De Overijsselse afdeling van de Partij Voor de Vrijheid krijgt een boete van 7500 euro van de Autoriteit Persoonsgegevens omdat deze een datalek te laat meldde. De partij stuurde een uitnodiging voor een bijeenkomst waarbij de e-mailadressen van alle ontvangers zichtbaar waren.
Een medewerker van de PVV-afdeling stuurde op 10 januari 2019 een e-mailuitnodiging voor een evenement naar 101 personen. Daarin stonden alle ontvangers in de aanhef. Volgens de Autoriteit Persoonsgegevens zijn daardoor de andere ontvangers 'direct te herkennen dan wel kunnen ze door een enkele zoekfunctie herleid worden'. Het gaat in zo'n geval om een datalek, en dat moet onder de AVG binnen 72 uur gemeld worden aan de toezichthouder. Dat is 'tot op heden niet gebeurd', zegt de AP. Daarmee overtreedt de partij dus de privacywet.
De AP kwam het voorval op het spoor na een klacht van een van de ontvangers. Die had direct na het ontvangen van de mail contact met de partij opgenomen en verzocht zijn of haar gegevens te laten verwijderen. Enkele dagen daarna ontving de ontvanger alsnog dezelfde uitnodiging, maar dan zonder alle andere geadresseerden. De PVV-afdeling bood excuses aan. De Autoriteit Persoonsgegevens concludeert daaruit dat de partij 'kennis heeft genomen van de inbreuk'.
De PVV-afdeling stelt zelf dat het niet nodig was om het lek te melden. Een datalek hoeft niet te worden gemeld als er geen risico voor de rechten van het slachtoffer is. De AP vindt dat dat risico er zeker wel was. De gegevens toonden namelijk een potentiële politieke voorkeur aan. Onder de AVG is dat een 'bijzonder persoonsgegeven', waar strengere eisen op van toepassing zijn. "Gezien het onderwerp en de doelgroep van de e-mail is het meest waarschijnlijk dat onder de geadresseerden personen zijn die interesse hebben in het gedachtegoed van de PVV", schrijft de toezichthouder. "Dergelijke informatie zou gevolgen kunnen hebben voor een bestaande of een toekomstige maatschappelijke positie."
De partij heeft volgens de AP artikel 33 van de AVG overtreden, het artikel over het melden van een datalek. "Het achterwege blijven van een tijdige melding van deze inbreuk aan de AP is naar het oordeel van de AP een ernstige overtreding."
De boete bedraagt 7500 euro. Daarbij heeft de AP gelet op de aard en de ernst van het datalek. Daarnaast rekent de AP het de partij aan dat het na afloop geen maatregelen heeft genomen om toekomstige schade te beperken. Opvallend is dat de basisboete voor een dergelijke overtreding op 525.000 euro ligt, maar de AP verlaagt dat naar 7500 euro vanwege 'de financiële draagkracht van de partij'. "De AP acht in dit geval een boete van 7500 euro passend en geboden. De AP overweegt in dit verband dat niet is gebleken dat de PVV Overijssel deze boete niet zou kunnen dragen."
Het is de tweede keer in korte tijd dat de Autoriteit Persoonsgegevens een boete uitdeelt voor het niet op tijd melden van een datalek. Onlangs kreeg Booking.com daar een boete voor, van 475.000 euro.