De Belgische Gegevensbeschermingsautoriteit geeft een boete van 50.000 euro aan een Belgisch bedrijf dat in het land de zogeheten roze dozen levert aan nieuwe moeders. Volgens de toezichthouder zijn gegevens van moeders en kinderen zonder toestemming verstrekt aan derden.
De GBA stelt dat er sprake is van verschillende inbreuken op de Algemene Verordening Gegevensbescherming waar het marketingbedrijf Family Service verantwoordelijk voor is. Het bedrijf heeft zonder geldige toestemming de gegevens van meer dan een miljoen klanten en hun kinderen gedeeld met zakenpartners, en had dus commerciële doeleinden. De klantengegevens werden niet enkel verspreid onder aanbieders die diensten aanbieden aan jonge kinderen, maar ook onder andere soorten partners, zoals datahandelaars.
Wat de GBA het bedrijf ook kwalijk neemt, is het gebrek aan transparantie. Er werd onvoldoende of niet begrijpelijk genoeg aan de klanten meegedeeld dat de gegevens met derden werden gedeeld. "Het is in dit geval des te belangrijker dat het bedrijf de klant naar behoren over deze praktijken informeert, wetende dat de roze dozen via gynaecologen en ziekenhuizen werden verspreid, waardoor de klanten hadden kunnen denken dat het initiatief van de overheid kwam en niet van een particulier bedrijf waarvan de kernactiviteit de handel in gegevens is", schrijft de GBA.
Ook aan de voorwaarden voor geldige toestemming werd niet voldaan. De AVG schrijft voor dat een geldige toestemming onder meer specifiek is, voor een bepaald doeleinde. Als een organisatie de toestemming van een klant vraagt voor meer dan één doel, moet de klant de mogelijkheid krijgen om voor elk doel afzonderlijk al dan niet toestemming te geven. De toezichthouder kwam tot de conclusie dat de toestemming van een klant om de voordelen van de 'roze doos' te ontvangen automatisch leidde tot een overeenkomst tot gegevensoverdracht.
De boete van 50.000 wordt door de GBA omschreven als een 'hoog bedrag'. Daarbij speelde onder meer de ernst van de inbreuk mee en de aard van de verwerkte gegevens, waarbij specifiek wordt gewezen op kinderen. Ook noemt de toezichthouder dat het bedrijf gegevens verwerkt van een groot aantal personen, namelijk 21 procent van de Belgische bevolking. Naast de boete beveelt de GBA dat Family Business de AVG moet naleven. Ter vergelijking: eerder kreeg de Nederlandse tennisbond Knltb een boete van 525.000 euro wegens het verkopen van persoonsgegevens van leden aan sponsoren.
In de 'roze doos', een concept dat in Nederland vaak 'de blije doos' heet, zitten onder meer allerlei staaltjes, zoals een zakje met babyvriendelijke waspoeders. Daarnaast zitten er informatiefiches en kortingsbonnen in. Deze dozen worden sinds 1952 verstrekt aan vrouwen die net bevallen zijn.