Auteur: Arnoud Engelfriet

About Arnoud Engelfriet

Website::Subscribe Feeds

Mag een school zijn informatiesystemen wel uitbesteden?

Geplaatst op in Privacy, 20 reacties

Een lezer vroeg me:

De school van mijn dochter gaat gebruik maken van het leerlingvolgsysteem ParnasSys. Dit is een SaaS-dienst, waarbij persoonsgegevens worden verzameld. Maar ik kan nergens vinden dat het bedrijf dit heeft aangemeld bij het College bescherming persoonsgegevens! Mag dit dan wel?

Hoofdregel bij de Wet bescherming persoonsgegevens is dat je je verwerking moet melden bij de toezichthouder. Ja, altijd. Maar omdat je dan inderdaad helemáál knettergek wordt van die wet, is er een serie vrijstellingen opgenomen. Zo hoef je een intranet niet (meer) te melden, mits je maar binnen de regels van de vrijstelling blijft.

Misverstand daarbij is trouwens dat “onder de vrijstelling vallen” betekent dat je legaal bent. Je hebt echter nog stééds adequate toestemming of een andere grondslag nodig.

Er is een vrijstelling voor leerlingen, deelnemers en studenten aan een onderwijsinstelling waar een school gebruik van kan maken. Ze mogen de gegevens dan bv. alleen gebruiken voor het onderwijs, beschikbaar stellen van leermiddelen, innen van lesgeld, het doen uitoefenen van accountantscontrole, het publiceren op de eigen website en zo nog een paar. Wil een school een Facebookpagina maken met leerlingfoto’s erop, dan vallen ze daarmee buiten de vrijstelling. Die pagina moet dan worden aangemeld.

Nu is het bedrijf achter ParnasSys geen school, dus zij mogen zich niet op de vrijstelling beroepen. Maar in deze situatie maakt men gebruik van de ‘bewerker’ constructie. Wanneer een school iemand inhuurt die in hun opdracht persoonsgegevens verwerkt, en de school bepaalt met welk doel, dan is het nog steeds de school die verantwoordelijk is. En dat is precies wat er bij SaaS-dienstverlening gebeurt. De school bepaalt dat ze een leerlingvolgsysteem wil en kiest welke functionaliteit ze daarvoor wil inzetten. ParnasSys doet zelf niets – als het goed is.

De wet schrijft voor dat je dan een bewerkersovereenkomst moet sluiten met de bewerker. Hierin leg je vast wat hij wel en niet mag doen, welke beveiligingsmaatregelen hij moet nemen, of je mag auditten en hoe je om wilt gaan met schadeclaims van benadeelde ouders of leerlingen. Dit gebeurt echter maar zelden bij SaaS-diensten.

Update (20:32) het bedrijf achter ParnasSys reageerde in de comments:

ParnasSys heeft een bewerkersovereenkomst met de gebruikers en die voldoet ook aan de richtlijnen van OC&W met betrekking tot de leerlingadministratie en het leerlingvolgsysteem.

Verder hebben wij een speciale demo-school met niet-bestaande voorbeeldleerlingen, maar wel met realistische data. Je ziet dus mooie grafieken en gewone namen, maar die namen zijn compleet gefingeerd. Niemand van onze medewerkers presenteert vanuit gegevens van een bestaande school, als we daar al bij zouden kunnen. Je koopt toch geen pakket waar bij de presentatie al privacy-grenzen overschreden worden?

Het echte probleem zit hem volgens mij meer in de mogelijkheden, waar veel scholen niet goed bij stilstaan. Er zijn systemen waarbij ouders de geboortedata van álle klasgenoten kunnen zien. Is dat erg, is dat wenselijk? Ik weet het niet, maar zelden is dit een actieve beslissing, dit “doet het systeem gewoon” en dan wordt er achteraf een reden verzonnen waarom het oké is (“dat weten ze toch allang van elkaar”). Of er komen online cijferlijstinzagedingen, waar we ooit een aardige discussie over hadden. Wil je wel dat ouders alles kunnen zien wat er op school gebeurt?

Arnoud

Wanneer is een gerechtelijke uitspraak nu jurisprudentie?

Geplaatst op in Informatiemaatschappij, 11 reacties

us-supreme-court-rechtbank.jpgMet enige regelmaat krijg ik vragen over wanneer iets nu jurisprudentie is. Daarmee bedoelen ze dan meestal, wanneer is een vonnis bindend en mag ik erop vertrouwen dat de uitspraak ook voor mij geldt. Dat is een moeilijke vraag, maar dat komt met name omdat in vonnissen zelden zúlke harde lijnen staan dat ze eenvoudig naar elke andere situatie door te trekken zijn.

“Rechtspraak” is de meest algemene term om aan te geven wat ze op de rechtbank allemaal doen. De rechtbank hoort de partijen en beslist dan over de zaak, dat is het vonnis. Een vonnis noemt de feiten die de rechtbank heeft vastgesteld en de wetsartikelen die daarmee zijn overtreden, plus de straf (of schadevergoeding of andere consequentie) die daarop staat. Zo kan in een vonnis worden bepaald of iemand eigenaar is geworden, een schade moet vergoeden of iets anders moet doen (of juist nalaten).

De term ‘vonnis’ wordt in de gewone spreektaal gebruikt voor elke uitspraak van een rechter, maar juristen spreken alleen van een ‘vonnis’ bij een rechtbank. Uitspraken van hoger-beroepsrechters heten arresten. En in sommige procedures wordt gesproken van een ‘beschikking’, met name in het familierecht zie je dat vaak.

In theorie is een latere rechter niet verplicht vonnissen of arresten van eerdere rechters na te volgen. (Dit geldt in common-law landen zoals Engeland en de VS wel, vandaar de rechtbankserie-trope van de hele nacht in een juridische bieb zoeken naar die ene zaak uit 1881 waar in jouw voordeel werd beslist over iets vergelijkbaars. Dat is daar instant win maar bij ons niet. Een rechter mág afwijken, hoewel hij dat niet vaak zal doen, zeker niet bij een uitspraak van de Hoge Raad. De truc daarbij is dat er altijd wel een gaatje te vinden is waarom deze zaak anders is dan die uitspraak uit 1881.

De term ‘jurisprudentie’ kan worden gebruikt voor “alle gerechtelijke uitspraken”, maar meestal zie je de term bij uitspraken waarin iets belangwekkends wordt bepaald, en wel op een juridisch goed doordachte manier. Zeg maar als er een regel wordt geformuleerd waar je in de praktijk mee kunt werken, die helderheid brengt op een punt waar we dat nog niet hadden. Het arrest van de Hoge Raad over virtuele goederen, maar dat recente vonnis over het hacken van de mailbox van je werkgever is zó specifiek dat dat geen jurisprudentie te noemen is. Die uitspraak over tweeten als verwerken zóu jurisprudentie kunnen zijn, het is een principiële regel die wordt geformuleerd maar omdat de impact nogal verstrekkend is, zou ik daar wat huiverig voor zijn. En soms vinden we uitspraken zó gek dat we er maar liever niet meer over praten, zoals dit Europese arrest waar je uit kunt halen dat je op grond van de privacy nooit gefotografeerd mag worden.

Vaak komt bij jurisprudentie het erop aan hoe een bepaald onduidelijk stukje wet moet worden ingevuld, of hoe een wet moet worden toegepast op een situatie die niet bestond toen de wet werd gemaakt. Daar hebben rechters een aantal hulpmiddelen voor.

Hoofdregel is natuurlijk wat de wet zelf zegt, eventueel met een (juridisch) woordenboek erbij om te kijken wat een term betekent. Juristen noemen dit de grammaticale methode, hoewel je meestal niet echt naar de grammatica zelf kijkt. Een voorbeeld van deze methode is dat 4chan-arrest, waarbij het Gerechtshof bepaalde dat je geen computervredebreuk op een router kunt plegen omdat dat geen ‘computer’ is.

Daarnaast is er nog de wetsgeschiedenis: wat was de bedoeling van de wetgever toen hij dit schreef. Met die interpretatiemethode bepaalde het Gerechtshof Arnhem ooit dat bedrijven zich nooit mogen beroepen op reflexwerking bij colportage: bij invoering van de Colportagewet was expliciet bepaald dat deze alleen voor consumenten bedoeld was. Bij internetrecht wordt vaak gekeken naar de wetsgeschiedenis, omdat er weinig anders is. (Als ik een euro had voor elke keer dat ik die bijzin over een toezichthouder op een chatbox voorbij heb zien komen in discussies rond aansprakelijkheid van allerlei partijen, dan had ik nu een dag minder kunnen werken.)

Een variant hierop is de richtlijnconforme uitleg: dan ga je de Nederlandse wet zo uitleggen dat hij klopt met de Europese Richtlijnen. Richtlijnen zijn geen wet maar een instructie aan de wetgever: pas uw wet aan zodat ‘ie hierop neerkomt. Laat de wetgever dat na, dan moet de rechter dit proberen te repareren door de wet te gaan oprekken of masseren totdat er iets uitkomt dat wél matcht met de Richtlijn. Voorbeeld is het doodverklaren van de persexceptie: in onze wet staat dat overnemen van “nieuws- en gemengde berichten” door de pers altijd mag, maar de Europese Auteursrechtrichtlijn bepaalt dat zo’n overname altijd geblokkeerd moet kunnen worden met een voorbehoud. Dus kwam het Hof met de interpretatie van de wet dat die zin alleen ging over berichten waar geen auteursrecht op rust. Ehm. Tsja.

(Als een wet letterlijk in strijd is met een Richtlijn dan is richtlijnconforme uitleg onmogelijk. Dan heb je pech en geldt gewoon de Nederlandse wet. Wel kun je de Staat aanklagen als je dan schade hebt geleden omdat je eigenlijk de aangepaste wet had moeten hebben.)

Ook kan een rechter bij een wet die uit een Europese richtlijn komt, of die elders in Europa ook bestaat, kijken wat andere Europese rechters al hebben gezegd. Dan kan een Duits arrest dus jurisprudentie zijn. Wel moet je daarbij altijd goed oppassen of het werkelijk dezelfde wet is en of er geen rare typisch buitenlandse dingen in zitten waardoor het bij ons anders uit zou pakken. Zo vinden ze in Duitsland een particulier geen tussenpersoon met beperkte aansprakelijkheid.

Een beetje vergelijkbaar is de anticiperende methode, waarbij je gaat invullen op basis van wat de wet gaat worden. Zo is er momenteel in de Wet koop op afstand geen uitzondering voor ‘hygiëne’, dus je mag een onderbroek passen en daarna terugsturen als ‘ie niet bevalt. De nieuwe Europese richtlijn hierover kent wél zo’n uitzondering, en de rechter kan dus bij een rechtszaak vandaag bepalen dat het retourneren van ondergoed niet toegestaan is. Uiteraard moet de wet dat wel toestaan: stel de wet rond verjaring wordt strenger, dan mag de rechter niet nu alvast de termijnen uit de nieuwe wet toepassen om te bepalen dat vandaag iets verjaard is.

Met de systematische methode ga je na wat de bedoeling is gezien de context van de wet: waar staat hij in het wetboek, wat voor functie hebben de naburige artikelen. Je kunt ook vergelijken wat de wet in andere situaties bepaalt. Zo werd het stelen van software onmogelijk verklaard in de jurisprudentie, omdat we hierover al in de Auteurswet iets geregeld hebben. Het is een beetje gek als iets tegelijkertijd inbreuk op het auteursrecht is en daarnaast ook nog eens diefstal.

Juristen kennen daarnaast ook de rechtshistorische interpretatiemethode: dan ga je niet alleen kijken naar wat er bij deze wet bedoeld was, maar ook hoe de wet binnen de maatschappij en andere wetgeving past. Virtuele goederen steelbaar verklaren is hiermee verdedigbaar, want diefstal van goederen is niet de bedoeling binnen de historie van de wetgeving rond eigendom.

Tevens is er nog de de teleologische methode, waarbij je kijkt naar het doel van de wet. Daarmee kun je randgevallen er al of niet onder laten vallen. Zo werd ooit beslist dat een cashback-constructie voor boekenkopers geen strijd met de vaste boekenprijs opleverde, want zó breed was die wet niet bedoeld.

Uiteindelijk is er echter nooit één methode die per definitie juist is. De eiser kan menen dat de wetshistorie duidelijk in zijn voordeel is, en de gedaagde kan wijzen op de systematiek die pleit voor zijn standpunt, plus er is ondertussen een Europese richtlijn die óók zijn standpunt onderstreept. En als al het andere faalt, is er altijd nog de redelijkheid en billijkheid, oftewel “ja maar nou kom óp zeg” en zijn broertje “dit kan toch niet wáár zijn”.

Wie nog meer leuke voorbeelden kan vinden van jurisprudentie die bij deze voorbeelden past: ik hoor het graag!

Arnoud

Je beroepen op je auteursrecht als vrijwilliger bij een vereniging, kan dat?

Geplaatst op in Intellectuele rechten, 22 reacties

Een lezer vroeg me:

Bij onze vereniging stapt de webmaster met grote ruzie op een geeft te kennen dat hij de huidige site van de vereniging die hij ontwikkeld heeft, binnen een termijn van 3 weken offline zal halen. Hij beroept zich op het auteursrecht. Nu is er nooit iets op papier geregeld maar kan dit zomaar? Wij zijn dan behoorlijk onthand!

Dit soort ruzies lijken met enige regelmaat in vele verenigingen zich voor te doen, ik schat dat ik elke maand wel een mail van deze strekking krijg.

Natuurlijk, het beste is om expliciet af te spreken wat de vereniging wel en niet mag en wat het lid wel en niet moet maar lang niet iedereen denkt daaraan. Of, de klassieker, je bent lid omdat je de vereniging een warm hart toedraagt en dan ga je toch geen kil-zakelijke voorwaarden stellen? Tsja.

Gelukkig werkt de wet niet zó keihard dat als je weggaat je zomaar al je werk ongedaan mag maken. Samenwerkende partijen moeten zich in het rechtsverkeer gedragen naar redelijkheid en billijkheid, zo staat in de wet. En als er dan niet expliciet iets is afgesproken, dan moet je naar diezelfde redelijkheid en billijkheid kijken om te bepalen wat er dan impliciet afgesproken zou kunnen zijn.

Je beroepen op auteursrecht klinkt natuurlijk heel stoer maar ook dát valt onder die redelijkheid en billijkheid. Als je een vereniging toestaat je werk te gebruiken, en je wéét dat ze sterk afhankelijk zijn van jouw code, dan mág je eenvoudigweg niet zomaar die toestemming intrekken. Dat is niet redelijk, punt. Ook ineens een licentievergoeding gaan vragen mag niet. Dat had je dan vooraf moeten melden. (Natuurlijk mag je wél gaan piepen als de vereniging ineens iets heel anders met je code doet, bijvoorbeeld het als commercieel pakket gaat verkopen aan andere verenigingen.) discussies

Bij social media accounts van de vereniging geldt een vergelijkbare situatie.

Verder kan een vereniging zich mogelijk beroepen op artikel 8 Auteurswet:

Indien eene openbare instelling, eene vereeniging, stichting of vennootschap, een werk als van haar afkomstig openbaar maakt, zonder daarbij eenig natuurlijk persoon als maker er van te vermelden, wordt zij, tenzij bewezen wordt, dat de openbaarmaking onder de bedoelde omstandigheden onrechtmatig was, als de maker van dat werk aangemerkt.

Als dus op de site staat “© 2013 Vereniging X” dan is de vereniging de auteursrechthebbende, ondanks dat een vrijwilliger het werk maakte. Staat de naam van de vrijwilliger erbij, dan geldt deze regeling niet. En ook als de vereniging dit vermeldt terwijl uitdrukkelijk was afgesproken dat ze dit níet mogen vermelden, dan geldt deze regeling niet.

Arnoud

Moet een forumbeheerder foto’s weggooien als een gebruiker daarom vraagt?

Geplaatst op in Privacy, Uitingsvrijheid, 23 reacties

Een jaar geleden blogde ik over de vraag wat een forumbeheerder weg moet gooien als een (ex-)lid daarom vraagt. In de comments vroeg een lezer zich af wat dat nu specifiek voor foto’s betekent. Hij had een lid van zijn forum geband, en die eist nu dat al zijn foto’s van het forum verwijderd worden. Mag het forum dit laten staan, moeten ze de foto’s anonimiseren of is verwijdering nu geboden?

Op grond van de Wet bescherming persoonsgegevens (de “privacywet”) heb je het recht om te verzoeken dat je naam en andere persoonsgegevens uit bestanden worden verwijderd, als deze niet meer “ter zake dienen” zoals de wet dat noemt. Forumberichten en foto’s die daaraan hangen zijn ook persoonsgegevens, omdat ze gekoppeld zijn aan je account. Ook als je echte naam er niet bij staat en ook als je een vaag Hotmailaccount hebt gebruikt en een proxy zodat niemand je IP-adres weet.

De algemene regel die ik vorig jaar blogde, geldt bij foto’s net zo goed als bij tekstuele bijdragen. Een bijdrage moet weg, tenzij er een aantoonbare noodzaak is die zwaarder weegt dan de privacy. Dat zal bij forums de vrijheid van meningsuiting zijn, meer specifiek het belang om een compleet en begrijpelijk archief te kunnen publiceren. Kort gezegd betekent dit dat je niet kunt zeggen “mijn privacy, weghalen”, maar trouwens ook niet dat de beheerder altijd mag zeggen “vrijheid van meningsuiting, het blijft staan”. Er moet een balans worden gevonden tussen de belangen van beide partijen.

Bij forumbijdragen betekent dat in de praktijk dat je berichten moet anonimiseren maar ze niet hoeft te verwijderen. Uitzondering zou een bericht zijn dat inhoudelijk van alles vertelt over de plaatser, bijvoorbeeld een voorstelbericht of een persoonlijke onthulling of berichten over iemands medische situatie bijvoorbeeld. Dergelijke berichten moeten weg op verzoek, behalve in héél uitzonderlijke gevallen waarin de nieuwswaarde zó groot is dat weghalen objectief gezien echt onacceptabel zou zijn. (Ik ben daar nog geen voorbeelden van tegengekomen.)

Anonimiseren van een foto is moeilijker. Moet je dan iemand onherkenbaar maken met een balkje of blurcirkel rond zijn gezicht? Moet je hem eraf knippen?

Bij foto’s roept iedereen natuurlijk ook “auteursrecht”. En ja, dat heeft de plaatser op zijn foto’s. Maar dat heeft hij óók op zijn tekstuele berichten. Door deze te plaatsen heeft hij een licentie (gebruiksrecht, toestemming) gegeven aan de forumbeheerder, en die licentie is niet zomaar in te trekken. Niet bij teksten en niet bij foto’s.

Als in de gebruiksvoorwaarden* komt te staan dat de licentie eeuwigdurend is, dan is die discussie eigenlijk meteen gepareerd. Eeuwigdurend is eeuwigdurend. Maar ook als het er niet staat, is niet gezegd dat de foto’s weg moeten bij beëindiging van de gebruiksovereenkomst. Volgens de Hoge Raad

Als wet en overeenkomst niet voorzien in een regeling voor opzegging, dan is een duurovereenkomst voor onbepaalde tijd in beginsel opzegbaar. De eisen van redelijkheid en billijkheid kunnen meebrengen dat opzegging slechts mogelijk is indien daarvoor een voldoende zwaarwegende grond bestaat.
En die zwaarwegende grond is dan de vrijheid van meningsuiting, waarbij je dan een zelfde soort afweging moet maken als bij de privacywet hierboven. Maar de afweging is dan tussen de auteursrechtelijke belangen van de fotograaf en het belang bij de licentie van het forum. En ik kan me eigenlijk geen auteursrechtelijke belangen voorstellen. Heel misschien als de fotograaf intussen de rechten verkocht heeft of een exclusieve licentie aan iemand heeft beloofd, maar zelfs dan zou ik zeggen, dat is dan zíjn probleem dat hij nu in de knoop komt.

Arnoud<br/> PS: ik durf geen advertentielink meer te zetten naar de generator want de vorige keer dat ik een ADV in de tekst opnam, wilde bijna niemand meer reageren. Was het zó vervelend om die link te zien? Of was het gewoon een saai onderwerp?

Hacken van mailboxen tijdens een arbeidsconflict

Geplaatst op in Ondernemingsvrijheid, Privacy, 21 reacties

Het zijn geen zinnen die je als werknemer over jezelf wil lezen: “Hierbij even een paar ideeën over een mogelijke ontslag procedure/tactiek.”, “Ik denk wel dat het verstandig is … of wij dit goed kunnen uitmelken ….”, :”nuclere optie. De bonnen waar contant geld is verdwenen uitspitten en tegen haar gebruiken.”, “haar houding met de verhuizing uitbuiten om haar demotivatie aan te tonen.”, “Wij moeten een pestcampagne opzetten als zij weer komt werken.”, “nieuwe werkuren, … Hierdoor komt ze flink in de file te staan, als ze pas om vijf uur gaat.”. Ja, gezellige boel bij inkoopcentrum Artel. Maar hoe kwam deze werkneemster dit te weten? Eh, door het privémailaccount van de directeur te hacken. Nee, dat is óók niet erg gezellig. Dus, eh, oef, ga er maar aanstaan als kantonrechter.

Uit het vonnis blijkt dat er nogal wat mis was in de arbeidsverhouding, ahem. De directe aanleiding voor het ontslag op staande voet was een accountantsrapport waaruit bleek dat er 10 contante betalingen voor totaal zo’n 2800 euro niet goed geadministreerd waren. De ondertoon daarbij was dat het geld in eigen zak gestoken zou zijn, maar de formele grond was een rommelige administratie en dát is toch echt niet genoeg voor een staandevoetje.

De tweede reden was het hacken van zowel de privé als zakelijke mailbox van de directeur. De werkneemster had namelijk enkele mailcorresponenties van die directeur over haarzelf als bewijs bij de dagvaarding gevoegd, en gaf desgevraagd ook toe dat ze die via hacken te pakken had gekregen. Maar zij vond dat dat mocht, omdat de inhoud relevant was voor de rechtszaak. De inhoud was immers niet echt fris, zie de citaten uit de eerste alinea. En als je weet dat je directie dát over je zegt, dan moet je dat toch als bewijs kunnen inbrengen dat je ontslag onterecht is.

De rechter wil echter de privémails niet meenemen, omdat die privé zijn. Tot de zakelijke mails had de werkneemster op zich toegang vanuit haar functie, dus dat hij die dan inbrengt in een rechtszaak is nog wel te rechtvaardigen. Maar bij een privémailbox, ook die van de directeur, gaat dat niet op:

Het handelen van [verweerster] in deze kan worden bestempeld als een inbreuk op de privacy van de heren [X en Y], danwel een schending van het briefgeheim en wordt niet alleen in strijd geacht met hetgeen van een goed werknemer mag worden verwacht, maar ook met de algemeen gangbare fatsoensnormen.

(Nee, er zit geen briefgeheim op e-mail. Laten we maar doen of de rechter bedoelde op de equivalente fatsoensnorm die geldt voor e-mail.)

Als derde waren er nog wat bestellingen gedaan door de werknemer die dubieus overkomen: een computer die zo te zien op de zaak was besteld en toen privé doorgekocht, en een televisie/internet/telefonie-abonnement waarvan de werkneemster stelde dat dit nodig was om thuis te kunnen werken. Omdat dat enige tijd geleden was gebeurtgebeurd, ziet de rechter niet echt meer mogelijkheden om nu snel uit te zoeken hoe dat zit. En bij een kort geding blijven zulke zaken dan buiten beschouwing.

Alles bij elkaar was het gedrag van de werkneemster “ernstig verwijtbaar” maar “anderzijds heeft Artel zich als werkgever ook niet onbetuigd gelaten in deze kwestie.” En dat mag best meewegen, óók als dat bewijs alleen volgt uit gestolen e-mails. Want bij een rechtszaak zoals deze is álles bruikbaar als bewijs, ook door diefstal of inbraak verkregen dingen. Een eventuele aangifte en strafvervolging wegens computervredebreuk kan natuurlijk nog volgen maar staat los van de bruikbaarheid van het bewijs. Het is hier geen Amerikaanse rechtbankserie.

Desgevraagd gaf de directeur aan een en ander te betreuren, hij had het anders moeten formuleren allemaal. Waarop de rechter droogjes opmerkt:

Niet duidelijk is geworden of [Y] de inhoud van de e-mailberichten betreurt, of de commotie die naar aanleiding van die e-mailberichten is ontstaan.

Omdat ook de werkgever het nodige te verwijten is, en de werkgever bovendien bij het disfunctioneren geen verbetertraject is opgestart, krijgt de werkneemster uiteindelijk € 10.000 mee als ontslagvergoeding. Maar het bedrijf mag er ook voor kiezen haar aan te houden. Nee, dat zal de boel er niet gezelliger op maken.

Arnoud

Tweeten of hyperlinken naar persoonsgegevens is verwerking

Geplaatst op in Privacy, 16 reacties

verkeerslicht.jpgIk mag het weer zeggen: OMGWTFWBP. Het publiceren van een tweet of het versturen van een e-mail met daarin een hyperlink naar een pagina waar de naam en kenteken van een auto-eigenaar worden vermeld, is verwerking van die persoonsgegevens, zo meldde Webwereld. In een beschikking over een inzageverzoek bepaalt de rechtbank in Den Bosch dat de site Veilingdeurwaarder inzageverzoeken onder de Wbp moet honoreren, óók voor de mails en tweets over advertenties met daarin persoonsgegevens.

Op Veilingdeurwaarder kunnen deurwaarders advertenties plaatsen ter aankondiging van de executoriale verkopen waarmee zij zijn belast. Per e-mail of op Twitter kun je zien wat er zoal bij komt. Bij verkopen van auto’s worden automatisch de RDW gegevens opgehaald. Plus, naam en nummerbord van de eigenaar worden erbij vermeld in de advertentie. Dat maakt de advertentie een persoonsgegeven inderdaad.

Op grond van de Wbp had de eigenaar van een daar te koop staande advertentie inzage gevraagd in wat Veilingdeurwaarder deed met zijn persoonsgegevens. Met name wilde hij weten wie allemaal die mail had ontvangen en wie de tweet zou hebben gelezen, want ook dat valt onder het wettelijk inzagerecht – dat je altijd hebt als iemand gegevens over je verwerkt (behalve bij journalistieke verwerkingen).

Veilingdeurwaarder verwees naar de deurwaarder die de advertentie had aangeleverd, maar de rechter wijst ze terecht: zíj publiceren dus zíj zijn de verantwoordelijke, in de zin van de Wbp. Dit mede omdat men zelf gegevens verrijkte met RDW-data. Niet als verweer werd gevoerd dat zij slechts een platform zijn, en dus ex 6:196c BW niet aansprakelijk zijn voor wat gebruikers (deurwaarders) plaatsen. Ik weet niet of dat opzettelijk was, maar eerder is bepaald dat die beperking van aansprakelijkheid niet geldt bij publicatie van persoonsgegevens.

En hier is dan de omgwtfwbp:

De rechtbank is tevens van oordeel dat het verzenden van een e-mail of tweet met daarin een directe link naar de advertentie waarin de persoonsgegevens zijn vermeld het verwerken van persoonsgegevens oplevert.

En dat omdat de Wbp ‘verwerken’ definieert als “elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens”. Zeggen “ze staan dáár” valt er in een brede interpretatie inderdaad onder. En de Wbp ís zo breed bedoeld. Alles, echt alles, over persoonsgegevens moet eronder vallen. Dus het is niet zo gek dat die rechter tot deze interpretatie komt.

Het levert wel héél veel praktische problemen op. Want wat houdt dat eigenlijk in, inzage in een tweet? Het recht van correctie op een mailinglijst? Moet ik bijhouden wie die tweets leest, hoe dóe ik dat eigenlijk?

Er zit echter een veiligheidsklep in de Wbp: je hoeft geen gedetailleerde inzage te geven wanneer dat juist ándermans privacy zou schenden:

De rechtbank is met Veilingdeurwaarder van oordeel dat Veilingdeurwaarder niet gehouden is naam- en adresgegevens te verstrekken van alle ontvangers van de nieuwsbrief omdat daarmee immers een verregaande inbreuk op de privacy van die ontvangers zou worden gemaakt. Naar het oordeel van de rechtbank kan Veilingdeurwaarder volstaan met het verstrekken van categorieën van ontvangers, welke mogelijkheid uitdrukkelijk is toegestaan op grond van artikel 35.

Je mag dus volstaan met melden dát je het naar je volgers hebt getweet en dat je mailinglijst met 3000 ontvangers ook een link heeft gekregen. Maar dat antwoord moet je wel geven als er naar wordt gevraagd. Ik ben benieuwd hoe veel organisaties niet in staat zijn dat antwoord te produceren. Zou een profielensite weten op welke manier mijn profiel bekeken is en/of hoe de link daarnaar is gedeeld door derden?

Intrigerende vraag nog: moet je nu je tweets beveiligen tegen misbruik? Ook beveiliging moet immers onder de privacywet.

Arnoud

Argh, wéér een popup – “D66 wil bijsluiter voor datagraaien in de cloud”

Geplaatst op in Privacy, Security, 15 reacties

waarschuwing-webwereldHier krijg ik búitengewoon veel jeuk van. Aanbieders van clouddiensten die niet gevestigd zijn in Europa moeten verplicht en compleet duidelijk maken dat data toegankelijk kan zijn voor geheime diensten en onderworpen aan surveillance door buitenlandse autoriteiten, meldde Webwereld gisteren. NEE. Gewoon NIET. Het wérkt niet, mensen om toestemming vragen nadat je ze een door een jurist opgestelde tekst hebt geïnformeerd over de mogelijke risico’s.

Ja, de cloud is eng en de Amerikaanse al helemaal. De NSA tapt het hele internet, en de FBI kan met geheime gag orders en zonder gerechtelijk bevel een heel datacenter leegtrekken op het moment dat je derde voornaam twee letters gemeen heeft met iemand uit een terroristendatabank. Dus als je als politicus zegt, hier gaan we wat aan doen, dit kan zo niet langer: helemaal prima. (Of de angst reëel is, is een andere discussie.)

Maar als je zegt, de VS doen dingen met persoonsgegevens die in strijd zijn met de wetgeving rond persoonsgegevens en de fundamentele grondrechten die wij in de Europese Unie respecteren, dan moet je dus zeggen: blijf met je rotpoten van onze persoonsgegevens af. Oftewel dan verbied je Europese hosters/dienstverleners om met de Amerikaanse cloud te werken.

Vind je dat dat óók weer wat te ver gaat, dan ga je met de Amerikanen bakkeleien dat die hun wetten moeten aanpassen. Of je zegt, het gaat in de praktijk prima dus we draaien lekker totdat we horen dat het misgaan en dán gaan we de boel verbieden. En dat signaal kun je eventueel ook naar Washington sturen.

Wat je alleen vooral NIET moet gaan doen is op dat moment zeggen: weet je wat, we gaan de burger opvoeden dat ze moeten beseffen dat buitenlandse veiligheidsdiensten mogelijk meekijken en dat de FBI niet gebonden is aan onze Grondwet. En al helemáál niet met een popup. Want dat wérkt eenvoudig niet – zie de cookiewet.

Iets juridischer komt het erop neer dat ze in de Privacyverordening wil opnemen dat doorgifte aan een buitenlandse (lees: niet-EU) cloudprovider alleen mag met aparte toestemming van de betrokkene (argh, popup) en dan ook nog eens

after having been informed in clear, unambiguous and warning language through a separate and prominently visible reference to:
– the possibility of the personal data being subject to intelligence gathering or surveillance by third-country authorities; and
– the risk that the protection of personal data and fundamental rights provided by Union and Member State law cannot be guaranteed, despite the legal basis of the transfer

Het idee van “leg mensen uit hoe het juridisch zit en dan maken ze een geïnformeerde keuze” is een idealistisch maar buitengewoon irreëel denkbeeld als we het hebben over de gemiddelde internetter. Hoe kan ik nu vrijwillig en zinnig de afweging maken, ja, dat is prima dat de CIA en de NSA mij gaan profilen en de FBI mijn data besnuffelt? Wat betékent dat? Ga ik op de No Fly lijst als ik blogs als deze plaats op WordPress?

Ik snap hier wérkelijk helemaal niets van. Als er iets is dat de privacywetgeving en het concept “privacy is belangrijk” kapot maakt dan is het wel het idee “als we maar verplicht stellen dat iedereen het mensen maar uitlegt, dan komt het goed”. Nee. Mensen zijn niet bezig met privacy, wíllen daar niet mee bezig zijn; zij vertrouwen erop dat bedrijven zich netjes gedragen en dat anders de overheid optreedt.

In heel uitzonderlijke gevallen waarin een gemiddelde(!) burger redelijkerwijs zowel ja als nee zou kunnen zeggen, kan ik me nog iets voorstellen bij een aparte opt-in. Maar dat behoort echt een uitzondering te zijn en te blijven, en niet de hoofdregel die ie in de privacywetgeving is geworden. Net als bij cookies. Of je zegt, cookies en tracking zijn te eng voor woorden, verbieden die hap. Of je zegt, de technologie werkt maar er is ruimte voor misbruik – en dan verbied je het misbruik. Maar je gaat niet zeggen “dat misbruik is eigenlijk wel oké als mensen op ja klikken”.

“U gaat dood van deze sigaret” werkt al maar nauwelijks. Dus waarom zou “Mogelijk dat uw fundamentele rechten zoals gegarandeerd door het EU Handvest niet gewaarborgd worden ondanks dat de overdracht legaal is” dat dan wel zijn? (En ja dat gaat de tekst zijn, laat dat maar aan de nu-cookieverklaring-schrijvende juristen over.)

Argh. Echt.

Arnoud

De legaliteit van dashcams

Geplaatst op in Informatiemaatschappij, 71 reacties

dashcam-ruslandHet zal wel met die meteoriet in Rusland te maken hebben die massaal met dashcams is gefilmd, maar ik werd gisteren door drie journalisten gebeld over de vraag of dashcams in Nederland legaal zijn. Je mag toch immers niet zomaar filmen aan de openbare weg? Op mijn vraag waarom hun cameraploegen dat dan wél mogen, krijg ik nooit echt een eenduidig antwoord, maar dat terzijde. Want ja, ja mag wel degelijk zomaar filmen aan de openbare weg.

Filmen aan de openbare weg is deel van de vrije nieuwsgaring, en die geldt voor burgers met een consumentencameraatje net zo hard als voor RTL Nieuws met een twintig man sterke cameraploeg. En ja, ook als er mensen in beeld gebracht worden en ook als die zeggen dat ze dat niet willen. Bij publicatie krijg je mogelijk wél te maken met privacywetgeving.

Er is aparte wetgeving tegen aangebrachte camera’s. Kort gezegd moet bij een camera die de openbare ruimte filmt, duidelijk zijn gewaarschuwd. Vandaar al die bordjes met “Let op cameratoezicht”. Maar die regel geldt alleen voor “aangebrachte” camera’s. Of een dashcam telt als “aangebracht”, kun je je afvragen. Een camera op de vensterbank neerzetten is namelijk “aangebracht”, ook al zit ie niet nagelvast.

Afgaande op wat er bij invoering van de wet is gezegd denk ik dat een dashcam niet hieronder valt. De bedoeling was om structureel cameratoezicht aan te pakken, oftewel camera’s die men ergens ophangt of neerzet en die de hele dag die ene plek filmen. Een camera in de hand was het voorbeeld van “niet aangebracht”. Een camera op je hoofd of op je dashboard lijkt me zó vergelijkbaar daarmee.

Bij publicatie van het filmpje loop je mogelijk tegen portretrechten aan. Wie herkenbaar in beeld is, kan immers met een beroep op zijn privacy of een ander redelijk belang bezwaar maken tegen publicatie. (Niet tegen het maken zelf, alleen tegen publicatie.) Je kunt dat oplossen door mensen uit te blurren of door een betoog waarom het herkenbaar zijn belangrijker is dan de privacy. Enkel “hij beging een verkeersovertreding” is daarbij niet genoeg, dus zo’n betoog zal zelden slagen maar je kunt het proberen. Als Koos Spee je afsnijdt, kom je er wel mee weg denk ik.

Een filmpje van een auto zonder herkenbare bestuurder valt niet onder het portretrecht, want een auto is geen portret. (Ja Wim, wel als je een foto van jezelf groot op de achterruit plakt maar dan krijg je weer discussie over het zichtveld vanuit de auto.) Wél kan bij zo’n filmpje het nummerbord herkenbaar in beeld zijn, en een nummerbord is een persoonsgegeven. Daarmee kan het filmpje onderworpen zijn aan de Wet bescherming persoonsgegevens. Ja, ook als er verder geen naam bij staat en ook als er geen doorzoekbaar bestand van gemaakt is.

Onder de Wbp kun je publicatie van een nummerbord alleen rechtvaardigen met een beroep op de “dringende noodzaak”. Oftewel, sorry ik moet wel want dit tonen is belangrijker dan jouw privacy. En dat is ongeveer dezelfde discussie als bij het portretrecht, ik denk niet dat je daar snel het wint van de privacy. Tenzij je zegt, een nummerbord is een stuk anoniemer dan een portret dus de inbreuk is kleiner én de verkeersovertreding heeft een redelijke nieuwswaarde.

Beelden van dashcams zijn overigens bruikbaar als bewijs. Je mag er dus mee naar de politie om aangifte te doen. De discussie zal vooral gaan over de vraag of het wel compleet de situatie toont. Als jij eerst iemand snijdt en dan filmt hoe hij je terugpakt, zou ik het niet terecht vinden om dan uitsluitend hem te beboeten voor de overtreding. Daar zullen veel zaken op stuk gaan denk ik: hoe weten we dat dit de compléte beelden zijn?

En oh nu moet ik denken aan een oud ideetje van me: laat TNO manipulatieproof dashcams maken die gecertificeerd zijn met tijdcode en interne opslag. Lever ze in als het geheugen vol is, en voor elke verkeersovertreding die bewezen kan worden met de beelden krijgt de eigenaar 50% van de boete. Dan is het volgens mij binnen 48 uur afgelopen met verkeersovertredingen.

Arnoud

“Jurisdictie wordt bepaald door waar je informatie als eerste binnenkomt”, pardon?

Geplaatst op in Intellectuele rechten, Security, 10 reacties

transatlantic-cable-kabel-internetIk heb een paar arresten gemist geloof ik. In NRC Handelsblad van gisteren stond een artikel over de cloud, met daarin de intrigerende opmerking:

Ja, Softlayer is een Amerikaans bedrijf, waarvoor Amerikaanse wetten gelden. Maar alleen voor informatie die als eerste in de VS is opgeslagen: „Het Amsterdamse deel is Nederlands. Informatie die hier als eerste binnenkomt, valt dus onder Nederlandse wet.”

Nee. Néé. Gewoon níet. Hoe kóm je bij dat criterium, “als eerste opgeslagen”. Noem mij één wet of gerechtelijke uitspraak waar dit uit volgt.

Voor zover ik weet zijn de Amerikanen heel simpel: als we erbij kunnen valt het onder ons recht. En aangezien 90% van de cloud fysiek in de VS staat, is dat lekker makkelijk voor ze. (Dit even los van hoe makkelijk ze erbij mogen, patriotacttechnisch.)

Verder ken ik geen enkele uitspraak van een rechter dat jurisdictie bepaald wordt door waar data het éérst binnenkomt. Het Hof van Justitie hier houdt het bij dingen als “gericht op een land”, door bv te kijken naar wat voor telefoonnummer je hebt, welke taal, valutakeuze en bezorgmethoden. Bol.com is Nederlands want 0900-nummer, iDealbetaling, Nederlands en Post.nl. Waar de servers staan en dat de domeinnaam een .com is, maakt niet uit. En over waar de data voor het eerst binnenkwam staat er al helemáál niets in die arresten.

Nog een leuke quote:

Wij passen de capaciteit van het serverpark daarop aan: informatie die op dat moment niet nodig is, verplaatsen we binnen ons netwerk naar een plek waar iedereen slaapt, zeg aan de Oostkust van de VS.

Ik heb me altijd afgevraagd wat er gebeurt als je in de VS een Nazi-site host (die daar legaal is) die dan ’s nachts naar Duitsland drijft (waar dat heel erg verboden is). Dan ben je dus strafbaar door de acties van je cloudprovider.

Iemand enig idee waar hij dit op baseert?

Arnoud

Geen principiële uitspraak over acquisitiefraude in proefproces MKB Nederland

Geplaatst op in Iusmentis, 9 reacties

verlengen-fax-fraudeGrr. Ik begin me steeds meer te ergeren aan het onderwerp acquisitiefraude en hoe rechters daarmee omgaan. Want in een recent vonnis wordt wederom op zeer formele gronden een claim tegen acquisitiefraude afgewezen. Oké, het was een proefproces en daarin mag je best wat principiëler zijn, maar toch.

Brancheorganisatie MKB Nederland had het proefproces in 2011 gestart tegen drie online telefoongidsen waar de nodige klachten over waren gekomen. En dan denk je al snel aan acquisitiefraude: een vaag telefoontje of je je gegevens wilt controleren, een fax die met 5 punts Arial vermeldt “dit is een offerte mompelmompel 150 euro per maand mompel drie jaar” en dan ineens een factuur. MKB was het zat en besloot een principiële zaak te starten tegen deze drie gidsen.

MKB had stevig ingestoken en een verklaring voor recht geëist dat acquisitiefraude (zoals door haar op een rijtje gezet) altijd misleidend zou zijn. Met zulke jurisprudentie is het dan véél eenvoudiger om toekomstige claims aan te pakken. Maar dat wijst de rechter af, omdat het toch van de precieze omstandigheden van het geval afhangt of een telefonische acquisitie telt als misleiding. Argh. Wéér zo’n formalistische opstelling. Het zal wel aan mij liggen maar als je zo’n “bevestigingsbrief” ontvangt met in kleine lettertjes “dit is een offerte en het kost 150 euro per maand voor 3 jaar”, welke omstandigheden kunnen dát dan rechtbreien?

Ook wil de rechtbank niet in het algemeen verklaren dat de regels over oneerlijke handelspraktijken ook kleine ondernemers mogen beschermen. Reflexwerking is echter wederom iets dat per geval moet worden beoordeeld. In het algemeen verklaren dat MKB-ondernemers altijd recht hebben op dezelfde bescherming als consumenten bij misleidende handelspraktijken is niet de taak van de rechter maar die van de wetgever.

De in het proefproces meeprocederende gedupeerde ondernemer krijgt echter wél reflexwerking: (a) Stichting Gilde is een kleine vrijwilligersorganisatie met een beperkt budget, terwijl Telefoongids.com een commerciële onderneming is die zich beroepshalve bezig houdt met het sluiten van overeenkomsten als de onderhavige; (b) Stichting Gilde heeft een contract gesloten buiten het eigenlijke terrein van haar werkzaamheden (vrijwillgerswerk); (c) Telefoongids.com heeft in casu het initiatief genomen tot het opnemen van telefonisch contact; (d) De overeenkomst die tussen Stichting Gilde en Telefoongids.com is gesloten betreft de vermelding in een zogenaamde online-telefoongids en is een overeenkomst die ook door een consument zou kunnen worden gesloten.

Op grond van de Wet oneerlijke handelspraktijken mag de rechter de bewijslast omkeren: het bedrijf moet bewijzen dat er volledig en juist is geïnformeerd over de prijs en wijze van contracteren. En dat vindt de rechter hier passend, want Telefoongids.com heeft het als core business om langs deze weg contracten te sluiten, dus mag je verwachten dat ze dit goed kunnen. Maar hee, wat vervelend nu, nét van het eerste gesprek is geen geluidsopname gemaakt. De fax is ook niet heel expliciet over de kosten, en in het verificatiegesprek werd “nauwelijks hoorbaar” iets over 150 euro gezegd maar níet dat de totale contractswaarde 5400 euro zou zijn.

In de beschikbare gegevens is naar het oordeel van de rechtbank onvoldoende bewijs gelegen dat Stichting Gilde juist en volledig is geïnformeerd en (dus) dat de bejegening door Telefoongids.com niet misleidend is geweest. Telefoongids.com heeft geen nader bewijs aangeboden van haar stellingen op dit punt. Daarom dient Stichting Gilde gevolgd te worden in haar standpunt dat zij voorafgaand aan de totstandkoming van de overeenkomst is misleid.

De eisen tot rectificatie van de publiciteit die MKB had gekregen nadat ze aangekondigd had juridische stappen te nemen, worden afgewezen. MKB Nederland mócht hard in actie komen tegen acquisitiefraude, mede gezien wat er in de uitzending van TROS Opgelicht?! voorbij was gekomen.

Arnoud<br/> Ja, er ging wat mis in de tekst. Excuses, ik had kennelijk de enalaatste versie livegezet.