Categorie: Privacy

About Privacy

Subscribe Feeds

Mogen beveiligingsbedrijven gestolen wachtwoorden verzamelen en verkopen?

Geplaatst op in Privacy, Security, 9 reacties
Photo by Lee Campbell on Unsplash

Een lezer vroeg me:

Er zijn cybersecuritybedrijven die gestolen wachtwoorden en andere gegevens uit datalekken verzamelen, bijvoorbeeld via het darkweb of Telegram. Ze maken deze gegevens doorzoekbaar en verkopen aan bedrijven informatie over gelekte accounts van hun medewerkers. Maar het blijven gestolen persoonsgegevens, waarvan de betrokkenen vaak niet eens weten dat ze worden verwerkt. Mag dit zomaar van de AVG? En is het niet een vorm van digitale heling?
Het klinkt wat tegenstrijdig, maar juist door gestolen gegevens te verzamelen kunnen beveiligingsbedrijven veel schade voorkomen. Denk aan een werknemer wiens laptop besmet raakt met malware die wachtwoorden steelt. Door die gegevens terug te vinden, kan de werkgever tijdig accounts blokkeren en wachtwoorden laten wijzigen. Ook de werknemer profiteert hiervan, omdat bijvoorbeeld zijn privéaccounts gecompromitteerd kunnen zijn.

Strafrechtelijk bestaat er inderdaad zoiets als digitale heling. Artikel 139g Strafrecht verbiedt het verwerven, bezitten en verhandelen van niet-openbare gegevens waarvan je weet of moet vermoeden dat ze door een misdrijf zijn verkregen. Maar gegevens die al openbaar op internet staan, vallen hier niet onder. En voor niet-openbare gegevens kent de wet een uitzondering wanneer iemand te goeder trouw mocht aannemen dat het algemeen belang het gebruik noodzakelijk maakte. Het waarschuwen voor beveiligingsincidenten kan daaronder vallen, ook als er een commercieel motief mee gediend is.

Dan de AVG. Die erkent in overweging 49 uitdrukkelijk dat netwerk- en informatiebeveiliging een gerechtvaardigd belang kan opleveren. Toestemming van iedere betrokken werknemer is dus niet per definitie nodig. Wel moet de verwerking noodzakelijk en proportioneel zijn. Een werkgever waarschuwen dat een zakelijk account is gehackt, is iets heel anders dan hem de complete browsergeschiedenis en privéwachtwoorden van zijn medewerker verstrekken.

Daar komt bij dat het Hof van Justitie recent heeft geoordeeld dat wie weet dat persoonsgegevens eerder onrechtmatig zijn verzameld, zich voor het vervolgens gebruiken daarvan niet op het gerechtvaardigd belang kan beroepen (NTH Haustechnik, r.o. 112). De context was weliswaar of de rechter zulke stukken als bewijs mocht toelaten, maar de redenering is algemeen: je belang is niet gerechtvaardigd als je begint met onrechtmatig verkregen gegevens.

Ik denk dat dit oordeel de commerciële handel in gestolen gegevens behoorlijk onder druk zet. Bij infostealer-logs weet de aanbieder immers dat de gegevens door malware zijn buitgemaakt. Dat een beveiligingsbedrijf hiermee anderen wil beschermen, maakt het opnieuw verzamelen van die gegevens niet rechtmatig. Het gerechtvaardigd belang is daarvoor volgens het Hof geen beschikbare grondslag.

Een andere AVG-grondslag voor het systematisch binnenhalen en indexeren van complete gestolen datasets zie ik niet snel. Anders ligt het bij een werkgever die eigen beveiligingslogs analyseert, of een meldpunt dat op basis van door slachtoffers verstrekte informatie anderen waarschuwt. Daarvoor kan het gerechtvaardigd belang nog steeds een geschikte grondslag zijn.

Arnoud

Mag de curator een databestand van een failliet bedrijf verkopen voor AI-training?

Geplaatst op in Innovatie, Privacy, 13 reacties
Photo by Zulfugar Karimov on Pexels

Diverse media melden dat Google tijdens een veiling de gegevens van een failliet Amerikaans luchtvaartbedrijf heeft opgekocht. Het gaat om grote aantallen e-mails, chatgesprekken, opgenomen telefoongesprekken met klanten en documenten, maar ook allerlei gegevens van personeel, waaronder salarisgegevens, belastingformulieren en andere ‘employee records’. Uiteraard gaan ze hier AI mee trainen. Zou dat in Nederland ook kunnen?

De honger naar gegevens om generatieve AI beter mee te laten werken is onstilbaar, zo lijkt het. Uit alle hoeken en gaten wordt data opgestofzuigd om daar taalmodellen mee te verbeteren. Deze is wel heel creatief gevonden, maar ik zie hoe die berg semi-gestructureerde data waardevol kan zijn.

In Nederland is de status van data bij een faillissement nauwelijks geregeld. Curatoren verkopen databestanden net zoals ze oude bureaustoelen verkopen, want het gaat om “het belang van de boedel” en dus om zo veel mogelijk geld halen om schuldeisers tevreden te stellen.

De AVG zit hier echter stevig in de weg, want een curator wordt verwerkingsverantwoordelijke (in plaats van de failliet) zodra die bij de data kan. In deze zaak bijvoorbeeld was de curator aansprakelijk voor een abusievelijk verkochte harde schijf met persoonsgegevens, ook al leek die niet geweten te hebben dat die schijf nog in de verkochte server zat.

Handel in persoonsgegevens afkomstig van een failliet is dus eigenlijk niet mogelijk. Zoals de AP zelf aangeeft, dat kan alleen met toestemming van de betrokkenen en die krijg je vrijwel niet voor elkaar. Omdat het gaat om een nieuw en onvoorzien doel, krijg je de doelbinding niet rond als je het op bijvoorbeeld gerechtvaardigd belang gooit.

Google heeft aangegeven de gegevens eerst te zullen anonimiseren. Dat is natuurlijk het AVG-toverwoord: áls je de persoonsgegevens anoniem maakt, dan kun je die anonieme data verhandelen zoals je wilt. Het is echter de vraag of dat kan, want een personeelsdossier blijft persoonsgegevens bevatten ook als je de naam en salarisnummer er uit haalt. En als je werkelijk alles er uit haalt dat over dat personeelslid gaat, weet ik niet of je nog veel over hebt waar een taalmodel wat mee kan.

Arnoud

Noorse AVG-toezichthouder legt Microsofts Xandr een boete van 8,5 miljoen euro op

Geplaatst op in Privacy, nog geen reacties
Photo by Jakub ?erdzicki on Unsplash

Het advertentiebedrijf Xandr, tegenwoordig onderdeel van Microsoft, heeft een AVG-boete van 92 miljoen Noorse kroon (zo’n 8,5 miljoen euro) gekregen wegens het verwerken van persoonsgegevens van gebruikers van datingapp Grindr. Dat meldde de Noorse privacytoezichthouder vorige week.

De zaak gaat over real-time bidding, oftewel het automatisch veilen van advertentieruimte. Als je een app opent, worden gegevens over jou naar advertentieplatforms gestuurd, waarna adverteerders in milliseconden bieden op de mogelijkheid jou een advertentie te tonen. Xandr verzorgde zulke veilingen voor onder meer de gay dating app Grindr. Daarbij werden gegevens zoals advertentie-ID’s, IP-adressen en de gebruikte app gedeeld met mogelijk duizenden bedrijven.

Bij Grindr is dat extra problematisch. De app richt zich voornamelijk op homoseksuele en biseksuele mannen, zodat het enkele gebruik al iets kan onthullen over iemands seksuele gerichtheid. Dat maakt deze informatie tot een bijzonder persoonsgegeven onder artikel 9 AVG, zo oordeelde de Noorse rechter al in de eerdere boetezaak tegen Grindr. Daarvoor hoeft niet vast te staan dat iedere gebruiker homoseksueel is. Hetzelfde zou overigens gelden voor een datingapp die zich specifiek op heteroseksuelen richt: ook heteroseksualiteit is een seksuele gerichtheid. Voor deze verwerking was dus uitdrukkelijke toestemming nodig.

Grindr had wel toestemming gevraagd, maar die voldeed niet aan de AVG. Daarvoor kreeg het bedrijf in 2021 al een boete van 65 miljoen kroon. Xandr stelde dat het erop mocht vertrouwen dat Grindr dit goed had geregeld. Sterker nog, in het contract stond zelfs dat Grindr geen bijzondere persoonsgegevens mocht aanleveren.

De toezichthouder ging daar niet in mee. Xandr was niet slechts een technisch doorgeefluik, maar mede-verwerkingsverantwoordelijke. Het bedrijf bepaalde zelf belangrijke onderdelen van de advertentieveilingen, waaronder de inrichting van het platform en de mogelijkheden voor het delen van gegevens. Daarmee bepaalde het mede doel en middelen van de verwerking.

En als je mede-verwerkingsverantwoordelijke bent, moet je zelf kunnen aantonen dat de verwerking rechtmatig is. Artikel 5 lid 2 AVG legt die verantwoordingsplicht bij iedere verantwoordelijke. Je mag prima afspreken dat een ander de toestemming vraagt, maar je moet wel vaststellen dat die toestemming geldig is en ook jouw verwerking dekt. Een contractuele garantie dat de ander zich aan de AVG houdt, is daarvoor niet genoeg.

Dit doet denken aan het IAB-arrest uit 2024, waarin het Hof van Justitie oordeelde dat ook de organisatie achter het technische raamwerk voor advertentietoestemming mede-verwerkingsverantwoordelijke kon zijn.

De consequentie voor de advertentie-industrie is fors. Het is niet genoeg dat een platform een vinkje ’toestemming verkregen’ ontvangt. Het moet ook kunnen vaststellen dat achter dat vinkje een rechtsgeldige toestemming zit. Als je systeem dat niet kan, kun je niet op basis van dat vinkje persoonsgegevens blijven verhandelen. Ook niet als iedereen in de keten contractueel heeft beloofd dat het wel goed zit.

Arnoud

Mag Siri Recap op het werk meeluisteren en gespreksnotities voor me maken?

Geplaatst op in Ondernemingsvrijheid, Privacy, Uitingsvrijheid, 8 reacties
Photo by Mike Tinnion on Unsplash

Een lezer vroeg me:

Apple heeft een nieuwe feature voor de Apple Watch aangekondigd, Siri Recap. Daarmee kun je gesprekken met personen automatisch tot samenvattingen laten uitwerken. Apple claimt dat deze samenvattingen niet naar mensen zijn te herleiden of dat uitspraken aan personen zijn toe te schrijven. Als teamcoördinator lijkt Siri Recap me erg handig. Dagelijks heb ik vele werkoverleggen en ook gesprekken met klanten. Kan ik deze feature in een zakelijke omgeving gebruiken, en welke grenzen gelden er dan?
Op 9 september 2026 kondigde Apple voor de Apple Watch Series 12 en Ultra 4 de functie Siri Recap aan. Die maakt “high-level summaries” van gesprekken, alleen de kernpunten zodat je later weet waar je ook alweer over praatte. Apple zegt daarbij dat ze geen namen van sprekers in de samenvatting opnemen, en dat “door de overheid toegewezen identificatiegegevens, authenticatiegegevens en bepaalde persoonlijke identificatiegegevens” worden weggelaten.

Nadrukkelijk doet men geen uitspraak over de AVG, want die verantwoordelijkheid wordt netjes bij jou gelegd, zoals dat gaat bij Big Tech. Het gesprek is soort van anoniem, maar jij weet over wie het gaat. En als jij het dan in het klantrelatiesysteem of HR-dossier van diegene opbergt, dan heb ik er geen twijfel meer over dat hier sprake is van persoonsgegevens.

Recap klinkt als een vast nuttige functie, maar de AVG ontsnap je er niet mee. Heel misschien als je betoogt dat het alleen samenvattingen voor je eigen persoonlijk gebruik zijn, want dan val je via de uitzondering voor strikt persoonlijk gebruik er buiten. Dat kán ook in een zakelijke context, maar zodra gegevens centraal worden opgeslagen gaat dat niet meer op.

De aanvullende features die Apple gebouwd heeft, helpen bij het AVG-proof krijgen van het gebruik. Er komt geen volledig transcript, laat staan een opname. Alles gaat na een week weg tenzij jij expliciet kiest voor een export. En ze proberen “bepaalde gevoelige gegevens” weg te houden uit de uitvoer.

Zo ongeveer het enige dat ik echt mis, is de informatieplicht: hoe weet je als gesprekspartner dat jouw horloge meeluistert en op hoofdlijnen vastlegt wat jullie aan het bespreken zijn? (Geen flauwe grappen dat Apple-adepten je altijd meteen vertellen wat hun nieuwe gadget kan, graag.) Maar in de kern is ook dit niet anders dan andere meeluister- of transcriptietools, of zelfs maar het handmatig maken van een samenvatting.

Arnoud

Mag ik in het magazijn een AI-bril gebruiken om artikelnummers te scannen?

Geplaatst op in Privacy, 6 reacties
Photo by Tiger Lily on Pexels

Een lezer vroeg me:

Er is veel te doen over camerabrillen. Daarbij gaat het steeds over het publieke domein, maar hoe zit dit in een bedrijfsomgeving? Ik zou me kunnen voorstellen dat je in een magazijnomgeving een AI-bril gebruikt om artikelgegevens, zoals artikelnummers en artikelnamen te lezen. Dan staat die bril wel de gehele dag aan en komen collega’s waarschijnlijk in beeld. Hoe zit dat juridisch?
De discussie over camerabrillen gaat primair over de privacy van mensen die gefilmd worden zonder dat ze het door hebben. Het lastige hierbij is dat het niet direct strafbaar is om dat te doen – in de openbare ruimte. (Er zitten wel vele AVG-bezwaren aan, maar dat is bestuursrecht.)

Waar het gaat om filmen in een besloten ruimte, zoals het magazijn van een winkel of een kantoorruimte, is er wél een strafbaarstelling (art. 139f Sr): gebruik van “een technisch hulpmiddel waarvan de aanwezigheid niet op duidelijke wijze kenbaar is gemaakt”. Het maakt dus niet uit of de camera rondloopt of vastzit, het gaat er alleen om of je in die ruimte duidelijk kenbaar maakt dat er wordt gefilmd (of gefotografeerd).

Ik denk dat een bordje een heel eind komt, maar omdat de camera hier vervat is in een bril denk ik dat je iets meer nodig hebt vanwege de noviteit daarvan.

Blijven de AVG bezwaren: naast het bordje moet een privacyverklaring want hoe zo en waarom worden er beelden van mensen gemaakt en wat gebeurt daar mee? “Die zijn bijvangst en gooien we automatisch weg” komt daar een heel eind, aangenomen dat dat inderdaad ook zo gebeurt.

Ga je de bril wél gebruiken om op het werk collega’s (of klanten) te filmen dan wordt dat in een besloten omgeving een lastiger verhaal. Dan kom je al snel bij discussies over volgen van personeel (wat instemming OR vereist) of profileren terecht. Daarbij weegt zwaarder dat het in een besloten ruimte gebeurt, omdat je daar nou eenmaal meer privacy mag verwachten.

Arnoud

Is het een datalek als we de oude correspondentie van een overledene bij het oud papier doen?

Geplaatst op in Privacy, 13 reacties
Photo by PublicDomainPictures on Pixabay

Een leezr vroeg me:

Onlangs hebben mijn broers en ik het huis van mijn overleden vader leeggeruimd. Die had bij leven dozen en dozen met correspondentie gemaakt met kennissen uit binnen- en buitenland. Geen van de kinderen of kleinkinderen had veel behoefte aan deze vele kilo’s papierwerk als herinnering aan vader/opa, dus uiteindelijk hebben we alles rücksichtlos in de papiercontainer gemikt. Maar nu vraag ik me toch af: hebben we niet een enorm datalek veroorzaakt door dit zomaar weg te gooien, in plaats van het door een shredder te halen?
De AVG kent een uitzondering voor verwerkingen “door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit” (artikel 2 lid 2). Het voeren van (persoonlijke) correspondentie met kennissen wordt in overweging 18 letterlijk genoemd als een voorbeeld van die uitzondering.

Daarnaast gaat het hier om papieren in dozen, zonder kennelijk iets van indexatie of structuur. De AVG geldt bij niet-elektronische verwerkingen alleen als de persoonsgegevens “in een bestand zijn opgenomen of die bestemd zijn om daarin te worden opgenomen” (artikel 2 lid 1). Van een bestand is pas sprake (artikel 4 lid 6) als de collectie “volgens bepaalde criteria toegankelijk” is, wat inhoudt dat je er in kunt zoeken of anderszins makkelijk specifieke elementen terug kunt vinden (HvJ-uitspraak C-25/17 Jehovan todistajat).

Als de correspondentie bijvoorbeeld zakelijk was (opa was schrijver of academicus en onderhield zo een zakelijk netwerk) dan wordt het dus relevant hoe de betreffende brieven in die dozen zaten. Kun je daarbij zeggen dat dit het makkelijker maakte om een brief te vinden, die van dokter Clavan uit november 1989 bijvoorbeeld? Als dat zo is, dan is de collectie een bestand te noemen en dan zou de AVG gelden.

Het vernietigen van een bestand is óók een vorm van verwerken en moet dan ook aan de AVG voldoen. Gebeurt dat niet zorgvuldig (artikel 32), dan spreken we van een datalek (artikel 4 lid 12) wanneer daardoor ongeoorloofde toegang voor derden ontstaat. Van dat laatste is wel sprake als iedereen de papiercontainer kan openen en de brieven kan lezen.

Voor een datalek is meer nodig dan “iemand kon er bij”. Het criterium is of de beveiliging geschonden is, en daarbij hoort de vraag of die beveiliging adequaat was. Bij persoonlijke correspondentie, zeker in dozen en dozen, is het nogal wat om te verlangen dat al die dingen verbrand of versnipperd worden. Dan zou ik echt willen weten om wat voor soort brieven het gaat om te bepalen of die kosten en moeite het waard zijn. Maar dan moeten ze inderdaad op een veilige manier vernietigd worden.

Gaat het om alledaagse correspondentie, dan zie ik weinig tot geen reden om meer te doen dan gewoon in de container bij wijze van vernietiging. De vrijwel afwezige beveiliging is dan dus in die context adequaat, omdat er weinig tot geen risico’s zijn voor de correspondentiepartners. En om diezelfde reden hoeft het datalek – áls iemand de brieven toch leest – dan niet gemeld te worden en ontstaat geen aansprakelijkheid jegens diezelfde partners.

Arnoud

Als je wordt afgeperst met je persoonsgegevens, kun je het losgeld dan verhalen op de datalekker?

Geplaatst op in Privacy, Security, 18 reacties
Photo by RoyBuri on Pixabay

Hackers persen klanten boodschappendienst Flink af: betalen of data gepubliceerd. Dat kopte de NOS vorige week. Dus niet de organisatie, maar de klanten die dachten dat hun data daar veilig was. Voor diverse lezers aanleiding te vragen: kun je dat als schadevergoeding claimen bij Flink?

Het gaat niet om grote bedragen: men wil 10 tot 15 euro, “een klein bedrag voor je gemoedsrust” zo citeert men de criminelen. Er zouden gegevens van een miljoen klanten buitgemaakt zijn, en 15 keer een miljoen is toch aantrekkelijk voor criminelen.

Moet je betalen? Nee, natuurlijk niet, zo luidt het verstandige advies. Je hebt geen zekerheid dat ze later niet terugkomen, net zoals je dat bij ‘ouderwetse’ chanteurs en afpersers niet hebt. Aangifte doen, chantage is strafbaar (art. 318 Sr) en gelekte persoonsgegevens kunnen een ‘geheim’ zijn onder dat wetsartikel.

Maar goed, iemand betaalt dan toch. Is dat schade die je bij de verwerkingsverantwoordelijke kunt claimen? Op geld waardeerbare schade komt voor vergoeding in aanmerking (aangenomen dat het datalek verwijtbaar is). En hier heb je een direct hard getal in geld.

Juridisch is het probleem dat losgeld betalen niet direct voortvloeit uit het datalek zelf. Het is een nieuw feit, ontstaan door acceptatie van het chantage-aanbod. Een hardvochtig jurist citeert dan artikel 6:101 BW en noemt het “eigen schuld”: jij koos er voor te betalen, daar kan de gehackte partij niets aan doen.

Ik heb daar moeite mee, en zou dit dus pareren met een beroep op de billijkheid uit de omstandigheden van dit geval. Wie bedreigd wordt met publicatie van gevoelige persoonsgegevens, kun je niet verwijten een onlogische keuze te hebben gemaakt. Die persoon had niet in die situatie gebracht moeten zijn, en dat dat wel is gebeurd, is (bij een verwijtbaar datalek) de schuld van de verwerkingsverantwoordelijke.

Dus ja, ik zie die schade wel als verhaalbaar op de partij die de gegevens lekte. Natuurlijk moet dan wel vaststaan dát die gegevens daar vandaan zijn verkregen, maar de criminelen zeggen dat er kennelijk netjes bij.

Arnoud

Film je de buren niet meer als je het zicht op hen uitblurt met een privacyscherm?

Geplaatst op in Privacy, 21 reacties
Photo by WebTechExperts on Pixabay

Het privacyscherm of blur is in veel beveiligingscamerasystemen een oplossing tegen ongewenst meekijken. Markeer in de software een gebied dat buiten beeld moet blijven, en daar komt in de opname een zwart scherm of een serie pixels. Een recent arrest uit Den Bosch zet hier echter vraagtekens bij.

De zaak is onderdeel van een breder geschil over waar de perceelgrens loopt tussen een bedrijvenpand en een woonhuis, waarbij onder meer een betonnen muur was gesloopt. In dit hoger beroep ging het vooral over de vele camera’s die er hangen.

In eerste instantie had de rechter geoordeeld dat de camera’s weg moesten. Dat was ook gebeurd, maar daarna kwamen er nieuwe te hangen want dat verbood het vonnis niet, mits “deze het perceel van [geïntimeerde] niet mogen filmen”. En dat was niet zo, want dat had het installatiebedrijf geregeld met dus zo’n privacyblok:

Zij voert aan dat daarop duidelijk zichtbaar is dat de beveiligingscamera’s [] niet op het perceel van [buurman] kunnen filmen. Dit heeft zij gerealiseerd door het beeld dat de beveiligingscamera’s weergeven zodanig te programmeren dat alles achter blauwe lijnen wordt afgedekt met zwarte vlakken. Ter zitting is namens [het bedrijf] bevestigd dat de tuin van de buren niet zichtbaar is “omdat er zwarte blokken” in het beeld zijn geplaatst.
Het Hof heeft daar moeite mee omdat “de mogelijkheid van observatie van het buurperceel” nu blijft bestaan. Immers, die blokken zijn een software-instelling en dat kun je zo ongedaan maken.

Nee hoor, aldus het bedrijf: alleen het ingeschakelde beveiligingsbedrijf kan dat, en wij niet zelf. Maar het Hof vindt dat niet overtuigend. Dat bedrijf is gewoon je hulppersoon, en die kun je gewoon vragen om een instelling te wijzigen. Die hebben geen reden om dat te weigeren.

Hang ze maar ergens anders op:

Dat de betreffende camera’s niet zodanig gepositioneerd kunnen worden dat het perceel van [buurman] ook zonder de zwarte blokken niet in beeld komt, heeft [bedrijf] naar het oordeel van het hof gesteld noch onderbouwd. Weliswaar heeft [bedrijf] aangevoerd dat het belangrijk is dat de camera hoog hangt zodat de bovenkant van de voertuigen op het terrein is te zien, maar de camera’s kunnen dan even goed, zoals [buurman] heeft aangevoerd, op een paal worden bevestigd, met de “rug” naar de erfgrens, zodat de camera’s juist naar de oprit en loods “toestralen” in plaats van richting het perceel van [buurman].
Bijgevolg is de noodzaak niet aangetoond, en de privacyinbreuk wordt daarmee onrechtmatig. Dat de installatie “volgens de wettelijke voorschriften” is gebeurd, is daarmee niet relevant.

Betekent dit nu dat uitblurren of -blokken nooit voldoende kan zijn? Dat gaat me te snel. Het kan een passende maatregel zijn, maar je moet wel het tegenargument “die instelling kan zo ongedaan gemaakt worden” kunnen pareren. Met afspraken met het beveiligingsbedrijf op papier zou dat bijvoorbeeld kunnen. Maar je kunt ook een hardere oplossing zoeken, zoals een metalen plaatje voor de lens dat het buurerf rechtstreeks afschermt.

Arnoud

Moet een supermarkt het melden als ze met AI winkeldieven opsporen via het camerasysteem?

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 20 reacties
Photo by ElasticComputeFarm on Pixabay

Een lezer vroeg me:

Sommige winkels gebruiken beveiligingscamera’s met AI om gemaakte beelden te analyseren. Dit zou winkeldiefstal moeten tegengaan. Hoewel vrijwel iedereen keurig waarschuwt voor cameratoezicht, heb ik nog nergens bordjes gezien dat er ook een AI-analyse plaatsvindt. Is dat eigenlijk niet verplicht onder de AI Act?
Per 2 augustus jongstleden is de zogeheten transparantieplicht uit de AI Act (artikel 50 lid 1) van kracht geworden. “AI-systemen die voor directe interactie met natuurlijke personen zijn bedoeld” moeten die personen duidelijk maken “dat zij interageren met een AI-systeem”. Primair is dit bedoeld tegen misleidende chatbots die zich voordoen als mensen.

De AI Act definieert niet wat “directe interactie” betekent. De Richtsnoeren van de Commissie, die in juli verschenen  (sectie 3.1.1), vullen de term nader in: het moet gaan om realtime of near realtime interactie, waarbij de AI-uitvoer direct bij de betrokken persoon terecht komt. “Interactie” is dan een bidirectionele uitwisseling van informatie, waarbij iedere partij ten minste één bericht naar de ander stuurt.

Dit is waar het op misgaat met een antidiefstal-AI: die communiceert niet met shoppers, dus de shoppers hoeven niet te weten dat die AI wordt ingezet. Hooguit moet het personeel dat weten, als we “het scherm geeft een waarschuwing en jij moet op Ok klikken” lezen als een interactie. Maar als professioneel gebruiker zal dat wel duidelijk voor ze zijn, en dan hoeft een aparte melding niet.

Dat is alleen niet het hele verhaal. Zo’n AI-signalering is onder de AVG een vorm van geautomatiseerde besluitvorming. Ik ben er nog niet uit of dit onder het verbod van artikel 22 valt, want is dit “in aanmerkelijke mate treffen”? De AVG noemt zaken als automatisch een kredietaanvraag weigeren of een sollicitatie afwijzen, en de Richtsnoeren (WP251) geven als aanvullend criterium of het “de omstandigheden, het gedrag of de keuzen van de betrokken personen in aanmerkelijke mate [treft]”. Zeg het maar.

Maar los van die discussie, als er persoonsgegevens worden verwerkt met als doel te komen tot een signalering “mogelijk winkeldief” dan moet dat duidelijk worden gemeld (artikel 12 en 14). Op zijn minst vereist dat een toelichting in de privacyverklaring, maar ik denk dat je niet ontkomt aan een bordje gezien het nieuwe en bijzondere karakter van deze verwerking. Wie er eentje ziet: ik ontvang graag de foto!

Arnoud

Toezichthouder adviseert ziekenhuizen en organisaties camerabrillen te verbieden

Geplaatst op in Privacy, Uitingsvrijheid, 4 reacties
Bron: EZOnTheEyes>

De Nederlandse Autoriteit Persoonsgegevens (AP) adviseert ziekenhuizen, rechtbanken en andere organisaties om camerabrillen bij hen te verbieden. Dat meldde Tweakers gisteren. Directe aanleiding lijkt de Meta-bril (hiernaast hoe die er van ‘binnen’ uit ziet) te zijn, hoewel er natuurlijk meerdere leveranciers zijn.

Die brillen zijn vaak in strijd met de AVG, zo legt de toezichthouder uit:

Wilt u de opnames in bredere kring delen [dan thuis]? Bijvoorbeeld op sociale media? Dan geldt de uitzondering voor persoonlijk of huishoudelijk gebruik niet. U mag anderen niet zomaar filmen en de beelden op internet delen. De AVG bepaalt wanneer dit wel mag. Meestal betekent dit dat de mensen die op de foto’s en filmpjes staan, toestemming moeten geven.
‘Meestal’, want je kunt je ook beroepen op een eigen gerechtvaardigd belang te weten de vrijheid van informatie garen en verspreiden (“vrijheid van meningsuiting”). En dan krijg je die beruchte belangenafweging van privacy van de gefilmden versus jouw nieuwsbelang bij het maken en uitzenden van de beelden.

Nou ben ik de eerste om de AVG van anti-informatievrijheden te beschuldigen, maar specifiek bij camerabrillen heb ik er moeite mee een goed argument te verzinnen. Ik vind het wezenlijk anders dan met een ‘echte’ camera of zelfs een mobiel in de hand rond te lopen: daarvan ziet iedereen dat je het doet. Je moet enige moeite doen, en dat geeft een rem.

Een camerabril heb je altijd op, of die filmt kun je van buitenaf niet zien (een klein wit lampje zie je toch niet in de buitenlucht). En daar komt bij dat de beelden naar Big Yankee Tech gaan om daar voor innovatieve dienstverbetering en algehele maatschappelijke vooruitgang (lees: killer drones bijtrainen) gebruikt te worden.

Een slimmerik heeft een app gemaakt die camerabrillen detecteert, met de onmiddellijke kanttekening dat mensen lastigvallen die zo’n bril dragen natuurlijk tegen de wet is.

Arnoud