Boete € 4.750.000 voor Netflix vanwege onvoldoende informeren over privacy

Netflix verzamelt verschillende soorten persoonsgegevens van haar klanten, zoals naam, geboortedatum, bankrekeningnummer of kijkgedrag. Als je gegevens verwerkt, moet je per verwerking informeren over het doel en de grondslag daarvan. Netflix gaf enkel een algemene opsomming en dat is onvoldoende. De verwerkingen werden in het privacy statement apart vermeld, zonder koppeling aan het doel en de grondslag. Ook waren er een aantal doeleinden weggelaten.

Verder werden in de privacyverklaring geen bewaartermijnen voor de gegevens benoemd, terwijl dat verplicht is. Tot slot werd niet duidelijk gecommuniceerd welke derdepartijen toegang kregen tot welke gegevens, om welke redenen deze gegevens werden gedeeld, en welke beveiligingsmaatregelen waren genomen bij doorgifte buiten de EER.

Wil je meer informatie? Lees hier het boetebesluit van de AP.

Wat kun je hieruit meenemen bij het opstellen van je privacystatement en bij eventuele reacties op inzageverzoeken?

1. Koppel elke verwerking van persoonsgegevens aan een doel en een grondslag.
   Als je bijvoorbeeld gegevens gebruikt om een passend aanbod aan te bevelen, en dit mag je doen omdat iemand cookies heeft geaccepteerd (grondslag toestemming), link dat dan aan elkaar.
   
2. Wees volledig in je informatieverstrekking.
   Laat geen gegevens weg, zoals de gegevens die je van derden hebt ontvangen.
   
3. Benoem concreet met welke partners je gegevens deelt en waarom.
   Als dit buiten de Europese Economische Ruimte (EER) is, ben je ook verplicht te vermelden welke passende maatregelen je hebt genomen ter beveiliging.
   
4. Zorg ervoor dat het privacystatement passend is, maar ook volledig.
   Wanneer je de informatie uit je privacyverklaring inkort, bijvoorbeeld om het te laten passen op een aangepaste interface, zorg dan dat de volledige informatie ook gemakkelijk te vinden is. Dit kan bijvoorbeeld via een link naar een andere pagina.

Kim Moolenaar

Assistent Legal Counsel