Hoge boete voor DPG Media vanwege privacy overtreding

Mediabedrijf DPG Media heeft een boete van meer dan een half miljoen euro gekregen van de Autoriteit Persoonsgegevens (AP). Het bedrijf eiste van mensen die inzage in hun gegevens vroegen namelijk een kopie van hun paspoort, terwijl ze vaak niet eens zelf een account hadden aangemaakt maar bijvoorbeeld wilden weten waarom ze nieuwsbrieven op hun e-mailadres kregen toegestuurd van DPG.

Belangrijke gegevens niet afgeschermd

Volgens de AP wees DPG Media er bij het verzoek om het paspoort ook niet op dat bepaalde belangrijke informatie zoals BSN-nummer zwart gemaakt mocht worden. Daardoor werden er ook nog eens veel meer gevoelige gegevens bekeken en opgeslagen terwijl die nooit nodig zouden moeten zijn om een klacht of verzoek tot inzage te behandelen. Aangezien de hulpverzoeken net zo effectief hadden kunnen worden afgehandeld door iemand een e-mail te sturen naar het bij DPG bekende e-mailadres was het paspoort als bewijsmateriaal een veel te zwaar middel.

Hack of ransomware

Volgens Monique Verdier, de vicevoorzitter van de Autoriteit Persoonsgegevens, ontstond zo een risicovolle situatie. Ze moet er bijvoorbeeld niet aan denken hoe groot de schade zou zijn wanneer DPG onverhoopt gehackt zou zijn of slachtoffer was geworden van ransomware. De kans dat zeer privacygevoelige gegevens dan in de schoot waren gevallen van cybercriminelen was heel groot. Ook dat wordt DPG dus kwalijk genomen en verklaart deels de hoogte van de boete.

Alleen nog e-mail als verificatie

Inmiddels heeft DPG Media zijn verificatiemethode aangepast. Mensen kunnen nu bewijzen wie ze zijn door simpelweg op een e-mail van het bedrijf te reageren. Daardoor is de situatie volgens de AP nu opgelost en zal het blijven bij de nu opgelegde boete van in totaal 525.000 euro. Daar kan DPG overigens nog wel tegen in beroep gaan en het is op dit moment nog niet bekend of het bedrijf dat inderdaad van plan is.