Categorie: Privacy

About Privacy

Subscribe Feeds

EU-Hof gaat niet mee met privacyzorgen over datadoorgifteverdrag met VS

Geplaatst op in Privacy, 1 reacties
Photo by Andrey Masiero on Unsplash

Het Gerecht van het Europese Hof van Justitie houdt het EU-US Data Privacy Framework in stand, las ik bij Tweakers. De poging van Europarlementariër Philippe Latombe om het DPF ongeldig te laten verklaren lijkt daarmee gestrand, zij het dat een beroep naar het Hof van Justitie nog mogelijk is. Velen verwachtten een andere uitspraak.

Het zogeheten DPF is de opvolger van het Privacy Shield uit 2016, dat weer een poging was om het ontplofte Safe Harbor op te kalefateren. Alle drie hebben ze hetzelfde doel: te zorgen dat persoonsgegevens uit Europa naar de VS mogen onder de AVG.

De kern is dat de AVG alleen zulke ‘doorgifte’ toestaat als het andere land min of meer gelijkwaardige bescherming van persoonsgegevens kent. Zwitserland heeft bijvoorbeeld een databeschermingswet die sterk overeenkomt, en is daarom adequaat verklaard. De VS heeft géén (federale) gegevensbeschermingswet, maar omdat iedereen en z’n moeder afhankelijk is van Amerikaanse ict- en datadiensten, moest en zou er wat voor komen.

Zowel Privacy Shield als Safe Harbor sneuvelden in essentie omdat Amerikaanse veiligheidsdiensten zonder waarborgen mochten snuffelen in data van Europeanen als die in de VS stond. Het DPF heeft een aantal extra procedurele waarborgen, zoals een aparte toezichthouder, de Civil Liberties Protection Office (CLPO).

Een discussiepunt was dus meteen hoe onafhankelijk die is, iets waar het Gerecht nu van zegt dat dit ten tijde van de DPF adoptiedatum op papier goed geregeld was:

Zoals blijkt uit overweging 180 van het bestreden besluit, is het de inlichtingendiensten en de directeur van de nationale inlichtingendienst daarentegen verboden de werkzaamheden van de CLPO te belemmeren of op onrechtmatige wijze te beïnvloeden. De CLPO moet bij het onderzoek van de klacht met betrekking tot persoonsgegevens de wet onpartijdig toepassen en daarbij rekening houden met zowel de nationale veiligheidsbelangen als de bescherming van de persoonlijke levenssfeer.
De CLPO voldoet dus aan de gestelde eis dat er onafhankelijk toezicht is op hoe de inlichtingen- en veiligheidsdiensten werken met persoonsgegevens van Europeanen.

Een tweede punt was massasurveillance door diezelfde diensten. Ook dat was keurig geregeld in het DPF, onder meer omdat bulk surveillance in principe wettelijk verboden is. En daarmee zijn alle grieven van Latombe afgekaart.

U denkt nu misschien, wat een super formele opstelling. We weten toch allemaal hoe de praktijk tegenwoordig is? Maar het Gerecht kan en mag niet oordelen of het DPF op dit moment de situatie adequaat afdekt. Haar taak was toetsen of de Europese Commissie destijds het DPF had mogen aannemen gezien de wettelijke, formele situatie van toen in de VS.

Natuurlijk, die formele situatie had met de werkelijkheid weinig van doen. En zeker anno 2025 is er wel héél veel veranderd sinds Biden zijn handtekening zetten onder die executive order. Maar dat is een taak van de Commissie, niet de rechter: de Commissie moet toetsen of de VS zich nog steeds houdt aan de afgesproken regels. Dit is dus wezenlijk anders dan bij Privacy Shield, waar de afgesproken regels zelf te weinig bescherming boden voor de grondrechten van Europese burgers.

Arnoud

 

Waarom is het niet verboden persoonsgegevens te verzamelen, tenzij?

Geplaatst op in Privacy, 15 reacties
Photo by Leon Dewiwje on Unsplash

Een lezer vroeg me:

Het valt me op dat zeer veel websites allerlei persoonlijke gegevens van je vragen, ook als daar evident geen noodzaak voor is (zoals geboortedatum of mobiel nummer). Dit is volgens mij een belangrijke oorzaak van schade bij datalekken. Waarom is er geen wet die organisaties verbiedt dit te verzamelen tenzij met aantoonbare en onderbouwde noodzaak?
Zo’n wet is er al: de Algemene verordening gegevensbescherming (AVG) kent een wettelijke eis tot “dataminimalisatie” (artikel 5(1) onder c). Alle persoonsgegevens die je gebruikt, moeten “toereikend zijn, ter zake dienend en beperkt tot wat noodzakelijk is voor de doeleinden waarvoor zij worden verwerkt”. In gewoon Nederlands: je mag het niet verzamelen of hebben tenzij het écht nodig is. En je moet kunnen aantonen (artikel 5(2)) dat je het nodig hebt.

De praktijk is echter weerbarstig. Organisaties en bedrijven vragen van alles, iedereen vult het braaf in en we gaan er maar van uit dat het allemaal goed gaat. Handhaving op dataminimalisatie lijkt vrijwel geheel afwezig. En áls er dan een keer iemand een punt van maakt, dan moet je tot aan het Hof van Justitie om je gelijk bevestigd te krijgen.

(In die zaak ging het over de meneer/mevrouw aanduiding bij het boeken van een treinkaartje. Dus de NS had juridisch volkomen gelijk met haar switch naar “Beste Reizigers!” – het moest van de AVG.)

Tegelijk denk ik ook niet dat alle organisaties bewust kiezen voor massaal datagraaien. Veel webwinkels bijvoorbeeld zouden best af willen van de verplichte meneer/mevrouw op het bestelformulier (of een “wil ik niet zeggen” er bij), maar krijgen dan te horen dat “dat technisch niet mogelijk is” of ontvangen een offerte van duizend euro voor maatwerk. En dat is het natuurlijk ook weer niet waard, vanuit hun perspectief.

Striktere handhaving lijkt me de enige optie. Als ik de baas van de AP was, zou ik een mailtje uitsturen naar alle webwinkels dat er 2000 euro boete volgt als de meneer/mevrouw-keuze op 1 november nog verplicht is. En dat kun je vrij geautomatiseerd checken ook.

Arnoud

Mag je een AI-transcriptieagent mee laten luisteren naar je telefoongesprekken (zonder dat te melden)?

Geplaatst op in Privacy, Security, 19 reacties
Photo by Wesley Hilario on Unsplash

Een lezer vroeg me:

Al een tijd gebruik ik voor zakelijke en privébelletjes een AI-agent die mijn gesprekken automatisch transcribeert. Erg handig, ik kan zo altijd terugvinden wat ik heb besproken en de opname dient als bewijs. Maar nu hoorde ik van iemand dat dat verboden is, omdat het bedrijf achter de AI-agent geen deelnemer aan het gesprek is?
De kwalificatie “geen deelnemer aan het gesprek” is inderdaad erg relevant bij de vraag of een gesprek opnemen mag. Het is namelijk strafbaar om telefoongesprekken op te nemen als je daar geen deelnemer aan bent (art. 139a Wetboek van Strafrecht).

Ben je wél deelnemer, dan mag opnemen dus – en zelfs zonder het te melden. Als je opneemt in een zakelijke context, valt de opname al snel onder de AVG en dan krijg je met informatieplichten te maken waardoor je het toch moet melden, maar dat even terzijde.

Hier wordt de opname gemaakt door een derde partij – het bedrijf dat de dienst van AI-transcriptie mogelijk maakt. In het strafrecht is hierin voorzien. De wet omschrijft het namelijk als “zonder deelnemer aan dat gesprek te zijn en anders dan in opdracht van zulk een deelnemer” opnemen van gesprekken. De AI-aanbieder handelt natuurlijk in opdracht van een van de deelnemers, en dat is genoeg.

Vermoedelijk zit er achter het bezwaar van die iemand dat het bedrijf zelf bepaalt wat ze met de opnames doen, naast jou er een kopie met transcriptie van geven. Dat is goed mogelijk, en in de AVG-context leidt dat tot ingewikkelde discussies over of dat bedrijf dan nog steeds verwerker is of een verwerkingsverantwoordelijke met alle gevolgen van dien.

Voor de strafrechtelijke vraag of je de opname mag maken, is dit echter niet relevant. Er ligt een opdracht, meer is er eigenlijk niet nodig. Dat de opdrachtnemer van de opname deze vervolgens bij wijze van spreken op de radio uitzendt, maakt de opname niet strafbaar.

Voor de AVG-context – je transcribeert zakelijke gesprekken – kan het indirect wél relevant zijn. Je klant of wederpartij kan dan willen weten waar de opname heen gaat en wat die partij met de gegevens gaat doen. En minstens zo relevant: wat is de grondslag voor de opname? Toestemming valt immers af, en een noodzaak voor opnemen is er nu eenmaal niet.

Toch maar weer dat gerechtvaardigd belang? Bij een zelfgemaakte opname zie ik dat wel, zeker in een zakelijke context. Als jij dan wat tegen mij zegt, dan mag ik dat onthouden en opschrijven, dus waarom niet opnemen voor bewijsvoering? Goed, bewaartermijnen zijn een ding en er is HVJ-jurisprudentie die zegt “voor het geval dat” is geen belang, maar daar kom je wel uit.

Wat wel blijft staan, is welke positie dat AI-bedrijf heeft ten aanzien van jouw organisatie. Het is zeer waarschijnlijk (zeker bij een simpele app of standaard SaaS oplossing) dat het bedrijf zelf verwerkingsverantwoordelijke is, met grote kans dat de opnames naar de VS gaan. Laat ik dat heel politiek zeggen: dat is een netelige kwestie om geheel AVG compliant in te regelen.

Arnoud

Mag een docent inzage vragen in je AI-chatgeschiedenis bij een vermoeden van AI-gebruik?

Geplaatst op in Privacy, Uitingsvrijheid, 10 reacties
Photo by Matheus Bertelli on Pexels

Via Reddit:

Als een docent je verdenkt van het gebruiken van chatgpt of een andere language AI. Mag de docent dan vragen naar je chat geschiedenis van de gebruikte AI. In hoeverre kan de docent aantonen dat er AI is gebruikt?
Een docent mag niet eisen dat zhij toegang krijgt tot jouw privé ict-middelen. Heel misschien bij ernstige misdrijven en als dat in een reglement geregeld is, maar dan nog zie ik eigenlijk geen juridische basis.

Een docent kan wel op basis van aanwijzingen uit je werk de conclusie trekken dat je mogelijk een werk niet zelf gemaakt hebt. Zhij kan je dan opdragen te laten zien dat je het wél zelf gemaakt hebt. Jij kiest dan wat je laat zien, zoals je conceptteksten, schetsen of oude versies. Heb je dat niet, dan is het gerechtvaardigt dat men concludeert dat het werk niet door jou zelf gemaakt is.

Het maakt dus niet uit of je een tekst uit genAI trekt of iemand inhuurt om het voor je te maken. Jij moet eigen werk inleveren, en je moet kunnen bewijzen dát het eigen werk is.

Heb je helemaal geen concepten, dan is een redelijk voorstel dat je in een mondeling gesprek laat zien dat je alles weet over het onderwerp van je opdracht. Dat kan dan alleen omdat je het echt zelf gedaan hebt.

Arnoud

Waarom is het zo lastig schadevergoeding voor datalekken te claimen?

Geplaatst op in Privacy, Security, 10 reacties
Photo by Christian Dubovan on Unsplash

Een lezer vroeg me:

Waarom is het zo lastig om een schadevergoeding te krijgen als je gegevens zijn gelekt of misbruikt? Ondanks alle datalekken die plaatsvinden en AVG-boetes voor bedrijven zoals Meta hoor ik zelden dat gebruikers een vergoeding krijgen, terwijl het toch om hun data gaat.
Datalekken en ander misbruik van persoonsgegevens zijn helaas aan de orde van de dag. Dit is onder allerlei wetgeving gereguleerd, van AVG tot NIS2 of CRA, maar juridisch spreken we in alle gevallen van een onrechtmatige daad als gegevens niet beveiligd zijn zoals de wet eist. En algemeen geldt, wie een ander een onrechtmatige daad aandoet, moet de schade daarvan vergoeden.

Er zijn allerlei redenen waarom mensen geen schadeclaims indienen. Het is gedoe, je rechtsbijstandsverzekering dekt het niet, je moet een buitenlandse partij aanspreken of je hebt niet eens door dát je gegevens zijn misbruikt. Ook kun je een verhandeling opzetten of het datalek wel verwijtbaar is en dus geen sprake is van overmacht. In dat laatste geval is namelijk géén sprake van onrechtmatig handelen. En hoe weet jij of het bedrijf adequate beveiliging had gehanteerd?

De belangrijkste voor mij is echter dat de schade niet tot nauwelijks te kwantificeren is. Wat kost een gelekt emailadres? Hoe veel schade heb je bij een medisch dossier op straat? Bij een deuk in je auto of een omgeduwde vaas is het antwoord vrij eenvoudig. Bij letsel en smart (inclusief psychisch) kan een deskundige worden bevraagd en zijn er tabellen (zoals de smartengeldgids) waar je richtinggevende getallen uit kunt halen. Dit ontbreekt bij onrechtmatig gebruik van persoonsgegevens.

In 2023 en 2024 bepaalde het Hof van Justitie in een aantal arresten dat het géén automatisme is dat je recht hebt op geld als je persoonsgegevens onrechtmatig zijn verwerkt. Je moet echt aantonen wat je schade is, dat er concreet iets van schade is opgetreden. Dat hoeft niet hoog te zijn, maar moet er wel zijn. Dus speculatief het vermoeden dat het wel eens gebruikt kán worden door criminelen of dat een collega het zou kunnen lezen en dat dat psychische schade geeft, is allemaal niet genoeg. Toon maar aan wat er is misgegaan – én welk bedrag aan schade je daar aantoonbaar door hebt geleden.

Met name dat laatste is dus het probleem. Welk bedrag heb je geleden door een ongewenste mail of een phishingpoging? Meer dan overlast of irritatie is het vaak niet, en daar kun je geen bedrag op zetten. Misschien een paar tientjes als het frequent is, maar niemand procedeert voor een paar tientjes. Bij de diverse massaclaims rondom datalekken is dit iets minder een probleem, want een miljoen tientjes is wél een leuk bedrag om over te procederen.

In Nederland zijn enkele pogingen geweest om hogere bedragen te claimen. Dat is in een enkel geval gelukt bij een onrechtmatig gebruik van medische gegevens, maar eigenlijk in alle andere gevallen afgewezen wegens gebrek aan onderbouwing. Dus tenzij het gaat om medische gegevens of je héél concreet een factuur van schadeherstel kunt laten zien, is er geen route om geld te krijgen bij misbruik van je persoonsgegevens.

In het verleden heb ik wel gepleit voor een staffel met vaste bedragen. Datalekken kosten dit bedrag tenzij aantoonbaar anders. Ik denk nog steeds dat dat de enige echte oplossing is, maar weet dan weer niet hoe we die bedragen moeten ijken.

Arnoud

Mag je mensen via mail vragen of ze iets van een ongeval hebben gezien?

Geplaatst op in Privacy, 16 reacties
Photo by Pixabay on Pexels

De politie heeft festival Orbit om hulp gevraagd in de zoektocht naar getuigen van een dodelijk ongeluk in Bunnik. Dat meldde RTV Utrecht onlangs. Die stuurde alle aanwezigen een mail met de vraag “of iemand die wat gezien heeft, dat bij de politie wil melden.” Kennelijk waren jullie allemaal daar, want ik kreeg nogal wat vragen “mag dat van de AVG”. Oké, omdat het nog zomervakantie is.

RTV Utrecht geeft achtergrond:

Op 26 juli botsten kort voor middernacht twee auto’s op elkaar op de A12 bij Bunnik. Een 31-jarige vrouw uit Utrecht raakte zwaargewond en overleed later aan haar verwondingen. … Eerder meldde zich al een getuige bij de politie. Diegene was onderweg naar huis na het muziekfestival. Dat bracht de politie op het idee om de organisatie om hulp te vragen.
Het muziekfestival was gesitueerd in Fort Vechten, dat naast de A12 ligt en toevallig ook vlakbij het punt van het ongeval. Onduidelijk is wat er precies is gebeurd. Dus logisch dat je als politie dan denkt dat er getuigen op het festivalterrein kunnen zijn, misschien wel met foto- of videomateriaal.

Alleen: de organisatie stuurt die mensen een mail, waarschijnlijk naar het adres dat gebruikt is voor de ticketaankoop. En dat voelt een tikje gek, want wat heeft “heb je een ongeluk op de A12 zien gebeuren” te maken met die aankoop.

Die vraag is relevant: juristen noemen dit doelbinding, gegevens mogen alleen worden gebruikt voor doelen die een duidelijk verband hebben met het oorspronkelijke doel. Een mail met extra huisregels zou prima zijn, reclame voor een ander festival niet. Een mail met “van wie is deze linkersok gevonden op het terrein” zou ik nog net vinden kunnen, beetje afhankelijk van de omvang van het festival natuurlijk.

Het ongeval staat geheel los van het festival, afgezien van de geografische nabijheid. Dan heb je AVG-technisch niet zo veel mogelijkheden. “Vitaal belang” denkt u misschien, de AVG-grondslag voor dringende medische aangelegenheden. Maar een getuige na enkele dagen is niet “vitaal” in die zin.

De enige echte grondslag die ik kan bedenken is het gerechtvaardigd belang: het festival wil de politie helpen (“gerechtvaardigde belangen … van een derde”) en meent dat de gegevensbelangen van de festivalbezoekers minder zwaar wegen dan het vinden van een getuige.

Ik zie daar wel wat in. Het is een eenmalige actie, je hoeft niet te reageren als je niet wilt, er zit geen commercieel of ander vervelend belang achter én het is een vrij ernstig ongeval waar hulp zeer welkom is. Naar zijn aard is dat dan uitzonderlijk en zwaarwegend.

Arnoud

In de strijd tegen deepfakes krijgen Denen copyright op gezicht en stem, en wij dan?

Geplaatst op in Intellectuele rechten, Privacy, 17 reacties
Photo by JOE Planas on Unsplash

Denemarken wil de nauwelijks van echt te onderscheiden deepfakes strafbaar stellen, meldde de NOS. Of nou ja: beeld en geluid op een of andere manier onder het auteursrecht brengen, zodat je een rechtszaak met schadeclaim kunt beginnen. Ook in Nederland speelt men met die gedachte. Hoe zou dat er concreet uit zien?

In ICT&Recht betoog ik dat ook het internetrecht zich niet herhaalt maar wel rijmt. Toen de fotografie populair werd, kregen we het portretrecht als bescherming voor mensen die ongevraagd op de foto gingen. Dat werd in de Auteurswet opgenomen, want die wet ging toch ook over foto’s.

Die plek is achteraf gezien onhandig gekozen, want portretrecht heeft niets te maken met auteursrecht. Anno 2025 zouden we dit in de AVG hebben opgeschreven. Ik zie op allerlei plekken dan nu ook verwarring: krijg je auteursrecht op je gezicht of stem, en wat betekent dat voor beeld- en geluidsanalyse?

Het gaat dus nadrukkelijk om bescherming tegen misbruik van beeld en geluid, en dat is iets heel anders dan zeggenschap over beeld en geluid. En sterker nog: misbruik in de vorm van nep beeld en geluid.

In 2024 deed professor Dirk Visser een concreet voorstel voor een antideepfakerecht dat beschermt tegen gebruik van zowel gezicht als stem in door AI gegenereerde deepfakes. Deze gebruikt de definitie daarvan uit de AI Act, zij het met de toevoeging dat het recht ook bij overledenen geldt. Die definitie is breed genoeg om zowel beeld als geluid te omvatten.

Kort en goed stelt het voorstel dat ieder maken of publiceren van een deepfake toestemming vergt van de betrokkene. Zonder toestemming kan dit zelfs een strafbaar feit zijn (net zoals het portretrecht schenden, hoewel dat een dode letter lijkt). Op die manier is dus vrij rechttoe rechtaan op te treden tegen bijvoorbeeld sites die mensen deepfakes laten uploaden: evident onrechtmatig materiaal, weg ermee.

Het toestemmingsrecht staat hier in de Wet op de naburige rechten, niet de Auteurswet. De gedachte daarachter is dat artiesten zich al kunnen verzetten tegen gebruik van hun uitvoeringen (zoals zingen of dansen), en dat gebruik van jouw stemgeluid of gezicht daarmee op één lijn staat. Met deze constructie past deze vorm dus heel mooi in het Europese recht.

Een lastig punt is altijd de uitzonderingen, zoals een deepfake als satire of parodie. Het wetsvoorstel werkt dat niet uit, maar het lijkt me logisch om bij artikel 10 punt j aan te sluiten dat al een uitzondering voor deze zaken creëert.

Nadeel daarvan is dan weer dat al die deepfakesites gaan zeggen “haha alles is satire om te lachen” en dan weigeren notice&action te doen. Pragmatisch is het dan misschien beter om géén uitzondering op te nemen. Wie dan bij de (straf)rechter meent dat de uitingsvrijheid moet winnen, kan ter plekke een beroep doen op de beperkende werking van artikel 10 EVRM.

(Wie nu denkt, Engelfriet was altijd zo anti-auteursrecht en pro-informatievrijheid: klopt, maar bij deepfakes denk ik daar anders over.)

Mag het van de AVG? Die vind ik lastiger. Een toestemmingsrecht voor deepfakes is hoe je het ook wendt of keert een beperking in gebruik van persoonsgegevens, en artikel 6 AVG is nu eenmaal een uitputtende opsomming. Een nationale wet mag niet zeggen “bij dit gebruik van deze persoonsgegevens is een beroep op gerechtvaardigd belang verboden”. En dat lijkt dit voorstel wel te doen. Daar staat tegenover dat deepfakes haast per definitie onrechtmatige verwerking zijn (tenzij dus met toestemming), zodat je volgens mij niet toekomt aan deze vraag.

Het Deense voorstel is nog niet uitgewerkt, maar het zou me verrassen als het er héél anders uit gaat zien. In Frankrijk loopt al sinds eind 2024 een wetsvoorstel tegen deepfakes, dat echter beperkt is tot seksueel getinte werken.

Arnoud

Mag je op Reddit met kentekens foto’s posten van mensen die drieletterwoord parkeren?

Geplaatst op in Privacy, Uitingsvrijheid, 14 reacties
Photo by m on Unsplash

Een lezer vroeg me:

Op Reddit zijn diverse subs waar mensen foto’s kunnen delen van fout geparkeerde voertuigen, van een beetje scheef tot volslagen idioot, met diverse klinkende namen. Bij veel posts ontstaat daar discussie over de zichtbaarheid van de kentekens: als ze niet zichtbaar zijn, waarom niet, als ze wel zichtbaar zijn, waarom wel. Kun jij hier helderheid over geven?
Inderdaad is een kenteken een persoonsgegeven, ook als je niet de RDW/politie bent. Want het kán te herleiden zijn, al is het maar via een MP-advertentie waarin iemand ‘m te koop zet. Wat dat betreft is de AVG duidelijk.

Onduidelijker is of dat betekent dat het mag of niet. Het publiceren op deze Reddits is met een beetje goeie wil te zien als het “aan de kaak stellen van een maatschappelijke misstand”, een breed gedragen ergernis. En een foto is nu eenmaal nodig om te laten zien hoe er zo ergerlijk is geparkeerd.

De vraag is dan vooral of het kenteken relevant is bij de publicatie. Je moet immers rekening houden met de privacybelangen van de eigenaar/bestuurder. Eerlijk gezegd zie ik dat zo niet, wat ga je doen met dat kenteken? Het enige dat ik kan bedenken is diegene opsporen en confronteren, maar daarvoor zou ik de ergernis niet groot genoeg vinden. Ook niet als je uit vele posts kunt halen dat diegene het structureel doet.

Voor de duidelijkheid: Reddit noch de moderatoren/beheerders zijn automatisch aansprakelijk voor deze posts. (De uploaders natuurlijk wel.) Deze partijen moeten wel gehoor geven aan een verzoek tot verwijdering, tenzij ze op dat moment menen dat hier wel écht een belang is om de foto met kenteken online te houden.

Arnoud

Voor een paar euro iemand uitkleden met AI: ‘Ongeluk in slow motion’

Geplaatst op in Privacy, 27 reacties
Photo by Markus Winkler on Pexels

Het is verboden om zonder toestemming naaktfoto’s te maken met AI-apps, maar het is doodsimpel om het tóch te doen. Dat meldde Nu.nl onlangs. De aanleiding is de recente waarschuwing van Meta over ‘nudify’-apps, beeldbewerking die een naakt lijf verzint binnen de contouren van degene die jij fotografeert. Oké dan.

Meta heeft een rechtszaak aangespannen tegen de maker van CrushAI, een populaire app in dit genre, om te zorgen dat die niet meer adverteert op de Meta-platforms zoals Instagram. Dit op grond van de gebruiksvoorwaarden. Maar de app zelf blijft dus te vinden.

“Jijzelf weet dat de beelden nep zijn, maar je omgeving en anderen die de beelden zien weten dat niet”, zo citeert Nu.nl een woordvoerder van Slachtofferhulp. Daarmee worden mensen alsnog kwetsbaar voor chantage en andere onfrisse praktijken. Er moet dus wat gebeuren, en de organisatie stelt een apart verbod voor.

Een verbod staat of valt met handhaving, maar heeft hier ook een signaalwaarde. Als je op scholen en andere plekken waar dit speelt kunt zeggen “zo’n app hebben is verboden”, dan kun je jongeren en hun ouders (hopelijk) via een moreel appèl aanspreken. En wie deze toch gebruikt, kun je dan via schoolregels aanpakken – net zoals bij jongeren die messen naar school brengen, bijvoorbeeld.

Als het slachtoffer nog geen 18 is, dan is het gebruik van zo’n app strafbaar als het vervaardigen van kindermisbruikmateriaal (art. 252 Strafrecht). Maar ook als het gaat om een volwassene is het strafbaar als het vervaardigen “opzettelijk en wederrechtelijk” gebeurt (art. 254ba). Bij zo’n app is daar zonder twijfel sprake van.

Het punt is vooral: er is geen strafbaarheid op bezit of verspreiden van de app. Dat was nooit echt relevant: dergelijk beeld maakten mensen met camera’s of andere algemene middelen, dus je komt er niet uit hoe je “stiekeme camera voor strafbaar beeld” onderscheidt van “camera”. Dit is ook waarom stiekem fotograferen (art. 139f) strafbaar is maar stiekemfotograferencamera’s niet.

Zou het kunnen? We hebben het voorbeeld van de hackhulpmiddelen (art. 139d), een “technisch hulpmiddel dat hoofdzakelijk geschikt gemaakt of ontworpen is tot”. Zet erachter “het maken van beelden bedoeld in 254ba of 252” en je bent er. Gewone camera’s zijn niet specifiek geschikt voor dergelijk beeld, deze naaktapps wel.

Net als bij hackmiddelen krijg je dan gelijk discussie over waar de grens ligt. Software kan zowel voor een legitiem securityonderzoek geschikt zijn als voor illegaal werk, soms hangt dat alleen af van het hebben van een pentestopdrachtovereenkomst. Het wettelijk criterium moet je dan van geval tot geval oplossen.

Hier is het probleem dat deze apps (meestal) niet letterlijk zeggen “upload een foto van eender wie en wij plakken er een naakt lijf onder”. De verpakking zijn “AI girlfriend” apps (want het gaat altijd over vrouwen) die je dan in staat stellen afbeeldingen samen te stellen met allerlei parameters. En ergens verstopt zit dan “upload sample image”.

Anderen presenteren zich explicieter maar presenteren zich dan als neutrale tool: jij kiest de foto, maar jij verklaart dan tevens dat alles helemaal juridisch in orde is. En daar is het dan op papier misschien nog wel makkelijk tegen optreden, maar het bedrijf zit dan in Hong Kong en kan zo weer verder vanuit een nieuwe Ltd.

Arnoud

Sjonge, je emailcorrespondentie is als zodanig ook gewoon een persoonsgegeven onder de AVG

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 15 reacties
Photo by Element5 Digital on Pexels

De inhoud van je (zakelijke) mailbox is aan te merken als persoonsgegevens, zodat je inzagerecht (en kopierecht) er op van toepassing is. Dat oordeelde het Franse Cour de Cassation, de hoogste Franse rechtbank onlangs. Wel moet de werkgever bij inzageverzoeken rekening houden met (privacy-)belangen van anderen.

Met enige regelmaat krijg ik vragen van werknemers die in een arbeidsgeschil zitten en dan de AVG willen inzetten om bijvoorbeeld bewijs te vergaren. Het is al een tijdje discussie wat in die context precies een ‘persoonsgegeven’ is: de metadata (jouw mailadres en met wie je mailde zeg maar), de passages in de mail die over jou gaan, of gewoon de hele mail?

Het Franse Hof kiest in een arbeidszaak nu voor dat laatste. In die zaak ging het om een intern onderzoek tegen een werknemer vanwege vermeend plegen van “daden van seksuele of psychische intimidatie”. De werknemer had om inzage in zijn mails gevraagd, om beschuldigingen te kunnen weerleggen als zou hij dergelijke teksten per mail hebben verstuurd.

De werkgever had dit geweigerd omdat “zakelijke e-mails” geen persoonsgegevens zijn. Dat ziet het Hof dus anders:

16. It follows, on the one hand, that emails sent or received by the employee using his professional email account are personal data within the meaning of Article 4 of the GDPR and, on the other hand, that the employee has the right to access these emails, the employer having to provide him with both the metadata (time stamp, recipients, etc.) and their content, unless the elements whose communication is requested are likely to infringe the rights and freedoms of others.
Ik twijfel of dat “professional mail account” er staat om duidelijk te maken dat het óók voor zakelijke mails geldt (dus niet alleen duidelijke privécorrespondentie), of gewoon omdat men die term gebruikte in de procedure.

In ieder geval, het Hof bevestigt hier dat mails die je stuurt of ontvangt integraal tellen als persoonsgegevens. Dus niet de metadata. Ook niet de stukjes met je naam erin. De hele lap.

Dat is wel even heftig, want je kunt dus met dit arrest (de AVG wordt Europabreed hetzelfde uitgelegd) een kopie van je hele mailbox eisen. Daar zitten dan wel weer grenzen aan: je inzagerecht (waar recht op kopie bij hoort) mag “geen afbreuk aan de rechten en vrijheden van anderen” doen.

Als inzage bijvoorbeeld de privacy van een collega zou schenden, of er staan bedrijfsgeheimen in, dan mag de werkgever weigeren deze te verstrekken. De werkgever moet dat natuurlijk desgevraagd wel bewijzen (vergelijk Dun & Bradstreet over handelsgeheimen versus AI-uitleg, ook dat is het inzagerecht). En mails moeten bij voorkeur dan geanonimiseerd worden overlegd in plaats van integraal achtergehouden worden.

Hoe nu hier in de praktijk mee om te gaan? Enerzijds gaat het praktisch al goed: werknemers kunnen haast per definitie al bij hun mailbox, en ze mogen daar dus ook een kopie van maken in het kader van hun inzagerecht.

Die kopie moet wel gemaakt om een concrete inzage te doen met als doel correctie of verificatie van de juistheid van de persoonsgegevens. Dus niet “voor het geval dat neem ik de mailbox mee naar huis” maar “ik hoor net van Guillaume dat ik X gezegd zou hebben, ik bewaar nu de mail met niet-X want dan kan ik dat op het gesprek aankaarten”.

Anderzijds gaat het inzagerecht pas spelen wanneer er een geschil aan de orde is. Dan weet je als werknemer immers welk bewijs je nodig hebt. En juist dan zie je dat je nogal eens buitengesloten bent van de werkmiddelen. Natuurlijk heb je dan nog steeds récht op die mailbox, maar met oneigenlijke vertragingstactieken kan een kwaadwillende werkgever je daar behoorlijk in hinderen – terwijl de arbeidsrechtelijke procedure gewoon doorgaat.

Arnoud