Ius Mentis

Een groot Belgisch techbedrijf heeft een boete van in totaal 176.000 euro gekregen omdat het de mailbox van een ex-medewerkster niet tijdig verwijderde. Dat meldde Security.nl onlangs. Het ging om ruim een jaar na ontslag de mailbox nog aanhouden én niet transparant zijn.

In haar beslissing legt de Belgische Gegevensbeschermingsautoriteit (GBA) uit dat de persoonsgebonden mailbox (voornaam.achternaam apestaartje) weliswaar bij ontslag een out-of-office kreeg, maar een jaar later nog steeds bleek te werken. En die OOO bevatte dit:

“[…] Ik ben momenteel offline met zeer beperkte toegang tot internet. Gelieve wat vertraging in mijn antwoord te accepteren. […]

De GBA stelt voorop dat je ook na vertrek een mailbox moet kunnen aanhouden vanuit bedrijfsbelangen, maar dat het na een maand echt wel klaar moet zijn. Dat is bij hen een consequente lijn, en hoewel de AVG zelf geen formele termijnen kent (ik wil niets meer horen over het stokoude vrijstellingsbesluit van de AP), mag je als toezichthouder best zo’n termijn als hoofdregel stellen.

Als partij kun je dan met een uitleg komen waarom het bij jou écht langer moet zijn dan die maand, maar die was er in dit geval niet. En de GBA haalt zwaar geschut van stal: het kan dan het misdrijf aftappen van privécommunicatie opleveren (privémails in de zakelijke mailbox) als je dan alsnog die mailbox in gaat.

Anders gezegd: je hebt een “degelijk gegevensbeschermingsbeleid door ontwerp van professionele mailboxen” nodig waarmee je uitwerkt hoe je in persoonsgebonden mailboxen gaat vissen naar zakelijk relevante mails, en hoe je die er binnen een maand uit krijgt om ze in je administratie, zaaksysteem, CRM of whatever te krijgen.

En dat raakt aan een al wat oudere pet peeve van mij: e-mail is een transportmedium, geen administratie of opslag. Eigenlijk zouden mailservers zo ingesteld moeten worden dat alle mails ouder dan 30 dagen vernietigd worden. Wie wil bewaren, moet ze in een administratie of archief opbergen.

Arnoud

Google zou de Europese Commissie een aanbod doen voor vanaanpassingen in zijn beleid tegen seo-spam. Dat meldde Tweakers vorige week. Dit om een boete onder de Digital Markets Act te voorkomen. En nee, ze doen niet te weinig tegen zoekmachineresultatenspam maar juist te veel.

Het voorstel komt in een lopend onderzoek van de Europese Commissie naar de zogeheten site reputation abuse policy van Google Zoeken. Ik citeer het artikel van vorig jaar:

Het sitereputatiemisbruikbeleid gaat over websites die hoog eindigen in resultaten van Google Zoeken en tegen betaling content van derden tonen, waarbij die derde partij zelf niet hoog scoort in Google Zoeken. De Europese Commissie zegt signalen te hebben ontvangen dat dit beleid de websites van nieuwsmedia en andere uitgevers straft als zij ‘content van commerciële partners’ tonen. De websites van uitgevers komen daardoor lager te staan in Google Zoeken.

Probleem: grote nieuwsmedia doen dit ook – dit is de partnercontent, branded content, sponsored content of hoe ze het maar noemen (zolang het maar niet “advertentie” heet). Het ziet er vrijwel uit als redactionele eigen inhoud, maar kleine lettertjes melden ergens dat het van een partner komt en buiten de redactionele verantwoordelijkheid valt.

Mijn vermoeden is dat de Commissie de impact van dat beleid op nieuwsmedia disproportioneel vindt, omdat die toch al zo kwakkelt en een maatschappelijk belangrijke positie heeft. Die zouden dan wél partnercontent moeten kunnen draaien, waarbij we er dan op gaan vertrouwen dat die dat netjes doen en alleen van respectabele partijen.

Arnoud

Via Reddit:

Twee maand geleden heb ik een product besteld op een webshop. Dezelfde dag kreeg ik een email dat mijn bestelling helaas is geannuleerd. Binnen 3 dagen heb ik ook mijn geld terug ontvangen. Een dag later ontving ik echter het product alsnog.

Ik heb dit tot op heden aan de kant gezet en heb twee weken geleden een email van het bedrijf ontvangen dat ze per abuis het product hebben geleverd en dat ze binnen een redelijke termijn (14 dagen) de betaling willen ontvangen. Sta ik in mijn recht om te verzoeken dat de website het product bij mij komt afhalen? Het gaat om circa 2000 euro.

Als een bestelling wordt geannuleerd door de winkel, is natuurlijk de eerste vraag of dat wel kan. Zomaar is geen reden, ook niet als dat in de voorwaarden staat. Niet meer leverbaar is bespreekbaar, alleen erg raar dat hij dan alsnog opgestuurd wordt. Maar goed, hier zijn beide partijen het er over eens dat sprake is van een annulering.

Ontvang je een product dat niet besteld was (geen geldige overeenkomst), dan moet dat natuurlijk terug. Ik blogde in 2022 over weigeren van een al geannuleerde levering, en daarin gaf ik aan dat je een zekere zorgplicht hebt als het product aanneemt.

In de kern kan echter niet meer verwacht worden dan dat je het product goed bewaart en teruggeeft als de winkel het komt halen. Opsturen kan van je gevraagd worden als de winkel vooraf de kosten betaalt en het voor jou een kleine moeite is. Dat laatste is een tikje subjectief maar volgt uit de redelijkheid. Een schoenendoos naar een PostNL punt brengen is wat mij betreft eigenlijk altijd gewoon wat je hoort te doen.

Hier gaat het om een duur ding, dus je zou verwachten dat de winkel wel iemand langs kan sturen. De soort-van dreigementen over ongerechtvaardigde verrijking vind ik dan ook een tikje misplaatst. Ik zie in ieder geval geen route waarmee de winkel nu betaling kan afdwingen.

Arnoud

Via Reddit:

Twee weken terug kocht ik online bij een webshop over-ear headphones, deze kwam in verzegelde verpakking. Deze bevielen mij niet, ik heb na 3,5 uur het weer heel netjes ingepakt en een retour aangemeld en de volgende dag verzonden. Onderaan de productspecificaties op de website staat het volgende: ‘Dit is een verzegeld hygiëneproduct en kan alleen worden geretourneerd onder retourrecht indien de verzegeling nog intact is.’ Is dat rechtsgeldig?

Het is echter niet zo dat alles dat vies of onsmakelijk voelt om nogmaals te verkopen, geweigerd kan worden met een beroep op deze uitzondering. Het wetsartikel stelt duidelijk: niet geschikt zijn om te worden teruggezonden. Het Hof van Justitie heeft dat in de Slewo-zaak (over een matras) uitgewerkt tot het criterium dat het product

definitief niet meer kan worden verkocht om redenen van gezondheidsbescherming of hygiëne, omdat de aard zelf van dit goed het voor de handelaar onmogelijk of uiterst moeilijk maakt om maatregelen te treffen waarmee hij het opnieuw kan aanbieden zonder af te doen aan een van beide eisen.

In Nederland is er geen jurisprudentie over deze grond, behalve een nog lopende zaak over een bikini. In het tussenvonnis ging het vooral over de vraag of de verzegeling überhaupt was verbroken, niet of zwemkleding onmogelijk te reinigen is.

Bij de geschillencommissie vond ik drie uitspraken:

1. Een krultang is een hygiëneproduct, omdat “de ondernemer niet staat is om het product door reiniging of ontsmetting geschikt te maken voor een nieuwe verkoop.” De uitleg waarom dan ontbreekt: “evident”.
2. Een scheerapparaat is een hygiëneproduct, ook dit is “evident” anders dan een matras.
3. Een haartrimmer is een hygiëneproduct, omdat het gebruik daarvan door derden “gevolgen kan hebben voor hun gezondheid en dat een gebruikt product als onhygiënisch wordt ervaren”. Ook kan van de ondernemer niet worden verwacht dat deze maar liefst twaalf onderdelen reinigt na retour nemen.

Misschien dat het probleem bij zulke apparaten is dat er kleine haartjes achterblijven die je ook met grondig spoelen er niet uit krijgt. (Ik weet niet wat het met je gezondheid doet om andermans scheerhaartjes in je baard te krijgen, en  nogmaals het gevoel van ieuw is juridisch niet relevant.)

Bij een in-ear koptelefoon zou ik nog net analoog kunnen denken: oorwax, misschien wel bloed of huidschilfers. Nou vooruit, dat steriliseren vereist apparatuur die een elektronicawinkel niet zou hoeven hebben. Maar bij een over-ear koptelefoon zoals in de vraag zie ik dat niet. Jullie wel?

Arnoud

Via Reddit, samengevat:

Na werkzaamheden aan de meterkast van onze stichting kregen wij een aanmaning, maar nooit een factuur. Die blijkt per post verstuurd, waarop ik vroeg om een kopie per mail om direct te kunnen betalen. Ook die kwam niet aan. Na onderzoek zag ik dat de SPF configuratie en daarmee de DMARC policy van de netbeheerder stelt dat mijn mailserver de berichten (waarschijnlijk van hun kantoorautomatisering) niet mag behandelen. Ik zie waarschijnlijk een auto-responder direct na mijn e-mail, en een poging eerder die ochtend. Dus ik neem nogmaals telefonisch contact op met de netbeheerder. Uiteindelijk bij de debiteuren afdeling uitgekomen met het verzoek: stuur het bericht dan maar naar mijn zakelijke e-mail (gehost op GSuite). Ook daar komt de mail niet aan.

DMARC (Domain-based Message Authentication, Reporting & Conformance) is het beleidsrecord dat de ontvangende server  (dus onze vereniging) instrueert wat te doen bij zo’n verdacht. Hier zal er dan (conform best practice) in staan dat de mail moet worden verwijderd.

Dit verklaart ook waarom het bij Gmail ook niet aankomt: Google is zeer streng op correcte SPF/DMARC instellingen en gooit de mail dus ook gewoon weg.

De klassieke opvatting over e-mail is dat het jouw risico als ontvanger is. “Spamfilters zijn jouw keuze”, heet dat dan. En dat was in 2004 ook zo. Maar hier ligt het toch even anders: de afzender heeft zélf die SPF/DMARC configuratie zo ingesteld en zélf de facturen laten versturen vanaf een mailsysteem dat niet in hun configuratie staat als authentiek.

Wat mij betreft mag die mail met factuur dus als niet-verstuurd beschouwd worden.

Opmerkelijk is dan natuurlijk dat de factuur kennelijk ook per post verstuurd was (net als de aanmaning) en ook kwijtgeraakt is. Dat kan gebeuren, maar betekent dat de factuur nooit aangekomen is. Een herinnering is dan prima, maar voor incassokosten is dan vooralsnog geen plek.

Gebruikelijk bij mij is dat je een kopie van de factuur bij de aanmaning krijgt, zodat je alsnog direct kunt betalen.

Arnoud