Videodienst Netflix is in overtreding van de Nederlandse wet op de bescherming van persoonsgegevens, maar omdat het bedrijf in Luxemburg is gevestigd kan het College
Bescherming Persoonsgegevens er niets tegen doen. Dat schreef Webwereld vrijdag. Wacht even, heb ik iets gemist?
Ja dus. In september waren er Kamervragen gesteld over het privacybeleid van de nieuwe videodienst, met name over het punt dat men daar gegevens alleen als ‘persoonsgegevens’ ziet als ze direct tot een persoon herleidbaar zijn. Je NAW moet eraan hangen, zeg maar. En dat matcht niet met onze Europese definitie: daar vallen ook indirect te herleiden gegevens onder, ook dus wanneer niemand weet hoe je heet. “Die ene kerel uit Amsterdam Zuidoost van zo’n 40 jaar oud die Breaking Bad leuk vindt” is dus volgens de wet een persoonsgegeven. Ook als je niet weet hoe hij heet of als je geen contactgegevens van hem hebt.
In het antwoord op Kamervragen gaat men nog een stapje verder: je seriekijkvoorkeuren kunnen ook bijzondere persoonsgegevens onthullen, bijvoorbeeld je religieuze of seksuele voorkeur. Wie alleen homoseries kijkt zal wel homo zijn, bijvoorbeeld. Dergelijke gegevens mogen nóóit worden vastgelegd, tenzij met aparte en uitdrukkelijk gegeven toestemming.
De Wbp is voor Amerikanen altijd ahem een beetje wennen want in de VS bestaat het concept van persoonsgegevens eigenlijk niet. Je moet je klant respecteren en dus beloof je hem zorgvuldig te behandelen. En zolang je maar zegt wat je doet, is het dan verder prima allemaal.
Ergens zit daar ook wel wat in. Is het wérkelijk een probleem dat een internetdienst weet dat je homo, vrouw, man of wat dan ook bent? De dienst wordt er alleen maar beter van als je alleen series en dingen krijgt waar je op zit te wachten. En zolang ze er geen identificatie aan hangen, of het doorvertellen aan mensen die jou eruit kunnen pikken (“Hee wat lees ik nou kijk jij Sex and the City Arnoud”) dan vraag ik me toch af of dat écht verboden zou moeten zijn.
Arnoud
Ja, wel als je dat zelf een probleem vindt. Waarom moeten anderen altijd bepalen waar de grens ligt van wat een probleem is of zou kunnen zijn. Als ik nog in de kast zit wil ik ongestoord en volledig anoniem homo porno willen kijken. Waarom niet de keuze aan de klant geven?
Je krijgt goede suggesties als wij je kijkgedrag mogen analyseren. Wil je dat niet, dan maken we geen profiel van je kijkgedrag en krijg je geen relevante suggesties. Zo moeilijk zou dat toch niet moeten zijn?
Precies. Zolang er geen directe relatie is met andere gegevens die bedrijf, website of wie/wat dan ook nodig heeft van en voor klandizie lijkt er geen vuiltje aan de lucht. Ooit ben ik begonnen met het invullen van gegevens om een BIJ-kaart te krijgen. Ze vragen nog net niet naar je seksuele voorkeur, verder moet je bijna letterlijk je hele doopceel lichten, dus heb de gegevens toch niet doorgestuurd.
Maak het dan opt-out (of als we het per se netjes willen doen, opt-in); Als je niet wilt dat de dienst je kijkgeschiedenis bijhoudt, dan moet je die kunnen opschonen (in het geheel, of per ‘ding’).
Het is inderdaad een afweging tussen het verbeteren van de dienst en privacy. Dan is dat toch een mooie oplossing?
Het probleem is niet zozeer dat één bedrijf ‘geanonimiseerde’ gegevens vastlegt. Het werkelijke probleem is dat dit soort gegevens vaak doorverkocht/gedeeld wordt (met adverteerders bijvoorbeeld) en vervolgens gekoppeld. Van de ‘anonimiteit’ blijft dan niets meer over.
Hoezo anoniem? Netflix is een abonnementsdienst.. toch? Dus krijg jij een kastje of een logincode of wat dan ook zodat jij het abonnement kan gebruike nen zij weten dat jouw abonnement geldig is.
Aan die logincode/kastje/whatever hangt dus jouw naam met adres, eventueel creditcard of bankrekening voor incasso vast en uiteraard je e-mail adres. Dit is en kan naar mijn mening dus nooit anoniem zijn.
Met een anoniem profiel is voldoende mis, al was het maar dat het met voldoende gegevens uiteindelijk (vaak) tot een individu terug is te voeren.
Persoonlijk heb ik niet zoveel met de beloftes van Amerikanen..
Arnoud: “Ergens zit daar ook wel wat in. Is het wérkelijk een probleem dat een internetdienst weet dat je homo, vrouw, man of wat dan ook bent? De dienst wordt er alleen maar beter van als je alleen series en dingen krijgt waar je op zit te wachten.”
Waarom je toch echt zorgvuldig om moet gaan moet persoonsgegevens die op het eerste gezicht onschuldig lijken? Nou bijvoorbeeld Dit:
(linkje : http://www.forbes.com/sites/kashmirhill/2012/02/16/how-target-figured-out-a-teen-girl-was-pregnant-before-her-father-did/ )
Oeps!
Ja, oeps voor dat meisje en haar vader maar waarom moeten we dan zeggen “Target, káp daar eens mee”?
Vroeger wist de kruidenier en de cafébaas ook alles van iedereen. Wellicht hoorde papa dan in het café dat zijn dochter ging met de zoon van zijn ergste vijand, in plaats van direct van haar. Ook oeps. Waarom hebben we dat nooit verboden?
Omdat een opt-in in die situatie natuurlijk heel erg moeilijk is. In dit tijdperk is het super eenvoudig om de gebruiker te vragen of hij het wel of niet wil. Je moet dus ook kijken naar de praktische invulling. En wat is er tegen een opt-in?
Mensen snappen een opt-in niet. Iedereen denkt, het zál wel, klikt OK en gaat dan doen waar ze voor kwamen. Niemand gaat dan denken, eens even mezelf informeren en dan een vrije, uitdrukkelijke en op informatie berustende beslissing maken over de verwerking van mijn persoonsgegevens.
Mensen snappen opt-out ook niet. Jarenlang zijn mensen gewaarschuwd ‘klik niet op afmeldlinks in spam, want dan weten ze dat je e-mailadres aktief is.’ Dus nu werkt de afmeldlink die in elke nieuwsbrief of reclamemail staat niet meer.
Waarom vinden commerciele partijen dat het opt-out moet zijn en niet opt-in? Omdat opt-in in het nadeel van de fabrikant is en opt-out in het nadeel van de consument.
De kruidenier en kroegbaas verkocht die informatie niet, misschien dat dat het verschil maakt?
Omdat de kruidenier een mens is met een geweten, terwijl een groot bedrijf een gezichtsloos en gewetenloos iets is.
Vanwege de schaal waarop de kruidenier en cafebaas iets weten kwamen, zo wisten ze het wel van hun eigen dorp, maar het dorpje wat twee kilometer verderop lag dat was het domein van een andere kruidenier/cafebaas.
Ik denk dan ook dat de ‘schaal’ en ook het doel waarop informatie wordt verzamelt veel uitmaakt, weet ik ‘bepaalde dingen van 1000 man’ of ‘alles van iedereen’
Er is ook een aspect van wederkerigheid: De kroegbaas weet dat zijn klandizie (via de kruidenier) te horen krijgt van zijn scheve schaatsen… Vergelijk dat met de reactie van Google (wikipedia)
Tja, maar die kwamen daarna niet ieder moment aan de deur om voorbehoedsmiddelen of seksspeeltjes te verkopen.. Ze verkochten die informatie ook niet door aan een ander..
Ik vind ‘Breaking Bad’ helemaal niet leuk! Hoe kom je daarbij! 🙂
Die gedachte gaat mij wel een beetje erg kort door de bocht want er zijn veel mannen op deze wereld die graag naar lesbische scenes kijken zonder zelf lesbisch te zijn. 😉Persoonlijk vind ik de Nederlandse WBP best wel prettig, hoewel deze soms veel te streng kan zijn. Anoniem zijn op het Internet is eigenlijk niet goed mogelijk, omdat iedere online actie wel iets onthult. Voor mij als software ontwikkelaar is het extra lastig omdat ik continu opdrachtgevers moet wijzen op de regels. En ook al is dat uiteindelijk niet mijn verantwoording, ik blijf het problematisch vinden als een opdrachtgever in problemen komt door de huidige regelgeving door iets dat ik heb gebouwd. Dat levert mij mogelijk reputatieschade op als dit bekend zou worden. Vandaar ook mijn interesse in dit blog en overige juridische aspecten van het Internet. Ik neem mijn opdrachtgevers in bescherming tegen hunzelf…
Wim beweerde: opdrachtgevers moet wijzen op de regels.
Zou niet nodig hoeven te zijn, want elke Nederlander wordt geacht de wet te kennen. Dat dit in de praktijk niet zo is weet iedereen. Een rare regel eigenlijk. Gewoon je gezonde verstand gebruiken is vaak het beste. Als je een huis koopt of verkoopt kom je ook dingen te weten van de (ver)koper waarvan je de vertrouwelijkheid snapt en aan niemand die er niet bij was doorvertelt.
Jammer dat veel bedrijven die persoonlijke gegevens (ver)kopen dat niet door schijnen te hebben en er zelfs een slaatje (lees: woekerwinst) uit slaan.
Dat staat al een hele tijd niet meer in de wet. De wet is er gewoon en die werkt zoals die werkt, en of jij de wet nu kent of niet is niet relevant.
Als je uit die gegevens kan herleiden wie je bent wat is dan technisch het verschil met identiteit? Als er maar 1 persoon is van 40 die in Amsterdam zuidoost woont en van Breaking Bad houd en ik kan met 2 klikjes erachter komen wie dat is dan zijn dat toch net zo goed persoongegevens als naam en adres?
En als je er geen probleem in ziet dat bedrijven dat opslaan en verwerken dan ben je in mijn ogen dus gewoon tegen het hele concept iedere vorm van bescherming van persoonsgegevens.
De-anonymization is al jaren een erg bruisend onderzoeksgebied waar men uit steeds minder gegevens kan herleiden wie je bent en wat je doet. Het is allemaal prima dat ene ziekenhuis denkt dat gegevens anoniem zijn ze publiek maakt voor onderzoek en binnen een week men heeft herleidt tot de personen aan wie ze behoren? (Waar gebeurd dit voorbeeld http://arstechnica.com/tech-policy/2009/09/your-secrets-live-online-in-databases-of-ruin/)
Ook toepasselijk dat dit over netflix gaat want daar is een aantal jaren geleden juist een baanbrekend paper over verschenen. De onderzoekers konden aan de hand van slechts anonieme netflix ratings individuele gebruikers identificeren en hun politieke voorkeur etc vaststellen.
http://www.cs.utexas.edu/~shmat/shmat_oak08netflix.pdf
Netflix heeft nu nog geen advertenties maar als straks bijvoorbeeld Google een ‘gratis’ concurrent in de markt zet die wel op advertentieinkomsten kan drijven dan zal Netflix mogelijk ook over moeten op een advertentiemodel en dan hebben ze alvast heel wat info om adverteerders aan te trekken.
Dat doen ze juist wel! Op Netflix krijg ik de favorieten van mijn vrienden te zien (en dat is altijd maar van 2-3 tegelijk, met foto erbij van die vriend), dit doordat de meeste mensen hun Netflix account aan hun facebook hangen.
Daarmee weet Netflix dus ook wie er achter het account zit (ze vragen toegang tot je foto en alle gegevens).
Tom schreef Dat doen ze juist wel! Op Netflix krijg ik de favorieten van mijn vrienden te zien (en dat is altijd maar van 2-3 tegelijk, met foto erbij van die vriend), dit doordat de meeste mensen hun Netflix account aan hun facebook hangen.
Dan zijn die mensen of niet intelligent of juist heel slim (als ze willen dat mensen ze kennen bijv. om iets te verkopen) door twee of meer sociale netwerken met elkaar te koppelen. Als de gegevens authentiek zijn tenminste. Je kunt ook op naam van je kat of hond een account aanmaken