AP legt taxi-app Yango boete van 100 miljoen euro op
De Autoriteit Persoonsgegevens (AP) legt MLU B.V. een boete op van 100 miljoen euro, voor het doorgeven van persoonsgegevens naar Rusland. MLU is het bedrijf achter de Europese versie van taxi-app Yango en is in Nederland gevestigd. MLU tekent bezwaar aan.
Met Yango boeken mensen in Noorwegen en Finland een taxirit bij aangesloten chauffeurs. Yango geeft vervolgens persoonsgegevens van taxichauffeurs en klanten door aan bedrijven in Rusland. Hierbij zorgt MLU niet voor een goede bescherming van de gegevens. Dat blijkt uit onderzoek naar Yango dat de AP deed samen met de Noorse en Finse privacytoezichthouders.
Gezamenlijk onderzoek
De AP startte eind 2023 een onderzoek. De AP was bij het onderzoek betrokken omdat MLU in Nederland gevestigd is, de andere twee toezichthouders omdat het om persoonsgegevens van mensen uit Noorwegen en Finland gaat.
Uit het onderzoek blijkt dat de taxi-app veel persoonsgegevens van zowel klanten als chauffeurs verzamelde en bewaarde op servers in Rusland, waaronder gevoelige gegevens. Het gaat bijvoorbeeld om scans van rijbewijzen, woonadressen, contactgegevens, rekeningnummers, precieze locaties, ritgegevens, foto’s, de inhoud van chatgesprekken en socialezekerheidsnummers.
Risico’s
In Europa is de bescherming van persoonsgegevens geregeld in de Algemene verordening gegevensbescherming (AVG). Bedrijven mogen persoonsgegevens alleen doorgeven naar buiten Europa als daar de persoonsgegevens net zo goed beschermd worden als in Europa, bijvoorbeeld door passende waarborgen.
Aleid Wolfsen, voorzitter AP: “In Rusland zijn persoonsgegevens niet zo goed beschermd als in Europa. Zo kan de Russische overheid mogelijk toegang kan krijgen tot deze gegevens. Daarom hadden de gevoelige gegevens van zowel klanten als chauffeurs extra goed beschermd moeten worden, zeker gelet op de afwezigheid van een onafhankelijke privacytoezichthouder in Rusland. We zagen dat dat niet goed is gebeurd en dat is ernstig. Bijvoorbeeld omdat het veiligheidsrisico’s voor mensen kan opleveren.”
Onmiddellijk stoppen met doorgeven persoonsgegevens
MLU moet onmiddellijk stoppen met het doorgeven van persoonsgegevens van mensen uit Noorwegen en Finland aan Rusland via de Yango-app. Voor de overtredingen die MLU tot dusver heeft begaan, legt de AP een boete op van 100 miljoen euro.
Alle privacytoezichthouders in Europa berekenen op dezelfde manier de hoogte van boetes voor bedrijven. Bij het bepalen van de boete voor MLU heeft de AP rekening gehouden met de omzet van het (moeder)bedrijf. MLU is onderdeel van het Yandex-concern. Yandex had in 2024 een wereldwijde omzet van ruim 12 miljard euro.
Bezwaar
MLU kan tegen de boete in bezwaar gaan. Dat gaat het ook doen, zo meldt het bedrijf: "MLU B.V. is het niet eens met het besluit van de Autoriteit Persoonsgegevens en zal dit aanvechten via de relevante juridische wegen. De persoonlijke gegevens van Europese koeriers en chauffeurs werden uitsluitend binnen de EU opgeslagen in gepseudonimiseerde en versleutelde vorm, waardoor deze technisch ontoegankelijk waren voor derden. Alle passende waarborgen zijn geïmplementeerd in volledige overeenstemming met de AVG (GDPR).
Het uitgangspunt van het besluit komt niet overeen met de feitelijke werking van de taxi-app. Daarnaast is het vermeldenswaardig dat de app sinds 2025 niet meer actief is in Noorwegen en Finland.
MLU B.V. heeft gedurende het hele proces transparant en te goeder trouw samengewerkt met de AP, en is teleurgesteld dat het definitieve besluit naar haar mening de feiten of het toepasselijke recht niet volledig weerspiegelt. MLU B.V. heeft vertrouwen in haar standpunt en is voornemens haar zaak in het hoger beroep volledig toe te lichten."
