Netflix gaf klanten tussen 2018 en 2020 niet genoeg informatie over wat het bedrijf met hun persoonsgegevens doet. En de informatie die Netflix wel gaf, was op sommige punten onoverzichtelijk. De Autoriteit Persoonsgegevens (AP) legt de streamingdienst daarom een boete op van 4,75 miljoen euro. Netflix heeft inmiddels haar privacyverklaring geüpdatet en de informatievoorziening verbeterd.
Netflix verzamelt verschillende soorten persoonsgegevens van klanten. Van e-mailadres, telefoonnummer en betaalgegevens tot gegevens over wat klanten kijken op het platform, en wanneer precies.
Onderzoek dat de AP startte in 2019 wijst uit dat Netflix klanten in de privacyverklaring van het bedrijf niet duidelijk genoeg informeerde over wat Netflix precies met die gegevens doet. Bovendien kregen klanten te weinig informatie wanneer zij aan Netflix vroegen welke gegevens het bedrijf over hen verzamelt. Dat zijn overtredingen van de Algemene verordening gegevensbescherming (AVG).
‘Een dergelijk bedrijf, met een miljardenomzet en miljoenen klanten wereldwijd, moet goed uitleggen aan klanten hoe het omgaat met hun persoonsgegevens’, zegt AP-voorzitter Aleid Wolfsen. ‘Dat moet glashelder zijn. Zeker als de klant ernaar vraagt. En dat was niet op orde.’
Netflix gaf op verschillende punten te weinig informatie aan klanten of op een onoverzichtelijke manier. Het bedrijf was niet duidelijk genoeg over:
de doelen van en wettelijke basis (grondslag) voor het verzamelen en gebruiken van persoonsgegevens;
welke persoonsgegevens Netflix met andere partijen deelt, en waarom precies;
hoe lang Netflix persoonsgegevens bewaart;
hoe Netflix ervoor zorgt dat persoonsgegevens veilig blijven wanneer het bedrijf die naar landen buiten Europa verstuurt.
De AP is dit onderzoek gestart naar aanleiding van klachten van None of your business (noyb), een Oostenrijkse stichting die zich inzet voor privacy. Die klachten zijn ingediend bij de Oostenrijkse privacytoezichthouder en doorgestuurd naar de AP, omdat het Europese hoofdkantoor van Netflix in Nederland zit.
De AVG regelt namelijk dat bedrijven die gegevens in verschillende EU-landen verwerken, met één privacytoezichthouder te maken hebben: die in het land waar het bedrijf is gevestigd. De AP heeft het onderzoek en de hoogte van de boete afgestemd met andere Europese privacytoezichthouders.
Netflix heeft bezwaar gemaakt tegen de boete.
