1. Inleiding
Uit een technische analyse van het overheidsplatform https://fines.justonweb.be blijkt dat de website meerdere bepalingen van de Algemene Verordening Gegevensbescherming (AVG/GDPR) en de Belgische Wet van 30 juli 2018 schendt. De privacyverklaring van het platform komt niet overeen met de technische realiteit. Op deze pagina documenteren wij de bevindingen.
2. Wat de privacyverklaring beweert vs. de realiteit
De privacyverklaring (gedateerd 12/12/2025, artikel 13) stelt dat de website uitsluitend sessie-opslag (session storage) gebruikt en geen cookies. Technische inspectie via de browserontwikkelaarstools bewijst dat dit feitelijk onjuist is.
Naast session storage maakt het platform actief gebruik van Local Storage — een persistente opslagvorm die blijft bestaan na het sluiten van de browser en die de verwerkingsverantwoordelijke verzwijgt.
Aangetroffen gegevens in Local Storage
| Sleutel | Beschrijving | Risico |
|---|---|---|
token | JWT-authenticatietoken | Sessie-kaping, ongeoorloofde toegang |
loggedInEid | eID-gebaseerde gebruikersidentificatie | Herleidbaar tot rijksregisternummer |
eldPvNumber | Procesverbaal-nummer | Koppeling aan strafrechtelijk dossier |
selectedMyFines | Lijst van boetes (base64) | Financiële persoonsgegevens, persistent |
infractionType | Type overtreding | Gedragsgegevens blijven na sessie beschikbaar |
detailedPageRedirection | Navigatiegedrag | Gedragstracking buiten sessie |
3. Geschonden AVG-artikelen
Artikel 13 — Informatieplicht
De verwerkingsverantwoordelijke moet de betrokkene volledig en nauwkeurig informeren over verwerkingsactiviteiten. De privacyverklaring stelt geen persistente opslag te gebruiken, terwijl Local Storage wel actief is. De betrokkene kon daardoor geen geïnformeerde toestemming verlenen.
Artikel 5(1)(a) — Transparantiebeginsel
Persoonsgegevens moeten transparant worden verwerkt. De privacyverklaring geeft een valse voorstelling van de feitelijke gegevensverwerking.
Artikel 5(1)(b) — Doelbinding
JWT-tokens en eID-identificatie in permanente Local Storage gaan verder dan wat strikt noodzakelijk is. Dit wijst op een verwerkingsdoel dat niet werd vermeld en waarvoor geen rechtsgrond werd opgegeven.
Artikel 5(1)(c) — Minimale gegevensverwerking
Het persistent opslaan van authenticatietokens, rijksregisternummers en PV-gegevens buiten de levenscyclus van de sessie is disproportioneel.
Artikel 32 — Beveiliging van verwerking
JWT-tokens in Local Storage is een erkend beveiligingsrisico (OWASP). Local Storage is toegankelijk voor elke JavaScript op de pagina, wat het risico op Cross-Site Scripting (XSS) vergroot.
Artikel 5(2) — Verantwoordingsplicht
Door een feitelijk onjuiste privacyverklaring te publiceren en tegelijkertijd persoonsgegevens via Local Storage te verwerken, is de verantwoordingsplicht geschonden.
4. Ontbrekend cookiebeleid (HTTP 404)
De website verwijst naar een cookiebeleid op https://fines.justonweb.be/Cookie%20policy.pdf. Deze URL geeft een HTTP 404-fout terug — het document bestaat niet. De verwerkingsverantwoordelijke verwijst dus naar documentatie die wettelijk verplicht is, maar die feitelijk niet beschikbaar is voor de burger.
5. Tegenstrijdigheid in de eigen gebruiksvoorwaarden
De gebruiksvoorwaarden van JustOnWeb stellen enerzijds:
“FPS Justice does its utmost to ensure the information provided is complete, correct, accurate and up to date.”
Deze verbintenis tot nauwkeurigheid geldt onverkort voor de privacyverklaring. De vastgestelde discrepantie is aantoonbaar en reproduceerbaar.
Anderzijds tracht de FOD Justitie elke aansprakelijkheid uit te sluiten. Artikel 82 AVG bepaalt echter dat dit dwingend Europees recht is dat niet kan worden uitgesloten door een eenzijdige aansprakelijkheidsbeperkingsclausule.
6. Structureel gebrek aan zorgvuldigheid
De toegankelijkheidsverklaring werd voor het laatst herzien op 19/04/2022, enkel op basis van een automatische controle. Het patroon — een verouderde toegankelijkheidsverklaring, een onjuiste privacyverklaring, een niet-bestaand cookiebeleid en persistente opslag buiten het gedocumenteerde kader — wijst op een stelselmatig verzuim.
7. Gevolgen
De burger is wettelijk verplicht dit platform te gebruiken voor de afhandeling van financiële sancties, terwijl het platform zijn eigen privacyverplichtingen niet nakomt. Gegevens die via dit platform worden verwerkt zijn:
- Niet verwerkt conform de AVG en de Belgische Wet van 30 juli 2018
- Verkregen zonder geldige, geïnformeerde toestemming
- Mogelijk blootgesteld aan beveiligingsrisico’s door de onveilige opslagmethode
Download het volledige analysedocument als bijlage bij uw bezwaarschrift: