Waarom Ierland EU-Handhaving Leidt
De Irish Data Protection Commission (DPC) is de leidende instantie voor de meeste grote EU-techbedrijven. Dit is geen toeval.
Ierlands lage belastingtarief trok Apple, Google, Meta, LinkedIn en TikTok aan. Ze hebben allemaal hun voornaamste EU-kantoren daar gevestigd.
AVG-artikel 60 maakt de DPC de leidende instantie voor deze bedrijven. Drie dingen volgen uit deze regel.
Ten eerste gaat een klacht in Duitsland over Facebook naar de Irish DPC, niet de Duitse BfDI. Ten tweede werkt de DPC samen met andere EU-instanties in grensoverschrijdende gevallen. Ten derde geldt een DPC-uitspraak tegen Meta over de gehele EU.
Het resultaat is duidelijk. De DPC heeft meer boetewaarde opgelegd dan alle andere EU-instanties samen. Zie ons AVG-complianceoverzicht over hoe dit leveranciersbeslissingen beïnvloedt.
Drie Boetes Die 2024–2025 Definiëren
€530M tegen TikTok (mei 2025): Chinese ingenieurs hadden toegang tot EU-gebruikersrecords. Dit schond AVG-artikelen 44–46. Die regels beperken overdrachten naar landen zonder een EU-adequaatheidsbesluit. China heeft er geen. TikTok beweerde adequate controles te hebben. De DPC vond van niet.
€310M tegen LinkedIn (oktober 2024): LinkedIn vertrouwde op "gerechtvaardigd belang" voor gedragsanalyse. De DPC vond dit ongeldig. De verwerking was niet nodig voor het opgegeven doel. De afweegtest was niet in het voordeel van LinkedIn.
€251M tegen Meta (november 2024): De Facebook-inbreuk van 2018 werd niet tijdig gemeld aan de DPC. De DPC vond ook dat slechte auditlogs het onmogelijk maakten om te meten wat er was blootgesteld.
Deze drie voegden zich bij de eerdere €1,2 miljard Meta-boete van mei 2023. Die boete kwam ook van de DPC, voor illegale EU-US overdrachten. Het blijft de grootste AVG-sanctie ooit opgelegd.
De DPC behandelde in 2024 meer dan 8.500 grensoverschrijdende gevallen. Bekijk onze beveiligings- en compliancepagina om te zien hoe zero-knowledge ontwerp elk falen aanpakt.
Wat Elke Boete Onthult
Grensoverschrijdende Toegangsfouten
Alle drie boetes delen één kernprobleem. Persoonsgegevens waren open voor medewerkers in landen zonder EU-niveau privacyregels.
TikToks boete was direct. EU-gebruikersbestanden bereikten Chinese ingenieurs ondanks opgegeven controles.
Wat dit betekent voor leveranciersselectie: Vraag of niet-EU-ingenieurs EU-gehoste records kunnen bereiken in normaal werk. Een leverancier kan in Dublin hosten maar EU-bestanden nog steeds blootstellen via US-gebaseerde supportmedewerkers. EU-vestiging alleen is niet voldoende. Onze entiteitsverwerkingsgids toont hoe toegangscontroles mappen op AVG-artikel 46.
Rechtsgrondfouten
LinkedIns boete betrof geen inbreuk. Het ging over hoe LinkedIn zijn verwerking rechtvaardigde.
"Gerechtvaardigd belang" is geen blanco recht. Verwerkingsverantwoordelijken moeten een echte afweegtest documenteren. Die test moet aantonen dat hun belang de rechten van de gebruiker overweegt. Onze compliancepagina dekt hoe leveranciers-rechtsgrondbeweringen te beoordelen.
Logging- En Kennisgevingsfouten
Meta's €251M-boete omvatte een sleutelbevinding. Slechte auditlogs maakten het onmogelijk het inbreukbereik te meten.
AVG-artikel 33 vereist inbreukmelding binnen 72 uur. Die melding moet het bereik van getroffen records omvatten. U kunt geen bereik rapporteren dat u niet kunt meten.
Vraag potentiële leveranciers naar hun auditlogstructuur. Als een leverancier na een incident niet kan antwoorden "welke records waren blootgesteld?", falen ze artikel 33(3)(b).
Het Patroon Over DPC-Zaken
Lees alle vier grote DPC-boetes en er verschijnt één patroon. Toezichthouders treden op tegen ontwerpen waarbij leveranciersingenieurs gebruikersinhoud kunnen zien. Elke grote boete betrof slecht gecontroleerde toegang tot persoonsgegevens.
Zero-knowledge ontwerp pakt de kernzorg in elk geval aan. Gebruikersinhoud is versleuteld. De leverancier heeft geen ontsleutelingssleutels.
Voor TikTok- en Meta-overdrachtszaken bereiken niet-EU-ingenieurs de server maar zien alleen cijfertekst. Er worden geen leesbare records blootgesteld. Voor de Meta-inbreukzaak levert een volledige servercompromis niets nuttigs op. Inbreukbereik krimpt. Voor LinkedIn kan een leverancier die nooit leesbare tekst ziet er geen gedragsanalyse op uitvoeren.
Dit is het directe antwoord op elke DPC-actie. Zie ons beveiligingsoverzicht voor details, of onze oprichtersverklaring over waarom anonym.legal zo vanaf dag één is gebouwd.
Wat "Hoofdvestiging" Betekent
Sommige bedrijven routeren hun EU-structuur om te bepalen welke DPA bevoegdheid heeft. Het standpunt van de DPC is hier van belang.
"Hoofdvestiging" is niet zomaar een bedrijfsadres. Het is waar centraal EU-management zit. Voor verwerkingsverantwoordelijken is het waar beslissingen over verwerkingsdoeleinden worden genomen.
Een bedrijf met een Londense privacyteam heeft mogelijk geen EU-hoofdvestiging. Elke lidstaat-DPA kan dan bevoegdheid beweren voor lokale klachten.
Leveranciersbeoordeling Vragen
Gebruik deze vragen bij het beoordelen van SaaS-leveranciers die persoonsgegevens verwerken.
Jurisdictie en toegang:
- Waar is de EU-hoofdvestiging van de leverancier?
- Kunnen niet-EU-medewerkers EU-gebruikersrecords benaderen in normaal werk?
- Is het moederbedrijf van de leverancier onderworpen aan de CLOUD Act of de veiligheidswetten van China?
Technisch ontwerp:
- Blijft EU-gebruikersinhoud op EU-gehoste servers?
- Houdt de leverancier versleutelingssleutels, of doet de klant dat?
- Zijn auditlogs gedetailleerd genoeg om het inbreukbereik te meten?
Overdrachtsrecords:
- Welk AVG-artikel 46-mechanisme dekt eventuele EU-US stromen?
- Heeft de leverancier een Transfer Impact Assessment uitgevoerd?
- Welke extra technische maatregelen zijn aanwezig?
DPC-handhaving is consistent op één punt. Zelfs bedrijven met privacyteams en DPO's ontvangen grote boetes wanneer hun technisch ontwerp niet overeenkomt met hun beweringen. Zie onze casestudies en FAQ voor meer.
anonym.legal gebruikt EU-gebaseerde Hetzner-servers met zero-knowledge ontwerp. Servers bewaren alleen AES-256-GCM-cijfertekst. Een volledige inbreuk stelt geen leesbare records bloot. De Desktop App verwerkt alle inhoud op het apparaat zonder externe koppelingen.
Bronnen
- Irish DPC — Officiële handhavingsbeslissingen — GEVERIFIEERD-EXTERN
- EDPB — One-Stop-Shop mechanisme — GEVERIFIEERD-EXTERN
- AVG-tekst — Artikelen 33, 44–46, 60 — GEVERIFIEERD