Hongarije geeft Facebook miljoenenboete voor pretenderen gratis te zijn

| AE 11654 | Ondernemingsvrijheid | 7 reacties

De Hongaarse concurrentiewaakhond Hungarian Competition Authority heeft een boete uitgedeeld aan Facebook voor het pretenderen een gratis dienst te zijn. Dat las ik bij Nu.nl. De boete bedraagt ruim 3,5 miljoen euro en is gebaseerd op het idee dat je betaalt met je persoonsgegevens, als ik de bron Bloomberg goed begrijp (mijn Hongaars is wat minder). Gebruikers zouden door de term ‘gratis’ misleid zijn; ze gaven immers gegevens van enige financiële waarde aan het bedrijf – ook gaat het om hooguit 50 cent per gebruiker. Maar ik vind dit een vervelend precedent.

Menig scriptie over social media en persoonsgegevens opent met de bekende quote dat als je niet betaalt, je niet de klant bent maar het product (de werkelijke quote). Want ja, het geld moet toch ergens vandaan komen. Dat is een wat defaitistische blik; op Facebook ben je niets, behalve een soort halffabrikaat dat als een dikke worst aan adverteerders wordt voorgeschoteld.

Het idee dat je betaalt met je persoonsgegevens klinkt dan iets positiever. Je maakt een keuze met welke tegenprestatie jij de dienstverlener compenseert voor het harde werk. En dat mag, juridisch gezien. Er zijn meer overeenkomsten mogelijk dan enkel de koop, en binnen de koop is betaling in natura (niet lachen daar achterin) zeker een optie.

Het enige is, dan heb je dus wel de aanname gedaan dat persoonsgegevens objecten zijn die een geldswaarde vertegenwoordigen. Vermogensrechten, zeg je dan. En dat haakt in op de recente discussie over persoonsgegevens als object van eigendom. Ik heb er dus moeite mee om dezelfde redenen:

Verder is eigendom natuurlijk iets dat je kunt verhandelen. Vanuit dat perspectief wordt je positie zelfs zwakker dan nu: de AVG geeft je sterke zeggenschap over je persoonsgegevens, en die blijven altijd bestaan. Zou je de eigendomsrechten op je persoonsgegevens verhandelen (artikel 23.7 in de Facebook TOS) dan kun je daarna dus helemaal niets meer vinden over wat dat bedrijf ermee doet.

In deze context: als je zegt dat je betaalt met persoonsgegevens, dan moet je daarna niet meer zeuren dat men dingen doet met die gegevens. Die heb je immers zelf afgestaan, als wederprestatie voor een afgenomen dienst. En dat is precies dezelfde puur economische visie, die niet past bij de omgang met persoonsgegevens. Het gaat bij dat recht om zelfbeschikking en expressie, jezelf kunnen zijn. Als je dat tot een prijs verklaart, dan devalueer (haha) je dat hele principe. Dan is privacy en dingen geheim kunnen houden gewoon een stukje handelswaar, in plaats van onderdeel van je menselijke waardigheid.

Dus nee, ik ben het er niet mee eens. Facebook is gratis. Ze besnuffelen en bespioneren je, en dat tolereren we tot op zekere hoogte omdat ze als onderneming nou eenmaal ook grondrechten hebben. Maar inbreuken op iemands grondrechten tolereren is niet hetzelfde als betalen.

Arnoud

Moet je als hostingbedrijf AVG-verzoeken voor klanten honoreren?

| AE 11648 | Ondernemingsvrijheid, Privacy | 25 reacties

Een lezer vroeg me:

Als hostingbedrijf krijgen wij steeds vaker klachten dat een website van een klant ten onrechte persoonsgegevens publiceert of anderszins de AVG overtreedt, bijvoorbeeld door verwijderingsverzoeken te negeren. Zijn wij verplicht hier gehoor aan te geven en zo ja welk niveau van inhoudelijke check moeten wij dan doen?

Sinds de AVG zijn steeds meer mensen zich bewust van hun rechten omtrent persoonsgegevens. Je ziet dan ook vaker en vaker dat men op websites vergeetverzoeken, correctieaanvragen en dergelijke doet. Een site-beheerder moet daaraan meewerken, maar helaas gebeurt dat niet altijd.

We kennen deze problematiek van andere juridische domeinen, zoals het auteursrecht. Je gaat dan hogerop in de keten, en je spreekt de hoster aan. Volgens de gewone regels voor aansprakelijkheid (art. 6:196c BW) moet een hoster ingrijpen als een klant evident (onmiskenbaar) onrechtmatig handelt. De site of publicatie weghalen bijvoorbeeld, of de klant dwingen een correctie door te voeren.

Bij auteursrechtinbreuk is dat relatief simpel: weg die film, weg die muziek. Of er komt discussie, van wie is die foto eigenlijk, en dan is de overtreding niet meer evident. Daar kom je nog wel uit.

Bij privacykwesties is dit een stuk lastiger. Is dit vergeetverzoek terecht of is de informatie nog actueel? Is er toestemming gegeven (en/of niet ingetrokken) of is het beroep op een legitiem belang hier juist? Is dit hergebruik binnen de doelbinding? Daar kom je gewoon niet uit als hostingbedrijf.

Een complicatie is dat veel hosters zich opstellen als verwerkers, oftewel partijen die de informatie uitsluitend in opdracht van de klant online zetten. Dan mógen ze niet eens zelf besluiten om in te grijpen, ook al is de overtreding nog zo evident. Onder de AVG moet een verwerker verzoeken van betrokkenen doorspelen naar de verantwoordelijke (de klant dus) en die het laten afhandelen.

Wel is het zo dat een verwerker verplicht is verwerking te staken als deze evident in strijd is met de AVG. Hij moet dan in discussie met de verantwoordelijke over hoe verder. Effectief komt dat volgens mij op hetzelfde neer: je zegt dan alsnog tegen de klant, volgens mij gaat hier iets mis met deze persoonsgegevens op je site, hoe ga je dat oplossen of haal ik de site/pagina offline? De route is anders maar het resultaat volgens mij gelijk.

Doe mij eens wat meer van die boetes van 5000 euro

| AE 11637 | Ondernemingsvrijheid | 5 reacties

De Belgische privacywaakhond heeft twee boetes van 5000 euro opgelegd aan lokale politici, las ik bij Tweakers. De politici gebruikten gegevens die ze in hun ambt hadden verkregen (“burgers die een beroep op hen als burgemeester/schepen deden”) om ze politieke reclame te sturen. Dat is in strijd met het beginsel van doelbinding aldus de Gegevensbeschermingsautoriteit, die aan de boete tevens een berisping koppelde. Het getal van 5000 euro zal misschien wat wenkbrauwen doen fronsen: kon de AVG niet tot 20 miljoen per overtreding aan boetes opleveren? Ja, en toch ben ik erg blij met deze eh microboete. Want dit werkt beter.

In België zijn burgemeester en schepen (wethouden) politieke beroepen. De beboete burgemeester en schepen gebruikten lijsten van burgers uit hun gemeente om ze op te roepen op hen te stemmen. En die lijsten verkregen ze dus via hun ambt, wat strijd oplevert met de doelbinding: gegevens mag je niet voor andere doeleinden inzetten dan waarvoor ze zijn verkregen (behoudens de direct nabij en volkomen logisch aanverwante doelen). Politieke reclame voor jou als persoon heeft natuurlijk niets te maken met je werk als ambtenaar, ook niet als je via verkiezingen op die plek gekomen bent en daar graag weer wilt zitten.

Boetewaardig dus. En stevig ook, in theorie staat daar die 20 miljoen per overtreding op. Maar de Gegevensbeschermingsautoriteit houdt het bescheiden en wel bij 5000 euro per persoon. Dat komt zo te lezen omdat het gaat om een eerste overtreding door privépersonen en een gering aantal persoonsgegevens, hoewel de zaak zo ernstig wordt gezien (het gaat over verkiezingen, dat is de kern van de legitimatie van ons bestuur) dat men er ook nog een publieke reprimande tegenaan gooit. (Die de politieke tegenstanders ongetwijfeld in het verkiezingsdebat gaan aanvoeren.)

Waarom ben ik nou zo blij met 5000 euro? Nou ja, omdat zo’n boete écht afschrikt. Zeg nou zelf, als je weet dat je in privé 20 miljoen moet ophoesten, dan zul je daar weinig wakker van liggen. Dat bedrag lukt toch niet, dus dat spreekt niet tot de verbeelding. Maar 5000 euro kwijt zijn aan een overtreding? Dat is voorstelbaar, doet echt pijn en je kunt je inleven op welke manier. Dat hakt er dus veel meer in – zeker bij de vele kleinere bedrijven dan de clubs waarvoor die 20M als maximale boete in de wet is gezet.

Natuurlijk staat of valt het uiteindelijk met handhaving. Maar ook dan denk ik, juist kleine boetes kun je makkelijker opleggen. Megaboetes hebben de neiging gejuridiseerd te worden. Als je Facebook een boete oplegt, wéét je dat je hoe dan ook vele jaren verder bent totdat het Hof van Justitie van de EU een uitspraak doet, en dan nog. Een mkb-ondernemer die 5000 euro moet aftikken omdat hij een klantenlijst verkocht, die gaat die stappen niet nemen. Die baalt als een stekker, ontslaat zijn marketeer en doet het beter. En zijn collega’s ook.

En het leuke is volgens mij dat juist die handhaving in het klein vaak te automatiseren is. Privacystatements checken of ze wel in eenvoudige taal is, dat kun je met een script. Het verwerkingsregister van een bedrijf opvragen en op trefwoorden controleren (is er een tab Personeelsadministratie, bijvoorbeeld) is ook eenvoudig uit te voeren. Maak dáár nou eens werk van, dan wordt de AVG veel effectiever gehandhaafd.

Arnoud

Mag ik mijn werknemers echt niet verplichten een tweefactorauthenticatieapp te installeren?

| AE 11630 | Ondernemingsvrijheid, Privacy | 30 reacties

Een lezer vroeg me: Als werkgever in een gebied waar met gevoelige persoonsgegevens wordt gewerkt, zie ik mezelf verplicht om 2factor authenticatie in te voeren. Wij hebben hiervoor een breed bekende leverancier gevonden, die ons een simpele en privacyvriendelijke app beschikbaar stelt voor op de telefoons van medewerkers. Alleen: ik begrijp uit eerdere blogs dat… Lees verder

Moet ik nog zeggen dat die ondergoedfotoapp van Albert Heijn van de AVG niet mag?

| AE 11634 | Ondernemingsvrijheid, Privacy | 28 reacties

Winkelpersoneel van Albert Heijn is binnenkort in nieuwe bedrijfskleding te zien. De maat zou worden bepaald door foto’s in ondergoed. Dat las ik bij NRC (dank, vele tipgevers, ook voor dit gedicht). De foto’s worden – als ik het goed begrijp – door een AI geanalyseerd om zo de best passende maat te weten te… Lees verder

Cannabistelers kunnen een bankrekening krijgen, blockchainondernemers nu ook?

| AE 11626 | Ondernemingsvrijheid, Regulering | 6 reacties

ABN Amro moet onderneming Project C, een beoogd deelnemer aan het wietteeltexperiment van de overheid, alsnog een zakelijke bankrekening geven. Dat meldde RTL Z vorige week. De rechtbank Amsterdam vonniste dat de bank zich niet kan beroepen op contractsvrijheid en het algemene beeld dat wietbedrijven een integriteitsrisico onder de Wft vormen. Daarmee kan Project C… Lees verder

Mag ik gezichtsherkenning inzetten om een lokaalverbod te handhaven?

| AE 11620 | Ondernemingsvrijheid, Privacy | 6 reacties

Een lezer vroeg me: Ik werk aan een dienst die toegangsverboden in de horeca helpt handhaven door middel van gezichtsherkenning. Software kan dat beter dan portiers is het idee, en natuurlijk moet er altijd een mens nog beslissen of deze persoon echt diegene van het verbod is. Kan dit onder de AVG? Het gebruik van… Lees verder

Wat is beter: een hard onderhoudscontract of een stevige garantie?

| AE 11618 | Ondernemingsvrijheid | 3 reacties

Een lezer vroeg me: Als softwareleverancier in de zakelijke markt werken wij veel met onderhoudscontracten. Ik zie echter vaak klanten die garanties in onze licentie stoppen (althans, dat proberen) en dan zeggen dat dat beter is dan een onderhoudsafspraak. Hoe kijk jij als contractsjurist daar tegenaan? Herstel onder een garantie is feitelijk hetzelfde als onderhoud,… Lees verder

Mogen wij een AI onze sollicitanten laten prescreenen?

| AE 11612 | Ondernemingsvrijheid, Privacy | 17 reacties

Een lezer vroeg me: Ik werk op de HR afdeling van de Nederlandse vestiging van een Amerikaans concern. Vanuit ‘Houston’ is ons nu opgedragen alle sollicitaties eerst door een AI-driven screening te halen. Alleen mensen die door het algoritme worden geselecteerd, mogen op gesprek komen. Mag dat wel van de GDPR? De inzet van AI,… Lees verder