Categorie: Privacy

Een lezer vroeg me:

Laatst kwam in het nieuws dat sommige bunq-klanten in de bunq-app de aandelenhandel van hun contacten kunnen zien. Bunq zegt dat gebruikers bij het installeren van de bunq-app twee keer de vraag krijgen of ze de app toegang willen geven tot hun contacten, maar klanten geven aan dat niet duidelijk genoeg is dat die contacten dan ook je aandelen- en cryptotransacties kunnen zien. Hoort bij de vraag om toestemming niet duidelijk te worden vermeld waar deze toestemming precies voor is?

Inderdaad eist de AVG dat toestemming “vrij, specifiek, geïnformeerd en ondubbelzinnig” is. Uit het punt “geïnformeerd” volgt dat je moet weten waar je allemaal toestemming voor geeft. En als dat meer dan één ding is, dan moet dat dus worden uitgesplitst.

Er is wat discussie over of je de toestemmingsvraag mag combineren (alles ja of alles nee), maar dat je apart moet noemen voor welke dingen de toestemming geldt, is geen onderwerp van discussie.

Bunq zegt ‘Als je Bunq downloadt, krijg je tweemaal de vraag of je toegang geeft tot je contacten’ en daarna ‘Die lijst wordt gebruikt om te verbinden met andere Bunq-gebruikers. Je kunt daarna de functie aan- en uitzetten.’ Die eerste vraag is een klassieker, maar natuurlijk enorm onduidelijk. Het gaat er niet om of bunq bij je adresboek mag, maar waarom. En dat staat er niet bij.

Verder zegt de wordvoerder dus dat je daarna “de functie” van het aandelendelen kunt aan- en uitzetten. Dat gaat via je Instellingen:

1. Open the Crypto tab in the app
2. Tap the Settings Gear in the top right corner
3. Disable the toggle “See Friend’s Trades”

Nou is dat een duidelijke toestemmings-knop, alleen staat deze dus standaard áán zodra je de toegang tot contacten verleent. En dat klopt niet. Of de “toegang tot contacten”-vraag had ook een “laat contacten je aandelenhandel zien”-tekst moeten hebben, of er had een aparte vraag moeten komen voor deze optie. Of hij stond gewoon uit tot je hem ontdekte.

Arnoud

Een Noord-Hollands horecabedrijf moet twee voormalige werknemers elk 2000 euro betalen, omdat de leiding van het bedrijf door hun privé-appberichten had zitten te neuzen.  Dat meldde RTL onlangs. Privé-apps op de werklaptop, wel te verstaan. Dus een mooi precedent tegen alle “de werkgever mag alles op de werkapparatuur”-roepers.

De achtergrond is weinig verrassend een zakelijke ruzie:

De zaak betreft twee jonge koks, die sinds eind 2024 werkten voor een Haarlems café-restaurant, dat onder het Amsterdamse horecabedrijf De Jaren valt. De mannen, die goede vrienden van elkaar zijn, waren door het bedrijf aangetrokken om een nieuw concept voor de keuken te ontwikkelen. Maar de invoer daarvan werd enkele malen uitgesteld, tot frustratie van de koks.

De twee bespraken dit via een Whatsapp-chat, en eentje gebruikte daarbij de zakelijke laptop. En dat ging mis, zo las ik in het vonnis:

[leidinggevende] had de laptop van [bedrijf] nodig om iets te checken voor een partij. Toen ze de laptop opende stond er een chat open tussen [kok 1] en [kok 2]. (Zie bijlage).

Ik denk dat de meeste werkgevers wel beseffen dat je niet gaat zoeken en spitten in privéchatapplicaties. Maar ik zie ook wel dat het onvermijdelijk is als je een laptop opent voor een legitiem doel en je dan een privéconversatie ziet, dat je die dan leest.

Uiteraard is die “als” in de vorige zin cruciaal: als de werkgever gaat snuffelen in WhatsApp-conversaties, wordt het een heel ander verhaal. En dat is natuurlijk een welles-nietes discussie. Maar, zoals de rechter aangeeft, het gaat er vooral om wat je vervolgens doet:

Het is voor de kantonrechter feitelijk onduidelijk gebleven of [die leidinggevende] bewuste handelingen heeft verricht om toegang te verkrijgen tot het WhatsApp-gesprek tussen [verzoeker 1] en [verzoeker 2]. Wel staat zonder meer vast dat zij, nadat zij toegang had, gedurende geruime tijd door de berichten heeft gescrold en actief het gesprek heeft doorzocht. Vervolgens heeft zij zonder toestemming of overleg met [verzoeker 1] en [verzoeker 2] foto’s gemaakt van onderdelen van het gesprek en deze beelden gedeeld met [betrokkene 1], [betrokkene 2] en [betrokkene X].

Zelfs als het scherm dus open stond en je de berichten niet kón missen, dan had je als leidinggevende zo snel mogelijk je ogen moeten sluiten. Als je dat niet doet, is dat ernstig verwijtbaar. En dat werkt door in wat je vervolgens doet:

[bedrijf] heeft zelf bevestigd dat de ontstane vertrouwensbreuk — die uitsluitend het gevolg was van kennisname van de privé-berichten — bepalend was bij de keuze om de arbeidsovereenkomsten niet te verlengen. Daarmee staat vast dat zonder de ongerechtvaardigde inbreuk op de privacy van [kok 1] en [kok 2] deze vertrouwensbreuk niet zou zijn ontstaan. Het causale verband tussen de privacy-schending en het niet-verlengen van de arbeidsovereenkomsten is daarmee direct en evident.

Bijgevolg krijgen ze ieder een billijke vergoeding van € 2.000,- bruto. Omdat ze vrijwel direct een andere baan hadden gevonden, is er geen inkomensschade.

Ik moet zeggen, het klopt helemaal maar als werkgever zou ik het héél moeilijk vinden zo’n stevige negatieve tekst over mij of mijn bedrijf van me af te zetten. Hoe zouden jullie dat doen?

Arnoud

Een lezer vroeg me:

Ons appartementencomplex werkt met een VVE beheerder in opdracht van onze VVE. Nu stuurt deze een nieuwsbrief naar alle bewoners, met de “laatste activiteiten” van de VVE beheerder zelf. Dus niet namens de VVE of uitsluitend over ons complex, maar hoe goed zij wel niet bezig zijn door het hele land. Mijn klacht werd afgedaan met “dit is toegestaan omdat het om gelijksoortige diensten gaat” en ik moest me maar afmelden met de link. Hoe zit dit juridisch?

De eerste vraag bij een nieuwsbrief is altijd wat de inhoud is. Vaak wordt de term als synoniem voor reclame gebruikt, maar het kan ook gewoon een brief met nieuws zijn. Zeker bij een VVE of andere vereniging zie ik dat vaak gebeuren (zoals bij de Advocatenorde in 2019).

De strenge regels over opt-in bij nieuwsbrieven gelden juridisch namelijk alleen bij reclame, dus commerciële nieuwsbrieven. En voor de duidelijkheid: dat je als bedrijf een nieuw product of een kortingsactie hebt, is misschien wel nieuws maar toch echt vooral reclame. Hetzelfde gebeurt als je je serviceberichten van al te veel gezelligheid over je dienstverlening voorziet.

Zo te lezen gaat het hier om een promotionele nieuwsbrief van de VVE. Dat is al heel snel reclame, ook al worden er niet concreet producten verkocht of kortingen aangeboden. Dergelijke nieuwsbrieven vereisen dus toestemming.

De VVE beheerder beroept zich hier op de uitzondering voor “eigen gelijksoortige producten en diensten” uit de antispamwet. En het klopt, je mag op basis van opt-out je klanten mailen over ‘gelijksoortige’ dingen. (Die term ‘gelijksoortig’ wordt vrij breed uitgelegd; vrijwel iedere webwinkel gooit gewoon de algemene nieuwsbrief eruit en stemt de inhoud niet af op wat je daadwerkelijk gekocht hebt.)

Deze uitzondering kent twee aspecten waar het vaak op misgaat. Allereerst moet er bij verkrijging al gemeld zijn dat dit gaat gebeuren, en moet je dan al bezwaar kunnen maken. Dit is dus waarom nieuwsbriefvinkjes bij webshops vooraf aangevinkt mogen zijn. Het weghalen van dat vinkje is dan het bezwaar maken.

Daarnaast moet het gaan om partijen met wie je een klantrelatie hebt. Nou geldt dat soms ook bij een gratis dienst, maar bij een VVE beheerder zie ik die relatie niet. Als je al ergens ‘klant’ bent als bewoner, dan is dat bij de VVE en niet bij de door de VVE ingeschakelde beheerder.

Daarnaast zit ik AVG-technisch met het punt dat de VVE beheerder die mailadressen als verwerker onder zich heeft, bijvoorbeeld om de contributiefacturen te versturen of updates over onderhoud te melden. Dergelijke gegevens mag je sowieso niet voor eigen doeleinden zoals reclame inzetten.

Als we dan héél ver gaan zoeken, dan kom ik uit bij de KNTLB-situatie: de VVE had geld nodig en verhuurt het ledenbestand aan de beheerder, die dan commerciële reclame stuurt. Dan passeren we die verwerkersdiscussie. Dit past dan binnen de lijntjes van het Hof van Justitie over gerechtvaardigd belang, zij het dat de leden dan wel vooraf geïnformeerd hadden moeten worden – én bezwaar hadden kunnen maken.

Arnoud

De Britse telecomtoezichthouder Ofcom heeft een bedrijf uit Belize een boete van omgerekend 1,1 miljoen euro opgelegd omdat het geen ‘robuuste’ online leeftijdsverificatie toepast. Dat meldde Security.nl. Hoewel het bedrijf “enige vorm van verificatie” gebruikte, was dat niet robuust genoeg. Wat de vraag opriep: hoe moet het dan wel?

In het VK geldt sinds 2023 de zogeheten Online Safety Act. Een van de (vele) controversiële aspecten uit deze wet is een zorgplicht dat minderjarigen geen “content that is harmful to children” tegenkomen:

The duty set out in subsection (3)(a) requires a provider to use age verification or age estimation (or both) to prevent children of any age from encountering primary priority content that is harmful to children which the provider identifies on the service.

Bij een ‘adult’ website zoals van de AVS Group Ltd uit Belize is het vanzelfsprekend dat de inhoud schadelijk is. Nu kennen we al langer het vinkje “Ik ben 18 jaar of ouder”, maar de Engelse wet wil wel iets meer. AVS had ook wel iets toegevoegd:

In particular, AVS Group Ltd deployed a photo upload check on its services that does not include liveness detection and as such is vulnerable to circumvention by children (for example, by uploading a photo of an adult). Ofcom considers that this method is not capable of being highly effective within the meaning of the Act.

Ik zie wel hoe “upload een foto en we kijken of de persoon meerderjarig is” niet héél effectief is voor het gestelde doel. Liveness detection oftewel een video-analyse is iets lastiger te faken (jaja, Nano Banana is geweldig) dus dat was een betere stap geweest.

Toezichthouder Ofcom zelf had nog een aantal methodieken bedacht:

• Koppelen met een bankrekening (de “1 cent betalen” techniek), aangenomen dat de rekening alleen voor meerderjarigen beschikbaar is.
• Foto, maar dan vergelijken met een tevens geupload identiteitsdocument
• Afgaan op een signaal van de mobiele telecomprovider (in Engeland zetten die standaard “is minderjarig” op je simkaart, tenzij je dat na bewijs er af laat halen)
• Creditcard check (die zijn er alleen voor meerderjarigen)
• Een digitale identiteitsportemonnee zoals de EU met eIDAS/eID wil opzetten (maar die is er nog niet)

Geen van deze technieken is onfeilbaar, maar het is zeker beter dan wat we historisch geprobeerd hebben. Het grootste bezwaar dat ik heb, is dat eigenlijk dit gewoon een overheidsding moet zijn, en dan granulair: niet je hele paspoort laten zien, maar enkel een token sturen dat zegt “deze persoon is 18+” en niet meer of minder.

Ik weet niet waarom dat niet van de grond wil komen?

Arnoud

 

Een online marktplaats is onder de AVG verwerkingsverantwoordelijke voor de inhoud van advertenties die haar gebruikers plaatsen. Dat bepaalde het Hof van Justitie in zaak C-492/23 (Russmedia). Dit doorkruist keihard de gevestigde regel dat zo’n platform in beginsel gewoon niet aansprakelijk is. Wat is hier gebeurd?

De zaak begon toen op advertentieplatform publi24.ro (zeg maar het Roemeense Marktplaats) een advertentie verscheen waarin een vrouw seksuele diensten aanbood, met foto en telefoonnummer. Dat was echter zonder toestemming van deze betrokkene gebeurd, waardoor zij via de AVG verwijdering van de advertentie eiste.

Verwijdering gebeurde ook keurig, maar ondertussen was de advertentie al elders opgedoken. En vandaar de vraag: kun je dat onder de AVG de uitgever (Russmedia) aanwrijven? Dat ging naar het Hof van Justitie en nu zitten wij met de gebakken peren.

Het Hof constateert allereerst dat het vrij duidelijk is dat het platform de verwerkingsverantwoordelijke is. Daarbij woog de brede licentie uit de voorwaarden zwaar: als Russmedia alles mag doen met advertentiecontent, dan laat dat zien dat ze zelf (in AVG-termen) het doel en de middelen van de verwerking van die persoonsgegevens vaststelt. (De plaatser speelt ook een rol, maar de vrijheid van Russmedia was belangrijker.)

Nu is dat tot daar aan toe, maar betekent dit dat Russmedia a priori aansprakelijk is voor onjuiste gegevens in advertenties? Onder de regels voor hostingpartijen (DSA) is dat antwoord normaal duidelijk: nee, pas na het niet tijdig opvolgen van een klacht (notice&action) kan aansprakelijkheid ontstaan.

Het Hof leest de DSA – en haar voorganger de ecommercerichtlijn uit 2000 – echter nog eens goed, en ziet dan in artikel 1 punt 5 een item waar ik me ook al vaker over verbaasd had:

b) kwesties in verband met diensten van de informatiemaatschappij die onder Richtlijn 95/46/EG en Richtlijn 97/66/EG vallen;

Overal waar naar Richtlijn 95/46 verwezen wordt, moet je nu een verwijzing naar de AVG lezen. En de DSA heeft in artikel 2.4 iets vergelijkbaars, haar regels mogen niet regels overrulen uit onder meer

het Unierecht betreffende de bescherming van persoonsgegevens, met name Verordening (EU) 2016/679 en Richtlijn 2002/58/EG;

De onvermijdelijke conclusie is dus: een platform zoals public24.ro is aansprakelijk voor onrechtmatige verwerking van persoonsgegevens. Per direct, zonder voorafgaande klacht, zoals bij iedereen die persoonsgegevens verwerkt. Want een claim wegens aansprakelijkheid (art. 82 AVG) mag dus niet worden gepareerd met de Digital Services Act.

Geldt dit nu voor álle hostingpartijen? Daar twijfel ik een beetje over. Een belangrijke overweging van het Hof was dat het marktplaatsplatform zelf best actief besliste wat er met die advertenties zou gebeuren. Een kale hoster geeft enkel door wat de gebruiker plaatst, en dat komt voor mij niet in de buurt.

De DSA kent zelf ook de categorie van handelsplatforms (afdeling 4), maar daar regelt ze niets dat relevant is voor persoonsgegevens. Ik durf het dan ook niet aan om te zeggen, deze uitspraak geldt enkel voor die specifieke categorie.

Misschien maakt het uit dat het om advertenties gaat, maar ook dat betwijfel ik. De uitspraak draait duidelijk om het eigenmachtig beslissen waar de content geplaatst wordt, niet dat het gaat om commerciële reclame of afkomstig is van bedrijven.

Het Hof verbindt de uitkomst wel aan specifieke plichten:

• Advertenties screenen op bijzondere persoonsgegevens;
• Controleren of de betrokkene van die gegevens de plaatser van de advertentie is;
• Zo niet, bewijs verlangen dat de betrokkene uitdrukkelijke toestemming (of andere AVG-uitzondering op artikel 9) heeft gegeven;
• Adequate beveiligingsmaatregelen (art. 32) nemen tegen ongeautoriseerde overname van de advertenties door derden.

Nogmaals, ik zie dus nergens staan dat dit alleen bij advertenties de uitkomst moet zijn. De zaak ging over een advertentie, vandaar dat deze plichten over advertenties gaan. Ik zie niet hoe de redenering anders loopt als het een comment onder een nieuwsbericht was geweest met dezelfde inhoud. En dát is waarom de impact zo breed lijkt te zijn.

Arnoud

Je doet de deur open, neemt je pakket aan en flits! De bezorger maakt opeens een foto. Dat beeld schetste TROS Radar onlangs. Kennelijk wilde die bezorger vastleggen dat hij het pakket overhandigde, maar raar is het wel. Mag dat, en is het nodig?

Of het gaat om structureel beleid, betwijfel ik. Radar vroeg het de grootste pakketbedrijven in Nederland. Die geven allemaal aan géén foto’s te gebruiken als bewijsmiddel. PostNL en DPD ontkennen categorisch.

Anderen, zoals DHL en UPS, gebruiken wel een camera, maar benadrukken dat dit alleen voor het pakket zelf is en nooit bij een persoonlijke overdracht. Zij maken foto’s als een pakket met jouw toestemming op een afgesproken plek wordt achtergelaten. DHL: “Bij het persoonlijk afleveren van pakketten worden geen beelden gemaakt.”

Zou het wat toevoegen? Meestal vragen pakketbezorgers een handtekening voor ontvangst, wat juridisch het sterkste is. Het document met die handtekening is dan namelijk een akte, het sterkste bewijsmiddel dat er is. (Ik weet het, er zijn bezorgers die zelf tekenen, de buurman kan tekenen, mijn handtekening lijkt ook nooit.)

Wanneer een pakket ergens wordt achtergelaten (de “optie neerzettoestemming”) kun je natuurlijk geen handtekening vragen. Dan is een foto van het pakket zoals achtergelaten een slimme. In combinatie met de vooraf gegeven toestemming, waar de plek van achterlaten in opgegeven is, heb je dan duidelijk bewijs dat aan de afspraak voldaan is.

Een foto van een persoon die het pakket aanneemt, zou op zich ook bewijs opleveren dat die persoon het pakket heeft aangenomen. Maar omdat dit nogal een privacyschending oplevert (immers ongevraagd en onverwacht), AVG-risico’s geeft én een makkelijk alternatief kent, kun je dit als bezorgbedrijf zeker niet zomaar doen.

Arnoud