Mag Clubhouse eisen dat je je adresboek deelt?

Clubhouse, de nieuwe social media app, is echt iets voor dummies, aldus een van de vele blogs over deze nieuwe dienst. Want je hoeft er weinig voor te kunnen: alleen luisteren. De app draait namelijk om live gesprekken, zonder beeld of chatten. De app is nieuw en hip, en je kunt er alleen gebruik van maken als je uitgenodigd wordt (en een iPhone hebt). En daarbij een opmerkelijk detail: “Omdat Clubhouse gebruik maakt van je contactenlijst (in je telefoon) ziet de app direct wie van je bekenden er al gebruik maakt van de app.” Dat is even geleden, dat apps je adresboek standaard leegtrekken om zo andere mensen te kunnen werven. Hoe zit dat ook alweer, mocht dat nou of niet?

Je adresboek moet je delen om anderen te kunnen uitnodigen. Doel hiervan is namelijk dat Clubhouse kan zien wie van deze mensen al een account heeft. Maar indirect natuurlijk ook het opbouwen van een groot informatiebestand van kennelijk kapitaalkrachtige mensen met interesse in high tech en het laatste en hipste, je bent startup of niet natuurlijk. (Tenzij je voor de app betaalt, gaat het om je data en niet om de dienstverlening.)

Dit delen van adresboeken is in Europa problematisch, omdat een vermelding in je adresboek een persoonsgegeven is van die contactpersoon. Die mag jij daar hebben – uitzondering voor persoonlijk gebruik en/of toestemming tot communicatie met die persoon. Maar delen van die vermelding met een ander mag in principe gewoon niet, tenzij het netjes is van wel, en in bulk lijkt me eigenlijk nooit netjes. Dat is niet waarom jij in mijn adresboek zit, juridisch gezegd: de doelbinding ontbreekt, en toestemming is er ook al niet. Dus nee.

Tegelijk zie ik ook wel de legitieme behoefte van alleen uitnodigingen willen sturen aan mensen die de app al hebben. Dus dat Clubhouse wil nagaan of een opgegeven genodigde de app heeft, dat lijkt me legitiem. Precies dat was wat Whatsapp vroeger deed, totdat onze AP ingreep: die gegevens mag je wel verwerken, maar niet zodanig dat je ze óók voor gewone marketingdoeleinden (profielopbouw van niet-klanten) kunt inzetten. De dienst stuurt nu alleen hashes van 06-nummers uit het adresboek, en de server kan daarmee zien of iemand al klant is (men heeft dezelfde hash in het klantenbestand) of niet (hash onbekend). Dit is dus wat Clubhouse ook moet gaan doen.

Arnoud

20 reacties

  1. Ik vraag me nog steeds af of je de gegevens nag doorgeven. Zijn de gegevens in mijn contactenlujst van mij, of zijn ze van het contact? Ik zou verwachten dat mijn telefoonnummer bijvoorbeeld van mij is, en niet van iemand die ik ken. Dus mag mijn kennis wel mijn nummer delen zonder dat ik daar toestemming voor geef? Als ik het vergelijk met de analoge versie, je gaat ook niet zomaar het prive nummer van een collega doorgeven aan een klant zonder toestemming. Dat geeft mij het gevoel dat de collega eigenaar is van dat gegeven. Dus is de vraag om je contacten te delen wel een vraag die gesteld mag worden? Het zijn immers niet jou persoonsgegevens om te delen.

    1. Dat klopt, jouw telefoonnummer is van jou en dus heb jij de zeggenschap. Ik heb het gekregen om jou te benaderen, dus ik ben daar (verwerkings)verantwoordelijk(e) voor. Maar ik ben geen eigenaar en mag niets doen behalve wat jij toestaat of wat binnen onze relatie normaal is (uitvoering overeenkomst/wet/belang).

      Wat ik volgens mij wél mag, is tegen Wim zeggen, “oh jij wil Yvo bellen, heb je zijn nummer, eindigt op 638?”

      1. Yvo betrekt eigendom in het verhaal. En juist hier had ik verwacht dat je zou zeggen “Data is niets”, Arnoud.

        Het nummer is niet ‘van jou’, noch die van jouw contact. Het heeft geen eigenaar. Het nummer is toegewezen aan jou. Het nummer is geen goed, en kan niet gestolen worden. Er zijn wel rechten met dat nummer: jouw provider mag het exploiteren, jij mag er gebeld op worden, en je mag het ‘porteren’ als je van provider verandert. Hetzelfde nummer kan met een ander landcode ook aan een ander gekoppeld zijn, en daar kun je niks tegen doen. En met puntjes ertussen kan het een IP adres zijn. Of het kan overeen komen met het aantal korrels rijst in een zak.

        Dat het nummer is toegewezen aan jou, kan betekenen dat jouw toestemming nodig als het als persoonsgegeven verwerkt wordt. Daar heb je deels zeggenschap over. Maar als jouw provider jouw nummer wil veranderen (Zoals toen de PTT in 1995 voor ieder Amsterdams telefoonnummer een ‘6’ gooide), heb je daarmee te leven. Daar heb je geen zeggenschap over.

        Maar ook geldt dat toestemming maar één van de grondslagen is, waarmee het verwerken van een persoonsgegeven legaal kan zijn. Immers kan het nodig zijn om een nummer te delen. Bijvoorbeeld om een overeenkomst uit te voeren. Of onder een verwerkersovereenkomst. Of bijvoorbeeld om aan een gerechterlijk bevel te voldoen. Zo kan een oplichter niet roepen ‘ho even, waarom geef je mijn telefoonnummer aan de politie? Het is ‘mijn’ nummer en ik gaf er geen toestemming voor.’

  2. Ik vraag me wel af waarom die hashes nou gezien worden als legitieme oplossing. De zoekruimte van bijvoorbeeld alle Nederlandse 06-nummers is zo’n 100 miljoen stuks. De bijbehorende hashes heb je binnen korte tijd (eenmalig) uitgerekend. Daarna kun je dus eenvoudig van alle binnenkomende hashes direct het bijbehorende nummer opzoeken. Schijnprivacy?

          1. Welk legitiem belang? ICQ kon in 1996 als mensen met elkaar in verbinding brengen zonder daar voor persoonsgegevens nodig te hebben. Anno 2021 kan Discord dat ook doen. Waarom zouden whatsapp en clubhouse daar persoonsgegevens voor moeten gebruiken?

      1. Hoe salt je 10000000 verschillende adresboeken op zo’n manier dat je wel de hashes kunt vergelijken om een match te vinden? Jij hebt mijn nummer en hash is dan abd:456, Thijs heeft mijn nummer en hash is xyz:734 Dan meld ik mij aan en worden er dan 10 miljoen salts gepakt om mijn nummer te hash-matchen?

      2. Salt is hier een oplossing voor een probleem dat er niet is. Het probleem is namelijk niet dat er tegen een datalek beschermd wordt. Of dat Clubhouse het nummer niet mag zien. Het probleem is dat Clubhouse dat nummer niet mag verwerken, op de manieren dat er geen toestemming voor is. In dit geval, opslaan.

        Zelfs al zou er client-side gehashed en gesalt worden, zal ook de Clubhouse server ook over de salt moeten beschikken. Want zonder dezelfde salt kan Clubhouse de hash niet vergelijken met hashes van de nummers die Clubhouse al lid heeft. En als je de salt eenmaal kent, kun je een telefoonnummer binnen één seconde bruteforcen. Ik noem dat dan niet geanonimiseerd. En een legitiem belang kan ik niet zien.

        Als je kijkt naar deze zaak, kun je stellen: de houder van de contactenlijst heeft een legitieme belang om te weten of zijn contactpersoon benaderd kan worden via Clubhouse. Om deze reden mag de houder van de contactenlijst nagaan om de contactpersoon ook lid is van Clubhouse. De houder van de contactenlijst geeft Clubhouse, impliciet en binnen zijn beperkte bevoegdheden, opdracht aan Clubhouse om na te gaan of de contactpersoon lid is. Clubhouse voert binnen de bevoegdheden van de houder de opdracht uit. Het opslaan van de gegevens door Clubhouse is hiervoor niet nodig, en dus niet toegestaan. Het valt ook niet binnen de bevoegdheid van de houder van de contactenlijst, om aan Clubhouse toestemming te geven om de contactgegevens op te slaa. Ook niet als Clubhouse het hasht. En ook niet als Clubhouse het salt.

        1. Je hebt zelf de contactgegevens van de mensen in je contactlijst. Je kunt ze dus rechtstreeks en onafhankelijk van Clubhouse benaderen om hen te vragen of ze ook op Clubhouse zitten. Er is dus geen noodzaak om hiervoor gegevens naar Clubhouse te sturen, zodat zij die controle voor jou uitvoeren.

          Lees de gebruikersvoorwaarden van Clubhouse en stel jezelf de vraag “zal ik de vos vragen om voor mij de eieren te halen in mijn kippenhok?”

          1. Contact opnemen met honderden van mijn kennisen, met enkel de boodschap “Hey, gebruik jij Clubhouse?”. Ten eerste zou het mij weken kosten om een Clubhouse account op te zetten. En ten tweede zouden vele van mijn contacten zeggen, “Hey, ik gaf jou niet mijn contactgegevens om nu reclame te komen maken voor Clubhouse.” Nee, dat wordt hem niet.

            Als houder van een contactenlijst (laten) controleren wie al lid is van Clubhouse, is juist wat ik wel zie vallen onder ‘legitiem belang’. In tegenstelling tot Clubhouse, als deze de gegevens zou opslaan, terwijl dat niet nodig is.

  3. Hypotetische vraag, uit nieuwsgierigheid: Zou Clubhouse iets kunnen doen als een waarschuwing geven, zowel in de beschrijving in de play/app-store als bij het starten van de app waarin iets staat als “Let op: als u in Nederland (of EU) woont mag u deze app niet gebruiken. Wij gebruiken uw adresboek om onze dienst mogelijk te maken, maar volgens de regelgeving in uw land mag u uw adresboek niet met ons delen. Om te voldoen aan de wet dient u deze app af te sluiten”?

    Als je dan als gebruiker toch klikt op “Negeren” of de knop “Beste clubhouse u heeft het mis, ik woon helemaal niet in Nederland”, zouden ze er dan op die manier onderuit kunnen komen? Ik vergelijk het een beetje met die websites die een banner laten zien waarop staat “niet toegankelijk voor burgers uit de EU omdat wij weigeren te voldoen aan de GDPR”, waar je met een beetje creativiteit ook langs kan.

      1. Van die baby vindt ik niet zo’n sterk voorbeeld, want dat is een individu. Ook voor jezelf mag je niet bepaalde gevaarlijke middelen kopen (denk aan ethanol verkopen aan alcoholisten.)

        Als een leverancier zich doelbewust afsluit voor een markt, dan heeft de rechter hier geen enkele macht: dan mag het nog zo hard in strijd met het consumentenrecht zijn: hij kan zijn uitspraken niet afdwingen. Als ik er dan voor kies naar dat buitenland te gaan, en het daar alsnog te gebruiken, dan zijn er maar twee opties: je verbiedt die consument naar het buitenland te gaan, of je verbiedt de consument dat product mee terug naar Nederland te gaan — in Internet termen: je legt gewoon een blokkade op bij de grens (of, ook effectief: bij het betaalsysteem).

        Ik denk dat als consumentenrecht veranderd in een nieuw ijzeren gordijn dat uitreizen verbiedt, dat het dan drastisch zijn doel voorbijgeschoten is.

        1. Afsluiten voor een markt mag in principe, maar maandag blog ik over de uitzondering daarop. Alleen dan met een trucje mensen uit die markt zogenaamd “naar het buitenland” laten gaan (“Klik hier om plechtig te zweren dat u niet in Nederland woont, persoon met Nederlands IP-adres en Nederlandse taalinstellingen die Wim heet, Amsterdam als woonplaats in zijn profiel heeft staan en met iDeal betaalt”) gaat hem gewoon niet worden. Als je weg wilt, prima, maar dan wel écht wegwezen.

          1. Dan ligt het er wel dik bovenop ja. Theoretisch dus, stel dat Clubhouse zich niet wenst te houden aan die wet (wellicht is de enige manier waarop ze geld verdienen door het verkopen van die telefoonnummers, dus als ze niet aan je kunnen verdienen dan willen ze ook niet aan je leveren; op zich geen gekke gedachte) en niet wil verkopen aan mensen uit Nederland of de EU. Als ze die app wel aanbieden in de VS, en ik connect via een VPN zodat het lijkt alsof ik uit de VS kom, en ik betaal met PayPal, en heb mijn telefoon ingesteld als “USA” dan heeft Clubhouse al het redelijke gedaan, en kan ik die app gewoon kopen. Als Clubhouse dan mijn adresboek leegslurpt, is er dan een overtreding begaan of niet? Of ben ik zelf dan degene die daarvoor verantwoordelijk is? En hoe zit het als ik het niet wist, en ik was gewoon in de VS op reis en ik betaal altijd al met PayPal (wat ook gewoon legitiem een van de meest gebruikte methodes is)?

            1. Inderdaad, als jij alle moeite doet om te verhullen dat je uit Nederland komt dan lijkt het me moeilijk voor Nederland om Clubhouse te verwijten dat ze hier opereren. De juridische maatstaf kijkt overigens niet naar de klant, maar naar de opstelling van het bedrijf. Vandaar de elementen als iDeal betalen, Nederlandse taalinstellingen, “wij leveren in heel Nederland” als wervende teksten en reclame in Nederlandse bladen en kranten.

              Volgens mij vallen zowel jij als Clubhouse buiten de AVG. Jij omdat je voor strikt persoonlijke doeleinden je adresboek gebruikt (artikel 2 lid 2 sub c AVG), en fictieve-Clubhouse niet omdat ze dan niet “klaarblijkelijk voornemens” zijn om in de EU diensten aan te bieden (artikel 3 lid 2 sub a AVG in combinatie met overweging 23).

Geef een reactie

Handige HTML: <a href=""> voor hyperlinks, <blockquote> om te citeren, <UL>/<OL> voor lijsten, en <em> en <strong> voor italics en vet.