Categorie: Privacy

Een aantal populaire webshops verplicht nog altijd dat klanten een account aanmaken om te kunnen bestellen. Dat meldde de Telegraaf onlangs. Men onderzocht dit naar aanleiding van het EDPB-standpunt dat dit niet zomaar mag onder de AVG. Al veel langer wordt hier tegen geageerd.

De Telegraaf noemt een aantal redenen waarom webshops dit doen, zoals dataprofielen kunnen monetizen en fraudepatronen detecteren. Winkels zelf noemen het de ‘winkelervaring gemakkelijker en prettiger’ maken, maar zelfs ChatGPT wist niet wat dat betekent. Niet steeds je adres invoeren, denk ik.

Voor mij is ook een belangrijke reden dat veel webshopsoftware standaard op deze manier is ingesteld, en dat winkels geen prikkel hebben om het aan te passen. (Is er een xkcd over de impact van een achteloos gemaakte standaardinstelling?)

Maar goed, de vraag is natuurlijk of dat mag. Dit telt als verwerking van persoonsgegevens, want er gaan namen, adressen, contactgegevens, bestelhistorie en wat al niet meer in. Je zou denken dat dat onder de grondslag “nodig uitvoering overeenkomst” valt, maar dat gaat me te ver: je adres is wel nodig om déze bestelling bij jou te krijgen, maar je adres bewaren in een account, valt buiten deze bestelling.

De AVG-toezichthouders, verenigd in de EDPB, zien dit ook zo. Wanneer mensen een abonnement afnemen, lijkt een account wél te kunnen als noodzakelijke voorwaarde. Dit is redelijk wanneer men regelmatig bij de geabonneerde content of dienst moet kunnen, of wanneer historie daaromtrent moet worden opgebouwd.

Ook ziet men ruimte voor accounts voor vaste klanten die daarmee recht hebben op voordeeltjes zoals exclusieve aanbiedingen. Het account is dan zeg maar het bewijs dat je vaste klant bent. Ik vind die op het randje.

In de meeste andere gevallen zul je je moeten beroepen op het gerechtvaardigd belang. Commerciële belangen zoals tracking of gepersonaliseerde aanbiedingen tellen daarin zeker mee, maar de rechtvaardiging daarvan ten opzichte van de privacy van de klant lijkt me lastig. Je komt al heel snel uit bij “een account mag, maar hoeft niet” en dat is eigenlijk hetzelfde als gewoon toestemming vragen “wilt u een account?”

Een interessant geval is fraudedetectie. Het idee is dat als je een historie hebt van een klant, en aanvullende klantgegevens, dat je dan makkelijker afwijkingen in zijn gedrag kunt spotten. Genoeg webwinkels bieden de optie voor op krediet kopen als je een historie hebt opgebouwd, bijvoorbeeld.

Die noodzaak ziet de EDPB echter niet:

Regarding necessity under Article 6(1)(f) GDPR, many e-commerce websites do not require the creation of an account, and a purchase and usage history is actually not available when a customer account is used for the first time. In addition, the relevance of the anti-fraud measures allowed when imposing the creation of an account is questionable as changes in the delivery address usually happen right before an order is placed, users often use different devices, and software updates, which are necessary for security purposes, lead to different browser fingerprints and may be misinterpreted as an indicator of fraud.

De toezichthouders wijzen nog op het principe van privacy-by-design, wat ook al impliceert dat een account vrijwillig moet zijn. En dat deed me eraan denken dat het soms toch jammer is dat de AVG alleen geldt voor partijen die gegevens verwerken. Als de PBD verplichting ook gold voor softwarebouwers (dus niet shop-hosters), dan zou je zo centraal deze partijen kunnen aanspreken en afdwingen dat veelgebruikte webshopsoftware altijd een account als optie implementeert.

Arnoud

De jury in een rechtszaak in de VS heeft Google en Meta aansprakelijk gesteld voor de schade die een 20-jarige vrouw leed door verslaving aan sociale media. Dat meldde Tweakers vorige week. De vergoeding is zes miljoen dollar en uiteraard komt er hoger beroep. Maar toch.

Bij The Conversation hebben ze de achtergrond:

KGM – now 20 years old – said she began using YouTube at age six and Instagram at age nine, and allegedly developed compulsive use patterns, including up to 16 hours in a single day on Instagram. The platforms’ design features, she argued, contributed to her anxiety, depression, body dysmorphia, and suicidal ideation.

In addition, a YouTube memo reportedly described “viewer addiction” as a goal, and an Instagram employee wrote the company was staffed by “basically pushers”.

Arnoud

Merkwaardige zaken geven merkwaardige uitspraken, is een oud juridisch motto. Zo ook hier in Brillen Rottler: wie een AVG-inbreuk uitlokt door opzettelijk persoonsgegevens aan te bieden en dan de ander aan te spreken op noncompliance, kan wegens misbruik van recht worden tegengehouden.

De achtergrond van de zaak klinkt als iets dat ik vaker heb gezien. De eisende partij had zich ingeschreven voor de nieuwsbrief van opticien Brillen Rottler, en vervolgens een inzageverzoek gedaan met de kennelijke hoop de opticien op een inbreuk te kunnen betrappen.

Brillen Rottler herkende de man (kennelijk wordt er breed geroepen dat dit een professioneel AVG-inbreukspeurder is) en weigerde zijn verzoek met een beroep op misbruik van recht. Waarop de man 1000 euro schadevergoeding eiste bij de rechter wegens geen gehoor geven aan zijn inzageverzoek.

Dat eindigde dus bij de hoogste Europese rechter, die nu bepaalt dat dat wel degelijk een vorm van misbruik is.

Allereerst: waar staat dat in de wet? Artikel 12 lid 5 AVG geeft als enige grond dat “kennelijk ongegronde of buitensporige” verzoeken mogen worden afgewezen. Dit was één verzoek, dus moeilijk dat ‘buitensporig’ te noemen zou je denken. Maar het Hof ziet dit als een kwalitatief en niet een kwantitatief criterium: ook één verzoek kan buitensporig zijn, mits aan twee eisen is voldaan:

[T]en eerste een reeks objectieve omstandigheden waaruit blijkt dat, ondanks de formele naleving van de voorwaarden van de Uniewetgeving, het doel van die wetgeving niet is bereikt; en ten tweede een subjectief element, bestaande uit de intentie van de betrokkene om een ??voordeel te behalen uit de Uniewetgeving door kunstmatig de voorwaarden te scheppen om dat voordeel te verkrijgen.

Het tweede element is subjectiever: “kunstmatig de voorwaarden scheppen” om mensen op een inbreuk te betrappen. Daarbij mag je meenemen dat meneer dit vaker doet, zodat de indruk duidelijker is dat hij het niet om dat ‘echte’ doel doet.

De zaak is terugverwezen voor de benodigde feitelijke inschatting, maar de hint is wel duidelijk dat deze meneer niet 1000 euro rijker de zaal zal verlaten.

Arnoud

Nederlanders behouden de keuzevrijheid om zelf te bepalen hoe hun tijdlijnen op Instagram en Facebook eruitzien, zo meldde Nu.nl vorige week. In hoger beroep bepaalde het Gerechtshof Amsterdam dat Meta gewoon moet zorgen voor een keuze tussen een algoritmische en een ‘gewone’ tijdlijn. En dat dus dankzij Bits of Freedom.

Vorig jaar oordeelde de rechter dat Meta de gebruikerskeuze moet respecteren:

In dit geval ging het om wat het vonnis “aanbevelingssystemen” noemt, zeg maar je feed met berichten. Vroegâh was dat simpel omgekeerd-chronologisch: de nieuwste eerst. Nu gebruikt men termen als “for you”, “Most relevant” of “hot” en moet je maar hopen dat je alles ziet dat je wil zien.

Dat leidde tot een executiegeschil een maand later, dat weinig opleverde voor het databedrijf. Daarop was men in hoger beroep gegaan, waar begin deze maand uitspraak werd gedaan. En ook hier blijft alles bij de originele uitspraak.

Vooruit, Meta kreeg gelijk dat haar “v-knopje” voor het keuzemenu wel degelijk voldoet. Volgens BoF was dat niet duidelijk genoeg, maar het Hof vindt dat het “v” symbool een gebruikelijk symbool voor een keuzemenu is.

Wel weer heel mooi: het Hof ziet dat dwangsommen voor Big Tech problematisch zijn, wat men eufemistisch “de financiële toestand van Meta Ierland” noemt. Meestal impliceert die term dat iemand te weinig geld heeft. Maar hier is de zorg dat de dwangsommen te snel het plafond raken en dat Facebook dan niets meer zal doen. Daarom verhoogt men dat plafond gelijk maar even naar tien (was vijf) miljoen Euro.

Arnoud