De Dutch AP En De Uber-Boete
In augustus 2024 beboette de Dutch AP Uber met €290 miljoen. Uber stuurde EU-rijdersdata naar US-servers zonder rechtsgrond. Die data omvatte taxivergunningen, strafrechtelijke controles, medische records en reislogs.
Uber verplaatste de data na Schrems II, dat het EU-US Privacy Shield in juli 2020 neerhaalde. Het hield die overdrachten twee jaar gaande. Geen Standard Contractual Clauses. Geen enkel artikel 46-instrument.
Deze boete is de grootste in de EU voor een datatransfert-inbreuk. Het staat derde onder alle AVG-boetes ooit. Overdrachtfouten dragen nu enorme kosten. Niet alleen inbreuken.
Zie onze AVG-conformiteitsgids voor een snel overzicht.
AP Handhavingsprioritaire Gebieden
De Dutch AP ontving in 2023 meer dan 21.400 klachten. Het richt zich op drie gebieden.
Prioriteit 1 — Werknemersmonitoring (43% van de gevallen): Veel Nederlandse bedrijven hebben AP-boetes ontvangen voor het monitoren van hun personeel. Verborgen camera's, bulk e-mailcontroles en GPS-tracking zonder kennisgeving triggeren allemaal actie. Nederlands arbeidsrecht voegt extra regels toe bovenop de AVG.
Prioriteit 2 — Grensoverschrijdende overdrachten (31% van de gevallen): Na de Uber-boete en een gezamenlijk onderzoek met Ierland's DPC over Cloudflare (2023) heeft de AP het overdrachtstoezicht opgevoerd. De techsector van Amsterdam loopt hier hoog risico. Cloudbedrijven, fintech en snel-groeiende startups vallen allemaal in bereik.
Prioriteit 3 — Marketing en profilering (26% van de gevallen): Dit dekt cookie-toestemming, advertentietargeting en directe marketing. De AP neemt een strikte visie van "gerechtvaardigd belang". Het vereist schriftelijke tests met duidelijk bewijs.
Overdrachtsregels Na Uber
Transfer Impact Assessments (TIA's): De EDPB vereist een TIA voor elke overdracht naar een derde land. De TIA moet aantonen dat de bestemming gelijkwaardige bescherming biedt als het EU-recht. De AP stelt dat een TIA vier vragen moet beantwoorden:
- Wat zijn de toegangswetten in het bestemmingsland?
- Hoe ver reikt de arm van de inlichtingendiensten?
- Wat is de staat van dienst van overheidsverzoeken aan de gegevensimporteur?
- Welke rechtsmiddelen kunnen betrokkenen gebruiken?
Standard Contractual Clauses — alleen niet voldoende: SCC's alleen voldoen niet aan artikel 46. Als de TIA overheidstoegangrisico toont, zijn extra waarborgen vereist.
Extra technische maatregelen die de AP accepteert:
- Versleuteling waarbij de importeur geen toegang heeft tot ontsleutelingssleutels
- Verwijdering van directe ID's vóór overdracht zodat de importeur de data niet kan terugkoppelen aan een persoon
- Datareductie vóór overdracht, waarbij velden worden gesneden die de importeur niet nodig heeft
De Desktop App van anonym.legal leest bestanden op uw apparaat; de detectie loopt via de EU-gehoste API (Hetzner, Falkenstein), zodat de gegevens in de EU blijven. Voor verwerking zonder enige externe verbinding draait ons zusterproduct anonym.plus volledig op het apparaat. Zie ons beveiligings- en complianceoverzicht.
Werknemersdata En Nederlands Arbeidsrecht
De 43%-focus van de AP op werknemersmonitoring toont hoe AVG en Nederlands arbeidsrecht overlappen.
Drie regels gelden voor in Nederland gevestigde organisaties:
Ondernemingsraad-goedkeuring: Een bedrijf met een ondernemingsraad moet zijn goedkeuring krijgen voordat enig monitoringtool wordt uitgerold. Dit dekt AI-tools, e-mailcontroles en aanwezigheidssystemen.
Geschikt voor doel: Monitoring moet overeenkomen met het opgegeven doel. Verborgen monitoring is niet toegestaan. Open monitoring moet de minst ingrijpende optie zijn.
Doelbinding: HR-data verzameld voor één doel kan niet worden gebruikt voor een ander. Een nieuwe rechtsgrond is nodig.
Deze regels vereisen drie records: de raadsgoedkeuring, de doelcontrole en de controles. Onze compliancechecklist dekt alle drie.
Nederlandse PII-Detectie
PII-tools in Nederland moeten lokale ID-formaten verwerken. Standaard globale tools missen ze vaak:
- BSN (Burger Service Nummer): 9-cijferig Nederlands nationaal ID — vereist controlesomvalidatie
- IBAN (NL-voorvoegsel): Nederlands IBAN met eigen validatielogica
- Postcode: Formaat is 4 cijfers + spatie + 2 letters
- DigiD: Overheidsdistale identiteitscode
- Zorgnummers: BGZ en EP formaten voor patiëntrecords
Een generieke tool kan IBAN detecteren maar de BSN-controlesomsom of het postcodeformaat missen. Test BSN-detectie vóór u nationale identiteitsdata verwerkt. Ga niet uit van dekking.
Stappen Voor Nederlandse Organisaties
1. Overdrachtsaudit: Maak een lijst van alle datastromen naar derde landen. Bekijk aanwezige SCC's. Voer TIA's uit voor sleutelstromen. Leg extra technische maatregelen vast waar een TIA risico markeert.
2. Werknemersmonitoringsbeoordeling: Maak een lijst van alle monitoringtools, inclusief AI. Controleer ondernemingsraadgoedkeuringsrecords. Bevestig dat doelcontroles schriftelijk bestaan.
3. PII-dekkingscontrole: Test BSN-, postcode- en IBAN-detectie in uw PII-tools. Test nauwkeurigheid op Nederlandstalige documenten.
4. Techsectorblootstelling: Startups moeten keuzes vastleggen die overdrachtsrisico verminderen — EU-regio cloud en lokale verwerkingsopties. Cloudproviders met EU-US instellingen moeten hun overdrachtstools en TIA-aanpak documenteren.
anonym.legal verwerkt tekst in EU-gebaseerde Hetzner-datacenters (Falkenstein); zero-knowledge geldt voor het aanmelden, zodat uw wachtwoord uw apparaat nooit verlaat. Lokale verwerking nodig? Ons zusterproduct anonym.plus draait volledig op uw apparaat; de Desktop App van anonym.legal leest bestanden op uw apparaat; de detectie loopt via de EU-gehoste API.
Bronnen
- Dutch AP: Autoriteit Persoonsgegevens officiële site — GEVERIFIEERD-EXTERN
- Dutch AP: Uber handhavingsbesluit (augustus 2024) — GEVERIFIEERD-EXTERN
- EDPB: Aanbevelingen 01/2020 over aanvullende maatregelen — GEVERIFIEERD-EXTERN