Categorie: Privacy

About Privacy

Subscribe Feeds

Mag een bedrijf mijn gegevens verstrekken aan een enquetebureau?

Geplaatst op in Ondernemingsvrijheid, Privacy, 1 reacties
"Customer satisfaction survey" by Kecko is licensed under CC BY 2.0

Een lezer vroeg me:

Regelmatig krijg ik na contact met een bedrijf allerlei enquêteverzoeken of uitnodigingen te vertellen hoe tevreden je bent etcetera. Dat wordt meestal gefaciliteerd door een extern bureau en niet door het bedrijf zelf. Mag dat eigenlijk wel van de AVG? Ik heb geen idee wat dat bedrijf nog meer doet met mijn gegevens.
In veel gevallen zal zo’n extern bureau opereren als verwerker voor het bedrijf waar je contact mee had. Het delen van de gegevens met het bureau is dan gedekt: het bureau voert een actie uit die het bedrijf ook zelf had kunnen doen, zeg maar.

Dit wordt anders als het bureau de gegevens (waaronder individuele enquêteresultaten) voor eigen doeleinden gaat gebruiken, maar dat kom ik eigenlijk niet tegen.

De vervolgvraag is, mag een bedrijf zelf mensen een enquêteverzoek sturen na een zakelijk contact? Dit is in AVG-termen een discussie over doelbinding. Dat houdt in dat er een concreet, logisch en nauw verband moet zijn tussen het oorspronkelijke doel en de verdere verwerking. En dat de verdere verwerking ook aansluit bij de verwachtingen van de betrokkene(n).

Als ik iets bestel of een dienst afneem, is het vrij logisch dat het bedrijf wil weten hoe dat is gegaan. Dit is ook een algemeen staande praktijk, dus dat voldoet wel aan de (geobjectiveerde) verwachting van de betrokkene. (Het maakt dan voor mij niet uit of het geleverde gratis was of tegen vergoeding.)

Iets meer moeite heb ik met een dergelijk tevredenheidsonderzoek na een meer vrijblijvend contact, zoals een vraag stellen over een product. Ik verwacht niet dat ik na zo’n kort en weinig diepgaand contact ook nog eens vragen over kwaliteit en tevredenheid hoef te beantwoorden. Hetzelfde geldt voor de nieuwsbrief die je er soms extragratis bij krijgt.

Arnoud

Mag ik als SaaS-dienstverlener klantdata laten delen met een derde?

Geplaatst op in Privacy, Security, 1 reacties
Photo by Claudio Schwarz on Unsplash

Een lezer vroeg me:

Wij leveren software-as-a-service diensten waarmee klanten data verwerken. Dit kunnen persoonsgegevens zijn. Onze klanten vragen ons om de mogelijkheid klantdata te delen met derden. Mogen wij dat faciliteren? Wij kunnen niet overzien of er toestemming is van de personen om wiens data het gaat, of dat er wel een verwerkersovereenkomst is met de ontvangende partij.
Dit is een vraag die ik regelmatig krijg. Vaak gaat het om SaaS diensten waarbij de vraag gaat om een koppeling of API, zodat de toegang door de derde automatisch mogelijk is. Maar soms wordt ook handmatige assistentie gevraagd, zeg maar “kun je een database dump naar partij X sturen voor ons”.

Juridisch maakt dat niet heel veel uit. Het gaat hier om persoonsgegevens die de klant verwerkt in het systeem. In termen van de AVG is de dienstverlener dan de verwerker, omdat de klant bepaalt voor welke doelen dit gebeurt. In die context is het ook de keuze van de klant wie toegang mag hebben tot de gegevens, dus als die een derde partij aanwijst dan heeft de verwerker dat maar uit te voeren.

Een specifieke zorgplicht voor de verwerker om na te gaan of dat wel rechtmatig is, kent de AVG niet. Dus tenzij je zelf heel duidelijke aanwijzingen ziet dat hier iets misgaat, hoef je hier niet aan te twijfelen. Hetzelfde geldt vanuit je algemene zorgplicht als ict-dienstverlener.

Bij een API koppeling of delen/share-functie is het vaak zelfs niet eens mogelijk om zo’n check te doen. Als iemand een geldige API-sleutel heeft, dan moet dat wel dankzij een autorisatie van je klant zijn (behoudens aanwijzingen voor cyberinbraken) dus dan is dit geautoriseerd.

Als verwerker ben je wel gehouden te zorgen dat dit op een veilige manier gebeurt, uiteraard tot het eindpunt van afleveren bij die derde. Dus de API moet een beveiligd kanaal hebben, het sleutelbeheer moet conform de stand der techniek gebeuren en ga zo maar door. Een Excelbestand maken en via de mail versturen naar het mailadres dat de klant in een ticket doorgaf, zou ik wat riskant vinden.

Arnoud

Moet mijn accountant een kopie van mijn identiteitsbewijs maken?

Geplaatst op in Privacy, Regulering, Security, 14 reacties
Photo by OpenClipart-Vectors on Pixabay

Een lezer vroeg me:

Ik ben ZZP’er en mijn accountant vraagt om een kopie van mijn identiteitsbewijs in het kader van de Wwft. Mijn vraag is: is het echt noodzakelijk dat mijn accountant een kopie van mijn identiteitsdocument bewaart? Kan hij niet gewoon alleen het nummer daarvan opschrijven, als bewijs dat hij het heeft gezien?
Korte antwoord: Dat is hij wettelijk verplicht, en nee er mogen geen doorhalingen of watermerken op gezet.

De Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) eist van organisaties zoals accountants dat zij cliëntenonderzoek doen. Hiermee wordt het moeilijker voor criminelen om illegaal verkregen gelden in het financiële systeem te brengen of terroristische activiteiten te financieren, is de gedachte. Dit wordt ook wel de “poortwachtersfunctie” genoemd.

De accountant moet dus met zekerheid kunnen vaststellen wie de cliënt is. Dit moet met een wettig identiteitsbewijs. (Er is wat discussie over het rijbewijs, maar dat terzijde.) En de accountant moet kunnen aantonen dat aan de wettelijke verplichtingen is voldaan bij eventuele controles door toezichthouders.

De kopie dient dus als bewijs bij zo’n controle dat de accountant de identificatie van de cliënt heeft gedaan (artikel 33 Wwft). En de reden dat daar geen strepen of watermerken overheen mogen, is omdat dan bepaalde echtheidskenmerken niet meer te verifiëren zijn. Nee, ik weet ook niet welke dat zijn die verifieerbaar zijn op een kopie maar dat is consequent wat banken zeggen en rechters accepteren, dus daar moeten we het mee doen.

In strijd met de AVG is dit ook allemaal niet. Omdat artikel 33 Wwft de kopie verplicht (en het bewaren daarvan), is er een AVG-grondslag – de wettelijke plicht. De AP bevestigt dit in een publicatie over identificatie bij financiële ondernemingen, maar ik weet dat de Rijksoverheid wat losser is met haar uitspraak dat “Banken en financiële dienstverleners zijn niet verplicht om een kopie of een scan van uw identiteitsbewijs te maken.”

Arnoud

Proton dreigt Zwitserland te verlaten bij aannemen nieuwe surveillancewet

Geplaatst op in Privacy, Regulering, Security, 4 reacties
Photo by kreatikar on Pixabay

Het Zwitserse Proton dreigt Zwitserland te verlaten als de regering een herziening van de surveillancewet aanneemt, las ik bij Tweakers. Nee, geen deeltje ontsnapt uit de Large Hadron Collider maar de versleuteldemaildienst ook wel bekend als Proton Mail. Het roept de vraag op, wat zouden ze werkelijk kunnen doen?

Proton is het bedrijf achter de dienst ProtonMail, maar men heeft ook aanverwante diensten zoals VPN, opslag en kalender. Unique selling point van het bedrijf is een volledige commitment aan data privacy en klantgeheim, inclusief client side encryption waarbij ook het bedrijf niet bij klantdata kan.

Voor veel mensen was het in 2021 raar te horen dat Protonmail op bevel toch bleek te loggen, ondanks dat men overal zegt niet te loggen. De reden was simpel: bij een concrete verdenking van een persoon moet ook Proton de in- en uitkomende mail loggen. De inhoud kan men niet bij, dus die hoeft niet te worden gegeven.

De aankomende wijziging van de Zwitsere surveillancewet zou dit moeten veranderen. Die wijziging ligt nu in internetconsultatie, dus er kan nog veel wijzigen, maar inderdaad staat hier een decryptieplicht in van mails die jouw dienstafnemers versturen, voor zover dat voor jou technisch haalbaar is.

Als ik zelf met GPG uitgaande mails versleutel, hoeft Proton dus niets te doen. Maar als ik hún encryptie gebruik, dan moet Proton dus een achterdeur hebben voor het geval Justitie eist dat mijn mail toegankelijk moet worden. En dat is precies wat Proton niet wil.

Inderdaad gaat dit erg ver, veel verder nog dan ook in Europa ter discussie staat. Een algemene decryptieplicht ligt al een tijdje niet meer op tafel, de discussie hier gaat over het automatisch meekijken bij verstuurde afbeeldingen of er kindermisbruik op te zien is.

Of het wetsvoorstel het gaat halen, kan ik zo niet inschatten. In het bronartikel bij Der Bund staat nog dat het voorstel tegen een arrest van de hoogste Zwitserse rechter in gaat, maar dat is natuurlijk geen argument. Een wetgever mág wetten maken die jurisprudentie aan de kant schuift, dat is hun goed recht. Tenzij de wet tegen hoger recht aanbotst, zoals het EVRM (waar Zwitserland bij zit), maar dat is hier geen uitgemaakte zaak.

Arnoud

Hoe kan ik met SCC’s nou regelen dat de NSA van mijn data afblijft?

Geplaatst op in Privacy, Regulering, Security, 9 reacties

Een lezer vroeg me:

Mocht het Data Privacy Framework (DPF) komen te vervallen, dan schrijft het kabinet dat we kunnen terugvallen op de modelcontractbepalingen (SCC’s) in onze contracten met cloud-providers om de privacy te waarborgen. Echter, hoe kan een contract met een cloud-provider nu zaken opvangen als het inperken van de toegang tot EU-gegevens door Amerikaanse inlichtingendiensten, zoals nu door DPF wordt gedaan?
Het Data Privacy Framework of DPF is een set afspraken tussen de VS en de EU, waarmee een zogeheten “adequaat niveau” van omvang met persoonsgegevens in de VS wordt vastgelegd. Op grond van het DPF is vervolgens door de Europese Commissie gesteld dat de VS een adequaat land is om persoonsgegevens heen te brengen, mits je dat doet binnen de kaders van het DPF.

Recent heeft president Trump leden van het voor het DPF essentieel orgaan, de Privacy and Civil liberties Oversight Board (PCLOB), ontslagen. Hierdoor is er geen quorum meer voor deze board om beslissingen te nemen, zodat ze effectief machteloos is geworden. Daarmee lijkt het DPF niet meer te voldoen aan de afspraken en is de kans groot dat het adequaatheidsbesluit moet worden ingetrokken.

Als dat gebeurt, kun je dus geen persoonsgegevens meer overbrengen naar de VS. Oftewel: geen US clouddiensten gebruiken voor opslag of verwerking daarvan. (Bij Europese dochterbedrijven met datacenters alhier is een ander verhaal.)

Naast dat adequaatheidsbesluit zijn er ook de zogeheten modelcontractbepalingen (SCC’s). Hiermee regel je het zelf: je spreekt met je Amerikaanse wederpartij regels af waarmee zij zich conformeren aan de AVG, kort gezegd. Daaronder valt ook het nemen van maatregelen die AVG overtredingen borgen, zoals het in strijd met de AVG afgeven van persoonsgegevens aan Amerikaanse justitie.

Een terecht punt is hoe je dat doet als de lokale wetgeving je daartoe juist verplicht. Dat punt was even minder relevant, omdat de redenering was dat dóórdat het DPF en het adequaatheidsbesluit er waren je mocht aannemen dat dit niet zomaar zou gebeuren. Een adequaat land mág haar justitie dingen laten vorderen, die kaders zijn gewoon AVG-conform – dat is het punt van het land adequaat achten. Het zit wel goed daar.

Dat argument staat natuurlijk op losse schroeven als dat adequaatheidsbesluit nu ingetrokken wordt door het wegvallen van het DPF. Wat heb je dan nog om te zeggen, mijn Amerikaanse wederpartij kan zich gewoon aan de SCC afspraken houden?

In een recente kamerbrief zegt onze staatssecretaris Digitalisering en Koninkrijksrelaties daarover dat “Mocht het DPF komen te vervallen, dan zal mogelijk middels een DTIA gekeken moeten worden naar de vraag of er (en zo ja welke) aanvullende waarborgen of maatregelen moeten worden genomen om de in de AVG vereiste rechtsbescherming voor natuurlijke personen te waarborgen.” Dat schuift dus het probleem voor ons uit.

Terzijde: Of Amerikaanse inlichtingendiensten stiekem bij data kunnen is volledig irrelevant voor deze discussie. Dat is een beveiligingskwestie, maar staat los van de vraag of je van de AVG je data mág opslaan daar. Die vraag gaat pas spelen als overheidsinstellingen op grond van de wet vorderen dat ze data mogen hebben, dus juridisch in plaats van gewoon praktisch er bij willen. De NSA is hetzelfde als iedere willekeurige indringer van buitenaf.

Arnoud

Ik heb het Youtube-account van mijn moeder gewist omdat ze mij er steeds op zet, wat nu?

Geplaatst op in Privacy, 18 reacties

Een lezer vroeg me:

Help! Mijn moeder heeft een YouTube-kanaal waar ze ‘aesthetic daily life’ vlogs post en ze filmt ALLES. School, uitjes, zelfs toen ik ziek was bij de dokter! Mijn klasgenoten herkennen me en spreken me erop aan. Ik ben nog maar 14 en voel me super ongemakkelijk dat duizenden mensen mij kunnen zien zonder dat ik daar toestemming voor heb gegeven. Haar laatste video gaf een berg reacties over mij waar ik écht boos over werd, dus gisteren heb ik haar kanaal verwijderd toen ze niet thuis was. Ze gaat FLIPPEN als ze het ontdekt. Had ik het recht om dit te doen?
Sharenting, kent u die uitdrukking? Het betekent dat (groot)ouders informatie van hun (klein)kind delen op social media, zoals foto’s en video’s. Een groeiend probleem binnen de context van ict-geletterdheid.

Het juridisch kader is nogal generiek. Een vlog met een herkenbaar persoon is een persoonsgegeven, en moet dus met een AVG grondslag gerechtvaardigd worden. Toestemming ligt voor de hand, en omdat de persoon nog geen zestien is moet de ouder die geven (artikel 5 lid 1 Uitvoeringswet AVG).

Moet je je kind horen in zo’n toestemmingskeuze als ouder? Daar is de AVG niet duidelijk over, al hint overweging 38 er wel op met de zinsnede “specifieke bescherming” voor kinderen. Het Kinderrechtenverdrag zegt (artikel 3) dat bij beslissen over kinderen “de belangen van het kind de eerste overweging” vormen.

De moeder moet die belangen dus meewegen bij het geven van toestemming. Ik zie zo in de vraag geen reden waarom de privacybelangen van de dochter gepasseerd moeten worden. Op het gevaar van instra-ostracism af (“likes zijn een grondrecht”), dit is gewoon een vlog en niet een documentaire van een zware maatschappelijke misstand.

Als de moeder tevens jurist is, zou ze kunnen zeggen dat ze niet de grondslag toestemming gebruikt maar het eigen gerechtvaardigd belang, zeg maar de nieuwswaarde van de vlog weegt op tegen de privacy van de dochter. Maar je komt dan bij dezelfde afweging uit: dat Kinderrechtenverdrag werkt ook hier door. De conclusie zal dan hetzelfde zijn.

Het kanaal verwijderen was wellicht niet de meest constructieve oplossing, maar begrijpelijk vanuit de frustratie van het kind. En als de conclusie is dat de video’s sowieso niet mochten dan zelfs theoretisch juist (recht van vergetelheid, artikel 17) maar een disproportionele actie want ook video’s zonder de dochter zijn nu geraakt.

Mogelijk is de moeder ook financieel gedupeerd, want haar (ongetwijfeld) gesponsorde posts zijn nu weg, de volgers zijn kwijt et cetera. Ik kan me inderdaad inbeelden hoe dit vanuit moeders perspectief tot enige boosheid leidt, met dreigementen over zakgeld inhouden tot gevolg. Als jurist kan ik alleen maar zeggen dat hier niets strafbaars aan zit (computervredebreuk mijn juridische hoela) en dat geen rechter een schadevergoeding toe gaat wijzen.

Natuurlijk gaat hier geen rechtszaak over komen. Een goed gesprek was lang geleden al een goed idee geweest, maar op dit moment zal daar echt een derde bij moeten. Een vertrouwd familielid, de decaan van school of een gezinscoach, maar deze twee gaan dit niet samen rechtbreien.

Jullie nog tips?

Arnoud (Vraag herschreven met AI om herkenbaarheid te minimaliseren)

Mijn huisbaas wil mijn emailadres niet wijzigen, wat nu?

Geplaatst op in Ondernemingsvrijheid, Privacy, 13 reacties
Photo by Ivan Aleksic on Unsplash

Via Reddit [ingekort]:

Ik huur een appartement in de vrije sector die wordt beheerd door een property manager. Dat bedrijft heeft een online portaal waar je je contract kan inzien en reparatieverzoeken (tickets) kan indienen. Voor dat portaal heb ik een account op basis van mijn e-mailadres. Echter wil ik mijn e-mailadres veranderen. De portaal zelf biedt geen mogelijk om een e-mailadres te wijzigen. [De organisatie geeft] daarbij aan dat het hun beleid is om e-mailadressen niet aan te passen. Op de vraag hoe zij contact met mij gaan opnemen als ik geen toegang meer heb tot mijn oude e-mailadres, krijg ik als reactie dat het mijn keuze is om mijn e-mailadres te wijzigen en dat ik maar mijn oude e-mailadres moet aanhouden.
Dit is weer zo’n casus waarbij het theoretische antwoord vrij makkelijk is maar het praktische aspect enorme moeite gaat opleveren.

Een e-mailadres van een natuurlijk persoon is een persoonsgegeven. Het doet er daarbij niet toe of het in het formaat voornaam.achternaam@example.com is of niet. Enkel dat het door en voor een mens wordt gebruikt, is genoeg om het onder de AVG te laten vallen.

Het is prima (en best handig) om accounts bij online diensten te verbinden aan een mailadres. Dat weet je (in tegenstelling tot je zoveelste gebruikersnaam), daar kun je altijd bij en het is met jou verbonden. Maar als organisatie verwerk je dan persoonsgegevens, en dan moet je rekening houden met de AVG.

Het kunnen wijzigen van het mailadres is simpelweg een recht van de betrokkene. Ik zie ook niet hoe dit gedoe moet geven: het is een veld in je database en daar kun je nieuwe data in stoppen. Goed, je wilt een validatieproces want mensen kunnen typefouten maken, maar meer dan dat zou ik als bezwaar niet weten.

Maar goed, het probleem is dus dat de verhuurder het recht weigert na te leven en daar niet met een stevige sommatiebrief uit ChatGPT gehoor aan geven. Wat kun je dan doen? In de comments de bekende tips: een verzoekschriftprocedure (mag zonder advocaat) bij de rechtbank, de AP vragen om te handhaven en “gewoon doen na notificatie”.

Die eerste twee spreken voor zich maar zijn misschien meer moeite dan een oud account aanhouden met een forwardregel. Maar kun je wegkomen met “hierbij meld ik u dat mijn adres oud@kremvax.su niet meer werkt en dat ik alleen bereikbaar ben op nieuw@worldonline.nl”, aangenomen dat je bewijs hebt dat deze melding is aangekomen?

Het gaat hier om toegang tot een portaal. In principe mis je dus niets zolang je gewoon af en toe inlogt, behalve de notificatieberichten dat er iets speelt. Je wachtwoord vergeten is ongeveer het enige probleem.

Als er dingen gebeuren waar je mailadres echt voor nodig is, zoals “de verrekening van de energiekosten, als er tijdelijk geen stroom/water beschikbaar gaat zijn of om een afspraak te maken”, dan kan er wel wat misgaan. Er kan dan een monteur voor de deur staan, of jij weet niet dat het water er deze ochtend af zou gaan en hebt nu geen douchemogelijkheid.

Toch lijken me ook deze dingen niet iets waar een juridisch randje aan zit. Een melding dat er een monteur langskomt, is niet genoeg om bv. voorrijkosten te mogen rekenen omdat je er niet was. Geen warm water hebben is vervelend, maar de notificatie maakt daar juridisch gezien weinig over uit.

Arnoud

 

Mag je werknemers een speekseltest dwingen te ondergaan van de AVG?

Geplaatst op in Ondernemingsvrijheid, Privacy, 29 reacties

De door de werkgever afgenomen drugstest is in strijd met AVG. Dat meldde een recent vonnis waar enige ophef over was. Het is weliswaar niet direct ict, maar het laat wel zien hoe de AVG geacht wordt te werken dus ik kijk er toch even naar.

De werkgever in deze zaak is een bedrijf dat monopiles produceert, stalen funderingen voor offshore windparken. Monopiles zijn om en nabij 120 meter lang, kennen een diameter van 9 tot 11 meter en hebben een gewicht van 2500 ton. Dus ik snap dat je als werkgever je zorgen maakt over werknemers die onder invloed van alcohol, drugs of medicijnen (ADM) hiermee werken.

Het bedrijf had duidelijk zero tolerance ADM-beleid, wat op zich prima en logisch is. Waar het misging, was de onaangekondigde alcohol- en drugscontroles aan de poort die willekeurig kon worden gegeven. De werknemer in deze zaak werd getest, testte positief en “kwam stoned over” in het gesprek dat daarna plaatsvond.

De werknemer vocht het daarop volgende ontslag aan, onder meer met het argument dat de drugstest in strijd met de AVG was gegeven. Punt hierbij is dat de uitslag van zo’n test telt als gezondheidsgegeven, en dat de AVG dan in principe een wettelijke regeling eist om dit te mogen doen.

De Autoriteit Persoonsgegevens legt uit:

Voor sommige werknemers die risicovolle beroepen uitoefenen, zoals piloten en schippers, bestaat nu al een wettelijke uitzondering. … Omdat er een gezagsrelatie bestaat tussen een werkgever en werknemer, zijn duidelijke voorwaarden en waarborgen opgenomen in de wet over de wijze waarop deze controles moeten worden uitgevoerd. Ook is helder afgesproken op welke manier de uitkomsten van een ADM-test mogen worden gedeeld en bewaard.
Door zo’n wettelijke regeling worden de belangen van werknemers beschermd en wordt een eerlijke situatie geborgd. Maar het spiegelbeeld daarbij is natuurlijk wel dat als je géén wettelijke regeling hebt, je dus geen ADM-tests mag doen.

Uiteraard is dat zeer frustrerend, en de tip om dan maar ADM-beleid op te stellen en actief hulp te bieden bij middelengebruik voelt dan nogal karig. Het probleem is vooral dat onze wetgever sinds 2022 niets meer heeft gedaan om werkgevers ADM-tests in te kunnen zetten.

En ja, ik Vind Er Wat Van dat dit dan in het nieuws komt als “het mag niet van de AVG”. Het AVG-kader staat dit prima toe, je moet alleen wel wat doen als wetgever.

Arnoud

Mag mijn verhuurder de radiator omlaag doen als ik niet in mijn kamer ben?

Geplaatst op in Privacy, 40 reacties
Photo by Denny Müller on Unsplash

Een lezer vroeg me:

De verhuurder van mijn studentenflat wil voorkomen dat huurders overbodig stoken. Sensoren meten temperatuur, licht en beweging en de thermostaat is geprogrammeerd om dan naar een lagere temperatuur te gaan. Mag dit zomaar?
Dergelijke sensoren en ‘slimme’ thermostaten bestaan al geruime tijd. Voor je eigen woning erg handig: als er niemand in de studeerkamer is in het weekend, hoeft daar ook de verwarming niet aan natuurlijk. Ik zie wel hoe ook een verhuurder hier baat bij kan hebben, zeker als gas/water/licht inbegrepen zijn bij de huurprijs.

Een bekend product specifiek voor verhuurders is de ICY thermostaat. Deze is “ontwikkeld voor toepassing in ruimten waarvan de gebruiker niet degene is die de energierekening moet betalen”, en men noemt nadrukkelijk “vandaalbestendigheid” als verkoopbevorderend argument. Er zijn varianten die “vanuit de receptie” draadloos in te stellen zijn, bijvoorbeeld door de maximumtemperatuur omlaag te zetten.

Klinkt allemaal zeer reëel, en ik snap dat je als all-in verhuurder je zorgen maakt over excessief stookgedrag zoals de radiator continu op 25 laten staan (met het badkamerraam open) terwijl je carnaval viert bij je ouders thuis.

Maar omgekeerd zie ik ook de zorgen van de huurder, hoewel mij niet duidelijk is of de verhuurder de sensoren kan uitlezen en dus vaststellen of jij op je kamer bent. Ik lees wel dat men op afstand je radiator kan bedienen, en dat is op zich ook een aardige privacyschending natuurlijk – het is jouw kamer, niet de zijne.

Er zijn geen specifieke regels voor deze situatie. De AVG lijkt me niet direct van toepassing, want er worden geen persoonsgegevens verzameld, laat staan doorgegeven aan de verhuurder. Je algemene recht van privacy komt inderdaad in het geding, maar dat is vrij abstract en niet als absoluut recht te allen tijde in te roepen. Het belang van kostenbesparing moet óók worden gerespecteerd, dus daar moet een middenweg in worden gevonden en ik zie wel hoe deze thermostaten daar een aanzet voor zijn.

In het huurrecht is de verwarming en de stookkosten een regelmatig terugkerend onderwerp, maar wat ik er over lees gaat vooral over géén verwarming bieden of het zo koud laten worden dat de woning/kamer onleefbaar wordt. Dat is problematisch. Het specifieke punt van het technisch inrichten dat bij (vermoedelijke) afwezigheid er niet onnodig gestookt wordt, is nooit langs geweest.

Mijn conclusie is dus dat dit mag, zolang de verhuurder de kamer niet onleefbaar koud laat worden en de sensoren niet oneigenlijk gebruikt om bijvoorbeeld mensen aan te spreken op niet thuis zijn of ’s nachts overlast geven.

Arnoud

Goksite manipuleert L1-interview met ex-verslaafde voor reclame, kun je daar aangifte van doen?

Geplaatst op in Privacy, 3 reacties
Photo by djedj on Pixabay

Een vrouw uit Kerkrade heeft aangifte gedaan omdat ze is opgedoken in een advertentie waarin ze eigenlijk helemaal niet voorkwam. Dat meldde de NOS onlangs. Op sociale media gaat een gemanipuleerde video rond waarin ze een online casino lijkt aan te prijzen. Pijnlijk: ze is voormalig gokverslaafde en vertelt in de bronvideo juist over de gevaren van online gokken.

Bij L1 hebben ze meer informatie:

Aanleiding voor het interview waren strengere regels voor gokbedrijven. Haar interview was te zien op tv en op de website van L1. Maar tot haar grote verbazing zag Lia zondag dat het bewuste filmpje is bewerkt, waarschijnlijk met kunstmatige intelligentie. Er is nu een reclamevideo van gemaakt die kijkers juist moet aansporen om online te gaan gokken.
“Vermoedelijk is dit met AI gedaan”, heet het dan, maar uiteindelijk maakt de gebruikte techniek niet uit. Maar hoe verklaren we dit strafbaar?

Sinds een paar jaar is identiteitsfraude strafbaar. De wet (art. 231b Strafrecht) bepaalt:

Hij die opzettelijk en wederrechtelijk identificerende persoonsgegevens, niet zijnde biometrische persoonsgegevens, van een ander gebruikt met het oogmerk om zijn identiteit te verhelen of de identiteit van de ander te verhelen of misbruiken, waardoor uit dat gebruik enig nadeel kan ontstaan, wordt gestraft met een gevangenisstraf van ten hoogste vijf jaren of geldboete van de vijfde categorie.
(‘Verhelen’ betekent ‘verhullen, achterhouden’.) Meestal gaat dit over gevallen waarin de ander zich voordoet onder de naam van het slachtoffer. Dat speelt hier niet: het slachtoffer heeft een andere naam gekregen, enkel haar gezicht en figuur worden gebruikt.

Ook dat valt er onder. Iemand is herkenbaar ook zonder naam – dat is hier feitelijk ook gebeurd, anderen herkenden haar – en de aldus gebruikte persoonsgegevens worden misbruikt door de pleger. Het geeft “enig nadeel”, namelijk reputatieschade door de hier zeer ongewenste associatie met gokken.

Uiteraard blijft de praktijk weerbarstig. Het gaat om een illegaal casino, dus die zullen niet snel benaderd kunnen worden om de advertentie te verwijderen. De tussenpersonen wassen hun handen in onschuld, en je moet maar hopen dat je hard genoeg kunt aandringen bij Meta en consorten om de video verwijderd te krijgen.

Arnoud