Procureur-generaal van Californië Rob Bonta en Sephora zijn tot overeenstemming gekomen een schikking van 1,2 miljoen dollar te betalen. De cosmeticaketen overtrad de California Consumer Privacy Act (CCPA), onder meer door klanten niet te vertellen dat hun persoonsgegevens werden verkocht aan derden. Bonta hoopt hiermee een duidelijk signaal af te geven aan andere Amerikaanse bedrijven om zich aan de geldende privacywetgeving van Californië te houden.
Dat blijkt uit de persverklaring van het ministerie van Justitie van de staat Californië.
Cosmeticagigant niet transparant over verkoop gebruikersdata
Volgens de procureur-generaal beging Sephora meerdere privacyovertredingen. Om te beginnen gebruikte het cosmeticabedrijf op haar website diverse third party tracking cookies. Deze hielden nauwlettend bij wat consumenten deden op de site. Zo analyseerden de cookies onder meer met wat voor apparaat bezoekers de website bezochten, welke merken eyeliner en zwangerschapsvitaminen ze in hun winkelmandje stopten en locatiegegevens. Met deze gebruikersdata is het voor Sephora eenvoudig om gerichte advertenties aan te bieden op andere plekken op het internet, zoals sociale media, zoekmachines, andere websites.
Het is niet verboden om tracking cookies op je website te plaatsen en de data die ze verzamelen te delen met derde partijen. Bedrijven hebben echter wel de wettelijke plicht om klanten van deze praktijken op de hoogte te brengen. Dat deed Sephora niet. Daarmee overtrad het bedrijf de Californische privacywetgeving.
Sephora weigerde opt-out verzoeken te behandelen
Dat was niet de enige privacyovertreding van het cosmeticabedrijf. Sephora weigerde om opt-out verzoeken van bezoekers te verwerken. Hiermee geven klanten aan dat ze zich willen afmelden voor alle online verkopen van het bedrijf op andere sites, zonder dat ze iedere keer opnieuw op een afmeldlink hoeven te drukken. Net als het weigeren van cookies is een bedrijf volgens de privacywetgeving van Californië verplicht om hier gehoor aan te geven.
Sephora is overigens niet de enige partij zich hier schuldig aan maakt. De procureur-generaal heeft naar aanleiding van de zaak met het cosmeticabedrijf een aantal andere bedrijven aangeschreven. Daarin geeft hij deze bedrijven dertig dagen de tijd om opt-out verzoeken van klanten te verwerken.
Dat is tevens de derde overtreding die Sephora volgens de procureur-generaal heeft begaan: de cosmeticaverkoper slaagde er niet in om beide privacyschendingen binnen dertig dagen te verhelpen.
Deze afspraken hebben de procureur-generaal en Sephora gemaakt
Om te voorkomen dat Sephora zich voor de rechtbank moet verantwoorden, heeft het bedrijf een deal gesloten met de procureur-generaal. De partijen zijn tot een schikkingsvoorstel van 1,2 miljoen dollar gekomen. Tevens eiste de procureur-generaal dat Sephora haar privacybeleid verduidelijkt door te verklaren dat het gebruikersdata verkoopt.
Verder moet de cosmeticagigant mechanismen aanbieden waarmee consumenten zich kunnen afmelden voor de verkoop van persoonlijke informatie. Overeenkomsten met derden moeten in overeenstemming worden gebracht met de privacywetgeving van Californië. Tot slot moet Sephora regelmatig rapporteren bij de procureur-generaal over de uitvoering van de gemaakte afspraken.
Procureur-generaal waarschuwt bedrijven zich aan de privacywetgeving te houden
Procureur-generaal Rob Bonta is tevreden met de uitkomst. “Privacyrechten zijn zinloos als bedrijven verbergen hoe ze de gegevens van hun klanten gebruiken en opt-out verzoeken bij de verkoop negeren”, aldus Bonta. Hij hoopt dat de schikking een sterk signaal voor andere bedrijven is om zich aan de privacywetgeving te houden.
De procureur-generaal wijst erop dat bedrijven niet langer hun aansprakelijkheid van de CCPA kunnen ontlopen. De Californische wetgeving bestaat inmiddels ruim twee jaar. “Er zijn geen excuses meer. Volg de wet, geeft de consument waar het recht op heeft, en verwerk opt-out verzoeken die door de gebruikers zijn gedaan”, zo waarschuwt Bonta.
Sephora slachtoffer van meerdere datalekken
Eerder dit jaar brachten beveiligingsonderzoekers van VPNGids.nl een groot datalek bij Sephora aan het licht. Uit onderzoek bleek dat het Franse cosmeticabedrijf de persoonsgegevens van bijna een half miljoen klanten uit Mexico onbeveiligd op aan Amazon Web Services (AWS) bucket bewaarde. Toen onze onderzoekers het lek voorlegden aan Sephora, kwam het bedrijf direct in actie.
In 2019 deed zich een vergelijkbaar incident voor. Toen kregen klanten van Sephora in Maleisië, Singapore, Indonesië, Thailand, de Filipijnen, Nieuw-Zeeland en Australië te maken met de risico’s van een datalek. Het cosmeticabedrijf meldde het incident bij de Personal Data Protection Commission (PDPC) en adviseerde klanten om hun wachtwoord te wijzigen.
