Nisran Azouaghe
A.S. Watson, het moederbedrijf van de Nederlandse winkelketen Kruidvat, kreeg onlangs door de persoonsgegevensautoriteit een boete van € 600.000 opgelegd omdat het zonder hun medeweten de persoonsgegevens van miljoenen bezoekers van de website Kruidvat.nl had verzameld en opgeslagen. Hoe zit het in België?
In 2019 startte de Autoriteit Persoonsgegevens (AP), de Nederlandse gegevensbeschermingsautoriteit, een onderzoek naar de manier waarop verschillende websites, waaronder die van Kruidvat, trackingcookies beheren. Die cookies helpen de beheerder van een webpagina bijvoorbeeld om informatie te verzamelen over het surf- en koopgedrag van gebruikers, hun locatie, enzovoort. Een beheerder mag dit echter alleen doen als de gebruiker hier expliciet toestemming voor heeft gegeven. Volgens de AP was dit bij Kruidvat echter niet het geval, zo meldden verschillende Nederlandse media woensdag. "De AP is daarom van mening dat het opleggen van een bestuurlijke boete aan A.S. Watson niet alleen gepast is, maar ook noodzakelijk. A.S. Watson heeft immers de rechten en vrijheden van burgers geschonden door hun persoonsgegevens illegaal te verwerken. De AP beschouwt deze situatie als ernstig en gaat bijgevolg over tot het toepassen van de wet tegen A.S. Watson", verklaarde de Autoriteit in een persmededeling. Die laatste heeft het over ‘zeer gevoelige’ informatie, zoals zwangerschapstests, voorbehoedsmiddelen, geneesmiddelen … die mogelijk illegaal werden opgeslagen. Kruidvat was het daar niet mee eens en besloot in beroep te gaan tegen de beslissing van de AP. Als deze haar straf bevestigt, kan de winkelketen met de zaak ook nog naar het Nederlandse gerecht stappen.
Hoe zit het in België?
Op dit moment lijkt dit onderzoek, dat alleen in Nederland wordt gevoerd, geen gevolgen te hebben voor België en de website Kruidvat.be. "De Belgische gegevensbeschermingsautoriteit (GBA) is a priori niet bevoegd om een zaak tegen het bedrijf Kruidvat te behandelen, vanwege het zogenaamde 'one-stop-shop'-mechanisme", verduidelijkt Aurélie Waeterinckx, woordvoerder van de GBA, die ook nog uitlegt dat dit mechanisme voor samenwerking tussen de verschillende gegevensbeschermingsautoriteiten betekent dat slechts een van hen bevoegd is om een zaak te behandelen, afhankelijk van het EU-land waarin de entiteit in kwestie is gevestigd. "Volgens het besluit van de Autoriteit Persoonsgegevens is Kruidvat een dochteronderneming van de onderneming A.S. Watson, waarvan het hoofdkantoor in Renswoude in Nederland is gevestigd. In principe is de AP daarom bevoegd voor het toezicht op de gegevensverwerking door dit bedrijf. Het is duidelijk dat als een Belgische burger een klacht wil indienen tegen een bedrijf dat in Nederland is gevestigd, hij of zij een klacht kan indienen bij de GBA, die de klacht zal doorsturen naar de AP. En die zal het dossier dan behandelen, ook al zal ze rekening moeten houden met de opmerkingen van de GBA. ”
