Duitse website veroordeeld voor doorgeven ip-adres bezoeker via Google Fonts

Geplaatst op in Ondernemingsvrijheid, Privacy, 43 reacties

Een Duitse rechtbank heeft een Duitse website veroordeeld voor het zonder toestemming doorgeven van het ip-adres van een bezoeker aan Google door middel van Google Fonts. Dat meldde Security.nl afgelopen maandag. De klagende bezoeker krijgt 100 euro schadevergoeding. Volgens de rechter heeft de website geen gerechtvaardigd belang, aangezien Google Fonts ook lokaal is te gebruiken waarbij er geen ip-adres van bezoekers naar Google wordt gestuurd. Exit Google Fonts?

De dienst Google Fonts is bedoeld om website-eigenaren makkelijker mooie lettertypes te kunnen laten serveren. Natuurlijk kan iedereen eigen fonts op de eigen site zetten, maar dan blijf je downloaden. Google zet ze centraal neer (fonts.googlea.com), en dan onthoudt je browser welke fonts al gedownload. Dat scheelt, en als er updates zijn (een ontbrekend karakter, een nieuwe emoji, noem maar op) kan dat op één plek doorgevoerd.

Nadeel: je browser maakt dan verbinding met een site van Google, waardoor die je IP-adres te pakken krijgt. En -als ik even snel in mijn eigen cookiejar kijk- ook analyticscookies en andere gezellige trackers, die ongetwijfeld gecombineerd zijn met mijn Google-profiel en ander online gedrag. Dit ter verbetering van de gebruikerservaring, veronderstel ik.

Dit is dus een probleem, om dezelfde reden als waarom Google Analytics een probleem is. Als website forceer je zo dat mensen hun persoonsgegevens (IP-adres en/of cookie) naar Amerika gaan. En hier is er ook een eenvoudig alternatief, aldus de rechtbank: je mag die fonts gewoon lokaal hosten. Je hebt dan wel een beetje overhead en extra downloads, maar toen ik dat schreef twee alinea’s terug zat ik ondertussen te Netflixen met Spotify aan én een AI model te renderen dus ik twijfelde al of ik dat nog wel een serieus argument vind in 2022.

De rechtbank bevestigt nog eens dat een IP-adres een persoonsgegeven is, ook als het “maar” dynamisch is. Gecombineeerd met datum en tijd is het gewoon het adres van een persoon – de netsurfer – en zeker voor Google, die het zo kan koppelen aan nog veel meer gegevens. En dat alles dus zonder toestemming en zonder goede reden (gerechtvaardigd belang).

In de comments bij Security.nl wordt gewezen op moderne beveiligingsmaatregelen in Firefox, waarmee je sowieso al niet meer profiteert van centrale opslag: fonts worden opnieuw opgehaald vanaf de Google-site bij iedere nieuwe site, zodat er niet één centraal overzicht komt voor de beheerder van de Google Fonts site. Wat dus specifiek bij Google niet werkt, maar bij andere meegluurders wel.

De 100 euro is een interessante opsteker voor de vele AVG-schadeclaimverzoekers. Heel hard wordt het niet onderbouwd:

The amount of the claimed damages is appropriate in view of the seriousness and duration of the infringement and is not challenged by the defendant.
Oftewel, “mja dat klinkt niet onredelijk en ik hoor ook geen serieus bezwaar van de website-eigenaar”.

Arnoud

Ik zou maar vast een alternatief voor Google Analytics gaan zoeken als ik jou was

Geplaatst op in Ondernemingsvrijheid, Privacy, 28 reacties

De Norwegian Data Protection Authority stelt op basis van nog lopend onderzoek dat Google Analytics mogelijk illegaal is, aldus Tweakers afgelopen vrijdag. Wij moeten het doen met een omineus zinnetje in een handleiding over Google Analytics, terwijl ze in Oostenrijk al een formeel besluit hebben liggen. Maar de teneur is duidelijk: ik zou gaan stoppen met Google Analytics en naar een alternatief overstappen, tenminste als je AVG compliant wilt blijven.

Het lijkt erop dat alle Europese privacytoezichthouders samen bezig zijn met onderzoeken naar Google Analytics. Of er dan onderlinge strijd is en het “tegen”-kamp alvast besluiten neemt, of dat Oostenrijk gewoon eigenwijs was, dat weet ik niet, maar we zien duidelijk de bui hangen. Google Analytics is een probleem onder de AVG, omdat je door die dienst in te zetten persoonsgegevens naar Amerika overbrengt. En dat mag niet.

Mocht je andere analytics-tools inzetten, dan zou ik die ook maar héél goed onder de loep nemen. De Noorse waakhond richt namelijk niet alleen zijn pijlen op Analytics:

Het is belangrijk om op te merken dat andere websitetools mogelijk ook persoonlijke informatie naar de VS sturen. Er zijn meer tools die veel meer data verzenden dan Google Analytics. Daarom is het belangrijk dat website-eigenaren een volledig overzicht hebben van welke tools ze gebruiken en welke persoonlijke informatie ze verwerken via de tools.
Het belangrijkste punt is natuurlijk, ongeacht de tool: komt er handhaving? Want we weten eigenlijk -als we eerlijk zijn- al vele jaren dat dit een probleem is. Niet zozeer dat Google Analytics zó veel gegevens verzamelt, of dat het zo indringend profileert, maar dat we dan allerlei gegevens aan het grote Google geven die daarmee doet wat niemand weet. Alleen is deze tool ondertussen ook weer zo handig voor webmasters, dat “oh dan stop ik er wel mee” geen reële reactie is voor velen.

Tot nu toe lijkt handhaving vooral een kwestie van grote belangen en dus langdurige procedures te zijn geweest. GA is een tool die bij organisaties groot en klein gebruikt wordt, dus dan lijkt me dat geen wenselijke route. Een verbod en pas drie jaar later de eerste boete-aanzegging, dat kan niet bij iets dat zó breed gezien wordt als gewoon de tool om te hebben.

Ik ben dan wellicht te techno-optimistisch, maar denk dan: scrape heel Nederland, en stuur iedereen met een Google Analytics-tag in de broncode een voornemen tot beboeten met de kans om binnen 30 dagen te reageren waarom GA wél legaal is ingericht. (Ik zou niet weten hoe, maar wettelijk moet je dat vragen.)

Die boete hou je dan op 5000 euro, met wel een stevige dwangsom als het ding blijft draaien. Dat is ook voor grote bedrijven de moeite niet om te gaan procederen, maar berekenend “we betalen de boete en gaan door” reageren ook geen optie. Want zo werkt dat niet in rechtsstaten: een boete is geen afkoopsom.

Afijn, een mens kan dromen, nietwaar?

Arnoud

Mag je persoonsgegevens gebruiken om een AI mee te trainen?

Geplaatst op in Ondernemingsvrijheid, 17 reacties
ahmedgad / Pixabay

Een lezer vroeg me:

Wij willen in onze organisatie gaan experimenteren met AI oftewel machine learning voor tekstanalyse. Onze bronbestanden bevatten persoonsgegevens (denk aan ingevulde aanvraagformulieren en onze beoordeling daarvan). Mogen we die meenemen in het bouwen van ons systeem?
Het gebruik van persoonsgegevens is natuurlijk gereguleerd onder de AVG. In principe is het niet de bedoeling dat je persoonsgegevens voor andere doeleinden gebruikt, zie mijn blog over testen met persoonsgegevens* als voorbeeld.

Er is echter een specifieke route bij het gebruik van data voor trainen van AI. AI oftewel machine learning is immers “alleen maar” statistiek, je zoekt naar patronen met wiskundige algoritmes, bijvoorbeeld lijnen die een heleboel metingen in twee groepen (ja/nee, gevaarlijk/normaal, etc) verdeelt of een formule waarmee je een nieuwe meting kunt plaatsen. In AVG terminologie noemen we dit een verwerking voor statistische doeleinden.

Vanwege artikel 5 lid 1 sub a AVG is dat dan in principe verenigbaar met het oorspronkelijke doel, wat dat doel ook was. Je mag statistisch onderzoek doen op je rechtmatig verkregen persoonsgegevens, daar is geen aparte toestemming voor nodig. De voornaamste eis is dat wat daaruit komt, niet rechtstreeks terug wordt toegepast op de betrokken personen, en al helemaal niet als een geautomatiseerde besluitvorming (artikel 22 AVG).

Dat is bij een AI model totaal niet aan de orde. Sterker nog, persoonsgegevens zijn gewoonlijk niet meer dan ruis – die paar keer dat er “Jansen” in een veld staat, heeft geen enkel effect. De vele duizenden bedragen waartussen geïnterpoleerd kan worden, of de velden met geslacht, werkzame status et cetera zijn veel belangrijker. Het statistisch model (“de AI”) dat eruit komt, zal dus niet of nauwelijks beïnvloed zijn door die namen of adressen in het bronbestand.

Het risico dat ik wel zie, is dat je een bron-dataset hebt waarin al die Jansens met naam en toenaam staan. Dat bestand zal dus goed moeten worden bewaakt, want daarin zitten dus leesbare persoonsgegevens en die zouden kunnen lekken of voor niet-statistische doelen worden ingezet. Tegelijk zul je dit bestand wel steeds nodig hebben bij iedere update, dus dit direct weggooien is ook weer geen optie.

Arnoud * sed s/Wbp/AVG/g

Mag mijn private leasebedrijf bijhouden waar mijn auto is?

Geplaatst op in Ondernemingsvrijheid, Privacy, 28 reacties

Een lezer vroeg me:

Het (private) leasebedrijf waar ik mijn auto heb geleased registreert alle ritgegevens via de ingebouwde GPS. Dus starttijd en eindtijd, maar ook de bijbehorende locaties. Men bewaart dit (zo kan ik zien in het account) gedurende de hele looptijd van het contract. Mag dat wel van de AVG?
Het verzamelen en bewaren van zulke gegevens valt natuurlijk onder de AVG. Die stelt als belangrijke eis onder meer dat je aan dataminimalisatie moet doen: niet meer bewaren dan nodig voor het beoogde doel. Daarbij is ‘nodig’ echt een dringende noodzaak, geen “wellicht was dit handig” of “misschien komt het eens van pas”.

Het doel is volgens het leasebedrijf het verzorgen van facturatie en het kunnen opsporen van de auto bij bijvoorbeeld diefstal. Dat lijken me allebei op zich legitieme doelen. De vraag is dan dus: is het echt noodzakelijk dat je die gegevens bewaart voor deze doelen?

Ik kan me voorstellen dat je voor een factuur het gereden aantal kilometers nodig hebt van de afgelopen periode, en dat je bij een melding van diefstal wilt weten waar de auto het laatst zichtbaar was. Maar dan hoef je niet gedurende vele jaren al die gegevens te bewaren.

Ik zou zeggen dat je prima na elke rit datum, misschien tijdstip en aantal kilometers kunt registreren, of na elke dag het dan gereden totaal, zodat je aan het eind van de maand een gespecificeerde rekening kunt opstellen. En voor antidiefstal lijkt me de laatste locatie genoeg, dus oude locaties kunnen weg zodra er een nieuwe is geregistreerd.

Ik vermoed dat dit bedrijf zo werkt omdat ze begonnen zijn met zakelijke lease. Een werkgever heeft eerder belang bij weten van start- en eindlocatie per rit, en natuurlijk datum en tijd. Al is het maar om te bepalen of er wel zakelijk werd gereden. En vanwege fiscale regels is het voor zo’n werkgever wellicht eerder nodig om daar meerdere jaren terug te gaan met brongegevens.

Dus daar bouwt zo’n bedrijf dan een systeem voor, daarna besluit men naar private lease te gaan en krijgt de consumentklant hetzelfde systeem. Heel logisch, alleen mag dat dus niet zomaar van de AVG. Als je software voor een nieuwe doelgroep inzet, zul je opnieuw moeten ijken wat je dán nodig hebt.

Arnoud

Grote gemeenten willen auto’s automatisch afremmen met ahem-intelligente software

Geplaatst op in Informatiemaatschappij, 10 reacties

Als het aan Amsterdam, Rotterdam, Den Haag en Utrecht ligt, mag er in die steden straks overal nog maximaal 30 kilometer per uur gereden worden. Dat meldde de NOS onlangs. Men wil hiervoor de in nieuwe modellen al vaak aanwezige Intelligente Snelheid Assistent inzetten, die vanaf 2024 wettelijk verplicht wordt voor nieuwe auto’s. Het idee: waar mensen vaak harder rijden dan wenselijk, krijgt de auto dan een effe-dimmen seintje en ga je naar de dertig.

De ISA werkt ongeveer zoals je zou verwachten gezien de naam:

De ISA gedraagt ??zich in feite zoals de adaptieve cruisecontrol dat nu al doet. Als het systeem een ??snelheidslimiet detecteert via een bord of ander verkeersbord, wordt de bestuurder hiervan akoestisch (bijvoorbeeld door een geluidssignaal en een knipperend symbool in het instrumentenpaneel) of haptisch (de tegendruk van het gaspedaal neemt toe) op geattendeerd. De EU-commissie staat echter ook toe dat het motorvermogen wordt verminderd of dat er voorzichtig wordt geremd. Maar dit zijn functies die elke bestuurder die met moderne assistentiesystemen rijdt al langer kent.
Het plaatje hierboven laat zien hoe dat er ongeveer uitziet: je krijgt de geldende verkeersborden te zien, en de boordcomputer kan dan het indrukken van het gaspedaal moeilijker maken, zodat je doorhebt dat je boven de geldende maximumsnelheid zit. Actief remmen kan ook, of de aandrijving hoe dan ook verminderen zodat je langzamer gaat rijden.

Dat kan gevaarlijk zijn, en de Verordening haast zich dan ook te bevestigen dat de menselijke bestuurder altijd in control moet blijven:

het systeem mag de bestuurder niet de mogelijkheid ontnemen de door het systeem aangegeven voertuigsnelheid te overschrijden;
Dat staat haaks op wat de burgemeesters kennelijk van plan zijn:

ISA werkt ook op basis van GPS. Gemeenten kunnen dan zelf virtuele zones instellen. “Een soort magisch schild”, noemt Sander Buning het, manager mobiliteit bij BAM. “Op sommige drukke verkeerskruispunten, waar bijvoorbeeld trams, fietsers en auto’s samenkomen zijn drempels of verkeerslichten geen optie”, legt hij uit. “Op dat soort plaatsen heb je deze nieuwe techniek echt nodig om de snelheid omlaag te brengen.”

Maar gelukkig blijkt even verderop dat de gemeenten ook wel door hebben dat het gaat om adviezen, niet om remmen door robots. Desondanks: als een grote groep mensen die adviezen volgt – en waarom zou je ook niet, als dat veiliger is – dan zal dat de verkeersveiligheid ten goede komen.

Het onderliggende probleem is trouwens dat je een weg niet zomaar als 30km weg kunt aanmerken. De weg moet daar op ingericht worden, bijvoorbeeld met versmallingen of rotondes. Dat wil je niet altijd, want je vertraagt dan ook brandweer of ambulance. De weg dus breed houden maar de gewone automobilist afremmen (tenzij daar goede reden tegen is) is dan de ‘slimme’ oplossing.

Arnoud

Dit is dus niét hoe je reageert als mensen je als gratis leverancier zien met je open source

Geplaatst op in Ondernemingsvrijheid, Security, 44 reacties

Gisteren blogde ik over een OSS developer die de vraag van een gebruiker kreeg “graag binnen 24 uur hoe uw bedrijf is ingericht op het afdekken van risico’s rondom de enorme log4j bug”. Dat is een typische grootzakelijke manier van doen, die verder met de realiteit niets te maken heeft. Kan gebeuren, je stuurt een “haha no sla okthxbye” mailtje of en klaar. In de comments werd ik getipt over ene meneer Marak die anders reageerde: hij saboteerde zijn eigen code, waar vele vele mensen en projecten door gedupeerd werden.

Marak is ontwikkelaar van een uitbreiding op het bekende node.js framework voor Javascript. Zijn module colors zorgt voor mooie stijling van de beheersomgeving. Verder weinig opmerkelijk, alleen bleek dat recent een toevoeging te hebben gekregen die zorgt voor een oneindige lus, waardoor je hele systeem niet meer werkte als je deze module automatisch liet updaten. Wat iedereen en z’n moeder doet, dus dat gaf de nodige ergernis.

Een foutje? Nee, zeker weten niet. Allereerst niet omdat het een losse nieuwe regel was, met ook nog eens “for i = 666; i < infinity” er in, en dat getal heeft natuurlijk een negatieve betekenis. En ten tweede omdat Marak eerder al boos was dat bedrijven zijn code gebruiken zonder hem financieel te steunen. Wat zijn goed recht is, daar niet van, maar dan volautomatisch je code saboteren, dat kun je niet maken.

Of was het dom van al die mensen, hadden ze maar de code moeten controleren en niet automatisch updaten? Dat vind ik te makkelijk. Natuurlijk hoor je niet zomaar willekeurige code van internet te halen en in productie te nemen, maar dit is een project dat al enige tijd bestaat, goed aangeschreven staat en daarom vertrouwd wordt. Dan wek je bepaalde verwachtingen – en dat gaat boven je opensourcelicentie waarin “als het breekt, mag je de stukjes houden” staat als beperking van aansprakelijkheid.

(Voor de juristen: dit lijkt mij zo’n geval  van opzet of grove nalatigheid waarbij je beperking van aansprakelijkheid niet geldt.)

Regelmatig zie ik dan de opvatting “het is mijn code, ik doe wat ik wil en ik heb geen contract met die mensen dus ik ben niets verplicht”. Dat is dus te kort door de bocht. Door op een bepaalde manier te handelen, schep je verwachtingen. Als jij die verwachtingen regelmatig waar maakt, ontstaat een patroon waar mensen op mogen vertrouwen. Dat kun je niet eenzijdig doorbreken, zeker niet op zo’n lompe en schadebrengende manier. Dat noemen we in Nederland gewoon onrechtmatig, dat kun je niet maken.

Arnoud

 

Als je open source als gratis leverancier ziet, dan krijg je dus dit

Geplaatst op in Intellectuele rechten, 25 reacties

Enige ophef op Twitter: OSS-developer Daniel Stenberg kreeg een nogal bars klinkende mail van een gebruiker, die hem als “Maxx Team Partner” aanschreef en graag binnen 24 uur wilde horen hoe zijn bedrijf was ingericht op het afdekken van risico’s rondom de enorme log4j bug van onlangs. “What is the timeline for completing remediation? List the steps, including dates for each.” Eh. Als ik daar leverancier was, zou ik dit niet heel lief vinden. Maar als je enkel iets op internet had gezet?

Het enige logische antwoord is wat Stenberg ook gaf: “I’d be happy to answer all the questions as soon as we have a support contract.” De algemene tip die ik al eerder aanried: OSS drijft op de gedachte van communities. Iedereen helpt elkaar, en daar kan iedereen dus terecht. Maar bedrijven werken met contracten, om zekerheid (althans, de illusie van) te realiseren en om leveranciers bij de nekharen te kunnen grijpen als blijkt dat er iets misging. A throat to choke, extern de schuld neerleggen zeg maar.

Open source licenties zijn natuurlijk contracten, dus als je als bedrijf software van Stenberg installeert (hij maakte onder meer cURL) dan heb je een leveranciersrelatie. Zou je kunnen zeggen als rechtlijnige inkoper. Maar er is dan in het geheel geen sprake van zelfs maar enige inspanningsplicht bij Stenberg, hier is de software en als ‘ie breekt, mag je de stukjes houden. Of zelf aanpassen, zie maar. Dat is de gedachte achter open source: je kunt er zelf mee aan de slag, veel plezier verder.

Ondertussen zijn we denk ik op het punt dat dit geen groot risico meer zou moeten zijn. Veel bedrijven stoppen hun interne pipeline en producten dan ook vol met open source, en ontdekken pas de problemen als er dingen zoals log4j zich voordoen: een kwetsbaarheid in een breed gebruikt stuk software, dat eigenlijk nauwelijks onderhouden wordt omdat die ene aardige man uit Nebraska er niet zo’n zin meer in heeft.

Helaas verbaast het me toch niet dat je zo’n reactie krijgt van een bedrijf dat al jaren gratis die software gebruikt. Het is natuurlijk juridisch complete onzin, je hebt niets te eisen als je geen afspraak over dat onderwerp hebt gemaakt. En zeker waar het gaat om gratis aangeboden software waarbij nadrukkelijk geen enkele verwachting werd gewekt, is dit ook nog eens moreel niet zo netjes. Maar ik snap het wel, dat is nu eenmaal de reflex waar je mee komt als je software van derden gebruikt die lek blijkt te zijn.

Toch zou het goed zijn als organisaties wat vaker op zoek gaan naar mogelijkheden om OSS projecten te sponsoren. Niet perse als dure SLA, maar betalen voor een stuk ontwikkeling voor de toekomst of een preventieve securityscan, het zou geen gek idee zijn. Natuurlijk, daar profiteert de concurrent dan weer van, maar we hebben het hier over software die per definitie geen competitief voordeel geeft, dus of dat nou de ergste reden moet zijn?

Arnoud

Makers van cheatsoftware voor PUBG Mobile moeten 10 miljoen dollar betalen

Geplaatst op in Ondernemingsvrijheid, 2 reacties

Krafton en Tencent, respectievelijk de ontwikkelaar en uitgever van PUBG Mobile, hebben een rechtszaak gewonnen tegen een hackgroep. Dat las ik bij Nu.nl vorige week. Rechtbanken in de Verenigde Staten en in Duitsland hebben de groepsleden veroordeelt tot zo’n 10 miljoen dollar (8,8 miljoen euro) aan schadevergoeding. Het is de eerste keer bij mij weten dat zo’n groot bedrag wordt toegewezen; het laat maar zien hoe belangrijk cheats bestrijden is tegenwoordig.

Zoals ik vorig jaar april schreef, cheaten of valsspelen kan zeer lucratief zijn, denk aan de vele toernooien waar je geld verdient door goed te spelen. Of alleen maar het makkelijker kunnen veroveren (en daarna verhandelen) van zeldzame spullen of het uplevelen van een personage dat je daarna overdraagt aan een luie medespeler. De grote game-aanbieders hebben er dan ook al jaren lang een dagtaak aan om valsspelers buiten de deur te houden.

Deel van die dagtaak wordt ingevuld door advocaten, en niet ten onrechte want dit is bij uitstek een civiele kwestie. Het stoort me juist dat er vaak politie of OM bijgehaald wordt, zoals dus vorig jaar april waar de Chinese autoriteiten ingrepen. Cheaten is overtreden van zelfverzonnen spelregels, dat moet je dus zelf oplossen.

Complicatie is dan natuurlijk dat je spelregels alleen kunt handhaven tegen mensen die je spel komen spelen. Wie zomaar het veld oprent en de bal in het doel gooit, is geen voetballer die hands maakt, maar ook weer geen erfvredebreukpleger waar je de politie voor belt. Daar kent het recht de onrechtmatige daad voor, in het Engels de tort. Op die grond kun je schadevergoeding eisen, mits je kunt vaststellen dat de schade door die persoon is veroorzaakt.

Helaas is het vonnis noch in de VS noch in Duitsland zo te lezen al openbaar. Dat is jammer, want ik ben wel heel benieuwd wat de grond voor de claim precies is. Stiekem toch auteursrechtinbreuk, het namaken/aanpassen van de software om zo de cheat te kunnen laten werken? Of gewoon de open norm van onrechtmatig handelen waarmee je een ander schade aandoet? Ik zie in dat laatste meer mogelijkheden namelijk.

Of men ook werkelijk de tien miljoen krijgt, is voor mij een vraag: welke hackgroep heeft dat bedrag op de plank liggen voor een eisende partij? Maar men heeft al wel toegezegd dit in te zetten voor de versterking van de anti-cheatmaatregelen die er al zijn. Een sympathiek gebaar, veel spelers juichen het juist toe als cheaters uit het spel geweerd worden.

Arnoud

Banken mogen onbewerkte ID zien, maar alleen gewatermerkt (en zonder bsn/foto) bewaren

Geplaatst op in Ondernemingsvrijheid, 21 reacties

Voor het (opnieuw) identificeren en verifiëren van de identiteit van de consument mag de bank een foto of scan van een onbewerkt ID-bewijs opvragen. Dat bepaalde geschillencommissie Kifid onlangs. Echter, voor het vastleggen en bewaren van een kopie van dit ID-bewijs moet de bank de pasfoto afschermen en een watermerk aanbrengen om misbruik te voorkomen. Deze uitspraak zet een mooie streep in het zand, die hopelijk ook werkelijk gaat leiden tot herziene procedures. (Ik ben altijd wat cynisch over bureaucratische procesvernieuwing.)

Even voor de duidelijkheid: het Kifid is een geschillencommissie, waar alle banken wettelijk verplicht bij aangesloten zijn. De uitspraken van het Kifid moeten zij dus opvolgen. En dat zou goed nieuws zijn – deze uitspraak is zo logisch dat ik ‘m als modelantwoord zou gebruiken bij onze opleiding tot privacyjurist.

De kern: wie bij een bank zit, moet met enige regelmaat een kopie ID overleggen. Zeker nu moet dat vrijwel altijd digitaal, en soms zelfs via de e-mail. Daar krijg ik veel vragen over, maar in de kern moet dit want in verband met anti-witwaswetgeving (de Wet ter voorkoming van witwassen en financieren van terrorisme, Wwft) is identiteitscontrole van je klanten verplicht.

Daar zit meteen ook het punt, want het gaat om verifiëren van iemands identiteit (artikel 3 Wwft). De ouderwetse methode is dan dat iemand naar de balie komt (haha, een balie van een bank, stel je voor, in een toegankelijk gebouw zeker) en daar zhaar identiteitsbewijs laat zien. De medewerker kijkt daarnaar, controleert de echtheidskenmerken en vergelijkt de foto. Als alles in orde is, zet de medewerker een vinkje bij “verificatie in orde” en we zijn er.

Dit verklaart waarom een bank een onbewerkte (dus niets afgeschermd en geen watermerken) kopie van een identiteitsbewijs mag eisen. Echtheidskenmerken kunnen zijn afgeschermd of verminkt door zo’n bewerkte kopie. En omdat het wettelijk verplicht is te toetsen aan die kenmerken, moet de bank dus een originele, volledige kopie van het identiteitsbewijs hebben.

Er is echter nog een plicht, namelijk het bewaren van zekere bewijsstukken van die verificatie. Dit is geregeld in artikel 33 Wwft, en de bank beroept zich daarop om die kopie identiteitsbewijs te mogen bewaren. Dat is verdedigbaar, want de wet noemt een “afschrift” van je identiteitsbewijs als iets dat moet worden bewaard. Alleen: pasfoto en echtheidskenmerken zijn nu niet meer relevant, want de check is al gedaan. Dit moet de bank dus afschermen bij het opslaan van de kopie.

En het Kifid gaat nog een stapje verder: de bank moet actief de kopie voorzien van een watermerk of iets dergelijks, zodat bij een datalek de kopie niet zomaar gebruikt kan worden. Doet zij dat niet (de ABN Amro had hier gesteld dat dit onmogelijk was) dan mag ze de kopie niet bewaren, want dat is te onveilig voor de consument.

De discussie over het bsn is ook nog het vermelden waard. Het bsn staat op het identiteitsbewijs, maar de Wwft schrijft niet voor dat de bank dit moet gebruiken bij die identiteitscontrole. (Zorgverleners en zorgverzekeraars bijvoorbeeld wel.) En als het niet moet, dan mag het niet.

Althans, niet in het kader van de Wwft-verificatie. De bank is wél verplicht het bsn te gebruiken in de communicatie met de Belastingdienst (Algemene wet inzake rijksbelastingen) en de DNB (het depositogarantiestelsel). Op die wettelijke grond moet de bank dus het bsn opvragen, en dat mag best tijdens dat verificatieproces gebeuren. Daarom hoeft de bank het bsn niet af te schermen, mits ze maar wel de consument uitlegt waarom ze dat niet doet.

Dit stukje snap ik niet helemaal, want je kunt prima na de verificatie – dit is het bsn van Wim – het bsn apart opslaan en het daarna op de kopie onleesbaar maken. Die Awr en DNB-regels eisen namelijk niet dat je een kopie identiteitsbewijs moet kunnen tonen om aan te tonen dat je het juiste bsn had. En het is wel een serieus risico als een bsn uitlekt. Maar goed.

Samenvattend: De consument mag niet schrijven op de foto of scan die zij aanlevert ter identificatie. Zij mag wel van de bank eisen dat de kopie die zij vastlegt en bewaart bewerkt wordt. En de bank weet nu dat die bewerkte kopie voldoet aan de Wwft.

Arnoud

 

 

 

 

Is een Synology Cloudstation juridisch gezien een backup? #zorgplichtdeelzoveel

Geplaatst op in Ondernemingsvrijheid, 13 reacties

Als je klant je vraagt een backupoplossing te installeren, en jij schuift een Synology Cloudstation naar binnen, heb je dan aan je zorgplicht voldaan? De rechtbank Noord-Holland oordeelde recent van wel in een zaak tussen een tandartspraktijk en een ICT support dienstverlener. Na dat configureren van de Cloudstation bleek er iets niet goed te zijn gegaan, en kon de tandarts zijn agenda niet terugvinden in de backup, pardon op de NAS, of nou ja daar ging het dus om. Waar sta je dan als ICT dienstverlener die beloofd had een backupsysteem te leveren?

De discussie wordt onder techneuten vaak gevoerd: is een network attached storage oftewel een netwerkschijf een backup? Natuurlijk, je kunt er een kopie neerzetten van belangrijke bestanden. Dan kun je er overal bij, ook als je lokale apparaten stuk zijn of geïnfecteerd door ransomware, of iets dergelijks. Maar dit is ook de zwakte: zulke ransomware kan gewoon de netwerkschijf benaderen en alle data daar infecteren. Verder ontbreekt versiebeheer: je hebt een kopie van je laatste bestand, maar niet van de vorige drie versies. Backupoplossingen doen dat wel. En zo kun je nog wel even doorgaan.

Ik kan me desondanks goed voorstellen dat bij een klein bedrijf zoals een tandartsenpraktijk een NAS wordt gezien als een redelijke backupoplossing. Vaak heb je daar bestanden die je eenmalig maakt (zoals facturen of röntgenfoto’s) en die je daarna nooit meer aanpast. Tegen “gewoon” uitval van de eigen harddisk is de kopie op de NAS dan een kosteneffectieve oplossing.

De kern van het probleem in deze zaak zat hem in een overstap van het ene tandartsenpraktijksysteem (Evolution) naar het andere (Exquise). Die nieuwe software viel niet onder het contract van de ICT dienstverlener, en dat was dus vervelend toen bleek dat er een berg afspraken uit de agenda weg waren:

Bij e-mail van 3 maart 2020 schrijft Microminder Nederland, de huidige IT-beheerder van [eiser] (hierna: Microminder), aan [eiser]: ‘(…) In oktober 2019 is Microminder benaderd (…) voor hulp omdat de praktijksoftware / database was gecrasht. Wij hebben dit proberen te herstellen door de NAS te onderzoeken, er zou hierop een back-up aanwezig moeten zijn. De bestanden die op de NAS aanwezig waren klopte niet met de laatste werkende versie, dit komt hoogstwaarschijnlijk omdat er een sync programma is gebruikt i.p.v. een back-up programma met de juiste retentie, op een of andere manier is dit niet goed gegaan, wij hebbend dit niet kunnen achterhalen.
“Sync” wil dus zeggen dat wat er lokaal gebeurt, ook op de NAS wordt uitgevoerd. Wis je dus lokaal iets, dan wordt dat op de NAS ook gewist. Dat is een reden om dit geen backup te noemen: die wil je ook hebben om bij een abusievelijke verwijdering wat achter de hand te hebben. Maar wat speelde hier, aldus de rechtbank die de ICT beheerder parafraseert:
Synology zorgde ervoor dat de bestanden in de Cloudstation-map altijd werden gesynchroniseerd. Evolution, waar het [eiser] om ging, stond gekoppeld aan Synology, zodat van die gegevens automatisch een back-up werd gemaakt. Op die manier werd er volgens [gedaagde 1] c.s. geborgd dat er altijd een actuele kopie was van Evolution op een andere computer, zodat een virusaanval geen of beperkte gevolgen zou hebben voor de bedrijfsvoering van [eiser]. Als [eiser] andere bestanden dan uit Evolution aan de back-up koppeling wilde toevoegen, moest zij dat handmatig op de D-schijf in de Cloudstation-map zetten. Het systeem is getest en succesvol opgeleverd, aldus [gedaagde 1] c.s.
Tussen de regels door lees ik dat het probleem dus was dat de database-bestanden van het nieuwe systeem (Exquise) niet aan de synchronisatie-lijst van de Cloudstation waren toegevoegd. Dan worden die inderdaad niet meegenomen, tenzij je dat apart configureert. En dat hoefde deze dienstverlener niet te doen, omdat de adoptie van het nieuwe systeem door een ander verricht zou worden. Buiten scope, dus geen aansprakelijkheid.

Zou je zeggen. Want je zorgplicht als dienstverlener kan ver gaan:

De rechtbank is wel van oordeel dat het tot de zorgplicht van [gedaagde 1] c.s. als IT-dienstverlener behoorde dat zij, op het moment dat [gedaagde 1] c.s. ervan op de hoogte raakte dat [eiser] overstapte naar Exquise, [eiser] en/of Vertimart erop attendeerde dat daarvoor geen back-up koppeling bestond.
Dus als je klant iets doet dat buiten jouw contract valt, en jij ontdekt dat (dus niet “had moeten weten” maar “wíst”) dan zul je even moeten zeggen “ho ho, let op dat je de goede koppelingen maakt”. Wat hier ook was gebeurd:
Volgens [gedaagde 1] c.s. heeft zij Vertimart op 8 mei 2018 (de dag dat zij Exquise installeerde bij [eiser]) (a) geïnformeerd over de back-up koppeling van Evolution die op de D-schijf in de Cloudstation draaide, (b) laten zien hoe de Cloudstation werkt en (c) hoe Evolution daarop geïnstalleerd was. Vertimart gaf daarop aan ‘alles helemaal in orde te maken’, aldus [gedaagde 1] c.s. [eiser] heeft die stellingen onvoldoende gemotiveerd weersproken, zodat de rechtbank uitgaat van de juistheid daarvan.
Daarmee heeft de oude dienstverlener keurig gedaan wat van hem verwacht mocht worden. Waarom dan precies het database-bestand niet meegenomen is, vertelt het vonnis verder niet.

Arnoud