Datingsite Twoo krijgt forse privacyboete
De wereldwijd actieve datingsite Twoo heeft een boete van 50.000 euro opgelegd gekregen van de Geschillenkamer van de Belgische Gegevensberschermingsautoriteit (GBA). Het wordt de site kwalijk genomen dat er persoonsgegevens werden verwerkt van mensen die zelf geen lid waren van de site. Dat gebeurde met de functie waar bestaande leden hun vrienden konden uitnodigen om ook lid te worden van de site.
In strijd met de GDPR / AVG
Sinds mei 2018 is er voor bedrijven die in Europa actief zijn en daarbij persoonsgegevens verwerken een nieuwe wet van kracht, de GDPR (in Nederland de AVG genoemd). Een van de dingen die uit deze wet voortkomt is bedrijven die de regels overtreden sneller een grote boete kunnen krijgen. Volgens de GBA heeft Twoo de GDPR dusdanig met voeten getreden dat een forse boete op zijn plek is.
Veel meer boetes opgelegd
Datingsite Twoo is niet de enige partij die onlangs een aanzienlijke boete kreeg van de GBA. Een paar weken geleden ontving het bedrijf Proximus een boete van 50.000 euro omdat de door hen aangestelde 'privacy officer' conflicterende belangen had. Ook 50.000 euro boete was er voor verzekeringsmaatschappij DKV, die gezondheidsgegevens gebruikte voor andere doeleinden dan toestemming voor was gevraagd.
Wat deed Twoo verkeerd?
Datingsite Twoo bood tot en met juni 2019 de mogelijkheid voor leden om hun vrienden en bekenden automatisch een uitnodiging te sturen voor een lidmaatschap van de site. Dat werd gedaan door middel van een optie die vroeger door veel meer sites werd gebruikt, maar die inmiddels (vooral vanwege de privacy-implicaties) amper nog wordt benut. Door Twoo toegang te geven tot de contactenlijst van je e-mailaccount was de site in staat alle e-mailadressen van je contactpersonen uit te lezen en te gebruiken om uitnodigingen te versturen. Daarbij werden echter de gegevens verwerkt van mensen die daar niet expliciet toestemming voor hadden gegeven. Dit soort ongevraagde e-mail wordt in de volksmond ook wel 'spam' genoemd.
Vinkjes al vooraf geselecteerd
Dat was echter niet de enige overtreding volgens de GBA. Die organisatie stelde namelijk ook vast dat Twoo regelmatig gebruik maakte van reeds aangekruiste vinkjes. Zo gaven leden die zich registreerden automatisch toestemming tot het verwerken van persoonsgegevens. Dergelijke toestemming moet tegenwoordig expliciet worden gegeven door de gebruiker, die dan dus zelf het vinkje in het vakje moet plaatsen. Dat moet voorkomen dat mensen impliciet toestemming geven terwijl ze zich er dus niet volledig van bewust zijn.
Reactie van Twoo
Inmiddels heeft de CEO van Twoo Joost Roelandts op de boete gereageerd. Volgens hem is zijn bedrijf zich van geen kwaad bewust en werden juist alle procedures voor het verwerken van persoonsgegevens gevolgd. Transparantie en de bescherming van persoonsgegevens zijn volgens hem juist topprioriteit van Twoo. Waarom de functie dan al een jaar geleden werd uitgeschakeld door de site liet hij daarbij echter in het midden.