Grote boete voor Kruidvat: 600.000 euro voor bizarre overtreding

Drogisterijketen Kruidvat heeft een boete van 600.000 euro gekregen voor het zonder toestemming verzamelen van gegevens van websitebezoekers.

De Autoriteit Persoonsgegevens (AP) legde deze boete op aan AS Watson, het moederbedrijf van Kruidvat, na een uitgebreid onderzoek.

Eind 2019 startte de AP een onderzoek naar het gebruik van cookies op verschillende websites, waaronder die van Kruidvat. Cookies zijn kleine bestanden die informatie opslaan over het surfgedrag van bezoekers.

Websites moeten echter eerst toestemming vragen voordat ze deze cookies mogen plaatsen, iets wat Kruidvat niet had gedaan.

Zonder medeweten van de bezoekers verzamelde Kruidvat gegevens over hun locatie, bezochte pagina's, winkelmandjes en aankopen. Deze data werden vervolgens opgeslagen, waardoor het bedrijf een gedetailleerd en invasief profiel van de bezoekers kon samenstellen.

De AP benadrukte dat de verzamelde gegevens als "gevoelig" werden beschouwd, omdat Kruidvat producten verkoopt zoals zwangerschapstesten, voorbehoedsmiddelen en medicatie voor diverse kwalen.

Lees ook: Oos Kesbeke vermogen

In combinatie met locatiegegevens kon dit leiden tot zeer specifieke en persoonlijke profielen van de bezoekers. "Dat mag niet zonder toestemming en zonder dat aan je klanten te laten weten.

Want wat je op internet doet, is heel persoonlijk", aldus Aleid Wolfsen, voorzitter van de AP, in een persbericht. "Een organisatie mag dat alleen bijhouden als je er expliciet mee akkoord gaat. En je moet de mogelijkheid hebben om deze volgsoftware te weigeren, zonder dat dit nadelig voor je uitpakt."

Na een waarschuwing van de AP stopte Kruidvat in oktober 2020 met het onrechtmatig verzamelen van privégegevens. De boete wordt nu pas opgelegd, omdat de AP lange tijd kampte met een tekort aan personeel om alle overtredingen grondig te kunnen beoordelen.

In reactie op de boete liet Kruidvat aan de NOS weten het besluit te betreuren en in beroep te gaan. Volgens het bedrijf ging het om een korte periode ("van april tot en met oktober 2020") en zijn de regels niet overtreden.

Een woordvoerder van Kruidvat verklaarde: "Bezoekers van kruidvat.nl krijgen duidelijk en overzichtelijk de keuze of ze cookies en vergelijkbare trackingtechnieken willen toestaan. De veiligheid en privacy van onze klanten staan te allen tijde voorop."