Via Reddit:
Ik werk in de publieke sector bij organisatie die tussen 500-1000 medewerkers heeft. Vandaag werden wij erop gewezen dat wij een herkenbare foto moeten uploaden naar het Microsoft 365 profiel. Dit is namelijk een eis van de organisatie voor alle medewerkers. Verjaardagen mogen bij ons niet organisatie-breed worden gedeeld vanwege de AVG. Kun je dan als organisatie ook een update frequentie eisen?De organisatie noemt zo te lezen geen andere reden dan “dat nieuwe medewerkers dan weten wie je bent.” En ik zie wel hoe een profielfoto in een online dienst daarbij helpt, maar dat vind ik wel erg mager als motivatie om dit ongeclausuleerd verplicht te stellen.
De wat oudere lezers mompelen nu wat over het “smoelenboek”, de contactgegevenslijst met naam en foto. Dat was ook voor die reden ontwikkeld, weten wie Jan of Marie van de boekhouding is. Dat is nooit als reden geaccepteerd onder de AVG (of de Wbp daarvoor).
Het enige nieuwe argument dat ik kan bedenken, is dat we nu veel vaker online interacteren en mensen dus standaard alleen namen en een icoon zien. Marie kom je nog wel eens tegen, of je vraagt het als je binnenloopt. Dit kwamen we in 2019 tegen bij een discussie over je foto in je Slack account:
Ik denk dat we anno 2021 hier toch nog eens op terug moeten komen, nu op afstand werken zo’n groot deel van het werk is geworden en digitale afstandscommunicatiemiddelen dus veel meer een standaardinstrument dan in 2019. Zoals in een van de comments op Reddit te lezen is: “Communiceren zonder iemand te zien is geen enkel probleem; anders dat anders zou zijn dan hadden alle bedrijven inmiddels beeldtelefoon.” En dat is dus grappig, want alle bedrijven hébben beeldtelefonie; is het niet van Zoom of Teams dan wel van Jira, Bluejeans of een van de vele andere videoconferencingtools.Ik ben dus benieuwd hoe jullie hier anno 2024 (alweer bijna ’25 zelfs) over denken?
Arnoud
~2 jaar geleden heb ik het medewerkers nog opgelegd vanwege de herkenbaarheid van de medewerkers onderling: we hadden 2 mensen in één team met praktische dezelfde letters en kleuren in het standaard ‘geen foto’ icoontje.
Eén koos voor een foto van zichzelf, de ander voor een AI-gegenereerde foto van thispersondoesnotexist.com. Mij om het even: het ging om de herkenbaarheid, niet om de persoon.
Dus een icoontje van een cartoonfiguur, kunstwerk of karakter uit een film zou je ook goed gevonden hebben? In dat geval lijkt het me prima, dan is het doel simpelweg om verschillende mensen goed uit elkaar te kunnen houden daar waar een vergissing maken op de loer ligt.
Als werkgever zou ik het op een vorm van IT security gooien. We werken met Microsoft-everything. Phishingaanvallen voorkomen is een prioriteit. Een van de maatregelen die we treffen is erop gericht dat je altijd een visuele check kan doen of de collega die je lijkt te benaderen, ook lijkt op de foto die we je vragen te uploaden.
Ik vertrouw de accounts zonder foto (fusiebedrijf) op magische wijze ook minder. Foto’s zijn toch een door de inner circle te controleren stukje informatie, waar de andere collega’s zich op kunnen verlaten.
Voor mij is het een normaal onderdeel van het werk dat je zichtbaar en representatief gevulde informatie hebt in je account. Een publieke sector werkgever raakt toch ook de buitenwereld?
Voor mij een zeer domme maatregel, ik hoop dat je geen enkele rol in de beveiliging hebt.
Eens, het is domme onderbouwing voor een ontzettend normaal verzoek. Maar welke redenering kun je hanteren om dit soort gesprekken, die toch echt wederzijds afleiden van een volwassen werkrelatie, te voorkomen?
Waarom moet je een ‘redering hanteren’. Het lijkt wel alsof je het een goed idee vindt, maar de AVG werkt niet mee, dus dan gaan we er toch lekker omheen en verzinnen we een geloofwaardige reden.
Maar zo werkt het niet. Eerst moet je weten waarom je het wilt, dan bekijken (en documenteren!) of dat onder de AVG mag, en dan pas implementeren.
Tja dat ligt dan aan jou. Ik heb ook voor een fusiebedrijf gewerkt, en voor mij was het simpel: als ze een intern emailadres/teamsaccount hebben, is het OK. Als het niet OK is, is dat niet mijn probleem maar van het upper management, onder hun supervisie worden immers de accounts uitgegeven.
Een nepfoto toevoegen aan een nepaccount is toch triviaal? Menig persoon gebruikt dezelfde foto op zeg Linkedin, dan is het nul moeite voor een aanvaller om die over te nemen bij de nepper?
Een gebruiker komt bij een beheerder langs met de bekende “kan je mijn password even resetten?”. Misschien heeft het bedrijf pasjes met fotos waar die beheerder om kan vragen, of hij kan om een ID vragen, maar die gebruiker heeft die natuurlijk niet bij zich en het is natuurlijk een spoedgeval. Als die beheerder even snel in outlook/teams kan kijken of de persoon die aan zijn bureau staat lijkt op de persoon op de foto kan er een redelijke compromis tussen security en service gemaakt worden.
Nee. Als een niet bekende gebruiker langs komt zonder bedrijfspasje en zonder id-kaart of rijbewijs met een vraag om een wachtwoord te resetten dan is het antwoord “nee”.
Dan neem je een collega mee die wel een pasje heeft, of je vraag naar de naam van de manager, zoekt die naam op in de telefoongids en belt die met de vraag of die de medewerker wil beschrijven, of zoiets. Maar iemand zonder ID en zonder pasje heeft anders gewoon pech.
Ook voor de fysieke beveiliging van het pand kan het uploaden van een recente foto handig zijn. Als je met je pasje de deur opent en de balie/beveiliger een heel andere foto ziet dan de persoon die naar binnen komt dan is dat natuurlijk een probleem. Nu zou je bij een organisatie van <1000 man nog een groep bij de receptie kunnen hebben zitten die bijna iedereen wel kent, maar hoe groter de organisatie hoe meer dit een issue wordt. Dit is natuurlijk wel een ander verhaal dan het bovenstaande ‘nieuwe medewerkers’ argument.
Mmmm Mensen aan een balie die iedereen die een toegangsmiddel heeft effectief controleren of de juiste persoon binnenkomt…
Als dat effectief gebeurd (en moet gebeuren) en er steekproef controles gebeuren of de balie het controleert, dan ben je al in een “zeldzame” organisatie.
Een goed toegangsmiddel zelf bevat ook geen enkele info waarvoor het toegang geeft en is persoonlijk. Indien wenselijk kan er dan een code gevraagd worden (Iets hebben en iets weten.).
Interessant dat je begint over beeldbellen: Ik ben dit jaar overgestapt van de ene multinational naar de andere en werk nog steeds het grootste deel van mijn tijd vanuit mijn bureaustoel thuis. Ik maak dus regelmatig professioneel gebruik van online (video-)communicatie middelen.
Het lijkt er op dat hoe er gebruik van videoconferenties en beeldbellen gemaakt wordt sterk afhankelijk is van de cultuur binnen het bedrijf. Bij mijn oude werkgever was contact met een collega software developer bijna altijd met ingeschakelde video; bij mijn huidige is het zonder video. Waar het gaat om het delen van het beeldscherm (of vensters) met collega’s zie ik geen groot verschil tussen de oude en nieuwe werkgever.
Voor de publieke sector is het volgende advies relevant (vanaf blz 4)
https://www.adviescollegeicttoetsing.nl/documenten/publicaties/2024/09/02/advies-beter-samen-werken
Vooralsnog is er geen reden om aan te nemen dat MS veiligheid hoog in het vaandel heeft staan. De onduidelijkheid over telemetrie is daar debet aan.
Mijn standpunt is anno 2024 nog ongewijzigd. Ik vind dat je het als organisatie niet kan afdwingen, en dat je dat niet eens zou moeten willen. Dit behoeft enige nuance: Ik vind dat je als organisatie wel kan afdwingen dat mensen “een” herkenbare profielfoto hebben, om misverstanden met mensen met dezelfde initialen te helpen verminderen, maar dan mag dan ook een foto van zijn van een cartoonpoppetje, of een stripfiguur of een karakter uit een film, of wat dan ook, als het maar uniek en herkenbaar is. Een andere uitzondering vind ik zijn personen waarvoor de publieke herkenbaarheid een essentieel onderdeel is van de functie. Denk aan woordvoerders, persvoorlichters en dat soort functies. Ook van iemand die als functie heeft om de social media van een bedrijf te doen mag je verwachten dat die een representatieve profielfoto gebruikt.
Daarbuiten vind ik dat het heel duidelijk aan de medewerkers zelf moet worden overgelaten. Sommige mensen voelen zich er nu eenmaal niet prettig bij, bijvoorbeeld vanwege privacy. Die zorgen zijn niet geheel onterecht; de grote social media platformen doen letterlijk alles waarmee ze denken weg te kunnen komen om zoveel mogelijk persoonlijke gegevens te verzamelen. Dat je niet wil dat Meta je foto gaat gebruiken om je automatisch te taggen in andere foto’s, of dat een of ander AI algoritme op basis van de kenmerken van je foto je plotseling allemaal reclame gaat voorschotelen is niet zo vreemd.