Mag een trol eisen dat hij wordt vergeten op een forum?

Naar aanleiding van mijn blog van vorige week over accounts versus bewaarplicht kreeg ik via Twitter de reactie:

Leerzaam! En in de comments ook: recht van betrokkene geldt ook voor een troll. Gegevens laten verwijderen na block, herinschrijven en overnieuw beginnen…. Nooit aan gedacht.

Natuurlijk zullen er na 25 mei de nodige trollen zijn die grappen uit gaan halen met het vergeetrecht onder de Algemene Verordening Gegevensbescherming (AVG of GDPR). Het is immers een sterk recht, en je hoeft geen reden op te geven om vergeten te willen worden.

Echter, het vergeetrecht is niet absoluut. Er zijn situaties waarin je niet vergeten hoeft te worden. En specifiek bij een forumblokkade of ban zie ik die situatie wel. Als je iemand verbant, dan wil je die ban een zekere tijd handhaven. Gedurende die tijd móet je dus onthouden wie de gebande persoon is en met welke persoonsgegevens je hem herkent, anders is handhaving onmogelijk. Dit geeft dan een legitiem belang om die persoonsgegevens te verwerken.

Wanneer een organisatie een legitiem belang heeft om je gegevens te verwerken, kun je geen beroep doen op het vergeetrecht. Juridisch gezien kan een vergeetverzoek namelijk alleen worden ingediend bij gegevens die niet meer nodig zijn voor zo’n belang. (Of bij verwerkingen waarvan de toestemming wordt ingetrokken of die überhaupt niet mochten plaatsvinden, maar dat is hier niet aan de orde.)

Natuurlijk moet het legitiem belang wel opwegen tegen het privacybelang van de trol, pardon de forumgebruiker. Dat is een zorgvuldigheidseis, waarbij de beheerder moet laten zien dat de keuze tot bannen goed onderbouwd is en de banperiode gerechtvaardigd voor het doel. Er zal dus een reglement moeten zijn met wat er wel en niet mag, en iets van een aankondiging met de redenen voor de ban en de periode van de ban. Ontbreekt dat, dan is de ban onrechtmatig en dan zou je wel opheffing daarvan kunnen eisen.

Arnoud

30 reacties

  1. Ik ben administrator op een forum dat inmiddels nauwelijks actief meer is. In de tijd dat het wat actiever was, echter, zagen we een hoop spambots binnenkomen geregistreerd vanaf weggooi mailaccounts van een bepaalde mailservice in Rusland. Uiteindelijk heb ik die hele mailservice geblokkeerd (mailadressen met een bepaalde tekst achter de “@” konden zich niet registreren). Is dat legaal en valt dat onder een persoonsgegevens (namelijk een partieel mailadres van een stel bots, die mogelijk best personen kunnen zijn, maar hoe dan ook shady reclame posten in een onbekende taal) of is het eerder iets als discriminatie?

  2. Je kunt een enkel setje persoonsgegevens normaliseren naar een bepaalde vorm, er dan een content-hash over uitrekenen, en dan die content-hash bewaren. Deze is niet meer herleidbaar tot de oorspronkelijke gegevens (dus geen persoonsgegeven onder de AVR), maar als iemand zich meld met persoonsgegevens die naar dezelfde hash leiden, kun je die persoon blokkeren. Ik kan dus alle email adressen blokkeren die (volgens mijn algoritme) de SHA256 hash “5aec2c9db2de7d89c09ab1b6e0f568f37378ba22a56cc4f293cee28c00566692” hebben, terwijl er toch niemand is daaruit persoonlijke gegevens kan herleiden.

    Omdat deze techniek werkt, is een ban geen legitiem belang om een email adres (of andere gegevens) te bewaren.

    1. Als je een redelijk vermoeden hebt dat een bepaald persoon geblokkeerd is, en zijn/haar adres hier tegenaan smijt, krijg je toch terug dat die geblokkeerd is? Ik weet niet of dat genoeg is om het een persoonsgegeven te laten zijn, maar toch.

      En, wat dat betreft, mag een site eigenlijk wel teruggeven “Dit adres is al geregistreerd”?

      1. In zo’n geval geef je natuurlijk nooit meer informatie terug dan strikt noodzakelijk. Ik zou terugmelden als: “Met deze gegevens kan geen registratie plaatsvinden,” of als het een tijdelijke ban is: “Met deze gegevens kan op dit moment geen registratie plaatsvinden.” Een andere oplossing is wel de gegevens van de troll te accepteren, zodat het lijkt dat het werkt, maar een andere persoon krijgt het nooit te zien en na afloop van de sessie alles word alles netjes weer opgeruimd, zodat de troll geen feedback heeft over zijn gedrag, behalve een soort onwerkelijke ervaring dat alles wat hij doet verdwijnt.

        Op m’n eigen site krijgen bezoekers uit een aantal notoire spam-landen geen eens de forum opties te zien. Scheelt het leeuwendeel van de spam (en die landen behoren sowieso niet tot mijn doelgroep).

        1. Dat laatste vind ik persoonlijk discriminatie. Kan wel zijn dat ze niet tot je doelgroep behoren, maar dat geeft nog niet het recht ze niet de optie te geven. Dat zou net zo raar zijn als toeristen uit Duitsland een kaart geven met daarop attractie 1 en 2 en toeristen uit China een kaart te geven met geen attracties erop. Of mensen uit Twente aan te wijzen waar de dichtstbijzijnde supermarkt zit en mensen uit Friesland niet.

          1. Ik heb zelf wel op een forum *@mail.ru geblokkeerd, gezien daar dagelijks een hoop spam vandaan kwam. En het is ook een lastige, want ergens is het inderdaad discriminatie, maar als je dagelijks spam krijgt van adressen met dat achter de @, en de kans dat een legitieme potentiële gebruiker daar een mailadres heeft erg klein is, dan is het toch wel een goede oplossing. Zeker als je forum vrij klein is, en je de gebruikers niet wil opzadelen met te veel obstakels, zoals berichten in de wacht zetten tot het door een moderator gezien is of nieuwe gebruikers hevig te moderaten. Ik kan me ook zo voorstellen dat Nederlandstalige websites redelijkerwijs hun content kunnen afsluiten voor landen waar weinig Nederlandssprekenden wonen. Zeker als je op land uitsluit, lever je dus gewoon geen service aan die landen, dat is nog niet eens zo heel ongewoon.

        2. Stel je voor dat je bent geregistreerd bij een homo dating site, maar je bent niet “uit de kast”. Als personen in je omgeving dan proberen te registreren met jouw email (of dat nu is voor de grap, of ze een vermoeden hebben, of iets anders) en krijgen de melding “er is al een account met dit emailadres” of zelfs “er kan geen registratie plaatsvinden”, heb je dus mogelijk gegevens over de eigenaar van dat emailadres prijsgegeven. Hetzelfde geldt voor tijdelijke bans natuurlijk, maar ik probeerde een bijzonder gevoelig voorbeeld op te roepen.

          En eigenlijk is de email natuurlijk een bijzonder vreemde manier om accounts te limiteren. Natuurlijk wil je niet dat iemand meerdere accounts aanmaakt, maar een kwaadwillende maakt vrij gemakkelijk meerdere wegwerpadressen aan en registreert zich daarmee meerdere keren. Ik zou zeggen dat een accountnaam uniek moet zijn. Hoe je een ban moet toepassen als iemand meerdere accounts kan maken en er geen informatie gegeven mag worden aan mensen die op dat adres proberen te registreren/inloggen of op dat IP-adres is lastig.

          Ik heb eerder gehoord van de methode om trollen te laten posten, maar hun posts onzichtbaar te maken voor alle andere gebruikers. Je hoeft daarvoor niet eens hun posts op te ruimen. Pas na een aantal dagen/posts beginnen ze zich af te vragen waarom niemand op ze reageert. Ik vind het in die vorm vrij wreed, gezien het geval dat ik ken werd toegepast op een relatieve onschuldige gebruiker. Bovendien helpt het niet echt in het bredere plaatje van hierboven. Overigens lijkt het me wel een goede manier om valsspelers in online spellen aan te pakken. Ze gewoon alleen tegen elkaar laten spelen. Zouden we ook bijvoorbeeld bij de Tour de France kunnen doen.

          1. Als personen in je omgeving dan proberen te registreren met jouw email (of dat nu is voor de grap, of ze een vermoeden hebben, of iets anders) en krijgen de melding “er is al een account met dit emailadres” of zelfs “er kan geen registratie plaatsvinden”, heb je dus mogelijk gegevens over de eigenaar van dat emailadres prijsgegeven.

            Bij Atlassian doen ze dat goed. Als je je probeert te registeren met een e-mail adres dat al in gebruik is, krijg je dezelfde melding, namelijk ‘we hebben je een activatiemail gestuurd, klik op de link in de mail om verder te gaan’.

            Als je al een account had dan staat in die mail ‘ Je had al een account, klik hier om in te loggen’. Het verschil is dus alleen zichtbaar voor degene die daadwerkelijk die e-mailbox kan uitlezen.

    2. Precies de reden die je noemt (door het hashproces te herhalen op de oorspronkelijke persoonsgegevens) zorgt ervoor dat de content-hash alsnog als (pseudoniem) persoonsgegevens moet worden beschouwd. De AVG geldt dus ook voor die hash. Oftewel: definieer een bewaartermijn, informeer de gebruiker en onderbouw je belang om die data te bewaren.

      Overigens is het alsnog waardevol om te hashen: je verkleint de risico’s op misbruik, hoeft niet aan de gebruiker te melden bij een datalek en de gebruiker kan zijn rechten niet laten gelden (tenzij hij gegevens beschikbaar stelt waarmee de pseudonieme data alsnog herleid kan worden).

      1. Natuurlijk leg je dit proces uit in je privacy reglement. Jouw belang is het voorkomen van misbruik. Eventueel sla je ook de versleutelde motivatie voor het individuele geval op (als sleutel gebruik je diezelfde genormaliseerde gegevens die je hashed.). Als een gebruiker gegevens wil hebben, dan kan hij die krijgen als hij de daarvoor benodigde invoer aanlevert; anders komt het antwoord: “Wij hebben geen gegevens die matchen met de door u opgegeven criteria.”

    3. Leuk idee, maar in de praktijk nutteloos. Je wil graag mailadressen kunnen vergelijken. Dan kun je bijvoorbeeld zien dat meneertroll@gmail.com gebanned is, maar dat er even later een account aangemaakt wordt met meneertroll@outlook.com. Dan weet je ook vrij zeker dat dat zelfde persoon is, maar de hashes komen niet overeen. Of hij veranderd de hash door men.eertroll@gmail.com en meneer.troll@gmail.com te gebruiken of hij gebruikt een tag..

      Het is in theorie leuk bedacht, maar in de praktijk wil je wel graag een match kunnen maken op dingen als naam/ip-adressen/mail-adressen. Ook al valt een troll vaak snel weer door de mand, je wil gewoon niet dat hij pas gepakt wordt als hij weer de fout in gaat.

      1. Inderdaad. Het lijkt mij, in zo’n geval, het handigst als er een soort van automatische controle is (of hoe dat ook heet). Als je dus bijv. meneertroll@gmail.com bant, dat “meneertroll” wordt toegevoegd aan een zwarte lijst. En als er dan een registratie binnenkomt met iets dat daarop lijkt (bijv. men.eertroll@outlook.com), dat er dan een mailtje/berichtje uitgaat naar een/de administrator “Iemand heeft zich geregistreerd met het e-mailadres men.eertroll@outlook.com. Dit komt overeen met meneertroll@gmail.com op de zwarte lijst. Wilt u de registratie goedkeuren?”. Dan kan de admin zelf bepalen of het weer om de/een trol gaat en de registratie weigeren.

  3. Maakt de AVG het vergeetrecht niet grotendeels overbodig? Het vergeetrecht kan alleen ingezet worden als de verwerkende organisatie geen legitiem belang heeft om mijn gegevens te verwerken, maar in dat geval mag ze mijn gegevens toch uberhaupt niet meer hebben onder de AVG? Een vergeetverzoek zou dan puur een herinnering zijn aan een plicht die de ontvanger sowieso al heeft.

    1. Mee eens, ik zie het vergeetrecht meer als fallback. Als bedrijf zul je je datahuishouding op orde moeten hebben en ervoor zorgen dat (persoons) gegevens conform je bewaarbeleid na verloop van tijd worden verwijderd. Maar het is niet ondenkbaar is dat wanneer je een bepaalde set aan gegevens onder de loep legt, wel eens zou kunnen blijken dat je ze eigenlijk niet meer nodig hebt ondanks dat de bewaartermijn nog niet is verstreken. Bijvoorbeeld omdat een situatie is opgetreden die in het bewaarbeleid niet was voorzien, of omdat er marges in het beleid zijn opgenomen om het beleid werkbaar te houden. De betrokkene mag je dan vragen om de gegevens toch alvast te verwijderen.

  4. Ontbreekt dat, dan is de ban onrechtmatig en dan zou je wel opheffing daarvan kunnen eisen.

    Nu volg ik het even niet meer. Kan je dan opheffing eisen van de ban?? Dat is uiteindelijk aan de forumbeheerder, die mag toch zijn eigen (arbitraire) regels verzinnen.

    Bedoelde je niet te zeggen dat je in zo’n geval kan eisen dat je hele account wordt verwijderd omdat er geen legitiem belang is om op te wegen tegen jouw privacybelang?

    1. Een forumbeheerder mag zo ongeveer alle regels stellen die hij wil (tenzij tegen de openbare orde, bv. bij discriminatie) maar hij moet ze wel expliciet melden. Een ban moet ergens op gebaseerd zijn, omdat het mensen uitsluit in hun informatievrijheid en ze raakt in hun persoonlijke levenssfeer. En je komt er niet met “ik mag je bannen wanneer ik wil ongeacht reden” want dat bevat nul informatie.

        1. Het lijkt me alleen heel moeilijk om dat juridisch af te dwingen. Een forum is in principe een besloten gemeenschap en een ban betekent dat je niet meer op de gastenlijst staat. Of je dan via een rechter af zou kunnen dwingen dat je dan weer toegang krijgt heb ik mijn twijfels over.

          1. Een besloten forum is als een woonkamer in een privé woning. Daar mag je uitnodigen en verwijderen wie je wilt. Mijn policy is dat iedereen die probeert toegang tot mijn forum te krijgen door dat via de rechter af te dwingen, er never nooit niet op zal komen. Zelfs als dat het opheffen van het gehele forum impliceert. Als het kan, draag ik het gehele forum over aan een partij buiten de jurisdictie van die rechter, en als dat niet kan dan gaat de stekker eruit. (Al zal ik niet te beroerd zijn om aan te geven waarom iemand niet langer welkom is.)

              1. Daarom heeft een goed uitgaanscafé ook een constructie met een lidmaatschap. Maar zolang dat niet gebeurt in combinatie met duidelijk aantoonbare discriminatie op basis van bijvoorbeeld huidskleur, is daar volgens mij weinig tegenin te brengen?

                1. Dat weet ik niet. Een lidmaatschap kan alleen worden opgezet conform de statuten of huisregels lijkt me, en dat zal toch enige redelijke grondslag moeten hebben. Je kunt in het zakelijk rechtsverkeer niet zomaar eenzijdig de lompe aso uithangen en contracten opzeggen omdat je hoofd er niet naar staat, contract is contract. Dus ik denk dat je iemand die hooguit irritant is (zeg maar typisch trolgedrag), er niet uit kunt krijgen.

              2. Niet zo bizar als het lijkt. Politieke opvattingen zijn volgens de AVG bijzondere persoonskenmerken, waarvoor bijzonder strenge regels gelden. Als ik toch op mijn politieke forum mensen wil uitsluiten omdat zij aanhanger zijn van Trump (of Bin Laden, of Moeder Teresa), omdat deze naar mijn mening staan voor een verwerpelijke politiek en een hatelijke sfeer, waar ik verder geen woorden aan vuil wil maken, dan moet dat kunnen. Dat lijkt me niet heel anders dan kerkgenootschappen die besloten ontmoetingen hebben met alleen geloofsgenoten.

  5. @Arnoud: wellicht wat off-topic, maar ik werd toch onbewust getriggerd door deze blog: in het licht van de AVG, hoe zie jij de verplichting op dit blog om bij reageren je email achter te moeten laten? Mag je dat gewoon vragen als forum-beheerder? Een zwaarwegende reden kan ik zo snel niet bedenken…

  6. Ik zie dat primair als een eigen legitiem belang, zo kan ik je namelijk herkennen en je toestaan te reageren zonder premoderatie.

    Dat zou ook kunnen zonder persoonsgegevens (email, daar zit mijn volledige naam in) te verstrekken, namelijk door in te loggen met username en password (is het dan bij registratie echt noodzakelijk om weer via email een activatielink te sturen….). Het enige verschil is dat je me dan niet kunt bereiken, maar dat wordt niet in het door jou genoemde criterium omvat (behalve dan de mailing features). Is het mogelijk dat ‘herkenning’ aan de hand van email op AVG bezwaren kan stuiten omdat dat met username/password ook gewoon werkt?

    Edit: Sorry, niet opgelet. Staat in hoofdthreat maar was een reactie op Arnoud hierboven.

    1. Je hebt gelijk dat registratie vereisen een alternatief is. Het bestaan van een alternatief kan erop wijzen dat het gestelde belang niet op de goede manier wordt ingevuld, maar dat hoeft niet perse. Het gaat erom dat je keuze in redelijkheid nodig is voor het belang en dat de keuze proportioneel is, samengevat dat het gewoon een legitieme werkbare keuze is.

      Ik had helemaal niet nagedacht over het bereikbaar zijn. Ik denk dat dat toch wel mee moet wegen. Ik kan je nu mailen als ik bv. je comment afkeur of als er een geschil ontstaat (denk een derde die claimt dat jij smaad pleegt). Het hebben van een contactgegeven voor dergelijke situaties voelt wel als een legitiem iets, dus ik denk dat daarom de usernaam/password combinatie een minder alternatief is. Ik zou dan wel een privacy policy moeten maken waarin staat wanneer ik je mailadres mag gebruiken en/of afgeven.

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.