Categorie: Ondernemingsvrijheid

Op een rommelmarkt bij vliegveld Weelde zijn vijftien tweedehands harde schijven verkocht met daarop onbeveiligde medische gegevens van honderden patiënten. Dat meldde Tweakers vorige week. De data komt van het failliete Nortade uit Breda, mogelijk via een boedelverkoop. Het roept de vraag op: is de curator dan aansprakelijk voor het datalek?

Bij Omroep Brabant melden ze dat ene Robert Polet uit Breda ze ontdekte en een routinecontrole deed. Deze liet talrijke gevoelige bestanden zien, zoals burgerservicenummers, medicatiegegevens en patiëntendossiers. Hoe kon dat?

Uit een mailwisseling van Robert met een getroffen zorgorganisatie uit de provincie Utrecht, stelt de ICT-afdeling dat de gegevens afkomstig zijn van het bedrijf Nortade ICT Solutions uit Breda. Zij implementeerden software voor de zorgsector, maar het bedrijf lijkt inmiddels niet meer te bestaan. De website is niet meer online en in het handelsregister van de Kamer van Koophandel is er niets meer over het bedrijf te vinden.

Nee, onder de AVG is dat geen excuus. Onbeschermde data die buiten de organisatie komt, dat noemen we een datalek. En na een faillissement is de curator daarvan de verwerkingsverantwoordelijke, en dus aanspreekbaar voor de gevolgen.

We hebben het eerder gehad over klantenbestanden verkopen om de boedel wat geld te bezorgen. Dit is een ander verhaal, dit voelt eerder als het zo snel mogelijk van de fysieke rommel af willen omdat de huur van de kantoorruimte opgezegd is. En wie gaat er dan op oude computers kijken?

Het zou natuurlijk ook kunnen dat het bedrijf ‘gewoon’ gestopt is, en daardoor zelf de spullen ergens dumpte. Het feit dat klanten van niets weten, wijst daar voor mij eerder op. Een curator informeert gewoonlijk de lopende klanten. Als die er niet zijn, snap ik dat niemand wordt geïnformeerd én dat het datalek zomaar kan gebeuren.

Arnoud

Een lezer vroeg me:

Ik mail met een eigen domeinnaam, en gebruik bij elke website, dienst en account een uniek e-mailadres dat ik relateer aan de bedrijfsnaam. Ik krijg dus regelmatig spam e-mails waarbij ik aan het e-mailadres kan zien aan welk bedrijf ik dit e-mailadres heb gegeven. Wat zijn mijn mogelijkheden om bedrijven aan te spreken op het verkopen van mijn gegevens?

Je maakt het je bewijstechnisch dus makkelijker met deze techniek. Het vervolg is echter hetzelfde als wanneer je een rondvraag had gedaan en X zich vrijwillig had gemeld. Je kunt een klacht indienen bij de ACM over de ongevraagde commerciële mail, en als genoeg mensen dat doen dan kan X een boete krijgen.

Je kunt ook zelf een zaak beginnen, maar voor één e-mail is dat de geld en de moeite niet waard. Met name is er het probleem dat je je schade niet kunt onderbouwen, want jouw tijd als consument is per definitie nul euro waard. (Als ondernemer heb je iets meer kans, maar hoe duur is je tijd voor het weggooien van een e-mail nou helemaal.)

Een route voor de volhouder zagen we recent bij nieuws dat een Nederlandse LinkedIn-gebruiker 50.000 euro krijgt van Microsoft na herhaaldelijk plaatsen van trackingcookies.

Het betrof hier namelijk dwangsommen: de man had eerder een verbod bij de rechter gehaald tegen het plaatsen van zulke cookies, en dat verbod werd nu aantoonbaar overtreden. In tegenstelling tot schade hoeft een boete niet te worden onderbouwd, daar gaat het alleen om het afschrikwekkend effect.

Het kan, dus maar je moet er wel twéé rechtszaken voor voeren, je dossiers op orde houden én bereid zijn een flinke zak met geld (en tijd) er in te steken. Of dat de moeite waard is?

Arnoud

Een lezer vroeg me:

Ik maak in onze organisatie heel traditioneel backups op een Write Once Read Only (WORM) medium. Zo weet ik zeker dat die data niet aangetast kan worden bij cyberaanvallen. Echter, nu zegt onze FG dat dit eigenlijk niet toegestaan is. Van de AVG moet het mogelijk zijn om ook persoonsgegevens uit backups verwijderd te krijgen. Klopt dit? En moet ik dan overstappen naar een ander opslagmedium, met de extra risico’s van dien?

Bij backups is dus de vraag: moet deze data op deze manier (dus met de persoonsgegevens) bewaard worden, of kan deze al weg? Hiervoor moet je dus kijken naar de reden om de brongegevens te wissen. Gaat het om een kopie van dat klantaccount of een kopie van de factuur? De reden om de brongegevens te moeten wissen, geldt net zo goed voor de backup.

Het is zeker mogelijk dat een backup niet aan te passen is. De AVG eist niet het onmogelijke, dus je hoeft niet naar een meervoudig beschrijfbaar medium over te stappen. Maar je moet wel onthouden dát er een geldig verwijderverzoek ligt voor bepaalde gegevens, zodat je dit bij terugzetten van de backup kunt doorvoeren. Anders is dat klantaccount straks gewoon weer terug of staat dat mailadres weer op de nieuwsbrief geabonneerd.

Dit leidt tot een paradox: je creëert dan meer persoonsgegevens (de “wissen na restore” lijst) in reactie op een verzoek om gegevens weg te gooien. Maar in deze situatie kun je niet anders. De data is pas te wissen na terugzetten van de backup naar een meervoudig beschrijfbaar medium, dus moet je nu onthouden dat je dan die wisactie uitvoert. Dat moet dus zo, en als het moet van de AVG dan mag het van de AVG.

Arnoud

Misschien voel je je bekeken door de beveiligingscamera bij het huis van de buren. Zo opende een recent Nu.nl achtergrondartikel. Ik was blij dat ik mee mocht doen, want ik krijg dit érg vaak in de mailbox en heel vaak leidt het tot onnodige escalatie.

Allereerst: een beveiligingscamera mag alleen je eigen grond filmen, en slechts als onvermijdelijk ook andere grond (10cm stoep dat grenst aan je voordeur). Jij moet uitleggen waarom de camera niet iets gedraaid kon en die 10cm vermijden. Zie mijn recente blog over het privacykapje.

Ten tweede: heb je echt een camera nodig? Ter afschrikking, werd vroeger wel gezegd. Tegenwoordig lijken weinig criminelen zich te laten afschrikken door camerabeelden. Film gerust mijn hoodie, zeg maar. Idem voor gebruik als bewijs: als je niet kunt zien wie het was, houdt het al snel op. Voor kleinschalige overlast kan het wél nuttig zijn, aha het is díe buurman die z’n hond uitlaat in mijn voortuin elke week.

Maar het belangrijkste is: hoe ga je om met een buur met camera? Uit het artikel:

Zo’n gesprek met de buren is niet altijd eenvoudig, weet Marianne Grooten. Zij is coördinator buurtbemiddeling in Zwolle. “Voorkom dat je uit ergernis op hoge poten naar je buren gaat. Het is niet handig om aan te bellen als je boos bent, want dan overval je iemand. Zeg rustig dat je graag iets wil bespreken en vraag wanneer het uitkomt. Creëer een setting waarin je een goed gesprek kunt voeren.”

Een valkuil kan zijn om het meteen over oplossingen te hebben. Dan krijg je meteen een sfeer waarin iemand zich wil verdedigen. Ga ervan uit dat je buren je niet expres willen dwarszitten.

Iedereen raadt om die reden dan ook als eerste buurtbemiddeling aan:

Bij buurtbemiddeling worden de problemen tussen buurtbewoners aangepakt door middel van inschakeling van vrijwilligers in de buurt, die vooraf getraind zijn in conflictbemiddeling. In veel gevallen van burenoverlast gaat het daarbij om problemen, die veroorzaakt worden door als hinderlijk ervaren gedrag van buurtgenoten.

Arnoud

Een lezer vroeg me:

Laatst ontving ik op het werk een persoonlijk aan mij gerichte e-mail, zonder anderen in de cc. Een collega meldde me dat de mail echter naar in ieder geval vier anderen is gestuurd. Deze vier personen hebben maar gedeeltelijk iets te maken met de inhoud van de e-mail. Ik was onaangenaam verrast toen ik dit ontdekte en ben erg benieuwd of dit zomaar mag.

Mijn vermoeden is dat de afzender na het versturen dacht dat die andere vier het ook moesten weten, dus toen zijn eigen mail doorstuurde. (Hij had ook bcc kunnen gebruiken, maar dat komt vaker in de spambox of valt minder op.) Mogelijk stuurde deze het naar een andere persoon, die vervolgens de vier er bij haalde.

Hoe het ook zij, de AVG biedt hier natuurlijk geen direct antwoord op. Verder dan algemene criteria zoals zorgvuldigheid en dataminimalisatie kom je hier niet mee. Het komt dan dus neer op de vraag of het nódig was die vier te informeren, en of vanuit de positie van de persoon die de mail naar hen vier stuurde die afweging zo gemaakt kon worden. Hier antwoord op geven kan alleen als we concreet weten om welke mail het gaat en waarom die vier het moesten weten.

Stel de mail gaat over een goedgekeurde vakantie-aanvraag, en de vier zijn managers en collega’s die het werk moeten overnemen. Dan lijkt dit me volkomen normaal.

Stel het gaat over een klacht van de afzender richting de vraagsteller, en deze betrekt er alvast maar even HR, de directeur en de vertrouwenspersoon erbij. Daar zou ik iets meer moeite mee hebben, maar vanuit de afzender begrijpelijk als de klacht hem of haar hoog zit.

Stel de mail is een stukje feedback van de leidinggevende, die het deelde met een mede-manager die het naar vier collega’s doorstuurde. Dat zou ik te ver vinden gaan, daar lijkt me geen reden voor te bedenken. Maar wie dat wel kan: ja, dan zou het weer wel mogen.

Vragen als deze krijg ik vaker. Ik krijg sterk het gevoel dat mensen graag vooral een extra stok willen (de AVG) om te kunnen zeggen dat hier illegaal, onrechtmatig is gehandeld ongeacht wat er nu écht aan de hand is. Maar de AVG is geen apart kanaal waarmee je een andere uitkomst kunt forceren dan via de ‘gewone’ route. Als je manager iets legitiems deed, wordt dat niet ineens onrechtmatig als je het in AVG-termen nog een keer navertelt.

Arnoud