Categorie: Uitingsvrijheid

Inzageverzoek persoonsgegevens (Radar forum, moderatie) strandt op journalistieke exceptie. Zo vatte het Hof Arnhem-Leeuwarden een recent arrest samen, dat ingaat op een al lang bestaand spanningsveld tussen privacy en uitingsvrijheid.

In het geheel niet tot mijn verbazing betrof het iemand die was geband en naar de rechter stapte. Die krijg ik ongeveer wekelijks in mijn mailbox namelijk: wat kan ik doen, biedt de AVG een leuke stok of kan ik met NIS2 de directie persoonlijk aansprakelijk stellen?

Deze persoon pakte ook daadwerkelijk door, en eiste van de beheerders van het AVROTROS Radar forum “een kopie van, kort gezegd, alle informatie in verband met overtredingen van de huisregels door hem, en de overige informatie als bedoeld in artikel 15 lid 1 onder a tot en met h AVG.” De aanleiding:

Hij heeft [sinds 2006] bijna 22.000 berichten op het forum geplaatst. In de loop van de jaren zijn er berichten van [de betrokkene] op het forum verwijderd door de Moderator. Op 3 februari 2022 is hem een ‘ban’ van één maand gegeven wegens ruzie met een andere deelnemer.

De achterliggende motivatie van het inzageverzoek is dat hij de besluiten van de Moderator om zijn berichten te verwijderen en de ban “op juistheid en rechtmatigheid moet kunnen controleren”. Welke gegevens dat precies betreft, is mij niet helemaal duidelijk, want bijvoorbeeld berichten tussen moderatoren met overleg hierover zouden volgens mij vanwege hun privacy niet mogen worden afgegeven. Maar het verzoek ging kennelijk ver: hij wilde ook zien “hoe de moderatie van zijn bijdragen zich verhoudt tot de moderatie van bijdragen van andere (veel-)gebruikers van het forum”, wat impliceerde dat hij ook berichten van/over andere gebruikers zou krijgen.

AVROTROS gooide het echter over een andere boeg: het inzagerecht geldt niet, want hier is sprake van een uitsluitend journalistieke verwerking. Dat doet misschien gek aan, omdat de deelnemers aan het forum geen journalisten zijn die werk doen voor Radar of aanverwant. Maar het Hof ziet een duidelijk verband:

[D]e verwerking van persoonsgegevens op het forum [kan] niet los gezien worden van de journalistieke doeleinden die Avrotros dient met het programma Radar en de andere bijkomende producten en de algehele bijdrage die aldus wordt geleverd aan het publieke debat. Dat Avrotros ‘louter’ hostingprovider is van het forum en daaraan zelf geen eigen journalistiek-inhoudelijke bijdragen levert, zoals de rechtbank heeft overwogen, maakt nog niet dat het forum geen journalistieke activiteit is.

Programma en forum zijn daarmee zodanig verweven met elkaar dat de journalistieke functie van de eerste overslaat op de laatste. Daarmee vervalt automatisch het recht op inzage en correctie (Uitvoeringswet AVG, artikel 43).

De uitspraak is natuurlijk in zoverre beperkt dat hij alleen toepasbaar is op forums die verbonden zijn aan journalistieke producties. Iets waar ik toch een beetje moeite mee houd, want volgens mij moet het gaan om het doel van het forum zelf, en moet je dáárbij kijken of dat primair journalistiek is.

Arnoud

Een technisch vernuftige kwestie bij Reddit:

Ik heb een camera op de 3 parkeerplekken voor mijn huis hangen met een scriptje die checkt of er een parkeerplek leeg is. Deze camera, in tegenstelling van [mijn] deurbel en tuin camera, neemt niet op maar neemt alleen een snapshot van de huidige situatie, maakt hier een base64 string van en stuurt die naar een (gesloten) API. Mijn overburen hebben hier over geklaagd, en normaal gesproken zou ik er geen twee keer over nadenken en de camera weghalen. Maar zij zijn nou net de reden dat ik dit script heb geschreven aangezien zij de hele dag thuis zitten en zodra de plekken voor ons huis vrij komen meteen de buitenste twee innemen met hun beide auto’s, ondanks dat ze gewoon een oprit hebben.

De achterliggende reden voor dit stukje huisvlijt (link met technische details) is dat de betreffende straat in een breder gebied met eenrichtingsverkeer ligt. Kan de vraagsteller niet bij zijn huis parkeren, dan moet hij een fors stuk doorrijden alvorens weer bij een parkeerplek te komen. Weet hij deze situatie tijdig, dan kan hij ergens in de buurt parkeren.

Maakt dat uit? Jazeker, want bij het maken van beelden in de openbare ruimte kom je bij de AVG uit en die vereist een onderbouwd gerechtvaardigd belang. In deze situatie weten hoe je moet rijden vind ik wel een rechtens te respecteren belang (indirect te linken aan recht op privé-leven, dit is gewoon belangrijk voor veel mensen):

Lange straat met eenrichtingsverkeer en parkeerplekken alleen aan onze kant van de straat. Als ik aankom rijden vraag ik aan me voice assistant of er een plek beschikbaar is zodat ik weet dat ik voor de deur kan parkeren of al eerder een plek moet vinden. Het kan in ons dorp bij mooi weer extreem druk worden. Als ik doorrijdt en er is geen plek voor de deur of verder in de straat, moet ik een aardig stukje omrijden om het nog een keer te proberen.

Natuurlijk moet er van de AVG ook een afweging met de belangen van anderen gemaakt worden. Andere mensen komen in beeld als die foto wordt gemaakt, en zij hebben ook recht op privé-leven als ze gewoon op straat lopen of voor mijn part hun schoenveters strikken op die parkeerplaats.

Hoe weeg je dat tegen elkaar af? Het mooie aan deze oplossing vind ik dat die camera niet de hele dag filmt. Alleen als de vraagsteller een signaal stuurt, neemt de camera een foto die naar de telefoon van de vraagsteller gaat. Die kan dan in de auto beslissen hoe verder te rijden.

Het beeld is na overleg met de buren van hoge resolutie teruggebracht tot een simpel 640×480 pixel beeld, wat we nu postzegelformaat noemen en toen ik jong was “wat mijn monitor maximaal aan kan”. Het beeld wordt verder niet opgeslagen. Ik zie dat als zo’n beperkte inbreuk op de privacy van passanten dat ik de belangenafweging in het voordeel uit vind vallen van de vraagsteller.

Het enige punt dat voor mij overblijft is hoe je voor de buurt duidelijk maakt dat de camera niet de hele dag filmt. Het is nu met de overburen besproken, maar er wonen meer mensen in die straat, om van passanten nog maar niet te spreken. (Het is kennelijk een populaire parkeerplek voor dorpsbezoekers.) Ik kom dan uit bij bijvoorbeeld een lampje dat aan gaat als de foto wordt gemaakt, en een bordje “Filmt niet!” goed zichtbaar bij het ding.

Ik zie in de comments nog discussies over de term ‘sensor’, waarbij kennelijk het zo zou zijn dat sensoren wel de weg mogen bevoelen en camera’s een ander verhaal zijn. Dat klopt juridisch niet. Het criterium is of er persoonsgegevens verwerkt worden – mensen herkenbaar zijn, zeg maar. Of je dat nou doet met warmtebeeld, een MRI scan of een ladinggekoppelde component maakt daarbij helemaal niets uit.

Arnoud

Scrapen van informatie op internet is in vrijwel alle gevallen illegaal, stelt de Autoriteit Persoonsgegevens. Dat meldde Tweakers gisteren. De toezichthouder bracht een ‘handreiking‘ uit over ‘scrapen’ van ‘data’ op ‘internet’, en getuige mijn inbox waren velen onaangenaam getroffen door de strekking.

De basis lijkt me niet controversieel: wie profielen op sociale media en andere dergelijke data binnenharkt, zal gewoonlijk persoonsgegevens verwerken en moet zich dan aan de AVG houden. Dat betekent dus dat je die mensen moet melden dat je hun gegevens binnenhaalt en ze gelegenheid moet geven te protesteren en/of correcties dan wel verwijdering te laten uitvoeren.

De insteek van de AP is echter fundamenteler: het is “bijna altijd illegaal”. Daarmee bedoelen ze “rechtmatig” (art. 5(1)(a) AVG), wat ze dan baseren op drie specifieke problemen:

• grondslagen en doelbinding
• bijzondere persoonsgegevens
• strafrechtelijke persoonsgegevens

Allereerst de grondslag. Als dataharker ben je zelf verwerkingsverantwoordelijke, dus je moet zelf een grondslag kiezen en onderbouwen. (Je kunt niet meefietsen op bijvoorbeeld de grondslag van Linkedin en dan redeneren dat jouw hergebruik daar slechts een variant op is.)

Die grondslag zal vrijwel altijd het “eigen gerechtvaardigd belang” (art. 6(1)(f) AVG) zijn van de partij die de gegevens binnenharkt. En dan komen we bij het eigenlijke punt dat de AP wil maken: een “zuiver commercieel belang” mag niet tellen als “belang” in de zin van de AVG. Daar is inderdaad al de nodige herrie over geweest en de zaak ligt nu voor bij het Hof van Justitie.

De AP stelt zich op het standpunt dat iets alleen als “belang” kan tellen als het tot een wet te herleiden is. En “zuiver commercieel handelen” staat nergens in een wet en dus is het geen belang onder de AVG. Ik heb daar enorme moeite mee, gezien het feit dat artikel 16 Handvest de “vrijheid van ondernemerschap” expliciet erkent. Geld willen verdienen is dus een grondrecht en daarmee een rechtens te respecteren belang. Daarnaast is er de vrijheid van informatie (art. 11 Handvest), die ook toeziet op het binnenharken van informatie. En je oogmerk doet er niet toe; informatievrijheid geldt ook voor bedrijven.

Dat wil natuurlijk niet zeggen dat alles mág als je Eurotekens er achter zet. De belangenafweging van de AVG is nadrukkelijk in het voordeel van de betrokkenen geformuleerd. De handreiking gaat hier niet verder op in, maar adviseert mensen om “zorgvuldig” na te denken wat de afweging moet zijn. Wel noemt men een aantal factoren, zoals omvang van de dataset en op welke criteria deze doorzoekbaar is: een statistisch model met algemene uitspraken is iets heel anders dan een kopie van geheel Nederlands Linkedin waar je op persoonsnaam in zoekt.

Dit haakt in op de twee andere factoren: het is goed mogelijk dat je ook bijzondere persoonsgegevens (zoals etnische afkomst, seksuele voorkeur of religie) meeharkt of zelfs de vaak vergeten strafrechtelijke persoonsgegevens. En dat is echt problematisch, omdat je als harker eigenlijk nooit een legitieme reden hebt om dat te doen.

De AP trekt daarbij een harde lijn, die volgens mij de enige juiste is:

Slaat u zowel gewone als bijzondere persoonsgegevens op in één database, dan is het beschermingsregime voor bijzondere persoonsgegevens van toepassing op alle gegevens in deze database. Kunt u niet uitsluiten dat u (ook) bijzondere persoonsgegevens verwerkt? Dan geldt het (zwaardere) beschermingsregime voor bijzondere persoonsgegevens.

Hierbij geldt dat alleen een actieve handeling van de betrokkene zelf als excuus kan gelden. Een voorbeeld: op Linkedin kun je je voornaamwoorden instellen. Daaruit kun je een seksuele gerichtheid afleiden, wat dus problematisch is maar omdat dit een actieve en bewuste keuze is (je hóeft het niet te doen) valt dat buiten het verbod.

De uitspraak dat het “bijna altijd illegaal” is, is dus vooral gebaseerd op het gegeven dat je bijzondere persoonsgegevens verwerkt en dat je daarbij niet kunt zeggen dat men dit alles zelf openbaar gemaakt heeft. De AP merkt in de handreiking zelf al op dat hier redelijkerwijs vraagtekens bij te stellen zijn en dat alleen het Hof van Justitie die kan beantwoorden. Het is dus wel nogal een aanname die hier wordt genomen.

Een meer algemeen bezwaar is de juistheid. Naast dat je mensen moet informeren dat jij hun gegevens binnenhaalt (ja, dat moet jij doen en wel actief, dus met een mail of pb), moet je mensen gelegenheid geven hun gegevens te corrigeren. Je zal net gehackt zijn en een cryptoscam op je Facebook krijgen op de dag dat zo’n hark langskomt: dan zullen toekomstige werkgevers je nog lang associëren met dubieuze cryptoverkoop.

Ik zie de handreiking alles bij elkaar vooral als een signaal: er is nog héél veel cowboygedrag in dataharkland, en dat moet maar eens afgelopen zijn. Als jij je processen op orde hebt, weet welke data je binnenhaalt en waarom, bijzondere gegevens wegfiltert en zorgt voor transparantie (inclusief rechten uitoefenen), dan is er verder weinig aan de hand. Als.

Leuk detail nog: wie een AI bouwt die op basis van dataharken is getraind, moet in zijn conformiteitsverklaring (Annex V AIA) expliciet verklaren volledig AVG compliant te zijn. Een aansprakelijkheidsbeperking is daarbij niet mogelijk, en onder de binnenkort te verwachten AI Liability Directive geldt zelfs een omgekeerde bewijslast. Inkopers van AI kunnen dus sturen op dit logo.

Arnoud