Autoriteit Persoonsgegevens legt ICS een boete op van 150.000 euro wegens schending privacywet

Gepubliceerd op 20/01/2024 11:00 in Economie

De Autoriteit Persoonsgegevens (AP) heeft creditcardbedrijf ICS bestraft met een boete van 150.000 euro. Het bedrijf heeft veel persoonlijke gegevens gebruikt zonder voorafgaand aan de verwerking een verplichte privacycontrole uit te voeren. Volgens de AP heeft ICS hiermee de privacywet overtreden.

ICS is verantwoordelijk voor de uitgifte, administratie en controle van creditcards en biedt diensten aan onder andere ABN Amro en American Express.

In 2019 begon ICS met het digitaal controleren van ongeveer 1,5 miljoen klanten in Nederland. Hierbij werden gevoelige persoonsgegevens, zoals naam, adres, telefoonnummer en e-mailadres, verzameld. Daarnaast werd klanten gevraagd om foto's van zichzelf te maken en deze via mobiele telefoons of webcams te versturen. ICS gebruikte deze foto's om ze te vergelijken met kopieën van identiteitsbewijzen.

Financiële instellingen, waaronder ICS, zijn wettelijk verplicht om de identiteit van klanten vast te stellen, maar moeten ook zeer voorzichtig omgaan met de gebruikte informatie. Doordat ICS geen extra privacywaarborg heeft geïmplementeerd, heeft het bedrijf volgens de AP zijn zorgvuldigheidsplicht geschonden.

Katja Mur, bestuurslid van de AP, benadrukt dat organisaties verplicht zijn om vooraf de mogelijke risico's in kaart te brengen. Het in verkeerde handen vallen van een kopie van een paspoort kan leiden tot identiteitsfraude, aldus Mur.

Het AP heeft de bevoegdheid om boetes op te leggen variërend van 120.000 tot 500.000 euro. Aangezien hier sprake was van nalatigheid en niet van opzet, is de opgelegde boete aan ICS relatief mild.

ICS heeft aangegeven niet in beroep te gaan tegen de sanctie. Het bedrijf erkent dat er fouten zijn gemaakt, maar voegt eraan toe dat de zaak sindsdien is verbeterd. "In 2021 is er alsnog een risicoanalyse uitgevoerd en er zijn geen veiligheidsrisico's geconstateerd", aldus een woordvoerder van ICS.