Categorie: Uitingsvrijheid

Een lezer vroeg me:

Op de school van mijn zoon is recent een incident geweest waarbij diens fiets ernstig beschadigd is geraakt. Ik vermoed dat dit is gefilmd met de camera’s van school en wil inzage. De directeur weigert dit met een beroep op de AVG en stelt dat ik aangifte moet doen. De politie weigert dit, omdat het alleen zaakschade is en dus(?) een civiele kwestie die ik met de verzekering moet oplossen. Waar sta ik nu?

Inzage in camerabeelden kan inderdaad onder de AVG, maar vereist wel dat de betrokkene op de camerabeelden te zien is. Alleen dan zijn het immers persoonsgegevens van de betrokkene. Eventuele andere zichtbare personen moeten dan uitgeblurd worden.

Dat gaat natuurlijk mis bij een situatie waarin een ander is gefilmd die een fiets stuk maakte. Dan is de zoon van de vraagsteller niet in beeld, en onder de AVG beelden van een dader van vernieling opvragen gaat eenvoudig niet. De school heeft dus gelijk dat ze de beelden niet zomaar mogen geven.

Een mogelijkheid om de beelden toch te krijgen is een vordering onder artikel 194 Rechtsvordering (voorheen 843a).

Een partij bij een rechtsbetrekking heeft tegenover degene die beschikt over bepaalde gegevens over die rechtsbetrekking, recht op inzage, afschrift of uittreksel van die gegevens als zij daarbij voldoende belang heeft. De partij die om inzage, afschrift of uittreksel van bepaalde gegevens verzoekt, draagt de kosten die voor de verstrekking daarvan moeten worden gemaakt.

Camerabeelden zijn ‘gegevens’ in de zin van dit artikel en je kunt ze dus opeisen als sprake is van een ‘rechtsbetrekking’, zoals een onrechtmatige daad. In november 2024 speelde dit nog met NAW-gegevens, waarbij de rechter duidelijk maakte dat dit breder is dan gegevens van de wederpartij bij die rechtsbetrekking.

Weigeren van zo’n verzoek mag niet, tenzij je een verschoningsrecht hebt of je je kunt beroepen op “gewichtige redenen”. De Memorie van Toelichting noemt daarbij

Van gewichtige redenen kan ook sprake zijn als de bescherming van persoonsgegevens van derden niet kan worden gewaarborgd, bijvoorbeeld doordat deze niet voor het geschil ter zake doende gegevens, niet of niet eenvoudig kunnen worden weggelakt of zwartgemaakt.

Dit moet je dus lezen als: als je de privacy van irrelevante derden niet kunt borgen (bij camerabeelden: deze niet kunt uitblurren) dan heb je een gewichtige reden tegen afgifte. Maar hier gaat het om de privacy van relevante derden, namelijk de dader(s) van de vernieling. Die beschermen is geen ‘gewichtige reden’.

De vraagsteller moet wel de noodzakelijke kosten voor het verstrekken van de verlangde informatie vergoeden, maar je zou zeggen dat dat bij camerabeelden niet veel zal zijn. Wat kost de tijd om terug te kijken wanneer de fiets werd beschadigd?

Een punt hierbij is nog wel waarom je de beelden nodig hebt, in juridische termen wat je ‘belang’ bij de vordering is om een kopie te krijgen. Een schadeclaim bij (de ouders van) de dader is zo’n grond. Voor aangifte is dat niet nodig, de politie zal zelf de beelden vorderen als ze een onderzoek instellen.

Ga je de school aansprakelijk stellen, dan heb je de beelden niet nodig want de identiteit van de leerling (of leraar) doet er niet toe op dat moment. (Het is zeker niet gezegd dat de school aansprakelijk is, dat hangt af van hun zorgplicht en ook van het moment van de schade.)

Arnoud

 

Een lezer vroeg me:

Op een forum waar ik moderator van ben, is het verzoek binnengekomen de berichten van een recent overleden vaste gebruiker allemaal te wissen (het gaat om duizenden berichten). Men stelt dat deze persoon slecht lag met de familie en vele roddels op het forum heeft geplaatst. Een daarvan meldt zelfs erfgenaam van het account te zijn en op die grond het gehele account te mogen opeisen. Hoe zit dat?

Er is geen aparte wet- of regelgeving over het verwijderen van berichten of accounts. Meestal wordt dan de AVG ingeroepen, die kent een recht van verwijdering (artikel 17). Echter, de AVG geldt alleen bij levende personen. Op grond van de AVG een persoonsgegeven (zoals een bericht, naam of account) van een overledene weghalen is dus niet mogelijk.

Ik lees echter dat de berichten iets over familie zeggen. Aangenomen dat dit gaat over nog levende mensen, kunnen die inderdaad op grond van de AVG verwijdering eisen. Jij moet dan als beheerder een afweging maken: hoe ernstig is de uitlating, hoe goed is deze onderbouwd en welke schade of nadeel hebben de personen over wie het gaat? Iemand die in een discussie uitgebreid ingaat op verwaarlozing uit zijn jeugd doet daar weliswaar een negatieve uiting, maar dat lijkt me niet snel smadelijk.

Ik zie dus alleen mogelijkheden op basis van inhoud die redelijkerwijs onrechtmatig is, dergelijke berichten moet je aanpassen of verwijderen. Dit is dan hetzelfde ongeacht of de plaatser overleden is natuurlijk, dus het zijn dan ‘gewoon’ klachten over vermeende smaad, privacyschending en dergelijke. Een geheel account verwijderen kan op die grond niet.

De erfgenaam die het account opeist, heeft goed opgelet op deze blog: het is (soms) mogelijk om toegang te krijgen tot een account van een overledene, als je diens erfgenaam bent. Op grond van wat juridisch ‘saisine’ heet, ben je dan de rechtsopvolger van de (dienst)overeenkomst met het forum op grond waarvan er mag worden gediscussieerd.

Dit levert je alleen geen extra rechten op ten opzichte van wat de overledene destijds mocht. Dus als die niet bevoegd was om zomaar berichten weg te halen (wat vrijwel altijd het geval is bij forums), dan ben je dat als contractsovernemende partij ook niet.

Arnoud

Fitnessapp Strava heeft zijn voorwaarden rondom zijn API aangepast, waardoor apps van derde partijen minder data kunnen tonen en geen data mogen gebruiken voor het trainen van AI-modellen. Dat meldde Tweakers. Volgens DC Rainmaker het einde van de third-party apps rond Strava. Denk aan coachingplatforms, die nu ineens geen Strava-data meer kunnen gebruiken. Dus: mag dat van de AVG of een andere DLA?

De reden dat vele tipgevers (dank) aan de AVG dachten, is omdat in de AVG een specifiek artikel staat over dataportabiliteit (art. 22.1 AVG):

De betrokkene heeft het recht de hem betreffende persoonsgegevens, die hij aan een verwerkingsverantwoordelijke heeft verstrekt, in een gestructureerde, gangbare en machineleesbare vorm te verkrijgen, en hij heeft het recht die gegevens aan een andere verwerkingsverantwoordelijke over te dragen, zonder daarbij te worden gehinderd door de verwerkingsverantwoordelijke aan wie de persoonsgegevens waren verstrekt (…)

Het recht is wat beperkt: het geldt alleen om gegevens die je zelf verstrekt hebt, niet om gegevens die “gededuceerd en afgeleid” zijn. Ook moet de grondslag toestemming dan wel overeenkomst zijn. Beiden gaan goed bij de Strava-dienst.

Je hebt bij Strava de mogelijkheid een zipfile te downloaden, die zou je dan weer kunnen uploaden bij zo’n coachingplatform. Maar dat kon dus volautomatisch en direct via de API, en nu mag dat ineens niet meer. Dat voelt als een vorm van “hinder”.

De Strava API overeenkomst vermeldt inderdaad een forse beperking:

If your Developer Applications log into Strava on behalf of a Strava user, then you are permitted to access and display data or functionality only for that Strava user, and you may not disclose such data to, or use it for, another user nor any other third party.

Een app die data ophaalt bij Strava (ook via de API) mag die vervolgens alleen tonen aan de gebruiker om wie het gaat. Dus niet de coach of andere gebruikers, zoals bij een leaderboard of competitie.

Artikel 22 AVG spreekt dat niet tegen: dat gaat alleen over toegang tot je eigen persoonsgegevens.

De Richtsnoeren van de AVG-toezichthouders hierover merken op dat het hele punt van dataportabiliteit is “the right to receive personal data and to process them, according to the data subject’s wishes”. Als een hardloper dus wél wil dat de coach meekijkt, dan moet dat kunnen – ook als de hardloopdata uit Strava komt via de API.

Strava zou kunnen zeggen dat deze bepaling uit zorg is over vertrouwelijkheid van persoonsgegevens. Maar dat is nadrukkelijk niet nodig, aldus diezelfde Richtsnoeren:

In this respect, the data controller is not responsible for compliance of the receiving data controller with data protection law, considering that it is not the sending data controller that chooses the recipient.

Als het jouw keuze is dat je coach je hardloopprestaties mag zien, dan heeft Strava daar niets meer van te vinden. Ze mogen dan weer wel een adequate authenticatie uitvoeren, om zeker te weten dat dit nog steeds jouw wens is.

De andere grote DLA om voor uit te kijken is de DMA, de Digital Markets Act. Deze sjagrijnige broer van de Digital Services Act is bedoeld om een eerlijke digitale market te creëren, en bevat stevige bepalingen tegen machtsmisbruik dat voortvloeit uit een digitale koppositie, wat de DMA “poortwachterschap” noemt.

Een poortwachter moet bijvoorbeeld haar communicatiedienst interoperabel maken (art. 7), iets waar WhatsApp nu mee worstelt. Appstores van poortwachters moeten te passeren zijn, de reden dat Apple zo boos is dat ze haar AI-speelgoed de EU markt niet op wil brengen (dus niet de AI Act).

Dataportabiliteit algemeen staat er ook in, en dan vanuit het perspectief van de concurrent:

De poortwachter zorgt ervoor dat zakelijke gebruikers en door een zakelijke gebruiker gemachtigde derden op hun verzoek kosteloos effectieve, kwaliteitsvolle en continue realtimetoegang hebben tot en gebruik kunnen maken van geaggregeerde en niet-geaggregeerde gegevens, persoonsgegevens inbegrepen, die door die zakelijke gebruikers en door de eindgebruikers die betrokken zijn bij de door die zakelijke gebruikers geleverde producten of diensten worden verstrekt voor of gegenereerd in het kader van het gebruik van de betrokken kernplatformdiensten of diensten die samen met of ter ondersteuning van de betrokken kernplatformdiensten worden aangeboden.

Met die bepaling is Strava’s API bepaling triviaal ongeldig. Alleen: daarvoor moet Strava een poortwachter zijn, en daar kom je pas aan als je

1. een aanzienlijke impact hebt op de interne markt;
2. een kernplatformdienst aanbiedt die voor zakelijke gebruikers een belangrijke toegangspoort tot eindgebruikers vormt, en
3. met betrekking tot haar activiteiten een stevig verankerde en duurzame positie inneemt of naar verwachting in de nabije toekomst een dergelijke positie zal innemen.

De DMA vermeldt enkele getallen die een vermoeden opleveren dat hiervan sprake is (jaaromzet van ten minste 7,5 miljard EUR, actief in drie lidstaten, minstens 45 miljoen maandelijks actieve eindgebruikers, zo nog wat en dat drie jaar lang). Maar daar komt Strava niet aan.

Terug naar de AVG dus. Hier lijkt er ruimte zijn voor handhaving, maar mijn vermoeden is dat er weinig prioriteit voor zal zijn bij de toezichthouders. Immers, de belangen van betrokkenen worden niet direct geraakt, Strava is eerder té beschermend dan te weinig.

Er is echter hoop: in de zaak Linden Apotheker heeft het Hof van Justitie bepaald dat ook concurrenten een verwerkingsverantwoordelijke mogen aanklagen wegens een AVG-schending. Dus niet alleen betrokkenen of hun massaclaimorganisaties. Een coachingplatform dat zich nu geblokkeerd ziet, mag Strava in Europa dus juridisch aanpakken onder de AVG.

Arnoud