Nieuws

juli 09, 2019

ICO pakt door: opnieuw van plan om megaboete op te leggen aan Marriott Inc.

De Britse privacywaakhond pakt opnieuw uit met een verklaring waarin ze aangegeven van plan te zijn om een megaboete van €110.000.000,- op te leggen aan de Marriott International. De hotelketen wordt bestraft voor een datalek waarbij gegevens van ongeveer 30 miljoen Europese burgers waren betrokken.

ICO zegt dat het datalek is ontstaan in de reserveringsdatabase van de Starwood Hotels Groep in 2014. In 2016 is deze hotelketen overgenomen door Marriott International, maar het gat in de beveiliging werd pas in 2018 ontdekt. Uit onderzoek van ICO bleek dat Marriott onvoldoende zorgvuldigheid in acht had genomen toen het Starwood Hotels kocht en ook meer had moeten doen om de computersystemen te beveiligen.

De exacte wettelijke grondslag op basis waarvan ICO deze sanctie zal gaan opleggen, is op dit moment nog onduidelijk. Het meest waarschijnlijke is dat deze boete op basis van artikel 32 AVG zal worden opgelegd. Op grond van dit artikel is Marriott namelijk verplicht om passende technische en organisatorische maatregelen te nemen. Deze maatregelen moeten van een zodanig niveau zijn, dat ze zijn afgestemd op de mogelijke beveiligingsrisico’s. Een systeem dat veel persoonsgegevens verwerkt, dient immers zwaardere veiligheidsmaatregelen te nemen dan een systeem die dat niet of in mindere mate doet.

ICO heeft deze zaak onderzocht als hoofdtoezichthouder namens andere gegevensbeschermingsautoriteiten in de EU. De AVG schrijft in dat geval voor dat de andere toezichthouders de mogelijkheid krijgen om op de sanctie te reageren. Daarom betreft het hier een voornemen tot het opleggen van een boete. Het uiteindelijke boetebedrag kan hierdoor dus nog wijzigen.

Marriott zegt in een statement ‘teleurgesteld’ te zijn in de intentieverklaring van ICO en dat ze bezwaar zullen aantekenen. Marriott geeft aan dat het met ICO heeft samengewerkt tijdens het onderzoek naar het incident, waarbij criminelen de Starwood-reserveringsdatabase aanvielen.