Uitspraken van de maand | oktober 2026

Xandr krijgt €8,6 miljoen boete: toestemming in de advertentieketen is niet vanzelfsprekend

De Noorse privacytoezichthouder heeft advertentieplatform Xandr, onderdeel van Microsoft, een boete van €8,6 miljoen opgelegd voor het onrechtmatig verwerken van persoonsgegevens van gebruikers van datingapp Grindr. De zaak gaat over real-time bidding, het geautomatiseerde proces waarbij advertentieruimte wordt aangeboden aan adverteerders.

Via dit proces verwerkte Xandr onder meer advertentie-ID’s, IP-adressen en informatie waaruit bleek dat iemand Grindr gebruikte. Volgens de toezichthouder ging het daarbij om bijzondere persoonsgegevens, omdat het gebruik van Grindr in deze context informatie over iemands seksuele gerichtheid kon onthullen. Voor de verwerking van die zogenoemde bijzondere gegevens gelden onder de AVG strengere regels.

Xandr had zelf geen toestemming van de gebruikers verkregen, maar vertrouwde op de toestemming die Grindr had verzameld. Die toestemming bleek echter niet geldig. De toezichthouder beschouwde Xandr als gezamenlijke verwerkingsverantwoordelijke en benadrukte dat Xandr zelf had moeten controleren of die toestemming geldig was en ook de eigen verwerkingen dekte.

Het is daarom belangrijk om inzicht te hebben in de partijen waarmee wordt samengewerkt en de persoonsgegevens die daarbij worden gebruikt. Controleer welke grondslagen worden gehanteerd en of de gemaakte afspraken aansluiten bij de daadwerkelijke verwerkingen. Wees daarbij extra alert wanneer gegevens worden gebruikt waaruit gevoelige persoonlijke kenmerken kunnen blijken.

Gepseudonimiseerd is niet hetzelfde als anoniem: IQVIA krijgt €7 miljoen boete

De Italiaanse privacytoezichthouder legde gezondheidsdatabedrijf IQVIA een boete van €7 miljoen op voor het onrechtmatig verwerken van gezondheidsgegevens van ongeveer één miljoen patiënten. IQVIA gebruikte een database met informatie afkomstig van ongeveer 800 huisartsen voor analyses en onderzoeken, onder meer in opdracht van farmaceutische bedrijven. Volgens IQVIA waren de gegevens anoniem en viel de verwerking daarom buiten de AVG.

De toezichthouder kwam tot een andere conclusie. Hoewel de gegevens niet rechtstreeks aan namen waren gekoppeld, kreeg iedere patiënt een vaste identificatiecode waarmee informatie over die persoon over langere tijd kon worden gevolgd. De database bevatte daarnaast gedetailleerde gegevens, zoals geboortejaar, geslacht, diagnoses, medicijngebruik en locatiegegevens. Door deze informatie te combineren, konden individuele patiënten worden onderscheiden en mogelijk opnieuw worden geïdentificeerd.

Volgens de toezichthouder was daarom geen sprake van daadwerkelijk anonieme gegevens. IQVIA had de gezondheidsgegevens zonder passende rechtsgrond verwerkt en patiënten onvoldoende geïnformeerd. Ook waren er tekortkomingen bij de bewaartermijnen, beveiligingsmaatregelen en de uitvoering van een gegevensbeschermingseffectbeoordeling (DPIA).

Hoewel deze zaak over medische gegevens gaat, is het onderscheid tussen anonimiseren en pseudonimiseren ook voor marketeers belangrijk. Organisaties gebruiken bijvoorbeeld klantnummers, gehashte e-mailadressen of andere identificatoren om gegevens uit verschillende bronnen te combineren, klantgedrag te analyseren of doelgroepen samen te stellen. Het vervangen van direct identificerende gegevens door een code kan de privacyrisico’s beperken, maar maakt gegevens niet automatisch anoniem.

Zolang personen nog identificeerbaar zijn met middelen waarvan redelijkerwijs valt te verwachten dat ze worden gebruikt, blijven de gegevens onder de AVG vallen. Daarbij gaat het niet alleen om de vraag of een naam direct zichtbaar is, maar ook of iemand kan worden onderscheiden of geïdentificeerd door gegevens met elkaar te combineren.

Voor marketeers betekent dit dat zij kritisch moeten kijken naar datasets die als ‘anoniem’ worden aangeboden of intern zo worden aangemerkt. Welke informatie bevat de dataset nog? Kunnen gegevens aan dezelfde persoon worden gekoppeld? En is identificatie mogelijk door de gegevens met andere beschikbare informatie te combineren? Als de gegevens niet daadwerkelijk anoniem zijn, blijft een geldige grondslag nodig en moeten ook de overige AVG-verplichtingen worden nageleefd.

Google krijgt €403 miljoen boete voor verwerking van locatiegegevens

De Italiaanse privacytoezichthouder legde gezondheidsdatabedrijf IQVIA een boete van €7 miljoen op voor het onrechtmatig verwerken van gezondheidsgegevens van ongeveer één miljoen patiënten. IQVIA gebruikte deze gegevens voor analyses en onderzoeken en stelde dat ze anoniem waren, waardoor de AVG niet van toepassing zou zijn. De toezichthouder dacht daar anders over. Hoewel namen waren vervangen door identificatiecodes, konden patiënten via die codes worden gevolgd en mogelijk worden geïdentificeerd door gegevens zoals geboortejaar, diagnoses en medicijngebruik te combineren. De gegevens waren dus niet daadwerkelijk anoniem en IQVIA voldeed niet aan verschillende AVG-verplichtingen.

De les voor marketeers hieruit is dat bij het gebruik van klantnummers of gehashte e-mailadressen, het vervangen van namen door codes gegevens niet automatisch anoniem maakt. De AVG van toepassing zolang personen nog identificeerbaar zijn met middelen waarvan redelijkerwijs valt te verwachten dat ze worden gebruikt, blijft. Controleer daarom kritisch of datasets die als ‘anoniem’ worden aangeboden dat ook echt zijn.

Een afmelding die niet doorkomt: BBVA krijgt €5,5 miljoen boete

De Italiaanse privacytoezichthouder legde bank BBVA een boete van ruim €5,5 miljoen op omdat één klant marketingberichten bleef ontvangen, ondanks dat hij zich hiervoor had afgemeld. De klant had zijn marketingvoorkeuren aangepast in de bankapp en meerdere keren contact opgenomen met de klantenservice. Het verweer van BBVA was dat er sprake van een technisch probleem. De afmelding was wel geregistreerd, maar niet goed doorgegeven aan het CRM-systeem. Ook stelde de bank dat de klant zijn bezwaar via een speciaal privacykanaal had moeten indienen. De toezichthouder ging daar niet in mee. Op grond van artikel 21 AVG mag iemand op ieder moment bezwaar maken tegen direct marketing en moet een organisatie dat bezwaar respecteren, ongeacht via welk kanaal het bezwaar binnenkomt.

Voor marketeers laat deze zaak zien dat een afmelding daadwerkelijk moet werken in alle systemen waarmee marketing wordt uitgevoerd. Zorg er dus voor dat medewerkers van de klantenservice weten hoe zij een bezwaar tegen direct marketing moeten herkennen en opvolgen. Een technische fout is geen excuus om marketingberichten te blijven versturen.

Legal advies nodig?

Ben je lid van DDMA en heb je legal vragen? Neem dan contact op met onze Legal Counsels via legal@ddma.nl.

Team Legal DDMA

Kennisbank voor marketing en data