De Europese gegevensbeschermingsorganisatie Noyb is met een grootschalige campagne begonnen tegen irritante misleidende en manipulatieve cookiebanners die niet voldoen aan de Algemene Verordening Gegevensbescherming (AVG).
Maandag 1 augustus 2021 heeft de vereniging ongeveer 560 klachtenbrieven gestuurd naar bedrijven in Europa en de VS die, volgens de beoordeling van Noyb, misleidende cookiebanners gebruiken om toestemming af te dwingen voor het traceren van gegevens.
Met behulp van cookies kunnen gebruikersprofielen worden aangemaakt waaruit vergaande conclusies kunnen worden getrokken over surfgedrag, voorkeuren en leefgewoonten. Deze kennis wordt bijvoorbeeld gebruikt voor gepersonaliseerde reclame.
De vereniging Noyb is opgericht door de Oostenrijkse gegevensbeschermingsactivist Max Schrems. Hij wijst er op dat de Europese Algemene Verordening Gegevensbescherming (GDPR) voorschrijft dat gebruikers een duidelijke “ja of nee”-keuze moet worden voorgelegd. Vaak proberen aanbieders dit met trucs te omzeilen. Vervelende cookiebanners maken het juist uiterst ingewikkeld om op iets anders dan de “Accepteren”-knop te klikken.
Noyb heeft software ontwikkeld die verschillende soorten illegale cookiebanners kan detecteren en automatisch klachten kan genereren. Na te zijn begonnen met ongeveer 560 belangrijke websites – waaronder de Amerikaanse internetbedrijven Facebook, Google en Twitter – is de vereniging van plan om tot 10 000 van de meest bezochte websites in Europa onder de loep te nemen.
Alvorens formele klachten bij de bevoegde gegevensbeschermingsautoriteiten worden ingediend, zal Noyb de betrokken bedrijven elk een maand de tijd geven om hun cookiebanners aan de wettelijke vereisten aan te passen. Als een bedrijf zijn instellingen niet binnen een maand wijzigt, dient Noyb de klacht in bij de bevoegde autoriteit, die een boete van maximaal 20 miljoen euro kan opleggen.
In tegenstelling tot sommige waarschuwingsverenigingen wil Noyb echter zelf geen geld verdienen aan de golf van klachten. “We doen dit pro bono zonder winstoogmerk.”
Het project wordt gefinancierd uit de algemene begroting van de Noyb, die voor een groot deel steunt op ongeveer 4000 leden uit heel Europa.
Amazon moet een boete van 746 miljoen euro betalen wegens het overtreden van de Algemene Verordening Gegevensbescherming (AVG). De boete is opgelegd door de Luxemburgse toezichthouder CNPD.
Het Amerikaanse bedrijf zou de Europese regels hebben overtreden bij het verzamelen en gebruiken van persoonlijke gegevens. Volgens de nieuwssite Bloomberg gaat het om de hoogste privacyboete ooit in Europa.
Amazon is in de EU gevestigd in Luxemburg en valt daarom in eerste instantie onder de Luxemburgse toezichthouder CNPD. De zaak loopt al sinds 2019, toen een Franse organisatie voor het beschermen van privacyrechten een klacht indiende.
Er gingen onlangs al geruchten dat het Amerikaanse concern een fikse geldstraf boven het hoofd hing. Het besluit over de boete dateert van 16 juli, maar Amazon treedt er vrijdag pas mee naar buiten.
Volgens Amazon zijn de beschuldigingen ongegrond. Het bedrijf is daarom van plan beroep aan te tekenen. “We zijn het oneens met de beslissing van de CNPD”, zegt het bedrijf. “Er is geen data gestolen en er zijn geen gegevens van klanten bij derden terechtgekomen.”
Modeketen Hennes & Mauritz (H&M) moet in Duitsland een boete van 35,3 miljoen euro betalen voor het overtreden van de privacywet. De straf is opgelegd door de commissaris voor gegevensbescherming van Hamburg.
H&M blijkt honderden medewerkers van het servicecentrum in Neurenberg in de gaten te hebben houden. De opgelegde boete is bedoeld als afschrikking.
“De onderhavige zaak getuigt van een ernstige veronachtzaming van de gegevensbescherming van de werknemers”, zegt de Hamburgse commissaris voor gegevensbescherming, Johannes Caspar. “Het bedrag van de opgelegde boete is dan ook passend en geschikt om bedrijven ervan te weerhouden de privacy van hun werknemers te schenden”, benadrukte hij.
De zaak valt onder de verantwoordelijkheid van de Hamburgse commissaris voor gegevensbescherming, omdat het bedrijf zijn Duitse hoofdkwartier in de Hanzestad heeft.
De gebeurtenissen waren vorig jaar ontdekt. Uit onderzoek van de toezichthouder blijkt dat H&M ten minste sinds 2014 de informatie over de privé-omstandigheden van werknemers uitgebreid heeft geregistreerd en opgeslagen.
Na vakantie en ziekteverzuim hielden superieuren een “Welcome Back Talk” en vervolgens niet alleen concrete vakantie-ervaringen gedocumenteerd, maar ook ziekteverschijnselen en diagnoses in een aantal gevallen.
Sommige supervisors namen ook uitgebreid kennis van het privéleven van hun werknemers. Van vrij onschadelijke details van familieproblemen en godsdienstige geloven, en roddels van de werkvloer.
De rechtbank Gelderland heeft bepaald dat een oma op basis van de Algemene Verordening Gegevensbescherming (AVG) binnen tien dagen de foto’s van haar kleinkinderen van Facebook en Pinterest moet verwijderen. De moeder van de kinderen had kort geding tegen de oma aangespannen.
De oma moet de twee foto’s van haar kleinkinderen binnen tien dagen van Facebook en Pinterest verwijderen, oordeelde de rechter. Als ze dat niet doet, moet ze een dwangsom van 50 euro per dag dat de foto’s online staan betalen. Met een maximum van 1.000 euro.
De moeder van de kinderen had vanwege een ruzie al ruim een jaar geen contact meer met de oma. Toen zij ontdekte dat de oma foto’s van haar kinderen op sociale media had gedeeld, gaf ze haar opdracht die te verwijderen.
Het publiceren van de foto’s van de kinderen op sociale media zou volgens de moeder “ernstige inbreuk op hun persoonlijke levenssfeer” inhouden.
De oma gaf meerdere keren geen gehoor aan het verzoek, waarna de moeder naar de rechter stapte
De oma erkent dat zij in het verleden foto’s van haar kleinkinderen op haar Facebook-pagina heeft geplaatst, maar zegt dat zij de privacy van haar kleinkinderen respecteert en dat zij op één foto na inmiddels alle foto’s van Facebook heeft verwijderd.
Tijdens de rechtszaak bleek dat ze ook nog een foto van haar kleinkinderen en hun moeder op een oud Pinterest-account had staan.
Ze verzocht de rechter of zij alleen de ene foto op haar Facebook-pagina mocht laten staan, omdat zij een bijzondere band heeft met het kind, dat een aantal jaren bij zijn oma en opa gewoond heeft.
50 euro boete per dag
De oma had geen toestemming van de moeder van de minderjarige kinderen om de foto’s te plaatsen. Daarmee overtrad de grootmoeder volgens de rechter de privacywet.
Om te voorkomen dat de Algemene Verordening Gegevensbescherming (AVG) een tandeloze tijger is, zijn gretige toezichthouders nodig die niet terugdeinzen voor handhaving van de Europese privacywetgeving. Maar helaas laten vrijwel alle Europese toezichthouders het afweten, concludeert Brave Software Inc.
Brave Software Inc. is het bedrijf dat verantwoordelijk is voor de privacyvriendelijke browser Brave. Deze browser helpt gebruikers pro actief te voorkomen dat internetbedrijven als Google, Facebook, Amazon en Microsoft, en internetcriminelen, ongewenst privacygevoelige informatie kunnen verzamelen.
Brave doet wat sinds de invoering van de Algemene Verordening Gegevensbescherming (AVG) eigenlijk iedere browser standaard zou moeten doen. Gebruikers beschermen. Maar de meest gebruikte browser – Google Chrome – heeft bijvoorbeeld andere commerciële belangen. En Google komt daarmee vooralsnog weg.
Eigenlijk zou nu iedere organisatie die de AVG overtreedt door de Autoriteit Persoonsgegevens (AP) moeten worden bestraft. Zoals horecabedrijven en jongeren die zich niet houden aan de Corona voorschriften. Zoals automobilisten die te hard rijden of fout parkeren ook genadeloos worden gestraft. Genadeloos lik op stuk. Maar dat gebeurt niet.
Volgens Brave Software Inc. doen de Europese toezichthouders zelfs nauwelijks iets. Ze zijn tandeloze tijgers. Fout parkeren en te hard rijden loont bij grote Internationals.
Waarom moeten ziekenhuizen wel torenhoge boetes betalen?
De toezichthouders hebben ondertussen wel snel en genadeloos gereageerd op overtredingen in de zorg. Ziekenhuizen in Duitsland, Portugal en Nederland moesten honderdduizenden Euro boete betalen omdat ziekenhuispersoneel zich niet aan de privacyregels had gehouden.
Waarom zijn kwetsbare zorginstellingen meteen keihard aangepakt, terwijl steenrijke multinationals die doelbewust de privacywet overtreden nog steeds vrijuit gaan?
Bijna alle toezichthouders in de EU beschikken volgens Brave Software Inc. niet over de dringend noodzakelijke middelen – zowel financieel, als personeel – om goed te kunnen functioneren. Waarom? Staatsfalen.
Het rapport is een grote aanval op de lidstaten die het toezicht op de gegevensbescherming verwaarlozen.
Dr. Johnny Ryan, Chief Policy & Industry Relations Officer van Brave, gebruikt in zijn onderzoek veel grafieken om te illustreren dat de EU-lidstaten hun regelgevende instanties niet voorzien van voldoende financiële en personele middelen. De enige uitzondering: Duitsland.
Op 27 april 2020 diende Ryan een klacht in bij de Europese Commissie, waarin hij eiste dat zij een inbreukprocedure zou inleiden tegen 26 lidstaten die zich niet houden aan de afspraken die zijn vastgelegd in de Europese privacywetgeving.
Waarom pakken toezichthouders van Ierland en Luxemburgs Facebook en Amazon niet aan?
Terwijl kleine bedrijven in de hele EU nauwgezet worden gecontroleerd op de naleving van de wetgeving inzake gegevensbescherming, sluiten de Ierse en Luxemburgse toezichthouders volgens Brave Software Inc. de ogen voor de gegevenshooligans Facebook, Google en Amazon die op grote schaal de AVG overtreden en daar twee jaar na invoering van de wet nog altijd niet voor zijn aangepakt.
Brave heeft inmiddels een klacht tegen concurrent Google ingediend. Dat is opmerkelijk en logisch tegelijk, want Brave maakt gebruik van de techniek van de browser Google Chrome. Als Brave daarmee een goede en veilige browser kan bouwen, waarom doet Google dat dan niet ook?
Het kantoor van de Ierse toezichthouder zou sinds 2018 overbelast zijn door meer dan 12.000 klachten over gegevensbescherming, die allemaal moeten worden behandeld. Er zou geen twijfel over bestaan dat er boetes zouden worden opgelegd. Maar de vraag is: Wanneer?
Vrijwel alle Europese toezichthouders moeten bezuinigen
Volgens Brave Software Inc. zou het wel eens tot Sint Juttemis kunnen duren voor de internet multinationals worden aangepakt. De nu al overbelaste toezichthouders moeten namelijk in vrijwel heel Europa bezuinigen op het budget en het personeel!
De Ierse toezichthouder Helen Dixon wijst op de succesvolle interventie ten opzichte van Facebook toen deze zijn eigen dating-app wilde introduceren. Ze benadrukt:
“Er zijn veel verschillende manieren om een positief effect te creëren… Niet iedereen heeft het over boetes en het oppervlakkig commentaar dat we soms zien.”
“AVG is een fantasie“
Dat kan zo zijn. Maar een flinke boete voor de multinationals die al jarenlang parasiteren op de samenleving door illegaal privacy data te verwerken en belasting ontduiken toch ook een goed signaal afgeven.
“Als je geen sterke, robuuste handhaving en investering hebt, is deze wet een fantasie”, zegt Ryan. “Tot nu toe hebben we het potentieel van de AVG niet gerealiseerd.”
Ryan legt de verantwoordelijkheid niet neer bij de regelgevende instanties.
“Als de AVG dreigt te mislukken, ligt de schuld bij de nationale regeringen, niet bij de gegevensbeschermingsautoriteiten.”
Duidelijke woorden
Ryan heeft gelijk, want de AVG definieert duidelijk en ondubbelzinnig wat er aan de hand is. Artikel 52, lid 4, van de AVG luidt als volgt:
“Elke lidstaat zorgt ervoor dat elke toezichthoudende autoriteit beschikt over de personele, technische en financiële middelen, en de bedrijfsruimten en infrastructuur die nodig zijn voor het effectief uitvoeren van haar taken en uitoefenen van haar bevoegdheden, waaronder die in het kader van wederzijdse bijstand, samenwerking en deelname aan het Comité.”
Het is slechts één kant van de medaille om een toezichthoudende autoriteit op te richten – zonder voldoende middelen kan er geen controle plaatsvinden. Reden genoeg om de tekortkomingen waar Brave voor waarschuwde nader te bekijken.
Geen geld, geen actie
Volgens Ryan is het een schending van artikel 52, lid 4, van de AVG dat de toezichthoudende autoriteiten in 26 EU-lidstaten ondergefinancierd zijn.
Dit kan het best worden geïllustreerd aan de hand van het voorbeeld van Luxemburg. Het is de verantwoordelijkheid van de Luxemburgse toezichthoudende autoriteit om toe te zien op de tenuitvoerlegging van de wetgeving inzake gegevensbescherming bij Amazon EU S.à.r.l.
Amazon verdient iedere 10 minuten evenveel als begroting Luxemburgse toezichthouder
De begroting van de Luxemburgse gegevensbeschermingsautoriteit bedroeg in 2019 ongeveer 5,7 miljoen euro. Voor Amazon moet dit bedrag ronduit belachelijk lijken – dit is immers ongeveer het bedrag dat Amazon elke tien minuten aan de verkoop verdient!
De gegevensbeschermingsautoriteiten van de helft van alle lidstaten moeten het redden met minder dan vijf miljoen euro per jaar. Slechts drie staten (Duitsland, Italië, Verenigd Koninkrijk) hebben meer dan 25 miljoen euro budget per jaar. Ter vergelijking: volgens het Brave-rapport ontvangen de Duitse toezichthouders tussen 80 en 90 miljoen euro per jaar!
Besparing op personeel
Volgens Ryan is er ook een tekort aan personeel, vooral aan personeel met de nodige IT-expertise.
Om gecompliceerde IT-vragen op het gebied van gegevensbescherming te kunnen beantwoorden en om grote technische bedrijven te kunnen auditeren, zijn gespecialiseerde medewerkers nodig.
Gegevensbescherming en IT gaan hand in hand. Het is niet voldoende om de gegevensbescherming alleen van de juridische kant te bekijken!
Tekort aan IT-specialisten bij toezichthouders
Er is een tekort aan IT-specialisten bij de toezichthoudende autoriteiten van de EU-lidstaten. In slechts vijf lidstaten (zes als je het Verenigd Koninkrijk meetelt) zijn meer dan tien IT-specialisten in dienst van de gegevensbeschermingsautoriteiten.
Meer dan de helft van alle lidstaten heeft slechts maximaal vijf daarvan in hun toezichthoudende autoriteiten. Zeven landen hebben slechts één of twee IT-specialisten in dienst.
De cijfers voor Oostenrijk (0) en België (5), alsook voor Cyprus (2) en Letland (1) zijn zo laag omdat deze landen gebruik maken van externe IT-consultants.
De cijfers uit Duitsland zijn verbazingwekkend: op federaal en deelstaatniveau is in totaal 29 procent van het in de hele EU beschikbare personeel van de IT-toezichthouder in dienst (meer dan 100). Geen wonder dat Ryan Duitsland heeft uitgesloten van zijn klacht.
De nationale gegevensbeschermingsautoriteiten binnen de EU hebben 3520 mensen in dienst. Slechts 8,6 procent daarvan zijn IT-specialisten. Volgens Dr. Ryan vertraagt dit het onderzoek, waardoor het soms wordt verhinderd.
Als het gaat om digitalisering lijkt de EU niet alleen achter te lopen op de particuliere sector, maar is ze momenteel realistisch beschouwd ook kansloos.
Multinationals hebben alle troeven in handen
Uiteindelijk hebben de gecontroleerde, vaak multinationale ondernemingen gewoon de betere kaarten – de strijd tegen de grote dataslurpers is als de David tegen Goliath met een omgekeerde uitkomst.
Facebook, Google en Co. hebben legioenen advocaten in dienst. Het is begrijpelijk dat de eenzame strijder bij de autoriteiten nauwelijks succes heeft. Hoe dan, financieel ongewapend?
In veel gevallen durven de regelgevende instanties niet eens de grote technische bedrijven te benaderen uit angst dat hun maatregelen worden aangevochten. Eeuwige correspondentie, lange juridische procedures. De multinationale dataslurpers lachen er om. Ze hebben geld zat. Miljarden euro’s. Bij hen gaat het om ingecalculeerd risico. Ook als ze verliezen en een torenhoge boete zouden moeten betalen maken ze nog steeds winst. En ze weten ook nog eens dat de toezichthouders amper geld hebben om tegen hen te kunnen procederen.
Bovendien behoren de administratieve juristen die voor de toezichthoudende instanties voor gegevensbescherming werken niet bepaald tot de topverdieners in de juridische wereld – de wereldwijde spelers kunnen alleen maar lachen om hun salaris. Goed personeel is niet goedkoop.
Waar leidt het allemaal naartoe?
Als de meerderheid van de toezichthoudende autoriteiten in de EU-lidstaten door een gebrek aan financiële en personele middelen wegzakken in het moeras van duizenden en duizenden klachten, is de AVG gedoemd te mislukken. Als de autoriteiten inactief blijven, hebben dataslurpers als Amazon, Facebook en Google de vrije hand. De Algemene Verordening Gegevensbescherming is dan niet meer waard dan het papier waarop ze is geschreven.
De Autoriteit Persoonsgegevens (AP) heeft een boete van 725.000 euro opgelegd aan een bedrijf voor het onrechtmatig afnemen van vingerafdrukken van haar medewerkers en het gebruik van vingerscans. Het is de hoogste boete die de AP tot dusver heeft opgelegd.
Het HagaZiekenhuis in Den Haag kreeg op 16 juli 2019 als eerste organisatie in Nederland een forse boete van 460.000 euro opgelegd.
Het Haagse ziekenhuis kwam in opspraak toen bleek dat 85 medewerkers het patiëntendossier hadden ingezien van Samantha de Jong, bekend als realityster Barbie.
Tijdregistratie met vingerafdruk
Op 5 juli 2018 ontving de AP een melding dat een bedrijf werknemers verplicht had om hun vingerafdruk te laten scannen. Uit de melding bleek dat werknemers met behulp van een vingerafdruk in- en uit moesten klokken.
Naar aanleiding van dit signaal is de AP eind oktober 2018 een onderzoek gestart naar de naleving door van artikel 9 van de Algemene verordening gegevensbescherming (AVG). Dit artikel gaat onder meer over het verbod op de verwerking van biometrische gegevens, zoals een vingerafdruk.
De AP heeft daarom onder meer een onderzoek ter plaatse bij het bedrijf verricht.
Gebruik biometrische gegevens is verboden
Het waarborgen van de privacy van een individu is van groot belang bij de inzet van biometrie. Biometrische gegevens, zoals een vingerafdruk, zijn namelijk bijzondere persoonsgegevens in de zin van artikel 9 AVG. Dit zijn persoonsgegevens die door hun aard bijzonder gevoelig zijn omdat de verwerking ervan significante risico’s kan meebrengen voor de grondrechten en de fundamentele vrijheden van mensen.
Unieke lichaamskenmerken zoals een vingerafdruk zijn bovendien te herleiden naar één individu. Ook bevatten biometrische gegevens vaak meer informatie dan strikt noodzakelijk is voor bijvoorbeeld identificatie.
Het verwerken van biometrische persoonsgegevens verdient volgens de AP specifieke bescherming. Op grond van artikel 9 AVG is de verwerking van biometrische gegevens daarom verboden, tenzij een van de limitatief opgesomde uitzonderingen van artikel 9, lid 2, AVG zich voordoet.
De Belgische gegevensbeschermingsautoriteit (DPA) heeft een onderneming 50.000 Euro boete opgelegd omdat zij het hoofd van de afdeling Compliance, Audit en Risk heeft aangesteld als Data Protection Officer (DPO).
Volgens de Belgische gegevensbeschermingsautoriteit kan er geen twijfel over bestaan dat “de combinatie van de rol van DPO met die van hoofd van een afdeling die aan het toezicht van de DPO is onderworpen, de DPO ervan weerhoudt onafhankelijk te handelen.”
De uitspraak van de Belgische toezichthouder betekent dat het schier onmogelijk wordt om de rol van DPO te combineren met enige andere functie binnen een organisatie.
Als de DPO te hoog in de organisatie zit kan de gegevensbeschermingsautoriteit beweren dat hij/zij ook beslist over het doel en de middelen.
Als de DPO op een te operationeel niveau zit zou de gegevensbeschermingsautoriteit kunnen beweren dat hij/zij te veel betrokken is bij de eigenlijke verwerkingsactiviteiten (en dat hij/zij niet in staat is om rechtstreeks aan het hogere management te rapporteren).
Een oplossing voor dit probleem die steeds meer terrein wint is het zogenaamde accountantsmodel: intern een stevige Privacy Office met extern een toetsende en adviserende DPO.
Een ziekenhuis in de Duitse deelstaat Rijnland-Palts heeft een boete van 105.000 euro geaccepteerd die is opgelegd voor verschillende overtredingen van de privacywet.
De commissaris voor gegevensbescherming van Rijnland-Palts, Dieter Kugelmann, wil met de boete het signaal af geven “dat de toezichthoudende autoriteiten voor gegevensbescherming bijzonder waakzaam zijn op het gebied van de omgang met gegevens in de gezondheidszorg”.
De schendingen van de Algemene Verordening Gegevensbescherming (AVG) kwamen aan het licht na een “verwisseling van patiënten tijdens de opname”. Als gevolg daarvan had het ziekenhuis een onjuiste factuur opgesteld, die “structurele technische en organisatorische tekortkomingen in het patiëntenbeheer” aan het licht bracht.
Kugelmann is tevreden over de inspanningen van het ziekenhuis om het beheer van de gegevensbescherming te ontwikkelen en te verbeteren. “Het is voor mij belangrijk dat er aanzienlijke vooruitgang wordt geboekt op het gebied van de bescherming van gezondheidsgegevens, gezien de bijzondere gevoeligheid van gegevens”, aldus Kugelmann.
Het HagaZiekenhuis in Den Haag tekent protest aan tegen de hoge boete van 460.000 Euro die de Autoriteit Persoonsgegevens (AP) heeft opgelegd. Het ziekenhuis kreeg de boete omdat medewerkers onbevoegd in het medisch dossier van tv-ster Samantha de Jong (Barbie) hadden gekeken. Zij was er opgenomen na een zelfmoordpoging.
Volgens voorzitter Aleid Wolfsen van de Autoriteit Persoonsgegevens blijkt uit onderzoek naar de manier van werken in het Haagse ziekenhuis dat de beveiliging van medische gegevens nog steeds niet op orde is. ,,Wat we hebben aangetroffen is een zeer zorgelijke situatie”, zegt Wolfsen tegen EenVandaag. ,,De beveiliging is echt onder de maat. Er wordt niet goed gecontroleerd, mensen kunnen te gemakkelijk bij die medische dossiers.”
Directievoorzitter Carla van de Wiel van het ziekenhuis zegt het zuur te vinden dat het geld nu niet aan patiëntenzorg kan worden besteed. Zij zegt er in een schriftelijke verklaring alles aan te doen om de dwangsom te vermijden van nog eens vele duizenden euro’s waarmee de Autoriteit Persoonsgegevens (AP) dreigt als het ziekenhuis niet binnen korte tijd er voor zorgt dat persoonsgegevens van patiënten beveiligd worden zoals is vastgelegd in de privacywet.
Het ziekenhuis heeft maar liefst 85 ziekenhuismedewerkers bestraft voor het neuzen in het medische dossier van Barbie.
Het ziekenhuis zegt nu de interne beveiliging van patiëntendossiers verder aan te scherpen. Dat is hard nodig, want twee van de in totaal zes onderdelen worden als niet afdoende beoordeeld door de Autoriteit Persoonsgegevens.
Wat er onder meer ontbrak aan de eigen beveiligingsregels was dat er in veel gevallen al ingelogd kon worden met gebruik van enkel gebruikersnaam en wachtwoord.
Eigenlijk zou je pas toegang tot de dossiers moeten krijgen na invoering van gebruikersnaam, wachtwoord én controle van personeelspas en pincode.
Wie met gebruikersnaam en wachtwoord inlogde had bovendien vier uur toegang tot bepaalde gegevens. De bedoeling is dat er in die tijd vaker opnieuw ingelogd moet worden en ook dat de controle op het inloggen vaker moet plaatsvinden.
Het HagaZiekenhuis zegt de nu nog ontbrekende extra controle op het inloggen van medewerkers in dossiers voor oktober aangescherpt te hebben.
Die deadline is ook nodig om te voorkomen dat er bovenop de boete nog een dwangsom moet worden betaald die kan oplopen tot nog eens vele duizenden euro’s.
De Autoriteit Persoonsgegevens (AP) heeft het HagaZiekenhuis in Den Haag een boete van 460.000 euro opgelegd wegens schending vam de Algemene Verordening Gegevensbescherming (AVG). Het is de eerste boete die sinds de invoering van de wet op 25 mei 2018 in Nederland is opgelegd.
De boete kan nog met maximaal 300.000 euro verhoogd worden.
Het Haagse ziekenhuis kwam eerder dit jaar in opspraak toen bleek dat 85 medewerkers het patiëntendossier hadden ingezien van Samantha de Jong, bekend als realityster Barbie.
Het HagaZiekenhuis krijgt tot 2 oktober om de interne beveiliging te verbeteren. Lukt dat niet, dan moet het ziekenhuis elke twee weken nog eens 100.000 euro betalen, tot een maximum van 300.000 euro.
De boete die de Nederlandse AP nu heeft opgelegd is vergelijkbaar met de boete die de Portugese Autoriteit Persoonsgegevens vorig jaar op heeft gelegd aan het Centro Hospitalar Barreiro Montijo ziekenhuis in de buurt van Lissabon. Dit ziekenhuis kreeg een boete van 400.000 euro wegens onzorgvuldig omgaan met patiëntengegevens.
Het ziekenhuis heeft inmiddels stappen gezet om herhaling te voorkomen. Personeel wordt getraind om gedrag van collega’s, patiënten en bezoekers die de privacy in gevaar brengen te herkennen.
De AP bevestigt dat dit de eerste keer is dat een Nederlandse instantie een boete krijgt onder de AVG, die sinds mei vorig jaar in werking is.
De boete die in november werd uitgedeeld voor een zaak rond taxistartup Uber werd nog afgehandeld onder de oude Nederlandse privacyregels. “Dit is de eerste volledige AVG zaak”, bevestigt een woordvoerder.
De Autoriteit Persoonsgegevens van Roemenië heeft op 27 juni 2019 op basis van de Europese privacywet een boete van 130.000 euro opgelegd aan de UniCredit Bank.
De UniCredit Bank is beboet omdat in 2018 door een datalek de gegevens van meer dan 337.000 personen onrechtmatig aan derden werden doorgegeven.
UniCredit is een Italiaanse bank met activiteiten in 17 landen. Het bedrijf telde eind 2016 ongeveer 120.000 voltijdsmedewerkers verdeeld over 6200 kantoren.
De belangrijkste markt is Italië en verder is het bedrijf goed vertegenwoordigd in West- en Oost-Europa. De bank had eind 2016 een balanstotaal van 860 miljard euro.
Facebook is in Italië veroordeeld tot een boete van tien miljoen euro wegens het overtreden van de Algemene Verordening Gegevensbescherming (AVG). De boete is opgelegd door de Italiaanse mededingingsautoriteit AGCM.
AGCM beschuldigt Facebook van een agressieve handelspraktijk omdat de mogelijkheid om op andere sites en applicaties in te loggen met Facebook-accountgegevens vooraf is ingesteld zonder de uitdrukkelijke toestemming van de gebruiker.
De door Facebook geplande opties voor het deselecteren van de functie voldoen niet aan de eisen van de ACG.
