Is cameratoezicht nu ineens verboden in Duitsland?

| AE 12460 | Ondernemingsvrijheid, Privacy | Er zijn nog geen reacties

Een lezer vroeg me:

Ik las dat een Duitse winkel een boete van 10 miljoen heeft gekregen omdat ze videotoezicht inzetten. Maar hoezo is dat nou ineens boetewaardig, elk bedrijf heeft toch videotoezicht tegenwoordig? Het ging om magazijnen en verkoopruimtes, niet echt plekken waar je privacy hebt toch?
Zeker twee jaar lang werd het personeel illegaal gefilmd op de werkvloer, magazijn en andere locaties terwijl hiervoor elke juridische grondslag ontbrak, aldus de Landesbeauftragte für den Datenschutz (LfD) van Nedersaksen, zeg maar de lokale Autoriteit Persoonsgegevens.

Dat klinkt inderdaad wat raar, want voor cameratoezicht is er in de AVG (die natuurlijk ook in Duitsland gewoon geldt) wel degelijk een grondslag: het zogeheten eigen gerechtvaardigd belang (artikel 6 lid 1 sub f AVG). Het bewaken van je eigendommen (of toezien op mensen) is een belang waarmee je de privacy mag inperken – mits je maar de nodige maatregelen neemt om dat zo beperkt mogelijk te doen. En dat is waar het misging.

Het belangrijkste punt waar de toezichthouder over valt, is dat naar camera’s is gegrepen zonder andere dingen te hebben geprobeerd. Geen random tassenonderzoek, geen menselijk toezicht (een manager die soms even komt kijken), maar direct camera’s ophangen. Gezien de impact van camera’s (die zien continu alles) is dat een té heftige eerste stap. Ook was er niet echt een concrete aanleiding, maar werd vanuit een algemeen idee van diefstalpreventie met camera’s gewerkt. Maar dat is niet hetzelfde als een noodzaak.

In een persbericht verweert het bedrijf zich door te stellen dat de camera’s primair gericht zijn op het logistieke proces: het opsporen en oplossen van problemen zoals beschadiging of vermissing van producten tussen ontvangst en verkoop. Kennelijk bedoelt men daarmee dat de camera’s niet direct mensen filmen maar laptops, mede omdat de CEO in het persbericht aangeeft dat ze als klein bedrijf echt niet mensen gaan beoordelen of aanspreken op basis van camerabeelden.

Ik snap het bezwaar van het bedrijf, maar de kern van de last van de toezichthouder is volgens mij een terecht punt. Camera’s zomaar inzetten “ter bestrijding van diefstal” is gewoon een te snel en te makkelijk middel, als je daarmee ook je medewerkers permanent in beeld krijgt. Of je nu daar wat mee doet of niet – alleen al de indruk dat men permanent gefilmd wordt, is genoeg om medewerkers het gevoel te geven dat ze in de gaten gehouden worden. En dat is nergens voor nodig, als er geen concrete aanleiding is.

Ik zou dus zeggen: die camera’s specifieker richten op de logistieke stroom, de mensen buiten beeld en inzicht geven in wat er wél wordt gefilmd.

Arnoud

Mag je werknemers vragen of ze gevaccineerd zijn tegen het coronavirus?

| AE 12447 | Ondernemingsvrijheid, Privacy | 75 reacties

Een lezer vroeg me:

Als mijn werkgever van mij verlangt om aan te geven of ik Corona heb, dan wel mij heb laten testen of mij gevaccineerd heb. Is dat toegestaan, en maakt het uit of men dat eenmalig vraagt of het ook opslaat?
Of je besmet bent met het covid-19 virus dan wel daartegen gevaccineerd bent, of zelfs maar getest, dat zijn gezondheidsgegevens in de zin van de AVG. Het zijn immers gegevens “die verband houden met de fysieke of mentale gezondheid van een natuurlijke persoon”.

De wet is daar terecht streng in: die gegevens mogen eigenlijk niet worden verwerkt tenzij je in de wet een grondslag kunt aanwijzen waarom je het wél mag. En die is niet makkelijk te vinden, met name omdat je er altijd een noodzaak bij moet onderbouwen. Dus “het is handig” of zelfs “bij een uitbraak op kantoor gaan we failliet” is echt bij lange na niet genoeg.

Bij het temperaturen is de nodige discussie geweest. Iemands lichaamstemperatuur zegt wat (kan wat zeggen) over zijn gezondheid, dus wordt dat gegeven ook gezien als persoonsgegevens. De AP zegt daarover dat je deze niét mag nemen, tenzij je het zo doet dat het buiten de AVG valt. Dat wil zeggen: een niet-geautomatiseerde meting (dus géén warmtecamera), geen registratie of opslag van de meting en géén automatische handeling laten volgen op de meting (dus geen poortje dicht of claxon bij te hoge temperatuur).

Vragen of men gevaccineerd is of dat men besmet is (geweest), mag sowieso niet. Deze gegevens zijn ook medische persoonsgegevens, en dit registreren (in bijvoorbeeld personeelsdossier) is dus problematisch. Toestemming vragen aan personeel kan per definitie niet, want werknemers voelen zich niet vrij daarop te antwoorden. Plus: toestemming mag worden geweigerd zonder consequenties, dus wat ga je doen als een werknemer ‘nee’ zegt?

Als je om kunt gaan met werknemers die niet willen zeggen of ze besmet zijn, dan mag je het ze vragen – alleen, waarom vraag je het nog als het niet noodzakelijk is? Je hebt immers net gezegd, als ze nee zeggen, kan ik daarmee omgaan. Je werkplek is dus coronaproof en dan hoef je het niet meer te vragen. (Voor juristen: noodzaak en proportionaliteit geldt immers óók bij de toestemming als grondslag.)

In uitzonderlijke situaties zou het in het algemeen belang kunnen zijn om iemands besmetting of vaccinatie gedwongen te onthullen. De enige reële situatie lijkt te zijn in de zorg: je wilt dat een arts of verpleegkundige geen patiënten of collega’s besmet, en gezien de aard van het werk is de kans daarop veel groter dan bij andersoortig werk. Deze grond zou dus voor andere werkgevers niet mogelijk zijn om in te roepen.

Als je die benadering van temperaturen toepast op het vragen naar vaccinatie, dan zou je wellicht uitkomen bij de situatie dat de werkgever het mondeling vraagt (dus niet geautomatiseerd), de werknemer een briefje laat zien met zhaar status en de werkgever dan besluit of thuiswerken dan wel op kantoor werken toegestaan is.

Alleen; als thuiswerken mogelijk is, waarom komt die werknemer dan überhaupt naar kantoor? En als zhij op kantoor moet werken, waarom is de werkplek niet coronaproof? Iemand kan in de tijd tussen test en naar kantoor komen net besmet zijn, of uit principiële redenen niet gevaccineerd willen worden (of vanwege gezondheid niet kunnen worden). En als je werkplek coronaproof is, waarom moet je dan nog weten wie besmet dan wel gevaccineerd is?

 

Arnoud

Mag de makelaar van de buren je tuin met een drone fotograferen?

| AE 12431 | Ondernemingsvrijheid | 28 reacties

Een lezer vroeg me:

Een makelaar maakt opnames met een drone om beelden te gebruiken bij verkoop huis. Daarbij neemt hij ook beelden op bij de buren om de koper goed te kunnen informeren, bovendien zijn die beelden te zien op Funda. Mag dit?
Een drone is een bewegende camera die vanuit de hoogte filmt. Daarmee is de regelgeving over bewakingscamera’s en dergelijke niet van toepassing want die geldt alleen voor aangebrachte (op één punt staande) camera’s.

Met de AVG kom je ook niet heel ver, mits je de camera pas aanzet als er geen mensen in de tuin te zien zijn. Iemands tuin is geen persoonsgegeven. Je kunt een foto van iemands tuin zien als een inbreuk op zijn privacy (artikel 8 EVRM) maar dat zou voor mij wel sterk afhangen van hoe gedetailleerd die in beeld komt en voor welk doel de foto wordt gepubliceerd. Een overzichtsfoto van de te verkopen tuin met de aangrenzende percelen zie ik eerlijk gezegd niet als inbreukmakend.

Sinds 1 januari gelden nieuwe Europese regels voor drones. Deze vormen op diverse punten een aanzienlijke versoepeling ten opzichte van de oude, Nederlandse regels. Relevant voor deze vraag is dat er geen verbod meer is op het vliegen boven bebouwing, zolang je maar mensen ontwijkt.

Als de makelaar een drone van meer dan 250 gram heeft, dan moet zhij zich wel registreren – en bovendien een vliegbewijs hebben. Dat is alleen niet iets waar je als boze buurman iets mee kunt, de vlucht kun je niet tegenhouden omdat de makelaar geen vliegbewijs heeft.

Langdurig over jouw terrein vliegen of detailfoto’s maken is natuurlijk wél een probleem, juridisch gezien. Dat zou bij een makelaar niet moeten gebeuren omdat dat buiten diens opdracht valt. Maar, zoals de casus-spionerende drone neerhalen laat zien, het kan wel degelijk tot problemen leiden.

Arnoud

Wanneer is een bericht aangekomen als het in een portaal wordt geplaatst?

| AE 12433 | Ondernemingsvrijheid | 39 reacties

Vorige week hadden we een stevige discussie over wanneer een mail is aangekomen als providers daar spamfilters tussen hebben zitten. Als zijstap daarbij kreeg ik diverse vragen over die praktijk van de vele “Uw Mijn Dienstverlener”-portalen, waarbij de berichten in een inbox aldaar worden geplaatst en je alleen een mailtje krijgt met iets als “Er… Lees verder

Kan Twitter straffeloos Trump van haar dienst weren?

| AE 12438 | Ondernemingsvrijheid, Uitingsvrijheid | 44 reacties

Twitter heeft de ban op de account van de Amerikaanse president Trump, @realDonaldTrump, een permaban gegeven.  Dat meldde heel internet, waaronder Tweakers, afgelopen weekend. Aanleiding voor de aangescherpte handhaving op de account van de president is de bestorming van het Capitool door pro-Trump-demonstranten, op 6 januari. Voor velen riep dit vragen op, met name of… Lees verder

Mag je de claxon van je Tesla een eigen ringtone geven?

| AE 12429 | Ondernemingsvrijheid | 24 reacties

Tesla-auto’s krijgen een update waarmee gebruikers het geluid van de toeter van hun auto kunnen aanpassen, las ik bij Tweakers. Naast het geluid van de claxon als waarschuwingssignaal is het ook mogelijk om geluid af te spelen terwijl er geen bestuurder in zit, zoals bij de “summon” modus waarbij de auto naar je toe komt… Lees verder

Wanneer is een mail aangekomen als deze in een spamfilter blijft hangen?

| AE 12422 | Ondernemingsvrijheid, Regulering | 107 reacties

Een lezer vroeg me: Naar aanleiding van een discussie die ik had met andere IT’ers over de macht van MS en Google in de wereld van e-mail en hun interne reputatie systeem vroeg ik me af of een mail juridisch gezien is ‘aangekomen’ als mailprovider Microsoft of Google besluit deze als spam aan te merken… Lees verder

Werknemers zien werkgevers vaker monitoringsoftware inzetten

| AE 12400 | Ondernemingsvrijheid | 11 reacties

Sinds werknemers vanwege de coronamaatregelen thuiswerken wordt er vaker door werkgevers gebruikgemaakt van monitoringsoftware om het personeel in de gaten te houden. Dat meldde Security.nl onlangs. Een enquête van GetApp onder ruim duizend Nederlandse werknemers en tweehonderd managers uit het mkb laat zien dat 65 procent van de managers claimt “meer vertrouwen in het personeel te… Lees verder

ACM wijst fabrikanten en winkels op informatieplicht bij IoT-apparaten

| AE 12385 | Ondernemingsvrijheid | 11 reacties

Fabrikanten en winkels moeten klanten laten weten hoelang aangeboden Internet of Things-apparaten beveiligingsupdates ontvangen. Dat meldde Security.nl onlangs. Deze eis volgt uit de wet, en de Autoriteit Consument en Markt gaat deze marktpartijen nu expliciet wijzen op hoe dit uitpakt bij zogenaamd ‘slimme’ apparaten. Naast informatie over updates moet je ook te horen krijgen welke… Lees verder

Gaan providers e-mail van Brein aan torrentgebruikers doorsturen?

| AE 12381 | Intellectuele rechten, Ondernemingsvrijheid | 37 reacties

Ziggo en KPN hebben nog geen duidelijk standpunt ingenomen over het plan van Brein om torrentgebruikers te waarschuwen, meldde Tweakers onlangs. Brein wil vanaf 15 december beginnen met het versturen van waarschuwingsberichten van torrentgebruiker, door IP-adressen te monitoren van mensen die BitTorrent of sites als Popcorn Time gebruiken en dan internetproviders te vragen een e-mail… Lees verder