Online platforms zijn aansprakelijk voor AVG-schendingen door gebruikers, wat nu?

Photo by Jake Heinemann on Pexels

Een online marktplaats is onder de AVG verwerkingsverantwoordelijke voor de inhoud van advertenties die haar gebruikers plaatsen. Dat bepaalde het Hof van Justitie in zaak C-492/23 (Russmedia). Dit doorkruist keihard de gevestigde regel dat zo’n platform in beginsel gewoon niet aansprakelijk is. Wat is hier gebeurd?

De zaak begon toen op advertentieplatform publi24.ro (zeg maar het Roemeense Marktplaats) een advertentie verscheen waarin een vrouw seksuele diensten aanbood, met foto en telefoonnummer. Dat was echter zonder toestemming van deze betrokkene gebeurd, waardoor zij via de AVG verwijdering van de advertentie eiste.

Verwijdering gebeurde ook keurig, maar ondertussen was de advertentie al elders opgedoken. En vandaar de vraag: kun je dat onder de AVG de uitgever (Russmedia) aanwrijven? Dat ging naar het Hof van Justitie en nu zitten wij met de gebakken peren.

Het Hof constateert allereerst dat het vrij duidelijk is dat het platform de verwerkingsverantwoordelijke is. Daarbij woog de brede licentie uit de voorwaarden zwaar: als Russmedia alles mag doen met advertentiecontent, dan laat dat zien dat ze zelf (in AVG-termen) het doel en de middelen van de verwerking van die persoonsgegevens vaststelt. (De plaatser speelt ook een rol, maar de vrijheid van Russmedia was belangrijker.)

Nu is dat tot daar aan toe, maar betekent dit dat Russmedia a priori aansprakelijk is voor onjuiste gegevens in advertenties? Onder de regels voor hostingpartijen (DSA) is dat antwoord normaal duidelijk: nee, pas na het niet tijdig opvolgen van een klacht (notice&action) kan aansprakelijkheid ontstaan.

Het Hof leest de DSA – en haar voorganger de ecommercerichtlijn uit 2000 – echter nog eens goed, en ziet dan in artikel 1 punt 5 een item waar ik me ook al vaker over verbaasd had:

b) kwesties in verband met diensten van de informatiemaatschappij die onder Richtlijn 95/46/EG en Richtlijn 97/66/EG vallen;
Overal waar naar Richtlijn 95/46 verwezen wordt, moet je nu een verwijzing naar de AVG lezen. En de DSA heeft in artikel 2.4 iets vergelijkbaars, haar regels mogen niet regels overrulen uit onder meer
het Unierecht betreffende de bescherming van persoonsgegevens, met name Verordening (EU) 2016/679 en Richtlijn 2002/58/EG;
De onvermijdelijke conclusie is dus: een platform zoals public24.ro is aansprakelijk voor onrechtmatige verwerking van persoonsgegevens. Per direct, zonder voorafgaande klacht, zoals bij iedereen die persoonsgegevens verwerkt. Want een claim wegens aansprakelijkheid (art. 82 AVG) mag dus niet worden gepareerd met de Digital Services Act.

Geldt dit nu voor álle hostingpartijen? Daar twijfel ik een beetje over. Een belangrijke overweging van het Hof was dat het marktplaatsplatform zelf best actief besliste wat er met die advertenties zou gebeuren. Een kale hoster geeft enkel door wat de gebruiker plaatst, en dat komt voor mij niet in de buurt.

De DSA kent zelf ook de categorie van handelsplatforms (afdeling 4), maar daar regelt ze niets dat relevant is voor persoonsgegevens. Ik durf het dan ook niet aan om te zeggen, deze uitspraak geldt enkel voor die specifieke categorie.

Misschien maakt het uit dat het om advertenties gaat, maar ook dat betwijfel ik. De uitspraak draait duidelijk om het eigenmachtig beslissen waar de content geplaatst wordt, niet dat het gaat om commerciële reclame of afkomstig is van bedrijven.

Het Hof verbindt de uitkomst wel aan specifieke plichten:

  • Advertenties screenen op bijzondere persoonsgegevens;
  • Controleren of de betrokkene van die gegevens de plaatser van de advertentie is;
  • Zo niet, bewijs verlangen dat de betrokkene uitdrukkelijke toestemming (of andere AVG-uitzondering op artikel 9) heeft gegeven;
  • Adequate beveiligingsmaatregelen (art. 32) nemen tegen ongeautoriseerde overname van de advertenties door derden.
Nogmaals, ik zie dus nergens staan dat dit alleen bij advertenties de uitkomst moet zijn. De zaak ging over een advertentie, vandaar dat deze plichten over advertenties gaan. Ik zie niet hoe de redenering anders loopt als het een comment onder een nieuwsbericht was geweest met dezelfde inhoud. En dát is waarom de impact zo breed lijkt te zijn.

Arnoud

Kind (12) veroorzaakt ongeluk met opgevoerde fatbike, verzekeraar NN keert niks uit: ’Het is geen fiets, maar een motorvoertuig’

Photo by Haberdoedas on Unsplash

Een vader blijft zitten met duizenden euro’s schade die zijn 12-jarige zoon veroorzaakte op een snelle fatbike, las ik in de Telegraaf. De verzekeraar weigert uit te keren, omdat het vervoermiddel door de aanpassing een motorvoertuig zou zijn geworden. Dit gaat met software, dus mag ik er wat van vinden.

De zoon was op de fatbike door eigen schuld gebotst met een scooter, wat leidde tot 6800 euro schade bij de wederpartij. De WA-verzekering van de vader weigerde echter uit te keren, omdat de fatbike een motorvoertuig was en dan heb je een WAM-verzekering (Wettelijke Aansprakelijkheid Motorvoertuigen) nodig.

De vader stapte naar geschillencommisssie Kifid. Deze bevestigt echter het standpunt van de verzekeraar. Hoofdregel is dat een fatbike een motorrijtuig is, omdat deze “mede wordt voortbewogen door een mechanische kracht” (art. 1 sub c Wegenverkeerswet). Uitgezonderd hiervan zijn “fietsen met trapondersteuning”, en dat zijn (art. 1 sub ea):

fietsen die zijn voorzien van een elektrische hulpmotor met een nominaal continu vermogen van maximaal 0,25 kW en waarvan de aandrijfkracht geleidelijk vermindert en tenslotte wordt onderbroken wanneer het voertuig een snelheid van 25 km/h bereikt, of eerder, indien de bestuurder ophoudt met trappen;
De betreffende fatbike bleek echter een snelheid van 35 km/h te kunnen halen, en was daarmee geen “fiets met trapondersteuning” en dus gewoon een motorrijtuig.

Alleen: De vader stelde dat de fatbike was aangeschaft in de veronderstelling dat het om een gewone e-bike ging, en dat zij niet wisten dat de fatbike was opgevoerd. Foutje van de fabriek? De geschillencommissie gelooft dit niet helemaal, maar vindt vooral dat dit er niet toe doet:

Wat hiervan ook zij, ook als de consument er niet mee bekend was dat de fatbike een motorrijtuig is, mag de verzekeraar zich beroepen op de uitsluiting in de voorwaarden. Bekendheid met het feit dat het geen gewone e-bike betrof is namelijk geen vereiste om de claim van de consument af te wijzen.
Dit is bewijsrechtelijk natuurlijk goed te begrijpen, maar moet wel zuur zijn als je hierdoor écht wordt overvallen. Tegelijkertijd: dat merk je bij de eerste keer rijden toch, omdat je dan al snel de 25+ aantikt.

Elders was al bepaald dat een fatbike de Wegenverkeerswet schendt door enkel geschikt gemaakt te zijn om te hard te rijden, ook als men niet daadwerkelijk boven de 25 km/h rijdt of met een knopje het opvoeren tijdelijk uitschakelt. Deze uitspraak gaat over de verzekeringskant, en bevestigt dat het ook dan niet uitmaakt of je echt te hard reed.

Frustrerend voor het slachtoffer is wel dat nu de WA-verzekering van de (vader van de) dader niet hoeft uit te keren, hij de schade alleen vergoed kan krijgen door naar de rechter te stappen. Het waarborgfonds helpt niet, want de dader is bekend. Of de schade moet door een eigen verzekering gedekt worden (beperkt casco of allrisk scooterverzekering).

Arnoud

Voor kwijtgeraakt pakket getekend door bezorger, wat nu?

Photo by Janis Ringli on Unsplash

Via Reddit:

Wij wonen in een appartementencomplex, met beneden een ingang met digitale deurbel, binnen een centrale hal met postbussen, en liften naar de verdiepingen met de 100+ appartementen. Laatst was een van mijn pakketten waarschijnlijk [door de bezorger in de centrale hal] beneden gedropt, maar heb ik het niet terug kunnen vinden in de hal. Ik heb dit aangekaart bij de verkoper en om een refund gevraagd, omdat ik tenslotte alleen een “contract” heb met de verkoper, en niet met de pakketbezorger. De verkoper heeft verdere informatie opgevraagd bij de bezorger, en de bezorger heeft screenshots uit hun systeem aangeleverd die aangeven dat het “direct aan de bewoner is overhandigd” met als bewijs een “handtekening” (een willekeurig krabbeltje, niet van mij). [Waar sta ik nu juridisch?]
Uiteindelijk moet je toch bij de verkoper zijn, en wat hun bezorgers doen is in het geheel niet jouw probleem.

Natuurlijk, de bezorger heeft een handtekening laten zien. Dat is een bewijs dat het pakket door jou in ontvangst is genomen. En zelfs sterk bewijs: de wet (art. 157 lid 2 Wetboek van Rechtsvordering) zegt dat een ondertekend document een “onderhandse akte” is en daarom “tussen partijen dwingend bewijs [oplevert] van de waarheid” van waar je voor tekent. Terugkrabbelen nadat je tekende voor “ik heb een pakket met serienummer X ontvangen”, gaat dus eigenlijk niet.

Hier is het probleem dat de bezorger en niet jij tekende (nemen we maar even aan). Daar hebben we artikel 159 lid 2 voor: “Een onderhandse akte waarvan de ondertekening door de partij, tegen welke zij dwingend bewijs zou leveren, stellig wordt ontkend, levert geen bewijs op, zolang niet bewezen is van wie de ondertekening afkomstig is. (…)”

Als jij dus “stellig ontkent” (oftewel: zonder voorbehoud en zonder reden, “Nee, dat is niet mijn handtekening, punt”), dan gaat de bal terug naar de winkel: bewijs maar dat het wél jouw handtekening is. Dat kunnen ze bijvoorbeeld doen door deze met een eerdere handtekening van jou te vergelijken, of door een kopie van je identiteitsbewijs – waar je handtekening op staat – te laten zien. Een deskundige inhuren die dat uitzoekt kan ook, maar kost al snel een paar duizend euro. Dat zie ik hier allemaal niet gebeuren.

Het juridische pad is dus: jij klaagt “pakket niet gehad”. De winkel zegt “welles, je hebt getekend voor ontvangst”. Jij zegt “Nee, dat is niet mijn handtekening, punt”. De winkel moet nu bewijs geven dat het wél jouw handtekening is, of op andere manier aantonen dat het pakket wel bij jouw appartement over de drempel is gegaan. Anders is het niet aangekomen.

Arnoud

“Canadees databevel dreigt een gat te slaan in Europese soevereiniteit”

Een Canadese rechtbank heeft de Franse cloudprovider OVHcloud bevolen om klantgegevens die in Europa zijn opgeslagen over te dragen, las ik bij The Register. Dit ondermijnt mogelijk de claims van de provider met betrekking tot de bescherming van digitale soevereiniteit.

Zoals The Register uitlegt, heeft de Canadese politie (RCMP) in april 2024 een bevel gegeven aan de Franse cloudprovider OVHcloud om abonnee- en accountgegevens te verstrekken gekoppeld aan vier IP-adressen op OVH-servers in Frankrijk, het Verenigd Koninkrijk en Australië. Dit als deel van een Canadees strafrechtelijk onderzoek.

Het bevel werd in eerste instantie gegeven aan de Canadese dochter, maar die kan technisch noch organisatorisch bij die gegevens. Heise vertelt verder:

Nevertheless, on September 25, the Ontario Court of Justice, presided over by Judge Heather Perkins-McVey, ruled that the French parent company must hand over the data to the Canadian authorities. Her reasoning is based on a broad interpretation of “virtual presence”: since OVH operates globally and offers services in Canada, the company is subject to Canadian jurisdiction, regardless of where the physical servers are located.
Dit is problematisch voor het Franse bedrijf, omdat artikel 48 AVG én Frans recht (de Blocking Statute) het afgeven van zulke gegevens verbiedt tenzij er een in Europa geldig bevel is gegeven. De Franse wet zet er zelfs celstraf en een boete tot 90.000 euro per overtreding op. Maar de Canadese rechter zal dit als contempt of court zien, met vergelijkbare strafmogelijkheden.

De zaak doet sterk denken aan waar mensen bij de US Cloud Act bang voor zijn. Ik blijf moeite houden met de vanzelfsprekendheid waarmee mensen aannemen dat bedrijven dan de Amerikaanse (of Canadese) regels gaan volgen omdat hun wet dat zegt.

Praktisch zie ik het ergens nog wel: wie banger is voor economische sancties van de Yanks dan voor boetes van de EU kan eieren voor z’n geld kiezen. Maar in het openbaar dat hardop zeggen kan ik me niet voorstellen bij een beursgenoteerd bedrijf.

De Canadese zaak kan dus een mooie testcase worden, als in het (nu lopende) hoger beroep wordt bepaald dat de Canadese rechter dat bevel inderdaad mag geven. En zuiver naar Canadees recht kijkend zie ik niet waarom niet. Dat recht hoeft immers geen rekening te houden met wat een ander land in hun wet heeft staan.

Arnoud

 

Mag een consument Pokémonsets openmaken en terugsturen als deze denkt dat ze nep zijn?

Photo by Erik Mclean on Pexels

Via Reddit:

Ik heb een kleine webshop op gebied van Pokémon en handel hier dan ook al geruime tijd in. [Een klant bestelde een zeldzame set.] Nu heb ik gisteren (18-11) een mail gehad van deze klant, waarbij er beweerd wordt dat ik danwel een nep product heb verkocht, danwel een geresealed product. Klant heeft foto’s meegestuurd van eenzelfde product, maar waarbij niet te achterhalen dat dit product daadwerkelijk uit mijn geleverde doos is gekomen.
De discussie gaat nog even door; de klant voelt zich “belazerd” en na de reactie dat alle sets bij een officiële, erkende supplier gekocht zijn mét bewijzen, stelt de klant dat hij simpelweg het recht heeft “een product te retourneren wanneer dit niet voldoet aan de verwachtingen of wanneer het afwijkt van wat redelijkerwijs mocht worden geleverd”.

Op zich is die uitspraak waar, maar met een paar nuances. Het belangrijkste is dat de winkel gelegenheid moet krijgen tot herstel of vervanging (art. 7:21 BW), tenzij je dat niet kunt eisen (lid 4). Bij kaartjes die nep zijn, ligt vervangen voor de hand. Pas nadat de winkel hiermee het niet kon oplossen, heb je recht op geld terug (art. 7:22 BW) als consument.

Bij herstel en vervanging gaat het niet om de mening van de consument, maar om een objectieve norm: wijkt het af van wat je mocht verwachten? In dit geval dus: zijn de kaartjes echt en origineel, dus niet geresealed of gebruikt? De bewijslast daarvoor ligt bij de consument, die meer moet aandragen dan alleen dat “product én de inhoud afwijken van andere producten”. Er zijn apps en dienstverleners te over die hierbij kunnen helpen.

De consument heeft verder natuurlijk het recht de aankoop binnen 14 dagen na ontvangst ongedaan te maken. Of het product voldoet aan de verwachtingen, is daarbij niet relevant. Een ontevreden klant die er snel bij is, kan dus zo zonder gezeur van zijn aankoop af.

Pokémonsets als deze worden verzegeld verzonden. Er staat in de Wet koop op afstand (art. 6:230p BW) inderdaad iets over dat verzegelen het recht van retour kan laten vervallen, maar dat is alleen zo bij

  • de levering van zaken die niet geschikt zijn om te worden teruggezonden om redenen van gezondheidsbescherming of hygiëne en waarvan de verzegeling na de levering is verbroken;
  • de levering van audio- en video-opnamen en computerprogrammatuur waarvan de verzegeling na levering is verbroken;
Beide situaties zijn niet aan de orde bij Pokémonkaarten. De reden voor verzegeling daar is authenticiteit en een stukje merkbeleving. Dat een pakje geopend is, is dus géén reden om de retour te mogen weigeren.

Tegelijk vermindert de waarde van het product fors als het pakket geopend is. Weinig kopers van Pokémonkaarten zitten te wachten op resealed pakjes, onder meer om zorgen dat er nepkaarten in gestopt zijn, of de waardevolle eruit gehaald en vervangen. (Resealen is an sich niet verboden, zolang je maar expliciet en duidelijk er bij zet dát je dat gedaan hebt.)

De remedie uit de wet is dat je dan die waardevermindering mag doorrekenen bij het terugbetalen van de aankoopprijs, maar dus niet de retour geheel weigeren. Omdat er hier eigenlijk geen mogelijkheid is voor de winkel om de kaarten weer in een nieuwe originele verpakking te krijgen, en je ze dus los moet verkopen, kun je volgens mij de restwaarde alleen bepalen als de verkoopprijs van de losse kaarten samen.

Arnoud

 

2 journalisten staande gehouden bij Brussels Airport, drone in beslag genomen

Photo by Shawn on Unsplash

Afgelopen vrijdag hebben beveiligingsmedewerkers van de Federale Politie in België twee journalisten staande gehouden aan de rand van Brussels Airport, beter bekend als luchthaven Zaventem. Dat meldde Dronewatch vorige week, op bevestiging van de Belgische politie. Een gevoelige kwestie, overal in Europa maken mensen zich zorgen over opdringerige drones.

Uit het artikel:

Welke media de journalisten vertegenwoordigden en wat precies hun doel was, is vooralsnog niet bekend. Mogelijk wilden ze demonstreren dat het niet onmogelijk is om met een drone in de buurt van een luchthaven op te stijgen, in het kader van de recente verhoogde staat van paraatheid in België en andere Europese landen. Het kan ook zijn dat de journalisten slechts wilden poseren met een drone in de hand, zonder deze daadwerkelijk te laten vliegen.
Het is natuurlijk speculatie, maar ik zie wel hoe een journalist kan denken “hoe goed is die verhoogde staat van paraatheid bij ons eigenlijk”. In juridische taal: die ziet dan een mogelijke misstand en wil dat onderzoeken. Maar als het verboden is om met drones bij vliegvelden te vliegen, pleeg je dan een strafbaar feit. Of niet?

Ook journalisten moeten zich aan de wet houden. Een perskaart geeft je het recht om (soms) onder het lint bij een afzetting te mogen, en nog wat voordeeltjes, maar is geen excuus om de wet te mogen schenden.

In uitzonderlijke gevallen kan het zo zijn dat een misstand aantonen niet anders kan dan door de wet te overtreden. Dan mag het, mits je niet verder gaat dan strikt noodzakelijk voor het vergaren van dat bewijs. Het standaardvoorbeeld is uit 1995: een journalist vroeg een rijbewijs aan op naam van de minister, om zo aan te tonen dat dat kon – nadat de minister openbaar had gezegd dat dit écht niet mogelijk was binnen de geldende procedures. Valsheid in geschrifte, maar hier strikt noodzakelijk.

In een zaak over een ‘gat’ in het bancaire systeem van automatische incasso werd de journalist juist veroordeeld. Die wilde aantonen dat je eenvoudig geld kon incasseren via dat systeem zonder enige controle, maar daarbij had hij € 739.435,80 geïncasseerd van allerlei mensen. Had 1 euro bij een collega afgeboekt, dan had je het punt ook gemaakt.

In de Nieuwe Revu-zaak kraakte men de privémailbox van de staatssecretaris van Defensie. Dat mocht, maar vervolgens gaan snuffelen in die mailbox mocht niet. De reden is simpel: er was (enige) nieuwswaarde over de veiligheid van zo’n mailbox, maar geen enkele aanleiding om te zoeken naar specifieke berichten.

Sindsdien heb ik voor mezelf de vuistregel dat je strafbare feiten mag plegen om een misstand te verifiëren. Je moet al weten dat er iets mis is, en het bewijs daarvan is dan alleen te krijgen met het strafbare feit. En dat pleeg je dan zónder schade aan derden en met zo klein mogelijke impact. En je artikel wordt géén praktische handleiding over hoe dat feit te plegen.

Hier was dus de vraag “zit de dronebeveiliging wel goed bij Zaventem”. Is dan “we laten een drone vliegen en kijken of we gepakt worden (want we dragen ook bivakmutsen)” een logische reactie? Enerzijds: het is ernstig, want het speelt in op sentimenten van hybride Russische oorlogshandelingen. Anderzijds: er is net allerlei detectiespul ingezet en daarna meldde niemand meer drones. Mijn advies zou dan zijn: doe eens niet.

Arnoud

 

 

 

Nieuwe AI-crypto maakt betalingen tussen machines mogelijk, wie is dan aansprakelijk?

Photo by Sajad Nori on Unsplash

Waar de meeste blockchains nog zijn ontworpen voor mensen, legt Kite de basis voor een economie waarin kunstmatige intelligentie zelfstandig kan handelen en betalen. Dat las ik bij Crypto Insiders. Zo “kunnen machines diensten afnemen, onderhandelen en betalingen doen zonder menselijke tussenkomst”. Hatseflats, blockchain én AI bij elkaar.

Agentic AI is de hypeterm voor AI systemen die er zelf op uit gaan om acties uit te voeren. Of eigenlijk, de infrastructuur waarbinnen AI systemen (vaak agents genoemd) dat kunnen doen. Want je hebt natuurlijk wel API’s en andere automatisch te gebruiken dingen nodig om dit mogelijk te maken. En dat is wat ze bij Kite dus willen doen.

Uit het whitepaper:

Kite’s technical contributions include: (1) A three-layer identity architecture separating user (root authority), agent (delegated authority), and session (ephemeral authority) identities through BIP–32 hierarchical derivation; (2) Programmable governance spanning services through unified smart contract accounts where compositional rules enforce global constraints at the protocol level; (3) Agent-native payment rails using state channels that achieve sub–100ms latency at approximately $0.000001 per transaction.
Deze architectuur is vooral gericht op granulaire autorisaties, zodat je een agent niet zwartwit toegang tot je crypto-wallet hoeft te geven waarmee deze alles uit kan geven bij een hack of foutje. Ook biedt Kite op deze manier een blockchain-registratie van transacties, gericht op transparantie en audits. Klinkt allemaal heel mooi.

Het riep bij diverse lezers de vraag op hoe dat dan juridisch zit, als er toch iets misgaat. Bij crypto is dat meestal geen heel hot topic: het idee is vaak “de software is de regels”, dus als er wat misgaat dan kende jij de regels niet goed, jammer voor jou. Programmeerfout, onduidelijke instructies, typefout: niets aan te doen.

De wet is vergeeflijker dan dat, en kent allerlei mechanismen om onbedoelde acties (in ieder geval in theorie) terug te kunnen draaien. Dwaling, of simpelweg de conclusie dat een bepaalde uitleg van het contract niet redelijk is. En als de gebruiker een consument is, dan zijn er de nóg beschermender regels van het consumentenrecht.

Tegelijkertijd is hier bij uitstek het probleem van de handhaving. Bij crypto-diensten en bij agentic AI is er weinig tot geen menselijke tussenkomst. En terugdraaien van transacties op last van de rechter kan ook niet, want er is geen autoriteit die dit kan uitvoeren. Ja, de ontvanger van het geld kan het teruggeven maar het probleem is juist dat die niet te vinden is.

Arnoud

 

Roblox controleert leeftijd van Nederlandse gebruikers met gezichtsscan, mag dat?

Photo by Oberon Copeland @veryinformed.com on Unsplash

Nederlanders die games spelen via het platform Roblox moeten binnenkort hun leeftijd laten controleren als ze chatberichten naar andere gebruikers willen sturen. Dat las ik bij RTL Nieuws. De implementatie is opmerkelijk: men gebruikt je camera om het gezicht te scannen en dan een AI een slag te  laten doen naar je leeftijd.

Roblox is een online platform waar gebruikers zelf games kunnen maken en spelen die door anderen zijn gemaakt, in plaats van dat het één game is. De dienst is populair bij kinderen, omdat Roblox als een van de weinigen ook expliciet dertienminners toelaat. Uiteraard maken mensen daar grof misbruik van, wat weer tot allerlei rechtszaken tegen Roblox heeft geleid.

Doel van de leeftijdsherkenning is om zo volwassenen en kinderen gescheiden te houden. ID-kaarten scannen is lastig, onder meer omdat lang niet alle kinderen die hebben. En bovendien weet je dan niet of een volwassene een ID van zijn of haar kind gebruikt (of andersom). Vandaar dus de gezichtsscan.

De werking van het systeem lijkt niet openbaar, maar de kern is simpel genoeg. Train een AI model op een hoop foto’s van mensen met een gegeven leeftijd, en laat het model afleiden hoe je leeftijden onderscheidt. Daarbij is “ongeveer” meestal goed genoeg; of je nu 14 of 16 bent maakt niet heel veel uit in hun opzet. Of je 8 of 14 bent wel, en dát gaat eigenlijk wel goed zo te lezen.

Of het mag, is eigenlijk dezelfde vraag als of platforms zoals Linkedin identiteits– of leeftijdsverificatie mogen doen. De complicatie is vooral dat bij minderjarigen de ouders beslissen. Als een site toestemming vraagt voor gebruik van persoonsgegevens, dan moet bij een minderjarige de ouder(s) die geven.

Alleen: is bij identiteits- of leeftijdscontrole toestemming wel de grondslag? Het is “vrijwillig” in de zin dat je het niet hoeft te doen, maar dan niet mag chatten met anderen. Ik zou dat als FG niet héél vrijwillig vinden, en zonder vrijwilligheid geen toestemming.

Noodzaak in verband met de dienstverlening (overeenkomst) zou voor mij de logische zijn: veiligheid in deze context is zó zwaarwegend dat je er gewoon niet aan ontkomt. Met diezelfde redenering krijg je denk ik ook het gerechtvaardigd belang makkelijk rond. Ouderlijke toestemming is bij beiden niet strikt relevant.

Uiteraard staat of valt een en ander wel met een goede implementatie. “Roblox belooft dat de beelden meteen na de scan worden gewist.” zegt RTL. En dat zal best, maar er zijn genoeg redenen om je daar zorgen over te maken.

Arnoud

Wat als de Autoriteit Persoonsgegevens straks toch Linkedin weer terugfluit met haar AI-training?

Photo by Greg Bulla on Unsplash

Een lezer vroeg me:

LinkedIn is inmiddels begonnen met het trainen van AI modellen met data van Europese gebruikers die geen opt-out deden. Ik had gelezen dat de Autoriteit Persoonsgegevens een onderzoek was gestart, maar heb daar niets meer over gehoord. Stel nu dat men op zeker moment oordeelt dat deze hele verwerking onrechtmatig was. Dan kunnen ze een verbod opleggen, maar kan dat dan ook met terugwerkende kracht?
Voor wie het gemist had: LinkedIn gaat gegevens van Europese gebruikers toch inzetten om AI-modellen te trainen. Het betreft openbare berichten en er wordt met een opt-out gewerkt, waardoor het (denk ik) legaal is onder de AVG. Maar zeker weten doe je dat pas na een onderzoek van de toezichthouder.

Onderzoeken door AVG-toezichthouders kunnen inderdaad rustig langer dan een jaar duren. Daar is weinig aan te doen; grote partijen gebruiken ieder slordigheidje om de boete aan te vechten tot aan het Hof van Justitie. Dus zekerheid over de legaliteit van deze keuze moet helasa nog lang op zich laten wachten.

Als uit het onderzoek blijkt dat de verwerking inderdaad onrechtmatig is, dan heeft de toezichthouder een trits bevoegdheden onder de AVG. Naast boetes is een verwerkingsverbod zeker mogelijk. Dit staat in artikel 58 lid 2 onder f AVG, en direct daarna staat nóg een hele leuke “het rectificeren of wissen van persoonsgegevens of het beperken van verwerking”. Wat je in strijd met de wet gebruikt, moet je weggooien.

Specifiek bij AI-modellen is dit een hele venijnige. Waar je in een databank dan het record wist, moet je hier én je model én je trainingsdata ontdoen van die gegevens. Voor trainingsdata is dat nog tot daar aan toe (zeg me dat je data governance praktijken hanteert), maar voor het AI model is de consequentie meestal dat je die geheel van de markt moet halen. Want een model bijstellen zodat deze de persoonsgegevens van Yann of Aleid vergeet, is eigenlijk niet mogelijk.

Arnoud

Ongevraagd op de foto door de pakketbezorger, mag dat?

Photo by WrS.tm.pl on Unsplash

Je doet de deur open, neemt je pakket aan en flits! De bezorger maakt opeens een foto. Dat beeld schetste TROS Radar onlangs. Kennelijk wilde die bezorger vastleggen dat hij het pakket overhandigde, maar raar is het wel. Mag dat, en is het nodig?

Of het gaat om structureel beleid, betwijfel ik. Radar vroeg het de grootste pakketbedrijven in Nederland. Die geven allemaal aan géén foto’s te gebruiken als bewijsmiddel. PostNL en DPD ontkennen categorisch.

Anderen, zoals DHL en UPS, gebruiken wel een camera, maar benadrukken dat dit alleen voor het pakket zelf is en nooit bij een persoonlijke overdracht. Zij maken foto’s als een pakket met jouw toestemming op een afgesproken plek wordt achtergelaten. DHL: “Bij het persoonlijk afleveren van pakketten worden geen beelden gemaakt.”
Zou het wat toevoegen? Meestal vragen pakketbezorgers een handtekening voor ontvangst, wat juridisch het sterkste is. Het document met die handtekening is dan namelijk een akte, het sterkste bewijsmiddel dat er is. (Ik weet het, er zijn bezorgers die zelf tekenen, de buurman kan tekenen, mijn handtekening lijkt ook nooit.)

Wanneer een pakket ergens wordt achtergelaten (de “optie neerzettoestemming”) kun je natuurlijk geen handtekening vragen. Dan is een foto van het pakket zoals achtergelaten een slimme. In combinatie met de vooraf gegeven toestemming, waar de plek van achterlaten in opgegeven is, heb je dan duidelijk bewijs dat aan de afspraak voldaan is.

Een foto van een persoon die het pakket aanneemt, zou op zich ook bewijs opleveren dat die persoon het pakket heeft aangenomen. Maar omdat dit nogal een privacyschending oplevert (immers ongevraagd en onverwacht), AVG-risico’s geeft én een makkelijk alternatief kent, kun je dit als bezorgbedrijf zeker niet zomaar doen.

Arnoud