De chatdienst WhatsApp, die deel uitmaakt van het bedrijf Meta, kreeg door de Ierse Data Protection Commission (DPC) een monsterboete opgelegd van ongeveer 225 miljoen euro. Dat de Ierse gegevensbeschermingsautoriteit deze megaboete oplegt, komt omdat moederbedrijf Meta in Ierland is gevestigd. De boete wordt niet alleen opgelegd voor privacy-inbreuken ten opzichte van Ierse gebruikers, maar ook ten opzichte van alle andere Europese gebruikers. Om dergelijke megaboetes te voorkomen, is het aan te raden om je privacyverklaring te laten nakijken.
Op een na hoogste boete voor een privacy-inbreuk
Het is de op een na hoogste boete die tot nu toe werd uitgeschreven voor een inbreuk op de privacywetgeving. Het record staat nog steeds op naam van Amazon, dat in juli met een boete van 746 miljoen euro alle records wist te verbreken. Dat deze boetes honderden miljoenen euro’s bedragen, is geen verrassing. Het heeft namelijk te maken met de manier waarop ze worden berekend: als een percentage van de omzet. Je hoeft geen metawiskundige te zijn om te weten dat boetes dan hoog kunnen oplopen. Hierdoor blijven de boetes ook voor de grote techbedrijven, die vaak veel persoonsgegevens verwerken, een uitstekend afschrikmiddel. En dat maakt de Europese privacywetgeving beter afdwingbaar.
Meta kreeg de boete opgelegd omdat het niet aan de informatieverplichting heeft voldaan. De boete wordt dus niet opgelegd omwille van de manier waarop persoonsgegevens worden verwerkt, maar enkel omwille van de gebrekkige communicatie hieromtrent. Van de gegevensbeschermingsautoriteit moet Meta gedetailleerder informatie verstrekken over de reden waarom gegevens worden opgeslagen of verwijderd en hoe gegevens aan het buitenland worden doorgegeven. Ook moet het de rechtsgrondslag op basis waarvan de gegevens worden verwerkt, toelichten.
Voldoende duidelijk informeren over de verwerking van persoonsgegevens
Ook in Nederland tilt men heel zwaar aan de informatieplicht. Het is belangrijk dat mensen goed weten welke persoonsgegevens worden verwerkt, waarom deze persoonsgegevens worden verwerkt en met wie de persoonsgegevens worden gedeeld. Deze informatie wordt opgenomen in een privacyverklaring. Het is bovendien belangrijk dat deze privacyverklaring niet nodeloos lang of ingewikkeld is. Het gebruik van een duidelijke en eenvoudige bewoording moet ervoor zorgen dat iedereen goed begrijpt wat er met de persoonsgegevens gebeurt en vrij kan beslissen of hij zijn of haar persoonsgegevens al dan niet met de organisatie wil delen.
Er zijn slechts een aantal gevallen waarbij men geen recht op informatie heeft. Dit is het geval wanneer iemand al op de hoogte is van de informatie, bijvoorbeeld omdat het reeds is toegestuurd of uitgereikt. Dan hoeft men niet nog eens opnieuw te informeren. Ook wanneer het voor een organisatie onevenredig veel inspanningen zou kosten om de betrokkene te bereiken, is het niet verplicht. Ten slotte is het informeren niet verplicht wanneer er een zwaarwegend belang is dat het niet-informeren rechtvaardigt. Denk bijvoorbeeld aan de situatie waarbij het niet-informeren noodzakelijk is om strafbare feiten op te sporen en te vervolgen. Het gaat om een heel beperkte set met uitzonderingen, waardoor goed informeren in vrijwel alle gevallen verplicht is.
Een privacyverklaring laten nakijken
We merken dat veel ondernemers zelf een privacyverklaring opstellen. Daarbij is de privacyverklaring niet altijd even duidelijk of wordt er al eens iets vergeten. De Ierse DPC bewijst dat zoiets grote gevolgen kan hebben. Daarom is het aan te raden om een privacyverklaring te laten opstellen door een jurist of een advocaat. Als je zelf al een privacyverklaring hebt opgesteld, kan je het ook aan ons voorleggen. Met onze dienst ContractCheck onderwerpen wij de privacyverklaring aan een controle en bieden we je inzicht in alle risico’s. Een document laten nakijken is al mogelijk vanaf 99 euro.
