Categorie: Privacy

About Privacy

Subscribe Feeds

Opgenomen gesprekken publiceren

Geplaatst op in Privacy, Security, 5 reacties

Via mijn referer log vond ik deze vraag op een forum over bijstand, onder het kopje Onterecht beschuldigd van agressie!! De vraagsteller had telefonisch geklaagd over een “bitse reactie” van een medewerkster van de Sociale Dienst, en de persoon aan de andere kant had dit verstaan als “die bitch z’n reactie”. Wat aanleiding was om maatregelen tegen de vraagsteller te nemen. Die schrijft:

Ik heb een opname van het gesprek (en ja ik heb uitgezocht dat het legaal is om je eigen gesprekken op te nemen), mag ik dit als bewijs invoeren bij dat gesprek om aan te tonen dat het gaat om een misinterpretatie van het gezegde? Of moet ik een officieel bezwaarschrift indienen?

Inderdaad mag je je eigen telefoongesprekken opnemen. Het is pas strafbaar als je een gesprek opneemt waar je geen deelnemer aan bent. Je hebt dus geen toestemming nodig om je eigen gesprekken op te nemen, en je hoeft het zelfs niet te melden (al is dat wel netjes).

Maar, zoals verderop in de discussie naar voren kwam, je mag niet zomaar gesprekken publiceren zonder toestemming van je partner. Die verwacht dat zo’n telefoongesprek vertrouwelijk is, en publicatie zal dus al snel schending van zijn of haar privacy opleveren.

Of dat hier ook opgaat? Ik denk het niet. De medewerker van de sociale dienst heeft zelf de inhoud van het gesprek doorgegeven om te klagen over het taalgebruiker van de beller. Zij kan er dan moeilijk bezwaar tegen maken als de beller laat horen wat er werkelijk gezegd is.

Arnoud

Wanneer mag je iemands berichten van je forum verwijderen?

Geplaatst op in Informatiemaatschappij, Privacy, 27 reacties

De beheerder van een forum mailde mij:

Een van onze leden heeft gigantische ruzie gemaakt met zo ongeveer iedereen en daarbij onze huisregels zwaar overtreden. Wij hebben hem dan ook geband (verbannen). Maar de berichten hebben we laten staan, want mensen moeten kunnen lezen wat er is gebeurd. Hij eist nu dat wij alle berichten van en over hem verwijderen. Kan hij dat?

Uit de privacy-richtsnoeren blijkt dat de privacywet hier mogelijkheden biedt voor het met ruzie vertrokken ex-lid.

Elk bericht dat hij plaatste, is namelijk een “persoonsgegeven” omdat het te herleiden is tot deze specifieke persoon. Hij heeft dus het recht te beslissen wat er met dat bericht mag gebeuren.

Door het bericht te plaatsen, gaf het forumlid toestemming voor deze “verwerking” van persoonsgegevens. Anderen mochten het bericht, het persoonsgegeven dus, lezen en in hun reacties verwerken. Tot zover geen probleem.

Die toestemming kan echter op elk moment worden ingetrokken, en dat betekent dat men met de verwerking moet stoppen. Je kunt niet in het huisreglement iemand verbieden deze toestemming in te trekken. De door het ex-lid geplaatste berichten moeten dus in principe worden verwijderd als hij daarom vraagt. De enige reden om het te mogen laten staan, is als er een “eigen gerechtvaardigd publicatiebelang” is.

Zo’n belang kan bijvoorbeeld zijn dat door de verwijdering de discussie onbegrijpelijk wordt. In dat geval, zo zeggen de richtlijnen, kun je volstaan met de naam van de plaatser vervangen door [VERWIJDERD] of iets dergelijks. Tenzij de inhoud van het bericht zelf nog informatie over de plaatser bevat, dan zou die informatie moeten worden geschrapt.

Een advertentie op b.v. Marktplaats zou dus door het bedrijf verwijderd moeten worden als de plaatser daarom vraagt. Iemands recensie van een film op een forum voor filmliefhebbers ook. Zulke berichten kun je verwijderen zonder dat andere berichten daardoor onbegrijpelijk worden, en als dat kan, dan moet het ook.

Informatie verwijderen die in andermans berichten verwerkt is, is heel erg lastig. Deze verwerking was in het kader van een vrije meningsuiting. Verwijderen mag dan alleen als het echt absoluut de enige manier is om de inbreuk op de privacy van de originele poster (het ex-lid dus) te beëindigen. En dat zal vrijwel nooit het geval zijn.

Arnoud

Deze e-mail is [wel/niet/misschien] voor blogpublicatie bestemd

Geplaatst op in Privacy, 5 reacties

U kent ze ongetwijfeld ook: de vaak ellenlange disclaimers op e-mail. Vaak vanuit de gedachte “baat het niet, dan schaadt het niet”, en ook wel omdat het wel heel formeel en juridisch staat natuurlijk.

Maar wat vindt u van deze?

This email is: [ ] bloggable / [ ] private / [X] (ask first)

Dat zou een hoop onduidelijkheden wegnemen over hoe een e-mailtje nu bedoeld is. Wil de afzender nu genoemd worden bij zijn linktip, of liever niet? En was die vraag nu voor publicatie bestemd?

De juridische status van e-mail is nog steeds niet duidelijk.

Overigens vind ik proclaimers beter dan disclaimers. Zeg wat je biedt en wat er wel mag, in plaats van wat je allemaal niet doet en wat er eigenlijk niet mag met je werk.

Arnoud

Privacy International: “Nederland neigt naar politiestaat”

Geplaatst op in Privacy, 3 reacties

Nederland: consequente privacyschenderGelukkig nieuwjaar, maar niet heel gelukkig werd ik van het onderzoek van Privacy International, dat concludeerde dat Nederland net zo slecht de privacy van burgers bewaakt als Rusland en China.

Vooral de identificatieplicht, plannen voor het kinddossier, verzamelen van DNA gegevens van mensen die wegens ernstige misdrijven veroordeeld zijn en het verstrekken van klantgegevens van internetproviders aan stichting BREIN zorgden voor een negatieve beoordeling. Hoewel België in 2006 nog een stuk privacy-vriendelijker was dan dit jaar, doet het het altijd nog veel beter dan Nederland.

Via Security.NL.

Arnoud

Privé-internetten op het werk

Geplaatst op in Informatiemaatschappij, Privacy, 1 reacties

Het privé onder werktijd mailen, surfen en bellen is het afgelopen jaar enorm toegenomen, meldt NU.nl op basis van (het persbericht bij) de ICT Barometer van Ernst & Young.

Bas van de Haterd is duidelijk:

[Ik zie] het in zijn geheel niet als een probleem, zolang je het maar bespreekbaar maakt. En ja, als een werknemer gaat zeuren als je hem of haar een keer thuis belt, dan heb je ook het volste recht om 100% aandacht op het werk te eisen. Maar eigenlijk moeten we eens van die uren keer bedragen paradigma’s af. Beoordeel mensen op hun kwaliteit en hun geleverde werk, niet op de uren die ze erin gestoken hebben. Hoewel, dat zullen veel mensen wel heel erg eng vinden, want dan moeten ze ineens presteren…

En zo is het maar net. De grenzen tussen privé en zakelijk vervagen steeds meer. Werkgevers moeten accepteren dat werknemers privé-zaken regelen en hun persoonlijke netwerk onderhouden onder werktijd. Net zo goed als werknemers moeten accepteren dat het werk niet altijd om vijf uur klaar is. Dit betekent dat een werkgever niet zomaar privé-gebruik van internet volledig kan verbieden.

Ook juridisch mag een werkgever niet zomaar privé-internetten verbieden, laat staan controleren op naleving van zo’n verbod. Het is natuurlijk niet de bedoeling dat je bedrijfsmiddelen, zoals computers of netwerkverbindingen, gebruikt voor privé-doeleinden. Aan de andere kant mag een werkgever niet zonder goede reden tot in detail in de gaten gaan houden wat werknemers doen met die bedrijfsmiddelen. Om te monitoren of te loggen moet hij persoonsgegevens bijhouden, en dat mag niet zomaar. Dat bleek uit het Copland-arrest van het Europese Hof voor de Rechten van de Mens van begin dit jaar.

Uitgebreide discussie bij Tweakers.

Arnoud

Amerikaanse verdachte hoeft PGP-decryptiesleutel niet af te geven aan politie

Geplaatst op in Privacy, Regulering, Security, 2 reacties

Een verdachte mag niet worden bevolen zijn PGP-decryptiesleutel of wachtwoord af te geven, bepaalde een een Amerikaanse magistrate judge eind november. Zo’n bevel is in strijd met de Amerikaanse Grondwet. Dat meldt onder andere Planet. In Engeland moesten diezelfde maand een groep Britse dierenactivisten nog hun decryptiesleutels afgeven. En hoe zit dat in Nederland?

Je hoeft niet mee te werken aan je eigen veroordeling. Dat heet het nemo tenetur-beginsel. Dat staat niet expliciet in onze wet, maar wordt wel erkend op grond van artikel 6 EVRM. Op grond van het Saunders-arrest van het Europese Hof geldt dat de verdachte geen verklaringen hoeft af te leggen, maar wel materiaal moet uitleveren dat onafhankelijk van zijn wil bestaat, zoals documenten en bloedmonsters. Als de verdachte in zijn dagboek een bekentenis had geschreven, en de politie vindt deze bij een huiszoeking, dan mag die gewoon worden gebruikt. Ook als het op de PC staat. Maar als de politie het dagboek niet kan vinden, mag de verdachte niet worden bevolen te vertellen waar het ligt.

Een wachtwoord zit ook in je hoofd, en het moeten vertellen is dus een “verklaring afleggen”. Vandaar dat zo’n bevel bij ons niet gegeven mag worden. Dit is expliciet vastgelegd in artikel 125k Wetboek van Strafvordering. Voor getuigen, maar ook voor andere betrokkenen (zoals een systeembeheerder) geldt deze verplichting wel – uiteraard voorzover ze het wachtwoord ook weten.

Kortom, nee, bij ons mag dit niet. Of het in de VS nu echt niet mag, is nog een open vraag. Dit is een beslissing van een magistrate judge, zeg maar een rechter-commissaris. Nog lang geen Supreme Court-arrest dus.

Zeer uitgebreid over nemo tenetur versus afgeven van sleutels is Bert-Jaap Koops, de expert op dit gebied, in Verdachte en ontsleutelplicht: hoe ver reikt nemo tenetur? (PDF). Bij de behandeling in de Tweede Kamer van het wetsvoorstel Computercriminaliteit II verklaarde de minister trouwens expliciet (RTF) dat het nemo tenetur-beginsel verbood om verdachten te bevelen hun wachtwoord af te geven.

Verder nog een heleboel discussie op Bij Tweakers en Slashdot.

Vraagje voor de toekomst: als ik nou geen wachtwoord gebruik maar een biometrische beveiliging op mijn gegevens heb, kan ik dan verplicht worden mijn vinger op de sensor te leggen? Het nemen van een vingerafdruk is namelijk geen inbreuk op nemo tenetur, maar het effect is wel hetzelfde als bevolen worden een wachtwoord af te geven. Aan de andere kant mag de politie ook de sleutelbos uit mijn broekzak halen en daarmee mijn brandkast openmaken.

Arnoud

Hoe krijg je gestolen informatie van internet?

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, Uitingsvrijheid, nog geen reacties

Verspreiden gestolen computerinformatie wordt strafbaar, meldde NU.nl donderdag. Het is nu verboden om in te breken in computersystemen en gegevens daaruit over te nemen, maar nergens staat dat anderen die die gegevens verder verspreiden, ook strafbaar zijn. Virtuele heling is dus legaal, en minister Hirsch Ballin wil nu verandering in brengen.

In zijn brief aan de Tweede Kamer legt de minister verder uit wat je nu al kunt doen aan gestolen informatie die mensen op internet verspreiden. Laat ik eens een poging wagen dit in minder ambtelijke taal te vertalen.

Ten eerste heb je meestal auteursrecht op de gegevens. Een tekst of foto is auteursrechtelijk beschermd, en kopiëren mag dan niet zonder jouw toestemming.

Mensen kunnen trouwens niet wegkomen met “ja maar ik citeer alleen maar uit de tekst”. Je mag namelijk alleen citeren uit rechtmatig gepubliceerd werk, en dus niet uit gestolen teksten.

Ten tweede heb je bij foto’s en films portretrecht. Ook hier weer: het gaat om materiaal dat je niet zelf gepubliceerd hebt, privéfoto’s dus. Zonder toestemming mogen zulke foto’s niet worden gepubliceerd.

De PriveEen voorbeeld: in 2005 werd de digitale camera van prinses Maxima gestolen. De foto’s daaruit doken op in de Telegraaf en de Privé. Dat werd verboden met een beroep op het portretrecht. Een beroep op de vrije nieuwsgaring werd afgewezen; zulke privéfoto’s hebben zelden tot nooit nieuwswaarde. En om het nieuwsfeit te melden dat de camera gestolen was (jaja, slim bedacht) hoef je de foto’s zelf niet te laten zien natuurlijk.

Daar kun je zowel de plaatser van de gegevens als diens provider op aanspreken. Ook kun je aangifte doen bij de politie, want opzettelijke inbreuk op auteursrecht of portretrecht is een misdrijf.

Als het gaat om bedrijfsgegevens, dan is er nog een derde optie. Het onthullen van bedrijfsgeheimen is namelijk strafbaar. En Hirsch Ballin wil dus een vergelijkbare bepaling voor privégegevens van natuurlijke personen invoeren.

Wat ik nog miste in het antwoord, is een beroep op de Wet Bescherming Persoonsgegevens. Gestolen foto’s, maar ook tekstuele informatie met daarin gegevens over jezelf zijn persoonsgegevens en mogen alleen met toestemming worden verwerkt. En die is er natuurlijk niet. Een “aantoonbare noodzaak” is dan het enige toegelaten alternatief, maar dat zal er ook niet snel zijn bij publiceren van gestolen informatie.

Mede via Volledig bericht, pardon Boek 9.

Arnoud

CBP: regels privacy en persoonsgegevens op internet, nu definitief

Geplaatst op in Privacy, 5 reacties

Een verjaardagskadootje dat me niet eens was opgevallen. Op 11 december publiceerde College bescherming persoonsgegevens (CBP) de definitieve tekst van de Richtsnoeren ‘Publicatie van persoonsgegevens op internet’ (PDF). Deze Richtsnoeren leggen uit hoe het CBP vindt dat de Wet Bescherming Persoonsgegevens toegepast zou moeten worden op internet, met name bij websites en forums.

Veel kritiek, pardon feedback over het omgaan met persoonsgegevens van minderjarigen. Je mag geen stamboom met daarin de naam van je kind publiceren, om eens wat te noemen. Maar, iets belangrijker, sites zoals Hyves, Sugababes en CU2 zijn illegaal bezig omdat ze kinderen profielen laten aanmaken zonder expliciet toestemming aan de ouders te vragen. Deze regel zal grote problemen op gaan leveren voor veel sites, nu meer dan 90 procent van alle jongeren regelmatig online bezig is en 58% vaak gebruik maakt van zulke sites. Toch vindt het Cbp het door haar gepropageerde strenge regime belangrijk:

Bij publicatie op internet moet echter rekening worden gehouden met het feit dat de gevolgen pas jaren later merkbaar kunnen worden, door koppeling van gegevens over een persoon door de tijd heen, of omdat een jongere zich in een nieuwe omgeving (bijvoorbeeld bij wisseling van school) op een andere manier wil kunnen ontwikkelen dan voorheen.

Ook handhaaft het Cbp de opvatting dat een IP-adres een persoonsgegeven is (in combinatie met een datum en tijdstip). Hierop was de nodige kritiek gekomen, omdat IP-adressen eigenlijk bij elke communicatie via internet nodig zijn en de Wbp zo wel heel ruim uitgelegd wordt. Maar deze brede uitleg past binnen de wet en de Europese privacyrichtlijn.

Als laatste bleek er veel verwarring te zijn over de verschillende begrippen, en met name wat de bijbehorende consequenties zijn. Zo gaat het vaak over de “verantwoordelijke” voor een verwerking van persoonsgegevens. Deze term lijkt te suggereren dat je die persoon dan dus aan kunt spreken op de gevolgen. Verantwoordelijkheid op grond van de Wbp is echter iets anders dan aansprakelijkheid. Je kunt verantwoordelijk zijn voor een verwerking zonder aansprakelijk te zijn voor de gevolgen. Zo is Youtube niet aansprakelijk voor schade door een daar gepubliceerd filmpje waar iemand herkenbaar op te zien is. Pas als Youtube getipt wordt, en men het filmpje dan niet weghaalt, kan dat anders worden.

De beheerder van een discussieforum is daarentegen wel verantwoordelijk én aansprakelijk voor persoonsgegevens die op zijn forum geplaatst worden. Een goed moderator-team is dus erg belangrijk. Het Cbp gaat nog een stapje verder:

Houders van websites of forums zijn onder de Wbp ook verantwoordelijk voor onjuiste of onnodige vermeldingen van persoonsgegevens door de bezoekers van hun publicatie. De verantwoordelijke moet daarom actief modereren om aperte onrechtmatigheden te voorkomen, zeker als het gaat om bijzondere gegevens, zoals strafrechtelijke of gezondheidsgegevens (zie hoofdstuk I paragraaf 8). Om onrechtmatigheid van de publicatie te voorkomen, dienen verantwoordelijken ervoor te zorgen dat bijdragen alleen gepubliceerd kunnen worden op tijdstippen dat er moderatie aanwezig is.

Dat wil niet zeggen dat het dus verplicht is om alleen publicaties na moderatie te laten verschijnen. Wie die strenge regel hanteert, zit goed volgens het Cbp. Wie dat niet doet, loopt het risico dat er een bijdrage op het forum komt die achteraf gezien iemands privacy schendt. Maar als dat niet gebeurt, is er geen juridisch probleem.

De regels zijn officieel gepubliceerd in de Staatscourant 2007, 240, pag. 27.

Eerste commentaar bij Netkwesties.

Arnoud

Identity management: This Is Me (op Security.NL)

Geplaatst op in Privacy, Security, nog geen reacties

Intrigerende column van Peter Rietveld bij Security.NL:

Naymz.com is een ‘sociale netwerksite’ voor Reputation Management for Professionals. Een soort LinkedIn dus. Maar met een interessant verschil: voor een heleboel mensen is er alvast een profiel aangemaakt. Ben je één van die gelukkigen en tref je je eigen naam aan, dan kun je zeggen “This Is Me”. Vervolgens kun je een wachtwoord kiezen en je profiel verder aanvullen en in gebruik nemen. Volgens de Terms of Use mag je je niet voor een ander uitgegeven. De rest van de Terms of Use gaan over vunzige content, de belangen van de aanbieder – kortom het feit dat je volledig aan de wolven bent overgeleverd als er iets misgaat. En als iemand anders je naam en profiel inpikt, ben je gebonden aan Terms of Use die je nooit gezien hebt… Op Naymz.com heb ik lekker zitten rondklikken en nu ben ik een heleboel verschillende mensen.

Dergelijk misbruik kan Рhoewel iets minder eenvoudig Рop alle sociale netwerksites. De feitelijke identificatie is namelijk meestal het e-mail adres. Ik kan een profiel aanmaken dat verdacht ̩cht overkomt, zeker als ik het ̩chte CV van iemand heb. Een leuke query op google met CV en filetype:doc levert genoeg kandidaten op om vrolijk te gaan klieren.

Lees verder in This Is Me door Peter Rietveld.

Arnoud

Briefgeheim voor privéberichten bij forums

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 4 reacties

De meeste forumsoftware heeft de mogelijkheid ingebouwd om deelnemers elkaar privéberichten (pb’s) te laten sturen. Alleen de ontvanger kan die dan lezen – en de beheerder natuurlijk, want de beheerder kan alles. Maar mag dat wel, zo vroeg een lezer van deze blog me onlangs.

Ik zou zeggen van niet, tenzij de beheerder een dringende reden heeft die te maken heeft met de goede werking van het forum. Het heet niet voor niets privébericht: mensen verwachten dat de inhoud daarvan privé is en blijft. En dan hebben zij er recht op dat de beheerder uit het bericht blijft.

Een dringende reden kan bijvoorbeeld zijn dat iemands inbox verstopt is, dat de beheerder een bevel van justitie kreeg om de inhoud van een pb af te geven of dat de virusscanner aangaf dat er een probleem was met een bericht.

Er is geen briefgeheim voor e-mail, en dus ook niet voor privéberichten op forums. Maar specifiek voor beheerders (administrators) zijn er wel regels over geheimhouding van privé communicatie van gebruikers.

Medewerkers van bedrijven die een telecommunicatiedienst (“dienst die geheel of gedeeltelijk bestaat in het overbrengen van signalen via een elektronisch communicatienetwerk”) aanbieden, zijn strafbaar als ze kennisnemen van de inhoud van die overgebrachte communicatie. artikel 273d Wetboek van Strafrecht. Afhankelijk van hoe je de definities leest is goed verdedigbaar dat de beheerder van een forum daar ook onder valt.

Je zou als beheerder in je forumreglement kunnen aangeven dat alle berichten, ook pb’s, gelezen worden. Dan wordt het een ander verhaal. Als je weet dat alles gelezen zal worden, heb je geen privacy. Maar dat moet dan wel heel expliciet vermeld worden, ik zou zelfs zeggen bij het scherm waar je de pb’s schrijft.

Arnoud