De Dutch AP En De Uber-Boete
In augustus 2024 beboette de Dutch AP Uber met €290 miljoen. Uber stuurde EU-rijdersdata naar US-servers zonder rechtsgrond. Die data omvatte taxivergunningen, strafrechtelijke controles, medische records en reislogs.
Uber verplaatste de data na Schrems II, dat het EU-US Privacy Shield in juli 2020 neerhaalde. Het hield die overdrachten twee jaar gaande. Geen Standard Contractual Clauses. Geen enkel artikel 46-instrument.
Deze boete is de grootste in de EU voor een datatransfert-inbreuk. Het staat derde onder alle AVG-boetes ooit. Overdrachtfouten dragen nu enorme kosten. Niet alleen inbreuken.
Zie onze AVG-conformiteitsgids voor een snel overzicht.
AP Handhavingsprioritaire Gebieden
De Dutch AP ontving in 2023 meer dan 21.400 klachten. Het richt zich op drie gebieden.
Prioriteit 1 — Werknemersmonitoring (43% van de gevallen): Veel Nederlandse bedrijven hebben AP-boetes ontvangen voor het monitoren van hun personeel. Verborgen camera's, bulk e-mailcontroles en GPS-tracking zonder kennisgeving triggeren allemaal actie. Nederlands arbeidsrecht voegt extra regels toe bovenop de AVG.
Prioriteit 2 — Grensoverschrijdende overdrachten (31% van de gevallen): Na de Uber-boete en een gezamenlijk onderzoek met Ierland's DPC over Cloudflare (2023) heeft de AP het overdrachtstoezicht opgevoerd. De techsector van Amsterdam loopt hier hoog risico. Cloudbedrijven, fintech en snel-groeiende startups vallen allemaal in bereik.
Prioriteit 3 — Marketing en profilering (26% van de gevallen): Dit dekt cookie-toestemming, advertentietargeting en directe marketing. De AP neemt een strikte visie van "gerechtvaardigd belang". Het vereist schriftelijke tests met duidelijk bewijs.
Overdrachtsregels Na Uber
Transfer Impact Assessments (TIA's): De EDPB vereist een TIA voor elke overdracht naar een derde land. De TIA moet aantonen dat de bestemming gelijkwaardige bescherming biedt als het EU-recht. De AP stelt dat een TIA vier vragen moet beantwoorden:
- Wat zijn de toegangswetten in het bestemmingsland?
- Hoe ver reikt de arm van de inlichtingendiensten?
- Wat is de staat van dienst van overheidsverzoeken aan de gegevensimporteur?
- Welke rechtsmiddelen kunnen betrokkenen gebruiken?
Standard Contractual Clauses — alleen niet voldoende: SCC's alleen voldoen niet aan artikel 46. Als de TIA overheidstoegangrisico toont, zijn extra waarborgen vereist.
Extra technische maatregelen die de AP accepteert:
- Versleuteling waarbij de importeur geen toegang heeft tot ontsleutelingssleutels
- Verwijdering van directe ID's vóór overdracht zodat de importeur de data niet kan terugkoppelen aan een persoon
- Datareductie vóór overdracht, waarbij velden worden gesneden die de importeur niet nodig heeft
De offline Desktop App voert al het werk op uw apparaat uit. Het stuurt geen data naar buiten. Dit verwijdert het overdrachtsonderwerp voor die activiteit. Zie ons beveiligings- en complianceoverzicht.
Werknemersdata En Nederlands Arbeidsrecht
De 43%-focus van de AP op werknemersmonitoring toont hoe AVG en Nederlands arbeidsrecht overlappen.
Drie regels gelden voor in Nederland gevestigde organisaties:
Ondernemingsraad-goedkeuring: Een bedrijf met een ondernemingsraad moet zijn goedkeuring krijgen voordat enig monitoringtool wordt uitgerold. Dit dekt AI-tools, e-mailcontroles en aanwezigheidssystemen.
Geschikt voor doel: Monitoring moet overeenkomen met het opgegeven doel. Verborgen monitoring is niet toegestaan. Open monitoring moet de minst ingrijpende optie zijn.
Doelbinding: HR-data verzameld voor één doel kan niet worden gebruikt voor een ander. Een nieuwe rechtsgrond is nodig.
Deze regels vereisen drie records: de raadsgoedkeuring, de doelcontrole en de controles. Onze compliancechecklist dekt alle drie.
Nederlandse PII-Detectie
PII-tools in Nederland moeten lokale ID-formaten verwerken. Standaard globale tools missen ze vaak:
- BSN (Burger Service Nummer): 9-cijferig Nederlands nationaal ID — vereist controlesomvalidatie
- IBAN (NL-voorvoegsel): Nederlands IBAN met eigen validatielogica
- Postcode: Formaat is 4 cijfers + spatie + 2 letters
- DigiD: Overheidsdistale identiteitscode
- Zorgnummers: BGZ en EP formaten voor patiëntrecords
Een generieke tool kan IBAN detecteren maar de BSN-controlesomsom of het postcodeformaat missen. Test BSN-detectie vóór u nationale identiteitsdata verwerkt. Ga niet uit van dekking.
Stappen Voor Nederlandse Organisaties
1. Overdrachtsaudit: Maak een lijst van alle datastromen naar derde landen. Bekijk aanwezige SCC's. Voer TIA's uit voor sleutelstromen. Leg extra technische maatregelen vast waar een TIA risico markeert.
2. Werknemersmonitoringsbeoordeling: Maak een lijst van alle monitoringtools, inclusief AI. Controleer ondernemingsraadgoedkeuringsrecords. Bevestig dat doelcontroles schriftelijk bestaan.
3. PII-dekkingscontrole: Test BSN-, postcode- en IBAN-detectie in uw PII-tools. Test nauwkeurigheid op Nederlandstalige documenten.
4. Techsectorblootstelling: Startups moeten keuzes vastleggen die overdrachtsrisico verminderen — EU-regio cloud en lokale verwerkingsopties. Cloudproviders met EU-US instellingen moeten hun overdrachtstools en TIA-aanpak documenteren.
anonym.legal gebruikt EU-gebaseerde Hetzner datacenters met zero-knowledge ontwerp. De server ziet uw leesbare inhoud nooit. Een volledige serverinbreuk levert alleen AES-256-GCM-cijfertekst op. Heeft u alleen lokale verwerking nodig? De Desktop App draait volledig op uw apparaat zonder externe verbindingen.
Bronnen
- Dutch AP: Autoriteit Persoonsgegevens officiële site — GEVERIFIEERD-EXTERN
- Dutch AP: Uber handhavingsbesluit (augustus 2024) — GEVERIFIEERD-EXTERN
- EDPB: Aanbevelingen 01/2020 over aanvullende maatregelen — GEVERIFIEERD-EXTERN