GBA: bedrijf dat identiteitskaart als klantenkaart gebruikt overtreedt AVG
Het Belgische bedrijf Freedelity dat de identiteitskaart van mensen als klantenkaart gebruikt overtreedt de AVG, zo stelt de Belgische privacytoezichthouder GBA. De Gegevensbeschermingsautoriteit heeft het bedrijf opgedragen zich wel aan de privacywet te houden, anders moet het een dwangsom betalen. Gebruikers kunnen via Freedelity één profiel aanmaken dat vervolgens bij allerlei bedrijven te gebruiken is. Zo kunnen gebruikers bonnen en loyaliteitspunten via het profiel verzamelen en gepersonaliseerde reclame ontvangen.
Voor het aanmaken van het profiel en controle door deelnemende bedrijven en winkels wordt de identiteitskaart van gebruikers gebruikt. "Het gebruik van de identiteitskaart om persoonsgegevens te verzamelen en toestemming te geven voor het gebruik ervan voor marketingdoeleinden is in overeenstemming met de aanbevelingen van de Gegevensbeschermingsautoriteit", aldus Freedelity. Volgens de GBA overtreedt Freedelity op meerdere punten de AVG.
Zo moet de toestemming van gebruikers vrij, geïnformeerd, specifiek, ondubbelzinnig en herroepbaar zijn. Iets wat volgens de Belgische toezichthouder bij Freedelity niet het geval is. Verder stelt de GBA dat Freedelity overmatig informatie verzamelt die niet noodzakelijk is voor het aangegeven doel van de gegevensverwerkingen. De GBA stelt dat de centrale opslag van gegevens rechtstreeks afkomstig van de chip van de identiteitskaart een groot risico vormt voor de privacy van miljoenen betrokken gebruikers. Daarnaast schendt Freedelity de AVG door gegevens langer dan noodzakelijk te bewaren, aldus de GBA.
Het bedrijf moet nu allerlei aanpassingen doorvoeren zodat het wel aan de AVG voldoet. "De maatregelen die we vandaag opleggen, vereisen dat Freedelity zijn bedrijfsmodel aanzienlijk verandert om aan de AVG te voldoen. Deze beslissing draagt bij tot een betere naleving van de gegevensbeschermingsregels in de relatie tussen handelaars en consumenten, in het bijzonder wanneer hun identiteitskaart wordt gebruikt als klantenkaart", zegt Hielke Hijmans van de GBA.
Het bedrijf heeft vier maanden de tijd om de bevelen van de GBA op te volgen, anders moet het dwangsommen betalen tot vijfduizend euro per dag. Freedelity kan tegen de beslissing van de Belgische privacytoezichthouder beroep aantekenen.
Pakketpunt dat om een identiteitsbewijs vraagt.. Mobiele providers... etc.
Ik had begrepen dat er maar enkele bedrijven zoals verzekeraars, banken en nog een aantal andere zijn die er naar mogen vragen. Misschien heb ik het mis maar het lijkt er op dat deze wetgeving massaal wordt genegeerd.
Het wordt helemaal leuk wanneer ze een kopietje willen maken. En dat gaat dan een of andere rammelende NAS in of een roestige terminal server bij hobbyclub ITenzo.
Ik vind 't allemaal maar niks.
Pakketpunt dat om een identiteitsbewijs vraagt.. Mobiele providers... etc.
Ik had begrepen dat er maar enkele bedrijven zoals verzekeraars, banken en nog een aantal andere zijn die er naar mogen vragen. Misschien heb ik het mis maar het lijkt er op dat deze wetgeving massaal wordt genegeerd.
Het wordt helemaal leuk wanneer ze een kopietje willen maken. En dat gaat dan een of andere rammelende NAS in of een roestige terminal server bij hobbyclub ITenzo.
Ik vind 't allemaal maar niks.
Er zit een verschil tussen je identiteit vaststellen (wat jou voorbeelden dus doen) en het daadwerkelijk opslaan en gebruiken van de gegevens voor specifieke doeleinden. Het pakketpunt stelt alleen aan de hand van jou ID kaart vast wie je bent; om te zorgen dat de juiste persoon het pakje krijgt, slaat het niet op. De AVG is vrij helden wie een ID kaart mag (of in sommige gevallen moet) opslaan, en dan voor hoe lang.
Ook het Amazon voorbeeld gaat om identificatie; alleen omdat Amazon geen fysieke winkels heeft is de enige mogelijkheid om dat digitaal te doen. En dan vetrouwen op de blauwe ogen van Amazon dat ze in hun systeem alleen het vinkje zetten bij "ID vastgesteld" en de kopie die jij hebt gestuurd niet langer bewaard.
Wat jammer is dat heel veel van deze identificatieplicht zaken prima opgepakt zouden kunnen worden door externe berdijven die langs gaan bij mensen om je ID te controleren. Bijvoorbeeld Dynalogic doet dat voor e-Herkenning, die komen bij je thuis (of op het werk) om je identiteit vast te stellen, zonder kopie opsturen met een selfie.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.