De Autoriteit Persoonsgegevens heeft de regels aangepast die bepalen hoe hoog een opgelegde boete voor overtreding van de AVG is. Deze zogenoemde boetebeleidsregels maken niet alleen duidelijk waarom een organisatie een boete krijgt, maar motiveren ook het boetebedrag.
De Autoriteit Persoonsgegevens (AP) heeft de bevoegdheid om boetes op te leggen aan organisaties die de AVG overtreden (tools). Maar de ene overtreding is de andere niet. Het maakt nog een heel verschil of een organisatie slordig en onzorgvuldig is geweest maar wel bereid om mee te werken, of dat willens en wetens gesjoemeld is met de regels van de AVG. In het eerste geval zal de boete waarschijnlijk lager uitvallen dan in het tweede geval. Dit boetebeleid is nu uitgewerkt en gepubliceerd. Hierin is toegelicht in welke gevallen boetes worden uitgedeeld en in welke categorie overtredingen vallen. Nog in de loop van 2019 verwacht de AP de eerste boetes uit te delen.
De AP werkt met zogenoemde boetecategorieën, gekoppeld aan een minimum- en een maximumbedrag. Daarbinnen zijn basisboetes vastgesteld. Stel dat binnen een categorie het minimale boetebedrag € 50.000 is, en het maximale € 100.000. De basisboete is dan vastgesteld op € 75.000. Een organisatie die voor een vergrijp een boete krijgt in die categorie, kan dus in principe een factuur van € 75.000 verwachten. De AP gaat echter wel onderzoeken hoe zwaar de betreffende overtreding weegt. Soms kan de boete dus nog opschuiven naar het minimum- of maximumbedrag. Het is volgens de AP mogelijk dat de hoogte van de bedragen in een later stadium wordt aangepast. Dat zal het geval zijn als er in Europees verband afspraken over worden gemaakt.