Categorie: Privacy

About Privacy

Subscribe Feeds

Afgeluisterd tijdens het vogelspotten, mag dat?

Geplaatst op in Privacy, 7 reacties

Een lezer kwam met de volgende vraag:

Tijdens het spotten van vogels, op een speciale spottersplek, is er iemand die met een videocamera beelden van de vogels opneemt. Echter, deze man neemt ook het geluid op, en publiceert de film met geluidsspoor en al op internet. Nu wordt er op die spottersplek niet alleen over vogels gesproken, maar ook vaak over allerlei andere zaken waaronder ook wel eens over privédingen. Het is ook niet zo dat deze man even 5 minuten filmt maar soms uren achter elkaar. Menig bezoeker is inmiddels niet meer zo blij met het geluid bij die filmpjes. Mag deze man die video’s met geluid zomaar op internet zetten of kunnen wij hier wel degelijk wat van zeggen?

Het heimelijk opnemen van gesprekken waar je geen deelnemer aan bent, is een strafbaar feit (zie art. 139b lid 1 Wetboek van Strafrecht). Het publiceren van zo’n illegale opname dan natuurlijk ook.

Het sleutelwoord is ‘heimelijk’. Als de man duidelijk aangeeft dat er gefilmd en opgenomen wordt, of je ziet dat meteen als je op de plek komt, dan handelt hij legaal. Het hangt dus een beetje af hoe hij het aanpakt. Als hij (wat ik vermoed) een videocamera met daarop een microfoon gebruikt die hij ergens neerzet, dan handelt hij in principe legaal.

Afhankelijk van de inhoud kan het publiceren van zo’n opname een schending van de privacy van de betrokken personen zijn. Dat hangt af van de vraag of die mensen te herkennen zijn. Bijvoorbeeld omdat namen worden genoemd, of omdat je uit feiten en omstandigheden kunt afleiden wie dit gezegd hebben. In dat geval kunnen de betrokkenen een verbod eisen op publicatie. Een willekeurig ander persoon kan dat niet, omdat die niet kan inschatten of de betrokkene dit als een schending van zijn privacy ervaart.

Arnoud

Het computergrondrecht

Geplaatst op in Informatiemaatschappij, Privacy, 2 reacties

Het Duitse Grondwettelijk Hof erkent een “grondrecht op het waarborgen van de vertrouwelijkheid en de integriteit van IT-systemen”, meldt Nu.nl. Dit grondrecht was de reden om een wet van de deelstaat Noord-Rijnland-Westfalen te vernietigen waarin de politie uitgebreide bevoegdheden kreeg om computers van burgers te doorzoeken. Uit het arrest van het Bundesverfassungsgericht blijkt dat men dit grondrecht als onderdeel van het Persönlichkeitsrecht, het recht van de burger om zich persoonlijk te ontplooien en ontwikkelen zolang dat maar de rechten van anderen niet schendt. Dit recht is in Duitsland expliciet in de Grondwet vastgelegd.

De Nederlandse grondwet heeft zo’n bepaling niet. Artikel 10 van onze Grondwet bevat wel een bepaling ter bescherming van de persoonlijke levenssfeer, en deze bepaling zou een persoonlijkheidsrecht omvatten. En dat artikel 10 geldt ook op internet. De persoonlijke levenssfeer geldt niet alleen thuis, maar ook op de openbare weg, en eigenlijk in het hele openbare leven. Je hebt dus ook privacy op internet. Natuurlijk zitten daar wel grenzen aan. Om eens wat te noemen: wat je zelf publiceert op een openbaar medium, is nauwelijks nog als privé-informatie te beschouwen.

Het lastige in Nederland is dat je niet altijd een direct beroep op de Grondwet kunt doen. Artikel 120 van de Grondwet verbiedt de rechter te toetsen of een wetsbepaling in strijd is met de Grondwet. Maar dat gaat alleen over wetsbepalingen: een gemeentelijke APV, een bevel van een politieagent of een andere regeling die geen “wet in formele zin” (aangenomen door het parlement) is, mag wel worden getoetst aan de Grondwet.

De rechter mag wel een wet toetsen aan verdragen zoals het Europese Verdrag voor de Rechten van de Mens. Artikel 8 van het EVRM bevat ook een privacyregeling. Een Nederlandse wet die regelt hoe de politie je computer mag doorzoeken, mag niet in strijd zijn met dit artikel 8 EVRM. Blijkt dat toch zo te zijn, dan mag de rechter het wetsartikel niet toepassen.

Arnoud

Veroordeling voor publicatie naaktfoto’s ex-partner op internet

Geplaatst op in Privacy, 7 reacties

Afgelopen vrijdag is een man tot 6.000 euro schadevergoeding veroordeeld voor het verspreiden van naaktfoto’s van zijn exvriendin via internet (Emule en MSN), las ik op Nu.nl. De foto’s bleken via Emule, een filesharing netwerk, aangeboden te worden. Ook had de verdachte deze foto’s via MSN gedeeld met allerlei mensen. Gauw het vonnis erbij gepakt, want zo’n hoge boete had ik nog niet eerder gezien. Waarom is dat nu strafbaar?

De grondslag blijkt smaadschrift: aantasting van de eer en goede naam van de vrouw in kwestie door het verspreiden van geschriften. Logisch. Door het publiceren van pornografische foto’s kun je iemands goede naam behoorlijk schaden. Zelfs als de foto’s, zoals hier, met toestemming waren gemaakt. En digitale foto’s zijn prima te zien als geschriften.

Met het verweer dat het wellicht iemand anders was geweest, maakt de politierechter korte metten:

Naar eigen zeggen is verdachte de enige persoon die gebruik maakt van zijn computer, is zijn Windows gebruikersnaam [usernaam] en zijn e-mailadres [e-mailadres]. Bij de hierboven aangehaalde via MSN Messenger gevoerde gesprekken, waarbij de genoemde bestanden werden verzonden, werd gebruik gemaakt van het genoemde e-mailadres, terwijl er was ingelogd onder de genoemde gebruikersnaam. Hiermee staat voldoende vast dat verdachte de genoemde MSN Messenger gesprekken heeft gevoerd en ook de genoemde bestanden heeft verzonden.

Hetzelfde gaat op voor het delen via het P2P programma Emule: de verdachte had zelf gezegd dat hij verstand had van computers, en daarom vond de rechter het onwaarschijnlijk dat de foto’s per ongeluk in een gedeelde map terecht waren gekomen. Wat ook meewoog, is dat alle foto’s hernoemd waren van de bekende nietszeggende naam (DSC00007.JPG) naar “Ex-vriendin [bestandsnaam], uit [plaatsnaam]”. Dat kan alleen iemand gedaan hebben die weet hoe de ex-vriendin heette en waar deze woont. Een willekeurige grapjas die de foto’s toevallig had gevonden, had ze waarschijnlijk niet hernoemd, of in ieder geval niet naar die specifieke namen.

De gevolgen voor de ex waren zeer ernstig:

Bij de uitoefening van haar beroep en in haar woongenot heeft zij zodanig problemen ondervonden dat zij klanten verloor en is verhuisd.

De verdachte kreeg dan ook een boete van 1500 euro opgelegd, plus een schadevergoeding voor het slachtoffer van 5860,50 euro.

Update (16 mei 2012) de Hoge Raad bepaalt dat het fotograferen an sich geen ontucht is. Je moet meer doen.

Arnoud

Een ringtone van Joran van der Sloot, mag dat?

Geplaatst op in Intellectuele rechten, Privacy, 2 reacties

Parodie op filmposter I know what you did last summerSlechte smaak is niet verboden, al zou je soms willen van wel. De affaire-Joran van der Sloot maakte de nodige ‘creativiteit’ in mensen los. Nou mag er in principe een hoop bij zo’n actuele gebeurtenis met grote media-aandacht. Citeren uit de verborgencameraopnamen van het programma van De Vries, of het gebruik van een klein fotootje van Van der Sloot bij je eigen blogbericht over de affaire is bijvoorbeeld toegestaan – met bronvermelding uiteraard.

Dat hoeft natuurlijk niet 100% serieus te zijn allemaal. De poster hiernaast is een aardig voorbeeld van een toegestane parodie. Hier worden weliswaar portretten gebruikt, maar dat is geen inbreuk op het portretrecht. Wie zo in de schijnwerpers van de publiciteit staat, moet zich dit soort gebruik van zijn of haar portret laten welgevallen.

Het parodiefilmpje op YoutubeDe bekendste grap is denk ik wel dat parodieliedje “Ik heb een boot” van DJ Sven van Radio Veronica. Ook dat mag gewoon. Zelfs als je er, zoals o.a. in dit Youtube-filmpje, een videoclip bijzet met de portretten van Van der Sloot, Van der Eem en De Vries.

Waar het twijfelachtig wordt, is wanneer er commerciële motieven een rol gaan spelen. Want bij elke gebeurtenis zijn er wel grapjassen die geld ruiken. Zo was er een zoekmachinemarketeer die zijn diensten aanprees via een Google-advertentie met als tekst “Eindig niet als Natalee – Wilt u wel gevonden worden?”. Moreel verwerpelijk maar legaal.

Over de grens gaat het t-shirt met die tekst “I know what you did” en een foto van Joran. Ze zijn trouwens niet meer te krijgen zie ik net (Google cache). Die shirts zijn puur als handel bedoeld, en iemands portret zo gebruiken om je tshirts te verkopen, is in strijd met het portretrecht.

Ook ringtones verkopen die gebaseerd zijn op dat liedje kunnen juridisch niet door de beugel. De Reclame Code Commissie is hier streng in: gebruik van iemands naam of gezicht in een commercial is vrijwel altijd verboden als die persoon daar geen toestemming voor heeft gegeven. Ook in de rechtspraak wordt commercieel gebruik van iemands portret of stem niet altijd toegelaten. Als je portret commercieel wordt gebruikt, kun je dat tegengaan met een beroep op je portretrecht. Het is immers aan jou om te beslissen aan welke reclames jij mee wilt werken.

Wie zich trouwens afvraagt hoe het zit met de legaliteit van de actie van Peter R. de Vries, verwijs ik graag naar de discussie bij Rechtenforum.nl.

Arnoud

Wanneer moet je een geband persoon teruglaten op je forum?

Geplaatst op in Informatiemaatschappij, Privacy, Uitingsvrijheid, 11 reacties

Van forums verwijderd (geband) worden is een regelmatig terugkerend onderwerp hier. Logisch ook: de gemoederen lopen hoog op en dan wordt er al snel met juridische taal gegooid. Hier weer een lastige die we nog niet gehad hebben.

Eén van onze bezoekers had nogal ongezouten en vaak grove meningen gepost op ons forum. Vanwege taalgebruik en klachten van anderen is zij na een paar waarschuwingen tijdelijk geband. Na die ban kwam ze weer terug en begon alles van voren af aan. Toen hebben we haar permanent verbannen, zoals ook in ons reglement staat. Toen kwam ze vanaf een ander IP-adres terug met een andere usernaam, die we vervolgens ook weer opgeheven hebben. Nu schrijft zij: “ik wil alleen maar op het forum kunnen posten. Jullie bans zijn een schending van mijn vrije meningsuiting en ik ga daar stappen tegen ondernemen.”

Als site-beheerders heb je natuurlijk het recht om je site in te richten zoals je wilt. Maar als je je site openstelt voor anderen, dan kun je niet zomaar meer eenzijdig bepalen hoe alles verloopt. Je moet dan rekening houden met de belangen van je bezoekers.

Een goed huisreglement is dan van wezenlijk belang. Daarin zet je wat je wel en niet gewenst acht op je forum, en wat je gaat doen als mensen zich daar niet aan houden. Na een waarschuwing een tijdelijke en daarna een permanente uitsluiting is bijvoorbeeld een prima regeling. Zolang maar duidelijk is wat de regels zijn.

Desondanks kunnen forumbeheerders of moderators niet zomaar elk bericht om elke reden verwijderen of aanpassen. Iemands meningsuiting is beschermd, en er moet dus een geldige reden zijn om dat te doen. Bij illegale bijdragen (belediging, racisme, inbreuk op andermans rechten) is er evident zo’n geldige reden aanwezig. Reclame mag ook zomaar verwijderd worden. En berichten die off-topic zijn, kunnen verplaatst of eventueel verwijderd worden. Maar inhoudelijk ingrijpen bij on-topic discussies zou zeer uitzonderlijk moeten zijn.

Wie zich echter aantoonbaar misdraagt en bij herhaling de regels overtreedt, mag van een forum worden uitgesloten. Belooft hij dan beterschap, dan mag het forum hem terugnemen maar dat hoeven ze uiteraard niet te doen. Dat is dan de keuze van de beheerders.

Arnoud

Afgifte persoonsgegevens door providers toegestaan, maar niet zomaar

Geplaatst op in Intellectuele rechten, Privacy, nog geen reacties

Europese landen mogen geen ongenuanceerde regels hanteren dat internetproviders persoonsgegevens van klanten altijd moeten afgeven bij rechtszaken, zo oordeelde het Europese Hof van Justitie gisteren. Een instantie als BREIN, of iemand die zich beledigd voelt, heeft dus niet per definitie recht op persoonsgegevens van een klant. Zij zal moeten aantonen dat afgifte gezien de specifieke omstandigheden van de zaak echt noodzakelijk, redelijk en proportioneel is.

Voor Nederland betekent dat dat er niets verandert aan de huidige praktijk. Bij ons moeten providers persoonsgegevens van klanten afgeven wanneer deze mogelijk iets illegaals doen en er geen snellere manier is om achter klantgegevens te komen. Dat blijkt uit het arrest HR Lycos/Pessers, waarin provider Lycos de persoonsgegevens moest afgeven van de klant die Pessers beledigd en besmaad zou hebben.

De HR oordeelde destijds dat afgifte niet altijd moest, maar alleen als de rechter

een nauwgezette afweging [heeft] gemaakt van alle betrokken belangen, waaronder het belang van de bescherming van de persoonlijke levenssfeer van de websitehouder (r.o. 5.4.3).

En dat is precies het soort afweging die het Europese Hof nu zegt dat je moet maken. De HR haalde dit uit art. 8 sub f van de Wet Bescherming Persoonsgegevens, en die WBP is de implementatie van de Europese privacywetgeving.

Hoewel de meeste media het gelijk hebben over “muziek uitwisselen mag nu anoniem”, is dit arrest niet speciaal voor filesharing. Het gaat om de vraag of iemand, ongeacht onderwerp, de persoonsgegevens van een klant van een provider mag eisen omdat hij die klant een proces wil aandoen. Dat speelt vaak bij filesharing, maar ook bij smaad, schending van portretrecht en andere onrechtmatige dingen is deze vraag relevant.

De aanleiding voor de zaak was een Spaans geschil over illegale muziekverspreiding via KaZaA. Promusicae, zeg maar de Spaanse BREIN, had bij de Spaanse rechter de persoonsgegevens opgeëist van een klant van internetprovider Telefónica. Deze weigerde dat met een beroep op de Spaanse privacywetgeving. Omdat zowel de wetgeving over auteursrecht als die over privacy uit Europese richtlijnen komt, en op dit punt dus een botsing ontstond tussen Europese regels, stelde de Spaanse rechter een zogeheten prejudiciële vraag aan het Europese Hof van Justitie over hoe deze wet nu moet worden uitgelegd.

De Spaanse rechter krijgt de bal nu dus netjes terug en moet gaan afwegen of het echt de beste oplossing is als Telefónica nu de persoonsgegevens afgeeft aan Promusicae. In het geval van Lycos/Pessers bleek dat achteraf trouwens niet zo zinvol: de beledigende klant bleek vervalste persoonsgegevens opgegeven te hebben.

Remy Chavannes wees al eerder op het lastige aan zo’n belangenafweging. Wat vaak gemist wordt, is

(…) het bredere belang om niet lichtvaardig te worden geconfronteerd met informatieverstrekkingsverzoeken van beweerdelijk beschadigde derden. Dergelijke verzoeken brengen immers onderzoeks- en juridische kosten met zich mee, terwijl de beslissing om al dan niet te voldoen aan het verzoek steeds juridische en publicitaire risico’s met zich brengt

Ziijn voorstel voor een John Doe procedure is m.i. een betere oplossing.

Via Volledig bericht, pardon Boek 9.

UPDATE: zie ook de blog van Lex Bruinhof die tot dezelfde conclusie komt.

Arnoud

Richtsnoeren Persoonsgegevens: niet voor Web 2.0 (bij Netkwesties)

Geplaatst op in Privacy, nog geen reacties

Op 11 december 2007 publiceerde het College Bescherming Persoonsgegevens (CBP) de Richtsnoeren Publicatie van persoonsgegevens op internet. Hierover schreef ik een column bij Netkwesties:

WBP en Richtsnoeren zien de internetter als consument: een passieve gebruiker van informatie, wiens persoonsgegevens hem door grote bedrijven worden ontfutseld en op ondoorzichtige manier voor alle mogelijke doeleinden worden gebruikt. De WBP is bedoeld om de consument te beschermen tegen misbruik in deze ongelijke situatie. Op zich een goede zaak.

Alleen, websites zijn geen geïsoleerde silo’s meer waarin een kleine, professionele redactie publiceert en de bezoeker dit aanbod braaf consumeert. Er heeft zich de afgelopen jaren een kleine revolutie voorgedaan

Lees verder in Netkwesties: column Arnoud Engelfriet: Richtsnoeren Persoonsgegevens: niet voor Web 2.0.

Arnoud

Agenten misbruiken politieinformatiesystemen voor privédoeleinden

Geplaatst op in Privacy, Regulering, Security, 12 reacties

Politieagenten in Nederland maken massaal gebruik (misbruik) van de politie informatiesystemen voor privédoeleinden, schrijft CorCom Security Analysing. Dit zou een “geaccepteerd verschijnsel” of zelfs een “beroepsvoordeel” zijn voor agenten:

Politieagenten zien het gebruik van de informatie als een beroepsvoordeeltje. Het mag eigenlijk niet, maar elke politieambtenaar doet het wel eens. Het is een grijs gebied. Het gebruik van de politiecomputer om kentekens na te trekken voor privé doeleinden is zelfs min of meer een vast praktijk bijvoorbeeld geworden bij het kopen van een tweedehands auto of om te checken of er criminelen in een bepaalde wijk wonen. Officieel mag dat niet, maar het wordt beschouwd als een onschuldig vergrijp zolang het voor eigen gebruik is. Er wordt immers niemand door benadeeld zegt men. Maar deze politie uitspraken kloppen niet. Regelmatig worden medewerkers van de politie met onmiddellijke ingang ontslagen, omdat deze zich schuldiggemaakt hebben aan contact met criminelen en het lekken van politie informatie. Dit geld zowel voor de recherche als de geuniformde dienst.

Lees verder in Agenten misbruiken massaal politie informatiesystemen voor privé doeleinden bij CorCom Security Analysing.

Arnoud

Mag de werkgever privébestanden op een bedrijfspc doorzoeken?

Geplaatst op in Privacy, Security, 40 reacties

Een lezer vroeg zich af:

Stel op een bedrijfspc staan bestanden die het privé-eigendom zijn van een medewerker. Nu wil de werkgever op die pc bepaalde werkgerelateerde documenten opvragen, maar hij weet niet precies waar die staan. Vanwege een arbeidsconflict wil de werknemer niet meewerken. Mag de werkgever nu de pc doorzoeken, of moet hij vanwege het risico van privacyschending toch de werknemer dit laten doen?

Ook op het werk heb je privacy. Een werkgever mag niet zomaar monitoren wat mensen doen op de bedrijfspc. Hij moet daar een reglement voor opstellen waarin staat wat er wanneer gemonitord wordt en voor welk doel. En zelfs met een reglement mag niet zomaar alles: er moet altijd een redelijke aanleiding zijn om te gaan monitoren. Een vermoeden van fraude of illegale activiteiten, maar ook disproportioneel veel dataverkeer kan zo’n aanleiding zijn.

Hier ligt het iets lastiger: de werkgever heeft een legitieme reden om op die pc te gaan zoeken, maar kan daarbij (bedoeld of onbedoeld) een blik werpen in privé-bestanden. Hij zou bijvoorbeeld een zoekopdracht kunnen geven voor alle documenten met een bepaalde tekst. Als die ook in een privé-document staat, krijgt hij vervolgens daar de inhoud van te zien. En bij bijvoorbeeld afbeeldingen laat Windows heel behulpzaam een thumbnail zien met de inhoud.

Als je het de werknemer niet kunt laten doen, dan wordt het lastig. Het beste zou zijn om dan een onafhankelijk iemand de doorzoeking te laten doen. Grote bedrijven hebben vaak een speciaal iemand, een vertrouwenspersoon of compliance officer wiens taak het is om toe te zien op de naleving van de ethische regels binnen een bedrijf. Bij een vermoeden van bedrijfsmatige fraude kun je dan als werknemer die persoon inschakelen. Deze zou dan ook in dit geval kunnen helpen.

Natuurlijk is het niet de bedoeling dat mensen privé-bestanden op een bedrijfspc zetten. Maar zolang die bestanden geen schade aanrichten, kan een werkgever daar weinig tegen doen. De grens is soms ook lastig te trekken. Ik doe een cursus voor mijn werk; is de uitwerking van een cursusopgave nu een werkgerelateerd document? En de routebeschrijving om bij die lokatie te komen? En de lijst met goeie restaurantjes in de buurt? En de e-mail naar een vriendin met een uitnodiging om dan samen te gaan eten omdat zij vlakbij de cursuslokatie woont?

Arnoud