Categorie: Privacy

About Privacy

Subscribe Feeds

Mag ik ondertussen data in de cloud zetten als die fysiek in Europa blijft?

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, Privacy, Regulering, 20 reacties

Een lezer vroeg me:

Het is 2025 en ik heb duidelijkheid nodig. De AVG zegt dat persoonsgegevens niet zonder aanvullende waarborgen naar een niet-Europese partij mogen worden doorgegeven. Als ik bij een cloudprovider zoals bijvoorbeeld Amazon AWS of Microsoft Azure gebruik maak van region in Europa, wat betekent dat de servers fysiek in Europa staan, voldoe ik dan gewoon aan deze regel?
De AVG stelt inderdaad strenge eisen aan ‘doorgifte’, iedere handeling met persoonsgegevens waardoor ze buiten een EU/EER land komen. Het maakt daarbij niet uit of je doorgeeft aan een verwerker of een verwerkingsverantwoordelijke.

Overigens is de AVG niet de enige: ook bij niet-persoonsgegevens gelden er vanaf 12 september regels over doorgifte van data naar buiten de EU, wanneer dat in strijd is met andere EU regels. Dit volgt uit de Data Act (Verordening 2023/2854) die vanaf die datum van kracht wordt.

Aan dergelijke doorgifte kleven twee kanten, de praktische en de formele. Het makkelijkst te regelen is de formele. Je spreekt af dat de data niet buiten de EU/EER mag komen, en dat de ontvanger de Europese wet- en regelgeving zal respecteren. Dit is bijvoorbeeld de EU Data Boundary van Microsoft, het contractuele raamwerk waarmee Microsoft garandeert dat EU data binnen de grenzen van de Unie blijven. Amazon heeft ook iets dergelijks.

Wie de juiste set papieren doorloopt, de afspraken reviewt en de juiste kruisjes bij de juiste opties zet, heeft formeel de doorgifte goed afgeschermd.

De praktische kant is iets ingewikkelder, en dat zie je al meteen aan termen als “behoudens bijzondere gevallen” in die MS belofte. (Andere aanbieders hebben dit net zo goed, Amazon houdt het bij “or to comply with law”.) Soms moet data toch naar de VS, denk aan klantenservice of incidentanalyse na een cyberaanval. Of omdat de Amerikaanse justitie dit eist.

Of en in hoeverre die laatste eis mag, is nog steeds onderwerp van héél veel discussie. De Amerikaanse CLOUD Act staat daarbij centraal. Al in 2022 stelde ons NCSC dat “data en (persoons)gegevens die in Europa worden verwerkt en opgeslagen, en dus in beginsel in Europa zijn en blijven, [soms vallen] onder Amerikaanse wetgeving en kunnen door de Amerikaanse overheid worden opgevraagd op basis van de CLOUD-Act.”

Het lastige aan deze discussie is wanneer sprake is van ‘soms’, met name als het gaat om een Europees dochterbedrijf dat zich nadrukkelijk niet op de Amerikaanse markt richt en organisatorisch onafhankelijk binnen het concern opereert. Die dochter is dan niet aan Amerikaanse jurisdictie onderworpen, en bovendien onder de AVG verboden om mee te werken aan Amerikaanse bevelen (art. 48 AVG). Maar de moeder (Microsoft Inc in Seattle, Washington) is dat natuurlijk wel – en die zou druk op de dochter kunnen uitoefenen, of de directie ontslaan en een gewilliger setje installeren.

Daar staat dan weer tegenover dat het de core business van het bedrijf is om EU compliant te opereren. Dus er is dan ruimte voor tegendruk, zeker omdat die Europese directeuren geen zin hebben in claims van Europese toezichthouders. En de directie vervangen gaat hoe dan ook flink opvallen.

Natuurlijk, technische trucs kunnen altijd. Men kan een achterdeur in de onderliggende software hebben gebouwd, zo subtiel dat de ISO auditor het niet gezien heeft. Men kan dataleidingen voorzien hebben van een aftakking naar de VS, om zo stiekeme kopietjes te trekken. En ook organisatorisch: men zou een Amerikaanse expat-systeembeheerder persoonlijk onder druk kunnen zetten om die kopie te trekken.

Maar dan komen we buiten het juridisch kader waar je redelijkerwijs over na moet denken, en meer in de sfeer van cybercriminaliteit binnen de organisatie. Want laten we wel wezen: wat is dan nog het verschil met een systeembeheerder die van een Colombiaans kartel die kopie moet trekken of een achterdeur gebouwd door Cozy Bear? Tegen beiden moet je je wapenen, en dat lost dan meteen dat (in de EU écht illegale) gedrag van de moedermaatschappij op.

Wat mij betreft is het antwoord dus: als jij zaken doet met een Europees bedrijf – dochter van een Amerikaans concern of niet – en de data blijft fysiek in de EU met waarborgen tegen aftappen en stiekeme kopietjes, dan zit je van de Europese regelgeving goed. Waarbij meehelpt dat juristen dan mogen zeggen: en als dat niet zo is, dan zat je in ieder geval samen met iedereen fout. Want dat maakt het minder erg.

Arnoud

Een webshop mag je niet verplichten te zeggen of je De Heer dan wel Mevrouw (laat staan Mejuffrouw) bent

Geplaatst op in Ondernemingsvrijheid, Privacy, 41 reacties
Photo by Magda Ehlers on Pexels

Je geslacht is objectief irrelevant bij het aankoopproces in een webwinkel. Je zou zeggen dat dit een open deur is, maar toch was het Hof van Justitie nodig (zaak C-394/23) om te bepalen dat het eisen van iemands aanspreekvorm niet objectief noodzakelijk is in een commerciële transactie. Bij deze dan.

Ik had iets dergelijks al in 2018 gesteld:

Onder de AVG geldt het principe van dataminimalisatie: je mag niet meer persoonsgegevens gebruiken dan je strikt nodig hebt om je doel te halen. Vanuit dat principe mag je dus ook niet meer vragen dan wat je nodig hebt. … De geboortedatum van de klant is typisch zo’n element. Hoe belangrijk is het dat je weet wanneer je klant jarig is, of dat je weet hoe oud deze is? Ik kan eigenlijk nauwelijks een scenario bedenken waarin je dat móet weten.
Hetzelfde geldt voor de aanspreekvorm. Het is natuurlijk leuk en beleefd om “Geachte heer Engelfriet, uw leggings maat 38 zijn weer op voorraad” te kunnen zeggen. En ik snap ook dat je in Amerika ontwikkelde webshopsoftware gewoon Mr/Mrs in een verplichte dropdown heeft en dat jij ook niet weet hoe je dat aan moet passen. Maar echt nodig is het niet.

In het arrest bevestigt het Hof dat het gaat om “noodzaak” en dat dit een hoge lat is. “Nuttig” of “gebruikelijk” is bij lange na niet hetzelfde:

Volgens de rechtspraak lijkt de personalisatie van de inhoud immers niet noodzakelijk om een klant diensten aan te bieden wanneer hem, in voorkomend geval, voor deze diensten een gelijkwaardig alternatief kan worden verstrekt waarvoor een dergelijke personalisatie niet nodig is, zodat deze niet objectief onontbeerlijk is voor een doel dat integrerend deel uitmaakt van die diensten.
In dit geval kun je prima volstaan met genderneutrale aanduidingen, zoals “Geachte Arnoud Engelfriet”. Ook “generieke, inclusieve beleefdheidsformules die geen verband houden met de veronderstelde genderidentiteit van de klanten” zoals het beroemde “Beste reizigers” van onze NS zijn altijd mogelijk.

De Franse spoorwegen (tegen wie de zaak liep) hadden echter nog een inhoudelijk argument waarom het soms wél noodzakelijk was:

namelijk de vervoersdiensten aanpassen voor nachttreinen, met wagons die zijn voorbehouden aan personen met eenzelfde genderidentiteit, en bijstand verlenen aan passagiers met een handicap. Volgens SNCF Connect is het voor deze aangepaste vervoersdiensten noodzakelijk om de genderidentiteit van de betrokken klanten te kennen.
In de Franse nachttrein is het namelijk mogelijk een sleepercoupé voor vrouwen te boeken. Dan moet je natuurlijk wel weten dát je met een vrouw te maken hebt. Het Hof vindt het dan alleen om bij iedereen op voorhand te vragen of ze man of vrouw zijn; dit kun je ook doen nadat iemand “Espace Dame Seule” aanvinkt.

Praktische oplossing: laat je webdeveloper “Wil ik niet zeggen” toevoegen aan die dropdown – en dan gelijk “mejuffrouw” eruit.

Arnoud

 

Kunnen nabestaanden het account van een overledene laten verwijderen?

Geplaatst op in Privacy, Uitingsvrijheid, 6 reacties
Photo by gustavofer74 on Pixabay

Een lezer vroeg me:

Op een forum waar ik moderator van ben, is het verzoek binnengekomen de berichten van een recent overleden vaste gebruiker allemaal te wissen (het gaat om duizenden berichten). Men stelt dat deze persoon slecht lag met de familie en vele roddels op het forum heeft geplaatst. Een daarvan meldt zelfs erfgenaam van het account te zijn en op die grond het gehele account te mogen opeisen. Hoe zit dat?
Er is geen aparte wet- of regelgeving over het verwijderen van berichten of accounts. Meestal wordt dan de AVG ingeroepen, die kent een recht van verwijdering (artikel 17). Echter, de AVG geldt alleen bij levende personen. Op grond van de AVG een persoonsgegeven (zoals een bericht, naam of account) van een overledene weghalen is dus niet mogelijk.

Ik lees echter dat de berichten iets over familie zeggen. Aangenomen dat dit gaat over nog levende mensen, kunnen die inderdaad op grond van de AVG verwijdering eisen. Jij moet dan als beheerder een afweging maken: hoe ernstig is de uitlating, hoe goed is deze onderbouwd en welke schade of nadeel hebben de personen over wie het gaat? Iemand die in een discussie uitgebreid ingaat op verwaarlozing uit zijn jeugd doet daar weliswaar een negatieve uiting, maar dat lijkt me niet snel smadelijk.

Ik zie dus alleen mogelijkheden op basis van inhoud die redelijkerwijs onrechtmatig is, dergelijke berichten moet je aanpassen of verwijderen. Dit is dan hetzelfde ongeacht of de plaatser overleden is natuurlijk, dus het zijn dan ‘gewoon’ klachten over vermeende smaad, privacyschending en dergelijke. Een geheel account verwijderen kan op die grond niet.

De erfgenaam die het account opeist, heeft goed opgelet op deze blog: het is (soms) mogelijk om toegang te krijgen tot een account van een overledene, als je diens erfgenaam bent. Op grond van wat juridisch ‘saisine’ heet, ben je dan de rechtsopvolger van de (dienst)overeenkomst met het forum op grond waarvan er mag worden gediscussieerd.

Dit levert je alleen geen extra rechten op ten opzichte van wat de overledene destijds mocht. Dus als die niet bevoegd was om zomaar berichten weg te halen (wat vrijwel altijd het geval is bij forums), dan ben je dat als contractsovernemende partij ook niet.

Arnoud

Rechtbank wil zien welke data de politie over burgers verzamelt – maar politie weigert medewerking

Geplaatst op in Privacy, Regulering, 10 reacties
geralt / Pixabay

Ondanks een bevel van de rechtbank weigert de politie een onafhankelijk onderzoeker mee te laten kijken in haar informatiesystemen. Dat meldde Follow The Money vorige week. Dat voelt raar, iedere rechtbankserie leert je dat rechters zich dan geminacht verklaren en héle stevige boetes opleggen. Maar het Nederlands bestuursrecht werkt niet zoals Suits.

De achtergrond is kort samengevat als volgt. Activist Frank van der Linde werd in 2017 ten onrechte op de Contraterrorisme, Extremisme en Radicalisering-lijst gezet, en probeert sindsdien zijn naam te zuiveren. Met informatieverzoeken wil hij achterhalen waarom en waar die informatie vandaan kwam.

De rechter gaf Van der Linde diverse keren gelijk, bijvoorbeeld in april nog. Nu ligt er een nieuwe kwestie: de rechtbank benoemde een forensisch deskundige die de opdracht kreeg in de systemen van de politie te kijken, want “de rechtbank twijfelde namelijk aan de kwaliteit van de ‘zoekslag’ die de politie had uitgevoerd” aldus FTM.

Volgens de politie-korpschef is zo’n benoeming niet bindend, kennelijk omdat het gaat om een onderzoek naar gebruik van persoonsgegevens en dan de Autoriteit Persoonsgegevens als enige bevoegd is. De juridische redenering is denk ik dat de Awb een medewerkingsplicht kent bij bevoegd optredende toezichthouders (art. 5:20 Awb), en de rechtbank is nu eenmaal geen toezichthouder.

De AP noemt dit heel beleefd “mogelijk een misverstand”. Maar juridisch is het vrij duidelijk: ook bij het onderzoek door een rechtbankdeskundige (art. 8:47 Awb) geldt een medewerkingsplicht, namelijk art. 8:30 Awb. Hierbij geldt geen voorbehoud voor persoonsgegevens of politiegegevens.

Alleen heeft weigeren hier geen bijzondere gevolgen. Ja, de bestuursrechter mag dan “daaruit de gevolgtrekkingen kan maken die hem geraden voorkomen” (art. 8:31 Awb) maar dat is dan hooguit “ik vonnis dat u die gegevens wél heeft” of “u handelt in strijd met de wet door ze niet te geven”. De deskundige heeft dan nog steeds niets gezien, en Van der Linde is dan dus geen stap verder.

De normale gang van zaken is de dwangsom: een fors bedrag per dag dat je de deskundige niet zijn of haar werk laat doen. Dat kan in de Awb echter alleen bij het niet nemen van een besluit, niet bij het weigeren de deskundige te helpen.

In een andere zaak speelde hetzelfde probleem: een activist wil gegevens over haarzelf, en de korpschef weigert inzage. Daarin zie je ongeveer de grenzen van wat een rechtbank kan eisen:

de rechtbank draagt de korpschef op een nieuw besluit te nemen en daarbij het volledige verzoek van eiser te betrekken. Bij de nieuw te verrichten zoekslag dient de korpschef gemotiveerd uiteen te zetten op welke persoonsgegevens is gezocht, bij welke afdelingen zoekvragen zijn uitgezet, wat het resultaat daarvan is, of naar aanleiding van dat resultaat een nadere zoekslag is, en zo ja, wat deze zoekslag inhoudt.
Als de korpschef dat nieuwe besluit – dus met die inhoud – niet neemt, dan staat daar een dwangsom op van 150 euro per dag tot 10.000 euro. Dat bedrag kan natuurlijk worden verhoogd als die nieuwe zoekslag, en dus het besluit, uitblijft. Maar als in dat besluit een beschrijving van het zoeken staat en de conclusie is “er is niets gevonden”, dan is dat conform de opdracht.

Je zou dus in theorie hier de constructie kunnen hanteren dat in het besluit de bevindingen van de gerechtelijke deskundige terug moeten komen. Dan kan de politie nog onderbouwen waarom die het fout had, of waarom er toch meer bij komt kijken. Maar dan ligt toch vast dat de deskundige hééft gekeken.

Arnoud

Mag je van de AVG je kinderen volgen met een tracker-app?

Geplaatst op in Privacy, 5 reacties
Photo by Maxim Hopman on Unsplash

Mag je je kind volgen met een GPS app, of is dat een schending van de AVG? Met die vraag zag het hoogste Oostenrijkse bestuursgerecht zich onlangs geconfronteerd. Het creatieve antwoord: daar kunnen we niets over zeggen, want dit is een huishoudelijk/privé-gebruik van persoonsgegevens en dat valt buiten de Europese gegevensbeschermingswet.

De zaak speelde in feite tussen twee gescheiden ouders. De moeder gebruikte een tracking-app (Pingo) om de locatie van haar elfjarige dochter bij te houden, ook wanneer deze bij de vader was. Die maakte daar bezwaar tegen, omdat zo ook zijn locatie vastgelegd werd.

Zowel de Oostenrijkse Autoriteit Persoonsgegevens als de rechtbank weigerden de zaak in behandeling te nemen. Beiden wezen op artikel 2 lid 2 AVG:

Deze verordening is niet van toepassing op de verwerking van persoonsgegevens: … c) door een natuurlijke persoon bij de uitoefening van een zuiver persoonlijke of huishoudelijke activiteit;
Op basis van eerdere uitspraken (met name de Rynes-uitspraak) kun je je afvragen of dit wel opgaat. In die zaken werd de grens grofweg getrokken bij de openbare ruimte. Je eigen oprit filmen mag, de stoep waar die op uitkomt niet. Hier ging het om locaties buiten het eigen huis, maar toch vond men dat hier nog steeds sprake was van privégebruik van gegevens.

Daarbij lijkt het nogal uit te hebben gemaakt dat er in de Duitse tekst “persönlicher oder familiärer Tätigkeiten” stond, waar wij “persoonlijk of huishoudelijk” gebruiken. Want alleen dan begrijp je de overweging:

[H]et maakt niet echt uit of Verantwoordelijke en getroffen personen samen wonen in hetzelfde huishouden of niet. In plaats daarvan moet rekening worden gehouden met het puur persoonlijke doel van de betreffende verwerkingsactiviteit. Dienovereenkomstig verwijzen de criteria ‘persoonlijk’ en ‘familie’ naar de activiteiten van de persoon die persoonsgegevens verwerkt en niet van de persoon waarvan de gegevens worden verwerkt. … Wat als een persoonlijke of gezinsactiviteit moet worden beschouwd, hangt af van de situatie en kan de term ‘familie’ (losgemaakt van een strikte interpretatie van het familierecht) als ‘familie’ betreffen.
In deze lezing is alles dat binnen de familie blijft – dus ook het op straat volgen van je kind – uitgezonderd onder de AVG. Dat je daarbij ook gegevens van de vader vastlegt, werd hier vergeven omdat dat incidenteel was en niet het doel van de verwerking. (Het opgegeven doel was de dochter helpen haar weg te vinden in een haar onbekende stad.)

Het standpunt is begrijpelijk, maar wel frustrerend want dan valt gelijk alle toezicht op gebruik van dergelijke apps jegens kinderen weg. De AVG reguleert immers niet het verkopen of promoten van deze apps, maar alleen het gebruik daarvan door mensen die anderen volgen.

Arnoud

 

Politie maakte vorig jaar veel vaker gebruik van gezichtsherkenning, mag dat van de AI Act?

Geplaatst op in Privacy, Security, 10 reacties
"Facial Recognition" by mikemacmarketing is licensed under CC BY 2.0

De politie maakte vorig jaar veel vaker gebruik van gezichtsherkenningssoftware dan in 2022, meldde Security.nl vorige week. Dat blijkt uit de jaarcijfers van herkensysteem Centrale Automatische TeChnologie voor Herkenning van personen (CATCH). Het riep bij diverse lezers vragen op, mag dat nog wel nu de AI Act eraan komt in februari?

Het persbericht van de politie legt uit:

Er is een database met strafrechtafbeeldingen – foto’s die politiemensen van aangehouden verdachten en veroordeelden maken – en een voor vreemdelingenafbeeldingen. Als omstanders of slachtoffers beelden hebben gemaakt van bijvoorbeeld oplichters aan de deur of een straatmishandeling, dan kunnen deze worden vergeleken met de foto’s in CATCH. Immers heeft een verdachte vaak al eerder strafbare feiten gepleegd.
De AI Act is afgelopen zomer wet geworden, en treedt gefaseerd in werking. Op 2 februari zullen een aantal gebruiksvormen van AI verboden worden, en dat is relevant want eentje daarvan gaat over biometrie bij de politie (art. 5.1(h) AIA):
het gebruik van systemen voor biometrische identificatie op afstand in real time in openbare ruimten met het oog op de rechtshandhaving, tenzij en voor zover een dergelijk gebruik strikt noodzakelijk is voor [gericht zoeken naar slachtoffers/vermisten, verijdelen van aanslagen of de lokalisatie of identificatie van een persoon die ervan wordt verdacht een [ernstig] strafbaar feit te hebben gepleegd.]
Het CATCH systeem zoals hier beschreven gaat echter niet over biometrie op afstand in real time, maar over wat de AI Act “biometrische verificatie” noemt:
de geautomatiseerde één-op-éénverificatie, met inbegrip van de authenticatie, van de identiteit van natuurlijke personen door hun biometrische gegevens te vergelijken met eerder verstrekte biometrische gegevens;
Het systeem werkt immers op achterafbasis, een foto van het verleden wordt vergeleken met opgeslagen gegevens. Het verbod betreft real-time scannen van ‘iedereen’ in een bepaalde openbare ruimte om zo live te kunnen reageren als je iemand herkent. Dat zijn twee heel verschillende dingen.

Dat het niet onder de AI Act verboden is, wil natuurlijk niet zeggen dat het nietzomaar wel mag. Sterker nog, in Nederland hebben we de omgekeerde regel – bij zulke diep de privacy rakende technieken moet er een wet zijn die zegt dat het wél mag, en hoe. En die wet lijkt te ontbreken, zoals Bits of Freedom al in maart aankaartte.

De minister ziet dat anders, overigens. Daarbij werd opgemerkt dat dit zou worden herzien als de AI Act definitief was. Alleen zegt die dus helemaal niets over de risico’s van biometrische verificatie, dus de bal komt direct weer terug bij de AVG en de Wet politiegegevens.

Arnoud

 

Strava past API-voorwaarden aan, mogen die wel van de AVG?

Geplaatst op in Privacy, Uitingsvrijheid, 5 reacties
Bron: Kinkate, Pixabay

Fitnessapp Strava heeft zijn voorwaarden rondom zijn API aangepast, waardoor apps van derde partijen minder data kunnen tonen en geen data mogen gebruiken voor het trainen van AI-modellen. Dat meldde Tweakers. Volgens DC Rainmaker het einde van de third-party apps rond Strava. Denk aan coachingplatforms, die nu ineens geen Strava-data meer kunnen gebruiken. Dus: mag dat van de AVG of een andere DLA?

De reden dat vele tipgevers (dank) aan de AVG dachten, is omdat in de AVG een specifiek artikel staat over dataportabiliteit (art. 22.1 AVG):

De betrokkene heeft het recht de hem betreffende persoonsgegevens, die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen, en hij heeft het recht die gegevens aan een andere verwerkingsverantwoordelijke over te dragen, zonder daarbij te worden gehinderd door de verwerkingsverantwoordelijke aan wie de persoonsgegevens waren verstrekt (…)
Het recht is wat beperkt: het geldt alleen om gegevens die je zelf verstrekt hebt, niet om gegevens die “gededuceerd en afgeleid” zijn. Ook moet de grondslag toestemming dan wel overeenkomst zijn. Beiden gaan goed bij de Strava-dienst.

Je hebt bij Strava de mogelijkheid een zipfile te downloaden, die zou je dan weer kunnen uploaden bij zo’n coachingplatform. Maar dat kon dus volautomatisch en direct via de API, en nu mag dat ineens niet meer. Dat voelt als een vorm van “hinder”.

De Strava API overeenkomst vermeldt inderdaad een forse beperking:

If your Developer Applications log into Strava on behalf of a Strava user, then you are permitted to access and display data or functionality only for that Strava user, and you may not disclose such data to, or use it for, another user nor any other third party.
Een app die data ophaalt bij Strava (ook via de API) mag die vervolgens alleen tonen aan de gebruiker om wie het gaat. Dus niet de coach of andere gebruikers, zoals bij een leaderboard of competitie.

Artikel 22 AVG spreekt dat niet tegen: dat gaat alleen over toegang tot je eigen persoonsgegevens.

De Richtsnoeren van de AVG-toezichthouders hierover merken op dat het hele punt van dataportabiliteit is “the right to receive personal data and to process them, according to the data subject’s wishes”. Als een hardloper dus wél wil dat de coach meekijkt, dan moet dat kunnen – ook als de hardloopdata uit Strava komt via de API.

Strava zou kunnen zeggen dat deze bepaling uit zorg is over vertrouwelijkheid van persoonsgegevens. Maar dat is nadrukkelijk niet nodig, aldus diezelfde Richtsnoeren:

In this respect, the data controller is not responsible for compliance of the receiving data controller with data protection law, considering that it is not the sending data controller that chooses the recipient.
Als het jouw keuze is dat je coach je hardloopprestaties mag zien, dan heeft Strava daar niets meer van te vinden. Ze mogen dan weer wel een adequate authenticatie uitvoeren, om zeker te weten dat dit nog steeds jouw wens is.

De andere grote DLA om voor uit te kijken is de DMA, de Digital Markets Act. Deze sjagrijnige broer van de Digital Services Act is bedoeld om een eerlijke digitale market te creëren, en bevat stevige bepalingen tegen machtsmisbruik dat voortvloeit uit een digitale koppositie, wat de DMA “poortwachterschap” noemt.

Een poortwachter moet bijvoorbeeld haar communicatiedienst interoperabel maken (art. 7), iets waar WhatsApp nu mee worstelt. Appstores van poortwachters moeten te passeren zijn, de reden dat Apple zo boos is dat ze haar AI-speelgoed de EU markt niet op wil brengen (dus niet de AI Act).

Dataportabiliteit algemeen staat er ook in, en dan vanuit het perspectief van de concurrent:

De poortwachter zorgt ervoor dat zakelijke gebruikers en door een zakelijke gebruiker gemachtigde derden op hun verzoek kosteloos effectieve, kwaliteitsvolle en continue realtimetoegang hebben tot en gebruik kunnen maken van geaggregeerde en niet-geaggregeerde gegevens, persoonsgegevens inbegrepen, die door die zakelijke gebruikers en door de eindgebruikers die betrokken zijn bij de door die zakelijke gebruikers geleverde producten of diensten worden verstrekt voor of gegenereerd in het kader van het gebruik van de betrokken kernplatformdiensten of diensten die samen met of ter ondersteuning van de betrokken kernplatformdiensten worden aangeboden.
Met die bepaling is Strava’s API bepaling triviaal ongeldig. Alleen: daarvoor moet Strava een poortwachter zijn, en daar kom je pas aan als je
  1. een aanzienlijke impact hebt op de interne markt;
  2. een kernplatformdienst aanbiedt die voor zakelijke gebruikers een belangrijke toegangspoort tot eindgebruikers vormt, en
  3. met betrekking tot haar activiteiten een stevig verankerde en duurzame positie inneemt of naar verwachting in de nabije toekomst een dergelijke positie zal innemen.
De DMA vermeldt enkele getallen die een vermoeden opleveren dat hiervan sprake is (jaaromzet van ten minste 7,5 miljard EUR, actief in drie lidstaten, minstens 45 miljoen maandelijks actieve eindgebruikers, zo nog wat en dat drie jaar lang). Maar daar komt Strava niet aan.

Terug naar de AVG dus. Hier lijkt er ruimte zijn voor handhaving, maar mijn vermoeden is dat er weinig prioriteit voor zal zijn bij de toezichthouders. Immers, de belangen van betrokkenen worden niet direct geraakt, Strava is eerder té beschermend dan te weinig.

Er is echter hoop: in de zaak Linden Apotheker heeft het Hof van Justitie bepaald dat ook concurrenten een verwerkingsverantwoordelijke mogen aanklagen wegens een AVG-schending. Dus niet alleen betrokkenen of hun massaclaimorganisaties. Een coachingplatform dat zich nu geblokkeerd ziet, mag Strava in Europa dus juridisch aanpakken onder de AVG.

Arnoud

 

 

Je persoonsgegevens aanpassen is niet hetzelfde als persoonsgegevens rectificeren

Geplaatst op in Privacy, 35 reacties
Photo by stevepb on Pixabay

Is er een verschil tussen “rectificatie” en aanpassen van persoonsgegevens na verhuizing? Ja, aldus een recent gepubliceerd vonnis van de rechtbank Noord-Nederland. Het betekent vooral dat organisaties wél geld mogen vragen voor die laatste categorie aanpassingen.

De zaak was aangespannen door de eigenaar van een kat genaamd Tom Tom. Deze draagt een chip en staat geregistreerd in de databank van de Stichting Nederlandse Databank Gezelschapsdieren (NDG). Daarmee kan door het aflezen van de chip de eigenaar opgespoord worden als dat nodig is.

Deze eigenaar was na de registratie verhuisd, en had naar eigen zeggen “geen enkele interesse in een of ander pasje”. Dat pasje krijg je bij registratie, en na adreswijziging krijg je een nieuwe – alleen kost dat € 5,50. Maar deze eigenaar had een slimme route (see what I did there) gevonden om een gratis adreswijziging door te voeren, namelijk artikel 16 AVG:

De betrokkene heeft het recht om van de verwerkingsverantwoordelijke onverwijld rectificatie van hem betreffende onjuiste persoonsgegevens te verkrijgen. Met inachtneming van de doeleinden van de verwerking heeft de betrokkene het recht vervollediging van onvolledige persoonsgegevens te verkrijgen, onder meer door een aanvullende verklaring te verstrekken.
Een rectificatie is namelijk kosteloos (art. 12 lid 5 AVG). Dit recht hangt samen met de algemene AVG eis dat persoonsgegevens “juist zijn en zo nodig worden geactualiseerd” (art. 5.1(d) AVG). Na een verhuizing is je adres niet meer juist, dus dat zou je moeten kunnen laten corrigeren onder de AVG, zou je zeggen.

De rechtbank is echter scherp en ziet dat er niet “corrigeren” of “wijzigen” staat, maar “rectificeren”:

De rechtbank vindt echter dat er in het geval van [A] niet gezegd kan worden dat de NDG fouten heeft gemaakt bij het verwerken van haar persoonsgegevens. Het enkele feit dat de adresgegevens na een verhuizing niet langer juist staan vermeld in een gegevensbestand betekent daarom niet dat deze moeten worden gerectificeerd. Eerder is sprake van het actualiseren van de betreffende gegevens. De verplichting om persoonsgegevens de actualiseren is opgenomen in artikel 5 lid 1 onder d AVG. In dat artikel is niet bepaald dat het actualiseren van persoonsgegevens kosteloos moet plaatsvinden.
Een aanpassing is dus pas een rectificatie als deze voortvloeit uit een fout van de verwerkende organisatie. Dat jij verhuist, is natuurlijk geen fout van die organisatie en dus geen reden om een rectificatie van je adres te eisen.

Arnoud

 

 

Is geen nieuwe auto krijgen ook al schade onder de AVG?

Geplaatst op in Privacy, Security, 18 reacties
Photo by taichi nakamura on Unsplash

Stel je koopt een nieuwe auto, krijgt betalingsinstructies van de garage gemaild en betaalt. Vervolgens blijken die instructies van een ‘hacker’ te komen. Kun je daar wat mee onder de AVG? Ja, volgens het Hof Arnhem-Leeuwarden in een recent arrest. Het gaat er om spannen of de garage haar mail goed beveiligd had.

De zaak is in de kern als volgt:

[Koper] heeft een auto van [het autobedrijf] gekocht. Na een betaalinstructie vanuit het e-mailadres van [het autobedrijf] stelt [de koper] het grootste deel van de koopprijs te hebben betaald op een Duitse bankrekening. Achteraf bleek dat een derde via het e-mailaccount van [het autobedrijf] een valse betaalinstructie had gestuurd.
Die derde was kennelijk goed voorbereid: forensisch onderzoek op de logs liet zien dat er een paar wachtwoorden waren geprobeerd, en toen met succes kon worden ingelogd. Daarna is meegelezen in de mailbox, gespot dat iemand nog moest betalen en gauw een Duits IBAN gestuurd waar het geld naartoe kon. Slim en snel geschakeld, riekt wel ergens naar een inside job.

De koper gooit zijn claim op de AVG: hij wil zijn schade vergoed, namelijk de € 26.900 die hij betaald had voor de auto die hij vervolgens niet kreeg. (Zou je dit via de gewone regels spelen, dan had je de derde aansprakelijk moeten stellen en dat heeft uiteraard weinig kans.)

Slaat dat ergens op? Ja, ik zie hem wel en het Hof ook:

Op grond van artikelen 5 lid 1 onder f, 24 en 32 AVG dient [het autobedrijf] haar e-mailaccount waarop persoonsgegevens – zoals in ieder geval namen en e-mailadressen van haar klanten – worden verwerkt, passend te beveiligen. … De artikelen 24 en 32 AVG verplichten [het autobedrijf] technische en organisatorische maatregelen te nemen die passen bij haar bedrijfsvoering en bij de daarbij horende verwerking van persoonsgegevens om een inbreuk op persoonsgegevens zoveel mogelijk te voorkomen.
Als een onbevoegde een mail van een klant kan lezen en daarop kan reageren namens jou, met als gevolg een omgeleide betaling, dan zie ik wel hoe daar de beveiliging van de persoonsgegevens (mailadres, betalingsstatus) wordt omzeild.

Echter, het is niet zo dat íedere fout automatisch een schending van deze beveiligingsplicht is. De AVG kent een inspanningsplicht, dat “zoveel mogelijk” zinnetje. Maar heeft het autobedrijf hieraan voldaan? De ict-leverancier (Autosociaal) had alvast vastgesteld dat er geen malware op de computers van het bedrijf zat.

Uit de toelichting van [het autobedrijf] blijkt dat zij in ieder geval de instelling en het beheer van het wachtwoord van haar e-mailaccount heeft overgelaten aan Autosociaal in plaats van zelf een (moeilijk te achterhalen) wachtwoord te kiezen en te beheren. Het hof betwijfelt of dit een passende maatregel is voor de beveiliging van haar e-mailaccount.
Het wachtwoord was lang, maar vooringevuld vanaf de computer van de garagemedewerker. Zo te lezen was geen sprake van 2FA. Ik zie hoe je beheer over wilt laten aan een specialist, dus ik ben een tikje verrast dat nu net dát aspect eruit gelicht wordt voor de twijfel; zelf had ik meer vraagtekens gehad bij het ontbreken van tweefactorauthenticatie, iets dat toch standaard is bij Microsoft.

De garage mag nu bewijzen dat zij wél de boel adequaat beveiligd had.

Arnoud

 

Is fraudebepaling op basis van afstand nu ook al discriminatie?

Geplaatst op in Innovatie, Privacy, 43 reacties
Photo by RDNE Stock project on Pexels

Een fraudeaanpak van de Nederlandse Dienst Uitvoering Onderwijs was discriminerend en onrechtmatig, zegt de Autoriteit Persoonsgegevens. Dat meldde Tweakers onlangs. De frauderisicoscore werd berekend op basis van onderwijssoort, afstand en leeftijd. Dat mag niet, en ik grijp deze casus aan om eens héél fundamenteel naar algoritmische fraudedetectie te kijken.

De kern van het probleem staat in het persbericht van de AP:

DUO gaf studenten een ‘risicoscore’ door naar onderwijssoort, afstand tussen adressen en leeftijd te kijken. Voor die criteria was geen objectieve rechtvaardiging. Dat maakte deze werkwijze discriminerend en dus onrechtmatig.
Volgens de Grondwet is onderscheid op íedere grond in principe verboden – je moet een (objectieve) rechtvaardiging hebben om die grond te mogen inroepen. Je moet 16 zijn om op een ebike te mogen, omdat je (gemiddeld) pas dan genoeg ontwikkeld bent deze veilig te gebruiken. Je mag niet meer dan een uur reizen van je werk wonen, want de reistijd breekt je op zo weten wij uit ervaring. Zulke dingen.

Dat zijn bewezen regels: we hebben gezien dat deze vaak genoeg kloppen, dus daar trekken we een grens. Steeds vaker zien we datagedreven regels, waarbij de data laat zien waar de grenzen liggen. Die grenzen worden dan de criteria, en dat heet dan objectief omdat het uit Excel komt.

In dit onderzoek komt het algoritme neer op drie individuele scores, met een totaalscore (“risicofactor” of RF) als R1*(R2+R3):

  • R1: het soort onderwijs. Een MBO-opleiding levert een hogere risicoscore op dan een WOopleiding.
  • R2: een combinatie van leeftijd en kortste afstand tussen het adres van de student en het adres van (een van de) ouder(s). Een kortere afstand tussen de student en de ouder(s) leidt tot een hogere risicoscore.
  • R3: een extra risicofactor op basis van leeftijd: Een lagere leeftijd resulteert in een hogere risicoscore.
De score werd platgeslagen tot zes niveaus, van zeer hoog tot zeer laag (+onbekend). Sorteer je datadump op deze niveaus en je weet bij wie je langs moet.

Oké, maar hoe kwam men dan aan die drie factoren? Welke data-analyse had laten zien dat dat de factoren waren? Ik citeer het onderzoeksrapport: “ervaring en gezond verstand”. Dat kan ik vrij moeilijk een ‘algoritme’ of ‘data-analyse’ noemen. En ja, heel formeel is dan sprake van onrechtmatige verwerking want je kunt niet rechtvaardigen waarom deze keuzes. “Gezond verstand” is geen reden.

Maar goed, stel dat men nu wél de originele datadump had voorzien van labels “gebleken fraudeur” en “geen fraudeur”. En dan een machine learning model had laten ploegen op het onderscheid tussen die twee. En dat model had dan een correlatie gevonden volgens R1*(R2+R3). Had het dan wél gemogen?

“De data laat het zien”. Want wat ziet die data dan precies? Een correlatie, een statistisch verband. Maar correlatie is geen causatie. Als uit de data blijkt dat MBO-studenten vaker frauderen, betekent dat nog niet dat MBO het frauderen veroorzaakt. Misschien worden MBO-studenten wel vaker gecontroleerd, waardoor er meer fraude wordt ontdekt. (En dat versterkt weer de dataset, een klassieke feedbackloop.) Of misschien spelen sociaal-economische factoren een rol die we helemaal niet meenemen in de analyse en die toevallig samengaan met MBO student zijn.

Stel, we hebben een complete dataset: alle studenten, alle controles, objectief en eerlijk verdeeld. En dán blijkt dat 30% van de MBO’ers fraudeert tegenover een algemeen gemiddelde van 10%. Dan kan ik me wat voorstellen bij “is MBO student” als criterium, hoewel dit nog steeds een vorm van collectieve verdachtmaking  blijkt: je bestempelt 100% van de MBO’ers als risicogeval terwijl nog steeds 70% van hen gewoon netjes studeert.

Meer algemeen is dit een bolvormige koe: nooit van z’n leven krijg je zo’n complete, accurate en eerlijke dataset op basis waarvan je analyse gaat doen. Alleen dat zou al genoeg moeten zijn om hier zeer huiverig in te zijn.

Verder heb ik er nog een fundamenteel bezwaar bij. Datagedreven analyse mist het normatieve fundament dat we anders wél hebben bij het maken van regels. Neem die fatbike-regel: die is er niet omdat Excel dat zei, maar omdat we als maatschappij vinden dat ernstige ongevallen voorkomen moeten worden. De data ondersteunt dat (16-jarigen hebben inderdaad minder ongelukken), maar de réden voor de regel zit in onze waarden: mensenlevens beschermen, zorgkosten beheersen, verkeersverantwoordelijkheid.

Bij pure data-analyse verdwijnt dat normatieve kader. We vinden wel verbanden, maar het systeem kan niet uitleggen waarom die verbanden relevant zouden moeten zijn voor ons beleid. Tot welke grondslag, welke maatschappelijke opvatting de regel te herleiden is. Waarom we dit moeten willen. En dan belanden we in een gevaarlijke cirkel: we baseren regels op data omdat die data het “aantoont”, en vervolgens gebruiken we diezelfde data als rechtvaardiging voor de regel. Maar nergens in die cirkel zit nog het antwoord op de vraag: waarom willen we deze regel eigenlijk? Welk maatschappelijk belang dienen we ermee? Het wordt een soort zwevend systeem dat zichzelf in stand houdt, zonder verbinding met de waarden waar het eigenlijk om zou moeten gaan.

Arnoud