In de Verenigde Staten zijn genoemde bedrijven bij tijd en wijle in het nieuws, maar in Europa weten we nauwelijks iets van de concerns die al tientallen jaren persoonlijke, vooral financiële gegevens voor kredietrapportages, fraudepreventie en marketing ophoesten voor zakelijke afnemers.

Experian ligt na klachten bij de AP (uit 2018, zo blijkt nu) al enkele jaren onder het vergrootglas. Experian verkoopt immers kredietinformatie aan incassobureaus, telecomaanbieders en winkelketens, vaak zonder dat betrokken personen op de hoogte zijn. Je kunt wel inzage aanvragen.

Beperkt gestraft

 In de VS kreeg Experian straffen voor schending van privacy. De VS ontberen federale databescherming, meestal gaat het om straffen voor datalekken met relatief geringe boetes.

De Federal Trade Commission (FTC) in Washington legde Experian in 2023 een boete van 650.000 dollar op wegenshet schenden van de Can-Spam Act met marketingmails. In datzelfde jaar trof Experian een schikking van ruim 13 miljoen dollar met een coalitie van 40 Amerikaanse aanklagers over datalekken in 2012 en 2015. In 2017 legde het Consumer Financial Protection Bureau (CFPB) Experian een boete op van 3 miljoen dollar voor het misleiden van consumenten over het verkopen van kredietscores.

In Engeland dreigde Experian een enorme boete te moeten betalen wegens overtreding van de AVG. In 2020 stelde waakhond ICO vast dat Experian de persoonsgegevens van miljoenen mensen zonder hun toestemming illegaal had verkocht aan politieke partijen en bedrijven voor marketingacties. De ICO beval Experian om fundamentele wijzigingen aan te brengen in haar praktijken op straffe van een boete van maximaal 169 miljoen pond (4 procent van de mondiale jaaromzet).

ICO-cheffin Elizabeth Denham liet daarbij optekenen: “Gebrek aan transparantie, het ontbreken van wettelijke grondslagen en indringende profilering leiden tot ernstige schendingen van rechten van individuen.”

Experian gaat doorgaans de strijd aan om beschuldigingen van tafel te krijgen, ook met de ICO. Die duurde jaren. Nog in april 2024 kwam de ICO met een nadere verklaring na een verloren hoger beroep na een gedeeltelijk gelijk voor beide partijen voor de lagere rechter.

Harde strijd Experian met AP

De AP heeft Experian een boete opgelegd. In het jaarverslag over 2023 stelt Experian: “De AP beweert dat we in Nederland (jaarlijkse omzet van ca. 7 miljoen dollar) geen kredietreferentiegegevens mogen verwerken op basis van gerechtvaardigd belang en niet voldoende transparant zijn onder AVG, wat in strijd is met gevestigde regelgevende standpunten in andere EU-markten.”

Het gaat hier volgens Experian over het dispuut over gerechtvaardigd commercieel belang waarvoor de AP uitgebreid op de vingers getikt is. In hoeverre het louter daarom gaat, is niet bekend.

De boete kan oplopen tot 4 procent van de mondiale omzet van grofweg 6 miljard euro, wat op 240 miljoen euro maximaal kan uitkomen. Experian is genoteerd aan de beurs van Londen en heeft het officiële hoofdkantoor in Ierland.

Bij besluit van 6 december 2023 heeft de AP de sanctie vastgesteld op grond van overtreding van de AVG. Volgens de AP heeft Experian geen gerechtvaardigd belang om persoonsgegevens te verwerken en informeert betrokken consumenten niet goed. Experian gaat in beroep tegen het besluit.

Daarop volgt juridisch moeilijk gedoe om de reputatieschade te beperken: de AP heeft Experian op 21 december 2023 gevraagd welke vertrouwelijke gegevens weggelaten moesten worden uit het te versturen besluit, dat aan klagers zou worden verstuurd. Daarop begon Experian een kort geding voor de bestuursrechter om te voorkomen dat het besluit gelijktijdig openbaar zou worden.

Immers, als de klagers bij de AP een afschrift zouden krijgen, zouden zij het openbaar kunnen maken. De voorzieningenrechter oordeelt dat Experian het sturen van het besluit niet kan tegenhouden. Immers, bekendmaking van het handhavingsbesluit is noodzakelijk om ook de klagers de mogelijkheid te geven beroep aan te tekenen.

Daarop volgde weer een kort geding van Experian voor de rechtbank Den Haag met als eis dat in het besluit niet het bedrag van de boete vermeld zou worden. Dat heeft de voorzieningenrechter wel toegewezen. De rechter meent dat het niet nodig is dat de klagers de hoogte van de sancties te weten komen om beroep te kunnen aantekenen.

Twee klagers

“Voorstelbaar is dat (alleen al) de bekendmaking van deze boete dadelijk – nog voordat eiseres het besluit ter toetsing heeft kunnen voorleggen aan de (bestuurs-)rechter – aanzienlijke gevolgen zal kunnen hebben voor de reputatie en daarmee de bedrijfsvoering van eiseres.”

Publieke transparantie vindt de rechterlijke macht in Nederland kennelijk van lager belang dan transparantie. Experian krijgt nog meer bescherming van de rechterlijke macht ten koste van publieke transprantie die bij onze rechtspraak zou moeten horen. De uitspraak is gedaan op 31 mei 2024, maar is pas eind oktober 2024 openbaargemaakt, oftewel vijf maanden achtergehouden.

Het gaat om twee klagers die al in 2018 aanklopten bij de AP. De eerste stelt dat Experian de toen net ingetreden AVG op alle fronten overtrad en hoge boetes en alle bijkomende publiciteit riskeert, en “maakt er daarbij melding van dat zij de weg naar de AP weet te vinden”.

De tweede persoon heeft geklaagd over de werkwijze van Experian en de AP verzocht om te straffen en diens verwerkte gegevens voorgoed te verwijderen uit de bestanden.

Hele hoge boete

In het jongste vonnis staat: “De hoogte van de aan eiseres opgelegde bestuurlijke boete is aanzienlijk te noemen…van een geheel andere orde dan de boetes die de AP oplegde voordat AP het boetebeleid van de European Data Projection Board…is gaan volgen, zo maakt de voorzieningenrechter op uit het debat van partijen.” [Bedoeld wordt Data Protection Board, red.]

In het jaarverslag over 2023 meldt de AP 16 handhavingsbesluiten: acht boetes, drie lasten onder dwangsom en vijf berispingen. “Het totale boetebedrag bedroeg € 243.160.000.” Omdat organisaties zich dikwijls juridisch verzetten tegen de openbaarmaking, blijven hoogtes van boetes onbekend totdat het beroep helemaal is afgewikkeld.

In 2023 kreeg Uber de hoogste boete, van 10 miljoen euro. (De AP legde in augustus 2024 een boete aan Uber op van 290 miljoen euro, veruit de hoogste tot nu toe.)

De boete voor Experian in 2023 zal, gezien het genoemde bedrag van 243 miljoen in totaal, in de orde van grootte van 200 miljoen euro kunnen liggen, zeker gezien de formulering van de Haagse rechtbank.

In het jaarverslag van de AP staat ook: “Wij waarderen het dan ook zeer dat de parlementaire enquêtecommissie heeft aanbevolen de ‘waakhondfunctie’ van de AP te versterken door het jaarbudget te verhogen naar minimaal 100 miljoen.”

Gezien de boetes aan Uber en Experian verdient de AP die investering ruimschoots terug. De AVG is tot nu toe vooral in EU-verband een verdienmodel: Amerikaanse bedrijven betalen in Europa niet of nauwelijks winstbelasting en dat wordt gecompenseerd met handhaving van de AVG.

Beroep tegen genoemde boetes door Uber en door Experian zullen nog vele jaren in beslag nemen aan rechtszaken in Nederland en Straatsburg. Dat is gunstig voor de advocatuur. Uber wordt bijgestaan door De Brauw Blackstone en Experian door Freshfields en Pels Rijcken. De laatste is ook landsadvocaat die toezichthouders normaliter bijstaat, maar treedt in deze zaak op tegen de AP.

*) Afbeelding: Het belastingkantoor, schilderij naar Pieter Brueghel de Jonge, ± 1630, in Belasting & Douane Museum