Gegevensbescherming geschonden WhatsApp betaalt boete van 225 miljoen euro

Volgens de Ierse gegevensbeschermingsautoriteit zou WhatsApp een recordboete moeten betalen voor het overtreden van de Algemene Verordening Gegevensbescherming. Het bedrag is alleen zo hoog omdat andere Europese gegevensbeschermingsautoriteiten in opstand zijn gekomen tegen laks Iers toezicht.

De messenger-provider WhatsApp moet naar verwachting een boete van 225 miljoen euro betalen, zo maakte de Ierse gegevensbeschermingsautoriteit vandaag bekend . De Facebook-dochter heeft de Algemene Verordening Gegevensbescherming (AVG) overtreden, is het resultaat van een meerjarig onderzoek. Het is de hoogste boete die ooit is opgelegd door de Irish Data Protection Commission (DPC).

WhatsApp heeft transparantie-eisen geschonden en onder meer illegaal gegevens uitgewisseld tussen WhatsApp en andere Facebook-bedrijven, zoals adresboeken. Dit schendt niet alleen de rechten van WhatsApp-gebruikers, maar ook die van mensen die de messenger-service helemaal niet gebruiken. WhatsApp heeft aangekondigd juridische stappen te ondernemen tegen het besluit.

Losse Ierse Autoriteit

Dat het überhaupt zo ver is gekomen, is terug te voeren op aandringen van andere Europese autoriteiten. Oorspronkelijk wilde de Ierse toezichthouder de provider een boete van 30 tot 50 miljoen euro opleggen. Dozijnen andere gegevensbeschermingsautoriteiten protesteerden echter tegen de lakse aanpak, waaronder verschillende Duitse staatsfunctionarissen voor gegevensbescherming en de federale commissaris voor gegevensbescherming en vrijheid van informatie.

Het geschil moest uiteindelijk worden beslecht door het Europees Comité voor gegevensbescherming, dat bestaat uit de nationale gegevensbeschermingsautoriteiten en de Europese Toezichthouder voor gegevensbescherming. In een bindend besluit gaf het EU-orgaan aan dat de aanvankelijk opgelegde boete veel te laag was. Ook achter de schermen zouden de Ieren onder zware druk hebben gestaan ​​om harder op te treden tegen een van de grootste messaging-providers ter wereld, meldt de Irish Times .

Veel digitale bedrijven hebben hun Europese hoofdkantoor in Ierland, dus de lokale toezichthoudende autoriteit voor gegevensbescherming is verantwoordelijk voor hen. Hier is al jaren kritiek op . Enerzijds omdat het de middelen ontbeert om snel op klachten te reageren, anderzijds omdat het bij grote digitale bedrijven vaak opvallend mild is.

Eerste grote boete

De gegevensbeschermingsactivist Max Schrems van de ngo noyb juicht het besluit van de Ierse toezichthouder toe, maar relativeert het: de DPC krijgt sinds 2018 zo’n tienduizend klachten per jaar binnen, maar legt nu pas de eerste grote boete op. Pas na tussenkomst van andere Europese gegevensbeschermingsautoriteiten verhoogde ze de boete tot 225 miljoen euro.

“Zelfs de 225 miljoen is nog maar 0,08 procent van de omzet van de Facebook-groep”, zegt Schrems in een verklaring . “De AVG voorziet in boetes tot 4 procent van de omzet. Het laat allemaal zien dat het Ierse Agentschap voor gegevensbescherming nog steeds extreem disfunctioneel is”, aldus Schrems. De NGO zal deze zaak nu nauwlettend volgen om ervoor te zorgen dat de gegevensbeschermingsautoriteit dit besluit ook daadwerkelijk uitvoert.