1,2 miljard boete voor Meta

De Ierse privacytoezichthouder heeft Meta (het moederbedrijf van Facebook) een boete van 1,2 miljard euro opgelegd vanwege schending van de privacywet. Meta heeft onrechtmatig gegevens van Europese Facebook-gebruikers aan de Verenigde Staten doorgegeven. Belangrijker dan de boete is vooral het feit dat Meta moet stoppen met het gebruik van de veelbesproken standaardcontracten (SCC’s).

Hoogste AVG-boete ooit

De opgelegde boete is de hoogst gegeven boete ooit voor een overtreding van de AVG. De boete is afkomstig van de Ierse privacytoezichthouder (DPC) omdat het Europese hoofdkantoor van Meta in Ierland zit.

De boete heeft te maken met de controversiële “standaard contractuele clausules” (SCC’s). Wanneer persoonsgegevens worden verwerkt buiten Europa moeten er volgens de AVG passende waarborgen worden getroffen. De reden hiervoor is dat de AVG buiten Europa niet geldt, maar persoonsgegevens toch even goed beschermd moeten worden als binnen Europa.

Een van de mogelijkheden om dat te doen is via deze SCC’s, goedgekeurd door de Europese Commissie.

Nadat het Europese Hof in 2020 een punt zette achter het Privacy Shield-verdrag moesten er namelijk nieuwe afspraken gemaakt worden om persoonsgegevens door te geven aan Amerika. Hiervoor leken de SCC’s een oplossing. Via deze “modelcontracten” konden bedrijven laten zien dat ze een overeenkomst hadden met gebruikers voor het overdragen van gegevens. Op die manier was er een geldige reden om gegevens naar de VS te sturen.

DPC, de Ierse privacytoezichthouder, heeft nu dus besloten dat dit niet voldoende is.

Gedwongen tot een hogere boete

DPC wilde in eerste instantie dat de boete lager zou uitvallen. Maar de Ierse privacytoezichthouder werd gedwongen door andere privacytoezichthouders, verenigd in het Europees Comité voor Gegevensbescherming (EDPB), om een hogere boete op te leggen. Volgens het EPDB waarborgen de SCC’s de fundamentele rechten en vrijheden van Europese burgers niet goed genoeg. Het EDPB noemt de schending van Meta zeer ernstig omdat het bedrijf op grote schaal stelselmatig, voortdurend en herhaaldelijk in de fout gaat.

Max Schrems, die de rechtszaak heeft aangespannen, is blij met de uitspraak. Hij geeft aan dat (tenzij de Amerikaanse surveillancewetgeving wordt aangepast), Meta zijn systemen moet herstructureren en de persoonlijke data van Europeanen in Europa moet houden.

Het belang van deze uitspraak voor andere bedrijven

Deze uitspraak is belangrijk voor bedrijven, omdat er wordt geconcludeerd dat Meta inbreuk heeft gemaakt op de AVG. Naast de SCC’s had Meta aanvullende maatregelen moeten treffen. Die aanvullende maatregelen zijn nodig omdat Europa van mening is dat de bescherming van persoonsgegevens in de VS echt onvoldoende is.

Meta heeft tot 12 oktober om te stoppen met het onrechtmatig doorgeven van Europese persoonsgegevens aan de VS. Meta zelf geeft aan de boete onnodig te vinden. Het bedrijf vindt de mogelijkheid om gegevens over de grenzen heen te dragen van fundamenteel belang voor de werking van het internet. Meta gaat dan ook in hoger beroep tegen de boete.

De EU en de VS zijn in overleg om tot afspraken te komen die wél in overeenstemming zijn met de AVG. Meta heeft gedreigd zijn services stop te zetten in Europa als er geen goed alternatief komt voor de doorgifte van persoonsgegevens naar de VS.

Vragen over het uitwisselen van persoonsgegevens met de VS?

Wisselt jouw organisatie persoonsgegevens uit met de VS? Bijvoorbeeld omdat jullie een Amerikaanse leverancier hebben? Of een moeder-/dochter-/zusterbedrijf in Amerika met wie jullie gegevens delen?

Neem contact met ons op voor advies over een AVG-proof aanpak!

Facebook op de vingers getikt door rechtbank Amsterdam wegens privacyschendingen

De rechtbank Amsterdam heeft op 15 maart 2023 geoordeeld dat Facebook persoonsgegevens van gebruikers onrechtmatig heeft verwerkt. De Consumentenbond en de Data Privacy Stichting (DPS) hebben hier in 2020 een rechtszaak over aangespannen. Dit hebben ze gedaan omdat Facebook persoonsgegevens deelt met derden zonder gebruikers hierover te informeren. En daarnaast omdat persoonsgegevens worden gebruikt voor advertentiedoeleinden zonder dat gebruikers hiervoor toestemming hebben gegeven.

Facebook verweerde zich door aan te voeren dat het noodzakelijk is om persoonsgegevens te verwerken voor gerichte advertenties om te voldoen aan het contract met de gebruikers. De rechter was het hier niet mee eens: het verwerken van persoonsgegevens voor advertentiedoeleinden is niet noodzakelijk voor het aanbieden van een Facebookprofiel. Facebook had dus geen geldige grondslag voor het verwerken van de persoonsgegevens. Dit is in strijd met de Algemene verordening persoonsgegevens (AVG). Een gedeelte van de persoonsgegevens die Facebook verwerkt zijn ook nog eens bijzondere persoonsgegevens, zoals religie en seksuele voorkeur. Facebook heeft voor de verwerking van deze gegevens niet op de juiste manier toestemming gevraagd aan gebruikers.

Niet alleen was de grondslag voor de verwerkingen onrechtmatig, gebruikers zijn ook onvoldoende geïnformeerd over het delen van hun persoonsgegevens met derde partijen. De rechter oordeelde dat Facebook haar gebruikers onvoldoende heeft voorgelicht en noemt de werkwijze zelfs misleidend.

Het laatste onderdeel van de claim van de Consumentenbond en DPS was dat Facebook geen cookies mag plaatsen op websites van derden. Hier ging de rechtbank niet in mee. Volgens de rechtbank valt het vragen van toestemming voor het plaatsen van cookies niet onder de verantwoordelijkheid van Facebook, maar onder de verantwoordelijkheid van de exploitanten van de websites.

De Consumentenbond en DPS zijn nog niet klaar met Facebook; ze spannen een nieuwe rechtszaak aan over het onrechtmatig doorgeven van persoonsgegevens naar Amerika. Daar wordt minder streng omgegaan met persoonsgegevens dan in Europa. Hierdoor kunnen de Amerikaanse inlichtingendiensten bijvoorbeeld toegang krijgen tot de gegevens van Facebookgebruikers.

Over doorgifte van persoonsgegevens naar Amerika zijn al verschillende rechtszaken aangespannen; lees onze blog over het Privacy Shield.

Gebruikers van Facebook kunnen zich hier aanmelden voor een schadevergoedingsclaim tegen Facebook. DPS en de Consumentenbond willen in gesprek gaan met Facebook om deze compensatie te vorderen.

Wil je weten of jouw organisatie goed met persoonsgegevens omgaat?

Wij staan voor je klaar! Stuur ons gerust een e-mail.

Een centrale database voor de Paspoortwet?

Het kabinet is van plan de huidige Paspoortwet te wijzigen. De belangrijkste verandering: het instellen van één centrale database waarin biometrische gegevens zoals de gezichtsopname, handtekening en vingerafdrukken voor reisdocumenten worden opgeslagen.

Daarnaast wordt de geslachtsvermelding geschrapt en worden enkele kleine wijzigingen doorgevoerd.

Te ingrijpend en onvoldoende gemotiveerd

De staatssecretaris van Digitalisering heeft de Autoriteit Persoonsgegevens (AP) gevraagd om een advies over de (concept-)wetswijziging. De AP noemt het voorstel een ‘ingrijpend wetsvoorstel waarvan de noodzaak en evenredigheid in dat licht onvoldoende zijn gemotiveerd’. In het advies maakt de AP bezwaar tegen het concept en adviseert – tot de zorgen zijn weggenomen – negatief over de voorzetting van dit wetsvoorstel.

Volgens de AP maakt het wetsvoorstel inbreuk op het fundamentele recht op bescherming van persoonsgegevens. De inbreuk gaat verder dan wat strikt noodzakelijk is en is onevenredig aan het doel, namelijk de bestrijding van fraude.

Daarnaast dreigt er volgens de AP nog een ander groot gevaar: de gegevens die worden verzameld zijn biometrisch en daardoor gevoelig. Er moet rekening gehouden worden met ‘function creep’, wat kortgezegd betekent dat de centrale biometrische databank in de toekomst door de overheid gebruikt zou kunnen worden voor een ander doel.

Alles op straat bij een hack

Los daarvan is volgens de AP onvoldoende rekening gehouden met het feit dat de gevoelige persoonsgegevens door bijvoorbeeld een hack in de verkeerde handen kunnen vallen. Wanneer gegevens centraal worden opgeslagen, is de impact van een datalek ook veel groter dan bij decentrale opslag.

Aleid Wolfsen, voorzitter van de AP, zegt hierover: “De pasfoto’s en handtekeningen van bijna alle Nederlanders bij elkaar, en dan ook nog eens de vingerafdrukken van de mensen die wachten op een paspoort: dat is een goudmijn voor cybercriminelen. In plaats van in te moeten breken in de databases van ruim 300 gemeenten zijn criminelen straks met één hack klaar.”

Het verspreiden van persoonsgegevens over meerdere databases is niet voor niets een belangrijke aanbeveling vanuit het oogpunt van Privacy by Design.

Wie is verantwoordelijk?

Een ander belangrijk punt is de verdeling van de verwerkingsverantwoordelijkheid. Deze verdeling is belangrijk omdat hiermee wordt bepaald wie er verantwoordelijk is voor de naleving van de AVG (Algemene verordening gegevensbescherming).

In het wijzigingsvoorstel is deze verdeling niet duidelijk genoeg aangegeven. Hierdoor is niet helder wanneer het ministerie van Buitenlandse Zaken verantwoordelijk is voor de gegevens en wanneer de gemeenten dat zijn.

Ook sluit de verdeling niet goed aan bij de daadwerkelijke verwerkingen die plaats gaan vinden. De AP suggereert om de minister verwerkingsverantwoordelijke te maken en de verantwoordelijkheden van de gemeenten in het concept verder uit te werken.

Hulp nodig bij de inrichting van je datalandschap?

Heb jij of heeft jouw organisatie hulp nodig bij de inrichting van je datalandschap? Wij staan voor je klaar! Schroom niet en stuur ons een e-mail op info@privacycoaches.nl

Mag je testen met persoonsgegevens?

Digi is een internet- en televisieprovider in Hongarije. Digi maakt in haar testdatabank gebruik van persoonsgegevens, gekopieerd van haar particuliere klanten. Een ethische hacker wist zich toegang te verschaffen tot deze gegevens, waarop de Hongaarse privacytoezichthouder een onderzoek instelde.

Om zekerheid te krijgen, stelde deze privacytoezichthouder hierover vragen aan het Europese Hof. Het Hof oordeelde dat het testen met persoonsgegevens is toegestaan, zolang de persoonsgegevens na gebruik worden verwijderd uit de testdatabank.

Welke gevolgen heeft deze uitspraak voor het wel of niet testen met persoonsgegevens? We zullen jullie vragen beantwoorden in deze FAQ.

Wat houdt testen in, en waarom zou je willen testen met persoonsgegevens?

Systemen, apps en software moeten regelmatig getest worden, bijvoorbeeld als er een nieuwe functionaliteit in gebruik genomen wordt. Dit kan met fictieve of geanonimiseerde gegevens, maar het kost tijd om die te maken. Vaak wordt er daarom gebruikgemaakt van een databank met ‘echte’ persoonsgegevens.

Wat zegt de Autoriteit Persoonsgegevens (AP) over het testen met persoonsgegevens?

Volgens de AP is het testen met persoonsgegevens niet aan te raden: “Testen is een complex proces, waarvoor zorgvuldigheid en meerdere gescheiden omgevingen nodig zijn. Het testen met persoonsgegevens brengt namelijk risico’s met zich mee. De mensen van wie u persoonsgegevens verwerkt, verwachten niet dat u hun gegevens ook voor testdoeleinden gaat gebruiken. Dat betekent onder meer dat u voor het testen een aparte grondslag moet hebben. Verder is het vaak niet noodzakelijk om te testen met persoonsgegevens, omdat er meestal alternatieven mogelijk zijn. Dat is een van de redenen dat testen met persoonsgegevens moeilijk in overeenstemming te brengen is met de AVG.”

Wat zegt het Europese Hof in de zaak Digi over het testen met persoonsgegevens?

Het Europese Hof geeft aan dat wanneer het testen verenigbaar is met het doeleinde waarvoor de persoonsgegevens zijn verzameld, het testen niet in strijd is met de AVG.

Wanneer is testen dan verenigbaar met dit doeleinde? Dat hangt af van de omstandigheden van het geval. Wordt er bijvoorbeeld getest om de dienst waarvoor de gegevens zijn verzameld, te verbeteren? Dan is dit volgens het Hof verenigbaar met het doeleinde. Want dit zou passen binnen de legitieme verwachtingen van de gebruikers van de dienst.

Welke risico’s zijn er wanneer je test met persoonsgegevens?

Wanneer je werkt met persoonsgegevens moet je bij elke verwerking rekening houden met de AVG. Het is mogelijk dat persoonsgegevens onrechtmatig worden verwerkt en de kans op datalekken neemt toe. Met testdata wordt soms ook onzorgvuldiger omgegaan dan met productiedata.

Welke aandachtspunten zijn er bij het testen met persoonsgegevens?

Het is aan te raden om vooraf een privacy assessment te doen en eventueel zelfs een DPIA (Data Protection Impact Assessment). Dit is een onderzoek dat eventuele privacyrisico’s blootlegt wanneer persoonsgegevens verwerkt worden. Wij kunnen je daarbij helpen.

Persoonsgegevens mogen volgens de AVG alleen verwerkt worden wanneer:

1. vooraf is vastgelegd met welk doel de gegevens worden verwerkt en de verdere verwerking (lees: het testen) verenigbaar is met dat doel;
2. de verwerking voldoet aan een wettelijke grondslag;
3. niet meer persoonsgegevens worden verwerkt worden dan strikt nodig en de persoonsgegevens ook kloppen;
4. verantwoording wordt afgelegd tegenover de betrokkenen en de Autoriteit Persoonsgegevens;
5. goede beveiligingsmaatregelen zijn getroffen zodat de persoonsgegevens voldoende beveiligd en beschermd zijn.

Daarnaast moet er worden voldaan aan het principe van dataminimalisatie en datakwaliteit. De bewaartermijnen moeten ook worden gehandhaafd.

Wil jij testen met persoonsgegevens?

Wil je het nog eens rustig nalezen? Download dan onze Infographic: Testen met persoonsgegevens

Heb je vragen over het testen met persoonsgegevens? Neem contact met ons op via het contactformulier of stuur een mail naar info@privacycoaches.nl. We denken graag met je mee!