Noyb dient klacht in over AliExpress, TikTok en WeChat om niet naleven EU-wetten

De Oostenrijkse privacyorganisatie noyb heeft een klacht ingediend over AliExpress, TikTok en WeChat. Noyb betoogt dat deze bedrijven niet voldoen aan de Europese wetgeving wat betreft het verstrekken van de verzamelde data aan gebruikers.

In de AVG is geregeld dat gebruikers aan bedrijven en organisaties kunnen vragen welke gegevens die over hen bewaren. De organisatie moet de gegevens binnen een maand verstrekken en informatie geven over hoe die zijn of worden gebruikt, zo schrijft de Europese wet voor.

TikTok, AliExpress en WeChat voldoen echter niet aan die regels, stelt noyb. De organisatie schrijft dat het theoretisch gezien 'ontzettend makkelijk' zou moeten zijn voor de bedrijven om aan de wet te voldoen, aangezien meerdere grote techbedrijven al geautomatiseerde tools hebben gebouwd om gebruikersgegevens op te vragen.

TikTok verstrekte echter slechts een deel van de gegevens van de klager en deed dat volgens noyb op een 'ongestructureerde, onmogelijk te begrijpen' manier. AliExpress verstuurde een beschadigd bestand en WeChat negeerde het verzoek compleet. De klagers besloten om TikTok en AliExpress een tweede kans te geven, maar volgens noyb wezen de bedrijven de klagers op hun privacybeleid in plaats van de ontbrekende gegevens te verstrekken.

Noyb heeft klachten ingediend bij de gegevensbeschermingsautoriteiten van Nederland, België en Griekenland, waar respectievelijk WeChat, AliExpress en TikTok hun Europese hoofdkantoren gevestigd hebben. In de klachten roepen zij de bedrijven op te voldoen aan de AVG en stellen zij aan de autoriteiten voor om een administratieve boete op te leggen om soortgelijke overtredingen in de toekomst te voorkomen. Die boetes kunnen oplopen tot vier procent van de wereldwijde omzet van het bedrijf.

Reacties (22)

[TheProst]

Dat terwijl deze wetgeving al sinds 2018 van kracht is. Artikel 15 van de AVG verplicht bedrijven om op verzoek volledig inzage te geven in welke persoonsgegevens ze verzamelen, hoe die verwerkt worden, en met wie ze gedeeld worden. In theorie moeten ze binnen een maand reageren met een duidelijke en begrijpelijke datasamenvatting.

Het feit dat noyb klachten indient bij de toezichthouders in Nederland, België en Griekenland is daarom cruciaal. Dergelijke klachten kunnen leiden tot boetes van maximaal 4% van de wereldwijde jaaromzet in het geval van ByteDance of Alibaba potentieel miljarden. Hopelijk zorgt deze druk er eindelijk voor dat ook deze bedrijven transparantie en controle over je eigen data gaan respecteren, zoals de wet al jaren vereist.

[Tc99m]

Dat terwijl deze wetgeving al sinds 2018 van kracht is.

De AVG/GDPR is dan wel al sinds 2018 van kracht, het budget (en daarmee de slagkracht) van de toezichthouder die er voor moet zorgen dat de AVG goed wordt toegepast blijft sinds die tijd achter en is niet toereikend om écht te kunnen handhaven (terwijl dat wel tot de kerntaak behoort).

De Autoriteit Persoonsgegevens moet het met minder dan 50 miljoen op jaarbasis doen (en vanaf 2029 wordt het mogelijk weer minder). Dan denk je: 50 miljoen is een hoop geld, maar bedenk je ook dat bij praktisch iedere dienst die tegenwoordig aan consumenten/burgers wordt geleverd in meer of mindere mate persoonsgegevens worden verwerkt, en de AP daarnaast niet alleen op bedrijven in Nederland toezicht moet houden, maar ook op buitenlandse bedrijven die in Nederland actief zijn, de verschillende overheden, (semi-)publieke instellingen, verenigingen, etc. etc.


...en voordat het commentaar komt: "maar er worden toch boetes uitgedeeld?" - inkomsten uit boetes gaan naar de algemene middelen ('de schatkist'). De AP ziet daar alleen iets van terug als de regering en het parlement besluiten om vervolgens ook het budget te verhogen - de inkomsten uit boetes kunnen ook aan andere zaken worden besteed.

[Reactie gewijzigd door Tc99m op 17 juli 2025 15:28]

[CivLord]

En waar is dat blik werkloze privacydeskundigen dat AP open kan trekken wanneer hun budget verdubbeld is, zoals ze willen?

Wanneer ze dat geld krijgen, dan kunnen ze daar de eerste jaren niets anders mee doen dan gouden WC-potten van kopen voor de grote baas.

[Tc99m]

Mooie cirkelredenering...

Even los van het feit dat er mogelijk wel mensen interesse hebben om bij de AP te werken, maar dat nu niet doen omdat de vacature (waar wel behoefte aan is, maar geen budget voor is) niet openstaat, kun je natuurlijk ook een deel van dat verhoogde budget gebruiken om mensen op te leiden.

Zo complex is privacyrecht nu ook weer niet dat het jaren duurt voordat je juristen, IT'ers en andere professionals wegwijs hebt gemaakt op het gebied van de AVG.

[Quintiemero]

Blijkbaar wel, ik heb weinig organisaties gezien die perfect een inzageverzoek afhandelen.

[CivLord]

Klopt. Je moet de mensen intern opleiden.
Maar wanneer je het budget verdubbelt en dat geld gebruikt om mensen aan te nemen die je voor het grootste deel nog op moet leiden gaat al je energie naar het opleiden toe en ben je een opleidingsinstituut geworden in plaats van een toezichtorganisatie.
Het beste wat je kan doen is het budget langzaam verhogen om elk jaar een paar extra ervaren deskundigen in dienst te nemen en nieuwe mensen op te leiden. Dus exact wat de vorige en de huidige regering hebben gedaan.

[Tc99m]

Maar wanneer je het budget verdubbelt en dat geld gebruikt om mensen aan te nemen die je voor het grootste deel nog op moet leiden gaat al je energie naar het opleiden toe en ben je een opleidingsinstituut geworden in plaats van een toezichtorganisatie.

Je speculeert hier over een heel specifiek scenario waar niemand van heeft aangegeven dat het zo gaat worden uitgevoerd.

Het beste wat je kan doen is het budget langzaam verhogen om elk jaar een paar extra ervaren deskundigen in dienst te nemen en nieuwe mensen op te leiden. Dus exact wat de vorige en de huidige regering hebben gedaan.

Dat is dus niet wat de regering heeft gedaan. Het budget is (in een keer) verhoogd tot ongeveer 49 miljoen euro en blijft daar de komende jaren op. In 2029 wordt het teruggebracht naar 48 miljoen. Er zijn geen plannen om het budget verder te verhogen, ondanks dat het takenpakket van de AP breder wordt (bijv. door de nieuwe AI-wetgeving).

[CivLord]

Je bedoelt dat de vorige regering het budget verhoogd heeft, dat de huidige regering het budget verhoogd heeft en wat vage plannen heeft gemaakt die pas in werking zouden treden bij een toekomstige regering (ook wanneer de huidige regering niet gevallen zou zijn). En daar maak jij uit op dat het budget voor de voorzienbare toekomst in beton gegoten is? Wie is er hier aan het speculeren?

En waar zit de zeer specifieke speculatie in mijn stelling? Waar zou het geld voor gebruikt worden wanneer het budget verdubbeld zou worden? Die ervaren privacy deskundigen die je voor dat geld aan zou kunnen nemen zijn niet in die aantallen op zoek naar een (nieuwe) baan. En wanneer je al die vacatures zou weten te vervullen, zal dat dat enkel lukken door heel veel kennis bij bedrijven en andere instanties weg te trekken. Dan heb je dubbel zoveel mensen, maar doordat ze bij de bedrijven niet meer weten waar ze mee bezig zijn heb je tinmaal zo veel werk. (Ja, dat laatste is inderdaad wél speculatie.)
En wanneer je een groot deel van het verdubbelde budget wilt gaan gebruiken om mensen op te leiden gaat er jarenlang een groot deel van de huidige beschikbare capaciteit zitten in het opleiden en begeleiden van die nieuwe mensen. Dat is geen speculatie, dat is hoe de praktijk werkt.

Privacy-recht is een stuk ingewikkelder dan jij blijkbaar denkt. Het is niet iets dat je na een online cursus van een paar weken helemaal beheerst. Natuurlijk.
De hoofdregels zijn niet zo ingewikkeld. Maar wanneer je daarmee klaar bent zou het AP het werk met een handvol mensen makkelijk aan kunnen. Het gaat om de uitzonderingen en details en de jurisprudentie daarover (niet alleen in rechtspraak, maar ook wetsgeschiedenis). Dat duurt gewoon een paar jaar om dat allemaal goed te beheersen, zodat je echt zelfstandig kan werken.
Maar het werk is niet enkel wetstechnisch. Er moet onderzoek gedaan worden hoe dataverwerking plaatsvindt, hoe dat in de DPIA beschreven staat en of dat met elkaar matcht. Dat is een compleet andere tak van sport, dat ook de nodige begeleiding nodig heeft voordat je zelfstandig kan werken.
Voordat een nieuw-opgeleide privacy-deskundige up-and-running is ben je makkelijk een paar jaar verder, zelfs wanneer het een ervaren jurist is.

[Tc99m]

Je bedoelt dat de vorige regering het budget verhoogd heeft, dat de huidige regering het budget verhoogd heeft en wat vage plannen heeft gemaakt die pas in werking zouden treden bij een toekomstige regering (ook wanneer de huidige regering niet gevallen zou zijn). En daar maak jij uit op dat het budget voor de voorzienbare toekomst in beton gegoten is? Wie is er hier aan het speculeren?

Ik speculeer niet, ik baseer me op de feiten tot nu toe, en die zijn dat het budget in de komende jaren niet gaat stijgen. Niks is in beton gegoten, maar totdat er concrete signalen zijn vanuit de politiek dat er bereidheid is om iets te veranderen (die zijn er nu niet), is dit waar we vanuit moeten gaan.

Voor de rest van je comment: mijn punt is dat jij hier stelt: het budget neemt toe > er worden voornamelijk mensen aangenomen die moeten worden opgeleid > alle energie gaat naar opleiden in plaats van toezicht houden. Die redenatie is gebaseerd op een aantal aannames (bijvoorbeeld dat het budget niet in stappen wordt verhoogd, dat budget moet worden uitgegeven/personeel moet worden aangenomen - ook als er niet voldoende geschikte kandidaten zijn, en dat er niet na wordt gedacht over verstandige besteding en hoe de groei in goede banen kan worden geleid zonder dat dit invloed heeft op andere taken, etc.) waar geen concrete aanwijzingen voor zijn.

Verder hoef je geen aannames te doen over wat ik wel of niet van privacyrecht weet.

[n4m3l355]

Dat geeft aan dat de overheid eigenlijk niet zit te wachten op de AP. De boetes die ze binnen hengelen lopen jaar op jaar in de miljoenen en betaald de onkosten van het AP dubbel en dwars terug en toch kiezen ze ervoor om de AP minder slagkrachtig te maken. De overheid wilt helemaal geen orgaan dat kijkt naar bedrijven en hunzelf hoe slecht ze de zaakjes voor elkaar hebben.

[dasiro]

Dat terwijl deze wetgeving al sinds 2018 van kracht is

...

Dergelijke klachten kunnen leiden tot boetes van maximaal 4% van de wereldwijde jaaromzet in het geval van ByteDance of Alibaba potentieel miljarden.

De EU is een sloom en lomp vehikel dat haar eigen extreem ingewikkelde regels niet kan/durft handhaven, daarom dat (buitenlandse) bedrijven nog massaal kunnen blijven negeren/overtreden. Als het dan al eens tot een effectieve veroordeling komt, dan is het nog nooit voor het maximumbedrag geweest, ondanks jarenlange herhaalde inbreuken, tenzij het om kleine garnalen gaat die amper invloed/belang/bekendheid hebben.

[Wouterie]

Dat komt omdat het doel van de waakhond niet het bestraffen is maar het 'stimuleren' van gewenst gedrag. Om tot een flinke veroordeling te komen moet het papierwerk waterdicht zijn. Dat is het zelden en dat is ook niet realistisch. Doorgaans laten bedrijven vrij snel verbetering zien zodra ze door hebben dat ze onder de aandacht komen. Dan passen ze hun beleid etc aan zodat ze beter voldoen aan de wetgeving, krijgen ze een lagere boete en is iedereen weer blij. Onze data is weer veilig en de bedrijven verdienen nog steeds geld.

[Quintiemero]

Haha, merendeel van de organisaties voldoet daar niet aan

[retrey]

Wat gaan ze hiermee bereiken? Ik neem aan dat het vermogen van deze bedrijven veilig in China staat.

[Luchtbakker]

Wat gaan ze hiermee bereiken? Ik neem aan dat het vermogen van deze bedrijven veilig in China staat.

Als ze het bedrijf niet aanpassen aan de Eu regels kunnen ze een blokkade afdwingen. Zal wel een van de eerste keren zijn.

[Blizz]

Wat ze willen bereiken is de EU ertoe bewegen haar burgers te beschermen en de bedrijven dwingen zich aan de wet te houden. Als je denkt dat een AliExpress de volledige EU-markt liever kwijt dan rijk is en gewoon zal weigeren zich aan de wet te houden, dan ben ik benieuwd naar argumenten daarvoor.

De EU is ook veel minder bang tegenover China dan tegenover de VS. Big tech durft de EC niet meer hardhandig aan te pakken, maar een tik op de vingers bij Chinese bedrijven past in de politieke strategie, zeker als ze het kunnen spinnen als veren steken in het achterwerk van Trump en daarmee andere concessies afdwingen dan wel Amerikaanse eisen tegemoet komen.

[Tintel]

tja - ze willen toch wel de klanten/gebruikers in Europa. Geen enkele grote speler wil alleen in eigen land blijven op een gegeven moment.
En als die boete niet betaald wordt dan moeten ze natuurlijk (?) wel stoppen in Europa.

Het is niet eens zo belangrijk waar dat vermogen staat denk ik - belangrijker is hoeveel ze hebben. Vanaf een bepaalde hoeveelheid wordt alles opeens 'overlegd' i.p.v. 'opgelegd'....

[Thijsmans]

Door brievenbusfirma's gaat juist een hoop omzet - heel veel verhaalsmogelijkheden dus :)

[demianmonteverd]

Er worden advertenties op geplaatst door Europese bedrijven, dus is er een financiele afhankelijkheid. Bovendien worden er genoeg spullen verkocht aan Europese consumenten.
Wat men hiermee bereikt, dat de regels voor bijv. een Bol.com hetzelfde zijn als de regels voor bijv. een Aliexpress.

[mutley69]

Erg dat Nyob dit moet doen, deze procedures hadden al jaren geleden gestart moeten worden!

[Luisterniet]

In Wechat zit wel een knop ervoor. Wilde het voor de grap proberen, maar dan moet je een email adres linken


Maar ik bedacht me opeens iets anders erdoor, dat ik namelijk nog nooit daar een reclame heb gezien zoals je bij ons reclames heb. Wel duizenden kleine bedrijfjes die zichzelf met video's aanprijzen, maar nooit Mc, Coca Cola, de vakantiediscouter of noem iets zoals wij reclame hebben

[dehardstyler]

Kom maar weer door met die "no cure no pay" rechtszaak. Ook die voegen we gewoon weer aan de lijst toe.