AP deelt hoogste boete ooit uit wegens overtreding AVG

1 mei 2020

Alhoewel het nog maar kortgeleden is dat wij u berichtten dat de Autoriteit Persoonsgegevens (AP) De Koninklijke Nederlandse Lawn Tennisbond (KNLTB) een boete oplegde wegens de verkoop van persoonsgegevens, is er gisteren door de AP opnieuw een boete uitgedeeld.

Dit keer gaat het om een bedrijf dat zijn medewerkers verplichtte hun vingerafdrukken te laten scannen ter registratie van hun werktijden. Biometrische gegevens, zoals een vingerafdruk, kwalificeren echter als bijzondere persoonsgegevens in de zin van artikel 9 AVG. Deze gegevens verkrijgen onder de AVG extra bescherming: de verwerking van bijzondere persoonsgegevens is in beginsel verboden, tenzij daar een wettelijke uitzonderingsgrond voor bestaat. In dit geval ging die vlieger niet op. In tegenstelling tot wat het bedrijf beweerde, namelijk dat zijn medewerkers toestemming zouden hebben verleend voor de verwerking van hun vingerafdruk, kwam de AP na onderzoek tot de conclusie dat het bedrijf zich niet op deze uitzonderingsgrond kon beroepen.

Medewerkers verkeren in een afhankelijkheidspositie ten opzichte van hun werkgever en kunnen de toestemming in beginsel dus niet weigeren. De medewerkers hadden in dit geval ook aangegeven dat zij het vastleggen van hun vingerafdruk als een verplichting ervoeren. Van vrijelijk gegeven toestemming zoals de AVG vereist was in het onderhavige geval dus geen sprake. De AP heeft het bedrijf uiteindelijk een boete opgelegd van maar liefst € 725.000.

Twijfelt u eraan of u de persoonsgegevens binnen uw bedrijf met een geldige grondslag verwerkt? Laat het ons weten! Neem vrijblijvend contact op met één van onze privacy specialisten, wij denken graag met u mee.

Veelgestelde vragen

De 10 beste tips bij het opstellen van IT-contract

Een goed IT-contract is van groot belang. Maar hoe stel je een goed contract op en hoe controleer je of een aangeboden contract aan de eisen voldoet?  Hier vind je 10 tips voor het opstellen en controleren van IT-contracten van onze experts in Groningen, Zwolle en Leeuwarden.

1. Een IT-contract, maar met wie?

Controleer of de juiste partij in de overeenkomst is opgenomen. Dit lijkt voor de hand te liggen maar toch gaat dit vaak fout. Zeker als de andere partij een groep van meerdere rechtspersonen is, liggen fouten op de loer. Heeft u de juiste entiteit opgenomen? Controleer dan ook wie er bevoegd is namens deze partij overeenkomsten aan te gaan. Deze informatie vindt u in het handelsregister van de Kamer van Koophandel.

2. Hoe krijg ik exact de door mij gewenste software?

Eén van de belangrijkste onderwerpen van de overeenkomst is de dienst of het product dat wordt geleverd. Omschrijf daarom goed wat partijen hiervan mogen verwachten. Hoe uitgebreider, hoe beter. Bent u afnemer? Neem dan ook op welke verwachtingen (bijvoorbeeld gebruikservaringen) u heeft bij de verschillende onderdelen. Als er in de uitvoering discussie ontstaat is vaak juist deze beschrijving van cruciaal belang.

3. Hoe krijg ik de diensten op tijd geleverd?

Software is nooit af en wordt altijd doorontwikkeld. Een leverancier neemt in de overeenkomst vaak een stappenplan op van nieuwe features. Een zogeheten ‘roadmap’. Maak hier concrete afspraken over: welke functies moet de software hebben, wanneer komen deze beschikbaar en wat doen we als de roadmap niet gerealiseerd wordt? Zo voorkom je dat een roadmap enkel bij beloftes blijft.

4. Voldoe aan uw verplichting uit de AVG

Worden er persoonsgegevens verwerkt? Bij veel IT-contracten is sprake van verwerking van persoonsgegevens. In dat geval is het van belang te bepalen wie verwerker is en wie verwerkingsverantwoordelijke. Let op, het kan ook zo zijn dat er sprake is van twee verwerkingsverantwoordelijken.

5. Hoe verkrijg ik het auteursrecht op de software?

Op software (de broncode) komt altijd automatisch een auteursrecht te rusten. Schrijft een extern bedrijf de software voor u, dan verkrijgt zij in beginsel het auteursrecht. De auteursrechthebbende bepaalt wie de software mag gebruiken en wie niet. Zorg er dus voor dat u als opdrachtgever de auteursrechten krijgt. Lukt dat niet, kom dan in ieder geval een exclusief gebruiksrecht overeen En leg dit vast in de overeenkomst.

6. Escrow, waarom is het noodzakelijk?

Als u diensten afneemt, bijvoorbeeld SaaS (Software as a Service) dan is het verstandig af te spreken hoe je ervoor zorgt dat de dienst beschikbaar blijft als de leverancier failliet gaat of anderszins niet meer kan leveren. Dit kan door middel van een escrow regeling. Je spreekt dan bijvoorbeeld af dat jij de broncode ontvangt als de leverancier failliet gaat. Zolang geen van beide partijen failliet is wordt de broncode door een derde partij bewaard en kan de afnemer er niet bij.  Met de - na faillissement vrijgegeven - broncode kunt u zelf de software beheren en aanpassen. Zo kunt u de beschikbaarheid van de software voor langere tijd veiligstellen.

7. Hoeveel downtime is toegestaan?

Downtime (de tijd dat een netwerk of een SaaS-product niet beschikbaar is) kan grote gevolgen hebben. Uw bedrijf kan erdoor stil komen te liggen. Controleer daarom goed wat u beloofd wordt. 99% uptime kan veel lijken, maar is dit 99% van alle uren in het jaar? Dan betekent dit dat een downtime van 87 uur geoorloofd is. Dit zijn twee volle werkweken per jaar. Let hier dus goed op en spreek af wat voor u aanvaardbaar is.

8. Wat als ik of mijn contractspartner niet betaal(t)?

Als de afnemer/gebruiker van de software de vergoeding voor de licentie niet betaalt kan u denken dat het gebruik van- of de toegang tot de software tijdelijk kan worden beëindigd. Maar als daar in de overeenkomst niets over is afgesproken, is dat niet zonder meer het geval. Leg dus vast wat de te volgen stappen zijn in het geval van wanbetaling.

9. Wanneer kan ik de overeenkomst opzeggen?

Bij het aangaan van een overeenkomst wordt meestal niet nagedacht over het einde van de overeenkomst. Wie kan er ontbinden, en onder welke voorwaarden? Leg dit goed vast en bepaal ook een redelijke opzegtermijn zodat u genoeg tijd heeft om over te stappen naar een nieuwe aanbieder, ook wanneer de wederpartij opzegt.

10. Hoe bepaal ik een exitstrategie?

Het is van groot belang om bij het begin van de samenwerking een goede exitstrategie te bepalen. Als de overeenkomst eindigt, wat gebeurt er dan bijvoorbeeld met de opgeslagen data? En hoe lang biedt de IT-leverancier de IT-dienst nog aan? Dit is van belang omdat de ander tijd nodig heeft om over te stappen. Zorg dat je alle vragen die je bij een exit hebt al in de overeenkomst beantwoordt. Dan kom je niet voor verrassingen te staan.

Een IT-contract is altijd maatwerk. Met deze 10 tips komt u al een heel eind. Maar wilt u zeker weten of een contract voor u passend en toekomstbestending is, laat u dan adviseren. Wij staan u graag met onze kennis en ervaring terzijde.

Gerelateerde actualiteiten