Proximus krijgt recordboete van 50.000 euro voor schenden van AVG

De Belgische Gegevensbeschermingsautoriteit heeft Proximus een boete van 50.000 euro gegeven voor een belangenconflict van zijn functionaris gegevensbescherming. Dit conflict is in strijd met de implementatie van de Europese privacywet. Het is de hoogste AVG-boete in België.

De FG van Proximus zou volgens de GBA een dubbelrol hebben gespeeld bij Proximus. L'Echo citeert de directeur van de geschillenkamer van de GBA, die zegt dat de functionaris van Proximus zowel een adviserende rol had als een uitvoerende rol. Volgens de Belgische AVG-implementatie mag een FG alleen adviseren, maar zelf dus geen beslissingen nemen.

Volgens Computable was het al eerder duidelijk dat de GBA een recordboete had opgelegd, maar was het nog niet duidelijk welke partij deze boete had gekregen. Proximus had toen al bevestigd dat de provider een AVG-boete had gekregen. Proximus zei begin deze maand overtuigd te zijn dat hun handelingen in overeenstemming waren met de privacywet, maar legt zich toch bij de boete neer.

De GBA zou op het belangenconflict zijn gestuit, na een onderzoek naar aanleiding van een data-inbreuk. Toen bleek dat het hoofd compliance, risk & audit ook de FG bij de provider was. Hoewel de 50.000 euro voor België een recordboete is, is het dat Europees gezien niet. Zo kreeg een bedrijf dat vingerafdrukken van werknemers verzamelde in Nederland een boete van 725.000 euro opgelegd. In Frankrijk kreeg Google een boete van 50 miljoen euro, vanwege de onduidelijkheid over de verwerking van data.

Reacties (77)

[MrBasta]

Wat een lachertje "Dat brengt het totale aangekondigde dividend over het resultaat van 2019 op 486 miljoen EUR" een boete van 0.01% van hun uitgekeerde dividend aan de aandeelhouders - dat zal ze leren!

bron: https://www.vfb.be/vfb/Me...%202019%20(21.2.2020).pdf

EDIT: Berekening verbeterd n.a.v. Gunther.S

[Reactie gewijzigd door MrBasta op 22 juli 2024 15:10]

[uip]

Oh, maar de imagoschade is een stuk groter dan die 50.000 euro ...

[shadowfox]

Dat kan je helaas niet berekenen en daar worden de "slachtoffers" niet echt mee geholden.
Proximus hield vol dat ze volgens de wet handelden, maar gaan de "monsterboete" van 50.000 wel gewoon aanvaarden? Riiiiight ... Proximus wist maar al te goed dat ze niet correct bezig waren en zijn heel blij dat die monsterboete een paar uur later al is terug verdient.

Trouwens, 50.000 dat is zelfs geen jaarloon voor een DPO, dus als ze die functie kunnen uitsparen en jaarlijks die boete betalen halen ze er nóg profijt uit.

[Verwijderd]

Dat kan je helaas niet berekenen en daar worden de "slachtoffers" niet echt mee geholden.

Leg dan een uit wie de 'slachtoffers' zijn en welke werkelijke schade ze geleden hebben?

[shadowfox]

Lijkt me redelijk duidelijk, Proximus zijn klanten zijn de slachtoffers. En die hebben (voor zover bekend) nog geen echte schade geleden, maar de kans op schade is wel reëel.

[Verwijderd]

Er is wel schade. Die DPO heeft het afgelopen jaar zijn functie niet correct kunnen uitvoeren. Daardoor is er nagelaten bepaalde beslissingen te nemen i.v.m. privacy. Die zouden er anders wel geweest zijn. Dus schade. Alleen kan je dat moeilijk juridisch hard maken.

[MSalters]

Nee, dat is juridisch geen "schade". Schade is óf materieel, of immaterieel. Materiële schade is simpel, die is er hier niet. (Welke goederen zijn er kapot?) Immateriële schade moet geleden zijn door specifieke personen die kwantificeerbaar hebben geleden. Welke personen zijn dat, en wat was hun concrete leed?

Het "uitblijven van DPO beslissingen" is daarom noch materieel, noch immateriele schade.

[kimborntobewild]

Privacybelangen zijn geschaadt; natuurlijk is er dan schade.
Alleen moet die nog gekwantificeerd worden. Bijv. middels educated guessing.
Dat het moeilijk te berekenen is, lijkt mij geen reden om niet een schadebedrag te kunnen berekenen middels een gedegen schatting.
Werkt de thuiskopie-heffing op datadragers in NL niet op dezelfde manier?

[Reactie gewijzigd door kimborntobewild op 22 juli 2024 15:10]

[MSalters]

"Privacy belang" is geen goed en kan niet beschadigd worden. Zo werkt de wet nu eenmaal. Je kunt er geen deuk in slaan. Er is dus ook niemand die een prijsofferte kan opgeven voor uitdeuken.

De thuiskopie-heffing is een expliciete wet juist omdat je niet zomaar via "educated guessing" schadevergoedingen kunt eisen. Het bestaan van dat soort speciale wetten onderstreept des te meer dat je zonder zo'n speciale wet terugvalt op de normale regel.

[bbob]

Divident is misschien minder maar de grootaandeelhouder van proximus is jawel de Belgsiche overheid. Waar denk je dat die 50.000 euro boete naartoe gaat, jawel naar de Belgsiche overheid.

[Gunther.S]

50k / 500M = 0.0001= 0.01%, niet 0.0001%.
Factor 100 (%) verschil. Maar inderdaad, zet nog steeds weinig zoden aan de dijk.

[shadowfox]

En ondertussen mag ik 5~10% van mijn loon afgeven omdat ik ergens in een moment opname 10km/u te snel reed, waarmee nota bene geen slachtoffers mee zijn gemaakt.

[Deralte]

Dat werkt wel ontradend... die boete van proximus is wat anders. Toch ben iker van overtuigd dat ze dit bedrag niet “met plezier” overmaken. 50000€ blijft een hele rekening.

[grrfield]

Je zou eens moeten weten hoeveel van je loon je zal moeten afgeven als je wel een slachtoffer had gemaakt.

[shadowfox]

Ik kan dat slachtoffer net zo goed maken aan de toegelaten snelheid ...

[Blubkens]

Als je nu eens 10km/h te langzaam rijdt heb je dat probleem niet.

[antimorian]

Daar heeft den Haag toch al voor gezorgd met die milieu gekkies? Oh nee das 30km/u minder! Nog even en we moeten maar op de fiets.....

[Verwijderd]

Financieel niet erg indrukwekkend, maar CEO's vinden ook een lage boete niet leuk: alsof ze door de leraar in de hoek worden gezet. Ofwel: gezichtsverlies.

[webhalla]

De boete is wellicht minimaal, het is echter de eerste keer dat een autoriteit de onafhankelijke rol van de functionaris voor de gegevensbescherming (fg) binnen een organisatie bekrachtigt door het gelijktijdig uitvoeren van een conflicterende rol te bestraffen.

[Transportman]

Kan iemand uitleggen waarom zo een dubbelrol niet mag in België? Ik zie er namelijk niet meteen een probleem in.

[CAPSLOCK2000]

Een DPO moet onafhankelijk zijn en een naar de beveiliging van data kijken en daarbij geen andere belangen meewegen zoals de vraag hoeveel iets kost of wat de aandeelhouders er van vinden. Dat zijn ook belangrijke vragen maar die veranderen niks aan de vraag of iets veilig en volgens de wet is of niet. Het afwegen van de belangen moet iemand anders doen maar eerst moet je zorgen dat de feiten duidelijk zijn.

Een DPO moet ook alarm kunnen slaan als het fout gaat. Dat lukt natuurlijk niet als de DPO zelf de uitvoerende is. Alarm slaan doe je over het werk van anderen.

[Verwijderd]

Een DPO moet ook alarm kunnen slaan als het fout gaat. Dat lukt natuurlijk niet als de DPO zelf de uitvoerende is. Alarm slaan doe je over het werk van anderen.

Eigenlijk moet een DPO dan ook juridische bescherming en jarenlange compensatie in de vorm van loon genieten tegen onrechtmatig ontslag net zoals bv. vakbondsafgevaardigden dat ook genieten.

Een baas kan namelijk een DPO onder druk zetten door te dreigen met ontslag. Dat zal zeker ook gebeuren. Bazen doen zoiets absoluut wel wanneer het om hun bonussen en winsten gaat.

Eigenlijk zou ik er voorstander van zijn dat kaderfiguren gevangenisstraffen kunnen krijgen bij het minste dat zo'n figuur onder druk gezet wordt. Zelfs bij schijn.

[Arnoud Engelfriet]

Dat heeft ie ook, een functionaris gegevensbescherming geniet ontslagbescherming (artikel 7:670 lid 10 sub d BW) vanwege zijn onafhankelijkheid. Hij kan niet worden ontslagen of gestraft voor de uitvoering van zijn taken. Het niet (meer) bezitten van de benodigde professionele kwaliteiten kan wél een grondslag zijn voor ontheffing uit zijn aanstelling als functionaris, maar dat is een hele hoge lat. Daarnaast is het alleen mogelijk om een FG te ontslaan wegens dringende redenen, zeg maar diefstal, aanranding et cetera op het werk.

Je moet als FG wel goed in je schoenen staan tegen zulke druk, maar dat is deel van je werk. Daarbij moet je niet vergeten dat je adviseert: de baas beslist, alleen moet hij in het besluit jouw advies meenemen. Negeert hij je advies dan gaat hij welbewust de AVG schenden en dat leidt tot persoonlijke aansprakelijkheid van de directeur.

Je kunt een FG vast wegpesten als je hard genoeg je best doet, maar een beetje FG houdt daar een dossier van bij en loopt dan met enkele tonnen ontslagvergoeding weg. En die rechtszaak is openbaar, en het wereldje der FG's is klein. En dan zit je als bedrijf én met reputatieschade én zonder FG, wat tegen je wettelijke plicht is. En dan is de AP wellicht bureaucratisch maar dit is makkelijk scoren. Het lijkt me dus niet zakelijk handig.

[bbob]

Het is idd een mooi verhaal en moet zou zijn.

Probleem met dubbelrollen in België is dat dubbelrollen bijna ingebakken zijn. Politici met bijbaantjes bij bedrijven. De Staat is eigenaar van Proximus dus de boete is broekzak vestzak.
De telecom waakhond (schoothond) zit vol oud werknemers van bedrijven die ze moeten controleren.

Maar goed ze krijgen een boete, maar het corrupte Belgsiche systeem met dubbelrollen in andere vormen blijft natuurlijk gewoon bestaan. De consument in België schiet er weinig mee op.

[Mombasa]

De Belgische staat is "slechts" voor 53,51% aandeelhouder. Het is dus voor maar 53,51% een broekzak vestzak operatie.

[abroes]

Klopt niet echt wat je zegt.

De Belgische staat is inderdaad slechts gedeeltelijk aandeelhouder van Proximus. Maar het is niet de staat als entiteit, maar de aandeelhouders van Proximus die het geld van de boete mislopen.

Met andere woorden, de staat misloopt 53,51% van dat bedrag als aandeelhouder, maar steekt wel 100% van het boetebedrag op zak als overheid. Ofwel: een winst van 86,88% in vergelijking met wat het anders zou verdiend hebben op dat bedrag mocht dat uitgekeerd worden.

[supersnathan94]

Waardoor je dus zou kunnen stellen dat er wel degelijk belangenverstrengeling is bij het uitdelen van deze boete.

best wel complexe materie dus.

[bbob]

Dat is dan een grote tegenvaller

[mbbs1024]

Als je echte onafhankelijkheid wil, mag een DPO dus onder geen enkele vorm door een bedrijf vergoed worden, en zou het een door de overheid betaalde onafhankelijke auditor moeten zijn.
Geen enkel bedrijf voldoet daar volgens mij aan.
Elke door een bedrijf betaalde DPO is per definitie niet onafhankelijk, als hij/zij aanbevelingen maakt of aan alarmbellen trekt die de bedrijfsleiding niet zinnen, kan hij/zij snel vervangen worden door iemand die wat minder kritisch is.

[webhalla]

Wanneer ik Uw lijn doortrek, hoe onafhankelijk is de accountantsverklaring dan? Dit is ook een betaalde opdracht, weliswaar niet uitgevoerd door iemand die direct in loondienst is van de opdrachtgever.

[Stufferdt]

Omdat je door een dubbelrol de schijn tegen hebt dat je het controlemechanisme niet kan handhaven. "slager keurt zijn eigen vlees". De DPO is er juist om toe te zien op een correcte implementatie en naleving van de GDPR/AVG/privacyrechtgeving. In bovenstaande geval gaat het over de manager compliance/risk/audit die ook DPO is. Ik kan mij voorstellen dat zijn doelstellingen op riskvlak best eens kunnen botsen met privacywetgeving, waardoor deze persoon in een spagaat belandt: kies ik voor het halen van mijn afdelingsdoelstelingen of kies ik voor privacy?

[SMGGM]

Omdat beide rollen een conflict kunnen opleveren.
Bij ons is security ook een adviesgevend orgaan. Ik zal (als product owner / manager) beoordeeld worden op het opleveren, sales / marketing cijfers,.... Als ik beide rollen heb zal ik dan een conflict hebben in wat mij persoonlijk het belangrijkste lijkt en mogelijk dingen onder de mat schuiven. Door het een onafhankelijk persoon toe te kennen krijg je normaal een correcter beeld van de status.

Adviesgevend orgaan wilt niet zeggen dat ik ze zomaar mag negeren en alsnog mijn ding doen. De DPO zou de ondersteuning moeten krijgen van directie en zou dus moeten kunnen escaleren indien zijn advies genegeerd wordt.

[Jeroenzer]

ik vermoed belangenverstrengeling ?

Waar ik bijvoorbeeld werk heb je een afdeling, allemaal de zelfde collega's maar zij mogen niet bij elkaar komen op de vloer(kantoor/kamer) vanwege research en dergelijke waarmee een profijt kan worden genomen door andere collega's

[Reactie gewijzigd door Jeroenzer op 22 juli 2024 15:10]

[StefanJanssen]

Het mag niet in Europa. De DPO moet "onafhankelijk" zijn en als je bij hetzelfde bedrijf een uitvoerende taak hebt ben je niet meer onafhankelijk.

[mbbs1024]

Hoe onafhankelijk ben je als je voor het bedrijf werkt en betaald wordt ?????

[yabatopia]

Wat is de FG van Proximus? De Fiber Goeroe? De Friturist Generaal? Voor wie niet zo vertrouwd is met het juridisch jargon van de privacy-wetgeving, zou het artikel een pak leesbaarder zijn als sommige afkortingen niet zo als vanzelfsprekend werden verondersteld.

De FG van Proximus is dus de Functionaris voor Gegevensbescherming, iemand die binnen het bedrijf wordt aangesteld om toe te zien op de databescherming.

GBA staat blijkbaar niet voor het vroegere Germinal Beerschot Antwerpen, maar voor de Belgische overheidsdienst GegevensBeschermingsAutoriteit, sinds eind 2018 de opvolger van de Commissie voor de bescherming van de persoonlijke levenssfeer. Na iets meer dan anderhalf jaar is deze afkorting nog niet zo bekend bij het brede publiek.

En omdat nog altijd het handig is dat alle gebruikte afkortingen in een artikel eens voluit worden geschreven: AVG is de Algemene Verordening Gegevensbescherming, de Europese regelgeving voor de verwerking van persoonsgegevens door particuliere bedrijven en overheidsinstanties.

[Deralte]

Dank voor de toelichting. Scheelt me weer wat opzoekwerk

[Bender]

Het accepteren van de jaarlijkse boete lijkt goedkoper te zijn van het aanstellen van een extra personeelslid, dus dit houd het alleen in stand lijkt mij.

[SMGGM]

Dit is een boete en daar hangt vaak ook aan vast dat je een plan moet hebben om dit probleem op te lossen. Als je dit niet doet, dan zal de audit later opnieuw een boete uitschrijven die mogelijk een pak hoger zal zijn als de eerste (want dan is het gewoon van slechte wil zijn).

[Napo]

Dit is in bepaalde gevallen al het proces voordat de boete wordt gegeven. Er wordt een audit gedaan en indien er een probleem is krijg je een aanzegging en een bepaalde periode om het probleem te verhelpen. Verhelp je het probleem niet of niet voldoende dan volgt de daadwerkelijke boete.

[De Fluppe]

Dit record zal nog wel een paar keer scherpgesteld worden. Bij zware of herhaaldelijke schendingen van de GDPR kan de boete oplopen tot maximaal 20 miljoen euro of 4% van de jaarlijkse wereldwijde omzet. Hoe Google daar in Frankrijk boven is kunnen gaan is me niet duidelijk.

[Reactie gewijzigd door De Fluppe op 22 juli 2024 15:10]

[Thijsmans]

Het hoogste maximum geldt: 10 miljoen of 2% van de wereldwijde jaaromzet. Idem voor de overtredingen van 20 miljoen of 4%.

[siddler]

Volgens mij is de maximum boete gelijk aan het meerdere van € 20m of 4% van de (wereldwijde) omzet. Bron

[pang-frang-punk]

Het gaat niet om de laagste, maar de hoogste van de twee als limiet. Daarom.

[mark-k]

50k een recordboete, lol, dat is wisselgeld voor zo'n bedrijf. Hiermee geef je een goed statement af dat je gewoon je gang kan gaan met regels aan je laars lappen...

[BiLLY_daKid]

50k, verplicht verbeterplan. Daarna opnieuw controle plus wat extra controles. Worden wel wat kosten gemaakt door het bedrijf num

[AibohphobiA BoB]

Misschien wel, alleen lijken ze er niet erg van te leren.

Proximus zei begin deze maand overtuigd te zijn dat hun handelingen in overeenstemming waren met de gdpr, maar legt zich toch bij de boete neer.

Het klinkt een beetje als een kind dat zegt toch gelijk te hebben en niet als iemand die wat opgestoken heeft.

[Kenhas]

Tja, Proximus kan ook gewoon een punt hebben.
Het mag zich dan nog als een kind gedragen, een kind kan ook gelijk hebben

[AibohphobiA BoB]

Dan moet je niet janken maar in beroep gaan. Nu willen ze gewoon jengelen voor de bühne.

[MrFax]

Waarom zouden ze in beroep gaan voor een bedrag van 50000 euro? Hun statement was erg slim: Ze geven ze geen gelijk, maar leggen zich bij de boete neer omdat het zo laag is.

Dat je je bij de boete neerlegt zegt juridisch niet dat je ze gelijk geeft.

[Cosmic Toad]

Slim? Doorzichtige juridische clichépraat in de categorie ‘wij herkennen ons niet in het beeld dat van ons geschetst wordt’. Dit is standaard juristentaal van bedrijven die weten dat ze fout zitten en hopen dat de negatieve publiciteit zo snel mogelijk overwaait. Daarnaast heeft Proximus niet de autoriteit om wie dan ook ‘juridisch gelijk’ te geven. Degenen die die autoriteit wél hebben, hebben een duidelijk oordeel geveld waarbij het bedrijf zich heeft neergelegd. Naast de boete zullen ze ook beterschap moeten tonen: de toezichthouder zal om een gedetailleerd verbeterplan vragen en controleren dat hier uitvoering aan wordt gegeven. Dat is standaardprocedure bij overtredingen van de AVG. Als Proximus dacht dat ze in hun gelijk stonden, hadden ze de beslissing echt wel aangevochten. Maar ja, voor de bühne moeten ze natuurlijk wel even hun straatje schoonvegen. Het toegeven van fouten zet immers de deur open voor allerlei rechtszaken en claims van gedupeerden. Dat gaan ze dus nooit doen.

TL;DR: Voorspelbare poppenkast.

[MrFax]

Dat was precies wat ik bedoelde: Ze leggen zich bij de boete neer, maar ze geven ze geen gelijk. Het kost ze namelijk meer geld om door te procederen(en dan waarschijnlijk alsnog te verliezen).

[AibohphobiA BoB]

Je bevestigd precies mijn punt (dank daarvoor).
Ze hebben er dus niet van geleerd.

[mbbs1024]

Klinkt een beetje als een Bart De Wever die zegt dat hij het vertikt om de corona maatregelen van de regering toe te passen.

[Verwijderd]

Nonsense, als je dat blijft doen kan de boete in de geval oplopen to ettelijke miljoenen.
Ik snap niet waarom tweakers zo vaak denken dat bedrijven de wet overtreden als het voordelig voor ze is. In de praktijk is dat gewoon niet zo, aandeelhouders zijn als de dood voor de imagoschade en de koerswaarde.

[MSalters]

Imagoschade is tot daar aan toe. Bedrijven kunnen ook uitgesloten worden van aanbestedingen. Nu is het nooit zeker dat je een aanbesteding wint, dus die schade hard maken is lastig, maar dat kan om grote bedragen gaan.

[justmike]

Een recordboete ? Ik vind 50K eerder goedkoop voor een bedrijf van die omvang.

[TijsZonderH]

Record als in, het hoogste boetebedrag in België tot nu toe.

[Bensimpel]

Toont aan dat in Belgie ze nog wat te leren hebben over Privacy.

[DarkJack]

50k is chump change voor Proximus, niet meer dan een slap on the wrist. Het feit dat het een "recordboete" is, komt gewoon omdat er amper GDPR gerelateerde boetes uitgeschreven zijn in België.

Nu goed, dit is ook een zeer kleine infraction, het is niet alsof er klantendata gelekt is, dit is gewoon een governance probleem.

[grrfield]

"Gewoon" een governance probleem? Dit is volgens mij toch echt wel een serieus te nemen probleem. De overtreding kan ook niet duidelijker dan dit vastgesteld worden, me dunkt. Als je twee petjes hebt...

[Yabada]

Voor dit soort bedrijven is het een een simpele risico inschatting. Hoe groot is de kans te worden gepakt en wat is de sanctie als je wordt betrapt? In dit geval is de boete een lachertje, dus gaan ze ook geen tijd/mensen/geld aan besteden. Maak de boete minimaal 10% van hun omzet en iedereen is weer bij de les.

[PdeBie]

Zouden ze met sommige verkeersovertredingen ook mogen doen. Net als in, ik geloof, zwitserland inkomensafhankelijk maken.

[NielsFL]

50K is welgeteld 1 full-time administratieve medewerker. Niet echt heel spannend voor een bedrijf als Proximus.