De Belgische privacytoezichthouder GBA heeft een internationaal sociaal netwerk een boete van 50.000 euro opgelegd wegens het overtreden van de AVG. De naam van het sociaal netwerk is niet bekendgemaakt. De boete werd opgelegd omdat het netwerk persoonsgegevens zonder geldige rechtsgrond verwerkte. Dit gebeurde via de functie "contacten uitnodigen", waarmee leden vrienden en contact konden toevoegen en uitnodigen.

Hiervoor moesten leden hun adresboek importeren, waardoor de contactgegevens die hierin stonden op de servers van het sociaal netwerk terechtkwamen. "Voor het opslaan van contactgegevens en het versturen van een uitnodiging was het sociaal netwerk afhankelijk van de toestemming van het lid-gebruiker om deze gegevens te importeren, maar de toestemming moet worden gegeven door de betrokken persoon", aldus de GBA.

Doordat het sociaal netwerk gegevens van niet-leden heeft opgeslagen om hen uitnodigingen te sturen, heeft het netwerk gegevens zonder een geldige rechtsgrond verwerkt, aldus de toezichthouder. Verder werden leden van het netwerk bij het toevoegen van contacten geconfronteerd met vooraf aangevinkte opties, waarbij hun contacten al waren geselecteerd. Daarmee werd ook de AVG overtreden, aangezien die stelt dat toestemming vrij en ondubbelzinnig moet zijn en het gevolg van een positieve actie.

"De persoon moet dus zelf de gewenste vakjes aanvinken. In de periode waarin de ontvangers voorgeselecteerd waren, was de toestemming van het lid-gebruiker van het netwerk, dat zijn contacten wenste uit te nodigen, dus ook niet geldig", laat de GBA weten, die daarom een boete van 50.000 euro oplegde. De boete is opgelegd in overleg met 23 privacytoezichthouders uit verschillende Europese landen.

Volgens de GBA is de beslissing een signaal voor andere sociale netwerksites en applicaties die van soortgelijke functies gebruikmaken. De sociale netwerksite in kwestie heeft de contactuitnodigingsfunctie inmiddels verwijderd. Gisteren meldde het Belgische L'Echo dat de GBA ook provider Proximus een boete van 50.000 euro had opgelegd voor een belangenconflict bij zijn Data Protection Officer (DPO). De hoogste AVG-boete in Nederland bedraagt tot nu toe 725.000 euro voor een bedrijf dat ten onrechte de vingerafdrukken van medewerkers verwerkte.