Categorie: Uitingsvrijheid

About Uitingsvrijheid

Subscribe Feeds

200.000 particuliere beveiligingscamera’s in politiedatabase

Geplaatst op in Regulering, Security, Uitingsvrijheid, 19 reacties

De afgelopen jaren hebben bedrijven en particulieren meer dan 200.000 beveiligingscamera’s in een database van de politie laten registreren, las ik bij Security.nl. Het gaat om de database “Camera in Beeld”, die informatie over beveiligingscamera’s in Nederland bevat. Het register stelt de politie in staat om snel camerabeelden te vorderen van strafbare feiten en andere misstanden.

Voor de duidelijkheid: Camera in Beeld is géén centrale toegang tot private beveiligingscamera’s. Het is een database met waar camera’s hangen, welk deel van de straat wordt opgenomen en wie de beheerder is. Zo kan de politie zoeken naar beelden van een misdrijf (zoals een vluchtende verdachte) en direct de juiste persoon benaderen met een vordering tot afgifte. Want ja, de politie moet die beelden opeisen en kan niet zomaar snuffelen of vrijwillig vragen beelden aan te leveren.

Juridisch lijkt me dit prima in orde. De kern zit hem in dat vorderen. Dat is een wettelijk recht van de politie, het enige nieuwe van Camera in Beeld is dat men makkelijk en snel weet bij wie de vordering moet worden neergelegd. Met deze route kunnen er ook geen discussies ontstaan of de camera-eigenaar dit wel had moeten doen of niet; bij een vordering moet het gewoon, klaar.

Het gaat vrijwel altijd om beelden van de openbare weg. (Natuurlijk kan men ook beelden van privéterrein zoeken hiermee, maar dan gaat het om misdrijven gepleegd op dat terrein en dan is de eigenaar vaak zelf aanwezig om de camera aan te wijzen en de beelden op vordering te verstrekken.) Daar kun je vraagtekens bij stellen vanuit privacyoogpunt, maar ook illegale beelden zijn bewijs wanneer burgers ze hebben gemaakt. De AVG of het portretrecht staat niet in de weg aan gebruik van camerabeelden voor opsporing en vervolging van strafbare feiten.

In het verleden waren er nog wel geluiden vanuit de AP dat filmen van de openbare weg met je beveiligingscamera niet zou mogen. Zowel de politie als de AP bevestigen nu dat de regels overigens niet zó streng zijn dat cameratoezicht op de openbare weg nooit mag. De AP zegt nu:

De AVG is wél van toepassing als u delen van de openbare ruimte filmt voor beveiliging. Bijvoorbeeld als u een camera in uw tuin heeft om uw woning te beveiligen en deze camera ook de openbare weg filmt die aan de tuin grenst. U mag alleen dát deel van de openbare weg filmen dat noodzakelijk is om uw woning te beveiligen.

Die noodzaak zul je overigens vooraf moeten bedenken en motiveren (op papier zetten dus), je kunt niet volstaan met “dat kwam handig zo uit” of “de installateur zei dat de camera hier moest”. Je zou kunnen denken aan kwesties als de auto ook willen bewaken, omdat er in jouw buurt nog wel eens auto’s bekrast worden, of kunnen vastleggen wie er jouw oprit op draait zodat je nummerbord en bestuurder kunt vastleggen. Maar wie bang is voor diefstal in de achtertuin, heeft denk ik een lastiger argument waarom de stoep vóór ook gefilmd moet worden.

Arnoud

Mag een band je uit de zaal weren als je ze aanspreekt op misbruik van je foto’s?

Geplaatst op in Uitingsvrijheid, 43 reacties

Als je een foto van de Zweedse melodicdeathmetalband Arch Enemy maakt, en ze vervolgens aanspreekt op hun ongeautoriseerd gebruik daarvan, dan wordt je verbannen bij hun optredens. Dat maak ik op uit dit verhaal van rockjournalist J. Salmeron. Hij fotografeerde de band en publiceerde de foto online, waarna de band deze overnam en een aan hen gelieerde commerciële club er reclame mee maakte. Nadat hij ze erop aansprak, werd de band boos en werd hij vervolgens voor eeuwig geweerd bij hun concerten. Wat nogal wat verontwaardiging gaf, en zelfs leidde tot doodsbedreigingen bij de fotograaf.

Voor een persfotograaf voelt het volkomen normaal dat je foto’s maakt van je onderwerp, zoals een optreden van een band, en dat die foto’s alleen met jouw toestemming mogen worden gebruikt. Vaak is er wel enige coulance naar fans die zonder commercieel oogmerk de foto publiceren, of naar de band die uit trots de foto herpubliceert op sociale media. Maar in dit geval begon het gedoe met een commerciële club:

Just as I saw that fans were re-posting the photo (something that I tend to turn a blind eye to, as long as they don’t edit the images), I noticed that a company named Thunderball Clothing had posted it to promote their products. … Since the post had been made on the account of the company, it was obvious that its purpose was to advertise. It was placed on an Instagram page that had a link to their online store, and my image was used to show the products that they had created for Alissa.

En wat doe je dan als fotograaf annex jurist? Precies, dan stuur je een sommatiebrief:

In general, I charge a fee of at least €500 (five hundred Euro) to businesses that have posted my work in an unauthorized manner. In this case, however, I would be willing to forget about this problem and let you keep up the above post in exchange for a donation of €100 (one hundred Euro) to the Dutch Cancer Foundation.

De eigenaar van het bedrijf nam vervolgens contact op met de band omdat ze een blafbrief met dreigement van 500 euro had ontvangen. Daar was de band niet blij mee, getuige de mail die de fotograaf vervolgens ontving:

I would like to ask why you are sending discontent emails to people sharing the photo of [leadzangeres] Alissa? Alissa’s sponsors and fan clubs are authorized to share photos of her. Thunderball Clothing is a sponsor of Alissa and Arch Enemy.

De tweede zin laat een andere volkomen normaliteit zien: veel organisaties (met name zij die drijven op social media) gaan ervan uit dat zij zeggenschap hebben over afbeeldingen van hun activiteiten. In dit geval dus, dat zij mogen bepalen wie wat doet met foto’s van hun optredens. Fotografen moeten blij zijn met de exposure (ook al staat hun naam er niet bij) en wie daar anders over denkt, heeft een probleem:

We have immediately removed the picture you took at FortaRock. By the way, we are sure you don’t mind that you are not welcome anymore to take pictures of Arch Enemy performances in the future, at festivals or solo performances. I have copied in the label reps and booking agent who will inform promoters – no band wants to have photographers on site who later send such threatening correspondence to monetise on their images.

Bepaald ongezellig allemaal. En natuurlijk klopt het formeel niet wat de band zegt, het auteursrecht op zo’n foto ligt gewoon bij de fotograaf en dat jij een merk bent, maakt daarbij niet uit. Ook met portretrecht kom je er niet, daarmee kun je in dit soort situaties hooguit een commerciële vergoeding vragen bij exploitatie door de fotograaf van de foto’s maar geen gebruiksrecht voor jezelf opeisen.

Mag je dan als pressiemiddel de andere kant op wel de fotograaf vervolgens van je concerten weren? Ja, dat denk ik wel. Private partijen hebben het recht zelf huisregels te bepalen en te selecteren wie er wel en niet welkom is. Alleen op discriminerende gronden iemand weren, is niet toegestaan. Maar een specifieke persoon weren vanwege een zakelijk conflict is volgens mij nergens verboden.

Een beroep op de persvrijheid (je moet verslag kunnen doen van zo’n concert) zie ik niet snel slagen. Al sinds jaar en dag mogen de KNVB en de voetbalclubs regels stellen over uitzendrechten van voetbalwedstrijden. Wie die niet accepteert, mag het privégrondgebied van de voetbalclubs (het stadion) niet betreden om te filmen. Gezien het maatschappelijk belang van voetbal zou je zeggen dat als dáár het eigendomsrecht boven de persvrijheid gaat, dat bij een toch wat minder bekende metalband zéker ook zou gelden.

Arnoud

Mag Wetransfer blaffen naar “veiliger alternatief” Skotty?

Geplaatst op in Uitingsvrijheid, 12 reacties

Eindhovense startup Skotty laat je veilig e-mailen en bestanden delen, las ik bij RTL Z. En iets later op Twitter dat Wetransfer er boos over is: WeTransfer stuurt vanuit het niets met dreigende taal een jurist op me af vanwege dit. Wat raar, mag je dan niet meer zeggen dat jouw dienst een privacyvriendelijker Wetransfer-achtige dienst wil zijn?

Het voelt een beetje alsof een AI legal assistant het nieuws monitort en aanslaat op berichten waarin het bedrijf wordt genoemd, want wie het artikel leest zal niet snel concluderen dat Wetransfer de grootste datadief is sinds Facebook.

Het lijkt erop dat het datatransferbedrijf boos werd over passages als deze:

Veilig e-mailen en bestanden delen zonder dat anderen mee kunnen gluren. Dat is het doel van de Eindhovense startup Skotty, dat nu voor iedereen te gebruiken is. “We willen een veilige, privacyvriendelijke WeTransfer-achtige dienst zijn.”

Skotty noemt natuurlijk Wetransfer omdat het de bekendste naam is, en omdat zijn dienst een duidelijk onderscheidend kenmerk heeft met de focus op veiligheid. Ik haal nergens uit het artikel dat hij specifieke twijfels bij Wetransfer heeft, en als Europees bedrijf heeft Wetransfer de AVG-zaakjes ongetwijfeld prima op orde. En ik zie een slotje bij Wetransfer, dus dat zal ook wel goed zitten.

Desondanks zijn er vele niveaus van veiligheid, en als je als Skotty in wilt zetten op een hoger niveau, dan is het volkomen gerechtvaardigd om in je marketing te zeggen dat je veiliger bent dan. Dat betekent niet dat Wetransfer onveilig is, het betekent dat jij nóg veiliger wilt zijn.

Mijn nekharen gaan wel overeind staan van een bedrijf dat bij twijfels over hun veiligheid naar de blaffende jurist grijpt in plaats van vanuit zelfvertrouwen te staan achter het product. Ik ken die tactiek namelijk alleen bij bedrijven die malafide zijn, en begrijp dan ook totaal niet waarom Wetransfer dit zou doen. Dit kan toch niet anders dan averechts werken?

Arnoud

Is misbruik van de GDPR een probleem van de GDPR?

Geplaatst op in Privacy, Uitingsvrijheid, 7 reacties

Boos bericht bij Techdirt: in Roemenië wordt misbruik van de AVG (GDPR) gemaakt om een journalistencollectief de mond te snoeren, en dat is een probleem van de AVG want zonder AVG had dit niet gekund. Of zoiets. Het leest als een stuk flamebait, maar ik kan de boosheid van de journalist wel begrijpen want de AVG kent specifieke uitzonderingen voor journalistiek en dan komen ze juist bij de journalisten uit met een (gedreigde) boete van 20 miljoen euro. Dat hoort niet te kunnen. Maar ik zie het als een probleem met de rechtsgang, en niet met de AVG specifiek.

Het achterliggende verhaal is wat moeilijk bij elkaar te puzzelen, maar in de kern komt het hierop neer. In Roemenië is journalistencollectief OCCRP bezig een corruptieschandaal aan te tonen. Men kreeg genoeg bewijs bij elkaar om de European Anti-Fraud Office er naar te laten kijken en een strafrechtelijk onderzoek in het land zelf op te laten starten. Dat suggereert een behoorlijk stevig en betrouwbaar onderzoek.

Na publicatie van resultaten kreeg de partner van OCCRP het Rise Project een sommatie van de Roemeense privacytoezichthouder: een betrokkene heeft een inzageverzoek bij u gedaan en u moet daar gehoor aan geven, op straffe van een boete van 20 miljoen Euro. Het inzageverzoek moet ook de documenten betreffen waar de journalisten bronbescherming op claimen. Niet verrassend: de betrokkene is een van de hoofdrolspelers in het corruptieschandaal. Wel verrassend: de voorzitter van de Roemeense toezichthouder komt uit de partij van diezelfde hoofdrolspeler en zou ook lijntjes naar het corruptieschandaal hebben.

Het theoretische antwoord is natuurlijk simpel. De journalisten hoeven hier geen gehoor aan te geven, omdat bij publicaties voor journalistieke doeleinden veel rechten uit de AVG niet gelden. Dat staat letterlijk zo in de AVG, en komt terug in de Roemeense Uitvoeringswet AVG als een tekstueel duidelijke uitzondering (artikel 7): inzage en verwijdering geldt niet bij journalistieke doeleinden. De iets breder onderlegde journalist zal wijzen op jurisprudentie over bronbescherming als fundamenteel recht, en eenvoudig betogen dat het inzagerecht zich daar niet tot zal uitstrekken (bijvoorbeeld via artikel 15 lid 4, rechten van anderen).

Praktisch gezien zit het Project met een enorm probleem: een dreigende boete van 20 miljoen wanneer ze niet gewoon die gegevens verstrekken. Want op papier klinkt dit allemaal leuk maar als de toezichthouder het anders ziet, dan heb je een héél duur traject om tot je gelijk te komen. Zelfs als iedereen vanaf de zijlijn roept dat je dit gewoon gaat winnen.

Is dit nu een probleem met de AVG, zoals Techdirt-auteur Masnick betoogt? Want de AVG is zo een heel bot instrument om onwelgevallige journalistiek de mond te snoeren. Ook al heb je op papier gelijk, de boete is zo hoog dat iedereen toch wel inbindt. Chilling effect, noemen de Amerikanen dat. Onrecht dat blijft bestaan ondanks dat het wettelijk niet hoort te bestaan.

Mij lijkt van niet. Zeker is het een probleem, maar het probleem zit hem in de praktische gang naar de rechter. Als een organisatie niet de mogelijkheid heeft zich effectief te verweren tegen een dreigende boete van 20 miljoen op grond van argumenten die gezien de wet evident overtuigend zijn, dan heb je geen effectieve rechtsstaat. Dat die boete van 20 miljoen uit de AVG komt, is dan niet meer dan bijzaak. Voor hetzelfde geld kan de eiser anders een smaadclaim construeren, zijn auteursrecht geschonden zien of interferentie met parlementaire privileges of welk bogus argument dan ook aandragen.

Dat maakt de zaak niet minder ergerlijk of fout natuurlijk.

Arnoud

Kun je bij de rechter afdwingen dat Twitter iemands account opheft?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 18 reacties

Een federatie van 144 moskeeën in Nederland eist dat Twitter het account van Geert Wilders verbiedt. Zijn uitspraken zouden in strijd zijn met de gebruiksvoorwaarden van het platform. Dat meldde RTL maandag. De organisatie overweegt de gang naar de rechter als het medium niet zelf ingrijpt. In het AD lees ik iets meer over de beweegredenen, dat sprake zou zijn van systematisch de wet overtreden met extreme uitingen.

Allereerst is er het probleem dat Twitter in haar voorwaarden Amerikaans recht van toepassing verklaart, ook als je als klant uit Europa komt. Een rechtszaak bij de Nederlandse rechter moet daar dus allereerst doorheen breken. Dat is een tikje ingewikkeld; hoofdregel bij een internationale overeenkomst is dat de gemaakte afspraak voor de wet gaat. Bij consumentenrecht kun je daar van afwijken, maar dit lijkt me geen consumentenzaak. Dat is dus hobbel nummer één.

Ten tweede zit je met de uitdaging dat de TOS van Twitter gewoon algemene voorwaarden zijn bij de dienstenovereenkomst die je met ze hebt gesloten. Als derde partij deze voorwaarden inroepen is eigenlijk niet mogelijk, vanwege het simpele feit dat je geen partij bent bij die overeenkomst. (Er zijn wel zogeheten derdenbedingen maar die moeten apart zijn afgesproken, en ik zie dat niet bij Twitter.) Daarbij komt dat de voorwaarden weinig hard en specifiek zijn, zodat het moeilijk is te onderbouwen wat nu concreet de precieze overtreding is.

En als derde zit je met het probleem dat je als spreker in het politiek debat héél veel mag zeggen, ook dingen die ver op het randje zitten of daar soms overheen gaan. Dat is een onvermijdelijk deel van een vrij politiek debat. Natuurlijk kun je ook als politicus tot de orde worden geroepen als je echt strafbare zaken zegt, maar dat staat helemaal los van de gebruiksvoorwaarden en hoe Twitter die moet interpreteren. Je komt dan waarschijnlijk eerder uit bij de conclusie dat bepaalde Tweets tegen de regels zijn en dat Twitter die moet verwijderen.

Een paar stevige hobbels om te nemen dus. Ik zit zelf nog te twijfelen of het goed zou zijn als je als buitenstaander de TOS van een dienst kunt inroepen tegen een andere gebruiker. Het creëert wel een groter gevoel van eerlijkheid: iedereen krijgt dezelfde regels, dus waarom mag de handhaving dan zo willekeurig zijn? Als ik duidelijk last heb van een overtreding, moet ik dan niet kunnen verlangen dat men ingrijpt? Is dat niet óók deel van de voorwaarden van zo’n dienst?

Arnoud

Kaspersky wint zaak over krantenartikel met hackclaims van ‘Nieuwsuur-expert’

Geplaatst op in Uitingsvrijheid, 3 reacties

Kaspersky heeft van de Nederlandse rechter gelijk gekregen in een kort geding, waarin is bepaald dat De Telegraaf een krantenartikel moet rectificeren. Dat meldde Tweakers gisteren. In dat artikel werd gesteld dat Rian van Rijbroek claimde dat ze het wifinetwerk van het Nederlandse Kaspersky-kantoor was binnengedrongen en allerlei geheime informatie te pakken had gekregen. Dit ervoer het geplaagde securitybedrijf als smaad en men startte een rechtszaak tegen de Telegraaf.

Uit het vonnis haal ik vooral dat het artikel gerectificeerd moet worden omdat de Telegraaf niet hard kan maken wat Van Rijbroek nu precies gezegd had. Het artikel meldde uitgebreid hoe mevrouw de meesterhacker bij een Utrechts securitybedrijf uit Rusland (waar er maar ééntje van is) IP-adressen had weten te stelen, waarna een ‘deep throat’ haar wist te melden dat er een lek zit in de Tweede Kamer dat samenwerkt met de Russen op basis van deze informatie. Of zoiets. Wie uit de mist aan uitspraken een samenhangend en technisch kloppend relaas kan halen, wint een plagiaatvrij exemplaar van De wet op internet.

Kaspersky was nogal boos over het artikel, omdat hun reputatie hiermee nogal door de mangel werd gehaald. Men had zelfs het vermoeden dat de overheidsbeslissing om te stoppen met het bedrijf, hiermee samenhing of door was beïnvloed. Vandaar de stap naar de rechter: deze onrechtmatige perspublicatie moet worden gerectificeerd.

Een groot probleem voor de krant was dat er eigenlijk geen bewijs was van wat er was gezegd. Dit nog los van dat er geen onafhankelijke bronnen waren die het verhaal konden staven, zodat je uiteindelijk wel een héél magere onderbouwing overhoudt. Na het eerste interview is er diezelfde avond nog twee keer nagebeld, maar afgezien van een paar aantekeningen is er verder helemaal niets. Dat bevreemdt anno 2018, wie neemt er nou niet zijn interviews op? Tevens bleken de verklaringen van de twee journalisten onderling niet helemaal te kloppen.

Wie op dergelijke onderbouwing publiceert, loopt een serieus risico iets te publiceren dat niet klopt. En dan zul je de gevolgen moeten dragen, aldus de rechtbank:

Zonder nader onderzoek waarvoor in dit kort geding geen plaats is, is slechts op basis van de verklaringen van de journalisten en de informatie uit anonieme bron onvoldoende aannemelijk dat [naam 1] zich heeft uitgelaten over een inbraak op het computernetwerk van Kaspersky. [naam 1] ontkent, er geen aanwijzingen dat die inbraak heeft plaatsgevonden, en door TMG is geen eigen onderzoek gedaan naar die inbraak. Kaspersky is bovendien niet om een reactie gevraagd. Dat Kaspersky hierdoor schade heeft geleden en mogelijk nog zal lijden is voldoende aannemelijk. De berichtgeving kan (potentiële) klanten afschrikken. Een cybersecuritybedrijf dat haar eigen internetveiligheid niet in orde heeft levert commercieel zeer nadelige beeldvorming op. Al met al is de publicatie in De Telegraaf voorshands onrechtmatig tegenover Kaspersky.

Een verweer van de krant was nog dat het artikel niet serieus te nemen moest zijn. Weinig hackers kruipen (bij mijn weten) in lingerie door Dubaise hotelkamers, een titel als “Meesterspionne of misleidster?” belooft ook niet echt een diepgravende analyse van de toestand in de wereld en een belofte van “wilde verhalen” geeft ook eerder een suggestie van lekker lachen dan een stevige onthulling. Maar het artikel bevatte genoeg echte feiten en referenten om het toch als serieus aan te merken.

De Telegraaf moet rectificeren op de voorpagina van de zaterdageditie, en moet bovendien bij het archiefartikel een aanduiding opnemen dat het artikel onrechtmatig was.

Arnoud

Beheerders Facebook-pagina zijn medeverantwoordelijk voor dataverwerking

Geplaatst op in Privacy, Uitingsvrijheid, 11 reacties

Het Europese Hof van Justitie heeft in een uitspraak bepaald dat de beheerder van een Facebook-pagina samen met Facebook als gezamenlijk verantwoordelijke moet worden gezien als het gaat om de verwerking van persoonsgegevens. Dat meldde Tweakers vorige week. Deze juridische term houdt in dat beide partijen samen bepalen wat er gebeurt met persoonsgegevens, en elk aansprakelijk zijn voor de gehéle verwerking. Was deze blog kort door de bocht, dan ware de conclusie dat iedere Facebookpaginabeheerder dus aansprakelijk is voor wat Facebook doet met gegevens van groepsgenoten. Auw.

De uitspraak (zaak ECLI:EU:C:2018:388) was onder de Richtlijn (en wat wij de Wbp zouden noemen) maar de begrippen zijn onder de AVG hetzelfde, zodat de uitspraak nog steeds van belang is. En uit de feiten maak ik op dat het om de zogeheten fanpagina’s gaat, waarbij je als beheerder bepaalde statistieken te zien krijgt over je bezoekers, waarbij onder meer cookies worden ingezet die tot personen te herleiden zijn.

Een Duitse toezichthouder had een beheerder van zo’n pagina aangesproken op haar plicht bepaalde gegevens te verwijderen, maar die weigerde dat omdat niet zij maar Facebook verantwoordelijk zou zijn hiervoor. Dat leidde tot een rechtszaak die nu bij het Hof van Justitie uitkwam. En die concludeert niet verrassend dat primair Facebook de verantwoordelijke is, omdat Facebook bepaalt hoe haar platform werkt en wat er mogelijk is.

Wél verrassend is dat zij ook de beheerder van zo’n pagina aanmerkt als (mede-)verantwoordelijke. Die besluit immers zo’n pagina op te zetten, waar mensen lid van kunnen worden en zo gegevens achterlaten. Zonder die ingreep waren die persoonsgegevens rondom interesses over die pagina (zeg maar) er niet gekomen, dus daarvoor ligt de verantwoordelijkheid bij deze beheerder. Dat je als beheerder alleen anonieme gegevens krijgt van Facebook, maakt niet uit – in de definitie van gezamenlijk verantwoordelijke staat niet dat je beiden bij alle persoonsgegevens moet kunnen.

De belangrijkste implicatie van het arrest is dat je als persoon kunt eisen dat gegevens van jou worden verwijderd bij zo’n fanpagina, en dat de beheerder zich niet mag verschuilen achter Facebook. Je moet dus echt zelf aan de bak en ook zelf aangeven welke gegevens je verzamelt en wat je daarmee doet.

Maar pijnlijke bijkomstigheid is dat je dus óók (mede-) aansprakelijk bent voor datalekken, slechte beveiliging en andere fouten die je zakenpartner Facebook vergaart. Oké, dat mag je wettelijk gezien op haar verhalen maar dat is natuurlijk niet helemaal realistisch.

Arnoud

Geldt het vergeetrecht onder de AVG ook bij forumdiscussies?

Geplaatst op in Uitingsvrijheid, 30 reacties

Een lezer vroeg me:

Ik beheer een relatief groot discussieforum. Moet ik straks onder de AVG van iedereen die dat vraagt zijn berichten weghalen onder het vergeetrecht? Dan houd ik straks geen historie meer over!

Het klopt dat je als aanbieder van internetdiensten al snel te maken krijgt met de AVG. Heel vaak werk je immers met persoonsgegevens, informatie die tot personen te herleiden is. Namen of e-mailadressen, maar ook IP-adressen en cookies met unieke nummers zijn persoonsgegevens. Als die informatie achterhaald of irrelevant is, dan moet deze op verzoek weg.

Dit geldt dan net zo goed voor online forums. Punt is wel dat een bericht dat mensen posten (net als een reactie op deze blog) an sich óók persoonsgegevens zijn, omdat de berichten van iemand zijn en daarmee over die iemand gaan. Dan zou die iemand dus ook bij een inmiddels compleet dode discussie of stokoud bericht kunnen eisen dat het wordt weggehaald.

Echter, specifiek bij forums loop je dan tegen een probleem aan dat daarmee de discussie toch een stuk verstoord wordt, of het archief niet meer volledig. Dat is een probleem, want bij zulke situaties komt dan de vrijheid van meningsuiting in het gedrang. Mensen moeten kunnen lezen wat in het verleden is gezegd, en de privacy mag daar niet als een 1984-bulldozer doorheen rauzen.

Dit probleem werd bij invoering van de AVG al onderkend, en er staat dan ook bij het vergeetrecht dat het niet van toepassing is wanneer de verwerking (de publicatie dus) noodzakelijk is voor de uitoefening van het grondrecht van de uitingsvrijheid (artikel 17 lid 3 AVG). Daarmee kan een forumbeheerder dus in principe het weghalen van berichten voorkomen. Een profiel of registratie van een gebruiker valt buiten dat grondrecht en moet dus wél worden weggehaald op verzoek.

In Nederland komt er naast de AVG de zogeheten Uitvoeringswet AVG, met daarin een aantal belangwekkende uitzonderingen bij “journalistieke doeleinden of academische, artistieke of literaire uitdrukkingsvormen”. Alle rechten die je normaal hebt, zoals inzage, correctie en verwijdering, gelden bij deze uitingsvormen niet. Daarmee kun je als forum dus ook andere verzoeken pareren, althans voor zover het gaat om persoonsgegevens die als journalistiek of literair te duiden zijn. Dat is wat mij betreft beperkt tot de postings of reacties zelf. Zaken als iemands profiel of interesses vallen daar buiten.

Arnoud

Mag een trol eisen dat hij wordt vergeten op een forum?

Geplaatst op in Privacy, Uitingsvrijheid, 30 reacties

Naar aanleiding van mijn blog van vorige week over accounts versus bewaarplicht kreeg ik via Twitter de reactie:

Leerzaam! En in de comments ook: recht van betrokkene geldt ook voor een troll. Gegevens laten verwijderen na block, herinschrijven en overnieuw beginnen…. Nooit aan gedacht.

Natuurlijk zullen er na 25 mei de nodige trollen zijn die grappen uit gaan halen met het vergeetrecht onder de Algemene Verordening Gegevensbescherming (AVG of GDPR). Het is immers een sterk recht, en je hoeft geen reden op te geven om vergeten te willen worden.

Echter, het vergeetrecht is niet absoluut. Er zijn situaties waarin je niet vergeten hoeft te worden. En specifiek bij een forumblokkade of ban zie ik die situatie wel. Als je iemand verbant, dan wil je die ban een zekere tijd handhaven. Gedurende die tijd móet je dus onthouden wie de gebande persoon is en met welke persoonsgegevens je hem herkent, anders is handhaving onmogelijk. Dit geeft dan een legitiem belang om die persoonsgegevens te verwerken.

Wanneer een organisatie een legitiem belang heeft om je gegevens te verwerken, kun je geen beroep doen op het vergeetrecht. Juridisch gezien kan een vergeetverzoek namelijk alleen worden ingediend bij gegevens die niet meer nodig zijn voor zo’n belang. (Of bij verwerkingen waarvan de toestemming wordt ingetrokken of die überhaupt niet mochten plaatsvinden, maar dat is hier niet aan de orde.)

Natuurlijk moet het legitiem belang wel opwegen tegen het privacybelang van de trol, pardon de forumgebruiker. Dat is een zorgvuldigheidseis, waarbij de beheerder moet laten zien dat de keuze tot bannen goed onderbouwd is en de banperiode gerechtvaardigd voor het doel. Er zal dus een reglement moeten zijn met wat er wel en niet mag, en iets van een aankondiging met de redenen voor de ban en de periode van de ban. Ontbreekt dat, dan is de ban onrechtmatig en dan zou je wel opheffing daarvan kunnen eisen.

Arnoud

Beveiligingsbedrijf Kaspersky wil ‘nepexpert’ Nieuwsuur voor de rechter slepen

Geplaatst op in Uitingsvrijheid, 22 reacties

Deze blockchain is smartBeveiligingsbedrijf Kaspersky wil Rian van Rijbroek, co-auteur van het boek ‘De wereld van Cybersecurity en Cybercrime’, voor de rechter slepen. Dat meldde RTL Nieuws onlangs. Het bedrijf is van plan haar aan te klagen wegens laster, omdat Van Rijbroek in de media zegt dat ze het Nederlandse kantoor van Kaspersky heeft gehackt. Men schrok bij Kaspersky zo van deze opmerking dat een intern onderzoek is uitgevoerd, dat liet zien dat het onwaar is: er is geen smart blockchain hack aangetroffen. De voorgenomen rechtszaak voelt een tikje als een overreactie, maar kan het überhaupt, iemand aanklagen voor zo’n opmerking?

Smaad en laster gaan over reputaties, en bedrijven hebben die net zo goed als privépersonen. Dus het is mogelijk een bedrijf te besmaden, hun eer en goede naam aan te tasten door bepaalde beweringen te doen. Het verschil tussen smaad en laster is dat je bij laster wéét dat hte niet waar is, die bewering. Bij smaad is het mogelijk dat je denkt dat het waar is (of zelfs dat het écht waar is). Het gaat er uiteindelijk om dat de uitlating nodeloos grievend is, even plat gezegd zoiets zég je niet, het is bedoeld als afzeiken of voor gek zetten, nergens voor nodig.

Gezien de uitgebreide kritiek op Van Rijbroek en haar boek ligt het voor de hand dat ze niet daadwerkelijk bij Kaspersky heeft ingebroken, nog even los van dat je bij zo’n beveiligingsbedrijf wel zou verwachten dat ze daar iéts van hebben gemerkt. Daarmee is het waarheidsgehalte van de opmerking marginaal, en dan kan het smaad opleveren.

Alleen heb ik dan één vraagteken: de uitlating moet er wel voor zorgen dat andere mensen gaan denken dat Kaspersky een waardeloos bedrijf is, dat dat zomaar gehackt kan worden zonder dat ze het merken. Smaad moet immers iemands reputatie aantasten. Oftewel, de uitlating moet wel enigszins geloofwaardig zijn. En gezien de reputatie van Van Rijnsbroek kun je daar natuurlijk twijfels bij hebben. Wie gelooft dat, als zij zegt Kaspersky te hebben gehackt?

Mogelijk speelt dan mee dat Nieuwsuur gezien wordt als een respectabel en gezaghebbend televisieprogramma, waardoor de mensen inderdaad geneigd zouden zijn haar te geloven. Zo’n redactie checkt dat toch, wat iemand beweert? En als je dat zwaar laat wegen, dan is er dus inderdaad een reële kans op reputatieschade en daarmee zou een smaadclaim mogelijk zijn.

Ben wel benieuwd wat het verweer gaat zijn. Stel het is waar, dan moet je bewijs overleggen dat je Kaspersky hebt gehackt. Daarmee stel je jezelf wel bloot aan een vervolging wegens computervredebreuk, een misdrijf met tot 4 jaar cel. Is het niet waar, dan is je enige verweer nog dat niemand jou zou geloven, dat het geen geloofwaardige opmerking was. Maar je eigen reputatie gaat natuurlijk wel een tikje stuk als je die positie inneemt. Blijft over “het is waar maar ik kan/wil het niet bewijzen, dus ik aanvaard dit vonnis voor het groter geheel”.

En ja, dit gaat over dat boek waarin ook stukken tekst van mij (over computercriminaliteit) zijn overgenomen “zonder bronvermelding”. Ik begrijp dat het boek nu voorzien wordt van een duidelijker bronvermelding, dus ik ben heel benieuwd hoe dat eruit gaat zien. Maar raar blijft het.

Arnoud