AP geeft Uber recordboete van 10 miljoen euro voor slechte info inzageverzoek

Uber heeft een AVG-boete van tien miljoen euro gekregen van de Autoriteit Persoonsgegevens. De taxidienst geeft chauffeurs te weinig inzage en rechten rondom hun privacy, concludeert de toezichthouder, die vijf overtredingen constateert en daarom veruit de hoogste boete ooit uitdeelt.

De Nederlandse privacytoezichthouder legt Uber een boete van tien miljoen euro op voor het schenden van de privacy van 172 Franse taxichauffeurs. Die hadden in juni 2020 een klacht over Uber ingediend bij een lokale Franse non-profitorganisatie, die op zijn beurt de klacht doorspeelde aan de nationale toezichthouder. De Commission nationale de l'informatique et des libertés stuurde de klacht juist weer door naar Nederland, omdat daar het hoofdkantoor van Uber gevestigd is. De boete komt voor rekening van Uber BV, dat onder het Amerikaanse moederbedrijf Uber Technologies Inc. valt.

De boete draait onder andere om de manier waarop Uber-chauffeurs konden opvragen welke gegevens Uber over hen verzamelt. Chauffeurs konden dat via een digitaal formulier opvragen. Daarvoor moesten ze echter veel stappen doorlopen, stelt de AP. Vanuit de app moesten chauffeurs acht stappen in een menu doorlopen. Daarmee overtreedt Uber artikel 12 van de AVG, stelt de AP. Daarin staat dat inzageverzoeken makkelijk moeten worden aangeboden.

Uber merkte daarbij zelf overigens op dat het nog vier andere mogelijkheden heeft om informatie-inzageverzoeken te doen. Dat was bijvoorbeeld ook mogelijk via de website. Daar is de AP het niet mee eens. De toezichthouder erkent dat die mogelijkheden bestaan, maar concludeert dat 'de voornaamste interactie tussen Uber en de chauffeurs plaatsvindt via de chauffeursapp'. "Om deze reden is de AP van oordeel dat in ieder geval in de chauffeursapp de chauffeurs gefaciliteerd moeten worden in de uitoefening van hun rechten", stelt de AP.

Te vaag CSV-bestand

Uber stuurde een .csv-bestand met info, maar gaf slechte uitleg over de inhoudWanneer een inzageverzoek vervolgens wordt gehonoreerd, stuurt Uber een .csv-bestand op. Dat is volgens de AP te vaag, met name omdat Uber geen uitleg geeft over 'hoe de informatie uit een dergelijk bestand gestructureerd kan worden weergegeven'. Bovendien is de informatie die Uber wél meestuurt alleen in het Engels beschikbaar, terwijl dat ook in lokale talen zou moeten. "Deze overtreding raakt niet alleen de Franse chauffeurs, maar nagenoeg alle chauffeurs van Uber in Europa", schrijft de AP.

Uber overtreedt tot slot nog de AVG op drie manieren waarbij het bedrijf verwijst naar zijn eigen privacyverklaring. Dat doet het zodra chauffeurs een inzageverzoek doen. Uber verwijst dan bijvoorbeeld naar de maximale bewaartermijn die in die privacyverklaring is opgenomen. Die informatie is volgens de AP 'te algemeen'. Volgens Uber komt dat omdat de bewaartermijn per land, maar ook per categorie en soms zelfs per stad verschilt. Daardoor zou 'het noemen van specifieke bewaartermijnen leiden tot een uitbreiding van de privacyverklaring met tientallen tot honderden pagina's'. De AP erkent in het onderzoek dat dit onhandig zou zijn, maar zegt dat Uber het zich er te makkelijk vanaf maakt door te stellen dat gegevens 'zo lang als noodzakelijk' worden bewaard.

Hetzelfde gebeurt met de uitleg over het doorsturen van informatie naar andere landen en over het recht op gegevensoverdraagbaarheid. In het eerste geval zegt Uber niets over landen buiten Europa. In het tweede geval zegt het vervoersbedrijf niets over de mogelijkheid om gegevens over te dragen aan een concurrent. Met die drie laatste feiten overtreedt Uber artikel 13 van de AVG, dat gaat over welke informatie er in een inzageverzoek moet staan.

Langdurige overtreding

Uber is groot en de overtredingen gingen lang door, waardoor de boete extra hoog isDe AP keek voor de overtredingen naar de periode vanaf 25 mei 2018, toen de AVG van kracht werd. De overtredingen liepen door tot februari 2022, toen Uber een nieuw privacycentrum opzette waarin chauffeurs dergelijke inzageverzoeken konden doen. Dat was pas in november 2022 volledig klaar voor gebruik. De laatste overtreding stopt pas op dat moment.

Uber is het niet eens met de conclusies van de AP. Het bedrijf stelt in het onderzoek dat veel normen in de AVG te vaag beschreven zijn. In de AVG staat bijvoorbeeld dat bedrijven inzageverzoeken 'gemakkelijk toegankelijk' moet maken, maar niet hoe dat precies moet. Uber zegt dat er te weinig richtlijnen zijn om dat te bepalen. De AVG is bewust zo neutraal geschreven, zodat interpretaties in de eerste plaats bij bedrijven liggen. Toezichthouders of rechters kunnen vervolgens toetsen of dat klopt.

Recordbedrag

De boete is met afstand de hoogste die de Autoriteit Persoonsgegevens ooit heeft uitgedeeld. De vorige hoogste boete van 3,7 miljoen euro ging naar de Nederlandse Belastingdienst. Dat de boete voor Uber nu zo hoog is, komt volgens de AP vanwege de omvang van het bedrijf. "Bij de beoordeling van de zwaarte van de overtredingen weegt allereerst het aantal (mogelijke) betrokkenen mee. Het is de AP bekend dat in de periode van de overtredingen ongeveer 120.000 Uber-chauffeurs actief waren in Europa." Ook de duur van de overtreding, tussen mei 2018 en november 2022, speelt een belangrijke rol. Daar staat tegenover dat de boete hoger had kunnen zijn. Zo was de informatie van inzageverzoeken onvolledig, maar wel aanwezig.

Reacties (42)

[Anoniem: 85014]

Maar weer geen gevolgen voor de leidinggevenden en zaakvoerder(s) van Uber.

M.a.w. De aandeelhouders moeten opdraaien voor de misdaden van kaderpersoneel bij Uber.

[J_van_Ekris]

Maar weer geen gevolgen voor de leidinggevenden en zaakvoerder(s) van Uber.

M.a.w. De aandeelhouders moeten opdraaien voor de misdaden van kaderpersoneel bij Uber.

Het is aan de aandeelhouders om daar consequenties aan te verbinden.

[newq]

Geld is niet gratis meer, dus ze kunnen het er niet gewoon meer bij plussen. Ik denk dat dit wel een bedrag is waar een aantal vragen over gesteld worden.

[Nevalus]

Gevoelsmatig is Uber een bedrijf waarin dit soort zaken gewoon zijn ingecalculeerd.

[Sorcerer8472]

Ik denk het niet eigenlijk. Uber heeft $40 miljard omzet. 10 miljoen euro is een speldenprik. Uber is bovendien groot geworden met telkens de grenzen opzoeken en heeft een geschiedenis van het krijgen van boetes.

[muffer]

Een boete van 10 miljoen op een omzet van 40 miljard kun je het beste vergelijken met een 160 euro verkeersboete voor iemand die 640.000 euro netto per jaar verdiend (ivm hoe belasting werkt voor bedrijven). Dat is ~9% van het geld dat iemand met een dergelijk salaris per dag te besteden heeft.

[kimborntobewild]

Omzet zegt niks. Je moet kijken naar de winst.
En naar de inkomsten van de bazen: dalen die door de boete? En zo ja: hoeveel?

[Reactie gewijzigd door kimborntobewild op 22 juli 2024 21:58]

[cariolive23]

Een overtreding is nog geen misdaad. Anders is al snel een 80% van de samenleving een misdadiger... En maak mij niet wijs dat jij nog nooit zonder verlichting hebt gefietst, een keer geen hand uit stak, etc. etc. Volgens jouw definitie allemaal misdaden.

[Waterbeesje]

Voor mij ligt de grens op het punt of je wel of niet bewust iets doet.
Rijd ik op de snelweg 106km/h op een helling naar beneden, is dat domweg een overtreding omdat ik me niet bewust was van deze daad. De boete is een herinnering dat ik beter op m'n snelheid let.
Sta ik op het station een ketting van een dure fiets van een ander door te slijpen, ben ik willens en wetens iets aan het doen dat niet mag. Dat is een misdaad.
Wat Uber nu doet, is typisch een randje waar een autoriteit iets van vindt... en dat is nu gebeurd. Een boete als waarschuwing dat het beter moet. Ook al is het een druppel op de gloeiende plaat en vinden we er allemaal wat van.

[cariolive23]

Voor mij ligt de grens op het punt of je wel of niet bewust iets doet.

Jouw persoonlijke mening is niet relevant, het gaat er om wat de wet er van vindt. En volgens de wet is het een overtreding.

Jouw voorbeeld van fietsendiefstal is er eentje die volgens de wet in de categorie "misdaad" valt.

[Aldy]

Vaak wordt gezegd dat iets misdadig is, maar ook dat is hier niet het geval. Ze hebben weliswaar de regels van de AVG overtreden, maar puur administratief. Met de gegevens die ze hadden, hebben ze verder niets gedaan. Als ze bijvoorbeeld die gegevens hadden doorverkocht of zo, dan zou dit pas misdadig zijn.
Ik vraag mij overigens af naar wie het geld van de boete gaat. Komt dit in de Nederlandse schatkist of gaat dit naar Frankrijk (of zelfs naar alle andere landen binnen de EU waar de overtreding geconstateerd is)

[sOid]

Met de komst van NIS2 is er meer mogelijk qua aansprakelijkheid.

De NIS-richtlijn voorziet ook in de mogelijkheid van “hoofdelijke aansprakelijkheid” voor organisaties die zich schuldig maken aan “grove nalatigheid of opzet”.

https://ibestuur.nl/artik...che-adviezen-voor-ciso-s/

Edit: deze reactie is vooral informerend bedoeld en niet per se van toepassing op deze casus

[Reactie gewijzigd door sOid op 22 juli 2024 21:58]

[PolarBear]

Maar grove nalatigheid of opzet lijkt mij in dit geval lastig te bewijzen. Het eerste sowieso niet want er wordt iets opgeleverd en het tweede is ook vrij lastig.

Met een opmerking als: "De AP erkent in het onderzoek dat dit onhandig zou zijn, maar zegt dat Uber het zich er te makkelijk vanaf maakt door te stellen dat gegevens 'zo lang als noodzakelijk' worden bewaard." is grove nalatigheid al van de baan.

[Kenhas]

kan misschien ook dienen als aanvulling op @PolarBear

Als er dan nog zoiets is

De AVG is bewust zo neutraal geschreven, zodat interpretaties in de eerste plaats bij bedrijven liggen

dan is het al helemaal moeilijk om grove nalatigheid of opzet aan te duiden.

Daarnaast vind ik het maar een raar gegeven om iets/iemand tot een grote boete te veroordelen voor iets dat zelf geïnterpreteerd moet worden. Is beetje zoals zeggen "je mag niet te snel rijden in de bebouwde kom. Hoe snel dat is, moet je zelf interpreteren" om dan een boete te krijgen dat je "te snel" zou rijden

[J_van_Ekris]

Daarnaast vind ik het maar een raar gegeven om iets/iemand tot een grote boete te veroordelen voor iets dat zelf geïnterpreteerd moet worden. Is beetje zoals zeggen "je mag niet te snel rijden in de bebouwde kom. Hoe snel dat is, moet je zelf interpreteren" om dan een boete te krijgen dat je "te snel" zou rijden

Tja, dit is in meerdere werkvelden toch al vrij lang gebruikelijk. Dit komt omdat de wet zo'n enorm breed spectrum aan diensten en situaties moet afdekken dat voorschrijven wat men moet doen gewoon niet te doen is. En als je het al initieel zou lukken zou het de dag erna al achterhaald zijn.

Op het gebied van veiligheid (zowel arbo als algemeen) zie je een vergelijkbare aanpak en wordt je verplicht een risico-analyse te doen en passende maatregelen te nemen. Lijkt fuzzy, maar het is wel het best passend. Wat je ziet is dat men op sector-niveau afspraken gaat maken wat men algemeen als sector aanvaardbaar vindt (AVG laat heel bewust die ruimte ook!). En door jurispudentie wordt ook steeds helderder wat wel en niet mag.

[RobbieB]

NIS2 gaat over Netwerk & Information Systems (NIS), en hoewel er zeker raakvlakken zijn met Privacy & GDPR zou dat in dit geval niet van toepassing zijn. Het recht op inzage van informatie is puur GDPR en heeft niets met NIS (of straks NIS2) van doen.

Mocht er nu een datalek ontstaan door nalatigheid in de cybersecurity, dan zou NIS2 wel van toepassing zijn en bestuurders aansprakelijk gesteld kunnen worden, maar voor deze casus zal dat ook straks dus niet het geval zijn.

[Orangelights23]

Je reageert precies wat ik ook wilde reageren. Veel mensen (en daarmee organisaties) hebben weinig context bij het verschil tussen cybersecurity en privacy. Ik word soms ook gevraagd voor een CISO functie met Functionaris Gegevensbescherming taken. Nota bene gemeentes en overheidstaken die dit vragen…

[sOid]

Er zijn natuurlijk wel veel raakvlakken tussen informatiebeveiliging en privacy. Maar ik zie inderdaad ook de meest vreemde constructies langs komen. De meest in het oog springende is toch wel een FG die ook PO is

[sOid]

Daar ben ik me van bewust. Mijn reactie was ook meer algemeen bedoeld, en niet per se op deze casus. Want regelmatig ontstaan datalekken namelijk wel door nalatigheid bij informatiebeveiliging.

Ik zal m'n reactie nog even verduidelijken.

[k995]

Wat voor straf zou je dan willen voor de leidinggevende binnen uber?

[herpiederpienow]

Persoonlijke aansprakelijkheid zou in deze wellicht voldoende zijn.

[J_van_Ekris]

Persoonlijke aansprakelijkheid zou in deze wellicht voldoende zijn.

Maar een leidinggevende is gewoon een medewerker. Tenzij je als medewerker fraudeert of op een andere manier illegaal bezighoud, kun je als werknemer niet aansprakelijk gesteld worden. Dat is vrij basale werknemersbescherming. Anders zou jij ook kunnen opdraaien voor het in de prak rijden van de bedrijfsauto.

[k995]

WIe dan? De ceo die de opdracht gaf maar het niet uitvoerde ?
De directeur eronder die en die hoofd van de dienst is en de opdracht kreeg maar het niet uitvoerde?
De leidingevende eronder die...

Of de lowely medewerkers die het effectief uitvoerde?

[herpiederpienow]

Uiteindelijk is de CEO verantwoordelijk toch? Dat is toch ook de reden dat ze zoveel betaald krijgen. Als die verantwoordelijkheid enkel symbolisch is, dan hoeven ze ook niet zoveel meer betaald worden.

Afschuiven van verantwoordelijkheid is wat mij betreft in ieder geval helemaal niet oké.

[k995]

Raad van bestuur staat daarboven.

En wie zegt dat die dit zelfs wist?

[herpiederpienow]

Die zouden dat wel moeten weten toch? Zo niet dan doen ze hun werk niet goed? Dan is het ook niet erg als ze gestraft worden.

De mentaliteit van de klant betaalt het uiteindelijk toch wel heeft deze misstand in ieder geval niet voorkomen en dat zal zoals het nu gaat in de toekomst niet anders zijn.

[k995]

Die zouden dat wel moeten weten toch? Zo niet dan doen ze hun werk niet goed? Dan is het ook niet erg als ze gestraft worden.

een ceo weet en beslist echt niet alles hoor.

En je kan iemand geen miljoenen boete opleggen omdat jij vind dat die zijn job niet goed doet.

[herpiederpienow]

Ik zou niet weten waarom niet. Ik ken geen enkele natuurwet die dit onmogelijk maakt.

Het gaat er overigens ook absoluut niet wat ik ervan vind. Ik heb mij in deze casus lang niet genoeg verdiept om een dergelijk oordeel te willen vellen, maar ik zou in zijn algemeenheid niet inzien waarom dit niet zou kunnen. Ik heb zomaar het idee dat dergelijke aansprakelijkheid weleens een positief effect kan hebben op de maatschappij als geheel. En nogmaals als de verantwoordelijkheid enkel symbolisch is, mag de vergoeding ook symbolisch zijn.

[k995]

IK denk dat je bepaalde zaken door elkaar haalt zoals je frustraties over de hoogte van het loon van ceo's.

En voor strafrechtelijk aanspraakelijk te worden genomen moet je het effectief gedaan hebben.

[herpiederpienow]

Ik denk dat jij last hebt van een gebrek aan voorstellingsvermogen. Ik opperde uit de losse pols een mogelijke suggestie. Zelf ben ik niet eens van mening dat dit de beste oplossing is, het was simpelweg een suggestie. Dat aandeelhouders hier persoonlijk financieel door geraakt worden, als dit ook daadwerkelijk zo zou zijn, zou ik dat prima vinden.

Mijn frustratie over hoge vergoedingen stamt voort uit het feit dat men vaak wel de lusten wilt, maar niet de lasten wilt dragen. Mijns inziens is dat een fundamenteel probleem wat de wereld verziekt. Dat is iets waar we gewoon wat aan kunnen doen daar waar dit een menselijke constructie is en niet gelimiteerd wordt door natuurwetten. We kunnen het dus inrichten zoals we zelf willen.

Freaxje zou blijkbaar graag zien dat de aandeelhouders buiten shot blijven en de mensen aan de uitvoerende top de verantwoordelijkheid dragen voor de negatieve gevolgen. Ik voel daar zelf niet zo héél veel voor. De aandeelhouders hebben namelijk ook al die tijd (financieel) mee geprofiteerd van de overtredingen die al dan niet ingecalculeerd zijn (meestal het geval).

Ik weet ook niet waarom je over strafrecht begint, want dit lijkt mij meer een civielrechtelijk dingetje, niet dat we niet zouden kunnen beslissen dat dit wel in het strafrecht zou moeten passen. Nogmaals, we kunnen het inrichten zoals we zelf willen.

Bovendien hoeven we ook helemaal niet ver te kijken naar voorbeelden waarbij iemand niet effectief iets gedaan hoeft te hebben om bijvoorbeeld op te stappen. Ben jij bijvoorbeeld bekend met het principe van ministeriële (politieke) verantwoordelijkheid? Het zou niet voor het eerst wezen dat een minister op zou stappen voor iets wat zijn ambtenaren effectief hebben uitgevoerd. Daar vinden wij het dus ook wenselijk dat iemand die formeel de verantwoordelijkheid draagt ook ter verantwoording wordt geroepen, ook al heeft deze het wellicht niet gedaan om het maar even gemakkelijk te zeggen.

[k995]

Freaxje zou blijkbaar graag zien dat de aandeelhouders buiten shot blijven en de mensen aan de uitvoerende top de verantwoordelijkheid dragen voor de negatieve gevolgen. Ik voel daar zelf niet zo héél veel voor. De aandeelhouders hebben namelijk ook al die tijd (financieel) mee geprofiteerd van de overtredingen die al dan niet ingecalculeerd zijn (meestal het geval).

Ik denk dat je dan de motivatie van aandeelhouders overschat.
En dat is trouwens de situatie nu: het bedrijf krijgt een boete. Dat is dus minder inkomsten/winst voor andeelhouders.

Ik weet ook niet waarom je over strafrecht begint,

Omdat diegene waar ik over sprak het over ene misdaad had, dat is strafrecht.

Bovendien hoeven we ook helemaal niet ver te kijken naar voorbeelden waarbij iemand niet effectief iets gedaan hoeft te hebben om bijvoorbeeld op te stappen. Ben jij bijvoorbeeld bekend met het principe van ministeriële (politieke) verantwoordelijkheid? Het zou niet voor het eerst wezen dat een minister op zou stappen voor iets wat zijn ambtenaren effectief hebben uitgevoerd. Daar vinden wij het dus ook wenselijk dat iemand die formeel de verantwoordelijkheid draagt ook ter verantwoording wordt geroepen, ook al heeft deze het wellicht niet gedaan om het maar even gemakkelijk te zeggen.

Daar gaat het over verkozen politici, niet over contractueele medewerkers.

Of vind je dat elke werknemer die een professioneele fout maakt maar zelf moet opstappen?

[herpiederpienow]

Omdat diegene waar ik over sprak het over ene misdaad had, dat is strafrecht.

Ik kan het verkeerd geïnterpreteerd hebben, maar ik denk niet dat dat in deze context zo bedoeld was. Het was in ieder geval niet mijn suggestie op dit soort zaken per definitie in het strafrecht af te handelen.

Ik denk dat de motivatie van aandeelhouders over het algemeen is zo veel mogelijk geld te verdienen zolang ze daar mee weg komen. Dit lijdt er toe dat ze de randjes van de wet opzoeken en daar waar dit financieel alsnog lucratief is er overheen zullen gaan. Of ze daar nu iemand voor aanstellen die dat voor of namens hen doet is mijns inziens minder relevant. Wat mij wel relevant lijkt is dat het er op lijkt dat er mechanieken in plaats zijn ter preventie van dergelijk ongewenst gedrag, waardoor dit aan de lopende band plaats vindt.

Daar gaat het over verkozen politici, niet over contractueele medewerkers.

Of vind je dat elke werknemer die een professioneele fout maakt maar zelf moet opstappen?

Dit was dan ook slechts een voorbeeld. En ja, soms kan dat wenselijk zijn en soms zal dat bij lange na niet voldoende zijn. Men zou ook kunnen stellen dat Sywert van Lienden en zijn vrienden een "professionele fout" hebben gemaakt. In mijn ogen is het gewoon een stelletje gajes. Gelukkig heeft de rechter in deze hem ook uit zijn functie gezet waar hij geen afstand van wilde doen.

[k995]

Maar weer geen gevolgen voor de leidinggevenden en zaakvoerder(s) van Uber.
M.a.w. De aandeelhouders moeten opdraaien voor de misdaden van kaderpersoneel bij Uber.

Dat was wat freaxje zei,

Ik denk dat de motivatie van aandeelhouders over het algemeen is zo veel mogelijk geld te verdienen zolang ze daar mee weg komen.

Die "weg mee komen" duid weeral op informatie die 99.99% van aandeelhouders niet heeft. Mensen kopen geen aandelen omdat ze denken dat een bedrijf illegaal bezig is, integendeel dat lijkt me en negatief iets en dus zou beurskoers drukken.

Dit was dan ook slechts een voorbeeld. En ja, soms kan dat wenselijk zijn en soms zal dat bij lange na niet voldoende zijn. Men zou ook kunnen stellen dat Sywert van Lienden en zijn vrienden een "professionele fout" hebben gemaakt. In mijn ogen is het gewoon een stelletje gajes. Gelukkig heeft de rechter in deze hem ook uit zijn functie gezet waar hij geen afstand van wilde doen.

Ben geen nederlander maar als ik dat snel lees dan was dit strafrechtelijk omdat ze hier gewoon fraude pleegde. Daar heb ik geen enkel probleem mee dat die de straf krijgen voorien in de wet voor zoiets, dat staat echter los van dit.

[herpiederpienow]

Die "weg mee komen" duid weeral op informatie die 99.99% van aandeelhouders niet heeft.

Wat wil je hiermee zeggen? Als men het (eventueel zogenaamd) niet weet heeft men geen verantwoordelijkheid? Is dat een beetje als "geen actieve herinnering hebben?"

Aangezien je aangeeft geen Nederlander te zijn zal ik bovenstaande even uitleggen. Dit is een referentie aan onze Minister President die meerdere malen spontaan ergens geen actieve herinnering aan te hebben terwijl men alle aanleiding heeft om te denken dat hij gewoon staat te liegen dat die barst.

Tuurlijk kopen mensen geen aandelen specifiek omdat een bedrijf illegaal bezig is, maar het weerhoudt hen er ook niet van als hun inschatting is dat dit simpelweg niet uitmaakt en nog steeds een lucratieve onderneming zal zijn.

Het hele punt is dus dat de wet ook gewoon aangepast kan worden om mechanieken te creëren om te voorkomen dat dergelijke zaken keer op keer plaats vinden. Als je dat niet kan of wilt inzien dan is dat wellicht spijtig, maar schijnbaar een gevecht wat ik niet kan winnen nog de moeite waard is.

[k995]

Neen ik spreek van effectief "weten" : dermate goede kennis hebben van de interne werking van uber dat je niet enkel zwaar geheime zaken weet als zijnde ze doen illegale zaken maar dat ze daar ook mee akkoord gaan en gaan mee doorzetten. iets wat als uitkomt heel negatief voor het aandeel kan zijn.

Je kan niet van een aandeelhouder verwahcten dat die alles kent vand e interne werking van ene bedrijf. Zoals ik al zei: 99.99% van de aandeelhouder valt hier dus niet onder, blijft er een handvol over die effectief zo denken en weten.

Merk op waar het hierover gaat:

• De knop voor aan te vragen was te moeilijk vindbaar in de app (wel elders maar dat maakte niet uit)
• De geleverde info was niet duidelijk genoeg omschreven

Daarvoor hoofdelijke straffen eisen gaat imho wel heel ver.

[herpiederpienow]

Ik heb het meer over in het algemeen en niet deze specifieke casus. Het ontbreekt gewoon aan mechanieken om dit te voorkomen. Dat lijkt mij onwenselijk.

Theoretisch kunnen we potentieel alles van een aandeelhouder verwachten wat we willen. Nogmaals, geen natuurwetten die dit beperken. Of het nu gaat om daadwerkelijk iets weten of hadden moeten weten is dus precies waar het over zou kunnen gaan.

Wat mij betreft lijkt het er dan ook op alsof jij iedereen, zowel de aandeelhouders als de uitvoerende executives er wel erg gemakkelijk vanaf zou laten komen. Ik ben daar geen voorstander voor. Dat met die aandelenkoersen die mogelijk dalen valt soms ook behoorlijk tegen en is geen reden om geen spreekwoordelijke vuile handen te maken. Het is schering en inslag. Wat mij betreft onderzoeken we wat we daartegen kunnen doen en ik zou hoofdelijke straffen als mogelijk middel niet willen uitsluiten.

[k995]

Te voorkomen dat een bedrijf niet alles perfect doet?

En ik zie geen wettelijke manier om aandeelhouders verantwoordelijk te stellen voor daden die ze nooit gedaan hebben en waar ze geen weet van hadden. Nog minder zie ik dat je dat bedrijven gaat opleggen.

Daarbij de markt zorgt voor regulatie en als uber zo'n zaken doet en in een slecht daglicht komt zal dat zich reflecteren in hun aandelen.

Dit gaat niet om iemand "er makkelijk vanaf te laten komen" dit gaat gewoon over of iemand effectief de wet overtrad of niet. Kijk vergissingen gebeuren doen alsof elke vergissing die gemaakt word opzettelijk is is gewoonweg verkeerd. Dat doen we niet bij mensen dus ik zie niet waarom men dat doet bij bedrijven.

[herpiederpienow]

Maar begrijp jij dat wetten fluide zijn? Dat het mogelijk is om nieuwe wetten op te tuigen waarbij zoiets wel zo geregeld is? Er zijn talloze manieren om zaken anders in te richten. Misschien zie jij dat om bepaalde redenen misschien niet zitten, maar ik wel.

Het gaat hier ook niet om simpele fouten of dingen niet weten. Ik kan ook niet tegen de Belastingdienst zeggen dat ik vergeten ben belasting te betalen, dan krijg ik gewoon een deurwaarder aan mijn broek, zelfs als ik het daadwerkelijke vergeten ben, het wordt gewoon gehaald en in meer dan 99% van de gevallen waarschijnlijk terecht. Hier ging het bijvoorbeeld op een overtreding die meer dan 3 jaar heeft geduurd, 3 jaar!

Als iemand een fout maakt, dat is menselijk, doe ik ook, maar als ik daarop gewezen wordt ga ik die corrigeren. Hier had Uber ook een melding gekregen, maar ze dachten schijnbaar dat het hen de moeite niet waard was om het direct te fixen. Deze uitspraak is gedaan op basis van de AVG. Dit is geen suggestie, dit is een verplicht kader. Compliance is niet optioneel, je hebt het er maar mee te doen of je nu wilt of niet, net als belasting betalen.

Jij hebt het over dat de markt zorgt voor regulatie. Zijn aandelen Uber zo hard gedaald dan? Ik heb het niet gezien.

En ja, je kan bedrijven best aan hogere standaarden houden dan mensen. Om dat niet te doen is een keuze en wat mij betreft een slechte keuze al helemaal als je het hebt over bedrijven van het formaat Uber.

[geert1]

De aandeelhouders hebben heel lang de tijd gehad om te zien hoe Uber functioneert, en ze hebben een flinke hand gehad in de beslissingen. Het managementteam wordt gekozen door het bestuur, en het bestuur wordt gekozen door de aandeelhouders.

Dus laten we niet doen alsof dingen langs de aandeelhouders heen gaan tenzij dat aangetoond kan worden. Meestal willen zij zelf de winstmaximalisatie en het losjes omgaan met de regels, voor meer ROI. Alleen zodra er iets misgaat doen ze of hun neus bloedt.

On-topic: 10 miljoen is een schijntje voor Uber, maar voor een privacyschending is het een relatief hoge boete. Hopelijk krijgen regulerende instanties nog wat meer tanden om excessen te voorkomen en bestraffen.

[Reactie gewijzigd door geert1 op 22 juli 2024 21:58]

[herpiederpienow]

Dat zo'n inzage verzoek via de App moet vind ik een beetje onzinnig. Het zou misschien wel aardig wezen als dat zo zou kunnen, maar dat het bijvoorbeeld via de website moet is hooguit irritant, dat men bijvoorbeeld een data dump krijgt waar men niets mee schijnt te kunnen is natuurlijk wel kwalijk. Wat mij betreft worden daar gewoon normen voor opgesteld als die er niet al zijn.

Die wirwar aan bewaartermijnen daar kunnen de overheden zelf ook wat aan doen natuurlijk. Ik heb weinig sympathie voor Uber en misschien maakten ze er zich inderdaad wel héél gemakkelijk vanaf, maar in deze zijn zij niet enkel alleen verantwoordelijk.

[ACM]

Wat mij betreft worden daar gewoon normen voor opgesteld als die er niet al zijn.

Zoals in dit nieuwsartikel ook al staat; dat is een van de problemen (of iig een van de kenmerken) van de AVG; er zijn juist bewust geen normen gesteld...

Een groot voordeel daarvan is dat er geen zodanig specifieke regels bestaan dat er obscure uitzonderingen mogelijk zijn en dergelijke. Het is daardoor heel tijdloos en het geldt voor alle organisaties en technieken.

Maar het heeft als groot nadeel dat een organisatie zelf maar moet bedenken of en hoe een regel voor hen van toepassing is en hoe die dan moet worden uitgevoerd.
En er is ook niet echt iemand aan wie men dan kan vragen of interpretatie X en manier Y goed zijn; formeel kan dat bij de toezichthouder, maar hebben die daar tijd voor? Dus het komt dan pas naar voren dat het niet goed (genoeg) was in dit soort onderzoeken/boetes.

Er ontstaat langzaamaan wel wat duidelijkheid door dit soort uitspraken van toezichthouders en eventueel jurisprudentie uit daarop volgende rechtszaken. Maar ook dat moet men dan allemaal maar volgen of opzoeken en weer proberen te beoordelen of die uitspraak/jurisprudentie dan ook op hen van toepassing is (en ja, daar zijn vast consultancy-bureau's voor die dat uit handen kunnen nemen...).

[Thijsmans]

...of men neemt kennis van de EDPB Guidelines 01/2022 on data subject rights...