Moederbedrijf A.S. Watson van drogisterijketen Kruidvat heeft een boete van 600.000 euro gekregen van de Autoriteit Persoonsgegevens. Volgens de toezichthouder werd van miljoenen bezoekers van Kruidvat.nl persoonsgegevens verzameld en opgeslagen, zonder dat zij het wisten.

De Autoriteit Persoonsgegevens begon eind 2019 een onderzoek naar de manier waarop verschillende websites, waaronder die van Kruidvat, omgingen met tracking cookies. Dat zijn stukjes code die bij een bezoek aan een website op de computer of de telefoon worden opgeslagen. Met behulp daarvan kan informatie over onder meer het surf- en koopgedrag en de locatie van de gebruiker worden verzameld.

Een bedrijf mag dat alleen doen als de gebruiker daarvoor expliciet toestemming heeft gegeven. Dat was bij Kruidvat niet het geval, zegt de Autoriteit Persoonsgegevens. Volgens de toezichthouder hield het bedrijf onder meer de locatiegegevens bij, welke pagina's werden bezocht en welke producten in het winkelmandje werden gedaan en uiteindelijk werden afgerekend.

'Heel gevoelige informatie'
Het gaat om 'heel gevoelige informatie', zegt de Autoriteit Persoonsgegevens. "Zoals zwangerschapstesten, voorbehoedsmiddelen of medicatie tegen allerlei kwalen." In combinatie met de locatie van de bezoeker, kon zo een 'zeer specifiek en invasief' profiel worden gemaakt. 

Volgens de organisatie vond de overtreding in elk geval plaats tussen april en oktober 2020. Dat de boete nu pas wordt uitgedeeld, komt volgens een woordvoerder van de toezichthouder door een tekort aan personeel. De beoordeling nam veel tijd in beslag.

Reactie Kruidvat
Kruidvat is het niet eens met de boete en tekent daarom bezwaar aan bij de Autoriteit Persoonsgegevens. De drogisterijketen vindt dat de regels niet zijn overtreden, zegt een woordvoerster. Inhoudelijk kan ze er verder niet op ingaan, omdat de bezwaarprocedure nog loopt. Als de boete ook in tweede instantie blijft staan, zou Kruidvat nog naar de rechter kunnen stappen.