Rechter: DPG Media overtrad AVG, maar AP had geen boete mogen opleggen

De AVG-boete die de Autoriteit Persoonsgegevens aan DPG Media heeft opgelegd, was niet terecht, concludeert een rechtbank in Amsterdam. De uitgever hoeft de opgelegde boete van 525.000 euro niet te betalen, maar de rechtbank erkent wel dat DPG de AVG heeft overtreden.

Uit de uitspraak van de rechter blijkt dat de conclusies van de AP terecht waren. DPG Media, het moederbedrijf van Tweakers en uitgever van grote kranten en tijdschriften, overtrad inderdaad artikel 12 van de Algemene Verordening Gegevensbescherming door klanten te vragen om een kopie van een identiteitsbewijs op te sturen als zij inzage in hun klantengegevens wilden krijgen. Dit is volgens de rechtbank een 'te rigide procedure voor het identificeren van verzoekers' en is een onnodige belemmering. "DPG deed dit verzoek zonder van tevoren te beoordelen of de desbetreffende verzoeker op een andere, minder ingrijpende wijze kon worden geïdentificeerd."

Volgens artikel 12 van de AVG mogen individuen bepaalde klantengegevens opvragen en laten verwijderen. Dit recht moet 'gemakkelijk en eenvoudig' uit te oefenen zijn; DPG zou met het vragen naar een identiteitsbewijs een onnodige drempel hebben opgeworpen.

Volgens de rechtbank had de AP hier echter niet direct een boete voor mogen uitschrijven. Dat heeft te maken met verzachtende omstandigheden. Zo zou het vragen naar een ID-bewijs in principe 'een goed middel om iemand te identificeren' zijn. Daarbij zegt de rechtbank dat DPG 'niet lichtzinnig is omgegaan met haar plichten als verwerkingsverantwoordelijke', maar dat het om een onjuiste beoordeling gaat van de verhouding van databescherming en het faciliteren van andere AVG-rechten.

Een ander kritiekpunt dat uit de uitspraak van de rechtbank blijkt, is de handelwijze van de AP omtrent deze zaak. De rechtbank doet dit aan de hand van een tijdlijn. De AVG trad in mei 2018 in werking en in januari 2019 nam de AP voor het eerst contact op met DPG. Het mediabedrijf reageerde enkele weken later. De AP had vervolgens vijf maanden nodig om een reactie te vragen op vijf specifieke klachten die ze had ontvangen. Hieraan voldeed DPG in ruim twee weken, maar opnieuw bleef een reactie van de AP enkele maanden uit.

Met andere woorden, volgens de rechtbank had de AP al in een eerder stadium het gesprek met het mediabedrijf kunnen aangaan. Zeker omdat de Autoriteit Persoonsgegevens in de periode direct na de inwerkingtreding van de AVG een voorlichtende rol had en omdat DPG in e-mailcontact expliciet vroeg of het huidige identificatiebeleid mocht worden voortgezet. De AP had volgens de rechtbank genoeg details van DPG ontvangen om te concluderen dat het beleid inderdaad in strijd was met de AVG en had dat toen al kunnen communiceren.

De Autoriteit Persoonsgegevens moet ruim 2000 euro aan DPG Media betalen ter compensatie van de proceskosten en het griffierecht. De AP kan nog in hoger beroep gaan. In een statement tegenover Tweakers zegt de instantie dat de uitspraak van de rechter nog bestudeerd wordt en dat er dus nog geen duidelijkheid is over de vervolgstappen die de AP eventueel gaat nemen.

Reacties (247)

[Cyb]

door klanten te vragen om een kopie van een identiteitsbewijs op te sturen als zij inzage in hun klantengegevens wilden krijgen

Iets concreter over de wijze waarop klanten inzage vroegen:
https://uitspraken.rechts...d=ECLI:NL:RBAMS:2023:5074

De overtreding bestaat eruit dat DPG aan betrokkenen die buiten de online inlogomgeving van DPG, te weten via het online contactformulier, per mail of per brief, een verzoek deden om uitoefening van hun recht op inzage in of wissing van hun persoonsgegevens, standaard en op voorhand vroeg om hun identiteit te bevestigen met een kopie van hun identiteitsbewijs.

[Marzman]

Dat is toch niet meer dan normaal om dat te controleren? Dat kan met een inlogmethode of een kopie van een identiteitsbewijs (wat ze deden).

Ok, geen boete, maar vind het nog vreemd dat het dan wel een overtreding is.

[ronaldvr]

ALs de rijksoverheid -nu al een aantal jaren- daar een speciale webpiagina voor heeft: https://www.rijksoverheid...komen-met-kopie-id-bewijs
en zelfs een app, kan je dat zo niet stellen, Sterker antwoord op de Welke organisaties mogen een kopie van mijn identiteitsbewijs maken?

Slechts enkele organisaties mogen een kopie van uw identiteitsbewijs maken. Bijvoorbeeld uw werkgever en banken. In de praktijk vragen ook andere organisaties een kopie van uw identiteitsbewijs. U bent niet verplicht om die aan hen te geven. Voor sommige is registratie van enkele gegevens voldoende.
Kopie identiteitsbewijs

Slechts enkele organisaties mogen om een kopie van uw identiteitsbewijs vragen. Dit zijn bijvoorbeeld:

overheidsinstanties;
banken;
notarissen;
casino’s;
levensverzekeraars;
uw werkgever.

vermeld niet 'dpg groep'

[ACM]

Jouw link gaat meer over het bewaren van kopieën.

Wat men wilde was kunnen identificeren, en dat mogen veel meer organisaties. Daarvoor mag je best om een identificatiebewijs vragen om te bekijken.

Hoe je dat "bekijken" precies moet doen in een online context met asynchrone communicatie waarbij veel van je klanten ook niet heel erg online-vaardig zijn (de gemiddelde lezer van de papieren krant is ouder dan die van digitale versies), is dan wel een wat lastiger punt...

En een kopie daarvan laten opsturen was de gekozen oplossing en zoals de rechter ook beaamt daar niet de juiste manier voor.

[Reactie gewijzigd door ACM op 22 juli 2024 21:58]

[ronaldvr]

Nee, en dat is natuurlijk niet zo dat je van een bedrijf als dpg mag veronderstellen dat ze 'naief zijn': Ik ind dat de rechter daar te veel in mee gaat: Wat ik zie als de rijksoverheid al jaren (ook voor 2018) een website heeft met waarschuwingen over het afgeven van een kopie van je ID, dan mag je van een groot bedrijf verwachten dat ze dat weten en dat ze dus ook weten dat ze zich op glad ijs begeven als ze er vervolgens wel om gaan vragen.

Daarnaast: ja het gaat over bewaren, maar als je een mail stuurt met daarin een kopie van je ID. Dan wordt deze ook bewaard. DPG had bij mijn weten niet een specifiek aparte omgeving ingericht zodanig dat die kopie gelijk werd gewist nadat geverifieerd was.

[i-chat]

DPG had bij mijn weten niet een specifiek aparte omgeving ingericht zodanig dat die kopie gelijk werd gewist nadat geverifieerd was.

en precies dit soort argumenten (voorbeelden) had de AP klaar moeten hebben liggen voro het geval bedrijven als DPG daar naar vroegen. dan had DPG in een vroeger stadium kunnen zeggen, ok dat is een goed idee daar gaan we aan werken, mogen we in de tussentijd alsjeblief via mail blijven werken, we zullen ons personeel bovendien regelmatig blijven wijzen op het feit dat ze deze documenten na controle direct moeten verwijderen.

even los nog van de vraag of de AP daar dan tijdelijke toestemming voor zou moeten (mogen) geven was die wel de enige en juiste manier van handhaven, we hebben het hier immers over bestuursrecht en daarin moet de overheid altijd zorgvuldig, en met in acht neming van alle belangen een besluit nemen en op juiste en minst ingrijpende manier doeltreffend handelen .. (lees bestuurlijke boetes mogen alleen als daar overduidelijke redenen toe zijn en andere maatregelen kennelijk niet, niet tijdig of onvoldoende zullen werken. < bron: juriprudentie aangaande Algemene Wet Bestuursrecht> (waar de avg ook onder valt).

[jochemd]

en precies dit soort argumenten (voorbeelden) had de AP klaar moeten hebben liggen voro het geval bedrijven als DPG daar naar vroegen.

Je bedoelt voorbeelden zoals beschreven bij "Mag een organisatie een kopie van mijn identiteitsbewijs vragen? ". Zoals je aan de link kon zien stond het antwoord in februari 2019 al op de site van de AP. Dat de AP een vraag van een bedrijf niet beantwoord als dat 'professionele' bedrijf de FAQ op de site van de AP niet eens heeft gelezen vind ik niet onlogisch.

even los nog van de vraag of de AP daar dan tijdelijke toestemming voor zou moeten (mogen) geven

Voor een voorafgaande raadpleging moet je eerst een DPIA laten zien die aangeeft dat er een hoog rissico is. Ik heb nergens gezien dat er een DPIA door DPG is gemaakt of dat DPG daadwerkelijk een voorafgaande raadpleging heeft gedaan. Het enige wat de AP dus mogelijkerwijs zou moeten doen is DPG vertellen om eerst maar het eigen huiswerk te gaan doen.

was die wel de enige en juiste manier van handhaven, we hebben het hier immers over bestuursrecht

Dit een misvatting die ik vaker zie (inclusief bij de AP): we hebben het alleen over het Nederlandse bestuursrecht voor die delen waar de AVG niet in voorziet. Alles wat bindend op Europees niveau is vastgelegd heeft voorrrang op de Awb.
Als je bijvoorbeeld de Guidelines voor de toepassing en vaststelling van boetes (die via de artikel 29 werkgropep al in 2017 bindend zjin vastgesteld) er bij pakt is duidelijk dat het slechts een kleine inbreuk was: niet de essentie en klein risico (pagina 9). De medewerking van DPG moet niet als verlichtende omstandigheid worden uitgelegd: DPG heeft de inbreuk beeindigd, maar dat is al bij de duur van de overtreding meegerekend en heeft niets meer gedaan dan van een verantwoordelijke verwacht mocht worden (pagina 15).

[Kevinp]

Deze partijen hebben een legertje advocaten of contact met dergelijke partijen.

Ze weten vaak dondersgoed wat ze wel en niet mogen. En anders moeten ze daar mensen voor om advies vragen. Maar nee, het AP wat al zwaar onderbemand is moet dat regelen.

Erg vreemd in mijn ogen.

Dus zolang het AP geen goede voorbeelden heeft kan je geen boete krijgen.

Bij de belastingdienst zou ik dat eens moeten proberen als er iets niet duidelijk is.

[Cergorach]

Jouw link gaat meer over het bewaren van kopieën.

En dit is exact wat er gebeurde met de kopieën van ID, ze werden opgeslagen, in email, backups, high availibility clusters, databases, etc. (afhankelijk van welke methode er werd gebruikt om deze in te dienen). Dit is helemaal problematisch omdat de verschillende DPG dochters al bijna 20 jaar geleden al rapporteerden over IDs opslaan bij de Nederlandse banken en de issues daarmee...

Daarnaast vraag ik me sterk af hoe men aan de hand van een digitaal kopie (waar hopelijk zaken op onduidelijk zijn gemaakt, zoals de staat vereist) deze controleert op echtheid. Ze hebben namelijk geen bestaand kopie waar ze het mee kunnen vergelijken, of zijn er bepaalde diensten die je kan raadplegen? En gebruikte DPG deze hiervoor?

Bron:
nieuws: Vraagtekens bij opslag id-bewijzen door banken

[FONfanatic]

Hoe je dat "bekijken" precies moet doen in een online context met asynchrone communicatie waarbij veel van je klanten ook niet heel erg online-vaardig zijn (de gemiddelde lezer van de papieren krant is ouder dan die van digitale versies), is dan wel een wat lastiger punt...

De gemiddelde cybercrimineel is veel jonger dan de brave digibete papieren krantlezer.

[audb]

Je kan ook gewoon je BSN en de nummer van je paspoort of ID kaart verwijderen die hebben ze nergens voor nodig.
Maar de redenen om te vragen om een ID is om te voorkomen dat iemand jou gegevens laat wissen terwijl je er zelf niet hebt om gevraagd,

[ACM]

Abonnees van papieren kranten hadden vaak geen account waar ze mee zouden kunnen inloggen.

Daar is blijkbaar nu wat op verzonnen, maar zoiets maakte veel van de "gebruikelijke" identificatiemogelijkheden behoorlijk lastig.

[R4gnax]

Abonnees van papieren kranten hadden vaak geen account waar ze mee zouden kunnen inloggen.

Abonnees van papieren kranten hebben een fysiek postadres waar een officieel uitschrijfdocument naar toe gestuurd kan worden dat ingevuld en wel ter bevestiging teruggestuurd kan worden. Of waar gewoon een unieke code in vermeld staat waarmee bijv. de klantenservice teruggebeld kan worden.

Abonnees moeten ook hun abonnement betalen en doen dat doorgaans van dezelfde rekening. Dus een token overboeking van 1 cent onder vermelding van een door klantenservice verstrekt kenteken is ook een mogelijkheid.

[ACM]

Dat zijn voor een groep van de personen inderdaad oplossingen. Hoewel ik niet weet of je nog wel geld in rekening mag brengen sinds de AVG en of die tokenbetaling dan zo geïnterpreteerd mag worden, met de WBP mocht je dat nog wel...

Maar er zijn best wat edge-cases die je dan alsnog niet vangt. Deze wetgeving geldt bijvoorbeeld ook voor personen die geen abonnee meer zijn en daarna zijn verhuisd. Je beide oplossingen werken dan niet meer.

Of voor personen die domweg benieuwd zijn "wat weten ze eigenlijk van mij" en dan misschien wel totaal onbekend zijn in de systemen. Nou kan je dan alsnog wel voor 'wat weten jullie over mailadres X' of 'huisadres Y' jouw code-oplossing toepassen. Maar ga je dan inderdaad voldoende goed de persoon geïdentificeerd hebben? Ik weet het antwoord in ieder geval niet op die vraag

[Reactie gewijzigd door ACM op 22 juli 2024 21:58]

[R4gnax]

Nou kan je dan alsnog wel voor 'wat weten jullie over mailadres X' of 'huisadres Y' jouw code-oplossing toepassen. Maar ga je dan inderdaad voldoende goed de persoon geïdentificeerd hebben? Ik weet het antwoord in ieder geval niet op die vraag

Dit is waar Artikel 11 van toepassing is. Waar een verwerkingsverantwoordelijke niet langer een grondslag heeft om gegevens te verwerken, waaronder ook retentie gerekend wordt, zijn zij verplicht die gegevens te wissen. Bijv. voor belastingwetgeving zullen zij dan wellicht nog wat gegevens moeten bewaren; maar alle andere gegevens die bij een betrokkene horen, waar zo'n verplichting niet langer bestaat zullen zij al hebben moeten wissen.
Daarom stelt Artikel 11.2 ook dat waar de verwerkingsverantwoordelijke kan aantonen niet langer bij machtte te zijn de betrokkene te kunnen identificeren, de rechten van de betrokkene in zake inzage; correctie; en verwijderen (Artikel 15 t/m 20) niet van toepassing zijn tenzij de betrokkene zelf opnieuw aan hen de middelen verstrekt die identificatie mogelijk maken.

Kortom:
of die gegevens zijn nog koppelbaar en identificeerbaar en derhalve moet het mogelijk zijn om de rechten tot inzage; correctie; en verwijderen te faciliteren. of de gegevens zijn al niet meer koppelbaar; en tellen niet langer als persoonsgegevens aangezien ze niet herleidbaar zijn.

Elke andere situatie die daartussen zit is een overtreding van de verwerkingsverantwoordelijke.

[Verwijderd]

Het vragen naar een (kopie van) een identiteitsbewijs is volgens mij voorbehouden aan bedrijven die daar wettelijk toestemming voor hebben, of zelfs daartoe verplicht zijn, zoals banken en telecombedrijven. Mediabedrijven behoren daar in elk geval niet toe. De uitspraak van de rechter komt dan ook vreemd over. Zeker als je weet dat DPG zich qua datagraaien kan meten met Meta, Google, enz. Oké, ik zit (nog wel) op Tweakers, maar DPG maakt het je erg moeilijk om een account op te zeggen. Nog afgezien van het id-verhaal.

[amigob2]

Mijn passpoort bied geen enkele informatie dat gebruikt kan worden, om te checken dat ik eigenaar ben van een bepaald account. Dus ja helemaal overbodig, en een schending van mijn privacy, want na deze aan vraag kunnen ze mijn account aan een echte persoon koppellen.

Dus een bedijf dat gegvens over een anoniem account bewaard, hoord dus een modelijkheid te bieden dat ik online ( zie google ) die informatie kan in zien. En ik vind het dus ook belachelijk dat DPG hier gewwon vrijuit gaat.

[oktoberpaard]

Volgens mij kan je tot op de dag van vandaag je eigen account niet eens verwijderen via de instellingen, laat staan een verzoek doen tot inzage persoonsgegevens. Als je naar de instellingen gaat, zul je zien dat je wordt doorverwezen naar de algemene voorwaarden, waar ze je vertellen een e-mail te sturen. Het is dus geen excuus dat het alleen geldt voor mensen die een e-mail of brief sturen, als dat überhaupt de enige manieren zijn waarop je zo’n verzoek kan indienen.

[crisp]

Een detail dat mist in dit artikel: het gaat hier over de werkwijze van Sanoma toentertijd, voodat zij werd overgenomen door DPG in 2021. Door de overname is DPG nu juridisch verantwoordelijk.

quote: https://uitspraken.rechts...d=ECLI:NL:RBAMS:2023:5074

DPG is - onder meer - uitgever van bladen, tijdschriften en boeken. DPG heeft op 1 oktober 2021 Sanoma Media Netherlands B.V. (Sanoma) overgenomen. Deze procedure heeft met name betrekking op de periode waarin Sanoma nog zelfstandig was, vóór de overname door DPG. De rechtbank zal hierna steeds spreken over “DPG”, ook als het indertijd Sanoma betrof.

[R4gnax]

Dat ontslaat DPG niet van het feit dat zij er nu een rechtszaak van gemaakt hebben om onder die juridische verantwoordelijkheid uit te komen.

Velen hier zullen met het huidige gedrag waar DPG feitelijk weigert te erkennen dat 'zij' fout hebben gezeten, een net zo groot probleem hebben als met de daadwerkelijke overtredingen.

Het is de zoveelste uiting van wat we ook jarenlang op Tweakers gezien hebben inzake de cookie-bevestiging, waar keer op keer er op gewezen werd dat DPG fout zat - en keer op keer terug kwam dat DPG "dat toch anders zag" of "de wet anders interpreteerde."

Het is een bepaalde mate van hautain betweterschap en jezelf-boven-de-wet-gesteld voelen.

[Reactie gewijzigd door R4gnax op 22 juli 2024 21:58]

[crisp]

Je gaat er hier van uit dat DPG (Sanoma) ten tijden bewust de wet overtraden. Dat vind ik eigenlijk best wel een flinke beschuldiging.

Ook met betrekking tot de cookiewall, waar al genoeg over gezegd is. Ik kan me prima voorstellen dat je het daar niet mee eens was, maar dat maakt nog niet dat er sprake was van bewust de wet overtreden.

[R4gnax]

Die woorden leg je mij in de mond, crisp. En dat is niet netjes.

Wat ik zeg is dat hun bedrijfsonderdeel beschuldigd is fout te hebben gezeten en dat ipv dat te accepteren DPG wederom er tegenin gaat. Men had ook kunnen erkennen fout te hebben gezeten. Dat betekent niet dat ze daarmee ook gelijk bekennen opzettelijk de wet te hebben overtreden. Enkel dat ze voor de verandering eens hadden geaccepteerd dat als de handhavers stellen: dit klopt niet - dat het dan ook echt niet klopt.
Wat de rechter in deze alsnog bevestigd heeft. Het is alleen de boete die terug gedraaid is.
Het oordeel van de AP dat deze zaakjes niet klopten, was correct.

[crisp]

Maar de boete was volgens de rechter wel buiten proportie, mede door 'verzachtende' omstandigheden en het feit dat de AP in deze zich ook niet goed van zijn (voorlichtende) taak heeft gekweten. Ik snap heel goed waarom DPG zich hier tegen een boete van maar liefst een half miljoen heeft verzet.

[R4gnax]

En gelukkig gaat de AP daar wellicht nog tegen in beroep. Zo buiten proportie was die boete namelijk niet. Naar schatting ongeveer 1/160e van wat 'ie wettelijk maximaal had mogen zijn.

En de AVG was al van kracht sinds 2016 (niet 2018) dus echt 'nieuw' kon je deze ook niet meer noemen. Dus om nou te stellen dat de AP niet correctief zou mogen optreden met een boete omdat ze eerst meer had moeten voorlichten, gezien het de begindagen van de AVG waren - dat klopt ook niet.

[Reactie gewijzigd door R4gnax op 22 juli 2024 21:58]

[batjes]

Maar DPG overtreed meerdere AVG regels, die cookie walls op bijna al hun sites (en tot vorig jaar ook op Tweakers). Zelfs nu nog op DPG websites, de NEE/cancel moet net zo makkelijk zijn als de JA/Accept. Of in DPG's geval, de "akkoord' en "instellen". Dit zijn gewoon dark patterns. Google is recent ook door Frankrijk hiervoor op de vingers getikt.

Maar het AP krijgt nu een klap in het gezicht voor het TERECHT optreden tegen AVG misbruik.

We mogen echt blij zijn met de Franse, Belgische en Duitse AP's.

De AVG trad in mei 2018 in werking

Nee, de AVG trad in 2016 al in werking, werd alleen tot 2018 niet gehandhaaft.

[i-chat]

Maar het AP krijgt nu een klap in het gezicht voor het TERECHT optreden tegen AVG misbruik.

nee, het optreden was juist niet, terecht,

• De AP heeft onterecht traag gehandeld,
• Ze heeft onterecht nagelaten vragen tijdig te beantwoorden
• en heeft daarna onterecht snel een boete opgelegd.

Kortom de overtreding was terecht, de boete niet,

Wat de rechter hier zegt is:
• DPG heeft vragen gesteld aan de AP die niet goed, of niet op tijd zijn beantwoord,
• terwijl dat wel één van de taken van de AP was..
• De AP had door zijn eigen traagheid ook meer rekening moeten houden met DPG
- ze hadden dus bijvoorbeeld een last onder dwangsom kunnen opleggen in plaats van een boete...

Maar DPG overtreed meerdere AVG regels, die cookie walls op bijna al hun sites (en tot vorig jaar ook op Tweakers). Zelfs nu nog op DPG websites, de NEE/cancel moet net zo makkelijk zijn als de JA/Accept. Of in DPG's geval, de "akkoord' en "instellen". Dit zijn gewoon dark patterns. Google is recent ook door Frankrijk hiervoor op de vingers getikt.

Wat ik nog het meest tenekrommen van je hele reactie vind is deze:

omdat jantje A doet, en je hem daar niet voor kunt pakken,
met je maar extra streng zijn bij het bestraffen van B.

ik kan je alvast vertellen dat de wet zo niet werkt.

werkte dat wel zo dan kon ik jou, als ik je van moord verdacht, en dat niet kon bewijzen (omdat je dat niet hebt gedaan) je vervolgens laten ophangen omdat je een paar euro te weinig belasting hebt betaald.

ik hoop dat je met dit voorbeeld zelf ook wel snapt dat we daar geen gezonde en rechtvaardige maatschappij mee zouden hebben. even los nog van het idee dat zoiets corruptie enorm in de hand zou werken.

[Reactie gewijzigd door i-chat op 22 juli 2024 21:58]

[R4gnax]

omdat jantje A doet, en je hem daar niet voor kunt pakken,
met je maar extra streng zijn bij het bestraffen van B.

ik kan je alvast vertellen dat de wet zo niet werkt.

Zo werkt de AVG/GDPR bij het vaststellen van de hoogte van een boete dus wel.
De door de European Data Protection Board (EDPB) vastgestelde rekenmethodiek past een aantal principes toe zoals het vaststellen of het individuele losstaande overtredingen betreft of overtredingen die in een keten plaatsvinden; of het overtredingen betreft gedeeltijk overlappend zijn geweest of niet; etc.

De-facto kom je na het volgen van die methodiek in veruit de meeste gevallen uit op een punt waar gesteld wordt dat slechts het zwaarste vergrijp beboet moet worden volgens de boete-categorie behorende bij die overtreding. Maar - dat bij het vaststellen van de hoogte van de boete die in die categorie gegeven mag worden, wel gekeken moet worden naar alle overtredingen.

DPG is daarom beboet voor het overtreden van artikel 12.
Maar feitelijk zijn er triviaal drie andere overtredingen te vinden die ze tegelijkertijd begaan zijn.
Zie R4gnax in 'Rechter: DPG Media overtrad AVG, maar AP had geen boete mogen opleggen'

[Reactie gewijzigd door R4gnax op 22 juli 2024 21:58]

[jfdaniels]

Hoewel ik zeker niet alles wat DPG hier heeft gedaan wil goed praten zijn er wel echt enorm veel zaken omtrent GDPR extreem onduidelijk, omslachtig of moeilijk te vinden.

Als ik snel wat Google naar hoe je dit de identiteit bij zo'n verzoek moet verifiëren, vermelden de eerste drie links allemaal de procedure met een identiteitskaart. Er is er geen enkele die een echt duidelijk alternatief voorstelt.

We zijn zelf een klein bedrijf en ervaren frequent moeilijkheden met het implementeren van gdpr. Dit brengt ook allerlei verdoken kosten met zich mee.
We zijn in se geen B2C bedrijf en alsnog zijn onze GDPR related kosten (DPO, opstellen en onderhouden van allerlei policies, runnen van processen) van dezelfde orde als onze legal kosten. Die tweede categorie is vaak business essential en omvat een ruim aantal zaken (contracten, legal advies, opvolgen van claims, etc) terwijl gdpr enkel regelgeving is.

Je kan dan argumenteren dat gdpr ook voordelen oplevert voor klanten. Echter een hoop van de effort gaat naar cases of processen die eigenlijk zelden voorkomen in de praktijk (bijvoorbeeld zoals het hierboven aangehaalde proces waarbij je info kan opvragen).

Er is slechts één andere regelgeving die ik ken die een vergelijkbare kostenpost heeft en dat is de boekhouding. Dit is niet plezant als onderneming, maar het nut voor de maatschappij van een goede boekhouding is essentieel gezien dit direct een groot deel van de omzet van een overheid is.
Voor gdpr lijkt het nut me van een andere orde dus ik kan het moeilijk nalaten om mij af te vragen of de kost van gdpr effectief opweegt tegen de belangen voor de maatschappij.

Veel van deze wetgeving is geschreven op maat van problemen die we zagen bij een handvol grote tech bedrijven. In de praktijk kan ik enkel maar oordelen dat deze bedrijven grotendeels verdergaan met wat ze al deden, maar dat de 99% van bedrijven er wel een enorme kostenpost bovenop heeft gekregen.

[R4gnax]

Als ik snel wat Google naar hoe je dit de identiteit bij zo'n verzoek moet verifiëren, vermelden de eerste drie links allemaal de procedure met een identiteitskaart. Er is er geen enkele die een echt duidelijk alternatief voorstelt.

Dan stel ik voor dat je de wetstekst er op na leest.
Die stelt dat de nationale identiteit helemaal niet vastgesteld hoeft te worden.
Verwerkingsverantwoordelijken zijn in de basis verplicht om aan een verzoek tot inzage gehoor te geven, maar mogen kiezen dat te beantwoorden met een tegenverzoek om aanvullende identificatie waar er gerede twijfel bestaat over de identiteit van de indiener van het verzoek. Bij logisch gevolg hoeft die aanvullende identificatie slechts voldoende te zijn om deze twijfel te ontnemen.

Krijg je een verzoek binnen via het geregistreerde e-mail adres van een account?
Dan bestaat die gerede twijfel niet.
Maar wacht; is dat email adres toevallig recent gewijzigd?
Dan zou je nog eens kunnen dubbel-checken door ook identificati via bijv. het geregistreerde telefoonnummer te vereisen. Of via het postadres.

Dat wil niet zeggen dat je als verantwoordelijke dan maar gerechtigd bent om ineens om het volle identiteitsbewijs te gaan vragen. (Wat je - op een paar soorten instanties na - in Nederland wettelijk gezien sowieso niet bent.)

[Reactie gewijzigd door R4gnax op 22 juli 2024 21:58]

[GekkePrutser]

Maar DPG overtreed meerdere AVG regels, die cookie walls op bijna al hun sites (en tot vorig jaar ook op Tweakers). Zelfs nu nog op DPG websites, de NEE/cancel moet net zo makkelijk zijn als de JA/Accept. Of in DPG's geval, de "akkoord' en "instellen". Dit zijn gewoon dark patterns. Google is recent ook door Frankrijk hiervoor op de vingers getikt.

Helemaal mee eens. De DPG doet het niet goed qua cookiewall en GDPR. Ook bijv. bij nu.nl dat je verplicht een account moet aanmaken om artikelen te kunnen lezen, waardoor ze het recht hebben om meer info van je op te slaan (want omdat je inlogt is er een 'technische noodzaak'). Ik vind dat een nogal kromme interpretatie van de regels omdat het je verplicht wordt zo'n account te maken. Dat moet ook aangepakt worden vind ik.

Maar daar was deze boete niet voor, dus ik snap ook wel dat dat niet terecht is.

Ik vind trouwens ook wel dat de GDPR te ingewikkeld is. Maar daar is de industrie zelf schuldig aan, want die probeert steeds via achterdeurtjes de boel te omzeilen. Bijvoorbeeld die verplichte nu.nl accounts, de dark patterns in de cookiewalls.

Als de industrie gewoon een beetje mee zou werken dan was het niet nodig geweest om die wet zo complex te maken om elk omweggetje dicht te timmeren.

Wat ook niet helpt is dat maar 2 Belgische bedrijven vrijwel de complete Nederlandse media in handen hebben. Dat is natuurlijk ook niet gewenst en hier heeft de ACM ook nog een steekje laten vallen. Gelukkig is er de NOS ook nog maar die wou Balkenende ergens in 2006 afschaffen, dus fijn dat dat hem niet gelukt is.

[Reactie gewijzigd door GekkePrutser op 22 juli 2024 21:58]

[ernstoud]

Blijft me verwonderen dat de AP dit soort achterlijk hoge boetes kan opleggen zonder dat er ook maar iemand aantoonbaar schade heeft opgelopen. Uit een risicoanalyse zou moeten blijken dat de schade voor de klagers opweegt tegen de boete en de kosten van de rechtsgang die we uit de belasting betalen.

De AVG is totaal ontspoord.

[i-chat]

De AVG is totaal ontspoord.

dat bedrijven niet meer zomaar letterlijk alles met jouw data mogen doen vind jij ontspoort,
dat bedrijven niet meer actief zonder jouw toestemming mogen proberen uit te vissen of je homo bent of straight? om je dan anaal condooms in de banners aan te bieden? of ander stereotypes uit de kast mogen trekken.
of dat bedrijven ineens in jouw medische gegevens gaan lopen grasduinen.

op een ID-kaart staan talloze belangrijke en hoogstpersoonlijke gegevens : BSD kaartnummer, een fotoj etc. alemaal gegevens die DPG niet in een online systeem zou moeten verwerken want elk systeem dat dergelijke data verwerkt is weer een extra kans voor hackers om aan jouw data te komen.

sommige mensen lijken steevast niet verder te kunnen kijken dan hun neus lang is:

A: als er verkeersdrempels worden aangelegd en flitspalen geplaatst dan is dat verspilling van belastinggeld en een gemeente die dat geld beter aan 'armoede bestrijding' had kunnen uitgeven in plaats van burgertje pesten.

B: als hun kind voor school wordt doodgereden omdat de gemeente geen drempels had aangelegd dan is de wereld te klein

en veel meer nog dan bij verkeersregels is de AVG echt zo'n wet waar voorkomen écht veel beter is dan genezen.

[ernstoud]

Lekker on-topic wel.

Ja, de AVG is ontspoort. Ik kom situaties tegen waarin een geboortekaartje niet meer op het prikbord mag omdat er een adres van de moeder op staat. Die dingen.

Maar goed; on-topic. Er is in dit geval geen schade. Klagers hebben aangegeven dat een ID tonen om te laten zien dat jij inderdaad jouw data wil inzien/wissen disproportioneel is. De rechter gaat daar in mee.

Maar louter om die zorgvuldig bedoelde actie van DPG een half miljoen boete eisen is dus absurd. En dat vind de rechter dus ook.

De AP moet - en de AVG had in de meer dan 10 jaar durende consultatie een artikel hierover moeten bevatten - leren risico-analyses te doen. Is er aantoonbaar schade of is de kans daarop meer dan laag, dan ingrijpen. Maar alleen boetes opleggen omdat dat kan, is waanzin. Ondermijnt ook duidelijk het gezag van de AP. Ik kom steeds meer FG’s tegen die er ook niets van begrijpen.

[i-chat]

jij komt situaties tegen waar leken de avg interpreteren over het wel of niet ophangen van een kaart op een prikbord, headsup: je kunt dat adres ook weglakken en het kaartje alsnog ophangen.

en nee, klagers moesten geen ID te tonen, ze moesten een kopie opsturen. het verschil met tonen en een kopie in handen geven is dat ik in het eerste geval zelf controle heb en houdt over de data.. dit is wat veel winkels en bedrijven ook fout doen. in plaats van alleen kijken naar die kaart en eventueel documenteren wat waar en hoe ze die hebben gezien, met in het uitsterste geval een klein controle getal zoals een uitgifte datum, een geldigheidsdatum of het 5e cijfer van waarde x (en dus niet heel waarde x).

in dat geval heb ik me dus wettig geidentificeerd, ik heb aan jou bewezen dat ik ben wie ik zeg te zijn.

dat heeft helemaal niets te maken met het hebben van een copie en alle daarop aanwezige gegevens die zoals ik al aangaf, bij een datalek voor enorme schade kunnen zorgen. het simpele feit dat dit (voor zover wij weten) bij DPG tot nu toe, nóg niet is gebeurd maakt daarbij geen moer uit.

*Knip* dit is niet nodig op deze manier.

[Reactie gewijzigd door Zeehond op 22 juli 2024 21:58]

[renegrunn]

Ja, de AVG is ontspoort. Ik kom situaties tegen waarin een geboortekaartje niet meer op het prikbord mag omdat er een adres van de moeder op staat. Die dingen.

Waar in de AVG staat dat dit niet mag?

Probleem is: bedrijven en organisaties slaan vaak zelf door zonder na te denken of het echt niet of wel mag in het kader van de AVG.

“De onwetendheid rondom de AVG stoort de maatschappij. In de AVG kan namelijk heel veel wél, maar dat weten veel mensen nu niet. Aan de mogelijkheden om persoonsgegevens te gebruiken zitten dankzij de AVG wél voorwaarden, maar als mensen die kennen en goed inrichten dan kan er heel veel.”

[ernstoud]

Het voorbeeld dat ik noem, is juist omdat organisaties enorm bang gemaakt zijn voor de boetes. En dat is 100% de schuld van de AP. Zoals ook de case van Barbie en het Haga ziekenhuis. Je wilt niet weten wat een onrust dat gegeven heeft in de zorgsector. Ben daar mensen tegengekomen die ook al is het noodzakelijk een EPD niet meer raadplegen. Of dat het EPD zo dichtgetimmerd is dat men de noodklok voor toegang niet meer durft te nemen. Kostbaar tijdverlies als gevolg.

[Calypso]

Als er door de boete 2x nagedacht wordt over het inzien van een dossier ("is het wel zinnig dat ik hier in kijk") vind ik dat enkel maar toe te juichen. Iemand die integer is en snapt waar die mee bezig is, zal zich dat namelijk nooit hoeven af te vragen, zal een goede reden hebben en kan dat ook duidelijk maken. Bij twijfel zal een AP of wie dan ook hier rekening mee houden.

Wat er bij Barbie en het Haga aan de hand was, was een uit de hand gelopen uit persoonlijke nieuwsgierigheid en zonder medische reden inzien van erg persoonlijke gegevens. Naar boven gekomen omdat het nota bene in de pers terecht gekomen is. Als 1 iemand iets per ongeluk inziet is dat vervelend maar niets aan de hand wanneer die persoon integer is. Dit was echt wel een paar graden erger.

Maar vertel, hoeveel organisaties zijn er beboet omdat er geboortekaartjes opgehangen zijn op een prikbord? In dat soort gevallen (medewerker stuurt geboortekaartje naar werkgever, werkgever hangt het ter goeder trouw op) zal een AP niet zomaar een megaboete uitschrijven. Bovendien beschuldigd u het AP van disproportioneel handelen - dat is het niet meer ophangen van een geboortekaartje omdat er een adres op staat ook. Hoeveel moeite is het om dat adres met een zwarte stift door te halen bijvoorbeeld?

[Tweakert2020]

Het AP handelt niet disproportioneel, de uitleg waar wanneer en waarom de AVG van toepassing is laat teveel ruimte voor interpretatie over.

Op de basisschool wordt er geen klassenlijst meer versterkt want privacy.
De “klassen moeder” wordt gevraagd om een lijst te maken en deze in de groepsapp te versturen.
Logica is ver te zoeken.

[Tjidde]

Maar dat komst juist door onwetendheid.

Als een manager op een afdeling alles wat maar een klein beetje persoonlijke informatie bevat meteen wilt vernietigen want bang voor boetes, dan is die manager niet op de hoogte van de regels.

Zolang een gebruiker toestemming geeft dat jij XYZ mag doen met de data die hij jouw geeft mag dat ook.

Dat in het ziekenhuis er een extra laag om gegevens op te vragen voor bepaalde mensen? Snap ik heel goed. Als Barbie morgen een operatie nodig die gepland is, is er geen probleem dan kan de arts of wie dan ook tijdig de knop in drukken om haar gegevens tijdelijk in te kunnen zien.

Krijgt ze morgen een ongeluk en moet er met spoed iets gedaan worden? Dan is het leuk als ze bij je gegevens kunnen in het EPD maar vaak niet noodzakelijk. Plus een medewerker de meldingen weg klikt terwijl het OK nog niet gereedgemaakt is. Dan heeft die medewerker een goede reden om dat te doen. Het is vervelend dat die medewerker in plaats van 2 seconden 1minuut bezig is met de gegevens. Maar vaak zijn dat dingen die async lopen. Zodra de informatie er is zal deze naar de arts gaan.

Ik ben zelf voorstander dat je bij bepaalde informatie in een EPD sowieso extra meldingen krijgt. Plus dat je dan ook een veld moet invullen waarom je het opvraagt.

Als je mij zou opzoeken in een EPD, vind ik dat je de volgende gegevens moet kunnen zien:

• Geboorte geslacht
• Geboorte datum
• Naam
• Bloedgroep indien bekend
• Medische allergieën
• Chronische ziektes

Wil je iets anders weten? Moet je doorklikken en mogelijk een veldje invullen.

Kans dat dan iemand per ongeluk mijn data op een scherm heeft en dat iemand die dit niet mag lezen toch kan zien is dan een stuk kleiner.

Plus waarom zou een random medewerker van het ziekenhuis meteen moeten kunnen inzien dat toen ik 6 van last heb gehad van random ziekte aan mijn geslachtsorgaan waardoor ze allerlei dingen hebben moeten doen aan dat ding. Iets waar ik mij mogelijk voor schaam en daarom niet wil dat iedereen dat zomaar weet. Niet dat, ik iets op mijn 6de gehad heb maar het gaat om het idee.

[RvdDungen]

Het is niet de schuld van de AVG dat bedrijven niet weten hoe ze hem moeten implementeren.

Het is wel de schuld van de wetgever om blijkbaar onduidelijkheid te creeren, maar daarvoor is ook de EDPB in het leven geroepen die regelmatig adviezen uitbrengt waar bedrijven zich beter mee uit de voeten kunnen. Dus wat dat betreft kudo's voor het systeem achter de AVG.

En in sommige gevallen is het ook gewoon niet wenselijk dat een bepaalde verwerking plaatstvindt, hoe leuk die ook bedoeld is. Zolang dat geboortekaartje niet en public ergens hangt, zie ik er geen problemen mee (en de AVG ook niet naar mijn mening).

Maar er is ook een situatie geweest waarbij vrijwilligers van het Rode Kruis moesten stoppen met het uitdelen van fruitmanden aan zieken en ouderen, omdat de instanties waarvan zij de adressen kregen geen grondslag meer hadden om die gegevens aan het Rode Kruis te verstrekken. En terecht ook naar mijn mening, gezien het over bijzondere persoonsgegevens gaat. Dat er andere mogelijkheden waren om de fruitmanden op de goede plek te krijgen werd dan niet over nagedacht; nee de schuld werd weer eens bij de AVG neergelegd.

Blijkbaar was het toch niet zo belangrijk dat die fruitmanden uitgedeeld werden, anders had je wel naar alternatieven gezocht. Kort gezegd: de AVG verbiedt maar weinig, maar dwingt je om goed na te denken over wat je aan het doen bent en het juiste alternatief te kiezen.

[Tjidde]

AVG is niet ontspoort..
Het is juist een wet om je extra na te laten denken.

Als jij morgen een kind krijgt en jij geeft een geboortekaartje op je werk af en zegt hang hem maar op. Zal er geen haan om kraaien juridisch gezien.

Dat je werkgever daar anders overdenkt is wat anders... Dat hij dan de AVG gebruikt om maar onder de discussie uit te komen heeft niets te maken met de AVG.

Dat het AP een boete geeft van 5ton is volgens deze rechter te gortig.

Ben het er zelf niet mee eens. Stel DPG slaat ergens bewust of onbewust(klein foutje in een backup of cache is zo gemaakt) een kopie op van al die ID's. En iemand met slechte intenties komt aan die data. Dan is de wereld te klein.

Ik ben zelf voorstander om de AVG nog strakker en strenger te maken.

[R4gnax]

zorgvuldig bedoelde actie

Bullshit.

Volgens de AVG/GDPR zijn verwerkingsverantwoordelijken verplicht de rechten tot inzage; correctie en verwijdering te faciliteren en mogen zij slechts daarvan afwijken waar er gerede twijfel bestaat over de identiteit van de indiener van een verzoek tot zulks, vis-a-vis de identiteit van de betrokkene over wiens gegevens het verzoek gaat.

Als zo'n verzoek binnen komt vanaf bijv. het geregistreerde email adres - dan bestaat die gerede twijfel per definitie niet.

[CH4OS]

Hoog? Je vindt een ruime half miljoen euro boete, voor een bedrijf dat 200 miljoen winst boekte in 2022 veel? Het is dus nog niet eens 1 procent van de (jaar)winst.

Een dergelijke boete schrijf je niet uit aan de hand van de geleden schade, maar naar de draagkracht van degene die de boete betalen moet, diegene moet er iets van leren, degenen die hebben geklaagd hoeven daar immers niet per se onder geleden te hebben, toch?

[Reactie gewijzigd door CH4OS op 22 juli 2024 21:58]

[ernstoud]

Ja. Een half miljoen boete is absurd als op geen enkele wijze aantoonbaar is dat er door de klagers schade is geleden. Daarin schiet de AVG volslagen tekort, het onvermogen druipt er uit om de schade door privacy verlies (waar hier niet eens sprake van was) te kwantificeren. In een rechtssysteem hoort een rechter belangen te wegen.

Dat de AP zonder tussenkomst van een rechter dergelijke boetes alleen vanuit haar eigen belang (tanden laten zien, meer kan ik er niet van maken) uitdeelt is absurd.

[CH4OS]

Je snapt dat de AP alleen handhaver is in deze en ook gebonden is aan dezelfde AVG-wet voor het bepalen van de boete? En nogmaals, de klagers hebben weinig schade geleden, dus waarom dat ook maar een indicatie zou moeten zijn voor de hoogte van de boete, ontgaat mij écht volledig. Het gaat erom dat degene die de boete krijgt, een tik op de vingers krijgt en er dús gekeken wordt naar de draagkracht van degene die de boete moet betalen. De boete gaat immers naar het bedrijf en niet de uitvoerende personen van DPG.

[ernstoud]

Ja, ze zijn handhaver over een absurde wet. Maar ze maken keuzes in de dossiers. Net als elke handhaver. En hier hebben ze de keuze gemaakt, ik denk vanwege de naam DPG, om tanden te laten zien. En dat was een rare keuze.

We hadden de WPR, iets van 5000 woorden. Toen kwam de WBP, ruim 15000 woorden. En nu de AVG met 35000 woorden. Allemaal om het abstracte, context gevoelige begrip “privacy” handen en voeten te geven. De AVG is daardoor ontspoort, je leest het dagelijks hoeveel ellende data niet kunnen delen in de zorg, bij de politie, de brandweer etc. oplevert.

En de AP moet betere keuzes maken, ga eens de echte schade veroorzakers aanpakken. Maar nee, DPG die zorgvuldig dacht te handelen.

[kodak]

Je kan de wet absurd noemen, maar dat zorgt er niet voor dat een toezichthouder die de wet uitvoert daarmee iets doet wat te ver gaat. Dan moet je bij de wetgever zijn die de wet kan aanpassen en de bevoegdheid kan veranderen. De wet uitvoeren en bevoegdheid toepassen binnen de geldende wet zijn de basis van onze democratische rechtsstaat. Ook als je meent dat de wet of uitvoering binnen de mogelijkheden absurd zou zijn.

[ernstoud]

Zeker, maar de AP doet de dossierkeuze. En maakt daarin rare afwegingen, zoals duidelijk in deze case.

[Floort]

De AP heeft vrij weinig keuze om klachten niet te behandelen. Zie artikel 77/78 AVG.

[ernstoud]

Tuurlijk wel. De AP krijgt duizenden klachten. Althans, dat beweert men. En dan maakt men keuzes welke dossiers op te volgen. In plaats van de grote dataverzamelaars “aan te pakken” gaat men achter een ziekenhuis aan, een tennisclub en een uitgever. Onbegrijpelijke keuzes.

[Floort]

Ik vind ook wat van de prioriteiten van de AP, maar om nu te zeggen dat DPG geen datahandelaar is vind ik wat vreemd. Maar los van de voorbeelden klopt het niet wat je zegt. De AP moet alle klachten gepast behandelen. Dat dat moet is een grote reden waarom ze zo traag zijn; ze zijn overbelast. Alleen niet elke klacht moet met evenveel diepgang behandeld worden. Maar zeker als er meerdere klachten zijn over een verantwoordelijke is dat lastig om gemakkelijk onderuit te komen.

[ernstoud]

Zeker. Ze moeten alles noteren en dan keuzes maken om de diepte in te gaan.mijn betoog is dat ze dat op basis van risico zouden kunnen doen. Zelfs zouden moeten doen. Maar ik begrijp de keuzes iedere keer (althans als de media er over bericht) niet.

[Floort]

Dat is dusdanig onvolledig dat het onjuist is. Op elke klacht moet een besluit worden genomen. Een afwijzing is ook een besluit en kan worden aangevochten in een bezwaarprocedure. Een afwijzing moet daarom ook worden onderbouwd. Voor meer details kan je de Beleidsregels Prioritering klachtenonderzoek van de AP nalezen.

[Tjidde]

Ik denk dat het AP probeert om het een beetje te spreiden.

Als je klachten uit alle lagen van de samenleving probeert eerlijk op te pakken is het goed. Ik snap goed dat het AP niet achter elke melding aangaat want dan hebben ze 20x zoveel man nodig.

Dat ze de ene keer voor een mega bedrijf als Meta gaan en daarna voor een tennisclub en dan DPG en tussendoor een ziekenhuis meepakken. Dan heb je denk ik best wel een verdeling. Netjes omgaan met informatie van gebruikers is iets wat op alle lagen gedaan moet worden.

Als een ziekenhuis zo slecht als iets met informatie omgaat en dat jij morgen ineens je eigen gegevens kan kopen op het internet. Zou jij best wel pissed zijn.

Hetzelfde geld voor een tennisclub. Jij wilt niet dat iedereen zonder pardon zomaar jouw gegevens kan krijgen.

De boetes zijn dan ook in theorie gelijk. x% van je omzet/winst is vaak het uitgangspunt. Hoeveel x is ligt aan wat er misging en wat de intentie was.

Als jij een fout maakt maar wel tegen de AVG ingaat zal de boete een stuk lager zijn dan als jij het doet om er rijker van te worden.

[kodak]

De toezichthouder is niet heel transparant in hun keuzes en werkwijze. Dan kun je niet zomaar stellen dat keuzes onredelijk zijn, want dan lijk je opzettelijk alleen te kijken naar een selectie die publiek is, om te klagen. Ondertussen weet je niet waar ze aan werken en of dat is wat jij graag wil.
Het argument dat men het te druk heeft is aan de andere kant te vaak geroepen zonder redelijke onderbouwing waarom hun keuzes (want die maken ze duidelijk bewust of onbewust) dan maar acceptabel zijn. Daar hoort wat mij betreft meer transparantie over te zijn, juist omdat men dit soort veroordelingen krijgt over hun werkhouding en de vele klachten die niet lijken te leiden tot duidelijk onderzoek en handhaving. Aan het heen en weer klagen lijken we namelijk bar weinig te hebben, het lijkt eerder te zorgen voor in stand houden en verergeren van het werk. Deze uitspraak leek namelijk wel te verwachten, wat echt niet maar afgeschoven kan blijven worden op te weinig geld, of mensen of andere middelen.

[CH4OS]

Niet vergeten dat de AVG veel uitgebreider is qua bescherming e.d. dan de WPR en WBP bij elkaar.
Dus dat de AVG wat meer bewoording nodig heeft, is daaraan natuurlijk een logisch gevolg. De WPR en WBP beschermden (burgers) nauwelijks, waar dat nu veel meer het geval is dan voorheen.

Over wat privacy nu precies is, heeft de AVG zelfs niets gewijzigd, die definite is onveranderd gebleven, maar de regelgeving en handhaving erop is met de AVG wel verder uitgewerkt en verduidelijkt, omdat met de WPR en WBP die duidelijkheid er gewoon niet was (en ook bij andere landen niet). Dat kan jij absurd vinden, dat is allemaal prima, maar alles en iedereen wilde verdere verduidelijking, vandaar dat die verduidelijking gekomen is vanuit Europa, in 2018.

[Reactie gewijzigd door CH4OS op 22 juli 2024 21:58]

[willieverhoef]

Nog erger, heel veel woorden, maar geen handvaten om mee aan de slag te gaan. Dus een kopie paspoort was te zwaar, wat dan wel ? Een email adres alleen, En als er dan iemand spontaan alles opvraagt is het antwoord dit is een datalek je had beter moeten controleren.
Iedereen is op ziek naar duidelijkheid, met deze vage wet.

[Linke-soep]

Je zou kunnen denken aan geheime vragen en antwoorden en deze verifiëren. Een kopie van je paspoort is nergens voor nodig.

[FONfanatic]

Of aan het onterecht verguisde iDin standaard toepassen bij het online aangaan van financiële verplichtingen zoals tijdschriftabonnementen.

[!mark]

Maar wat maakt het voor een boete nu uit of en hoeveel 'schade' er geleden is? De wet is aantoonbaar overtreden door DPGmedia en daar volgt een boete uit, simple as that; hier is helemaal geen sprake van een schadevergoeding waarbij inderdaad wel daadwerkelijke schade onderbouwd moet worden.

Dat de rechter vind dat 500K onredelijk is of van mening is dat er eerder ook gewaarschuwd had kunnen worden prima, maar DPGmedia hier nu als rechtspraak volledig vrijstellen van enige consequenties na een overtreding van de wet aan hun kant, ik vind daar wel iets van. Zo ga je nooit voor elkaar krijgen dat bedrijven zich netjes aan de (AVG) wet houden.


Als ik nu 220 ga rijden op de snelweg zonder dat er een ongeluk gebeurt en ik wordt staande gehouden door de politie kan ik dan ook alles laten kwijtschelden/annuleren want 'er is geen aantoonbare schade' Want dat zeg je voor mijn gevoel nu effectief in je berichten

[Reactie gewijzigd door !mark op 22 juli 2024 21:58]

[ernstoud]

Nee. De boete was niet terecht. Dat is nu juist wat de rechter besloten heeft.

[loki504]

En hoe is dat anders als een boete die je krijgt van politie/handhaver en je in beroep gaat en daarna wordt kwijtgescholden? Is politie en handhaving dan ook totaal ontspoord?

Juist door naar een rechter te kunnen zorgt er voor dat AP niet luk raak boetes kan uitdelen want ja dit kost belasting geld en gebeurt dit te vaak dan kan de haag vragen stellen en kan de verantwoordelijke zijn spullen pakken.

[Floort]

NIet op basis van schade. Schade is een klein onderdeel van één van de elf criteria die meegenomen moeten worden volgens artikel 83 AVG in de overweging of er een boete opgelegd moet worden. En dat is niet een checklist van elf punten waar allemaal aan voldoen moet worden voordat een boete opgelegd mag worden.

[Ridicuul]

De rechter heeft dat besloten. Daar mag !mark het toch best mee oneens zijn?

[Lord Anubis]

Een boette was terecht, maar ik heb het gevoel dat de rechter met een belang oordeelde en niet volgens de wet.

[latka]

Een boete voor te hard rijden is met die redenatie ook raar: er is niemand dood. Je zou een boete moeten krijgen voor de schade die je maakt als je te hard gaat.
Dat een toezichthouder boetes kan opleggen betekent niet automatisch dat die betaald moeten worden: je kunt naar de rechter. Net als een te-hard rijden boete (en die zijn nog erger: die moet je betalen voordat je in beroep mag)

[ernstoud]

Er is dan een risico. Dat is precies wat ik betoog. Is er risico, dus kans op aanzienlijke schade. Dan is de boete terecht.

In deze AP case is geen risico geweest. Dan is boete absurd.

[NicoHF]

Ik kan anders genoeg risico scenario's bedenken, zoals het uitlekken van de BSN.
De extra drempel maakt dat personen niet eenvoudig genoeg inzage kregen in hun eigen gegevens, het risico zou dan kunnen zijn dat er minder personen om inzage gaan vragen en daardoor minder toezicht op de eigen gegevens bestaat wat weer nadelige gevolgen kan hebben zoals het doorverkopen van de gegevens aan adverteerder.

De AVG is een wetgeving en die moet gehandhaafd worden, we hebben in Europa een geldboete systeem dus dat is dan de straf.

[CUnknown]

Zeker wel risico, de kopie identiteitskaart gaat digitaal naar verschillende verwerkers. Dat zou door onbevoegden kunnen worden gebruikt voor identiteitsfraude. Dus onnodig verwerken van deze (bijzondere) persoonsgegevens voor de aanvraag geeft direct een risico voor de betrokkenen.

[Gubbel]

@latka geeft de vergelijking met de hard rijden, er is niemand dood, er is geen schade en dus zou je geen boeite moeten krijgen.

Deze weerleg jij met "Er is dan een riscio" en "dus kans op aanzienlijke schade".

Vervolgens geeft @CUnknown dat er in deze AP zaak ook degelijk risico is
Maar dit weerleg jij vervolgens weer met "Is niet gebeurd, ergo: geen schade. Geen risico".

Ik heb nog nooit iemand op Tweakers zichzelf zo duidelijk zien tegenspreken.

[ernstoud]

Bij te hard rijden is er aanzienlijk risico (kans x schade).

Bij de DPG case is er geen schade en geen of nauwelijks kans. Dus zeer laag risico.

Daar zit geen tegenspraak in.

[JakkoFourEyes]

Risico is inderdaad kans x de gevolgen mocht het gebeuren.
Bij de DPG case is de kans zwaar afhankelijk van hoe veilig ze hun data opslaan en wie dat allemaal mag inzien, dus wij weten helemaal niet of die kans wel zo klein is als jij zegt.
De mogelijke gevolgen mocht het wel gehacked worden of lekken, leveren echt wel aanzienlijke schade op. Jouw paspoort/identiteits kaart ligt dan namelijk op straat waar minder fijne figuren mee aan de haal kunnen. Ik snap niet hoe je dit als geen schade ziet.

Ofwel, de kans is onbekend en de schade is zeer hoog.

[Gubbel]

Dat is simpelweg niet waar, het risico is hierboven al uitgelegd. Als ik te hard rijdt op een lege snelweg in het midden van de nacht met groot licht aan tijdens de finale van het WK voetbal met het Nederlands elftal in de finale, is er ook nauwelijks kans op een ongeluk, dus zeer laag risico.

[ernstoud]

Nee. Er is dan nl. weliswaar kleine kans op hele grote schade. Zoals een kind dood rijden. Dus aanzienlijk risico.

Kans alleen zegt niets over risico. Er zijn nog meer factoren die risico bepalen, zoals de potentiële schade, de kwetsbaarheid, de tijdsduur dat de dreiging manifest is, het soort schade (geld of mensenleven bijvoorbeeld). Dit alles wordt o.a. geleerd tijdens de cursus risico management aan de TU Enschede.

En dan is er nog risicoperceptie, risico communicatie etc. waardoor mensen kansen en schade volkomen verkeerd inschatten.

Behoorlijk groot vakgebied.

[Gubbel]

Je zegt zelf dat er bij DPG geen of nauwelijks kans was, dus zeer laag risico dus alles is okay.
Nu spreek je jezelf wederom tegen door de zeggen dat kans niets over risico zegt

Je geeft toe dat er weliswaar een hele kleine kans is op hele grote schade, maar nauwelijks kans betekent toch zeer laag risico ergo geen risico? Dus boete interecht.

Blijf vooral jezelf tegenspreken. Het is duidelijk dat jij hier de enige bent die deze denkwijze hanteert. Geniet van je weekend verder!

[ernstoud]

Nee. Ik zeg dat er geen schade was. En er een heel kleine kans is dat bijvoorbeeld verlies van gegevens tot manifest raken van die dreiging leidt. Dus kleine kans op geen schade, dus verwaarloosbaar risico.

Ik spreek hier toch duidelijke taal? Zou ook raar zijn want ik heb vele, vele organisaties bij risicomanagementmprocessen en risico analyses begeleidt.

Maar goed, we vallen in herhaling. Fijn weekend allemaal.

[FONfanatic]

Een eenzijdig verkeersongeval van een hardrijder sluit je uit? Zo iemand moet ook tegen de eigen zelfoverschatting beschermd worden. Of dat ie bijv. uit een bocht vliegt waarin je zou moeten afremmen.

[Frame164]

Als DPG meer verzamelt dan noodzakelijk worden de kans en schade ook groter. Meer data maakt het immers interessanter voor hackers en als ze meer data hebben kunnen ze er mee.

[CUnknown]

"Geen Schade" is dus niet gelijk aan "Geen risico", dat proberen nu al een paar mensen op verschillende manieren te duiden.

[ernstoud]

Nee. Er is ook nog de “kans op”. Dat betoog ik dus; de AP zou dat bij dossierkeuze moeten (kunnen) mee wegen. Er was hier geen schade. En een kans inschatting? Zeer, zeer laag. Dus risico nihil. Zeker met de steeds maar weer bedelende mangers van het AP om meer geld/mensen een totaal verkeerde dossierkeuze.

[Ridicuul]

Risico = kans (hoe groot is de kans dat de gegevens op mijn ID-kaart in ongewenste handen komt) x gevolg (wat is de schade die ik lijd als de gegevens op mijn ID-kaart in ongewenste handen komt)

Het gevolg is duidelijk in deze zaak. De kans is wat lastiger te bepalen. Maar het is zeker niet nul. >0 kans x >0 gevolg = >0 risico.

Het feit dat het zou kunnen gebeuren maakt het al een risico. Dat er geen schade is, betekent niet dat er geen risico op schade was.

Als je te hard rijdt, neem je een risico. Pas als je door het harde rijden een ongeluk veroorzaakt, is er schade. Als je te hard rijdt, zonder iets te raken, is er geen schade, maar het risico op schade blijft even groot.

Door je ID te sturen loop je het risico dat de gegevens op jouw ID-kaart gedeeld worden onbevoegden (al dan niet bewust door DPG). Dat risico is reeël. Voor mij is dat risico voldoende reden om geen kopie van mijn ID naar DPG te sturen, zelfs al zou ik heel graag de gegevens willen opvragen.

[Znorkus]

Zo ver zou ik nog niet eens denken. Ik heb net zo veel behoefte om aan een bureautje achter een website waar ik anoniem op 't forum post ineens mijn paspoort te moeten laten zien (want anders voeren we handeling x of y niet uit met je account) , als ik heb om naar China te emigreren, of om ineens bij de kassa van de supermarkt te moeten beantwoorden hoeveel dagen in de week ik werk. Al is er nul risico dat er iets op straat komt, ik vind het inherent fout om dit te verlangen.

[loki504]

Als ik midden in de nacht 150 rij op de snelweg zonder licht aan en er is nooit iemand ook maar in de buurt bij mij geweest is dat dan ook geen risico want wie had ik moeten raken?

Misschien waren er wel mensen maar vonden ze de manier van te lastig/bezwarend? Ik heb ook wel eens met een auto verhuur een discussie gehad over het feit dat ik mijn ID en rijbewijs niet zomaar over de mail wou versturen maar liever direct op locatie deed. Heeft mij een week gekost om de reservering alsnog door te laten gaan. Als ze dat ook eisen om mijn gegevens in te zien dan wel verwijderen die ik dat liever ook niet doen.

[Frame164]

Dan is er nog steeds een risico. Jij hebt leren reden tot maximaal 100, 120, of 130 km/uur (afhankelijk van wanneer je rijles hebt gehad). Jij hebt nooit formeel geleerd om 150 km/uur te rijden en daardoor is het risico groter. En zelfs als je wel formeel bent getraind op 150 km/uur dan is de kans op een ongeval nog altijd groter dan als je 120 km/uur rijdt en de impact is ook groter.

[loki504]

Dat weet ik dit was alleen de kromme redenatie van de persoon waar ik op reageerde op na hield. En ook al heb je geleerd om harder te rijden(opleiding of circuit hobby) andere weggebruikers rekenen niet op die snelheid.

[Lord Anubis]

Dit is onzin; er was een persoon die zijn id kaart afschermde volgen de id app van de overheid en die werd niet geaccepteerd. En om DPG op hun blauwe buttons te geloven is een nogo mbt veiligheid. Kijk maar naar de periode die het geduurd heeft mbt cookies.

[PBro]

Je kan beargumenteren dat er wel een risico was: klanten moesten extra privacy gevoelige gegevens afgeven, die theoretisch gezien misbruikt kunnen worden en het kon ervoor zorgen dat klanten hun gegevens dan maar lieten staan en dat die later in een data lek naar buiten komen.

Volgens jou redenatie zou je geen boete voor te hard rijden mogen krijgen op een lege rechte weg, want dan is er ook geen risico.

[ChillinR]

Waarom is de schade nihil als er foto's van paspoorten uitlekken?

[R4gnax]

Schade is slechts één van de elf indicatoren in Art 83 van de AVG/GDPR die in overweging moeten worden genomen bij het vaststellen van een boetebedrag of andere vorm van sanctie.

[Reactie gewijzigd door R4gnax op 22 juli 2024 21:58]

[FONfanatic]

De uitlaatgassen van de snelheidsduivel, de gevaarzetting ... Dat laatste jaagt vrees aan, doet mensen hun recht op mobiliteit nalaten uit zelfbescherming. Hoezo "geen schade aanrichten"?

[latka]

Mijn reactie was was bedoelt om de redenatie van ernstoud in twijfel te trekken, niet zozeer om te claimen dat er überhaupt geen schade zou zijn door te hard rijden.

[FONfanatic]

@ernstoud valt simpelweg ermee te pareren dat privacyregels geen civielrechtelijk te halen belangen betreffen, maar openbare orderegels. De wetgever beschermt er het recht op privacy mee, het vrijwaren van ongewenste inmenging in het privéleven, en het onnodig verstrekken van middelen die daartoe kunnen leiden.

Als je privacy geschonden is kan dat zelfs een strafrechtelijke zaak opleveren, zoals in het geval van stalking, en kun je je civiel voegen om schadevergoeding te krijgen, meer niet. De strafrechter kent geen vergoeding toe, legt wel een straf op, en dat kan een boete, werkstraf, gevangenisstraf, psychische behandeling of TBS betreffen.

[renegrunn]

Een opgelegde boete heeft werkelijk niets te maken met schade.

[Rhinosaur]

We zijn echt helemaal van het padje als je eerste schade moet lijden, voordat je een boete mag geven. Slaat toch nergens op. Je krijgt toch ook gewoon een boete als je door rood rijdt zonder dat iemand schade lijdt?

[ernstoud]

Nee. Ik betoog dat er risico moet zijn. De AP moet risicoanalyse doen bij de dossier selectie. En dat doen ze niet.

[Gubbel]

Alleen hebben ze dat wel gedaan.

[dasiro]

een boete is geen schadevergoeding voor de benadeelde, maar een straf van de overheid

[Darksequence]

onzin boetes zijn nooit op basis van geleden schade. Probeer die dronken achter het stuur boete maar eens kwijtgescholden te krijgen onder het mom vam: maar ik heb toch niks/niemand geraakt?

[mhnl1979]

Alsof je alleen maar verkeerd gedrag kunt bestraffen met een boete vanwege geleden schade.
Het is een boete, geen schadeloosstellingen van gedupereden.
Of vraag je je af bij een verkeersovertreding ook af wie er schade heeft geleden.

[nst6ldr]

Ja. Een half miljoen boete is absurd als op geen enkele wijze aantoonbaar is dat er door de klagers schade is geleden.

Volgens mij snap je niet zo goed waar boetes voor zijn. In al je reacties zeg je wel 'boete' maar heb je het over schadevergoeding, en dat is heel anders.

Dat bedrijven bang zijn om fouten op dit vlak te maken toont aan dat de boete werkt, daar is het namelijk voor bedoeld. Als ik door rood licht rij dan krijg ik ook een boete, ook al maak ik geen schade. Beter nog: zelfs als ik een andere auto zou T-bonen met die actie dan gaat het boetebedrag niet naar de benadeelde medeweggebruiker.

[Tjidde]

Een agent kan ook zonder enige tussenkomst van een rechter een boete geven.

Ben je het er niet mee eens? Dan vecht je hem aan net als DPG gedaan heeft.

Soms win je en soms niet. Dit geval heeft DPG deels gewonnen.

Al is het niet zeker of er nooit schade geweest is. Als de ID's die men moeten opsturen ergens gecached of gebackuped is zonder dat men het goed weet en die data komt op straat heb je aardig wat schade.

[R4gnax]

Ja. Een half miljoen boete is absurd als op geen enkele wijze aantoonbaar is dat er door de klagers schade is geleden.

De basale fout in jouw argument is dat jij een connectie maakt met schadevergoeding.

Deze administratieve boetes zijn niet bedoeld als compensatie. Het zijn boetes die correctief en ontmoedigend bedoeld zijn. Ze moeten hoog genoeg zijn om de beboete verwerkingsverantwoordelijke te bewegen hun gedrag aan te passen; en hoog genoeg zijn om anderen te ontmoedigen een zelfde fout beleid te voeren.

[360Degreez]

Want geld en dan is alles opgelost?

Nauwelijks; Een boete is een straf voor een entiteit die voor eigen gewin en bij vol bewustzijn of door ernstige nalatigheid de wet heeft overtreden. Dit is, achteraf gezien, een procedurele miscalculatie met goede bedoelingen.

De AP had hierbij een oplossingsgerichte houding moeten aannemen en (letterlijk) met DPG om de tafel moeten gaan zitten om samen procedures te verbeteren. Procedures

Met het uitdelen van dit soort boetes voorkom je voorgoed dat organisaties met je samen willen werken.

[Mushroomician]

Een een boete van een half miljoen op een winst 200 miljoen is zelfs maar 0,25% van de winst.

Als JanModaal 30k verdient en 5k ‘winst’ heeft na persoonlijke lasten (dus spaargeld erbij), is dat vergelijkbaar met een boete van €12,5

[Floort]

Het is opzich niet zo vreemd dat boetes worden opgelegd zonder aantoonbare schade. Je krijgt in het verkeer ook boetes voor door rood rijden zonder aantoonbare schade. De hoogte van de boete heeft er meer mee te maken met het aantal overtredingen en de lange tijd dat DPG ermee is doorgegaan. Ik denk dat als de AP elk individueel inzageverzoeken waar het fout is gegaan had beboet dat het totaal aan boetes misschien wel hoger had gelegen. Of dat DPG na de eerste paar wel was gestopt.

[ernstoud]

Het gaat niet om de schade maar om risico. De kans op schade. In dit geval nul.

Ja, je kunt beargumenteren dat DPG na inzage van een ID gegevens krijgt zonder de juiste doelbinding. Maar het betoog van DPG was dat ze zeker wilden weten dat de juiste persoon om inzage/wissen van zijn/haar persoonsgegevens vroeg. Lijkt me zorgvuldig en valide. De rechter heeft dit m.i. goed gewogen.

[Floort]

Het punt is dat er een onredelijke drempel is opgeworpen voor betrokkenen die hun rechten uit willen oefenen. Dat de rechter begint over het verzamelen van onnodige gegevens is als onderbouwing van de onrechtmatigheid van wat DPG eist. Niet om te onderbouwen dat dat is wat schade oplevert. Ook zeggen zowel de AP, de rechter en DPG niet dat zorgvuldige identiteitsvaststelling niet noodzakelijk is. Wel zeggen de eerste twee dat dat op minder inbreukmakende manieren kan (en dus moet).

De afweging van de rechter heeft niks te maken met het vaststellen van de overtreding (die was er) en ook niks met de schade voor betrokkenen of de kans daarop (juridisch irrelevant). Wat de rechter (heel bot samengevat) heeft gezegd is: de AP wist er al lang van en had de overtreding ook kunnen beëindigen door er dan wat van te zeggen in plaats van lang te wachten met het besluit en dan een boete op te leggen mede op basis van het lang voortduren van de overtreding. Er was een minder ingrijpende manier om de overtreding te beëindigen. Daarin heeft de rechter waarschijnlijk gelijk.

[Znorkus]

Vind ik niet. Er was ook geen paspoort nodig om het account aan te maken.

[Arjant2]

De kans op schade is nul?
En hoe bepaal jij dat?
Als ik een kopie van mijn paspoort moet verstrekken aan een ander is er per definitie kans op dat deze gegevens op straat komen te liggen.

[CPV]

zonder dat er ook maar iemand aantoonbaar schade heeft opgelopen

Dit is nou typisch wat het gezegde over het kalf en de put duidelijk wil maken:
De AP moet kunnen optreden als er iemand aantoonbaar schade kan oplopen door fouten van een bedrijf.

Verder geef ik de rechter in deze zaak volkomen gelijk.

[Houtenklaas]

Een boete is niet om geleden schade te vergoeden. Anders kan je elke snelheidsbekeuring wel gaan aanvechten. Het is om gedrag te corrigeren en herhaling te willen voorkomen. Zoals @CH4OS al meldt, een boete is altijd vervelend, ook een 1% boete voel je wel, maar is nauwelijks substantieel te noemen.

[RvdDungen]

Heeft iemand schade geleden als jij met 200 kilometer per uur over de snelweg rijd en daar een snelheidsboete voor krijgt?

We hebben het hier niet over een schadevergoeding, het gaat om boetes. En die krijg je als je de wet overtreed.

Ik vind de boete nog laag.

[justinkb]

De rechter roept ze nu toch terug. Ze "kunnen" dus niet zomaar de boetes uitschrijven.

[Triblade_8472]

De boetes zijn dan ook niet alleen bedoeld als schadevergoeding (geen persoon krijgt geld), maar als afschrikwekkende functie. Houd je aan de wet, anders dikke boete. En terecht!! Dpg is een gigantisch bedrijf met genoeg geld om dit wél naar behoren te regelen.

Ik hoop dat er meer en hogere boetes komen vanuit de AP om bedrijven er echt toe te dwingen te stoppen met het onnodig opvragen, bewaren en verzamelen.

[supersnathan94]

De risicoanalyse is: het opslaan van identiteitsbewijzen is een risico in het geval van een datalek. DPG media heeft geen wettelijke grond nog een rechtvaardig belang om hier om te vragen nog dit op te slaan (waarbij een mail met een foto ook opslag inhoud).

Mogelijk schade die hieruit kan voortvloeien is identiteitsdiefstal en fraude en dat hoeft niet eens een grootschalig datalek te zijn, maar kan ook doordat interne medewerkers ineens van alles gaan zitten bekijken en delen intern bij high value targets.

DPG media heeft geen enkele reden om ID op te vragen aangezien alle accounts zonder ID zijn aangemaakt. Een ID bevestigd niet dat een account van iemand is, want dat is niet gekoppeld.

[comecme]

DPG media heeft geen enkele reden om ID op te vragen aangezien alle accounts zonder ID zijn aangemaakt. Een ID bevestigd niet dat een account van iemand is, want dat is niet gekoppeld.

Eens. Maar... als de gegevens niet aan een iemand gekoppeld zijn hebben ze dus ook niet van die iemand persoonsgegevens vastgelegd. Of wel?

In hoeverre is een accountnaam en een mailadres een persoonsgegeven? En hoe toon je aan dat jij die "persoon" bent als je opvraagt wat er van jou is vastgelegd?
Wie is supersnathan94?

[supersnathan94]

Door dezelfde authenticatie als er nu wordt gebruikt om in te loggen.

De enige manier waar men van uit mag gaan dat ik het daadwerkelijk ben is doordat ik ben jngelogd en ergens op een knop druk oid.

[Chris_NL]

19. Op grond van artikel 83, vijfde lid, van de AVG is verweerder bevoegd een boete op te leggen bij een inbreuk van artikel 12 van de AVG. Op grond van de Boetebeleidsregels Autoriteit Persoonsgegevens (Boetebeleidsregels) valt de overtreding van artikel 12, tweede lid, van de AVG onder Categorie III. De basisboete van Categorie III bedraagt € 525.000.(...)

Bron: [url="https://uitspraken.rechts...d=ECLI:NL:RBAMS:2023:5074"]https://uitspraken.rechts...d=ECLI:NL:RBAMS:2023:5074[/url]

Dat is blijkbaar het bedrag wat is vastgesteld in de AVG als artikel 12 wordt overtreden.

[Vuurvleugelhart]

AVG slaat ook vrijwel nergens op. Het legitimeert op een eenvoudige wijze onbeperkt opslaan en gebruik van persoonsgegevens. Je hoeft maar 'n simpele reden (verzinsels zijn ook prima) te hebben en het mag al.

[StefanJanssen]

Het feit dat ik of meer privacy gevoelige info moet opsturen of mijn data niet kan inzien/laten verwijderen is misschien niet direct financiële schade maar wel een overtreding van de wet.

Moet je mensen die met 300 over een snelweg razen ook vrij laten gaan want er is geen schade?

[ronaldvr]

Wat een enorme onzin! Als je door rood rijd en je hebt niemand aangereden is de boete dan ook onzin? Dus jouw redenering houdt totaal geen steek.

[ernstoud]

Bij het scenario dat je schetst is er aanzienlijk kans op aanzienlijke schade. Dus groot risico. Boete terecht.

In de DPG case was er geen schade en een hele kleine kans op misbruik. Dus zeer laag risico. Boete onterecht.

[ronaldvr]

Het is niet aan het individu of het bedrijf om dat te beoordelen, dan krijg je discussies bij ieder overtreding.Die beoordeling is al gemaakt, en zo ook de bijbehorende boetes.

[Tomatoman]

Als jij door rood licht rijdt, zal - als je daarmee geen aanrijding veroorzaakt - niemand aantoonbare schade lijden. En toch krijg je er een boete voor. Hieruit blijkt wel dat boetes zelden alleen bedoeld zijn als vergoeding van aantoonbaar geleden schade.

[MikeN]

Dit is natuurlijk een argument in de categorie 'ik reed ergens 280 km/u maar reed niemand dood dus moet geen boete krijgen'.

[MikeN]

Je vindt dus dat er eigenlijk gewoon geen recht op inzage moet zijn?

[MikeN]

Je geeft aan dat er schade of in ieder geval risico daarop zou moeten zijn voordat er opgetreden zou mogen worden. Blijkbaar ben je van mening dat drempels opwerpen voor inzage hier niet onder valt. Dus blijkbaar zou er nooit opgetreden moeten worden voor deze gevallen, en kan iedereen dus vrijelijk de regels negeren.

[ernstoud]

Nee. Ik geef aan dat de AP ook naar risico moetnk8jkrn bij de dossierkeuze.

[MikeN]

Maar zoals Floort elders al aangeeft is van 'dossierkeuze' niet direct sprake, omdat dat volgens de AVG helemaal niet mag. In beginsel moet de toezichthouder een klacht onderzoeken. Er is geen opportuniteitsbeginsel zoals bij het OM. De AP kan natuurlijk wel deels zelf de kaders bepalen waarbinnen ze een reprimande of boete opleggen, maar als de klager het oneens is met de afhandeling kan die naar de rechter. Bij meerdere klachten kun je dus als AP niet maar gewoon stil blijven zitten.

Overigens, los daarvan, we hebben het hier over 1 van de 2 grote uitgevers in Nederland, en daarmee 1 van de grootste advertentienetwerken. Als er al een 'keuze' is, vind ik die dus niet zo heel erg vreemd.

[Reactie gewijzigd door MikeN op 22 juli 2024 21:58]

[thunder7]

Je vraagt je af of het zinvol is dat bedrijven voor een dergelijk schijntje (jaarwinst 2022 van DPG 200 miljoen euro) kunnen procederen tegen een toezichthouder.

[AWitteveen]

Financieel gezien lig ik ook niet wakker voor een boete voor te snel rijden. Maar ik vind het wel zonde van het geld. Ik denk dat bedrijven er ook wel zo tegenaan kijken. In dit geval had DPG media ook geen financieel belang om de activiteiten op deze manier te blijven voortzetten.

[cpt Iglo]

Toch zou er wel wat meer geprikkeld mogen worden om ook jouw te houden aan de maximum snelheid.

Iemand die 1000k per jaar binnenharkt ligt echt niet wakker van die boete van 50 euro. Iemand die het doet met 100k ook niet, Maar iemand die de eindjes aan elkaar moet knopen wel. De persoon van 1000k gaat wel wat meer nadenken over zijn snelheid als de boets oppeens verhoudingsgewijs net zo hard binnenkomt als bij iemand die het moet doen met een minimum inkomen.

Zelfde geld ook voor bedrijven die zich aan de regels moeten houden.

[lenwar]

Is dat per definitie zo?

De meeste mensen houden zich gewoon aan de wet. (snelheidsovertredingen lijken wat minder van toepassing daarop). Of 'zwaarder straffen' echt veel invloed heeft op een en ander weet ik eigenlijk niet. Ook in landen waar zwaar gestraft wordt (financieel of anders) overtreed men regels.

In landen waar de doodstraf is, zie je toch echt dat er misdrijven gepleegd worden die de doodstraf tot gevolg hebben. In landen waar achterlijk hoge boetes (zowel civiel als strafrechtelijk) worden uitgedeeld zie je ook dat mensen de wet overtreden. (kijk naar de VS, met die achterlijke boetes als het gaat om een liedje down/uploaden).

Maar goed. Hoe zie je dat voor je.
Iemand die 1200 euro per maand verdiend en iemand die 10.000 per maand verdiend.
De eerste krijgt een boete van 50 euro. Dat is ruim 4% van diens maandinkomen.
Stel dat we dat doen met 10.000 per maand, dan is dan ruim 400 euro. Denk je dat die eenmalige boete van 4% veel harder aankomt? (qua gevoel dan hè?). Die persoon gaat er geen biertje minder onder drinken.

Of wil je dan echt (achterlijk) hoge boetes uitdelen? Dus dat iemand met een inkomen van 10.000 ineens 3000 euro moet betalen, omdat hij 7 km te hard reed? Dat voelt ook niet helemaal kloppend toch? En dan nog met die 3000 euro: Die persoon kan waarschijnlijk nog steeds als het nodig is direct z'n wasmachine vervangen of een krat cola kopen, waar die ander er toch meer moeite mee zal krijgen.

Ik denk, dat als je de ongelijkheid uit beboetingen wilt halen, dat je er dan voor moet zorgen dat de straf onafhankelijk is het inkomen. Denk aan bijvoorbeeld een taakstraf of een (tijdelijke) rijontzegging. Die zaken hebben natuurlijk ook heel veel impact, maar dat is in elk geval voor 'iedereen even vervelend'.
(( Ik zeg nadrukkelijk niet dat ik het wel of niet passende straffen vindt, hè? Gewoon even puur ter illustratie/idee ))

[nijntje82]

Vs heeft absurde boetes op afval in de natuur(parken) gooien. En ik heb heel veel van die parken uitgebreid bekeken.. geen afval

[lenwar]

Maar zijn dat de boetes of het basisfatsoen van de mensen die naar die natuurparken komen?
Maar in elk geval fijn dat dat netjes gehouden wordt!

[nijntje82]

Het feit dat er zulke hoge boetes op staan doet mij vermoeden dat het niet binnen het basis fatsoen valt..

[cpt Iglo]

Je kan verhoudsingsgewijs in mijn comment als een wiskundige verhouding zien maar ook verhoudingsgewijs qua gevoel.

Ik prentendeer niet de oplossing voor het probleem te hebben. Ik stel alleen dat in het huidige systeem de straf voor de ene persoon anders aankomt dan voor de andere persoon.

In een aantal europese landen geldt wel een inkomensafhankelijke boete, je ziet wel eens de krantenkoppen als een miljonair weer eens een ton mag aftikken. In Nederland is in 1983 ook discussie geweest of we dit moesten doen of niet. De argumenten tegen waren toen dat het verzamelen van de gegevens (vermogen en inkomen) erg lastig is en dat men lichte vergrijpen niet zwaar willen straffen.

Kijkend naar dacht ik Finland en Zwitserland, dan werken die met een systeem van kleine bedragen op lichte vergrijpen en inkomens (en vermogen) afhankelijke boetes op zware vergrijpen. Dat zou een oplossing kunnen zijn voor de bepaling van de hoogte van de boete. Verzamelen van de data is anno 2023 volgens mij voor de belastingdienst niet zo moeilijk meer dus dat argument kan de prullenbak in. Of het wenselijk is, dat is een tweede.

Er zullen vast ook nog wel andere systemen of vormen zijn. Dat geef he zelf ook aan met jouw voorbeelden van rijontzegging/taakstraf.

[FONfanatic]

Iemand die een taakstraf moet verrichten mist daardoor werktijd dus inkomen. Dat komt dus harder aan bij iemand met een laag of onregelmatig inkomen, een ZZP-er of een flexwerker.

[CivLord]

Erger nog dan werktijd/ inkomen missen lijkt me juist vrije tijd missen. 40 uur werkstraf op tien achtereenvolgende zaterdagmiddagen lijkt me veel zwaarder dan eenmaal een week vrij moeten nemen.

[FONfanatic]

Och, het ligt eraan wat ze je te doen geven en wie je collega's zijn. Als je werk leuk is is het net vrije tijd.

[kimborntobewild]

Och, het ligt eraan wat ze je te doen geven en wie je collega's zijn. Als je werk leuk is is het net vrije tijd.

Dan is het geen werkstraf.
Dan heeft de straf natuurlijk geen zin.

[FONfanatic]

Wat erg dan als je straf glimlachend als zingevend zult verwerken.

[kimborntobewild]

Wat erg dan als je straf glimlachend als zingevend zult verwerken.

Het woord klopt dan gewoon niet. Noem het dan bijv. (sociale) dienstplicht.

[FONfanatic]

Ik zal het beseffen als ik met de hand afwas.

[n4m3l355]

Ik zie reacties waar straffen niet gepast lijken voor de rijkere vaker voorbij komen. Echter niemand stelt de basale vraag, gelijkheid in de straf zelf. Immers beiden hebben dezelfde fout begaan, is het redelijk om iemand dan alsnog zwaarder te straffen voor dezelfde misdaad?

Gaan we dit ook omgekeerd doen, bijvoorbeeld een taakstraf kan voor iemand die werkeloos is veel minder zwaar zijn dan de CEO van Appie Hein.

Ik snap dat straffen ongelijk aanvoelen maar uiteindelijk leven de meeste mensen binnen de wet. En landen die mild straffen zoals Nederland hebben veel minder criminaliteit dan de VS, dus iets doen we toch goed.

[lenwar]

Daar heb je zeker een punt hoor. Gelijk delict, gelijke straf. Het is in de praktijk erg ingewikkeld om ‘passende’ straffen te verzinnen.
Laat staan om ze ook nog is passend te maken voor het individu zonder dat er willekeur bij komt kijken. Er zal gevoelsmatig altijd een vorm van ongelijkheid zijn denk ik.
(( een celstraf voor een dakloze? ))

Laten we eerlijk zijn. Is een geldboete een passende straf voor het in gevaar brengen van andere verkeersdeelnemers? Is een taakstraf dan wel vrijheidsstraf passend voor een ‘dood door schuld’. (De nabestaanden hebben levenslang verdriet)

Zo zijn er tig zaken te bedenken, waar een straf qua zwaarte objectief misschien oké voelt, maar of hij passend is?

Ik ben persoonlijk heel erg tegen de doodstraf of lijfstraffen. Ik ben ook van mening dat iemand die in de gevangenis zit, nog wel een bepaald comfort moet hebben. Hiermee bedoel ik dus, dat ik vind dat iemand een normaal matras moet hebben, een schoon toilet, normaal voedsel, enz.
We moeten niet van die Maleisische praktijken krijgen. Daar moet je als maatschappij boven staan.

Iemand die dan roept dat het hier net een hotel is: Ga maar is 2 jaar in je eigen huis zitten, waar iemand anders voor jou bepaald wat je eet, wat je wanneer mag doen en niet voorbij je tuin komt.

Dan heb je zelfs nog de luxe van je eigen huis. Geloof maar dat het niet als een hotel zal aanvoelen.

[CivLord]

Maar wat maakt een straf gelijk? Is dat het bedrag gelijk houden? Dus € 50 voor iemand met het minimumloon en € 50 voor de CEO? Het voelt voor diegene met het minimumloon niet gelijk, wanneer dat betekent dat er een flinke deuk in het etensbudget voor een hele maand komt en hij er dus een hele maand op zijn bord mee geconfronteerd wordt, terwijl die CEO die € 50 euro dagelijks bij de lunch als fooi laat liggen. Maar om de boete voor die CEO zodanig te verhogen dat hij dat een maand lang echt op zijn bord merkt voelt ook niet helemaal correct.

[Tintel]

Ik dit geval wel maar als het vergrijp op een of andere manier een voordeel oplevert dan is het weer een ander verhaal.
Als jij als courier belooft een pakket binnen X minuten te leveren en je moet daarvoor te hard rijden dan reken je die boetes gewoon als bedrijfskosten (ook al zouden ze niet aftrekbaar zijn). Dan werkt het systeem nog minder goed dus (en boetes bij te snel rijden zijn al een wazig verhaal qua effectiviteit).

Ik zie hier niet hoe ze voordeel hebben gehad bij wat ze deden (vroegen) dus was het puur 'zonde van het geld' geweest.

En de onderbouwing van het verhaal is wel goed - mijn 1e reactie was: "ai - weer 1 die de dans ontspringt" maar het valt mee.

[Philo Melos]

Tot dat je iemand dood rijdt.

[AWitteveen]

Ik kan je opmerking niet helemaal plaatsen? Wat heeft dat te maken met de boete voor te hard rijden? Je kan ook iemand doodrijden als je niet te snel rijd.

[Dextro75]

Scheiding der machten, Recht op verdediging, Beroepsmogelijkheden,... weet je wel. Fundamentele principes die onze samenleving hebben gevormd tot wat ze is. Trouwens wanneer is het een schijntje ? 1% van de jaarwinst ? Wat doen we met firma's die geen winst maken, die mogen dan wel procederen en bedrijven met winst dan weer niet ? Waar blijft het gelijkheidsprincipe ?
En mocht bvb die 1% -grens worden aangehouden, hoe voorkom je dan misbruik door de overheid die dan plots allemaal 0,9% boetes gaat heffen omdat dan geen beroep mogelijk is, etc....

[lenwar]

Scheiding der machten

Behalve de Belastingdienst. Die zijn zowel opspoorder, vervolger als rechter tegelijk, zo bleek . Ze hoeven niet eens bewijs te leveren. Ze kunnen gewoon zeggen "Dextro75 en lenwar hebben teveel toeslag gehad. Alles terug!. En nee, ik ga geen bewijs overhandigen, en nee, jullie mogen geen bezwaar indienen waar we iets mee gaan doen!!"

Maar helemaal met je eens.
Het is heel moeilijk om 'passende boetes' te maken, en het zou van de zotte zijn, dat je niet mag laten weten dat je het er niet mee eens bent. Want ook een toezichthouder kan een fout maken, met alle goede bedoelingen van de wereld.

[ComputerGekkie]

Dat is niet wat @thunder7 zei, thunder7 vroeg zich af of het het waard was voor het bedrijf om te gaan procederen. Als het namelijk z’n laag bedrag is word het dan niet een “laat maar zitten” wisselgeld bedrag.

[Dextro75]

De zin die hij gebruikte is "(...) of het zinvol is dat bedrijven KUNNEN procederen".
Als de vraag is waarom bedrijven een proces aanspannen voor zo'n lage boete dan moet de zin zijn : "(...) of het zinvol is dat bedrijven WILLEN procederen"

[thunder7]

Er is m.i. een onbalans tussen een toezichthouder met te weinig tijd/geld en een bedrijf dat veel meer winst maakt dan deze boete en boetes als verliezen gewoon weer kan afstrepen tegen de winst bij de belastingaangifte.
Ze weten dat zie iets fout deden, de rechter zegt ook dat ze iets fout deden, en toch kost het de maatschappij nu geld en niet het bedrijf. Dat vind ik niet kloppen.

[phYzar]

Je vraagt je af of het zinvol is dat jezelf verdedigen in de rechtbank tegen toezichthouders/de overheid moet worden ontmoedigd door hier een hoge prijs op te zetten (hoe rijker je bent hoe meer je voor je rechten kunt opkomen).

[Triblade_8472]

Is wel waar, maar het heeft net zoveel zin om je te verdedigen tegen de overheid. Zie nu dat dpg toch gewonnen heeft.

[RM-rf]

De boete is een uiterst middel..

in tegenstelling tot wat veel mensen helaas lijken te denken is het overtreden van regels ter bescherming van persoonsgegevens helemaal geen doel van bedrijven, integendel zelfs, het kan voor bedrijven ook een meerwaarde zijn om een goed en functioneel beleid hierop te kunnen handhaven en zo vertrouwen bij gebruikers te winnen.
zeker grote en legale bedrijven die hun core-busines in Europa hebben, doen ook wel degelijk veel moeite dit alles goed te doen, ook uit eigen-belang (los van eventuele boetes).


Wat je echter wel ziet is dat er in de implementatie veelal ook veel vraagtekens bestaan en het domweg ook soms onduidelijk is wat nu wel of niet mag... in dit geval is rondom dat beleid van Sanoma en later DPG ook vaker communicatie geweest waarin mediabedrijven ook om meer duidelijkheid vroegen.

Dat je geen extreem zware boete kunt opleggen voor relatief nieuw beleid waarover nog lang geen lange opleggingspraktijk bestaat, staat bekend als het "lex certa-beginsel"

Het Lex certa-beginsel is een subbeginsel van het legaliteitsbeginsel en houdt in dat voor iedereen duidelijk moet zijn welk handelen en nalaten leidt tot strafrechtelijke aansprakelijkheid, alsmede welke sancties daar op kunnen volgen

Op deze grond heeft de rechter de boete terug laten trekken, los ervan dat de overtreding idd wel bestond

[Tintel]

Nou - ik snap dat je voorzichtig moet zijn met gegevens van mensen. Dus strenge controle noodzakelijk - maar omgedraaid: als je dus wilt weten wat ze van je weten dan moet je ze eerst nog meer vertellen is natruurlijk ook geen hele handige constructie.

En helaas zijn er ook veel bedrijven die juist veel moeite doen om jouw persoonsgegevens te krijgen (en zoveel mogelijk) en dit ook voor hunzelf te houden.

Neem een origanisatie als het BKR - misschien bedoeld om jou te beschermen tegen teveel leningen maar natuurlijk ook om de geldschieters te beschermen tegen leners die niet meer kunnen/willen terugbetalen.
En dat mag dan wel - maar een foto van een notoire winkeldief opslaan in een database om te zorgen dat deze niet meer je winkelketen binnenkomt - dat mag niet.
Beiden hebben hetzelfde doel toch? De eigenaar van geld/goederen beschermen tegen illegaal verlies. Banken mogen altijd iets meer lijkt het...

Maar probeer het BKR maar eens te overtuigen dat er bij hen iets niet klopt als je toevallig een lening nodig hebt (en dat hebben veel mensen die bijv. een huis willen kopen). In dat soort gevallen is bescherming van persoonsgegevens en de mogelijkheid om deze op te vragen wel belangrijk.

[i-chat]

BKR moet net als alle anderen gewoon voldoen aan de AVG dus als jij data opvraagt dan moeten ze je die gewoon verstrekken doen ze dat niet kun je daar gewoon melding van maken en belangrijker nog, je kunt naar de rechter stappen en in een procedure vragen om die toko te dwingen (op straffe van een fixe boete) de data alsnog te vestrekken, in de meeste gevallen krijg je bij gelijk ook je advocaatkosten etc vergoed. dus als je zeker weet dat ze fout zitten kun je gewoon procederen.

Het voorbeeld van die bekende winkeldief foto is iets genuanceerder als ik het me goed herinner ging dat vooral over een samenwerkingsverband tussen vele winkels die elkaar gingen vertellen wie zijn op hun zwarte lijst had. feitelijk komt dat neer op zwartmakerij (smaad) bovendien was er geen 'onafhankelijk toezicht en geen klachten procedure' kortom elke lul kon jouw foto op die lijst zetten als je zijn zusje had ge.........kt en de volgde dag mocht ook in hele andere winkels ineens geen boodschappen meer doen.

het onder eigen personeel verspreiden van foto's van mensen met een lokaal winkelverbod is vooralsnog wél gewoon legaal mits daar secuur en vertrouwelijk mee wordt omgegaan.

en dan die opmerkingen over dat banken een tandje voor hebben, ja dat klopt en daarom staan banken ook onder veeel scherper toezicht dan bijvoorbeeld de kruidenier.

[Tintel]

De BKR moet de gegevens wel verstrekken maar niet verplicht corrigeren. En daar gaat het mis. De bewijslast is daarmee opgekeerd en ze registreren dus puur om wanbetalers tegen te gaan.

geen 'onafhankelijk toezicht en geen klachten procedure'

Dus net zoals de BKR?

daarom staan banken ook onder veeel scherper toezicht dan bijvoorbeeld de kruidenier.

Hoezo scherper? Dat er meer regels besaan voor banken is omdat ze deels de functie van de overheid overnemen en geldverstrekker zijn. En al zou het zo zijn: krijg je dan in ruil meer vrijheden?

[mrmrmr]

De rechtspraak in Nederland is veel te voorzichtig t.a.v. de AVG. Er zijn te veel uitspraken die een slecht begrip van de wet tonen en er wordt teveel gelet op omstandigheden die niets met de wet van doen hebben, waar de AVG overigens ook geen ruimte voor laat. Het lijkt er helaas op dat de rechtspraak in Nederland daarmee het boekje te buiten gaat.

Je hoeft er geen twee seconden over na te denken dat vragen om een paspoort terwijl je die gegevens niet eens hebt niet een geschikt middel is. Het is duidelijk bedoeld als afschrikwekkend middel waar hier aan voorbij wordt gegaan. Exact dat, het onder druk zetten, is verboden in de AVG.

BKR is er zeker niet voor geregistreerde personen, het is een private organisatie die werkt voor banken. Zonder toezicht van de overheid overigens.

Het probleem daar is dat BKR inmiddels berucht is vanwege de pesterijen aan het adres van bedrijven die helpen een BKR registratie te verwijderen. Dat gaat nogal ver. Het zou me niet verbazen als wat ze doen strafbaar is.

[Tintel]

Het is duidelijk bedoeld als afschrikwekkend middel waar hier aan voorbij wordt gegaan.

Dat ben ik met je eens. Maar omdat ze vroegen of het wel was toegelaten en de AVG niet meteen "nee!" zei komen ze er nu mee weg.

Maar goed - ze willen weten of echt wel Klaas Vaak de gegevens van Klaas Vaak opvraagt. Dus namen zijn wel te vergelijken. Het domme is natuurlijk wel dat je bij dit soort diensten niet hoeft te registreren met de naam in de paspoort - die tenslotte kan verschillen. Vliegtuigmaatschappij stellen die eis wel.

BKR is er zeker niet voor geregistreerde personen

Nee idd - was eigenlijk sarcastisch herhaling van het verkooppraatje. Bijzonder toch hoe veel uitzonderingen voor banken worden gemaakt?

BKR is zeker berucht want als zij een fout maken dan is de geregistreerde persoon de pineut.

[ronaldvr]

Broehaaha nou echt niet: voor veel bedrijven die leven van advertentes zijn persoonsgegevens van levensbelang (en laat dpg daar nu net toe behoren). En als we google en facebook als huiveringwekkend voorbeeld nemen is natuurlijk duidelijk dat die gewoon lak hebben aan wetten en wetgevers.

[crisp]

Op deze grond heeft de rechter de boete terug laten trekken, los ervan dat de overtreding idd wel bestond

Volgens mij klopt dat niet:

quote: https://uitspraken.rechts...d=ECLI:NL:RBAMS:2023:5074

17. De rechtbank volgt eiseres daarbij niet in haar beroep op het lex certa-beginsel.

[RM-rf]

Je hebt idd gelijk daarin...
Deze rechter wijst in punt 17 en 18 het beroep op lex certa duidelijk af
De uitleg van de "lex certa" (volgens bestaande jurisprudentie) zou volgens de rechter definieren of de strafbare handeling exact genoeg beschreven is; In dit geval is dat niet letterlijk gedaan, maar de rechter geeft de wetgever daarin genoeg vrijruimte om "breed toepasbare" formuleringen in de wet te houden, en geeft aan dat dit Lex certa niet toepasbaar is op het strafbaar zijn (in de eis zelf geeft DPG specifiek aan dat het daar hen gaat om de beslissing een boete op te leggen).

in punt 18 en 19 geeft de rechter wer dat de wetstekst zelf niet aangepast moet worden en an sich duidelijk genoeg is en wijst dat beroep op 'lex certa' af...

vervolgens lijkt hij in punt 20 het echter wel toe te passen op het opleggen van de boete (eigenlijk exact zoals de eiser in hun eis ook vroeg) ... hooguit noemt hij dat verder niet.

Mogelijk is dat vooral een aspect van specifieke formuleren over "uitoefening van de boetebevoegdheid" .
de Rechter makt duidelijk dat de wet duidelijk geformuleerd heeft én dat de AP het recht heeft een boete op te leggen, maar moet in de invulling van dat boetebeleid kennelijk meer terughoudender zijn

[crisp]

Inderdaad; de rechter oordeelt hier dat het opleggen van de boete niet proportioneel was ten opzichte van de mate en ernst van overtreding, en verwijt de AP dat deze niet ook haar voorlichtende rol op zich heeft genomen, en (daardoor) zelf mede verantwoordelijk was voor het langdurige karakter van de overtreding.

[mmniet]

het gaat ook om principes en de naam die je als bedrijf wilt hebben. het gaat natuurlijk niet om alleen het geld maar ook de precedent die je schept.

[PjotterP]

Toezichthouders kunnen ook fouten maken dus rechtsbescherming is ook voor bedrijven belangrijk. We zijn immers een rechtstaat. Dit soort uitspraken aan de hand van een concrete situatie zijn nuttig om de normen verder uit te laten kristalliseren.

Bovendien is de AP nog een relatief jonge organisatie. Het is goed dat ze handhavend optreden en voorbeelden stellen maar dat moet wel redelijk blijven.

[Reactie gewijzigd door PjotterP op 22 juli 2024 21:58]

[Stoelpoot]

Waar haal je die 200 miljoen vandaan? In de gepubliceerde jaarcijfers lees in €200.000 winst, geen 200 miljoen.

https://jaarverslag.dpgme.../2022-nl/jaarcijfers_2022

[thunder7]

Ik las hier

https://www.dpgmediagroup.com/en-NL/annual-report-2022

profit fell by 5%, to €200 million

Kan het zijn dat jou cijfers in kEUR zijn, dus per 1000 euro?

[Reactie gewijzigd door thunder7 op 22 juli 2024 21:58]

[Stoelpoot]

Ohhh zo staat het er ja. Wat een vreemde notatie. Zeker ook om dat daar neer te zetten ipv bij de bedragen zelf.

[lenwar]

Precies dat. Er staat in kEUR. Ik moet zeggen dat ik het nooit zo gezien heb. Een beetje een vreemde keuze voor een mediaconcern om iets zo 'raar' te communiceren. Maar goed. Ze zullen er wel een reden voor hebben.

[Marco076]

"Zo zou het vragen naar een ID-bewijs in principe 'een goed middel om iemand te identificeren' zijn."
Blijft discutabel, vind ik. Ja, het is een goed middel als je de persoon voor je hebt en dan checkt of deze voldoende lijkt op de foto op het bijbehorende ID-bewijs (hoewel dit ook geen 100% garantie biedt). Maar het vragen om een kopie zonder de persoon zelf te zien, zegt alleen maar dat iemand beschikt over het ID-bewijs van de betreffende persoon. En zelfs dat is niet gegarandeerd...misschien beschikt hij alleen over een kopie van het ID-bewijs van de betreffende persoon...

[Werelds]

Klopt, maar dan kom je op het punt waar de verplichting is dat je de identiteit van iemand "zo accuraat mogelijk" moet bevestigen.

Je kunt, vooral als online media, mensen niet verplichten naar een kantoor of iets dergelijks te komen zodat je hun ID kunt controleren. In het geval dat iemand contact op neemt buiten een online omgeving waarbij men is ingelogd, heb je niet veel mogelijkheden om een identiteit te controleren. Een email bevestiging voldoet niet, daar is email veel te kwetsbaar voor.

In dit geval is het gewoon een lastige kwestie, voor zowel DPG als de AP. De AP zit daarentegen wel fout met hun afhandeling hiervan, want blijkbaar had DPG dus al gevraagd of dit beleid voortgezet mocht worden, wat betekent dat DPG zelf al met de kwestie aan het worstelen was. DPG daarentegen zou inderdaad eerst andere methodes voor moeten stellen (inloggen lijkt me stap 1 ).

Ik heb hier zelf regelmatig mee te maken, waarbij er verzoeken om data binnen komen van vreemde email adressen en dergelijke. Doorgaans vogelen we wel uit of het een legitiem verzoek betreft, maar in enkele gevallen heb ik ook het advies gegeven om om een ID als uiterste oplossing te vragen. Want waar @i-chat hierboven met recht aan geeft dat de AVG een heel belangrijk nut heeft, is de AVG ook meteen een middel dat veel meer gebruikt wordt door louche figuren om gegevens van bedrijven los te peuteren dan velen denken. En het kost ook veel meer tijd om aan te voldoen dan velen denken. Je moet een goed team hebben dat door de bullshit van deze figuren heen weet te prikken; ik heb gespoofte email adressen gezien, gevallen waar men het telefoonnummer en/of NAW van het slachtoffer in kwestie al wist, enzovoort. Met name zodra er mogelijk betalingsgegevens (of zelfs transactiehistorie) vrijgegeven moeten worden raad ik m'n klanten dan aan om om een ID te vragen. Of dat dan legitiem is, is niet te controleren, vooral niet bij internationale websites die niet eens lokale kantoren hebben

[i-chat]

een oplossing die al minder heftig zou kunnen zijn is niet vragen om een copy te maken maar om het te laten zien, denk bijvoorbeeld aan een videocall via whatsapp, facebook, facetime, jitsimeet, google meet, of Microsoft teams. waarbij mensen dus een call joinen de camera aanzetten hun hoofd EN hun id-bewijs goed laten zien en de call weer verlaten. het grote verschil is dat je op zo'n moment alleen mensen aan het identificeren bent en niet zozeer hun paspoort aan het verwerken bent (het staat niet in je mailbox of in een online dms. of wat ;dan ook. er staat dan simpeweg alleen nog maar.

< naam> [naam]
< email> [[e-mail]
< heeft om data verzocht> ja
< heeft zich geïdentificeerd> ja
< via > [whatsapp videobellen]
< op > 18-08-2023 om 12:50

en als je ECHT paranoya wilt zijn, en bang bent dat je niet kunt 'bewijzen' dat je die check inderdaad hebt gedaan dan kun je bijvoorbeeld 'kaart is geldig tot datum' er nog bij vermelden.
dat is van de 3 waardes, bsn, kaartnr en verlopen op de minst invasive.

[Reactie gewijzigd door i-chat op 22 juli 2024 21:58]

[Werelds]

Tuurlijk, maar wat mij betreft zijn ook dat allemaal matige oplossingen, omdat ze zo veel tijd vergen. Je laatste punt over bang zijn dat je niet kunt bewijzen dat je aan je identificatieplicht hebt voldaan is wel een heel belangrijke. Het wrange hier is dat je gegevens die je op hebt geslagen niet vrij mag geven zonder "redelijke" identificatie, maar tegelijkertijd moet je voor dat laatste dus ook door een hoop hoepels springen. En je wordt op de vingers getikt als je te makkelijk vrij geeft, maar ook als je het te moeilijk maakt. Het is een heel lastig verhaal, waarbij er wat hulpmiddelen missen

Dit is juist waar een Europese digitale identiteit voor ingevoerd zou moeten worden. Nu zullen velen ook daar privacy vraagtekens bij hebben, maar juist digitaal is dit veel makkelijker te waarborgen. Je gegevens staan al bij je eigen overheid en daar dienen ze ook te blijven. Wat "wij" (de bedrijven die aan dingen als de AVG moeten voldoen, maar ook andere wetgeving waarbij identiteitscontrole betrokken kan zijn) missen is een systeem waar wij de gebruiker naar een extern platform kunnen leiden, waar zij bevestigen wie ze zijn en wij simpelweg die bevestiging krijgen - niet gegevens ophalen, maar gegevens bevestigen. Net zoals bij bijvoorbeeld iDEAL of DigiD.

Je hoeft als dienstverlener niet op te kunnen vragen waar Jan Metdekorteachternaam woont, maar je wil wel kunnen bevestigen dat document AB12345678 toebehoort aan Jan Metdekorteachternaam, woonachtig te Ergens (wat je al "weet" omdat je dat om wettelijke redenen al moest opslaan bijvoorbeeld) en dat die persoon dat bevestigt door in te loggen, een app te gebruiken, zoiets. Ik zal hier niet verder op de technische kant in gaan, maar het zou een hoop dingen versimpelen en mogelijk maken. En het zou een berg aan handmatig werk versnellen

Voor mij persoonlijk is het probleem dat ik aan beide kanten van het verhaal zit. Als consument vind ik de AVG geweldig en heb ik er al meerdere malen gebruik van gemaakt (laat staan het recht van verzet voor telemarketing...als ZZP'er is dat héérlijk aangezien de KvK onze gegevens zo lang aan iedereen gaf). Maar als ontwikkelaar zie ik vooral de missende elementen in het hele verhaal. Voldoen aan het meeste van de AVG is niet zo'n probleem, vooral omdat ik zelf altijd al zo min mogelijk gegevens opsloeg. Maar dit verificatie stukje is gewoon een heel lastig verhaal. Vooral in gevallen waar je wettelijk verplicht bent wél gevoelige gegevens vast te leggen.

[supersnathan94]

Het wrange hier is dat je gegevens die je op hebt geslagen niet vrij mag geven zonder "redelijke" identificatie,

Maar identificatie van wat? Als ik zonder paspoort een account aan kan maken (alleen e-mail is voldoende), wat gaat het dan aan identificatie toevoegen als ik jou een paspoort laat zien? Daar kun je helemaal niks mee zolang je niet de achterliggende gegevens hebt.

In veel gevallen van mijn accounts heeft het bedrijf niet eens mijn daadwerkelijke naam en e-mail adres.

Het enige waar je mij mee kunt verifiëren is een e-mail sturen. Paspoort heb je helemaal niks aan.

[Werelds]

Dat is niet helemaal waar. In het geval dat jij beschrijft, waar je geen echte naam of email adres gebruikt, hebben zij waarschijnlijk ook 0,0 gevoelige gegevens van je. En ja, in dat geval volstaat een bevestigingslink via email, want dan bevat de dump niets bijzonders. Bij bijvoorbeeld een webshop zul je meestal toch echt je echte naam en adres op moeten geven en zij zullen dus meer moeten doen om je identiteit te verifiëren.

Mocht jij nou wel op een site zitten waar er iets meer gevoelige informatie beschikbaar is, maar jij niet je echte gegevens hebt gebruikt, zou ik persoonlijk die gegevens niet vrij geven zonder dat jij op z'n minst zelf in logt. Maar in het geval dat jij bijvoorbeeld je account op hebt gezegd en daarna pas je gegevens op zou vragen, zou je in mijn geval dikke pech hebben zonder een ID. Want jouw email adres is dan niet meer gekoppeld aan een account met wachtwoord, waardoor het geen betrouwbaar middel is.

Een voorbeeld uit de echte wereld is ook niet zo heel lastig. Valse namen en weggooi emails zijn hartstikke normaal op sites van lichte zeden kan ik je vertellen. Daar heb je vaak ook betaalmogelijkheden. Nu worden die niet transparant opgeslagen (of überhaupt in eigen systemen; iedereen die dit anno 2023 nog doet is gewoon dom), maar je transactie historie en de laatste 4 cijfers van een CC zijn ook gevoelige informatie. Als ik dan de naam van de kaarthouder heb (die echt móet zijn), is dat het stukje van m'n gegevens dat ik vergelijk met een ID. Heb ik dat niet, wil iemand een ID niet laten zien en kan de gebruiker niet rechtstreeks inloggen (account opgezegd bijvoorbeeld; of "geen toegang tot het oude email", vaak gebruikte smoes door louche figuren), is er geen mogelijkheid die persoon met redelijke zekerheid te identificeren. En dan komt die data dump er dus ook niet

[supersnathan94]

Bij bijvoorbeeld een webshop zul je meestal toch echt je echte naam en adres op moeten geven en zij zullen dus meer moeten doen om je identiteit te verifiëren.

Adres wel, verder niks. Ook met een paspoort hebben ze niks om het aan te koppelen.

Het punt is, je kunt helemaal niks verifiëren zonder koppelingen te maken die je niet van te voren hebt gemaakt.

In jouw geval met CC. Het enige wat dan ter verificatie kan dienen is de daadwerkelijke kaart

Naam en initialen zijn immers nog steeds niet voldoende om hard vast te stellen dat de kaart ook daadwerkelijk hoort bij die persoon. Een credit card is namelijk helemaal niet 100% waterdicht op naam. Zijn namelijk genoeg bedrijven die specifieke tussenkaarten aanbieden waarbij je een gegenereerde kaart krijgt en die zijn vaak anoniem en debit.

Maar even in het geval van DPG is er dus geen enkele reden om ID te vragen. Dat kunnen ze namelijk niet koppelen.

[comecme]

Via videobellen kan er toch heel simpel een printscreen gemaakt worden waardoor je alsnog een digitale kopie hebt van een id. Dus in hoeverre is dat veiliger dan?

[R4gnax]

Klopt, maar dan kom je op het punt waar de verplichting is dat je de identiteit van iemand "zo accuraat mogelijk" moet bevestigen.

Die verplichting bestaat niet.

Verwerkingsverantwoordelijken zijn in de basis verplicht de rechten van de betrokken inzake inzage; correctie; en verwijderen te faciliteren. Zij mogen op zo'n verzoek slechts antwoorden met een tegenverzoek om verdere identificatie waar er a priori gerede twijfel bestaat over de identiteit van de indiener van het verzoek vis-a-vis de identiteit van de betrokkene om wiens gegevens het verzoek gaat.

Als een verzoek om inzage in gegevens behorende bij een bepaalde account binnenkomt vanaf het email adres wat het geregistreerde contact-adres van die account is, dan bestaat die gerede twijfel per definitie niet - tenzij aangetoond kan worden (bewijslast bij de verantwoordelijke) dat er bijv. rare zaakjes zoals herhaaldelijk gefaalde logins op de account geweest zijn voorafgaande aan zo'n verzoek, die zouden aangeven dat er potentieel iets mee aan de hand is.

[Werelds]

Dat laatste ben ik, en met mij op z'n minst enkele autoriteiten verantwoordelijk voor GDPR controle, het niet mee eens - althans niet de manier waarop jij het stelt

Het is bijzonder eenvoudig email adressen te spoofen. Enkel naar de inbox kijken en zien dat de email als afzender [e-mail] heeft, is niet genoeg. SPF, DMARC en DKIM dienen ook geverifiëerd te zijn en zelfs dan ben je er niet, want dat bevestigt enkel het domein. Bij een provider als Gmail zal het je niet zo 1-2-3 lukken, maar er zijn talloze andere email providers waar je gewoon een ander local part van dat domein kunt spoofen, zonder enige vorm van authenticatie.

Email is per definitie een onveilig communicatiemiddel. Het verloopt niet gegarandeerd via beveiligde verbindingen (je wil niet weten hoeveel email providers en gebruikers gewoon op SMTP/IMAP zonder TLS zitten), er is geen manier om er 100% zeker van te zijn dat het adres niet gespooft is; en zelfs als dat níet het geval is, is er ook geen mogelijkheid om er zeker van te zijn dat de login er achter niet door een ander misbruikt wordt.

Exact deze vraag heb ik bijna 6 jaar geleden bij enkele autoriteiten neergelegd (niet de AP overigens, wel o.a. de ICO in het VK) en zij vinden enkel naar de afzender kijken niet voldoende als er meer gevoelige data opgeslagen is buiten het email adres zelf.

[R4gnax]

Email is per definitie een onveilig communicatiemiddel. Het verloopt niet gegarandeerd via beveiligde verbindingen (je wil niet weten hoeveel email providers en gebruikers gewoon op SMTP/IMAP zonder TLS zitten), er is geen manier om er 100% zeker van te zijn dat het adres niet gespooft is;

En in zo'n geval kun je om aanvullende identificatie vragen; omdat bij automatische controle van het afzenderadres bijv. geconstateerd wordt dat er niet van een beveiligde verbinding gebruik gemaakt is voor uitwisseling; dat er iets aan SPF, DMARC of DKIM schort; etc.

Maar als een email door al die automatische checks gewoon heen rolt; dan is de vraag die je je moet stellen: heb je nog voldoende basis voor gerede twijfel? Dwz: hoe waarschijnlijk is het dat je daar dan nog met een malafide verzoek te maken hebt? En wat kun je daar dan proportioneel gezien redelijkerwijs nog als extra verificatie-eis tegenover zetten?

[Reactie gewijzigd door R4gnax op 22 juli 2024 21:58]

[SuperDre]

Klopt, maar hoe wil je anders dit doen? Helemaal geen controle en dus simpel iemand toegang geven tot persoonsgegevens?
En zelfs up-close-and-personal controle van een ID geeft je nog geen garantie, want wie controleert alle beveiligingsopties van het ID? Een ID is redelijk simpel na te maken met een andere foto, waarbij de leek dit gewoon voor een echt ID aan ziet.

[Tintel]

Langskomen en ID laten zien? ipv opsturen een stuk beter toch?

[i-chat]

in een andere reactie gaf ik ook al aan dat je ook zaken als videobellen kunt gebruiken, om een id-kaart te tonen. en afhankelijk van de 'gevoeligheid' van de data kun je natuurlijk ook gewoon volstaan met een mailje van het bij hen bekende adres - al moet je natuurlijk wel oppassen dat gevoeligere data daar niet geschikt voor is omdat mailboxen immers ook gestolen kunnen zijn.

[Tintel]

Ja, dat van de mail bedacht ik me ook al - maar omdat ze dan eerst weer meer gegevens nodig zouden kunnen hebben (al is een mailadres vaak wel het minste).
Maar mailadressen zijn eigenlijk helemaal niet zo geschikt hiervoor helaas. Die kunnen wijzigen en hergebruikt worden en ook dus gehacked idd.

De oplossing zou kunnen zijn dat je een gewaarmerkt 'bewijs van woonadres' kunt ophalen bij je gemeente (met korte geldigheidsduur) die je alleen krijgt als je jezelf legitimeert op het gemeentekantoor.
Vervolgens moeten die gegevens worden doorgestuurd naar DPG, die dan de gegevens naar dat adres kan toesturen.

[mrmrmr]

Bewijs van woonadres kun je niet ophalen bij de gemeente. Er is wel een uitreksel BRP. Maar daar staan alsnog teveel gegevens op, o.a. volledige naam, burgelijke staat, namen van ouders, nationaliteit, geboortedatum. Dit kost iemand veel geld en is daarom ongeschikt. Het is veel makkelijker om een gebruiker te laten inloggen of te laten bevestigen via 2 factor authenticatie. Dat moet je gewoon standaard geregeld hebben op het moment dat je gebruikers gaat accepteren.

Verder is het per gesloten post toezenden van de informatie bijna altijd goed, want dat is gericht aan de persoon in kwestie. Als eventuele extra maatregel kan voor zover nodig om een kopie worden gevraagd van geaddresseerde post van instanties zoals overheid of banken.

Als je bijvoorbeeld solliciteert en je vraagt na sluiting om verwijdering, dan is er geen noodzaak om een moeilijk identificatieproces per paspoort te doorlopen. Dat kan gewoon via e-mail vanaf het bekende adres. Het "ja maar hackers" argument is niet van toepassing omdat het belang ontbreekt.

[comecme]

Hoe weet een bedrijf als DPG dat postadres dat je noemt bij opvragen van persoonsgegevens, daadwerkelijk van jou is?

Of heb je het nu expliciet over abonnees van een papieren krant of magazine?

[mrmrmr]

Gegevens die zijn opgegeven bij de aanvraag kunnen worden nagevraagd en geverifieerd. Dat is het authenticatie deel, de transportmethode is een stap die na authenticatie plaats kan vinden.

[Tintel]

Ik weet wel dat het ['bewijs van woonadres'] nu niet kan(?) - en vervolgens kom je weer met de oude oplossing (je e-mail of telefoonnummer) in een 2-factor autrhenticatie. Het bezwaar was nu juist dat je e-mail of telefoon ook niet zo heel vast hoeft te zijn. Wat er gemakkelijker is, is dan even niet relevant.

En dan herhaal je mijn voorstel van dan maar fysiek opsturen...

Wonderlijke toevoeging... (die notabene een +1 krijgt....niet dat ik daar mee zit of zo maar bijzonder...)

[mrmrmr]

Een reden dat ik reageer is in de eerste plaats dat je denkt dat je bij de gemeente een bevestging van woonadres kunt ophalen. Dat ligt niet zo simpel. Het kost geld, tijd, en op een uitreksel BRP staat veel meer op dan nodig. Misschien denk je aan een bevestiging van handtekening (legalisatie van handtekening). Dat kan ook - op een eigen formulier met minder informatie, maar daar vragen sommige gemeenten ook meer dan 15 euro voor. Dan zet je een handtekening waar de ambtenaar als vertegenwoordiger van de burgemeester tekent dat je die hebt gezet en een stempel zet. Dan loopt de teller aardig op in investering in tijd en geld. Dat is een te hoge drempel.

Legalisatie van een handtekening kan ook bij de notaris. Die vraagt daar typisch meer dan 50 euro voor.

De - voor zover mij bekend - enige gratis manier van aanvragen bij de Belastingdienst om een woonplaatsverklaring volgens artikel 4 van een verdrag met een buitenland. Daarop staat dat het adres voor een bepaald jaar bijvoorbeeld 2023 is en een naam van een persoon (voorletters en achternaam) of bedrijf. Technisch kan een vorige bewoner met dezelfde naam ook zo'n statement vragen. Het kan lang duren voordat je die verklaring hebt.

Maar je moet ergens ermee met de achterdocht stoppen. Het gaat immers in veel gevallen niet om heel belangrijke of kostbare informatie. Dit is volgens mij een goede richtlijn: maak uitschrijven niet moeilijker dan het was om in te schrijven en de methode moet passen bij het belang. Je moet zorgen dat je voldoende zekerheden (bv. shared secrets, bij voorkeur geen directe persoonlijke informatie zoals een geboortedatum) hebt ingebouwd in het registratieproces.

[Tintel]

Ja - je hebt gelijk dat het niet direct kan en ook een drempel van kosten wordt opgeworden. Het was dan ook niet meer dan suggestie om een intantie te betrekken die constant is en de gegevens mag/moet hebben waar het om gaat.

En de achterdocht is niet zozeer mijn probleem. Het gaat erom dat instanties niet zomaar die gegevens die ze hebben zouden mogen afgeven (of schrappen). Dan moet wel duidelijk zijn dat de aanvrager dat mag aanvragen. Shared secrets is leuk idee maar bij lange duur en bij veel van dat soort secrets gaat onherroepelijk 'hergebruik' optreden. - dus geen geheim meer.
Het punt is dat de achterdocht van de instantie terecht is - niet iedereen zou - zelfs beperkte - persoonlijke informatie mogen opvragen. Alleen de eigenaar mag zoiets. En nu is een mailadres of telefoonnummer een veel gehoorde oplossing maar die zijn helemaal niet zo ingericht. Een telefoonnummer kan veranderen, een mailadres kan vervallen, in onbruik raken, niet meer toegankelijk zijn, enz.
Vandaar dat ik een andere suggestie deed.

[oltk]

Zo doen wij het inderdaad. Als je problemen hebt met data dat wordt verwerkt kan je gewoon een afspraak maken en gaan we erover praten.
Wel ID meenemen,

[lilmonkey]

Dat is dus ook een overtreding van de AVG. In het artikel wordt nota bene verteld dat de rechter oordeelt dat vragen om het opsturen van een ID-kaart al een onnodige drempel is, laat staan langskomen.

[oltk]

En hoe moet je dan controleren dat je rechtmatig de spullen aan de juiste persoon stuurt?

Ik ben heel erg benieuwd. Want als je geen drempel opwerpt gaat de AP boetes uitkeren omdat we te lichtzinnig, zonder controle gegevens sturen.

[supersnathan94]

En dan?

Als ik nu naar tweakers HQ ga met m’n paspoort. Wat bewijs ik dan?

Het enige wat ik bewijs is dat ik een geldig ID heb en dat ik die persoon ben. Het zegt alleen niks over mijn username.

Een daadwerkelijk kloppende manier (voor tweakers) zou een aanvraag zijn via een webpagina met log in.

Willen ze er extra zeker van zijn dan kunnen ze alle gegevens op een versleutelde USB stick versturen naar het adres wat in bestand staat (want elite member) en mij het wachtwoord geven via DM.

[ronaldvr]

Hoe wil je het anders doen is natuurlijk geen steekhoudend argument, dat is het nooit. Ik merk dat mensen dat tegenwoordig vaker gebruiker "ja maar ik kon niet anders" Bullshit als de wet zegt dat het niet mag, dan mag het niet, simpel. Daar is met allerlei overwegingen toe besloten, en daar komt iemands persoonlijke ongemak niet (meer) als factor in terug.

[oltk]

maar leg nou eens uit? welke methode is dan wel goed? je moet wel een alternatief bieden die wel mag. Want als je alleen maar over alles toetert dat het niet mag, doe je het altijd fout. En dat is ook onrechtmatig (je moet wel een perspectief hebben om goed te handelen volgens de wet).

[ronaldvr]

Zoals @jochemd hier: jochemd in 'Rechter: DPG Media overtrad AVG, maar AP had geen boete mogen opleggen' uitlegt, heeft de Autoriteit Persoonsgegevens daar een antwoord opgegeven. Daarnaast is dat -wederom- een onzinnig argument. Als de vraag is: "Hoe kan ik laten vaststellen of ik persoonsgegevens heb verzameld over mensen zonder dat ik een relatie met ze had, en hoe verifieer ik vervolgens hun identiteit". Dat is duidelijk: dat was al illegaal en dat bleef het dus dat had je niet mogen doen. Het antwoord op de vraag "hoe kan ik voorkomen dat ik gepakt wordt als ik met 200 over de snelweg rijdt" is ook niet "daar had de wetgever in een uitweg moeten voorzien", het antwoord is "dat moet je dus niet doen". Dat je jezelf vervolgens in een lastige positie hebt gemanoeuvreerd is niet het probleem van de wetgever.

[oltk]

Huh

Wij gebruiken regelmatig persoonsgegevens omdat we anders ons werk niet meer kunnen doen voor BV Nederland. Sinds wanneer is het verwerken van persoonsgegevens illegaal?

[Triblade_8472]

Er zijn toch diensten via banken tegenwoordig? Laat ze daarop aansluiten als groot bedrijf.

[supersnathan94]

Inloggen en een knop geven zoals alle andere grote partijen dat ook hebben?

Er is niets wat een account aan een persoon koppelt dat een medewerker zou kunnen controleren anders dan toegang tot het mail adres wat gebruikt is bij registratie.

[robertlinke]

ja, het kan inderdaad gejat zijn, goed punt

[Arjan P]

Goede zaak dat ook een toezichthouder wordt teruggefloten. Lijkt erop dat DPG alles goed heeft gedaan in het proces (uiteraard te ver ging maar zich al afvroeg of dat zo was), en de AP heeft gefaald. Een toezichthouder kan ook te streng zijn, met meteen een boete op te leggen als de fout voor een groot deel bij jezelf ligt.

[Lord Anubis]

DPG heeft het helemaal niet goed gedaan, waar lees jij dat nu weer? AP heeft volgens de rechter, en vind de beslissing meer een persoonlijke reactie dan juridisch, een tekortkoming in het hele plan gehad.

Als je je aan de regels houd dan kan je nooit te streng zijn; dus AP was te zwak in het voorbereiden. En bij AP zelf?

Lees eens van Cyb schreef; DPG mag het op voorhand vragen van je ID helemaal niet.

[Arjan P]

Mijn punt is helemaal niet dat DPG alles goed heeft gedaan, daarom schrijf ik ook 'in het proces'. AP heeft de nieuwe regels gewoon niet duidelijk gemaakt en nam maanden de tijd om te reageren, waar DPG telkens binnen twee weken reageerde. Dan is een boete zeker niet op z'n plaats, dus goed dat de AP is teruggefloten.

[vduits]

Tja, het is natuurlijk ook wel een moeilijk gegeven. Je moet gegevens zoveel mogelijk (pseudo) anonimiseren, maar je moet ook de juiste persoon data kunnen laten verwijderen. Dat dilemma ben ik zelf ook tegengekomen tijdens het ontwikkelen van een profileringsysteem, maar als je het meeneemt in het ontwerp is dat een stuk minder ingewikkeld dan achteraf.

Vaak werpen bedrijven flinke barrières op om aan dataverzoeken te voldoen. Een ID gaat inderdaad ook erg ver, omdat hierdoor juist nog meer privacy onvriendelijke en zelfs veiligheidsrisico’s ontstaan. Ik zie in dat je ook zeker wilt zijn dat de juiste persoon inzicht heeft in de data, maar ik kan mij niet voorstellen dat er geen andere methoden zijn om aan deze verzoeken te voldoen. Zelfs als iemand bijvoorbeeld geen profiel heeft aangemaakt en het dus niet veel verder gaat dan associaties door cookies is dat haalbaar. Ik denk omdat deze zaak in de 'beginmomenten' van de inwerking van de AVG was, dat dit meer te maken heeft gehad met de ‘tooling’ om iemand om te zoeken toen intensiever is.

Maar het komt toch ook vandaag de dag gewoon nog te vaak voor dat organisaties deze dataverzoeken met een handmatig component moeten uitvoeren en dat deze barrières wel handig zijn om niet teveel aan deze 'lastige/vervelende' vragen te hoeven voldoen.

Vanuit het AP moeten er gewoon meer voorbeelden komen hoe ook vanuit meer anonieme situaties iemand toch een dataverzoek kan doen zonder een meer privacy-gevoelig onderdeel te vragen. Dat kan echt wel, maar veel organisaties voelen zich nog niet gedwongen om dat in het ontwerp van hun applicaties of organisatie op te nemen. Ik ben alleen bang dat dit alleen door jurisprudentie zal gebeuren, terwijl misschien een betere en actieve informatierol beter werkt. Nu zal het AP veel vragen achter de schermen aan het beantwoorden zijn, wat niet echt helpt bij de werkdruk die ze ervaren.

[Reactie gewijzigd door vduits op 22 juli 2024 21:58]

[R4gnax]

Ik denk omdat deze zaak in de 'beginmomenten' van de inwerking van de AVG was

De AVG was van kracht sinds medio 2016 en zou van toepassing worden in 2018.
Vanaf 2016 wist iedereen in principe al waaraan men zou moeten gaan voldoen.

Dus deze zaak speelde helemaal niet in de beginmomenten - maar goed wel 2.5 jaar later.
Waar DPG alle tijd gehad had om zaken uit te pluizen.

Maar dat hebben ze wss. niet gedaan. Want - net zoals vele andere data-hoarders - zullen ze gewoon gedacht hebben: "Zolang we nog kunnen, lekker door blijven gaan. We krijgen vast toch eerst een waarschuwing of twee. En dan kunnen we nog kijken..."

[Floort]

Meewerken in het onderzoek van de AP is op zichzelf geen reden om geen boete te kunnen krijgen. Ik denk dat de AP door wat eerder te laten weten dat het niet klopt (heb moeite met dat punt van de rechter, maar goed) en wat vlotter het onderzoek had afgerond dat de boete gewoon stand had gehouden.

[i-chat]

Let wel: de boete wordt mede bepaald door:
• de aard van de overtreding,
• in hoeverre er sprake was van kwade wil of voordeel trekken uit
• de duur van de overtreding.

maar er moet ook nog worden gekeken naar of het middel wel het juiste middel is, in het publiek recht is er altijd de vraag is dit het juiste middel, dat zie je bijvoorbeeld ook in het strafrecht, soms krijgen mensen 20 jaar soms krijgen ze een veel kortere straf met verplichte GGZ zorg. dan heeft de rechter dus geoordeeld dat het beter is om iemand door verplichte ggz te laten inzien wat er mis is, dan extra zwaar straffen het eerste doel is immers altijd 'herhaling voorkomen' en dan komen pas de doelen wraak en voorbeeldstelling.

had de AP in deze zaak een voorwaardelijke boete gegeven (een last onder dwangsom) dan hadden ze tegen DPG gezegd, binnen 2 weken stoppen met deze bullshit en aan ons vertellen hoe jullie het voortaan anders doen, EN alle kopieën verwijderen, of anders krijgen jullie een boete. grote kans dat DPG dan had gezegd, nou prima, als dit niet mocht dan stoppen we daar natuurlijk direct mee, en hadden we ons weer een rechtszaak kunnen besparen

[Floort]

Er waren minder ingrijpende manieren die waarschijnlijk sneller en efficiënter waren geweest. De boete is daarom ook onderuit gehaald. Maar niet omdat DPG netjes heeft meegewerkt tijdens het onderzoek. Ook is het niet heel gek om bij herhaaldelijke overtredingen toch voor een boete te gaan. Dat de boete wel stand had kunnen houden en dat de AP ook andere middelen had kunnen inzetten sluit elkaar niet volledig uit.

[Reactie gewijzigd door Floort op 22 juli 2024 21:58]

[PC3-17000]

En wat is dan wel goed in plaats van een identiteitskaart? Dat zie ik volgens mij nergens vermeld staan. Het lijkt mij niet meer dan logisch dat jij bewijst de persoon te zijn door je ID op te sturen.

[Mark_88]

Verifiëren van identiteit kan aan de hand van legio zaken. Log-in, NAW, geboortedatum. De standaard dingen waarme je identiteit geverifieerd wordt als je naar de klantenservice van een bedrijf belt. En die zijn allemaal minder ingrijpend dan je BSN even overhandigen.

[Reactie gewijzigd door Mark_88 op 22 juli 2024 21:58]

[oltk]

Nee. Want dat zijn geen wettige identificatiemiddelen. En dan kan je onrechtmatig spullen overhandigen aan mensen die hier geen recht op hadden.

Dus probeer het eens opnieuw. Hoe moet ik mij rechtmatig identificeren? Volgens wettelijke normen?

[R4gnax]

De discussie omtrent wettige identificatiemiddelen is hier niet van toepassing.

Artikel 12 stelt dat verwerkingverantwoordelijken in de basis verplicht zijn het recht op inzage te faciliteren. En dat zij een verzoek tot zulks slechts mogen beantwoorden met een tegenverzoek om aanvullende gegevens die kunnen helpen de identiteit van de indiener van het verzoek vast te stellen als zijnde de betrokkene, daar waar er reeds gerede twijfel over de identiteit van de indiener bestaat.

Bij gevolg kwalificeert middels het data-minimalisatie principe uit de basis-principes gegeven in Artikel 5, elke minimale vorm van additionele identificatie die afdoende deze twijfel ontneemt.
Volledige identificatie via een nationaal identiteitsbewijs is niet wettelijk vereist. Het vereisen ervan is zelfs wettelijk verboden.

[Reactie gewijzigd door R4gnax op 22 juli 2024 21:58]

[oltk]

Ik ben geen jurist, sorry.

ìk denk dat je bedoelt dat er andere, minder zware, middelen zijn om de identiteit van een vrager vast te stellen. Interessant is dat dit dus ter beoordeing is van de verwerkingsverantwoordelijke. Dat is natuurlijk goed: laat die verantwoordelijkheid ook vooral bij de mensen die het moeten doen.

Maar voordat ik persoonsgevoelige info ga delen met een derde wil ik toch iets meer checks hebben dan een NAW. En mogelijjk "ik lan inloggen op". En waarom is NAW dan wel toegestaan? dat is immers ook een persoonsgegeven?

[Mark_88]

Is 'wettig' dan de norm? Hoe kan het dan dat ik mijn gegevens overhandigd krijg van andere instanties, na slechts het aanleveren van basisspul als NAW?

[watercoolertje]

En wat is dan wel goed in plaats van een identiteitskaart? Dat zie ik volgens mij nergens vermeld staan. Het lijkt mij niet meer dan logisch dat jij bewijst de persoon te zijn door je ID op te sturen.

Ik had bij nu.nl mijn echte naam niet gebruikt en hier evenmin, dus ik zou mijn accounts niet kunnen laten verwijderen met mijn ID?

En hoe bewijst dat ID dan dat je dezelfde persoon bent als die controle bij het aanmaken helemaal niet gedaan is?

[kodak]

Ik heb mijn twijfel over de uitspraak dat een id vragen op zich een goed middel is en dus een verzachtende omstandigheid.

Redelijkheid of proportioneel zijn van een middel is niet zomaar van toepassing omdat het middel bestaat of omdat het in bestuursrecht (waarnaar de rechter verwijst) in specifieke situaties met overheden het dus maar ook voor bedrijven of anderen op gaat. De wetgever stelt namelijk niet zomaar extra eisen en beperkingen aan het middel. Dus ze opzettelijk los willen en gaan beschouwen van die context klinkt meer als meer belang hechten middelen op zich te bekijken en de context maar bijzaak te vinden.

In dit geval zijn de twee uitspraken waarnaar is verwezen ook nog eens specifiek bestuursrechtelijke zaken, waarbij een id als middel al een andere achtergrond heeft dan bij bedrijven. Als je bij bestuur of overheidsorganidaties echt formele zaken moet regelen is het heel gewoon dat het zeer persoonlijk is met uitgifte en controle van identiteit op basis van het id of afgeleide daarvan. Bij bedrijven ligt dat veel meer op relatie tot werknemers of wettelijke verplichting, niet dat het op zich een redelijk middel is.

[Reactie gewijzigd door kodak op 22 juli 2024 21:58]

[R4gnax]

Inderdaad. Dit is nou eens een geval waar er met één maat wordt gemeten, maar er eigenlijk twee van toepassing zijn.

Daarnaast zal ik je even bijspringen en stellen:
het argument van de rechtbank dat de boete zo heel hoog zou zijn, is dus ook gewoon kul.


De jaarwinst van DPG zit rondom de 200mil EUR.
De omzet ligt dus nog een flinke tik hoger, maar laten we die 200mil even als ondergrens nemen.
Dan zou 500k dus 0.25% zijn.

De AVG kent twee boete categoriën. Te weten: een lage categorie tot aan 2% jaaromzet in Art 83.4 en en hoge categorie tot aan 4% jaaromzet in Art 83.5

Alle overtredingen in zake de rechten van de betrokkene op inzage en correctie van gegevens, vallen onder de hoge categorie. Hier overtreedt DPG artikel 12.2. Zij moeten de rechten op inzage, correctie en verwijdering faciliteren; en volgens artikel 12.6 mogen zij slechts weigeren bij gerede twijfel inzake de identiteit van de persoon die het verzoek indient en daarbij om verdere informatie vragen die de identiteit kan bevestigen.

Bij een standaardaanvraag via het geregistreerde email adres bestaat zulke gerede twijfel helemaal niet.
En al helemaal niet in gevallen waar de gekoppelde account al afgezworen en de-facto gesloten is; maar enkel nog de verantwoordelijke beschikking heeft gehouden over de gegevens omdat deze niet
automatisch mee verwijderd worden. Dat is dus overtreding #1 in het hoge segment.

Vervolgens vragen zij in een geval waar er dus al geen sprake kan zijn van gerede twijfel, om een volledige kopie nationaal identiteitsbewijs. Dat is een schending van Artikel 9. Gegevens waaruit ethniciteit blijkt, zoals het nationaal identiteitsbewijs, mogen niet verwerkt worden, tenzij in uitzonderlijke situaties. De enige situatie op die lijst is waar de betrokkene uitdrukkelijk toestemming heeft verleend. Maar zoals we allemaal weten moet zulke toestemming om rechtsgeldig te zijn, vrijelijk gegeven zijn. En als daar tegenover staat dat je, zonder die gegevens prijs te geven, je account niet opgeruimd kunt krijgen - dan is dat dus niet een geval van vrijelijk gegeven. Dus DPG had niet om het ID bewijs mogen vragen. En dat is overtreding #2 in het hoge segment. Want Artikel 9 valt daar ook onder.

Maar wacht; het is ook een overtreding van het data-minimalisatie principe zoals gesteld in Artikel 5.1c. Want je kunt met veel minder indringende middelen toe. En ja; ook Artikel 5 valt in het hoge segment. Dus de teller gaat naar 3.

Maar wacht! We zijn er nog niet. Want het is ook een overtreding van de Nederlandse wet inzake nationale identiteitsbewijzen. Want DPG mag daar bij wet helemaal niet om vragen. En Artikel 87 uit hoofdstuk IX van de AVG geeft lidstaten het recht dit soort aanvullende bepalingen te maken waar het verwerkingen van nationale identificatienummers betreft.

En, ja, je raadt het vast al: alle artikelen uit hoofdstuk IX vallen ook onder het hoge segment.
Dus overtreding nummer vier.


Nu is het zo dat autoriteiten zich aan de richtlijnen van de EDPB moeten houden om EU-breed een consistent boete-beleid te voeren. Deze stellen een aantal toetsingseisen en rekenmethodes vast, waaronder valt of er sprake is van individuele overtredingen of een samenloop van overtredingen in een logische keten; of er sprake is van overlappende overtredingen waar het één een gedeeltelijke specialisatie of causaal gevolg is van het ander; etc.

De facto kom je in de meeste gevallen uit op het feit dat er slechts één boete gegeven mag worden waarbij als maximale hoogte, de maximaal vastgestelde hoogte geldt voor de zwaarste overtreding.
Dat is hier dus een overtreding binnen de hoge categorie (max 4% jaaromzet).

Maar let op! Om de daadwerkelijke hoogte van de boete binnen die norm vast te stellen is het dus wel de bedoeling dat alle overtredingen als afzonderlijke overtredingen in acht genomen worden als maatstaf voor zwaarte van de totale overtreding.

En dan begint ~0.5% van een maximale 4%, dwz grofweg 1/8e van de maximale boete ineens heel courant te lijken, voor totaal 4 overtredingen - alle vier in het hoge segment - niet?

Als je dan ook nog eens na gaat dat 200mil de jaarwinst is en dus de absolute ondergrens van de jaaromzet van DPG. Dat in realiteit het zo is dat een gezond bedrijf ca. 5% winstmarge heeft, wat wil zeggen dat de omzet ~20 keer zo hoog zal zijn geweest. En dat de boete daarmee feitelijk naar alle waarschijnlijkheid slechts 0.025% van de omzet en grofweg 1/160e van het maximum betreft...

nou. Dan was dat dus eigenlijk gewoon een schijntje en hadden ze er heel licht vanaf gekomen.

----

Conclusie: kan iemand even zorgen dat de rechtbank die hier uitspraak over gedaan heeft, zich wat gaat bijscholen en tot die tijd geen uitspraken meer doet in dit soort gevallen?
Dank u wel!

[Reactie gewijzigd door R4gnax op 22 juli 2024 21:58]

[brobro]

Als tweakers.net mij naar m'n ID vraagt weten ze ineens meer van me dan nu. Klinkt mij ook niet logisch. Ik heb een emailadres nodig om hier een account aan te maken, dan moet dat ook genoeg zijn om persoonsgegevens die daaraan gekoppeld zijn op te vragen.

Overigens: en om het account op te heffen. Super raar dat dat niet kan bij tweakers. Lijkt me een vrij fundamenteel recht ook.

[SpaceDok]

Waar het hier om gaat, zoals Cyb hierboven al aangeeft, is dat als bijvoorbeeld ik een papieren brief (dus niet ingelogd te zijn en geen digitale communicatie) naar DPG stuur dat ik “brobro” ben en ik graag mijn gegevens wil opvragen en daarna m’n account wil opheffen, DPG dan om een kopie van mijn paspoort vroeg om te controleren of ik wel brobro ben. Dat ze daarvoor de ID willen checken is juist heel goed en laat zien dat DPG daar probeert goed te handelen.
Maar een kopie vragen van m’n paspoort mag inderdaad niet en daar heeft de AP ook tegen opgetreden.
Wat de AP daarna niet goed heeft gedaan waardoor de boete uiteindelijk is afgewezen is dat zij niet adequaat heeft gereageerd op de antwoorden en verzoeken die DPG toen heeft gedaan.

Verder zal er altijd een discussie zijn over de hoogte van boetes, voor elk type overtreding. Of het nu “pijn” doet of niet, het is nooit leuk om een boete te krijgen, zeker niet als dit ook openbaar gepubliceerd wordt.

/edit… typo

[Reactie gewijzigd door SpaceDok op 22 juli 2024 21:58]

[batjes]

Dat ze daarvoor de ID willen checken is juist heel goed en laat zien dat DPG daar probeert goed te handelen.

Hoe gaat het legitimatie helpen als je je nog nooit geidentificeerd hebt met legitimatie. Zelfs al zou je bij account-creatie je legitimatie gebruikt hebben, de enige methode om dat jaren na dato nog voor verificatie te gebruiken is..... is door een kopie te bewaren.