Myanmarese burger dient klacht in tegen Noors telecombedrijf om gevaarlijke inbreuk op privacy

Nieuws

8 februari 2022

Een burger van Myanmar heeft bij de Noorse gegevensbeschermingsautoriteit een klacht ingediend tegen Telenor Group om de gevaarlijke overdracht tegen te gaan van gevoelige gebruikersgegevens bij de verkoop van een dochterbedrijf van de telecom-multinational in Myanmar.

De klacht, namens een klant van Telenor Myanmar ingediend door het Noorse advocatenkantoor SANDS en ondersteund door SOMO, stelt dat de verkoop door de Noorse onderneming van haar activiteiten in Myanmar de privacy zal schenden van de meer dan 18 miljoen klanten van Telenor in het Zuidoost-Aziatische land, in strijd is met de Algemene Verordening Gegevensbescherming (GDPR) van de EU, die Noorwegen ook onderschrijft.

Telenor verkoopt de activiteiten in Myanmar aan de Libanese onderneming M1 Group(opens in new window) , die in het verleden zaken heeft gedaan met dictators, waarbij de mensenrechten met voeten zijn getreden. Naar verluidt(opens in new window) zal bij de verkoop ook een consortium betrokken zijn onder leiding van Shwe Byain Phyu, een handelaar in edelstenen en aardolie met nauwe banden met het militaire regime en zonder duidelijke ervaring met telecommunicatie. Volgens berichten in de media(opens in new window) zou de verkoop op 15 februari afgerond moeten zijn.

Ketil Sellæg Ramberg, specialist privacy- en gegevensbeveiligingsrecht bij SANDS: “In de klacht wordt gesteld dat de GDPR van toepassing is op de verkoop van de Myanmarese dochteronderneming van Telenor. We vragen de Noorse gegevensbeschermingsautoriteit om de zaak met spoed te onderzoeken en haar bevoegdheden te gebruiken om ervoor te zorgen dat de rechten van de klanten van Telenor in Myanmar niet worden geschonden, aangezien dit zeer ernstige gevolgen kan hebben.”

Joseph Wilde-Ramsing (senior onderzoeker bij SOMO): “Ondanks het zeer voorspelbare risico dat zoiets als een militaire coup zou kunnen gebeuren, koos Telenor ervoor om de Myanmarese markt te betreden en vroeg de Myanmarese burgers – als onderdeel van zijn verkooppraatje – om het bedrijf te vertrouwen met hun persoonlijke gegevens. Meer dan 18 miljoen mensen geloofden Telenor, maar nu lopen deze klanten — waaronder mensenrechtenactivisten en journalisten — het risico dat de controle over hun gegevens wordt overgedragen aan een aan het leger gelieerde organisatie. Telenor en zijn meerderheidsaandeelhouder, de Noorse overheid, hebben de plicht deze personen te beschermen tegen schade, waaronder vervolging, marteling en zelfs buitengerechtelijke executies, door de controle over gevoelige gebruikersgegevens niet uit handen te geven.”

Hoge inzet

De verkoop van Telenor Myanmar zal Telenor Group 105 miljoen USD opleveren, en de waarde omvat de overdracht van persoonsgegevens. Volgens de klacht zou de verkoop neerkomen op een ernstige inbreuk op de GDPR, en zou Telenor een boete kunnen worden opgelegd van maximaal 4 procent van de wereldwijde jaarinkomsten van de onderneming in het voorgaande boekjaar, indien dat bedrag hoger is. Uitgaande van de inkomsten van Telenor in 2020 van 13 miljard USD, zou dit neerkomen op meer dan 500 miljoen USD.

Hoe is de GDPR van toepassing op de verkoop van Telenor Myanmar?

Artikel 3 van de GDPR bepaalt wanneer de GDPR van toepassing is, zelfs als de verwerking van data buiten de EU-zone gebeurt:

Deze verordening is van toepassing op de verwerking van persoonsgegevens in het kader van de activiteiten van een vestiging van een voor de verwerking verantwoordelijke of een verwerker in de Unie, ongeacht of de verwerking al dan niet in de Unie plaatsvindt.

Samenvattend is de klager van mening dat Telenor Groep verantwoordelijk is voor de gegevensverwerking die in Myanmar plaatsvindt op basis van het volgende:

Telenor Group is een verwerkingsverantwoordelijke binnen de EU, en dus onderworpen aan de GDPR.
Telenor Group oefent reële en effectieve invloed uit op de manier waarop haar dochteronderneming, Telenor Myanmar, de gegevens van zijn klanten verwerkt.

Bovendien heeft Telenor Group besloten om Telenor Myanmar te verkopen, en zal het ook de inkomsten uit de verkoop ontvangen. Wanneer Telenor Group zijn dochteronderneming verkoopt met inbegrip van de klantgegevens, moet Telenor dienovereenkomstig het recht op privacy van de gegevens waarborgen.

OESO-klacht

De GDPR-klacht volgt op een klacht over de OESO-richtlijnen die in juli 2021 werd ingediend door SOMO namens 474 maatschappelijke organisaties uit Myanmar. Daarin wordt gesteld dat de verkoop door Telenor in strijd is met de OESO-richtlijnen, omdat het bedrijf de ernstige risico’s voor de mensenrechten van zijn klanten in het kader van zijn terugtrekking uit Myanmar niet voldoende heeft onderkend. De door het Noorse contactpunt voor de OESO-richtlijnen aangeboden bemiddeling om het geschil op te lossen is niet mogelijk gebleken.

Wilde-Ramsing: “Klanten van Telenor Myanmar die geconfronteerd worden met ernstige veiligheidsrisico’s hebben geen andere keuze dan zich te wenden tot de Noorse autoriteit voor gegevensbescherming om hun fundamentele rechten te handhaven.”

Beroep op Noorse premier

Op 31 januari 2022 schreven het Noorse Forum voor Ontwikkeling en Milieu, Access Now en SOMO namens 168 maatschappelijke organisaties in Myanmar een brief aan de premier van Noorwegen, waarin zij opriepen tot ingrijpen om de schadelijke verkoop te stoppen.