Technologiebedrijven van buiten de EU weigeren om privacyboetes die door Europese toezichthouders zijn opgelegd te betalen. Privacywaakhonden lopen daardoor miljoenen euro’s mis. De Autoriteit Persoonsgegevens is zich bewust hiervan en heeft voorstellen gedaan aan het kabinet en de Tweede Kamer om dit probleem aan te pakken.
De kwestie is volgens het medium actueel in ons land, omdat de Autoriteit Persoonsgegevens onderzoekt doet naar het Amerikaanse techbedrijf Clearview AI. Het bedrijf gebruikt scraping software om een gezichtendatabase op te bouwen. Deze bestaat volgens experts inmiddels uit meer dan honderd miljard foto’s. Hiervoor heeft het bedrijf echter niet om toestemming gevraagd van gebruikers, wat in strijd is met Europese privacywetgeving.
De Griekse, Italiaanse en Franse toezichthouders hebben hiervoor boetes uitgedeeld, die oplopen tot 20 miljoen euro. Privacywaakhonden uit België, Zweden, Duitsland, Canada en Australië gaven Clearview de opdracht om niet langer foto’s van burgers te verzamelen en foto’s in de database te verwijderen. De opgelegde boetes zijn tot op heden niet betaald, zo bevestigen de toezichthouders desgevraagd tegenover BNR.
“Het lijkt erop dat Clearview te veel en onrechtmatig gezichten verwerkt. Daarom heeft het bedrijf onze aandacht. Het is een serieuze kwestie”, zo vertelde AP-bestuursvoorzitter Aleid Wolfsen in juni over het onderzoek naar Clearview AI.
Clearview is niet het enige Amerikaanse bedrijf dat zijn privacyboetes niet betaalt. In mei 2021 legde de Autoriteit Persoonsgegevens een boete van 525.000 euro op aan Locatefamily.com. De toezichthouder ontving, net als negen andere Europese toezichthoudende instanties, tientallen klachten van mensen die geen idee hadden hoe hun namen, adresgegevens, telefoonnummers en andere persoonlijke gegevens op de website van Locatefamily.com terecht waren gekomen. Ook deze boete is nooit betaald.
Het probleem speelt niet bij techbedrijven als Meta en TikTok. Hoezo niet? Om de simpele reden dat zij een Europese vertegenwoordiger in de EU hebben aangesteld. Daardoor kunnen ze financieel aansprakelijk worden gesteld. Heeft een bedrijf geen Europese vertegenwoordiger, dan staan privacytoezichthouders met hun rug tegen de muur en kunnen ze niets doen om betaling af te dwingen. “Dan is zo’n boete bijna symbolisch. Als ze het niet betalen, dan betalen ze het niet”, aldus privacyadvocaat Thijmen van Hoorn van Dirkzwager Legal & Tax tegenover BNR.
Lotte Houweling van burgerrechtenbeweging Bits of Freedom vindt het zorgelijk dat Europese toezichthouders geen vuist kunnen vormen tegen bedrijven die privacywetgeving aan hun laars lappen. “Het kan toch niet zo zijn dat we wetgeving hebben gemaakt met zo’n gat erin?”, vraagt ze zich hardop af.
Vlak voor de start van het onderzoek naar Clearview AI, stuurde de Autoriteit Persoonsgegevens een aantal voorstellen naar het kabinet en de Tweede Kamer om het probleem te verhelpen. Het verplicht maken om een Europese vertegenwoordiger aan te stellen op het moment dat niet-Europese bedrijven persoonsgegevens van Europeanen verwerken, kan helpen bij het innen van opgelegde privacyboetes. Ook zouden er internationale verdragen afgesloten kunnen worden over het betalen van bestuurlijke boetes op het gebied van privacyschendingen.
De Autoriteit Persoonsgegevens bekijkt of het onder de huidige regels mogelijk is om extra maatregelen te nemen. De toezichthouder denkt onder meer na over de mogelijkheid om bestuurders en klanten van bedrijven aan te pakken die geen EU-vertegenwoordiger in dienst hebben. “Dat betekent dat zodra de bestuurder van zo’n bedrijf in de EER landt, deze kan worden aangesproken op die boete”, zo vertelt een woordvoerder tegenover BNR.
