Ook in 2022 zat de Autoriteit Persoonsgegevens (AP) niet stil. Het ging talloze privacy-inbreuken achterna en het tikte zowel de overheid als private bedrijven op de vingers. Net als de voorbije jaren werden er ook flinke boetes uitgedeeld. Dit zijn de op dit moment zwaarste boetes die in 2022 al door de AP zijn uitgedeeld. Ze bewijzen dat je maar beter je privacyzaakjes op orde kan hebben.
# 3. DPG Media: € 525.000
De derde zwaarste AP-boete van 2022 is voor DPG Media, hoewel het Sanoma Media Netherlands B.V. was die de fout beging. Sanoma is later door DPG Media overgenomen. Bij Sanoma was het zo dat als mensen hun gegevens wilden inzien of verwijderen, ze eerst een identiteitsbewijs dienden te uploaden. Volgens de AP is dat echter helemaal niet nodig. Eigenlijk vroeg het mediabedrijf dus te veel persoonsgegevens op, wat bovendien ook de inzage- en verwijderingsverzoeken bemoeilijkte. De betrokkenen werden er ook niet op geattendeerd dat het toegestaan is om bijvoorbeeld het ISBN-nummer af te schermen.
De AP is altijd streng als het om identiteitsbewijzen gaat. Als deze informatie uitlekt, kan dat namelijk resulteren in identiteitsfraude. DPG Media had de werkwijze na de overname al aangepast, waardoor een last onder dwangsom niet nodig was. Desondanks werd er wel een boete van 525.000 euro opgelegd. DPG Media heeft bezwaar gemaakt tegen dit besluit.
# 2. Ministerie van Buitenlandse Zaken: € 565.000
De tweede zwaarste AP-boete was voor het ministerie van Buitenlandse Zaken. Het ministerie kreeg een boete van maar liefst 565.000 euro opgelegd. Dat komt omdat het ministerie het NVIS, het Nationaal Visum Informatie Systeem dat wordt gebruikt voor het aanvragen en het verlenen van visums, niet goed had beveiligd. Jarenlang konden onbevoegden hierdoor de dossiers wijzigen en/of inzien. Maar liefst 530.000 visumaanvragen zijn er in de desbetreffende periode afgehandeld. Allemaal aanvragen met veel gevoelige informatie, gaande van nationaliteitsinformatie tot vingerafdrukken. Zo’n beveiligingslek kan niet alleen grote gevolgen hebben voor de privacy van de aanvragers. Bovendien konden aanvragen worden gewijzigd, waardoor ze onterecht werden afgewezen.
De Autoriteit Persoonsgegevens was erg streng voor het ministerie. Het legde niet alleen een zware boete van 565.000 euro op, maar ook een last onder dwangsom van 50.000 euro per twee weken dat de beveiliging niet op orde was. Daarnaast was er ook sprake van een tweede last onder dwangsom van 10.000 euro per week dat het ministerie onvoldoende transparant was over de partijen waarmee de persoonsgegevens werden gedeeld.
# 1. Belastingdienst: € 3,7 miljoen(!)
De Belastingdienst heeft jarenlang illegaal persoonsgegevens verwerkt in de Fraude Signalering Voorziening (FSV), een zwarte lijst waarop men fraudesignalen bijhield. De Belastingdienst had geen wettelijke grondslag om deze persoonsgegevens te verwerken. Veel persoonsgegevens klopten ook niet, waardoor mensen mogelijk onterecht als fraudeur werden geregistreerd. Ook merkte de AP op dat de beveiliging van de lijst helemaal niet op orde was.
Verder bleek dat er ook nog eens sprake was van discriminatie: onder andere de nationaliteit (Turkse, Marokkaanse of Oost-Europese nationaliteit) werd als criterium gebruikt om mensen nader te onderzoeken. Maar liefst 270.000 mensen stonden op de lijst en hun rechten zijn sterk geschonden. Het resulteerde in de hoogste boete die ooit door de AP is opgelegd: 3,7 miljoen euro voor in totaal 6 overtredingen.
