AP geeft taxi-app Yango 100 miljoen euro boete voor doorspelen info aan Rusland

De Autoriteit Persoonsgegevens geeft taxi-app Yango een boete van 100 miljoen euro voor het doorspelen van persoonsgegevens van gebruikers aan Rusland. Het moederbedrijf van de Europese versie van Yango, MLU, is in Nederland gevestigd. De app wordt binnen Europa alleen in Noorwegen en Finland gebruikt.

De Nederlandse, Noorse en Finse toezichthouders voerden het onderzoek naar Yango gezamenlijk uit. Uit het onderzoek blijkt dat de taxi-app persoonsgegevens van klanten en taxichauffeurs deelt met bedrijven in Rusland. De gegevens werden daar bijvoorbeeld opgeslagen.

Het gaat om gevoelige gegevens, aldus de AP. Zo sloeg de app bijvoorbeeld scans van rijbewijzen, adressen, contactgegevens, locaties, rekeningnummers, foto's, chatgesprekken en bsn's op. De Russische overheid kan hier toegang toe krijgen.

De toezichthouders dragen moederbedrijf MLU op om te stoppen met het delen van persoonsgegevens met Russische partijen. Daarnaast moet het bedrijf dus 100 miljoen euro boete betalen, al kan het bedrijf in beroep gaan tegen de uitspraak.

Eerdere zorgen

Yango is een taxi-app die vergelijkbaar is met Uber en naast chauffeurbemiddeling ook andere diensten als maaltijdbezorging en een navigatieservice biedt. De dienst is een aftakking van de Russische zoekgigant Yandex.

In 2023 namen de Noorse en Finse toezichthouders al stappen tegen de app, omdat de Russische geheime dienst FSB Yango zou hebben opgedragen om persoonsgegevens te gaan delen, aldus NRK. Volgens Yango was de opdracht van de FSB echter niet van toepassing voor internationale gebruikers, alleen voor Russen. Voor zover bekend werden er daarna geen maatregelen meer genomen, tot nu.

Reacties (29)

[Master FX]

Zo daar kan AP vervolgens wel weer een tijdje mee vooruit. Tenminste, wat gebeurt er met de boetes die ze innen?

De Autoriteit Persoonsgegevens zegt al jaren dat zij meer geld nodig heeft voor privacytoezicht. Het pleit al sinds 2021 voor honderd miljoen euro per jaar. Dat bedrag is niet uit de lucht gegrepen. Het is de conclusie van een rapport door KPMG. Dat berekende dat als de AP al haar wettelijke taken op de juiste manier zou willen uitvoeren, het minimaal dat bedrag nodig heeft.

Bron: nieuws: Autoriteit Persoonsgegevens: extra budget is feitelijk juist een verlaging

[patviev]

De vraag is of de boete stand houdt bij beroep en hoger beroep. Verder wordt dit niet (direct) toegevoegd aan de begroting van AP om de schijn van belangenverstrengeling te voorkomen en de onafhankelijkheid te waarborgen. Althans zo was het voor de ACM.

Hiermee wordt de prikkel tot beboeten voorkomen omdat de toezichthouder geen (financieel) voordeel heeft aan het opleggen van een boete. Waarbij er uit de beschikbare instrumenten de meest wenselijke wordt gekozen.

[Floort]

Eerst maar even het (eventuele) bezwaar afwachten. (pietluttig procesmatig puntje)

[Geim]

Zo daar kan AP vervolgens wel weer een tijdje mee vooruit. Tenminste, wat gebeurt er met de boetes die ze innen?

Op de site van AP:

"Innen van boetes

Het Centraal Justitieel Incassobureau (CJIB) int de boetes voor de AP. De AP houdt het geld uit de boetes niet zelf, maar zorgt dat het terechtkomt in de schatkist. Het geld gaat dus naar de algemene middelen van de overheid."

https://www.autoriteitpersoonsgegevens.nl/over-de-autoriteit-persoonsgegevens/boetes-en-andere-sancties-van-de-ap#:~:text=Het%20Centraal%20Justitieel%20Incassobureau%20(CJIB,algemene%20middelen%20van%20de%20overheid.

[badnews.nl]

Komen daar dan nog 9 euro administratiekosten bij?

[SHartwijk]

Die boetes (als ze al betaald worden) komen niet bij de Autoriteit Persoonsgegevens op de bankrekening te staan maar gaan rechtstreeks naar de staatskas.

[CH4OS]

Het geld gaat echter niet naar de AP, maar naar de schatkist van de Staat. Dan staat het als ‘meevaller’ in de boeken in September. Boetes van andere partijen, zoals ACM en AFM komen daar ook.

[Reactie gewijzigd door CH4OS op 8 mei 2026 12:09]

[dasiro]

opleggen en effectief innen zijn nog 2 verschillende zaken.

Dit toont overigens aan dat Nederland waarschijnlijk weer gewoon misbruikt wordt als tax-shelter of dergelijke, als er enkel activiteiten zijn in NO/FI. Daar zal diens overheid dan wel niets op tegen hebben als ze maar wat geld kunnen innen dat elders terecht had moeten komen.

[chrome moral]

Waar solliciteer ik is mijn eerste gedachte :-D die gasten moeten dus echt dik binnen zijn, ik zie het al voor me business class de wereld rondrijzen op kosten van de zaak, nieuwste SUV, dat soort fratsen.


https://privacy-web.nl/nieuws/autoriteit-persoonsgegevens-krijgt-ruim-twee-keer-zoveel-personeel/

100 miljoen jaarlijks verdelen over 450 man? Beter!!!

[Reactie gewijzigd door chrome moral op 8 mei 2026 12:35]

[Oversidan]

Prima eerste stap, maar het moet ook mogelijk zijn om dit op een gegeven moment ook gewoon te gaan verbieden en eventueel technisch te blokkeren. Dit is gewoon overduidelijk een informatievergaringsoperatie van een statelijke actor.

[Xfade]

Ik weet niet of dat makelijk is, aangezien ze slechts de app in 2 landen aanbieden.

[F_J_K]

Als je even naar de kaart kijkt, zie je dat Finland als direct buurland en Noorwegen als de logistieke aanvoerroute voor ze heel interessant zijn om te manipuleren qua onderbuik en politiek. Net zoals Nederland dat is vanwege onze logistieke etc.

En manipuleren gaat makkelijker met info over het doelwit.

[batjes]

We hebben hier meerdere partijen in de politiek zitten die onder de Russische invloedssfeer vallen.

Lekker interne rumoer veroorzaken, je ziet het ook al jaren in de samenleving, nuanceloos "als je niet met mij bent, ben je tegen mij"-mentaliteit.

Kut Rusland.

[mjtdevries]

Dit is gewoon overduidelijk een informatievergaringsoperatie van een statelijke actor.

Waarom is dit volgens jou overduidelijk een operatie van een statelijke actor?

Wat mij net zo waarschijnlijk lijkt, is dat ze hun bestaande app voor Rusland uitgebreid hebben naar Noorwegen en Finland en gewoon dezelfde servers en databases hebben gebruikt. Dat is de goedkoopste manier om die app in andere landen uit te brengen.

Dat kan je dom noemen, of bewust de Europese regelgeving negeren door MLU. Maar ik zie nog geen aanleiding om het dan een operatie van Rusland te noemen.

[Reactie gewijzigd door mjtdevries op 8 mei 2026 12:45]

[Croga]

Exact dit.....

"Never ascribe to malice that which is adequately explained by stupidity"

[DdeM]

Verboden is het al, anders hadden ze geen boete gekregen. Maar bewust doorgeven vind ik eigenlijk wel een stap verder gaan dan beveiliging niet op orde hebben, vraag me af of je in dit geval niet gewoon het hele bedrijf moet opdoeken, of iig een nationaal danwel Europees handelsverbod en/of bestursverbod.

[Nightscope]

Niet per definitie een "informatievergaringsoperatie van een statelijke actor" maar in dit geval ja.

[Blasterxp]

Meest bedrijven zullen toch stuk gaan als ze zo'n boete krijgen?

[djexplo]

Nee. Uber heeft eerder nog een hoger boete gehad, voor het zelfde vergrijp "AP legt Uber boete op van 290 miljoen euro om doorgifte data chauffeurs naar VS'

Meestal maakt zo'n bedrijf dan gelijk bezwaar, en gaat er jaren over heen. Maar of er ooit daad werkeljik iemand betaald heeft. Dat is vraag twee?

[Kroesss]

Ja, maar deze is onderdeel van het grote Yandex, die kan dit wel hebben.

Er zijn ook grenzen aan de boetes. Kleine bedrijven kunnen geen boete van 100 miljoen krijgen.

[ernstoud]

In de GDPR is de maximale boete €20 miljoen of 4% van de wereldwijde jaaromzet (welk bedrag hoger is).

Maakt dit bedrijf dan een omzet van 2.5 miljard?

Geez.

[runaround]

Volgens BNR is gekeken naar de omzet van het moederbedrijf van MLU, namelijk Yandex. Die hadden in 2024 een omzet van 12 miljard.

bron

[Reactie gewijzigd door runaround op 8 mei 2026 12:03]

[ernstoud]

Ah. Dank voor de toelichting.

[Pasteis]

Het gaat om gevoelige gegevens, aldus de AP. Zo sloeg de app bijvoorbeeld scans van rijbewijzen, adressen, contactgegevens, locaties, rekeningnummers, foto's, chatgesprekken en bsn's op. De Russische overheid kan hier toegang toe krijgen.

Waarom wordt in verband met de nationale veiligheid niet direct, met onmiddellijke ingang, gesteld dat het bedrijf stilgelegd moet worden?

De toezichthouders dragen moederbedrijf MLU op om te stoppen met het delen van persoonsgegevens met Russische partijen. Daarnaast moet het bedrijf dus 100 miljoen euro boete betalen, al kan het bedrijf in beroep gaan tegen de uitspraak.

Oh het scheelt dat de Russen braaf gehoor zullen geven aan zulke oproepen... /s.
Volgens mij moet je gewoon tot dwang overgaan gezien de geopolitieke situatie.

Nu zullen ze minstens zo vrolijk doorgaan tot en met het beroep. En daarna is het nog steeds sterk de vraag of ze hier gehoor aan geven.

We zullen wel beperkt worden door wat de wet voorschrijft en door de functie van AP. Alleen wat mij betreft, net zoals bij Solvinity, mogen we als land wel echt een stuk harder en strakker optreden. We laten het in mijn ogen een beetje te veel op beloop gaan… de veiligheidsrisico's zijn misschien op korte termijn niet te overzien, maar dat kan veranderen!

[The Zep Man]

Waarom wordt in verband met de nationale veiligheid niet direct, met onmiddellijke ingang, gesteld dat het bedrijf stilgelegd moet worden?

Een bedrijf die een taxi-app exploiteert heeft geen invloed op nationale veiligheid. Zeker niet op de Nederlandse, want de applicatie is daar niet actief. De impact is beperkt tot een groep klanten/gebruikers uit twee landen, niet tot een heel land.

Dat maakt het niet minder ernstig wat het bedrijf doet, maar om een gevaar voor nationale veiligheid te zijn moet je wat meer doen dan alleen het fout verwerken van dit soort gegevens in deze hoeveelheid.

[Reactie gewijzigd door The Zep Man op 8 mei 2026 13:08]

[Yzord]

Hoevaak ik hier wel niet op mijn donder kreeg dat AaaS's niets meer dan trackingtools zijn. Maar zo zie je maar weer waar apps eigenlijk voor (kunnen) staan. Als gebruiker heb je amper controle wat er op de achtergrond gebeurd, terwijl dat met een browser beter in te zien is of te bestrijden.

Dus nogmaals het advies: kijk eerst eens of de dienst die je wilt gebruiken gewoon benaderbaar is via een browser ipv meteen de app te installeren. Via een browser heb je veel meer mogelijkheden om telemetry te blokkeren.

[Pvt.Bob]

Zelf vind ik wel dat er wat meer dan alleen een boete opgelegd zou moeten worden. Als je bewust persoonsgegevens door doet spelen. Zou het niet mogelijk zijn om een algeheel verbod te leggen op Yango in de EU, zodat ze hier helemaal niet meer mogen opereren?

Ik weet namelijk niet of een boete voldoende gaat zijn om ze daadwerkelijk te laten stoppen met het doorgeven van deze gegevens.

[batjes]

Het AP is hier verassend aggressief wat me doet vermoeden dat het meespeelt dat het bedrijf Russisch is.

[lighting_]

Het begint bij burgers die deze gegevens en kopien afstaan. Daarbij is het de overheid die met privacy data een puinhoop van maakt. Sterker nog. Ze doen daar zelf aan mee met hun wet keten aansprakelijk die privacy data schendt

[Reactie gewijzigd door lighting_ op 8 mei 2026 13:05]