Categorie: Privacy

About Privacy

Subscribe Feeds

Waar moet ik écht op letten in de lap tekst die we privacyverklaring noemen?

Geplaatst op in Privacy, 4 reacties
Photo by Amador Loureiro on Unsplash

Een lezer vroeg me verzuchtend:

Of ik nu software installeer, een account aanmaak of een dienst afneem, overal moet ik akkoord gaan met een privacy policy. Vaak pagina’s lang en niet altijd even makkelijk leesbaar. Waar moet ik nu op letten als ik een privacy policy lees, wat is echt belangrijk?
Ah, de privacy policy, privacyverklaring, privacy statement of GDPR notice. Weinig dingen zijn zó vol met oubollige geruststellende taal waar werkelijk niemand op zit te wachten. Maar het moet: artikel 13 en 14 AVG eisen toelichting in duidelijke taal bij ieder gebruik van persoonsgegevens door bedrijven of instanties.

De structuur van de meeste van deze teksten is dan ook dezelfde. Men benoemt wat de AVG voorschrijft. Welke categorieën gegevens verzamelt men, voor welke doeleinden en met welke AVG-grondslag is dat gerechtvaardigd. Je hebt rechten, zoals inzage en correctie. Gegevens worden goed beveiligd, en bij klachten kun je de functionaris gegevensbescherming benaderen. Oh ja, en de verklaring kan van tijd tot tijd wijzigen.

Mocht dit vrij algemeen klinken: dat klopt. Ik durf wel te zeggen dat het gros van deze teksten geschreven is zonder uitgebreid overleg met de technische en marketingmensen die de software of dienst aan de man brengen. En het helpt natuurlijk al helemaal niet dat ChatGPT en consorten in 3 seconden een “volledig AVG proof privacycverklaring” kan ophoesten, waardoor je als ondernemer niet eens meer naar de privacymensen hóeft te gaan.

Inderdaad, ik ben buitengewoon cynisch over het instrument. De vele vele onderzoeken (hier eentje uit 2019) bevestigen dat ook: het lezen kost enorm veel tijd en echt wijzer wordt je er niet van.

Het probleem is voor mij niet zozeer “waar moet je op letten” als wel “staat er iets in waar je wat mee kunt”. Wat vaak fijn is om te weten, is of je persoonsgegevens naar de VS gaan. Maar juist dat staat er zelden tot nooit hard in. (In de praktijk mag je gewoon aannemen dat dit gebeurt, gezien 99% van de diensten uiteindelijk tot Amerikaanse IaaS te herleiden is.) Ook hoe een en ander beveiligd is, kom je niet echt te weten. Met een beetje geluk wordt verwezen naar een beveiligingsbeleid of een opmerking over ISO 27001.

Het enige dat in de praktijk zinnig is, is de contactgegevens van degene bij wie je moet zijn bij klachten of je rechten inzake de omgang met persoonsgegevens.

Om het dan niet ál te cynisch te maken: Tuurlijk zijn er genoeg bedrijven en privacy officers die serieus hun best doen het goed uit te leggen. Maar bijsluiters zijn naar hun aard moeilijk specifiek te krijgen, zeker als je organisatie wat groter is en je toch meerdere producten en varianten moet dekken.

Wat wérkelijk helpt, is bij de plekken in je software of dienst waar je persoonsgegevens verkrijgt gerichte uitleg plaatsen over het hoe en waarom. Dus niet “Wij en onze 9157 partners respecteren uw privacy, lees de privacyverklaring voor details”, maar “Uw geboortedatum vinden wij handig om u op uw verjaardag een cadeautje te kunnen mailen”.

Oh ja en terzijde: wil iedereen stoppen met akkoord vragen op privacypolicies onder welke naam dan ook? De AVG is vrij duidelijk dat het gaat om een mededeling, een uitleg. Privacyverklaringen zijn bijsluiters, meer niet. Het is onzinnig en overbodig om te vragen of men het daarmee eens is. Ook als je meent persoonsgegevens te gebruiken onder de grondslag toestemming – toestemming vraag je apart en expliciet, niet in een lap tekst achter een hyperlink.

Arnoud

Mag je met drones huizen van de sterren filmen omdat dat ergens ook nieuws is?

Geplaatst op in Privacy, Uitingsvrijheid, 25 reacties

Arjen Lubach, Jandino Asporaat en nog heel wat andere BN’ers schrikken zich rot: er is opeens een juicekanaal met vleugels opgestaan. Dat las ik bij Mediacourant. Het gaat om Sterren TV, dat met drones boven de BN’er-huizen vliegt. In veel video’s zijn de huizen, tuinen en de rest van de directe omgeving duidelijk herkenbaar.

Op Youtube is het kanaal inmiddels verwijderd wegens schending van de gebruiksvoorwaarden, maar Instagram heeft (nog?) geen maatregelen genomen. Sterren TV zelf ziet geen probleem met wat zij doet:

Allereerst is het belangrijk om te beseffen dat bekende Nederlanders, door hun rol als artiest, sporter of presentator, bewust een publieke status hebben aangenomen. Zij profiteren van hun bekendheid – financieel en maatschappelijk – en moeten daarom ook accepteren dat er publieke belangstelling is voor aspecten van hun leven buiten hun werk. Hun huis maakt daar, tot op zekere hoogte, onderdeel van uit.
Men wijst op al langer staande praktijken zoals Bekende Buren dat ook vol staat met huizenfoto’s en natuurlijk de vele reportages over nieuwe huizen, verbouwingen en andere vastgoedperikelen van BN’ers.

In december blogde ik over de vraag wat te doen tegen een drone boven de achtertuin. Het probleem: “je mag niet vliegen boven privé eigendom” is geen juridisch houdbare regel. Dit is niet expliciet geregeld in de Nederlandse of Europese regels rond drones.

Waar de politie in de Telegraaf de uitspraak “Tuinen of afgesloten terreinen filmen mag uitsluitend met toestemming van de eigenaar”  op baseert, is mij niet duidelijk. (Een proefproces of het erfvredebreuk is om boven een erf te hangen met een drone, zou ik wel een goed idee vinden.)

Wie hier wat tegen wil doen, moet dus met andere regels komen. Inbreuk op de privacy ligt voor de hand, en we kennen allemaal dat voorbeeld uit 2017 waarbij iemand de drone uit de lucht schoot. Die drone mocht daar niet vliegen vanwege de privacyschending die het gaf, maar de schade werd verrekend met de eigenrichting met de luchtbuks.

Er zijn ook mensen die een drone blaster overwegen, die met radioverstoring werkt en zo de besturing uitschakelt. Ik hzeg het maar even: drone blasters zijn illegaal, het verstoren van het radiospectrum is verboden.

Ik lees dat de Autoriteit Persoonsgegevens is ingeschakeld. Het is een leuke tentamenvraag of beelden van een huis als persoonsgegeven aan te merken zijn. Ik denk het hier wel, omdat ze nadrukkelijk worden verbonden aan de persoon die daar woont en daardoor herleidbaar worden.

Alleen speelt er hier nog iets anders: de AP mag niet optreden tegen journalistieke verwerkingen van persoonsgegevens. Dat zou de uitingsvrijheid in gevaar brengen en daar is de AVG niet voor bedoeld.

Je kunt je natuurlijk afvragen of hier sprake is van ‘nieuws’. Het daarbij leidende arrest is Caroline von Hannover II uit alweer 2012 en formuleerde vijf rechtsvragen om dit te bepalen bij nieuws over bekende personen:

  1. Is sprake van een “bijdrage aan een debat dat in de publieke belangstelling staat”, een “debate of general interest” in het jargon. Oftewel, wat voegt dit toe, waarom willen we dit weten?
  2. Hoe bekend is de persoon en wat is het onderwerp van het bericht? Hier komt de opvatting “Publieke figuren moeten meer tolereren” vandaan. Het maakt bijvoorbeeld uit of het gaat over een hooggeplaatst persoon in functie of ‘gewoon’ iemand in diens privéleven.
  3. Hoe de persoon waarover wordt bericht zich in het verleden heeft gedragen. Wie zelf eerder de publiciteit zocht, kan minder makkelijk daarna zich aan persaandacht onttrekken.
  4. De inhoud, vorm en gevolgen van de publicatie.
  5. De omstandigheden waaronder de fotos zijn genomen.
Het eerste criterium is eigenlijk het belangrijkste, en daar gaan we al heel snel op onderuit. Als er nou iets raars was met die huizen, iets waardoor het onderwerp “het huis van Arjen Lubach” nieuwswaarde had, dan kun je nog aan zo’n bijdrage komen. Maar vanuit het niets dat huis filmen, dat voegt niets toe.

Arnoud

Meta verbieden haar AI te trainen op jouw data, het kan bij de rechter

Geplaatst op in Ondernemingsvrijheid, Privacy, 2 reacties
Photo by Rob Martin on Unsplash

[verzoeker] verzoekt Meta te verbieden om zijn persoonsgegevens, althans zijn “informatie” te combineren tussen Facebook en /of Instagram, en/of enige andere dienst(en) van Meta, waarvoor Meta Ads, Meta AI, “AI-tools voor advertentiemateriaal” en/of (het genereren van) modellen, waaronder modellen die Meta in Meta AI gebruikt en via een open platform aanbiedt en dat open platform. En de rechter wijst dat toe, op straffe van een ton per overtreding. Wut?

Dat Meta bezig is met AI-modellen te trainen op Facebook- en Instagramdata is al geruime tijd in het nieuws. Men biedt een opt-out, vanuit de AVG-redenering dat dit mag op grond van gerechtvaardigd belang. Die grond vereist geen toestemming maar wel een opt-out (“recht van bezwaar”, artikel 21).

Of dat opgaat is de vraag, maar echt actie vanuit AVG-toezichthouders lijkt er niet te komen. De AP waarschuwde mensen wel om zich af te melden, maar ik heb geen geluiden gezien dat er verboden werden overwogen.

De verzoeker in deze small claims rechtbankprocedure had een stapje buiten de AVG gekeken en geconcludeerd dat de Digital Markets Act dit eigenlijk onmogelijk maakte. Dus bezwaar maken was niet aan de orde, het mag gewoon niet vanwege de machtspositie van Meta. Bovendien kon je alleen bezwaar maken met een account, en werkte het “Blokkadescherm” technisch niet.

Small claims, kent u die uitdrukking? De Europese procedure voor geringe vorderingen (ESCP) is expliciet gemaakt om ‘kleine’ en makkelijke zaken (tot 5.000 euro financiële waarde) te kunnen regelen. En “Meta mag mijn persoonsgegevens niet gebruiken om een AI te trainen” valt binnen dat bereik.

Meta vocht het verzoekschrift aan met vooral formele gronden, onder meer omdat er al een andere procedure tussen de twee liep. Maar de rechter vindt dat laatste niet van belang – het gaat hier om een specifieke aparte vordering, die gewoon apart behandeld kan worden.

Verder constateert de rechter iets merkwaardigs. Meta heeft herhaaldelijk gezegd dat ze ieder bezwaar honoreren, en nu komt iemand via de rechter met een bezwaar en dan gaat Meta moeilijk doen? Dat is natuurlijk onlogisch.

[Uit de openbare aankondigingen van Meta] wordt afgeleid dat de enkele mededeling dat er bezwaar is tegen het gebruik van de gegevens van [verzoeker] door Meta al voldoende zou moeten zijn om te voldoen aan het verzoek van [verzoeker] , zodat niet valt in te zien welke bezwaren Meta in de zaak van [verzoeker] nu nog zou willen maken. Ook wordt daarbij nog in ogenschouw genomen dat Meta ook na het bezwaar dat zij heeft gemaakt tegen de voorlopige voorziening op 1 mei 2025 nog ruimschoots de gelegenheid heeft gehad om inhoudelijke bezwaren naar voren te brengen, hetgeen zij niet heeft gedaan.
De eis wordt dus toegewezen. Inclusief dwangsom, wat een tikje raar is omdat Meta dus steeds zegt dat ze gewoon gehoor geeft aan alle bezwaren. Alleen had Meta specifiek hier dat niet gezegd:
Het had tegen die achtergrond ook voor de hand gelegen dat Meta in deze procedure deze toezegging ook aan [verzoeker] had verstrekt, zodat de noodzaak van een voorziening was komen te vervallen. Dat heeft zij echter niet gedaan, sterker zij heeft formele bezwaren tegen honorering van het verzoek van [verzoeker] geformuleerd en ook nog verzocht om een termijn om inhoudelijk op het verzoek van [verzoeker] te mogen reageren. Gelet op deze proceshouding wordt aanleiding gezien een dwangsom als na te melden op te leggen.
Het is mij een volstrekt raadsel waarom de advocaat van Meta hier gekozen heeft voor een procedure. Ik zie niet hoe dit tot een andere uitspraak had kunnen leiden.

Arnoud

AP verlaagt Kruidvat-boete voor trackingcookies van 600.000 naar 50.000 euro

Geplaatst op in Privacy, Regulering, 5 reacties
Photo by Rai Vidanes on Unsplash

De Autoriteit Persoonsgegevens verlaagt de boete die zij eerder aan Kruidvat gaf voor het plaatsen van trackingcookies van 600.000 euro naar 50.000 euro. Dat meldde Tweakers onlangs. Inderdaad, 90% eraf. De belangrijkste reden is dat de AP lang deed over het onderzoek en omdat boetes voor vergelijkbare overtredingen lager waren.

Tweakers legt uit:

Kruidvat kreeg de boete omdat het te snel trackingcookies plaatste bij bezoekers van de Kruidvat-website. In de cookiebanner stond standaard aangevinkt dat gebruikers toestemming gaven om die cookies te plaatsen. Het weigeren was volgens de toezichthouder te moeilijk, omdat gebruikers te veel stappen moesten doorlopen. Ook rekende de AP het Kruidvat aan dat er daardoor gevoelige gegevens werden verzameld, omdat de keten zaken als zwangerschapstests, voorbehoedsmiddelen en medicatie verkoopt.
De hiervoor toegekende boete was dus zes ton, wat ik op zich al fors vond maar het ‘specifieke karakter van drogisterijproducten’ woog mee: bij de Kruidvat koop je ook producten als zwangerschapstests, voorbehoedsmiddelen of zelfzorgmedicatie dus dat riekt naar bijzondere persoonsgegevens over gezondheid.

In het besluit op bezwaar komt men toch een beetje terug op die enorme boete, zij het nogal kortaf. Op zich was de opgelegde boete binnen de kaders van de Europese AVG-toezichthouders, en sloot deze ook aan bij de bandbreedte die de AP zelf hanteert. Echter:

De lange duur van de procedure bij de AP,zonder dat het onderzoek en de daaropvolgende handhavingsfase deze behandelduur rechtvaardigen, de erkenning van de (volledige) overtreding door [Kruidvat-moederbedrijf] AS Watson, de geringe ernst van de overtreding en de omstandigheid dat in een vergelijkbare procedure inzake (tracking) cookies de AP tot een (in relatief opzicht) vergelijkbare boete is gekomen, zijn voor de AP aanleiding om de boete in dit besluit vast te stellen op een bedrag van € 50.000,-.
In de comments wordt gereageerd dat AS Watson vorig jaar 53 miljard euro omzet had, dus dat maakt die 50k een schijntje zonder afschrikwekkende werking zeg maar. Daar wil ik wel tegenover stellen dat het bedrijf direct meegewerkt heeft (zie onderzoeksrapport) en ook nergens heeft betoogd vrij van schuld te zijn. Ik maak me vooral zorgen dat dit andere bedrijven aanmoedigt om tegen alles maar in bezwaar te gaan, want zulke korting is toch mooi meegenomen.

Arnoud

 

Is het per abuis wissen van videobeelden een datalek onder de AVG?

Geplaatst op in Privacy, 19 reacties
Photo by Mick Haupt on Unsplash

Beeldmateriaal dat mogelijk als bewijs kon dienen van wangedrag door Maccabi Tel Aviv-supporters in Amsterdam, bleek per ongeluk gewist, zo meldde de NOS onlangs. Daardoor moesten diverse strafzaken worden geseponeerd. Voor vele lezers gaf dit de vraag: is dit een datalek onder de AVG?

Het is volgens mij breed bekend dat ook verlies van gegevens kan tellen als een datalek. Dat staat ook expliciet in de definitie van die term, formeel “inbreuk op de beveiliging” (art. 4 lid 12 AVG):

een inbreuk op de beveiliging die per ongeluk of op onrechtmatige wijze leidt tot de vernietiging, het verlies, de wijziging of de ongeoorloofde verstrekking van of de ongeoorloofde toegang tot doorgezonden, opgeslagen of anderszins verwerkte gegevens;
De bijbehorende nuance van de toezichthouder is wel dat dit alleen geldt als er geen kopie of back up is. Het achterliggende idee is namelijk dat je zonder backup als betrokkene rechten kunt verliezen – bewijs maar eens dat je in de administratie stond als die weg is, of dat je betaald hebt als je betalingsbewijs is gewist.

Wat is hier gebeurd:

Het GVB bevestigt [tegenover de NOS] dat op 12 november, vijf dagen na de ongeregeldheden in de stad, de opnamerecorders zijn vervangen. Dit stond al langer gepland. “Helaas heeft deze noodzakelijke ingreep, in combinatie met de beperkte bewaartermijn, ertoe geleid dat de betreffende beelden niet meer beschikbaar waren”, aldus een woordvoerder. Het GVB zegt overigens dat beelden soms ook korter dan een week worden opgeslagen.
Maar let op, niet iedere vorm van verlies van gegevens is automatisch al een datalek. Zie het begin van de definitie: er moet sprake zijn van een “inbreuk op de beveiliging”, oftewel een geschonden beveiligingsmaatregel. Een geautoriseerde gebruiker die besluit persoonsgegevens te wissen, veroorzaakt dus géén datalek ook al lijdt de betrokkene daar schade door.

Hier zijn de gegevens gewist binnen de organisatorisch geldende bewaartermijnen. Zo te lezen door slordig handelen: er komen nieuwe recorders, de oude mogen weg, oh ja oeps op de oude stonden nog beelden maar die dingen liggen al bij de recycling.

Ik zie hier niet meteen hoe de beveiliging van de persoonsgegevens is geschonden. Zeker, zorgen dat gegevens bewaard blijven is deel van de beveiliging (art. 32(1)(b) AVG noemt “beschikbaarheid garanderen” expliciet) maar als besloten wordt gegevensdragers buiten gebruik te stellen dan is dat gewoon een keuze, een legitiem handelen van de organisatie.

Dat dit gebeurde voordat de bewaartermijn was verstreken, is daarbij voor mij niet relevant. Dat is een zelfgekozen maximum voor het bewaren, geen toezegging dat de gegevens zo lang beschikbaar zullen blijven. En zelfs áls het als toezegging is geformuleerd, dan is weliswaar sprake van een fout van de organisatie maar niet van een geschonden beveiliging.

Arnoud

 

Mogen bedrijven van de AI Act en AVG een AI-chatbot in hun shop integreren?

Geplaatst op in Ondernemingsvrijheid, Privacy, Regulering, 12 reacties
Alexandra_Koch / Pixabay

Een lezer vroeg me:

Steeds vaker zie ik dat bedrijven bij klantenservice een AI-chatbot inzetten als eerste lijn. Die hebben vaak ook toegang tot je bestellingen en andere gegevens. Ik maak me daar zorgen over, wat zeggen de AVG en AI Act hierover?
De trend om menselijke ondersteuning te vervangen door chatbots is niet te stoppen, zo lijkt het. (Hoewel ze het bij Klarna een “flop” lijken te vinden.) Maar laten wij ons focussen op de juridische kant: mag dit?

De AI Act stelt eigenlijk geen eisen aan AI voor klantenservice, afgezien van de algemene eis (artikel 50) dat het duidelijk moet zijn voor de klant dát men met een bot communiceert. Dat moet expliciet en in het gesprek, dus niet een zinnetje in de algemene voorwaarden of ergens in de veelgestelde vragen. En afhankelijk van de lengte van het gesprek kan het nodig zijn deze boodschap periodiek te herhalen.

Lastiger ligt het met de AVG. Een AI-tool die een klantdossier leest, verwerkt daarmee persoonsgegevens. Het doel daarvan is legitiem, namelijk de klant helpen met een probleem bij diens aankoop of ander contract. Een menselijke medewerker zou dit net zo goed mogen. En in de praktijk zie je ook dat de tool er pas bij kan als jij een ordernummer of andere referentie kan geven, wat je kunt zien als een vorm van instemmen.

Een grotere zorg is wie er allemaal nog méér toegang heeft tot die persoonsgegevens. Want dat is wel even anders dan bij de menselijke medewerker. Veel van deze technologieën worden door een leverancier beschikbaar gesteld, en als je dan een paar tegels omdraait kom je al snel bij een Amerikaans foundation model zoals OpenAI’s GPT familie.

Oftewel: alle chats mét klantdossier gaan naar Amerika en dat is zoals bekend AVG-technisch een lastige situatie. Formeel mag het, om de simpele reden dat de EU heeft gezegd dat de VS een met Europa vergelijkbare bescherming van persoonsgegevens heeft. En tot men dat formeel intrekt, is er geen vuiltje aan de lucht.

(Sommigen zouden nu de woordgrap maken dat de lucht vol met stratocumuli zit.) We weten allemaal dat dit nergens op slaat, eigenlijk al sinds het Safe Harbor regime uit 2000. Maar dit is waar juridisch en werkelijkheid afscheid nemen: puur praktisch is het een probleem, maar juridisch klopt het gewoon. Althans, totdat de Europese Commissie of het Hof van Justitie zegt van niet. Want dan moet per direct iedere verbinding met alle Amerikaanse dienstverleners worden gestaakt.

Voor de webshop met AI-klantenservice is dit een nogal abstract en ver verwijderd probleem, en dat snap ik. Je kunt hier helemaal niets aan doen en je zocht alleen een handige extra chatbot omdat je zelf niet 24/7 achter je webshop kunt zitten typen. Mee bewegen met de massa en vooral met al je concurrenten is dan ook prima in die situatie. Uiteindelijk is de situatie met de VS een politiek probleem en niet jouw individueel juridisch probleem.

Uiteraard zoek je wel een goede dienstverlener die de beveiliging goed op orde heeft, zodat er niet bijvoorbeeld chatlogs mét bestelgegevens ergens bij de leverancier terecht komen en langdurig bewaard blijven.

Arnoud

Mijn ex dreigt met gerechtelijke stappen omdat ik ons WhatsApp-gesprek deelde met ChatGPT

Geplaatst op in Privacy, Uitingsvrijheid, 16 reacties
Photo by Matheus Bertelli on Pexels

Via Reddit:

[Mijn ex] beweert dat ik de GDPR geschonden heb omdat ik fragmenten van onze WhatsApp-gesprekken gedeeld heb met een AI-assistent (ChatGPT). Dit was niet publiek, enkel anoniem en privé, en bedoeld om psychologisch advies te krijgen in een verwarrende periode. … Toch beweert ze dat ze “een advocaat heeft” en dat ik vervolgd zal worden voor schending van haar privacy.
Gebruik van ChatGPT om psychologische inzichten of hulp te krijgen is een serieus populair ding. Ik kan me dus voorstellen dat iemand dit doet in de emotionele toestand van een vervelend geëindigde relatie.

In dergelijke situaties zie je ook veel dat mensen alle mogelijke juridische haakjes aangrijpen als stok om nog even na te trappen. Ook hier: de gebruikte taal van de ex is zeer herkenbaar als boosheid. Maar zit er een juridische kern van waarheid in?

De vraagsteller geeft aan dat het gebruik alleen voor hemzelf was. Het voor de hand liggende antwoord is dan ook dat dit valt binnen de uitzondering voor een “zuiver persoonlijke of huishoudelijke activiteit” (art. 2(2)(c) AVG). De AVG geldt dan niet, en een schadeclaim of wat dan ook kun je daar niet op baseren.

Het even zo voor de hand liggende tegenargument is dat de dienstverlener OpenAI achter de dienst ChatGPT eigen dingen doet met de ontvangen gegevens, zoals de chats lezen voor verbeteren van het taalmodel of de interactie gebruiken om Terminator-robots te ontwikkelen.

De vraag wordt dan: geldt de uitzondering voor zuiver persoonlijk gebruik ook bij een overdracht van persoonsgegevens aan een derde? Ik neig naar nee, omdat de gegevens dan buiten de directe invloedssfeer komen van de particulier.

Probleem daarmee is dat je dan geen enkele internetdienst kunt gebruiken. Oftewel: die conclusie vereist enige nuance.

In haar handreiking over persoonsgegevens op internet zegt de Autoriteit Persoonsgegevens dat gegevens op internet gepubliceerd mogen worden binnen deze uitzondering, mits onder een aantal voorwaarden. Belangrijkste daarvan is dat de informatie zo beperkt mogelijk verspreid wordt, bijvoorbeeld alleen gedeeld met familie en zeker niet openbaar en voor zoekmachines bereikbaar.

Die interpretatie hier analoog toepassend lijkt het dan alsnog in orde. Weliswaar staat de chat in andermans internetdienst, maar hij wordt niet openbaar voor derden. Dat die internetdiensten er zélf analyses mee doen, valt dan buiten jouw verantwoordelijkheid.

Arnoud

Mag mijn werkgever op eigen houtje een autoreply instellen dat ik er binnenkort niet meer werk?

Geplaatst op in Ondernemingsvrijheid, Privacy, 16 reacties
Photo by Blue Arauz on Pexels

Een lezer vroeg me:

Bij mijn werkgever speelt momenteel een grotere reorganisatie, waarbij velen (waaronder ook ik) hun baan gaan verliezen. HR heeft alle medewerkers geïnstrueerd een automatische reply in te stellen met een tekst die erop neerkomt dat je er niet meer werkt en met wie de wederpartij contact moet opnemen.

Ik vind dit prematuur, omdat ik hier nog steeds werk en het collectief ontslag nog niet is goedgekeurd. Daarop heeft HR de accounts overgenomen (met hulp van IT) en het bericht zelf ingesteld. Ik kan niet meer bij mijn mail of bestanden en mijn contactpersonen lezen nu dat ik vanaf dd/mm hier niet meer werk. Kan dit zomaar?

Vragen als deze krijg ik vaak wanneer er iets met ict-systemen of persoonsgegevens gebeurt in de context van een reorganisatie of ontslag. Men wil daar bezwaar tegen maken en zoekt dan naar wetten die worden overtreden, want dat is een hele stevige om een punt mee te kunnen maken.

Het probleem is: situaties als deze zijn zeer specifiek, en de wet heeft daar geen pasklaar antwoord op. Bovendien is de oplossing lang niet altijd de zuiver juridische route. Dit maakt het erg lastig om vragen als deze te beantwoorden, maar laten we het toch proberen.

De kern van de vraag is dat het bedrijf een persoonsgebonden zakelijk account laat beheren door een ander persoon. Op zich is dat rechtmatig: die accounts zijn van het bedrijf, en het bedrijf bepaalt dus wat ermee gebeurt. Het bedrijf moet als goed werkgever wel rekening houden met de privacy, gegevensbescherming en andere belangen van de werknemer.

Een situatie waarin zo’n overname prima is, is als de werknemer ziek is en het werk door moet. Dan moet je in die mailbox kunnen om relevante mails op te duikelen. (Beter is natuurlijk dat er geen kritische informatie alleen in een mailbox zit, maar we hebben nog een lange weg te gaan hierin.) Mails versturen uit die mailbox vind ik een stuk spannender, maar in een kleine organisatie verdedigbaar als het bedrijfsbelang groot is en de collega zich duidelijk kenbaar maakt: “Bedankt voor je mail aan Wim, hij is ziek maar ik Kees neem het over”.

Hier gaat het meer om een conflict. De werkgever wil de klant tijdig informeren over de opvolging van deze Wim, en daar is zo’n automatische reply een standaardmanier voor. Voorschrijven dat je een dergelijke reply aanzet en met welke strekking is gewoon de instructiebevoegdheid van de werkgever, dus dat had Wim moeten doen. En ja, ook als het nog niet de laatste werkdag is: overdracht van werk kan en mag prima al eerder geregeld worden.

Het is alleen weer geen goed werkgeverschap om een onjuiste mededeling uit te laten gaan. Als Wim zijn ontslag er inderdaad nog niet door is, dan kun je hem niet verplichten “per dd/mm werk ik hier niet meer” in de mail te zetten. (Mogelijk weet HR meer dan Wim, maar dan is het weer zeer ongepast om op die manier Wim zijn ontslag aan te zeggen.)

Daar komt bij dat door deze handelwijze van HR Wim niet meer kan werken: zijn mail is ontoegankelijk, net als alle applicaties en bestanden die hij nodig heeft. Ik weet niet om wat voor reorganisatie het gaat, maar kan me moeilijk voorstellen dat Wim en collega’s per direct overbodig zijn.

De beste koers lijkt me dan ook om op basis van deze onmogelijkheid om te werken een escalatie te doen: beste directeur, graag wil ik blijven werken, alleen heeft HR mijn account uitgezet dus ik kan niets doen. Ik hoor graag je oplossing.

Het zou kunnen dat de werkgever dan zegt, dat is helemaal goed je bent per direct vrijgesteld en we laten je weten hoe het verder gaat. Afdwingen dat je bij je account kan terwijl je die niet nodig hebt voor het werk, is niet mogelijk. Ik snap dat je dan relaties niet meer zelf kunt informeren, maar dat is een te klein belang om alsnog toegang te eisen.

Je kunt dit gebruiken als een opstap naar een discussie over de inhoud van de autoreply. Als het ontslag er inderdaad nog niet door is, dan is de mededeling prematuur en mogelijk schadelijk voor de reputatie van Wim.

In theorie is een kopie van je mailbox opeisen via de AVG mogelijk. Berichten van en naar jou zijn persoonsgegevens. Maar onduidelijk is of dat recht dan gaat over enkel de metadata “je kreeg op 3 maart een mail van Kees” of dat de volledige lap tekst van Kees er bij mag. Verder krijg je dan direct discussies over bedrijfsgeheimen en relatiebedingen, wat een enorme ruis in het toch al aanwakkerende bedrijfsconflict gaat geven. Ik zou deze route dus afraden.

Arnoud

De AVG gebruiken om een premiumfunctie gratis te gebruiken is een vorm van misbruik

Geplaatst op in Privacy, 12 reacties
Photo by siden93 on Pixabay

Een bedrijf dat software levert voor het maken van screenshots hoeft een gratis gebruiker onder de AVG geen screenshots te verstrekken, zo heeft de Geschillenkamer van de Belgische privacytoezichthouder GBA bepaald. Dat las ik bij Security.nl. De gebruiker beriep zich op zijn recht op dataportabiliteit, en dat werd als misbruik van recht aangemerkt.

Security legt uit:

De softwareleverancier biedt een gratis en betaald abonnement. Bij de betaalde versie kunnen gebruikers hun screenshots ook downloaden. De gratis versie biedt alleen een optie om gemaakte screenshots via de website van de leverancier te bekijken.
Hoe screenshots precies persoonsgegevens zijn, laat ik even in het midden. De man beriep zich op zijn recht van dataportabiliteit of overdraagbaarheid van gegevens, artikel 20 AVG. Dit biedt inderdaad in de basis het recht om een kopie van je persoonsgegevens te krijgen, en wel “in een gestructureerde, gangbare en machineleesbare vorm”.

Vereist is wel dat het gaat om een geautomatiseerd proces, en dat de grondslag toestemming of uitvoering overeenkomst is. Bij dataverwerking op grond van legitiem belang kan dit dus niet. En het is ook beperkt tot gegevens die jij hebt verstrekt aan de verwerkingsverantwoordelijke, niet gegevens die zij maken of van elders verkrijgen. Het is wel omschreven als “het recht je Facebookfoto’s te kunnen downloaden”.

Nu kun je van screenshots wel zeggen dat jij ze verstrekt,. Wanneer jij op de knop drukt, start dat het proces van maken en uploaden. De grondslag uitvoering overeenkomst zie ik ook wel opgaan. Daar was ook geen discussie over, net zo min als over de vraag of door jou gemaakte screenshots persoonsgegevens zijn. (Meningen hierover zeer welkom.)

De discussie spitste zich toe op de vraag of de vraagsteller gratis een kopie er van kon krijgen. Dat moet, zowel van artikel 15 (inzagerecht) als van artikel 20 (dataportabiliteitsrecht). En je hoeft er geen reden voor op te geven. Het enige dat niet mag, is misbruik maken van het recht.

De toezichthouder ziet hier een vorm van misbruik. Ten eerste kun je de screenshots online inzien, dus de onderliggende zorg of alles wel klopt kun je daar prima adresseren. Ten tweede was de vraag nadrukkelijk gericht op het omzeilen van de abonnementstructuur van het bedrijf.

21. In dit geval wenst de klager gebruik te maken van een recht dat de AVG biedt om te profiteren van een ongerechtvaardigd economisch voordeel. Het downloaden van de screenshots die hij wil is een voordeel dat alleen wordt toegekend aan gebruikers die een betaalde licentie hebben van de software van de gedaagde. De klager beroept zich op zijn recht op toegang en zijn recht op gegevensportabiliteit om foto’s te downloaden, en dat verdraait de essentie van deze rechten.
De motivatie snap ik, maar het roept wel de vraag op waarom dit niet zou mogen bij ‘gewone’ persoonsgegevens. Downloaden van je personeelsdossier kost 50 euro, ze bij ons op kantoor bekijken is gratis. Dit passeert toch vrij evident je recht op een kopie. Ik denk dat hier meewoog dat het een commerciële dienst is waarbij betalen geen raar iets is.

Vanaf 2 September 2025 is de Datawet (Data Act) van kracht. Deze geeft je het recht om data verworven door een “verbonden product” te verkrijgen van de datahouder. Gratis en in wederom zo’n machineleesbaar formaat. Dat ligt dan meer voor de hand bij deze dienst – zij het dat er voor de Datawet een fysiek product nodig is dat je verkocht is door de datahouder. Dat gaat dus niet op bij een screenshotapp.

Arnoud

Mogen kinderen anno 2025 zelf smartphones kopen en apps installeren?

Geplaatst op in Ondernemingsvrijheid, Privacy, 4 reacties
Photo by HelenJank on Pixabay

Een groep van ruim 1400 Nederlandse artsen heeft het kabinet opgeroepen om leeftijdsgrenzen in te stellen voor het gebruik van een smartphone en sociale media door kinderen. Dat meldde Tweakers vorige week. Uiteraard gaf dat veel discussie, met voor mij als interessante uitspringer de vraag: waarom mogen kinderen eigenlijk smartphones kopen en bezitten?

De Consumentenbond meldt dat de meeste kinderen rond de 9 jaar hun eerste smartphone krijgen. Advies is om een paar jaar te wachten: bij 10-12 jaar is er meer ruimte om dit verantwoord te doen. Maar trefwoord is ‘krijgen’, zelf kopen op die leeftijd is niet aan de orde.

Ouders moeten toestemming geven voor iedere aankoop van een kind tot 18 jaar (art. 1:234 BW). Omdat dit natuurlijk snel tot onwerkbare situaties leidt, zegt de wet dat die toestemming geacht wordt te zijn gegeven als de transactie er eentje is “waarvan in het maatschappelijk verkeer gebruikelijk is dat minderjarigen van zijn leeftijd deze zelfstandig verrichten.” Als een kind van 10 dat snoep koopt bij AH, kun je dat niet terugdraaien, dat is normaal.

Vraag is dus: is het gebruikelijk in Nederland anno 2025 dat kinderen van leeftijd X zelfstandig smartphones kopen?

Een relevanter punt is hoe dat zit met de apps op die smartphone, daar komt de verslaving en andere ellende immers vandaan. Hiervoor komen we bij de AVG, en dan met name bij de Uitvoeringswet AVG over persoonsgegevens van minderjarigen. (Want geen app zo leuk of er zit wel een datagraaier in.)

De AVG zegt eigenlijk niets over persoonsgegevens van kinderen bij apps. Ja, er is artikel 8 maar dat geldt alleen bij “een rechtstreeks aanbod van diensten van de informatiemaatschappij aan een kind” en alleen als de dienst op basis van toestemming wordt geleverd. Dan moeten de ouders toestemming geven.

De meeste diensten (apps) verwerken persoonsgegevens op basis van de grondslag uitvoering contract dan wel legitiem belang, en vallen dus buiten artikel 8 AVG. Hetzelfde geldt voor artikel 5 UAVG, dat de regel van artikel 8 AVG uitbreidt naar alle andere situaties: als de dienstverlener niet werkt met toestemming, is ouderlijke toestemming irrelevant.

Het enige soort van haakje dat je overhoudt, is dat overweging 38 en artikel 6(1)(f) AVG bijzondere waarde hechten aan de privacy en rechten van kinderen bij de afweging van het legitiem belang. Apps die persoonsgegevens van kinderen gebruiken, moeten daar dus meer rekening mee houden. (Maar omdat zelden om leeftijd wordt gevraagd, is dat meteen ook een lastige om uit te voeren.)

De populairste categorie apps zijn social media, en dat zijn dan weer diensten die gereguleerd worden door de Digital Services Act of DSA. Artikel 28 daarvan stelt dat

Aanbieders van voor minderjarigen toegankelijke onlineplatforms nemen passende en evenredige maatregelen om een hoog niveau van privacy, veiligheid en bescherming van minderjarigen binnen hun dienst te waarborgen.
Dit gaat over zaken als leeftijdscontrole en weren van voor hen ongeschikte content. En dat is belangrijk, 60% van de kinderen tussen de 8 en 12 jaar heeft een socialmediaaccount.

Nee, dat is niet verboden – er is geen harde leeftijdsgrens voor verwerking van persoonsgegevens in Europese of Nederlandse wetgeving. Die grens van 16 jaar (die tot 13 omlaag mag als een land dat wil) is uit artikel 8 AVG en gaat dus over toestemming geven door minderjarigen.

Het lijkt mij een héél goed idee om smartphonegebruik en afname van online diensten door kinderen te reguleren gezien de vele publicaties over slechte effecten, maar daar is dus echt nieuwe regelgeving voor nodig.

Arnoud