan de verplichting om schriftelijk een vertegenwoordiger in de Europese Unie (EU) aan te wijzen. Locatefamily.com heeft daarmee artikel 27, eerste lid, juncto artikel 3, tweede lid, van de Algemene Verordening Gegevensbescherming (AVG) overtreden.

De AP heeft tevens besloten aan Locatefamily.com een last onder dwangsom op te leggen, die ziet op het ongedaan maken van deze voortdurende overtreding. Daartoe dient Locatefamily.com binnen twaalf weken na dagtekening van en met inachtneming van dit besluit alsnog te voldoen aan de verplichting zoals opgenomen in artikel 27 van de AVG en schriftelijk een vertegenwoordiger aan te wijzen in de EU. Indien Locatefamily.com niet binnen deze termijn aan de last voldoet, verbeurt Locatefamily.com een dwangsom van € 20.000,-- voor iedere twee weken na afloop van de begunstigingstermijn, tot een maximumbedrag van in totaal € 120.000,--.

Hierna wordt het besluit toegelicht. Hoofdstuk 1 bevat de relevante feiten en het procesverloop. In hoofdstuk 2 wordt het wettelijk kader beschreven. In hoofdstuk 3 volgt de beoordeling van de AP, waarna in hoofdstuk 4 de hoogte van de bestuurlijke boete wordt gemotiveerd. In hoofdstuk 5 wordt de last onder dwangsom weergegeven. Tenslotte bevat hoofdstuk 6 het dictum en de rechtsmiddelenclausule.

2/17

1. Feiten en procesverloop

Locatefamily.com is een buiten de Europese Unie (EU) gevestigde organisatie die met haar website ‘Locatefamily.com’ een platform biedt waarop een ieder kan zoeken naar contactgegevens van bekenden die zij uit het oog zijn verloren.

Omdat bij de AP geen vestigingsadres bekend is van Locatefamily.com, is de communicatie met Locatefamily.com alleen via e-mail verlopen.1

In de onderzoeksperiode van 25 mei 2018 tot 25 juli 2019 heeft de AP negentien klachten ontvangen betreffende Locatefamily.com. De klachten betreffen het niet (adequaat) reageren op verzoeken tot het wissen van persoonsgegevens van betrokkenen en het ontbreken van een vestiging dan wel een vertegenwoordiger van Locatefamily.com binnen de EU.2

Naar aanleiding van de ontvangen klachten heeft de AP op 26 juni 2018 per e-mail een verzoek om informatie gezonden aan Locatefamily.com, waarop Locatefamily.com op 2 juli 2018 per e-mail heeft gereageerd.3

Op 9 juli 2018 heeft de AP per e-mail een tweede verzoek om informatie aan Locatefamily.com gestuurd, waarop Locatefamily.com op 19 juli 2018 per e-mail heeft gereageerd.4

Op 18 juli 2018 heeft de AP op grond van artikel 61 van de AVG een verzoek om wederzijdse bijstand verstuurd aan collega toezichthouders binnen de EU, waarbij de AP heeft gevraagd of zij klachten of signalen hebben ontvangen met betrekking tot Locatefamily.com en of er een vestiging c.q. vertegenwoordiger is van Locatefamily.com in het desbetreffende land. Begin september 2018 hebben tien EU-toezichthouders op het verzoek van 18 juli 2018 gereageerd.5 Een aantal landen bevestigde eveneens klachten te hebben ontvangen over Locatefamily.com.

Naar aanleiding van een toename van het aantal klachten over Locatefamily.com zowel in Nederland als in andere EU-lidstaten, is de AP eind december 2018 een ambtshalve onderzoek gestart naar Locatefamily.com betreffende een vermoedelijke overtreding van artikel 27 van de AVG, ingevolge welke bepaling de verwerkingsverantwoordelijke of de verwerker schriftelijk een vertegenwoordiger in de EU dient aan te wijzen.

1 legal@locatefamily.com en info@locatefamily.com. Laatstgenoemd adres wordt tevens door Locatefamily.com gehanteerd blijkens haar reactie op een van de 19 klachten. 2 Overzicht van klachten, bijlage 1 bij het onderzoeksrapport. 3 E-mailwisseling met Locatefamily.com, bijlage 12 bij het onderzoeksrapport. 4 E-mailwisseling met Locatefamily.com, bijlage 12 bij het onderzoeksrapport. 5 IMI report (Internal Market Information System) met het verzoek aan EU-toezichthouders en de reacties daarop, bijlagen 3 en 4 bij het onderzoeksrapport.

3/17

In maart 2019 heeft de AP een technisch onderzoek uitgevoerd waaruit Canada als mogelijke vestigingsplaats van Locatefamily.com bleek.6 Daarna heeft de AP een internationale samenwerking opgestart via de Enforcement subgroup van de European Data Protection Board (EDPB).

Op 19 maart 2019 heeft een conference call plaatsgevonden van deze samenwerkingsgroep van in totaal negen Europese toezichthouders, voorgezeten door de AP.7

Op 25 maart 2019 heeft de AP namens de samenwerkende Europese toezichthouders, een brief gezonden aan de Office of the Privacy Commissioner of Canada, met een verzoek om informatie inzake Locatefamily.com.8

Omdat het vestigingsadres van Locatefamily.com vooralsnog onbekend bleef, is vervolgens door de Ierse, Franse en Nederlandse toezichthouder afgesproken om de ingediende nationale klachten betreffende verzoeken tot gegevenswissing te richten aan Locatefamily.com.

Op 8 april 2019 heeft de AP aan Locatefamily.com per e-mail een overzicht verstrekt van de door haar ontvangen klachten betreffende het afhandelen door Locatefamily.com van verzoeken tot gegevenswissing en daarbij gewezen op de verplichtingen voor Locatefamily.com ingevolge de AVG.9

Bij e-mails van 10 april 2019 en 27 juli 2019 heeft Locatefamily.com de AP bericht over verwijdering van de persoonsgegevens van haar website.10 Het verzoek is in alle drie landen (Ierland, Frankrijk, en Nederland) grotendeels gehonoreerd door Locatefamily.com.

Op 28 mei 2019 heeft de Privacy Commissioner of Canada aan de AP bericht dat zij bezig is met het verzoek van de AP van 25 maart 2019.11

Op 22 juli 2019 heeft de AP per e-mail een derde verzoek om informatie aan Locatefamily.com gestuurd.12

Op de vraag in deze e-mail van 22 juli 2019 naar een adres van Locatefamily.com of van een vertegenwoordiger in de EU heeft de AP geen reactie van Locatefamily.com ontvangen.

De bevindingen van het onderzoek door de AP zijn opgenomen in het rapport ‘Locatefamily.com inzake ontbreken wettelijke vertegenwoordiger binnen de EU’, dat op 25 juli 2019 is vastgesteld (hierna: onderzoeksrapport).

6 Schema, bijlage 2 bij het onderzoeksrapport. 7 Minutes conference call, bijlage 5 bij het onderzoeksrapport. 8 Brief aan Privacy Commissioner of Canada, bijlage 6 bij het onderzoeksrapport. 9 Brief aan Locatefamily.com van 8 april 2019 betreffende 19 klachten van Nederlandse betrokkenen omtrent verzoeken tot gegevenswissing, bijlage 7 bij het onderzoeksrapport. 10 E-mails van Locatefamily.com aan AP betreffende verzoeken tot gegevenswissing, bijlage 8 bij het onderzoeksrapport. 11 Bericht Privacy Commissioner of Canada van 28 mei 2019, bijlage 9 bij het onderzoeksrapport. 12 E-mailwisseling met Locatefamily.com, bijlage 12 bij het onderzoeksrapport.

4/17

Op 24 februari 2020 heeft de AP via digitale verzending13 aan Locatefamily.com een voornemen tot handhaving gezonden tezamen met het voornoemde onderzoeksrapport en de onderliggende documentatie, waarbij Locatefamily.com tevens in de gelegenheid is gesteld om uiterlijk 23 maart 2020 een zienswijze kenbaar te maken. Locatefamily.com heeft van deze gelegenheid tot op heden geen gebruik gemaakt.

Op grond van het rapport met bevindingen en de onderliggende documentatie komt de AP tot de vaststelling van de volgende relevante feiten.

Locatefamily.com Locatefamily.com biedt met haar website een platform voor een ieder die op zoek is naar contactgegevens van bekenden die zij uit het oog zijn verloren door van betrokkenen de zogenaamde NAW-gegevens, naam, adres, woonplaats en soms het telefoonnummer, beschikbaar te stellen. Locatefamily.com biedt deze gegevens gratis aan iedere geïnteresseerde aan. De website is openbaar toegankelijk en bevat gegevens van ingezetenen van zowel binnen als buiten de EU.14 Locatefamily.com stelt de overzichten van gegevens samen zonder dat betrokkenen lid worden van het platform of een account hoeven aan te maken.15 Uit onderzoek uitgevoerd door de AP tezamen met haar Europese collega-toezichthouders is gebleken dat Locatefamily.com haar diensten heeft aangeboden zowel in Nederland als in acht andere EU-landen. Meerdere EU-toezichthouders hebben bevestigd dat er door betrokkenen uit de desbetreffende landen klachten zijn ingediend betreffende Locatefamily.com.16

Vestigingsplaats/vertegenwoordiging Op de website van Locatefamily.com is noch een privacy contactpersoon noch een vestigingsadres en/of vertegenwoordigingsadres te vinden.

In reactie op de vraag van de AP aan Locatefamily.com of zij een vertegenwoordiger of een vestiging heeft in de EU,17 heeft Locatefamily.com op 2 juli 2018 het volgende aangegeven:18

“LocateFamiÏy.com is not located in the European Union and does not have any business relationships in the European Union. We do not have an office or a representative in the European Union. LocateFamily.com does not offer goods or services to the European Union. We are available to respond to any questions you may have regarding the complaints you mention. If you provide us with the names of the individuals and or their e-mail addresses we can provide you with a report that indicates when the removal request was received and when the information was removed.”

13 Via e-mail aan legal@locatefamily.com en info@locatefamily.com. 14 Print screen d.d. 29 juli 2019 bedrijfsmodel Locatefamily.com, bijlage 10 bij het onderzoeksrapport. 15 Print screens Locatefamily.com, bijlage 10 bij het onderzoeksrapport. 16 IMI report (Internal Market Information System) met het verzoek aan EU-toezichthouders en de reacties daarop, bijlagen 3 en 4 bij het onderzoeksrapport. Klachten andere EU-toezichthouders betreffende Locatefamily.com, bijlage 11 bij het onderzoeksrapport. 17 E-mailwisseling met Locatefamily.com, bijlage 12 bij het onderzoeksrapport. 18 E-mail van 2 juli 2018, bijlage 12 bij het onderzoeksrapport.

5/17

Op de vraag van de AP waar het hoofdkantoor van Locatefamily.com is gevestigd, heeft zij op 19 juli 2018 het volgende bericht: 19

“As we have already explained in our previous email, we have no business relationships in the European Union, and we do not have an office or a representative in the European Union. We also do not offer goods or services to the European Union. To be clear we are not situated in any country of the European Union. We respect the wishes of people who want their address information removed from the web site, and the information is removed within a few days, regardless of which country the individual resides in. Consequently we are puzzled as to why you would you need to know where we are situated.”

Voorts hebben Europese toezichthouders aangegeven dat er geen vestiging of vertegenwoordiger van Locatefamily.com is aangetroffen in het betreffende land waar die toezichthouders zijn gevestigd.

Uit technisch onderzoek uitgevoerd door de AP met betrekking tot de webhost van de website Locatefamily.com is gebleken dat Locatefamily.com mogelijk in Canada is gevestigd.20 Uit de internationale samenwerking met collega toezichthouders is naar voren gekomen dat een vertegenwoordiger van Locatefamily.com in de EU ontbreekt en dat het aantal klachten zowel in Nederland als in andere EU-lidstaten toenam.21

Het daarop gevolgde verzoek van 25 maart 2019 van de AP namens de samenwerkende Europese toezichthouders, aan de Privacy Commissioner of Canada22 om na te gaan wie de contractpartij is van de webhost van de website Locatefamily.com, om zo het vestigingsadres van Locatefamily.com te kunnen traceren, heeft tot op heden nog geen concrete aanwijzingen opgeleverd over de vestigingslocatie van Locatefamily.com. Raadpleging door de AP van het handelsregister van de Kamer van Koophandel in Nederland heeft voorts geen resultaten opgeleverd ten aanzien van Locatefamily.com.23 De andere EU-toezichthouders hebben een vergelijkbaar bureau-onderzoek verricht en evenmin een registratie van Locatefamily.com of een vertegenwoordiger van Locatefamily.com gevonden. Het Europese justitieportaal (E-Justice portal)24

bevat evenmin informatie omtrent een vestiging en/of vertegenwoordiger van Locatefamily.com in de EU.25

19 E-mail van 19 juli 2018, bijlage 12 bij het onderzoeksrapport. 20 Schema, bijlage 2 bij het onderzoeksrapport. 21 Minutes conference call, bijlage 5 bij het onderzoeksrapport. 22 Brief aan Privacy Commissioner of Canada, bijlage 6 bij het onderzoeksrapport. 23 KvK-raadpleging, bijlage 14 bij het onderzoeksrapport. 24 https://e-justice.europa.eu/content_find_a_company-489-nl.do [bekeken 25 juli 2019]. 25 Print screen e-Justice portal bevraging, bijlage 13 bij het onderzoeksrapport. ‘Het Europees e-justitieportaal is bedoeld als “one-stop shop” op internet voor informatie over Europese justitiële onderwerpen en gerechtelijke procedures. Het portaal richt zich op burgers, ondernemingen, juristen en de rechterlijke macht. Burgers behoren in andere lidstaten even goede toegang tot het rechtsapparaat te hebben als in hun eigen lidstaat, en het Europees e-justitieportaal helpt op praktische wijze belemmeringen daarvoor weg te nemen

6/17

Klachten In de onderzoeksperiode van 25 mei 2018 tot 25 juli 2019 heeft de AP negentien klachten ontvangen betreffende Locatefamily.com. Uit onderzoek door Europese collega-toezichthouders is gebleken dat er tevens in andere EU-lidstaten klachten door betrokkenen uit de desbetreffende landen zijn ingediend betreffende de website van Locatefamily.com.26

2. Wettelijk kader

2.1 Reikwijdte AVG

Ingevolge artikel 2, eerste lid, van de AVG is deze verordening van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking, alsmede op de verwerking van persoonsgegevens die in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen.

Ingevolge artikel 3, eerste lid, van de AVG is deze verordening van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een verwerkingsverantwoordelijke of een verwerker in de Unie, ongeacht of de verwerking in de Unie al dan niet plaatsvindt.

Ingevolge artikel 3, tweede lid, van de AVG is deze verordening van toepassing op de verwerking van persoonsgegevens van betrokkenen die zich in de Unie bevinden, door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker, wanneer de verwerking verband houdt met: a) het aanbieden van goederen of diensten aan deze betrokkenen in de Unie, ongeacht of een betaling door de betrokkenen is vereist; of b) het monitoren van hun gedrag, voor zover dit gedrag in de Unie plaatsvindt.

Ingevolge artikel 4 van de AVG wordt verstaan onder: 1. “Persoonsgegevens”: alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon („de betrokkene”); als identificeerbaar wordt beschouwd een natuurlijke persoon die direct of indirect kan worden geïdentificeerd, met name aan de hand van een identificator zoals een naam, een identificatienummer, locatiegegevens, […]. 2) “Verwerking”: een bewerking of een geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedés, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking

door bijvoorbeeld informatie in 23 talen en een groot aantal links naar relevante websites en documenten te verstrekken. Hoewel de verantwoordelijkheid voor de inhoud en het beheer van het portaal wordt gedeeld door de Europese Commissie en de afzonderlijke lidstaten van de Europese Unie, is de Europese Commissie de verantwoordelijke voor de verwerking van de gegevens voor het Europees e-justitieportaal.’ 26 IMI report (Internal Market Information System) met het verzoek aan EU-toezichthouders en de reacties daarop, bijlagen 3 en 4 bij het onderzoeksrapport.

7/17

stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens; […]. 7) “Verwerkingsverantwoordelijke”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat, alleen of samen met anderen, het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt; wanneer de doelstellingen van en de middelen voor deze verwerking in het Unierecht of het lidstatelijke recht worden vastgesteld, kan daarin worden bepaald wie de verwerkingsverantwoordelijke is of volgens welke criteria deze wordt aangewezen; […]. 8) „verwerker”: een natuurlijke persoon of rechtspersoon, een overheidsinstantie, een dienst of een ander orgaan die/dat ten behoeve van de verwerkingsverantwoordelijke persoonsgegevens verwerkt; 17) “Vertegenwoordiger”: een in de Unie gevestigde natuurlijke persoon of rechtspersoon die uit hoofde van artikel 27 schriftelijk door de verwerkingsverantwoordelijke of de verwerker is aangewezen om de verwerkingsverantwoordelijke of de verwerker te vertegenwoordigen in verband met hun respectieve verplichtingen krachtens deze verordening.

2.2 Vertegenwoordigers van niet in de Unie gevestigde verwerkingsverantwoordelijken

Artikel 27 van de AVG bepaalt het volgende: 1. Wanneer artikel 3, lid 2, van toepassing is, wijst de verwerkingsverantwoordelijke of de verwerker schriftelijk een vertegenwoordiger in de Unie aan. 2. De verplichting vervat in lid 1 van dit artikel geldt niet voor: a) incidentele verwerking die geen grootschalige verwerking van bijzondere categorieën van persoonsgegevens als bedoeld in artikel 9, lid 1, betreft noch verwerking van persoonsgegevens die verband houden met strafrechtelijke veroordelingen en strafbare feiten als bedoeld in artikel 10, en waarbij de kans gering is dat zij een risico inhoudt voor de rechten en vrijheden van natuurlijke personen, rekening houdend met de aard, de context, de omvang en de verwerkingsdoeleinden; of b) een overheidsinstantie of overheidsorgaan. 3. De vertegenwoordiger is gevestigd in een van de lidstaten waar zich de betrokkenen bevinden wier persoonsgegevens in verband met het hun aanbieden van goederen of diensten worden verwerkt, of wier gedrag wordt geobserveerd. 4. Teneinde de naleving van deze verordening te waarborgen, wordt de vertegenwoordiger door de verwerkingsverantwoordelijke of de verwerker gemachtigd om naast hem of in zijn plaats te worden benaderd, meer bepaald door de toezichthoudende autoriteiten en betrokkenen, over alle met de verwerking verband houdende aangelegenheden. 5. Het feit dat de verwerkingsverantwoordelijke of de verwerker een vertegenwoordiger aanwijzen, doet niet af aan de mogelijkheid om tegen de verwerkingsverantwoordelijke of de verwerker zelf vorderingen in te stellen.

3. Beoordeling

3.1 Verwerking van persoonsgegevens

Zoals gezegd biedt Locatefamily.com met haar website een platform waarop een ieder kan zoeken naar contactgegevens van bekenden die zij uit het oog zijn verloren en registreert zij uit dien hoofde gegevens

8/17

op haar website van vele betrokkenen. Dit betreft NAW-gegevens en soms telefoonnummers, die voor elke geïnteresseerde zichtbaar zijn.

Van direct identificerende gegevens is sprake wanneer gegevens betrekking hebben op een persoon waarvan de identiteit zonder veel omwegen eenduidig vast te stellen is. Direct identificerende gegevens zijn gegevens als naam, adres, geboortedatum, die in combinatie met elkaar dermate uniek en dus kenmerkend zijn voor een bepaalde persoon dat deze in brede kring met zekerheid of met een grote mate van waarschijnlijkheid, kan worden geïdentificeerd. Dergelijke gegevens worden in het maatschappelijk verkeer ook gebruikt om personen van elkaar te onderscheiden.27

Naam, adres- en woonplaatsgegevens maken betrokkenen direct identificeerbaar en zijn daarmee te kwalificeren als persoonsgegevens in de zin van artikel 4, aanhef, en onder 1, van de AVG.

Op grond van artikel 2, eerste lid en artikel 3, tweede lid, van de AVG is de AVG van toepassing op de geheel of gedeeltelijk geautomatiseerde verwerking van persoonsgegevens van betrokkenen die zich in de Unie bevinden, door een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker, wanneer de verwerking verband houdt met het aanbieden van goederen of diensten aan deze betrokkenen in de Unie.

Met het registreren, digitaal opslaan en ter beschikking stellen van deze persoonsgegevens via haar website Locatefamily.com, is sprake van een geautomatiseerde verwerking van persoonsgegevens.

De AP komt tot de conclusie dat er sprake is van een verwerking van persoonsgegevens waarop volgens voornoemde bepalingen de AVG van toepassing is.

3.2 Verwerkingsverantwoordelijke

In het kader van de vraag wie is of zijn aan te merken als verwerkingsverantwoordelijke(n) als bedoeld in artikel 4, aanhef, en onder 7, van de AVG is bepalend wie het doel van en de middelen voor de verwerking van persoonsgegevens vaststelt.

In de Privacy policy van Locatefamily.com staat het volgende beschreven:28

“LocateFamily.com does not redistribute information, e-mail addresses, or information obtained from communications with individuals regarding LocateFamily.com, to any third parties. Information displayed on LocateFamily.com is collected and maintained by LocateFamily.com for sole use by LocateFamily.com.”

Ook geeft Locatefamily.com op haar website aan:29

27 TK 1997-1998, 25 892, nr. 3, p.48. 28 Privacy policy, bijlage 12 bij het onderzoeksrapport. 29 Print screen https://www.locatefamily.com/Iegal.html, 19-4-2019, bijlage 10 bij het onderzoeksrapport.

9/17

“LocateFamily.com updates its database on a regular basis to ensure that the information displayed continues to be valid.” […] “LocateFamily.com makes the information in its pages available as is and does not warrant the veracity of the information. The sole intent of making the data available is purely for informational purposes.” […]. “Information displayed on LocateFamily.com is property of LocateFamily.com and its interests.”

Locatefamily.com is volgens deze Privacy policy en toelichting op haar website verwerkingsverantwoordelijke. Zo bepaalt Locatefamily.com waarvoor de gegevens gebruikt worden, wie de persoonsgegevens kunnen ontvangen, en of zij persoonsgegevens verstrekt aan derden buiten de Europese Unie.30

Verwerking van persoonsgegevens door Locatefamily.com vindt plaats met het doel deze beschikbaar te stellen voor een ieder die op zoek is naar een bepaalde persoon die diegene uit het oog is verloren. Deze dienst wordt gratis aangeboden ten behoeve van familiehereniging, schoolreünies en dergelijke. Het middel voor de verwerking van persoonsgegevens betreft in dit geval de registratie van persoonsgegevens op de website van Locatefamily.com.

Voorts is van belang dat Locatefamily.com naar aanleiding van het bericht van de AP met betrekking tot de klachten over het afhandelen van verzoeken tot verwijdering, aan die verzoeken alsnog gehoor heeft gegeven en is overgegaan tot het verwijderen van de persoonsgegevens van betrokkenen van haar website.31

Gelet op het voorgaande heeft Locatefamily.com de zeggenschap over hoe er binnen Locatefamily.com wordt omgegaan met de rechten van betrokkenen en de verwerking van persoonsgegevens van betrokkenen en bepaalt zij het doel van en de middelen voor deze verwerking.

Locatefamily.com kwalificeert derhalve als verwerkingsverantwoordelijke als bedoeld in artikel 4, aanhef, en onder 7, van de AVG.

3.3 Overtreding inzake aanwijzing vertegenwoordiger

Ingevolge artikel 27, eerste lid, wijst de verwerkingsverantwoordelijke of de verwerker wanneer artikel 3, tweede lid, van de AVG van toepassing is, schriftelijk een vertegenwoordiger in de Unie aan.

In het onderhavige geval is sprake van het verwerken van persoonsgegevens van betrokkenen die zich in de EU bevinden. Bij het openen van de website van Locatefamily.com zijn naam, adres- en woonplaatsgegevens te zien van personen binnen en overigens ook van buiten de EU. Deze persoonsgegevens van onder meer EU-ingezetenen worden door Locatefamily.com verwerkt om diensten aan te bieden via de website zoals familiehereniging, schoolreünies et cetera. Gebleken is dat deze diensten mede zijn gericht op inwoners van de EU en worden aangeboden in meerdere EU-landen.

30 Print screen https://www.locatefamily.com/Iegal.html, 19-4-2019, bijlage 10 bij het onderzoeksrapport. 31 Reactie op verzoek van de AP van 8 april 2019, bijlage 8 bij het onderzoeksrapport.

10/17

Voorts is uit het onderzoek door de AP in samenwerking met Europese collega-toezichthouders gebleken dat er geen vestiging of vertegenwoordiger van Locatefamily.com is aangetroffen in de betreffende EU-lidstaat. Raadpleging van het handelsregister van de Kamer van Koophandel in Nederland door de AP heeft voorts geen resultaten opgeleverd ten aanzien van Locatefamily.com.32 De andere EU-toezichthouders hebben een vergelijkbaar bureau-onderzoek verricht en evenmin registratie van Locatefamily.com of een vertegenwoordiger van Locatefamily.com gevonden. Bij raadpleging van het Europese justitieportaal (E-Justice portal) is er evenmin een vestiging en/of vertegenwoordiger aangetroffen in de EU. Op de website van Locatefamily.com is noch een privacy contactpersoon noch een vestigingsadres en/of vertegenwoordigingsadres te vinden.

Op basis van de onderzoeksbevindingen kan worden vastgesteld dat in het geval van Locatefamily.com sprake is van een niet in de EU gevestigde verwerkingsverantwoordelijke. Bovendien is hieruit gebleken dat een vertegenwoordiger zoals gedefinieerd in artikel 4, aanhef, en onder 17, van de AVG, niet is aangewezen in de EU zoals verplicht is gesteld in artikel 27, eerste lid, van de AVG. Locatefamily.com heeft dit ook bevestigd aan de AP. In reactie op de vraag van de AP aan Locatefamily.com van 26 juni 2018 of zij een vertegenwoordiger of een vestiging heeft in de EU, heeft Locatefamily.com op 2 juli 2018 aangegeven dat zij niet in de EU is gevestigd noch een kantoor of vertegenwoordiger in de EU heeft.

Met de toepasselijkheid van artikel 3, tweede lid, van de AVG, is de verplichting op grond van artikel 27, eerste lid, van de AVG tot het aanwijzen van een vertegenwoordiger in de EU gegeven, tenzij een van de twee uitzonderingen van artikel 27, tweede lid, van de AVG aan de orde is.

Deze uitzonderingen doen zich in het geval van Locatefamily.com niet voor. Uit de onderzoeksbevindingen is gebleken dat geen sprake is van een incidentele verwerking, noch van een situatie waarin de verwerkingsverantwoordelijke een overheidsinstantie of een overheidsorgaan betreft.

Uit het vorenstaande concludeert de AP dat Locatefamily.com als buiten de EU gevestigde verwerkingsverantwoordelijke in strijd heeft gehandeld met artikel 27, eerste lid, juncto artikel 3, tweede lid, van de AVG, door na te laten schriftelijk een vertegenwoordiger in de EU aan te wijzen.

3.4 Conclusie

Gelet op het voorgaande is de AP van oordeel dat Locatefamily.com artikel 27, eerste lid, van de AVG, gelezen in samenhang met artikel 3, tweede lid, van de AVG, heeft overtreden, nu zij in de periode van 25 mei 2018 tot heden niet heeft voldaan aan de verplichting om schriftelijk een vertegenwoordiger zoals gedefinieerd in artikel 4, aanhef, en onder 17, van de AVG, in de EU aan te wijzen. De overtreding duurt thans voort.

32 KvK-raadpleging, bijlage 14 bij het onderzoeksrapport.

11/17

4. Boete

4.1 Inleiding

De AP ziet gelet op de hierboven vastgestelde overtreding aanleiding om gebruik te maken van haar bevoegdheid op grond van artikel 58, tweede lid, aanhef en onder i, in samenhang met artikel 83, vierde lid, aanhef en onder a, van de AVG en artikel 14, derde lid, van de UAVG, een boete op te leggen aan Locatefamily.com. De AP hanteert hiervoor de Boetebeleidsregels 2019.33

Ingevolge artikel 83, vierde lid, onder a, van de AVG zijn inbreuken op artikel 27 van de AVG overeenkomstig lid 2 onderworpen aan administratieve geldboeten tot € 10.000.000 of, voor een onderneming, tot 2% van de totale wereldwijde jaaromzet in het voorgaande boekjaar, indien dit cijfer hoger is.

4.2 Boetebeleidsregels Autoriteit Persoonsgegevens 2019 (Boetebeleidsregels 2019)

De AP heeft Boetebeleidsregels 2019 vastgesteld inzake de invulling van voornoemde bevoegdheid tot het opleggen van een bestuurlijke boete, waaronder het bepalen van de hoogte daarvan.

Ingevolge artikel 2, onder 2.1, van de Boetebeleidsregels 2019 zijn de bepalingen ter zake van overtreding waarvan de AP een bestuurlijke boete kan opleggen van ten hoogste het bedrag van € 10.000.000 […] in bijlage 1 ingedeeld in categorie I, categorie II of categorie III. In Bijlage 1 is de overtreding van artikel 27, eerste lid, van de AVG ingedeeld in categorie III.

Ingevolge artikel 2.3 van de Boetebeleidsregels 2019 stelt de AP de basisboete voor overtredingen waarvoor een wettelijk boetemaximum geldt van € 10.000.000 […] vast binnen de in dat artikel bepaalde boetebandbreedtes. Voor overtredingen in categorie III van bijlage 1 van de Boetebeleidsregels 2019 geldt een boetebandbreedte tussen € 300.000 en € 750.000 en een basisboete van € 525.000.

Ingevolge artikel 6 van de Boetebeleidsregels 2019 bepaalt de AP de hoogte van de boete door het bedrag van de basisboete naar boven (tot ten hoogste het maximum van de bandbreedte van de aan een overtreding gekoppelde boetecategorie) of naar beneden (tot ten laagste het minimum van die bandbreedte) bij te stellen. De basisboete wordt verhoogd of verlaagd afhankelijk van de mate waarin de factoren die zijn genoemd in artikel 7 van de Boetebeleidsregels 2019 daartoe aanleiding geven.

Ingevolge artikel 7 van de Boetebeleidsregels 2019 houdt de AP onverminderd de artikelen 3:4 en 5:46 van de Algemene wet bestuursrecht (Awb) rekening met de volgende factoren die zijn ontleend aan artikel 83, tweede lid, van de AVG, in de Beleidsregels genoemd onder a tot en met k: a. de aard, de ernst en de duur van de inbreuk, rekening houdend met de aard, de omvang of het doel van de verwerking in kwestie alsmede het aantal getroffen betrokkenen en de omvang van de door hen geleden schade;

33 Stcrt. 2019, 14586, 14 maart 2019.

12/17

b. de opzettelijke of nalatige aard van de inbreuk; c. de door de verwerkingsverantwoordelijke […] genomen maatregelen om de door betrokkenen geleden schade te beperken; d. de mate waarin de verwerkingsverantwoordelijke […] verantwoordelijk is gezien de technische en organisatorische maatregelen die hij heeft uitgevoerd overeenkomstig de artikelen 25 en 32 van de AVG; e. eerdere relevante inbreuken door de verwerkingsverantwoordelijke […]; f. de mate waarin er met de toezichthoudende autoriteit is samengewerkt om de inbreuk te verhelpen en de mogelijke negatieve gevolgen daarvan te beperken; g. de categorieën van persoonsgegevens waarop de inbreuk betrekking heeft; h. de wijze waarop de toezichthoudende autoriteit kennis heeft gekregen van de inbreuk, met name of, en zo ja in hoeverre, de verwerkingsverantwoordelijke […] de inbreuk heeft gemeld; i. de naleving van de in artikel 58, tweede lid, van de AVG genoemde maatregelen, voor zover die eerder ten aanzien van de verwerkingsverantwoordelijke […] in kwestie met betrekking tot dezelfde aangelegenheid zijn genomen; j. het aansluiten bij goedgekeurde gedragscodes overeenkomstig artikel 40 van de AVG of van goedgekeurde certificeringsmechanismen overeenkomstig artikel 42 van de AVG; en k. elke andere op de omstandigheden van de zaak toepasselijke verzwarende of verzachtende factor, zoals gemaakte financiële winsten, of vermeden verliezen, die al dan niet rechtstreeks uit de inbreuk voortvloeien.

Ingevolge artikel 8.1 van de Boetebeleidsregels 2019 kan de AP, indien de voor de overtreding bepaalde boetecategorie in het concrete geval geen passende bestraffing toelaat, bij het bepalen van de hoogte van de boete de boetebandbreedte van de naast hogere categorie respectievelijk de boetebandbreedte van de naast lagere categorie toepassen.

Ingevolge artikel 9 van de Boetebeleidsregels 2019 houdt de AP bij het vaststellen van de boete zo nodig rekening met de financiële omstandigheden waarin de overtreder verkeert. In geval van verminderde of onvoldoende draagkracht van de overtreder kan de AP de op te leggen boete verdergaand matigen, indien, na toepassing van artikel 8.1 van de beleidsregels, vaststelling van een boete binnen de boetebandbreedte van de naast lagere categorie naar haar oordeel desalniettemin zou leiden tot een onevenredig hoge boete.

4.3 Boetehoogte

Volgens de AP zijn in dit geval met name de volgende in artikel 7 genoemde factoren relevant voor het bepalen van de boetehoogte: a. de aard, de ernst en de duur van de inbreuk; b. de opzettelijke of nalatige aard van de inbreuk (verwijtbaarheid); c. de door de verwerkingsverantwoordelijke of de verwerker genomen maatregelen om de door betrokkenen geleden schade te beperken.

13/17

4.3.1 Aard, ernst en duur van de inbreuk

Ingevolge artikel 7, aanhef en onder a, van de Boetebeleidsregels 2019 houdt de AP rekening met de aard, de ernst en de duur van de inbreuk. Bij de beoordeling hiervan betrekt de AP onder meer het aantal getroffen betrokkenen en de omvang van de door hen geleden schade.

De bescherming van natuurlijke personen bij de verwerking van persoonsgegevens is een grondrecht. Krachtens artikel 8, eerste lid, van het Handvest en artikel 16, eerste lid, van het Verdrag betreffende de werking van de Europese Unie (VWEU) heeft eenieder recht op bescherming van zijn persoonsgegevens. De beginselen en regels betreffende de bescherming van natuurlijke personen bij de verwerking van hun persoonsgegevens dienen in overeenstemming te zijn met hun grondrechten en fundamentele vrijheden, met name met hun recht op bescherming van persoonsgegevens. De AVG beoogt bij te dragen aan de totstandkoming van een ruimte van vrijheid, veiligheid en recht en van een economische unie, alsook tot economische en sociale vooruitgang, de versterking en de convergentie van de economieën binnen de interne markt en het welzijn van natuurlijke personen. De verwerking van persoonsgegevens moet ten dienste van de mens staan. Het recht op bescherming van persoonsgegevens heeft geen absolute gelding, maar moet worden beschouwd in relatie tot de functie ervan in de samenleving en moet conform het evenredigheidsbeginsel tegen andere grondrechten worden afgewogen. Elke verwerking van persoonsgegevens dient behoorlijk en rechtmatig te geschieden. Voor natuurlijke personen dient het transparant te zijn dat hen betreffende persoonsgegevens worden verzameld, gebruikt, geraadpleegd of anderszins verwerkt en in hoeverre de persoonsgegevens worden verwerkt of zullen worden verwerkt.

Wanneer een niet in de Unie gevestigde verwerkingsverantwoordelijke of verwerker persoonsgegevens van betrokkenen die zich in de Unie bevinden, verwerkt, en de verwerking verband houdt met de aanbieding van goederen of diensten - ongeacht of een betaling door de betrokkenen is vereist - aan die zich in de Unie bevindende betrokkenen of met het controleren van hun gedrag in de Unie, dient de verwerkingsverantwoordelijke of de verwerker een vertegenwoordiger aan te wijzen, tenzij de verwerking incidenteel is, niet de grootschalige verwerking van bijzondere categorieën van persoonsgegevens, of de verwerking van persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten inhoudt en gelet op de aard, de context, de omvang en de verwerkingsdoeleinden waarschijnlijk geen risico oplevert voor de rechten en vrijheden van natuurlijke personen, of tenzij de verwerkingsverantwoordelijke een overheidsinstantie of -orgaan is.34

Locatefamily.com heeft in elk geval sinds 25 mei 2018 niet voldaan aan haar verplichting om schriftelijk een vertegenwoordiger aan te wijzen in de EU. In de onderzoeksperiode van 25 mei 2018 tot 25 juli 2019 heeft de AP negentien klachten ontvangen betreffende Locatefamily.com. Deze klachten betreffen het niet inwilligen van verzoeken van betrokkenen tot gegevenswissing en het ontbreken van een vestiging dan wel vertegenwoordiger van Locatefamily.com in de EU. Vastgesteld is dat ook door andere EU-lidstaten soortgelijke klachten zijn ontvangen betreffende Locatefamily.com. Hiermee wordt het belang van de aanwezigheid van een vertegenwoordiger in de EU die ten behoeve van de verwerkingsverantwoordelijke optreedt met betrekking tot zijn verplichtingen uit hoofde van de AVG nog eens onderstreept. Voor de

34 Overweging 80 van de AVG.

14/17

borging van de rechten van betrokkenen, zoals vastgelegd in de AVG, is van fundamenteel belang dat ook verantwoordelijke organisaties die buiten de EU zijn gevestigd en die diensten aanbieden in de EU, in de praktijk bereikbaar zijn voor zowel betrokkenen als de toezichthoudende autoriteiten over alle met de verwerking verband houdende aangelegenheden. Feitelijk ontbreekt het betrokkenen in de EU aan een loket waartoe zij zich kunnen wenden indien zij hun rechten op grond van de AVG willen uitoefenen. Mede gelet op het aantal getroffen betrokkenen en de duur van de overtreding, is naar het oordeel van de AP sprake van een ernstige overtreding.

De AP ziet hierin geen aanleiding om het basisbedrag van de boete op grond van artikel 7, onder a, van de Boetebeleidsregels 2019 te verhogen of te verlagen.

4.3.2 Opzettelijke of nalatige aard van de inbreuk (verwijtbaarheid)

Ingevolge artikel 5:46, tweede lid, van de Awb houdt de AP bij de oplegging van een bestuurlijke boete rekening met de mate waarin deze aan de overtreder kan worden verweten. Ingevolge artikel 7, onder b, van de Boetebeleidsregels 2019 houdt de AP rekening met de opzettelijke of nalatige aard van de inbreuk. Nu het hier gaat om een overtreding, is voor het opleggen van een bestuurlijke boete conform vaste rechtspraak35 niet vereist dat wordt aangetoond dat sprake is van opzet en mag de AP verwijtbaarheid veronderstellen als het daderschap vaststaat.36

Niet is gebleken van omstandigheden op basis waarvan zou kunnen worden geconcludeerd dat er geen verplichting bestaat voor Locatefamily.com tot het aanwijzen van een vertegenwoordiger in de EU. De AP stelt zich ten aanzien van de kennis die een normadressaat - in casu Locatefamily.com - van de toepasselijke wet- en regelgeving geacht wordt te hebben op het standpunt dat als uitgangspunt heeft te gelden dat marktpartijen een eigen verantwoordelijkheid dragen om zich aan de wet te houden.37 Indien twijfel had gerezen over de reikwijdte van het gebod dan heeft, ook volgens vaste rechtspraak, te gelden dat van een professionele en multinationaal opererende marktpartij als Locatefamily.com mag worden verlangd dat deze zich terdege informeert of laat informeren over de beperkingen waaraan haar gedragingen zijn onderworpen, zodat zij haar gedrag van meet af aan had kunnen afstemmen op de reikwijdte van dat gebod.38

In het licht van het bovenstaande acht de AP de overtreding dan ook verwijtbaar.

4.3.3 Overige omstandigheden en evenredigheid

35 Vgl. CBb 29 oktober 2014, ECLI:NL:CBB:2014:395, r.o. 3.5.4, CBb 2 september 2015, ECLI:NL:CBB:2015:312, r.o. 3.7 en CBb 7 maart 2016, ECLI:NL:CBB:2016:54, r.o. 8.3, ABRvS 29 augustus 2018, ECLI:NL:RVS:2018:2879, r.o. 3.2 en ABRvS 5 december 2018, ECLI:NL:RVS:2018:3969, r.o. 5.1. 36 Kamerstukken II 2003/04, 29702, nr. 3, p. 134. 37 Vgl. CBb 25 juni 2013, ECLI:NL:CBB:2013:4, r.o. 2.3, CBb 25 januari 2017, ECLI:NL:CBB:2017:14, r.o. 5.2, CBb 8 maart 2017, ECLI:NL:CBB:2017:91, r.o. 6. 38 Vgl. CBb 22 februari 2012, ECLI:NL:CBB:2012:BV6713, r.o. 4.3, CBb 19 september 2016, ECLI:NL:CBB:2016:290, r.o. 8.6., CBb 19 september 2016, ECLI:NL:CBB:2016:372, r.o. 6.3.

15/17

De AP ziet evenmin aanleiding het basisbedrag van de boete van € 525.000,- op grond van de overige in artikel 7 van de Boetebeleidsregels 2019 genoemde omstandigheden, voor zover van toepassing in het voorliggende geval, te verhogen of te verlagen.

De toepassing van het beleid voor het bepalen van de hoogte van de boete leidt gezien de omstandigheden van het concrete geval niet tot een onevenredige uitkomst.

4.3.4 Conclusie

De AP acht gelet op alle omstandigheden van dit geval, waaronder de aard, duur en ernst van de inbreuk, een boete van € 525.000,-- passend en geboden. 5. Last onder dwangsom 5.1 Last

Nu het gaat om een voortdurende overtreding dient deze zo spoedig mogelijk te worden beëindigd. Om die reden legt de AP naast voornoemde boete een last onder dwangsom op op grond van artikel 58, tweede lid, aanhef en onder d, van de AVG, artikel 16, eerste lid, van de UAVG en artikel 5:32, eerste lid, van de Awb.

Deze houdt in dat Locatefamily.com alsnog voldoet aan de verplichting zoals opgenomen in artikel 27, eerste lid, van de AVG en schriftelijk een vertegenwoordiger aanwijst in de EU.

5.2 Begunstigingstermijn en hoogte dwangsom

De AP verbindt aan de last onder dwangsom een begunstigingstermijn van twaalf weken. Deze periode biedt Locatefamily.com naar het oordeel van de AP voldoende gelegenheid om de overtreding te kunnen opheffen.

Artikel 5:32b, derde lid, van de Awb schrijft voor dat de dwangsombedragen in redelijke verhouding staan tot de zwaarte van het geschonden belang en tot de beoogde werking van de dwangsom. Bij dat laatste is van belang dat van een dwangsom een zodanige prikkel moet uitgaan dat aan de last wordt voldaan.

Indien Locatefamily.com de geconstateerde overtreding niet binnen twaalf weken beëindigt, verbeurt zij na afloop van die begunstigingstermijn voor iedere twee weken dat niet (geheel) aan de last is voldaan een dwangsom. De AP stelt de hoogte van deze dwangsom voor iedere twee weken na afloop van de begunstigingstermijn vast op een bedrag van € 20.000,-- (zegge: twintigduizend euro), tot een maximumbedrag van in totaal € 120.000,-- (zegge: honderdtwintigduizend euro).

Indien Locatefamily.com het verbeuren van de dwangsom direct na afloop van de begunstigingstermijn wenst te voorkomen, raadt de AP Locatefamily.com aan om bewijsmateriaal - waarmee Locatefamily.com

16/17

kan aantonen dat zij voldoet aan de last onder dwangsom - tijdig, doch uiterlijk een week voor het einde van de begunstigingstermijn aan de AP ter beoordeling toe te sturen. 6. Dictum Boete

De AP legt aan Locatefamily.com, wegens overtreding van artikel 27, eerste lid, van de AVG, gelezen in samenhang met artikel 3, tweede lid, van de AVG, in de periode van 25 mei 2018 tot heden, een bestuurlijke boete op ten bedrage van € 525.000,-- (zegge: vijfhonderdvijfentwintigduizend euro).39

Last onder dwangsom

Locatefamily.com dient binnen twaalf weken na dagtekening en met inachtneming van dit besluit maatregelen te nemen die ertoe leiden dat schriftelijk een vertegenwoordiger wordt aangewezen in de EU.

Indien Locatefamily.com niet uiterlijk binnen twaalf weken na dagtekening van dit besluit de maatregelen heeft uitgevoerd om (geheel) aan de last te voldoen, verbeurt Locatefamily.com een dwangsom van € 20.000,-- (zegge: twintigduizend euro) voor iedere twee weken na afloop van de begunstigingstermijn, tot een maximumbedrag van in totaal € 120.000,-- (zegge: honderdtwintigduizend euro).

Hoogachtend, Autoriteit Persoonsgegevens,

Drs. C.E. Mur, Bestuurslid

39 De AP zal voornoemde vordering uit handen geven aan het Centraal Justitieel Incassobureau (CJIB).

17/17

Rechtsmiddelenclausule Indien u het niet eens bent met dit besluit kunt u binnen zes weken na de datum van verzending van het besluit digitaal of op papier een bezwaarschrift indienen bij de Autoriteit Persoonsgegevens. Ingevolge artikel 38 van de UAVG schort het indienen van een bezwaarschrift de werking van de beschikking tot oplegging van de bestuurlijke boete op. Voor het indienen van digitaal bezwaar, zie www.autoriteitpersoonsgegevens.nl, onder het kopje Bezwaar maken tegen een besluit, onderaan de pagina onder de kop Contact met de Autoriteit Persoonsgegevens. Het adres voor het indienen op papier is: Autoriteit Persoonsgegevens, postbus 93374, 2509 AJ Den Haag. Vermeld op de envelop ‘Awb-bezwaar’ en zet in de titel van uw brief ‘bezwaarschrift’. Schrijf in uw bezwaarschrift ten minste: - uw naam en adres; - de datum van uw bezwaarschrift; - het in deze brief genoemde kenmerk (zaaknummer); of een kopie van dit besluit bijvoegen; - de reden(en) waarom u het niet eens bent met dit besluit; - uw handtekening.