De Autoriteit Persoonsgegevens (AP) heeft een gevoel voor humor: op de dag voordat Rusland op 9 mei haar Dag van de Overwinning (op Nazi-Duitsland) viert legt AP MLU BV een boete op van 100 miljoen euro voor het doorgeven van persoonsgegevens naar Rusland. MLU is het bedrijf achter de Europese versie van taxi-app Yango en is in Nederland gevestigd. Yango is onderdeel van Rusland’s leidende app-groep Yandex, ook wel het Russische Google genoemd. Een jaar geleden kregen taxi-apps in Rusland de opdracht om rit- en persoonsgegevens van gebruikers door te geven aan de Russische geheime dienst, de FSB. Blijkbaar volgt Yango, dat actief is in Noorwegen en Finland, die opdracht naar de letter uit.

MLU moet volgens de AP onmiddellijk stoppen met het doorgeven van persoonsgegevens van mensen uit Noorwegen en Finland aan Rusland via de Yango-app. Voor de overtredingen die MLU tot dusver heeft begaan, legt de AP een boete op van 100 miljoen euro. Alle privacytoezichthouders in Europa berekenen op dezelfde manier de hoogte van boetes voor bedrijven. Bij het bepalen van de boete voor MLU heeft de AP rekening gehouden met de omzet van het (moeder)bedrijf, in dit geval het Yandex-concern. Yandex had in 2024 een wereldwijde omzet van ruim 12 miljard euro. MLU kan tegen de boete in bezwaar gaan.
Met Yango boeken mensen in Noorwegen en Finland een taxirit bij aangesloten chauffeurs. Yango geeft vervolgens persoonsgegevens van taxichauffeurs en klanten door aan bedrijven in Rusland. Hierbij zorgt MLU niet voor een goede bescherming van de gegevens. Dat blijkt uit onderzoek naar Yango dat de AP deed samen met de Noorse en Finse privacytoezichthouders.

De AP startte eind 2023 een onderzoek. De AP was bij het onderzoek betrokken omdat MLU in Nederland gevestigd is, de andere twee toezichthouders omdat het om persoonsgegevens van mensen uit Noorwegen en Finland gaat.

Uit het onderzoek blijkt dat de taxi-app veel persoonsgegevens van zowel klanten als chauffeurs verzamelde en bewaarde op servers in Rusland, waaronder gevoelige gegevens. Het gaat bijvoorbeeld om scans van rijbewijzen, woonadressen, contactgegevens, rekeningnummers, precieze locaties, ritgegevens, foto’s, de inhoud van chatgesprekken en socialezekerheidsnummers.

In Europa is de bescherming van persoonsgegevens geregeld in de Algemene verordening gegevensbescherming (AVG). Bedrijven mogen persoonsgegevens alleen doorgeven naar buiten Europa als daar de persoonsgegevens net zo goed beschermd worden als in Europa, bijvoorbeeld door passende waarborgen.

Aleid Wolfsen, voorzitter AP: “In Rusland zijn persoonsgegevens niet zo goed beschermd als in Europa. Zo kan de Russische overheid mogelijk toegang kan krijgen tot deze gegevens. Daarom hadden de gevoelige gegevens van zowel klanten als chauffeurs extra goed beschermd moeten worden, zeker gelet op de afwezigheid van een onafhankelijke privacytoezichthouder in Rusland. We zagen dat dat niet goed is gebeurd en dat is ernstig. Bijvoorbeeld omdat het veiligheidsrisico’s voor mensen kan opleveren.”

De Dag van de Overwinning, die op 9 mei in heel Rusland wordt gevierd, had een negatief staartje voor taxichauffeurs in Moskou, waar de overwinningsparade wordt gehouden. Omdat de Russische overheid de stad en de parade extra wilde beschermen, werd veel luchtverdedigingsmaterieel naar de Russische hoofdstad verplaatst. Om de goede werking van dit materieel te verzekeren en om berichtgeving over een mogelijke aanval op de parade door Oekraïne te verijdelen, werd in grote delen van Moskou het Internet afgesloten. Dat betekende dat vele taxichauffeurs niet meer van hun navigatie- en boekingssystemen gebruik konden maken. Het afsluiten van het Internet komt in het centrum van Moskou, rond het Kremlin, overigens regelmatig voor.

• Autoriteit Persoonsgegevens (AP) legt de taxi-app Yango een boete van 100 miljoen euro op. Foto Yango Group.

• Taxi’s in Moskou gaan regelmatig gebukt onder Internetblokkade. Redactiefoto.