De Autoriteit Persoonsgegevens (AP) legt MLU B.V. een boete op van 100 miljoen euro, voor het doorgeven van persoonsgegevens naar Rusland. MLU is het bedrijf achter de Europese versie van taxi-app Yango en is in Nederland gevestigd.
Met Yango boeken mensen in Noorwegen en Finland een taxirit bij aangesloten chauffeurs. Yango geeft vervolgens persoonsgegevens van taxichauffeurs en klanten door aan bedrijven in Rusland. Hierbij zorgt MLU niet voor een goede bescherming van de gegevens. Dat blijkt uit onderzoek naar Yango dat de AP deed samen met de Noorse en Finse privacytoezichthouders.
De AP startte eind 2023 een onderzoek. De AP was bij het onderzoek betrokken omdat MLU in Nederland gevestigd is, de andere twee toezichthouders omdat het om persoonsgegevens van mensen uit Noorwegen en Finland gaat.
Uit het onderzoek blijkt dat de taxi-app veel persoonsgegevens van zowel klanten als chauffeurs verzamelde en bewaarde op servers in Rusland, waaronder gevoelige gegevens. Het gaat bijvoorbeeld om scans van rijbewijzen, woonadressen, contactgegevens, rekeningnummers, precieze locaties, ritgegevens, foto’s, de inhoud van chatgesprekken en socialezekerheidsnummers.
In Europa is de bescherming van persoonsgegevens geregeld in de Algemene verordening gegevensbescherming (AVG). Bedrijven mogen persoonsgegevens alleen doorgeven naar buiten Europa als daar de persoonsgegevens net zo goed beschermd worden als in Europa, bijvoorbeeld door passende waarborgen.
Aleid Wolfsen, voorzitter AP: “In Rusland zijn persoonsgegevens niet zo goed beschermd als in Europa. Zo kan de Russische overheid mogelijk toegang kan krijgen tot deze gegevens. Daarom hadden de gevoelige gegevens van zowel klanten als chauffeurs extra goed beschermd moeten worden, zeker gelet op de afwezigheid van een onafhankelijke privacytoezichthouder in Rusland. We zagen dat dat niet goed is gebeurd en dat is ernstig. Bijvoorbeeld omdat het veiligheidsrisico’s voor mensen kan opleveren.”
MLU moet onmiddellijk stoppen met het doorgeven van persoonsgegevens van mensen uit Noorwegen en Finland aan Rusland via de Yango-app. Voor de overtredingen die MLU tot dusver heeft begaan, legt de AP een boete op van 100 miljoen euro.
Alle privacytoezichthouders in Europa berekenen op dezelfde manier de hoogte van boetes voor bedrijven. Bij het bepalen van de boete voor MLU heeft de AP rekening gehouden met de omzet van het (moeder)bedrijf. MLU is onderdeel van het Yandex-concern. Yandex had in 2024 een wereldwijde omzet van ruim 12 miljard euro.
MLU kan tegen de boete in bezwaar gaan.
