T-Mobile moet informatie verschaffen over geautomatiseerde besluitvorming | AVG, profilering

Geplaatst op 8 september 2022 door Ellen Timmer

Telecombedrijf T-Mobile kwam in 2021 in het nieuws omdat het datasets met persoonsgegevens van klanten aan het CBS verschafte, zo bleek uit een artikel in het NRC van 1o maart 2021. Volgens dat artikel volgde T-Mobile vanaf 2017 de bewegingen van grote groepen Nederlanders.
Een advocaat die privé klant van dit telecombedrijf is stuurde naar aanleiding van deze berichten een brief aan T-Mobile waarin werd verzocht om inzage in zijn persoonsgegevens [1]:

Ik moet een compleet beeld kunnen vormen over de verwerkingen van mijn persoonsgegevens. Daarom verzoek ik u de informatie zo gedetailleerd mogelijk te verstrekken. Denk aan specifieke locatiegegevens, zoals – maar niet beperkt tot – GPS-coördinaten en cartografische data, en andere relevante gegevens zoals verkeersgegevens en/of gegevens gerelateerd aan bijvoorbeeld IMSI, IMEI, MAC-adres(sen), etc. alsook aanverwante informatie over data en tijdstip(pen).

In reactie op dit verzoek liet T-Mobile de advocaat weten dat zij geen persoonsgegevens van individuele klanten zou hebben gedeeld met het CBS.

Verzoeken
Daar nam de advocaat geen genoegen mee. Hij diende een verzoek bij de Rechtbank Oost-Brabant, waarin hij verzocht om T-Mobile te bevelen aan hem informatie te verschaffen over [2]:

* de verwerkingsdoeleinden;
* de betrokken categorieën van persoonsgegevens;
* de ontvangers aan wie de persoonsgegevens zijn of zullen worden verstrekt;
* indien mogelijk, de periode gedurende welke de persoonsgegevens naar verwachting zullen worden opgeslagen, of indien dit niet mogelijk is, de criteria om die termijn te bepalen;
* wanneer de persoonsgegevens niet bij T-Mobile zin verzameld, alle beschikbare informatie over de bron van die gegevens;
* het bestaan van geautomatiseerde besluitvorming, en, indien dergelijke besluitvorming, van toepassing is, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor [verzoeker];

en diverse andere vorderingen, onder meer inzage in de wezenlijke inhoud van de regeling tussen het CBS en T-Mobile. Dit verzoek leidt tot twee uitspraken.

Informatieverschaffing door T-Mobile
De rechtbank oordeelt in de eerste uitspraak dat T-Mobile in het kader van het project met het CBS persoonsgegevens heeft verwerkt en daarom op grond van de AVG bepaalde informatie moet verschaffen [3]:

In dat verband zal T-Mobile in ieder geval aan [verzoeker] de precieze aard (en herkomst) moeten duiden van de persoonsgegevens die in het kader van de pilot met het CBS door haar zijn verwerkt (bijvoorbeeld locatiegegevens aan de hand van GPS- of andere gebruikelijke coördinaten, IMSI-nummers enzovoorts).
Simpel gesteld zal T-Mobile op transparante wijze inzichtelijk moeten maken welke persoonsgegevens zij heeft verwerkt ten behoeve van de aan het CBS ter beschikking gestelde datasets en waar deze gegevens precies vandaan kwamen. T-Mobile zal als vormgever van de datasets (nog) moeten weten welke soort (persoons)gegevens in de datasets zijn c.q. waren opgenomen.

Nu T-Mobile stelt de gegevens te hebben gewist, wordt zij door de rechtbank in staat gesteld daarover bewijs te verschaffen.

Voorts bespreekt de rechtbank T-Mobile en CBS gezamenlijke verwerkingsverantwoordelijken waren in het CBS-project en zij dus samen verplicht zijn tot het verschaffen van de informatie aan telefoonabonnees zoals in artikel 12 AVG is voorgeschreven. In de eerste uitspraak stelt de rechtbank T-Mobile in de gelegenheid om in het geding te brengen [4]:

– de verklaring ter zake het wissen van de verwerkte persoonsgegevens van het CBS-project;
– de overeenkomst inzake de pilot tussen T-Mobile en het CBS;
– het privacystatement waarnaar T-Mobile heeft verwezen;
– een schriftelijke toelichting dat met het verstrekken van het privacystatement, het persstatement van 11 maart 2021 en de overeenkomst tussen T-Mobile met het CBS is voldaan aan de op haar rustende verplichtingen op grond van art. 13, 14 en 26 AVG;
– (indien T-Mobile dat opportuun acht) bij voorbaat de informatie zoals bedoeld onder 5.13 en 5.14 (de door [verzoeker] verzochte informatie uit hoofde van art. 15 AVG).

Informatie over geautomatiseerde besluitvorming ontbreekt
Begin augustus dit jaar wordt de einduitspraak gewezen. Daaruit blijkt dat T-Mobile stukken heeft overgelegd, waarmee gedeeltelijk aan de AVG-verplichtingen is voldaan. Voorts heeft T-Mobile de rechtbank er van overtuigd dat de gegevens verzameld voor het CBS-project daadwerkelijk zijn gewist.

Echter, wat nog ontbreekt is de gevraagde informatie over geautomatiseerde besluitvorming, met inbegrip van profilering, en – voor zover dergelijke besluitvorming plaats vindt – nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de telefoonabonnee. Dat leidt er toe dat de rechtbank in de einduitspraak de volgende beslissing geeft:

beveelt T-Mobile om binnen twee maanden na betekening van de beschikking ten aanzien van de in het verzoekschrift bedoelde verwerkingen van persoonsgegevens [verzoeker] informatie te verschaffen over het bestaan van geautomatiseerde besluitvorming, met inbegrip van de in artikel 22, leden 1 en 4, bedoelde profilering, en, ten minste in die gevallen, nuttige informatie over de onderliggende logica, alsmede het belang en de verwachte gevolgen van die verwerking voor de betrokkene

Tot slot
Ook telecombedrijven moeten zich aan de AVG houden en hun klanten alle door de AVG voorgeschreven informatie verschaffen.

 

Noten

[1] Eerste uitspraak, par. 3.5.
[2] Eerste uitspraak, par. 4.1.
[3] Eerste uitspraak, par. 5.13 en 5.14.
[4] Eerste uitspraak, par. 6.1.

 

Meer informatie:

  • Eerste uitspraak Rechtbank Oost-Brabant 2 maart 2022 (tussenbeschikking)
  • Einduitspraak Rechtbank Oost-Brabant 1 augustus 2022 (eindbeschikking)
Geplaatst in ICT, privacy, e-commerce | Tags: , , , , , | Plaats een reactie

Europa maakt zich schuldig aan nationaliteitsdiscriminatie in sanctieregelgeving | Rusland-sancties

Geplaatst op 8 september 2022 door Ellen Timmer

In de sanctieregelgeving is een verbod opgenomen om gelden aan te houden van Russen, dit staat in artikel 5b, markering door mij:

1. It shall be prohibited to accept any deposits from Russian nationals or natural persons residing in Russia, legal persons, entities or bodies established in Russia or a legal person, entity or body established outside the Union and whose proprietary rights are directly or indirectly owned for more than 50 % by Russian nationals or natural persons residing in Russia, if the total value of deposits of that natural or legal person, entity or body per credit institution exceeds EUR 100 000.

2. It shall be prohibited to provide crypto-asset wallet, account or custody services to Russian nationals or natural persons residing in Russia, or legal persons, entities or bodies established in Russia, if the total value of crypto-assets of the natural or legal person, entity or body per wallet, account or custody provider exceeds EUR 10 000.

3. Paragraphs 1 and 2 shall not apply to nationals of a Member State, of a country member of the European Economic Area or of Switzerland, or to natural persons having a temporary or permanent residence permit in a Member State, in a country member of the European Economic Area or in Switzerland.

 

Ik vroeg me eerder al af of zowel voor de “Russian nationals” als voor de “natural persons” geldt dat zij inwoner van Rusland moeten zijn. Uit de beantwoording van vragen via het addendum op de leidraad van het Ministerie van Financiën, waarover ik eerder vandaag schreef, blijkt dat dit niet het geval is. Zie de antwoorden op vragen E en F:

Dat betekent dat op grond van deze Europese regels mensen met de Russische nationaliteit die inwoner zijn van de EU mogen worden gediscrimineerd, ook al wonen ze langdurig in de EU. Dat is te bizar voor woorden en in strijd met alle principes van het Europese recht.

Grondrechten zijn niet in goede handen bij Europa
Het geeft aan de de EU aan het afglijden is, wat ook al is te zien aan de omgang met mensen met Amerikaanse nationaliteit die geconfronteerd worden met de onrechtmatige Amerikaanse Citizenship-Based Taxation en FATCA (zie inleiding).

 

Aanvulling 6 oktober 2022
In het nieuwste pakket maakt Europa het nog bonter, zie het persbericht van 6 oktober, zie ook dit bericht.

Geplaatst in Europa, Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Sanctieregels | Tags: , , | Plaats een reactie

Addendum bij leidraad Ministerie van Financiën over sanctieregelgeving

Geplaatst op 8 september 2022 door Ellen Timmer

Op 17 augustus 2022 heeft het Ministerie van Financiën een addendum toegevoegd aan de leidraad over de sanctieregelgeving (pagina). Het addendum bevat veelgestelde vragen in verband met de territoriale integriteit van Oekraïne. Er komen vragen aan de orde als:

  • Mag ik als Europees bedrijf of als Europees burger vanaf mijn Nederlandse of Europese bankrekening betalingen aan Russische personen of bedrijven met een Russische bankrekening verrichten?
  • Hoe ver moet bevriezing van een Nederlands bedrijf (dat zelf niet gesanctioneerd is) gaan?

Rechtsbijstand
Blijkens de veelgestelde vragen is het ministerie van mening dat het bijstaan van een gesanctioneerde (Wit-)Russische partij kan worden aangemerkt als het ter beschikking stellen van ‘economische middelen’ in de zin van de toepasselijke regelgeving [1]. Er moet dan altijd met het Ministerie van Buitenlandse Zaken contact worden opgenomen voor ontheffing, terwijl voor het ontvangen van betaling van de dienst een ontheffing van het Ministerie van Financiën nodig is.

‘Transactie’
Nog merkwaardiger wordt het dat het transactiebegrip van de toepasselijke verordening [2] wordt uitgerekt naar alle soorten dienstverlening (dus niet alleen de betaling voor een dienst), inclusief juridische advies, belastingadvies, boekhoudkundige diensten of andere administratieve diensten [3].

 

Noten
[1] Antwoord op vraag R, paragraaf 1.6.
[2] Artikel 5aa Verordening (EU) Nr. 833/2014.
[3] Aldus het antwoord op vraag T, paragraaf 1.7.

Geplaatst in Dienstverlening - juridisch financieel [advocaten, accountants, belastingadviseurs e.d.], Financieel recht, onder meer Wft, Wtt, Fraude, witwasbestrijding, Wwft, Sanctieregels | Plaats een reactie

AVG en kredietbeoordeling | uitspraak Datatilsynet over het zonder grondslag opvragen van een kredietbeoordeling

Geplaatst op 7 september 2022 door Ellen Timmer

In de financiële sector gaan zeer veel vertrouwelijke gegevens om, waaronder zeer veel persoonsgegevens. De redenen voor het verzamelen van de gegevens zijn enerzijds de misdaadbestrijdingstaken die de overheid naar de financiële sector heeft verlegd [*] en anderzijds de eigen activiteiten van de financiële instellingen, bijvoorbeeld de beoordeling of een lening kan worden verstrekt. Die financiële instellingen maken veel gebruik van datahandelaren, onder andere datahandelaren die zich met kredietwaardigheidsbeoordeling bezig houden. Ook hier is de AVG relevant, zoals uit navolgende zaak blijkt.

In een zaak die werd behandeld door de Noorse gegevensbeschermingstoezichthouder (Datatilsynet) kwam aan de orde dat een vastgoedbeheeronderneming Krokatjønnveien 15 AS (‘Krokatjønnveien’) kredietwaardigheidsbeoordelingen had laten maken van twee personen die geen relatie met Krokatjønnveien hadden, vermoedelijk vanwege een privégeschil van één van hen met iemand van Krokatjønnveien. Die twee personen ontdekten dat en dienden een klacht bij de toezichthouder in, die onderzoek instelde en tot de conclusie kwam dat Krokatjønnveien ten onrechte de kredietwaardigheidsbeoordeling had opgevraagd, wat een boete van NOK 300,000 (ongeveer 30.500 euro) opleverde.

Datatilsynet is van mening dat zorgvuldig met het aanvragen van een kredietbeoordeling moet worden omgegaan, omdat het samengesteld wordt met persoonsgegevens uit vele verschillende bronnen, met veel details van de persoonlijke financiën, zoals betalingsaanzeggingen, hypotheken en gegevens over schulden. Degene die een kredietbeoordeling opvraagt hoort daarvoor een grondslag als bedoeld in de AVG te hebben (bijvoorbeeld een overeenkomst). In deze zaak ontbrak die grondslag en was er reden voor een boete.

 

Bericht Datatilsynet in het Noors,
pagina over kredietbeoordeling (Noors)

 

[*] Ook bekend als ‘witwasbestrijding’, gebaseerd op Europese regels en de Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft).

Geplaatst in Financieel recht, onder meer Wft, Wtt, ICT, privacy, e-commerce | Tags: , , , , , | Plaats een reactie

Corona advies

Geplaatst op 6 september 2022 door Ellen Timmer

Gisteren is het gezamenlijke corona advies van een aantal adviesorganen uitgebracht onder de titel Coronascenario’s doordacht: Handreiking voor noodzakelijke keuzes.

Het zal interessant zijn om te zien of er in het rapport aandacht wordt besteed aan de vraag of het nut en de effectiviteit van maatregelen wel goed wordt gemeten en of wetenschappelijke tegenspraak wordt toegestaan. Ik ben er benieuwd naar of de wetenschappelijke overheidsadviseurs ook door onafhankelijke wetenschappers gecontroleerd mogen worden. Uit de discussie rondom de oversterfte cijfers krijg ik de indruk dat de berekeningen door RIVM c.s. niet onafhankelijk gecontroleerd kunnen worden, wat geen professionele indruk maakt.

De adviseurs
Er is blijkens pagina 2 van het advies (pdf) uitgebracht door WRR in nauwe samenwerking met:

de Gezondheidsraad
de Raad van State
de Raad voor het Openbaar Bestuur
de Raad voor Volksgezondheid & Samenleving

Naast deze adviescolleges, zo staat er, werkten ook mee aan de studie:

de Adviesraad Internationale Vraagstukken
de Adviesraad voor wetenschap, technologie en innovatie
het College voor de Rechten van de Mens
de KNAW (inclusief De Jonge Akademie)
de Nederlandse Sportraad, die terecht aandacht vraagt voor het belang van sport en beweging
de Onderwijsraad
de Raad voor Cultuur
de Raad voor Strafrechtstoepassing en Jeugdbescherming
de Sociaal-Economische Raad (in de vorm van betrokkenheid kroonlid)

Dat al deze instanties hebben meegewerkt, zal het moeilijk maken om kritiek uit te oefenen. Het is een steuntje in de rug voor het coronawetsvoorstel dat is ingediend.

Media over het rapport
Een greep:

# NOS: Nu nadenken over corona, zeggen 14 instanties. Wat willen zij?
# NRC, interview met Prins: ‘Het bagatelliseren van dreigingen is geen basis voor beleid’
# RD: WRR: Overheid vertelt niet het eerlijke verhaal , WRR: Bereid je nú voor op nieuwe coronagolf
# NPO Radio 1: WRR: kabinet denkt te weinig in lange termijn-oplossingen
# Trouw: Vaccinatieplicht kan een optie zijn, schoolsluiting niet. Dit zijn de corona-adviezen van de WRR
# AD: Nederland niet klaar voor coronawinter: ‘Bespreek nu dilemma’s rond coronapas en vaccinatiedwang’
# Het Parool: Nederland niet klaar voor coronawinter: ‘Bespreek nu dilemma’s rond coronapas en vaccinatiedwang’ 

 

Geplaatst in Grondrechten | Tags: , , | Plaats een reactie

AVG geldt ook bij Europese aanbesteding | Vergabekammer Baden-Württemberg

Geplaatst op 6 september 2022 door Ellen Timmer

De Vergabekammer Baden-Württemberg (‘aanbestedingskamer’) was in een uitspraak van 13 juli jl. van oordeel dat een onderneming (‘aanbieder’) van deelname aan een Europese aanbesteding gehouden door een Duitse gezondheidsinstelling moest worden uitgesloten omdat niet werd voldaan aan de gegevensbeschermingseisen uit de aanbesteding, zie de uitspraak (Duits).

Reden: er zou een onrechtmatige overdracht van persoonsgegevens van patiënten aan een derde land, de VS, plaats vinden, als gevolg van het gebruik door de aanbieder van diensten van een Amazon dochter. Dat is op grond van de AVG niet toegestaan nu de VS geen adequaat niveau van gegevensbescherming heeft, zoals is uitgemaakt in de Schrems I en II uitspraken.

Geplaatst in ICT, privacy, e-commerce, Not-for-profit | Tags: , , , | Plaats een reactie

Duits advocatenkantoor publiceert ten onrechte persoonsgegevens van gefailleerden | AVG

Geplaatst op 5 september 2022 door Ellen Timmer

Duitse advocatenkantoren in de deelstaat Bremen, die zich bezig houden met afwikkeling van insolventies (‘mit Insolvenzverwaltungen betraute Kanzleien‘), hadden een website met een digitaal informatiesysteem dat toegang gaf tot persoonsgegevens van insolvente personen. Naar aanleiding van klachten van burgers stelde de AVG-toezichthouder van de deelstaat, LfDI [*], onderzoek in en constateerde dat de AVG werd overtreden. Er was geen grondslag voor deze openbaarmaking.

Naar aanleiding van het onderzoek hebben de advocatenkantoren hun IT-leverancier verzocht de software aan te passen en wordt nu wel aan de AVG voldaan, zo blijkt uit het persbericht van LfDI, die aangeeft dat de persoonsgegevens ook tijdig gewist zullen moeten worden. LfDI schrijft (machinevertaling):

Dit houdt niet alleen in dat persoonsgegevens slechts beperkt kunnen worden teruggehaald, maar ook dat de wettelijke termijnen voor het wissen van gegevens in acht worden genomen. Wij zullen dit in de toekomst blijven volgen, vooral omdat de bekendmaking van deze gegevens voor de betrokkenen een aanzienlijke economische stigmatisering kan betekenen.

 

[*] Der bremischen Landesbeauftragten für Datenschutz und Informationsfreiheit (LfDI).

Geplaatst in Dienstverlening - juridisch financieel [advocaten, accountants, belastingadviseurs e.d.], ICT, privacy, e-commerce | Tags: , , | Plaats een reactie

Naming & shaming van de ubo van verhuurders van woonruimte | consultatie uitvoeringsbesluit Wet goed verhuurderschap

Geplaatst op 5 september 2022 door Ellen Timmer

In aansluiting op de Wet goed verhuurderschap die in aantocht is (zie dit artikel) is een consultatie over een uitvoeringsbesluit gestart, die loopt tot en met 2 oktober a.s. Volgens de aankondiging worden in dit concept-besluit twee onderwerpen nader geregeld:

1. de verwerking van de persoonsgegevens bij het gemeentelijk meldpunt;
2. de openbaarmaking van overtredingen op de website van de gemeente op grond van artikel 19 lid 1 van de wet (naming & shaming).

Oplegging van sancties aan verhuurders, verhuurbemiddelaars en beheerders van woon- en verblijfsruimte
Een bijzonderheid aan het wetsvoorstel is dat aan verhuurders, verhuurbemiddelaars en beheerders van woon- en verblijfsruimte sancties kunnen worden opgelegd als zij de wet niet naleven. Onder meer kunnen burgemeester & wethouders boetes opleggen en kunnen zij verplichten tot het in beheer geven van woon- en verblijfsruimte.

Wettelijke grondslag voor naming & shaming van de ubo ontbreekt
Volgens het concept-besluit worden naam en woonplaats van de ‘uiteindelijk belanghebbende’ van de overtredende rechtspersoon openbaar gemaakt. Het betreft de ‘uiteindelijk belanghebbende’ (ubo) uit de witwasbestrijding [1]. Diens naam wordt volgens het concept-besluit openbaar gemaakt in het kader van naming & shaming, als sprake is van een rechtspersoon die overtreder is van de wet [2]. Vreemd is dat de openbaarmaking van de personalia van de ubo niet genoemd wordt in het wetsvoorstel, zodat een wettelijke grondslag (als bedoeld in de AVG) voor openbaarmaking van deze persoonsgegevens ontbreekt.

Gesteld dat er wel een wettelijke grondslag wordt gecreëerd, dan is de vraag of het standaard openbaar maken van de ubo van een overtreder wel passend is, nu er veel ubo’s zijn die geen invloed hebben op het doen en laten van een rechtspersoon, bijvoorbeeld omdat zij een financieel minderheidsbelang hebben en geen statutair bestuurder van de rechtspersoon zijn. Weliswaar staat in artikel 19 lid 1 sub a. van het wetsvoorstel de mogelijkheid dat “het belang van openbaarmaking” (van de personalia van de ubo’s) wordt afgewogen tegen het belang, bedoeld in artikel 5.1, tweede lid, onderdeel e, van de Wet open overheid, maar het is de vraag of dat wel een passende afweging is.

Het zal me benieuwen wat de Autoriteit Persoonsgegevens hier van vindt.

In het wetsvoorstel zit overigens wel een grondslag voor de verwerking van persoonsgegevens in de zin van de AVG door het gemeentelijk meldpunt, zie hoofdstuk 3 van het wetsvoorstel.

Openbaarmaking terwijl sanctie niet definitief is
Er kan ook openbaar worden gemaakt als de sanctie niet definitief is, dus als er een rechtsmiddel kan worden ingesteld tegen de sanctie (boete of bevel tot in beheer geven). Dat kan betekenen dat achteraf blijkt dat de gegevens inzake de overtreder (verhuurder e.d.) en diens ubo ten onrechte openbaar zijn gemaakt en is het kwaad (onterechte negatieve publiciteit) al geschied. Want dan zijn de gegevens inmiddels al overgenomen door datahandelaren en zoekmachines en zullen tot in de eeuwigheid beschikbaar blijven. Ook dit lijkt me onjuist.

Gemeentelijke misdaadbestrijding: verstandig?
Gelet op de vele fouten die gemeenten al hebben gemaakt bij de misdaadbestrijding, vraag ik me af of het een verstandige keuze is van het kabinet om deze taken bij de gemeente neer te leggen [3].

 

Noten

[1] Raadselachtig is dat naar de definitie in de Implementatiewet registratie uiteindelijk belanghebbenden van trusts en soortgelijke juridische constructies wordt verwezen, waarin de uiteindelijk belanghebbende wordt gedefinieerd als:

uiteindelijk belanghebbende als bedoeld in artikel 10a, eerste lid, van de Wet ter voorkoming van witwassen en financieren van terrorisme

Een rechtstreekse verwijzing naar artikel 10a Wwft is logischer.

[2] Artikel 3 sub b onder 2° van het concept-besluit:

[3] Zie voor voorbeelden de berichten met de tag gemeentelijke criminaliteitsbestrijding, onder meer gemeente Rotterdam die onrechtmatig burgers volgde, ondermijnende klikdiensten en de vreemde ondermijningswebsite.

 

Meer informatie:

Geplaatst in Contractenrecht, privaatrecht algemeen, Fraude, witwasbestrijding, Wwft, Ubo-register | Tags: , , , , , , , | Plaats een reactie

Italiaanse AVG-boete voor Deutsche Bank | AVG

Geplaatst op 4 september 2022 door Ellen Timmer

De Deutsche Bank kreeg van de Italiaanse gegevensbeschermingstoezichthouder (Garante per la protezione dei dati personali) een boete van 20.000 euro wegens niet-naleving van de AVG. De bank had niet tijdig gereageerd op een verzoek van een rekeninghouder om inzage van zijn (persoons)gegevens.

De rekeninghouder was in 2017 een lening aangegaan bij de bank. In 2020 kwam hem ter ore dat zijn gegevens waren verstrekt aan een bedrijf dat zich bezig houdt met kredietwaardigheidsbeoordeling (CRIF S.p.A.), wat voor hem aanleiding was de bank om inzage te vragen. De bank reageerde niet tijdig op het verzoek en kwam veel later met de gevraagde informatie. De rekeninghouder legde de zaak aan de toezichthouder voor, die oordeelde dat de bank laakbaar had gehandeld. Ook al had de bank de betrokkene al geïnformeerd over de gegevensverstrekking bij het aangaan van de lening, als er op een later tijdstip om inzage wordt gevraagd, dient aan het verzoek te worden voldaan.

De handelswijze van de bank was reden voor een boete.

 

Uitspraak van 16 juni 2022 (Italiaans).

Geplaatst in Financieel recht, onder meer Wft, Wtt, ICT, privacy, e-commerce | Tags: , , , , | Plaats een reactie

Bank krijgt sanctie omdat persoonsgegevens niet werden verwijderd | AVG

Geplaatst op 3 september 2022 door Ellen Timmer

Banken zitten op een goudmijn aan persoonsgegevens, maar moeten zich als ieder ander aan de AVG houden. Dat betekent onder meer dat als een rekeninghouder vraagt om het wissen van persoonsgegevens en de bank de gegevens niet langer nodig heeft (op grond van overeenkomst of wettelijke verplichting), de bank dit verwijderingsverzoek onmiddellijk moet uitvoeren.

De Finse gegevensbeschermingsautoriteit (Tietosuojavaltuutetun) heeft een internationaal actieve bank, waarvan de naam niet wordt genoemd (groepsomzet 11.502 miljoen euro er jaar), berispt voor het schenden van de AVG door niet in te gaan op het verzoek van de rekeninghouder om zijn persoonsgegevens te wissen toen de bank ze niet langer nodig had. De autoriteit overweegt dat dit een individueel geval is en dat een berisping dan passend is; mocht deze bank de AVG later opnieuw niet naleven, dan kan deze sanctie in de beoordeling van een toekomstige sanctie worden betrokken.

 

Uitspraak in het Fins.

Geplaatst in Financieel recht, onder meer Wft, Wtt, ICT, privacy, e-commerce | Tags: | Plaats een reactie