Categorie: Privacy

De rechtbank Noord-Holland trekt een duidelijke grens: de privacywet is geen verdienmodel. Dat meldde het FD onlangs. Een veelprocederende eiser maakte op dreigende wijze gebruik van het AVG-inzagerecht, en dat levert misbruik van recht op.

Iedereen wiens persoonsgegevens worden verwerkt, heeft het recht op inzage in die gegevens plus uitleg wat er precies gebeurt. Dat staat in artikelen 12-15 AVG. Doel daarvan is je in staat te stellen in te grijpen: fouten corrigeren, verouderde gegevens verwijderen, of bezwaar maken als er andere dingen misgaan.

In het vonnis van deze zaak is te lezen dat de eiser iets had besteld bij Tuinmeubelwereld, dat had geannuleerd en vervolgens gevraagd om inzage. Daar ging iets mis met de mail, waarop de man direct hoog in de juridische boom klom: 925 euro als niet onmiddelijk wordt voldaan (“berekend conform BGK 2013”), en in de vervolgmail € 3.500 aan dwangsommen omdat te laat werd gereageerd.

Uiteindelijk komen de gegevens wel, maar ondertussen was een jurist zich ermee gaan bemoeien en werd het bepaald ongezellig. Citaten van de eiser:

U kunt dit wel ‘negeren’ maar dan gaan we gewoon over tot dagvaarding.’

‘Uw cliënt kan een voorstel doen. Dat wordt geaccepteerd – of niet’.

‘Uw cliënt heeft tot morgen 12:00 uur en anders vervalt een mogelijke minnelijke regeling. Mij is het verder om het even.

We weten beiden wel dat uw reactie hieronder kul is.’

“ik kan mij in principe zelfs laten bijstaan door een man met een grote witte baard, een meiter en een gouden staf”,

Ook was onduidelijk of de betreffende jurist wel bestond, onder meer omdat de eiser de webshop niet direct met hem wilde laten mailen.

Ik moest denken aan een serie publicaties uit december vorig jaar (zoals Netkwesties) en het Brillen Rottler-arrest uit maart. Daarin was in Duitsland ook zo’n principiële persoon actief die direct geld eiste bij zelfgestarte verwerkingen (inschrijving nieuwsbrief).

Het Hof bepaalde toen dat een verzoek mag worden afgewezen als aan twee eisen is voldaan:

Allereerst moet je verzoek dus niet een ‘echt’ AVG-doel dienen.

Het tweede element is subjectiever: “kunstmatig de voorwaarden scheppen” om mensen op een inbreuk te betrappen. Daarbij mag je meenemen dat meneer dit vaker doet, zodat de indruk duidelijker is dat hij het niet om dat ‘echte’ doel doet.

De rechter in deze zaak roept dit arrest in via wat we in Nederland “misbruik van recht” noemen (art. 3:13 BW):

Genoegzaam is gebleken dat het [verzoeker] niet daadwerkelijk te doen is om de inzage in zijn persoonsgegevens en de juistheid van deze gegevens en de rechtmatigheid van de verwerking te controleren, maar dat het doel van zijn verzoek is om er financieel beter van te worden. … In de kern betreft dit het procedeergedrag en de werkwijze van [verzoeker] , alsmede de betrokkenheid van (vermeende) gemachtigden en de rol van Webshop Juristen. … Juist het patroon in de werkwijze en het procedeergedrag dat zichtbaar wordt uit deze en andere zaken draagt in belangrijke mate bij aan het oordeel dat [verzoeker] misbruik van recht maakt.

Belangrijk in dat patroon was dat de verzoeker vooral aanstuurde op een vergoeding (en dwangsommen), en niet inging op wat er aan persoonsgegevens werd verstrekt.

Ook kent de rechter deze partij en zijn werkwijze van eerdere zaken:

Bij de rechtbank zijn daarnaast ongeveer twintig andere zaken aanhangig waarbij [verzoeker] een vergelijkbare insteek heeft gekozen en een hoge schadevergoeding en/of een hoge kostenvergoeding heeft gevorderd. Daarbij heeft hij gebruik gemaakt van nagenoeg identieke dagvaardingen en stukken.

De verzoeker had zelf aangegeven zo’n 90 zaken te hebben lopen waarin een inzageverzoek was gedaan. Wie zoekt op “webshop juristen” bij de Rechtspraak, vindt diverse zaken waarin misbruik van recht werd aangenomen. En zo ongeveer iedere advocaat die iemand bijstaat tegen deze verzoeker, kreeg een (afgewezen) tuchtklacht tegen zich.

Het helpt ook niet dat de zogezegde gemachtigde (Donkersloot) niet was komen opdagen, net als andere gemachtigden van het juristenkantoor dat de verzoeker had ingezet. Een kantoor trouwens dat volgens de KVK geen werknemers heeft en waarvan de verzoeker zelf de directeur is, als ik het vonnis goed lees.

Al die feiten bij elkaar vindt de rechtbank een duidelijk patroon van misbruik van recht. De verzoeker moet daarom de werkelijke proceskosten van de tuinmeubelwinkel (€ 10.105,49) betalen.

Arnoud

 

 

 

 

Een lezer vroeg me:

Mijn sportschool is onlangs overgestapt op een QR-toegangssysteem, waarbij je alleen via een smartphone-app toegang tot de gym krijgt. Het pasje wat we voorheen gebruikten, werkt niet meer. Mijn sportmaatje maakt geen gebruik van een smartphone en heeft dit ook bij de gym aangegeven. Hun antwoord was dat hij dan alleen nog kan sporten als er personeel is om hem binnen te laten. Maar hij heeft een onbeperkt abonnement waarmee hij in principe 24/7 zou moeten kunnen sporten. Kan dat zomaar?

Bij 24/7 sportscholen wordt de laatste tijd vaak overgestapt van pasjes of tokens naar apps of zelfs biometrie. De reden is simpel: mensen lenen die tokens of pasjes uit aan bekenden, en dan gaan er twee mensen sporten onder één abonnement. Dat kost geld, dus daar moet wat tegen gedaan.

Biometrie is een discutabele optie, maar deze sportschool kiest voor een persoonsgebonden app. Logisch, want iedereen die sport heeft z’n telefoon bij zich. En een app kun je niet uitlenen. (Nou ja, mijn lezers wel en ik heb geen idee of hier een Trusted Execution Environment achter zit of dat ze vertrouwen op security theatre.)

Inderdaad gaat dat mis als je geen smartphone hebt waar zo’n app op kan. Dan komen we bij de vraag wat er contractueel gebeurt als is gezegd “24/7 sporten” en dan blijkt dat dat alleen kan als je een smartphoneapp gebruikt. Vrijwel zeker stond daar niets over in de algemene voorwaarden, en dan kom je uit bij wat juristen de redelijkheid en billijkheid noemen.

Argumenten waarom dat redelijk is, komen allemaal neer op “pasjes worden uitgeleend” en “kom nou, iedereen heeft een smartphone”. Argumenten waarom het niet redelijk is, zijn even zo cynisch plat te slaan tot “niet iedereen kán of wíl een smartphone gebruiken, en dat is hun goed recht”. Beide kanten hebben een punt, en dus wordt het een weging.

Die weging is minder eenduidig dan je zou denken, en ik denk dat de sportschool hier het sterkere verhaal heeft. Ja, je legt een extra voorwaarde op, maar het alternatief is dat je voor een handvol leden een compleet parallel toegangssysteem in de lucht houdt. Dat kost structureel geld: hardware, onderhoud, een tweede aanvalsoppervlak om te beveiligen, en de administratieve rompslomp van twee systemen naast elkaar. Dat is geen redelijke last om op te leggen aan een ondernemer die juist probeert te moderniseren en fraude tegen te gaan.

Wat de sportschool wél zou moeten doen is netjes communiceren en een fatsoenlijke overgangstermijn bieden. Als het sportmaatje een jaarabonnement heeft afgesloten onder de oude voorwaarden, dan mag hij verwachten dat hij tot het einde van die termijn op een werkbare manier naar binnen kan.

Arnoud

Via Reddit:

Zo ongeveer elke klantenservice heeft een bandje waarin ze aangeven het gesprek op te nemen voor ‘training en kwaliteitsdoeleinden’ en in sommige gevallen wordt zelfs benoemd dat ze het gebruiken om afspraken terug te luisteren. Heb je als consument aan de andere kant van de lijn ook het recht de opname van dit gesprek zelf te ontvangen of ‘in te zien’ achteraf?

De achtergrond van de vraag is willen kunnen aantonen dat er een telefonische toezegging is gedaan. Dat zou een rekening van €800 ongeldig verklaren en een conflict helpen oplossen.

Ik zie al drie FG’s aan de zijlijn “inzagerecht” scanderen, want dat is precies ingevoerd voor dit soort redenen. Je hebt het recht op inzage om te verifiëren of je persoonsgegevens juist zijn vastgelegd, nog actueel zijn en dat soort zaken. Alleen als je weet wat er vastligt, kun je fouten daarin corrigeren.

In Nederland is dit al in 2007 bevestigd in de Dexia-uitspraak van de Hoge Raad. Weliswaar ging die over de Wbp, maar dat inzagerecht is materieel gelijk aan dat uit de AVG nu. De kosten om dat te faciliteren, werden als niet-relevant terzijde geveegd. Een transcriptie afdwingen kan dan weer niet; als er alleen een geluidsbestand is, dan is dat dus wat je krijgt.

De wederpartij in deze casus zegt nu dat de opname er niet is. Dat zou kunnen, en dan houdt het op. Meer dan frustrerend kan ik dat niet noemen.

In de comments las ik nog een ander argument: de privacy van de medewerker komt in het gedrang als je ook diens deel van het gesprek overhandigt. In AVG-termen, artikel 15 lid 4, de opname overhandigen doet “afbreuk aan de rechten en vrijheden van anderen.”

Specifiek bij een klantenservicemedewerker die een zakelijk gesprek voert met een klant, vind ik dat een té gezocht argument. Dit is geen absoluut recht, maar een afweging: hoe ernstig is die privacy van de werknemer in het geding, en hoe weegt dat af tegen het recht op inzage. Overweging 63 AVG zegt immers “Die overwegingen mogen echter niet ertoe leiden dat de betrokkene alle informatie wordt onthouden.”

Wegbliepen van de naam van de medewerker, en voor mijn part eventuele persoonlijke ontboezemingen, maar daar houdt het dan ook echt op.

Arnoud

De Nederlandse provider onze.nl biedt mobiele abonnementen aan en integreert een AI-assistent die gesprekken opneemt om samenvattingen en transcripties te maken. Aldus Tweakers.net vorige week. Kan dat zomaar, een AI in je telefoon?

Onze.nl is een virtuele provider (over het netwerk van Odido) en de USP is dus dat je telefoongesprekken automatisch opgenomen en getranscribeerd worden. Daar heb je dan geen apps voor nodig, en de AI-assistent kan allerlei handige functies gaan doen. Er zal een doelgroep voor zijn.

Alleen je eigen stem wordt opgenomen, zo verklaart men op de site. Dat kan technisch vrij eenvoudig: jouw kant van het gesprek gaat naar de servers van Onze.nl en vanaf daar naar je wederpartij, dus dat kan daar afgetakt en geanalyseerd zonder dat er wederpartij-geluid tussen zit.

Dat komt goed uit, want als je die wederpartij gaat aftakken dan wordt het juridisch spannend. Niet strafrechtelijk, want Onze.nl handelt in opdracht van de deelnemer, art. 139a lid 1 Strafrecht zondert uit wie “in opdracht van zulk een deelnemer opneemt”.

De spanning zit hem natuurlijk in de AVG. In het algemeen is die niet relevant bij iemand die voor zichzelf gesprekken opneemt. Dat is voor huishoudelijk gebruik (art. 2 lid 2 AVG) en dan geldt de AVG niet. Bij zakelijk opnemen kan de privé-uitzondering ook gelden, maar vrijwel altijd gaat de data verder het bedrijf in en dan overschrijd je een grens.

De uitdaging zit hem in de rol die Onze.nl hierbij aanneemt. De privacyverklaring is daarbij duidelijk: men opereert als verwerker, dus uitsluitend ten behoeve van de klant die het gesprek op laat nemen. Maar zoals dat gaat bij AI, gaat het altijd toch een kléin stapje verder.

Het gaat hierbij om door u aangeleverde referentie- of contextinformatie (zoals beroepsspecifieke terminologie, klantgegevens of voorkeuren voor de opmaak van gespreksrapporten) die wij gebruiken om de relevantie en nauwkeurigheid van de AI-gegenereerde output uitsluitend voor uw eigen gebruik te verbeteren.

En dan weer iets verderop lees ik dat er “Externe dienstverleners (IT dienstverleners, AI-dienstverleners, en hostingpartijen)” zijn die dan weer “namens [onze.nl]” taken uitvoeren:

Voorbeelden hiervan zijn hosting, het versturen van emails en het verwerken en transcriberen van uw telefoongesprekken in het kader van de Slim Bellen-functionaliteit.

De transcriptie wordt dus uitbesteed, nergens zie ik welke AI dit onder water is maar dat zou dus zomaar een standaard commerciële AI zoals ChatGPT of Claude kunnen zijn. En dat kan binnen de AVG, als je de API aanroept vanuit een enterprise contract, want daar zit een (sub)verwerkersovereenkomst bij en de data wordt niet gebruikt voor bijtrainen.

(Of je de data binnen de EU kunt houden is een lastiger discussie, maar op papier staat het Data Protection Framework nog overeind dus export naar een verwerker in de VS mág.)

De grote uitdaging is echter, als je de spraak van de wederpartij ook zo wil gaan verwerken, welke grondslag onder de AVG heb je dan nodig? Toestemming gaat niet, want hoe krijg je die vooraf? Dus dan kom je zoals altijd uit bij gerechtvaardigd belang. Ik denk dat dat een heel eind goed gaat hier, juist omdat de transcriptie door een verwerker wordt gedaan én alleen bij de bellende partij terecht komt.

Uiteraard moet je een bezwaarmogelijkheid aanbieden (artikel 21 AVG) als mensen zwaarwegende persoonlijke omstandigheden hebben waardoor ze niet opgenomen willen worden. Bij een telefoongesprek zoals hier, vind ik het moeilijk daar voorbeelden van te bedenken.

Arnoud