Amerikaanse rechter legt Meta miljardenboete op wegens privacyschending
Een rechter in de Amerikaanse staat New Mexico heeft Meta, het moederbedrijf van onder meer Facebook, Instagram en WhatsApp, op 21 oktober 2026 een civielrechtelijke sanctie van 25 miljard dollar opgelegd. De sanctie volgt op een juryoordeel dat het bedrijf gebruikers herhaaldelijk heeft misleid over de bescherming van hun persoonsgegevens, de toegang van derden tot deze gegevens en de aanpak van schadelijke inhoud op het platform.
De rechtszaak houdt verband met het schandaal rond het Britse adviesbureau Cambridge Analytica. Via een externe applicatie verkreeg het bureau zonder toestemming persoonsgegevens van mogelijk 87 miljoen Facebook-gebruikers. De gegevens werden onder meer gebruikt voor politieke campagnes, waaronder de Amerikaanse presidentsverkiezingen van 2016. De staat New Mexico begon in 2021 een rechtszaak tegen Meta wegens misleidende verklaringen over de omgang met persoonsgegevens en de aanpak van schadelijke inhoud.
Op 25 september 2026 stelde een jury vast dat Meta bijna 44 miljoen keer de consumentenbeschermingswetgeving van New Mexico had overtreden. De rechter bepaalde vervolgens de sanctie op 25 miljard dollar. Meta betwist de beslissing en heeft aangekondigd in hoger beroep te gaan.
AP onderzoekt organisaties met misleidende cookiebanners
De Autoriteit Persoonsgegevens (AP) is een onderzoek gestart naar twee organisaties die volgens de toezichthouder ondanks eerdere waarschuwingen misleidende cookiebanners blijven gebruiken. Dat maakte de AP op 16 oktober bekend. Op de websites ontbreekt een direct zichtbare knop waarmee bezoekers trackingcookies kunnen weigeren. Hierdoor worden bezoekers eerder aangemoedigd om toestemming te geven voor het volgen van hun internetgedrag.
Sinds 2024 controleert de AP intensiever of organisaties op de juiste manier toestemming vragen voor het plaatsen van trackingcookies en andere volgsoftware. De toezichthouder heeft de afgelopen maanden ongeveer honderd organisaties gewaarschuwd, waaronder organisaties in de media, zorg- en welzijnssector en verzekeringsbranche. Volgens de AP past ongeveer 70 procent van de gewaarschuwde organisaties de cookiebanner vervolgens aan.
Trackingcookies maken het mogelijk om het internetgedrag, de interesses en het koopgedrag van websitebezoekers in kaart te brengen. Voor het plaatsen van deze cookies is voorafgaande, vrije, specifieke, geïnformeerde en ondubbelzinnige toestemming vereist. Het weigeren van trackingcookies moet net zo eenvoudig zijn als het accepteren ervan. Als uit het onderzoek blijkt dat de twee organisaties de regels overtreden, kan de AP een boete opleggen.
Overheidswebsites tijdelijk offline vanwege ernstige PHP-kwetsbaarheden
Verschillende Nederlandse overheidswebsites zijn op 21 oktober 2026 uit voorzorg tijdelijk offline gehaald vanwege twee ernstige beveiligingslekken in PHP, een veelgebruikte programmeertaal voor websites en webapplicaties. Volgens de Rijksoverheid werden onder meer Overheid.nl, MijnOverheid en DigiD tijdelijk offline gehaald. Ook het Nationaal Cyber Security Centrum (NCSC) schakelde zijn eigen website uit voorzorg uit.
De kwetsbaarheden kunnen aanvallers in staat stellen om zonder inloggegevens op afstand opdrachten uit te voeren op kwetsbare servers. Daardoor kunnen zij mogelijk systemen overnemen en toegang krijgen tot gegevens. Het NCSC waarschuwde dat de kwetsbaarheden een groot aantal websites en andere systemen konden raken. Op het moment van de eerste waarschuwing had het NCSC nog geen actief misbruik van de beveiligingslekken gesignaleerd.
Later op 21 oktober kwamen beveiligingsupdates beschikbaar waarmee de kwetsbaarheden konden worden verholpen. Het NCSC adviseerde organisaties om te controleren of hun systemen kwetsbaar waren en de beschikbare updates zo snel mogelijk te installeren. Systemen die nog niet waren bijgewerkt, moesten volgens het NCSC uit voorzorg offline blijven. Tijdelijke beveiligingsmaatregelen konden bepaalde aanvalsmogelijkheden beperken, maar alleen de beveiligingsupdates verhielpen de kwetsbaarheden volledig.
Ziekenhuis moet toelichten welke patiëntgegevens medewerkers hebben ingezien
De Rechtbank Midden-Nederland heeft op 30 september 2026 geoordeeld dat het Diakonessenhuis Utrecht onvoldoende informatie heeft verstrekt aan een patiënt die inzage wilde in de raadpleging van haar medische gegevens. De uitspraak, die op 15 oktober werd gepubliceerd, gaat over het inzagerecht op grond van artikel 15 van de Algemene verordening gegevensbescherming (AVG).
De patiënt had het ziekenhuis onder meer gevraagd om haar medisch dossier, loggegevens en informatie over de medewerkers die haar gegevens hadden geraadpleegd. Het ziekenhuis verstrekte logoverzichten waarin stond welke schermen op welke momenten waren geopend. Volgens de rechtbank was dit onvoldoende, omdat niet duidelijk werd welke persoonsgegevens daadwerkelijk waren geraadpleegd en met welk doel. Het ziekenhuis moet de verstrekte logoverzichten daarom nader toelichten.
Daarnaast wilde de patiënt weten welke medewerkers beelden van een medisch onderzoek hadden bekeken via de MiroView-software. De rechtbank oordeelde dat het ziekenhuis de betrokken medewerkers nader moet specificeren, voor zover dat nog niet is gebeurd. Het inzagerecht geeft niet zonder meer recht op de namen van medewerkers. Daarbij moet rekening worden gehouden met hun privacyrechten. Het Diakonessenhuis moet de gevraagde toelichtingen binnen een maand na de uitspraak verstrekken.
Onderzoeksraad onderzoekt veiligheidsrisico’s van datalekken
De Onderzoeksraad voor Veiligheid (OVV) is op 15 oktober 2026 een onderzoek gestart naar de veiligheidsrisico’s van datalekken voor burgers. Aanleiding zijn de vele, soms grootschalige datalekken van het afgelopen jaar, waarbij in verschillende gevallen persoonsgegevens in handen van kwaadwillenden kwamen.
Burgers hebben volgens de Onderzoeksraad vaak weinig invloed op de manier waarop organisaties hun persoonsgegevens beschermen. Bij contact met zorgverleners, overheidsinstanties of webwinkels kunnen zij er doorgaans niet omheen persoonlijke gegevens te verstrekken. Tegelijkertijd hebben zij beperkt zicht op wat er vervolgens met deze gegevens gebeurt en kunnen zij de risico’s van een datalek nauwelijks zelf beheersen.
De Onderzoeksraad onderzoekt daarom niet alleen de veiligheidsrisico’s van afzonderlijke datalekken, maar ook de manier waarop persoonsgegevens van burgers worden opgeslagen en beveiligd. Het doel is om lessen te trekken uit de bestaande praktijk. Het onderzoek richt zich niet op het vaststellen van schuld of aansprakelijkheid voor afzonderlijke incidenten.
