De Autoriteit Persoonsgegevens (AP) heeft Uber in augustus 2024 een boete van €290 miljoen opgelegd. De boete betrof het doorsturen van chauffeurgegevens naar Amerikaanse servers zonder geldige transferovereenkomst. Geen enkele AVG-zaak heeft ooit een grotere boete opgeleverd voor een grensoverschrijdende gegevensoverdracht. De AP behandelde in 2023 ook meer dan 21.400 klachten. Daarmee is het een van de drukste gegevensbeschermingsautoriteiten van Europa.
Wat de AP constateerde in de Uber-zaak
Uber verzamelde gegevens van chauffeurs in Nederland en Frankrijk. De gegevens omvatten locatiegeschiedenis, identiteitsdocumenten, loongegevens, rijbewijsgegevens en belastingdossiers. Dit alles werd doorgestuurd naar Amerikaanse servers. De AP oordeelde dat de transfermethode niet geldig was.
Drie bevindingen lagen ten grondslag aan het besluit:
- Zwakke transfermethode: Uber maakte gebruik van Binding Corporate Rules (BCR's). De AP oordeelde dat deze de reikwijdte en gevoeligheid van de betrokken chauffeurgegevens niet dekte.
- Geen Transfer Impact Assessment (TIA): Uber heeft niet aangetoond dat het Amerikaanse recht de overeengekomen transferwaarborgen in stand liet.
- Gevoelige gegevens door combinatie: Locatiegegevens, loon en prestatiescores samen geven een gedetailleerd beeld van elke chauffeur. De AP behandelde deze combinatie als gelijkwaardig aan bijzondere persoonsgegevens.
De Uber-zaak stelt een duidelijke norm. Personeel- en aannemersgegevens die naar de VS worden verzonden, hebben dezelfde TIA en aanvullende maatregelen nodig als consumentengegevens.
AP-handhavingsfocusgebieden voor 2025
Bijgewerkt voor 2026
De AP heeft drie gebieden benoemd die zij nauwlettend in de gaten houdt in 2025.
Personeelsmonitoring: Tools voor thuiswerkmonitoring zijn het voornaamste doelwit. Dit omvat productiviteitslogboeken, schermopnames, toetsaanslagregistratie en locatietools voor thuiswerkers. Vóór de inzet van dergelijke tools moeten bedrijven vastleggen waarom ze minder ingrijpende alternatieven hebben afgewezen.
Grensoverschrijdende gegevensoverdrachten: Na de Uber-uitspraak controleert de AP de gebruikte transfermethoden. Bedrijven die afhankelijk zijn van diensten uit de VS, Azië of andere landen zonder adequaatheidsbesluit zijn in scope. Elk bedrijf dat Amerikaanse softwaretools gebruikt voor HR, projectbeheer of klantgegevens moet een actuele TIA beschikbaar hebben.
Geautomatiseerde besluitvorming: AI-kredietscoring, sollicitatiefiltrating en prestatiesystemen activeren verplichtingen uit artikel 22. De AP richt zich op organisaties die geautomatiseerde beslissingen nemen zonder een echte menselijke toetsingsstap. Zowel werknemers als consumenten moeten worden beschermd.
Het BSN: een beschermd nationaal identifier
Het Burgerservicenummer (BSN) is een 9-cijferig identificatienummer dat in Nederland wordt gebruikt. Het wordt gevalideerd met de Elfproef. Hoe de proef werkt: vermenigvuldig elk cijfer met een gewicht van 9 tot −1, tel de uitkomsten op en de som moet deelbaar zijn door 11.
De BSN-wet (Wet algemene bepalingen burgerservicenummer) beperkt het gebruik van het BSN tot specifieke wettelijke contexten. Dit zijn: belasting, zorg, overheid en loonadministratie voor werkgevers. Gebruik van een BSN buiten die contexten leidt tot handhaving op grond van de BSN-wet. AVG-aansprakelijkheid komt daar bovenop.
Waarom generieke tools BSN's missen: Veel NLP-tools bevatten de Elfproef niet. Zonder die proef wordt elke 9-cijferige reeks als mogelijk BSN gemarkeerd. Dit leidt tot valse alarmen in financiële en administratieve documenten. Foutief ingetypte BSN's worden ook gemist: ze falen de proef maar zien er toch geldig uit als patroon. Zie onze gids voor Europese nationale belasting-ID's en PII-detectie voor een volledige vergelijking van Europese ID-formaten.
NER voor Nederlandstalige tekst
Nederlands (Nederlands) heeft kenmerken die modellen die getraind zijn op Engels in de problemen brengen.
Samengestelde woorden: Nederlands voegt woorden samen. Persoonsgegevens en Burgerservicenummer zijn elk één woord. Modellen gebouwd voor het Engels splitsen ze vaak op het verkeerde punt. Dat verstoort de entiteitsdetectie.
Naamsuitgangen: De achtervoegsels -je en -tje komen voor in voornamen — Annetje, Hansje. Naammodellen moeten zowel de basisvorm als de verkleinvorm kunnen verwerken.
Adresformaten: Straattypes zijn onder meer Straat, Laan, Weg, Plein en Gracht. Postcodes bestaan uit vier cijfers plus twee letters (voorbeeld: 1234 AB). Elke code verwijst naar één straat, waardoor hij meer onthult dan de meeste Europese postcodes.
IBAN-formaat: Nederlandse IBAN's zijn 18 tekens lang: NL + 2 controlecijfers + 4-letterige bankcode + 10-cijferig rekeningnummer. Het land heeft een hoog gebruik van kaartbetalingen. Financiële documenten bevatten daardoor veel IBAN's. Voor vertrouwensscoremethoden voor verschillende ID-typen, zie binaire PII-detectie en vertrouwensscoring.
Technische checklist voor AP-naleving
Om aan de huidige normen van de AP te voldoen, hebben datasystemen het volgende nodig:
- BSN-detectie met Elfproef — patroonherkenning alleen is niet voldoende
- Nederlandstalige NER — een model zoals spaCy
nl_core_newsverwerkt samengestelde woorden en verkleinvormen van namen - IBAN-detectie — formaatbewust, niet generiek
- Subverwerkerregisters voor alle grensoverschrijdende overdrachten
- TIA's voor Amerikaanse leveranciers — een actieve AP-auditprioriteit na de Uber-uitspraak
Na de Uber-zaak is een TIA voor Amerikaanse leveranciers een basisvereiste, geen beste praktijk. Zie voor een volledige uiteenzetting van de uitspraak en de implicaties voor gegevensoverdrachten de AP Uber-boete en grensoverschrijdende handhaving.