Telecomprovider Voys hoeft geen boete te betalen wegens weigering datadelen CIOT

Geplaatst op in Privacy, Regulering, 7 reacties

Telecombedrijf Voys hoeft van het Nederlandse gerecht geen boete of dwangsom betalen omdat het weigerde klantendata te delen met de overheid wegens privacyoverwegingen. Dat meldde Tweakers dit weekend. De rechtbank vonnist dat Voys (dat tegenwoordig VoIPGRID heet) geen afdoende antwoorden kreeg op vragen en daarom niets verweten kan worden bij haar weigering sinds 2010. Die vragen betroffen data-verantwoordelijkheid, aansprakelijkheid en beveiliging. Echter nu de duidelijkheid er wel is, moet ze gewoon gaan beginnen.

Voys maakt bezwaar tegen de CIOT-databank, die sinds begin jaren nul actief is. Telecomproviders moeten elke dag hun logs (met name NAW + toegewezen IP-adres van klanten) daar uploaden, zodat Justitie daarin kan nazoeken wie het was als men bij een online misdraging een IP-adres tegenkomt. Daarbij zijn al vanaf het begin vele grote vraagtekens gesteld, onder meer door Bits of Freedom. En Voys vond dat zij vanwege die onduidelijkheden niet gehouden was mee te werken.

Zijdelings woog mee dat Voys zich zorgen maakte over claims van klanten: als provider moest je ermee akkoord gaan dat het CIOT niet aansprakelijk was voor eventuele claims, dus die kon jij op je bordje krijgen. Maar daar maakt de rechter korte metten mee. De verstrekking aan het CIOT, en het gebruik daarna door Justitie, is allemaal wettelijk geregeld. Als er dan iets fout gaat in die verwerking, dan komt dat op het bordje van het CIOT:

Eventuele onrechtmatige raadpleging van het CIS, komt dus niet voor verantwoordelijkheid van eiseres en levert dus ook geen aansprakelijkheid van eiseres op. Dit blijkt ook uit de nota van toelichting bij de wijziging van het Bvgt (Stb. 2006, 426, blz. 10) … Bedrijven zijn niet aansprakelijk voor onrechtmatige bevraging van de gegevens, noch voor onjuiste interpretatie van correct aangeleverde gegevens.
Zoals ik zelf ook bij meerdere partijen had gezien, was in de eerdere verwerkersovereenkomst (die tot ver na 2018 nog bewerkersovereenkomst heette) opgenomen dat het CIOT niet aansprakelijk is voor eventuele boetes die aan de provider worden opgelegd vanwege de schending van privacyregels. De reactie daarop was bepaald onduidelijk, en bleef sowieso uit tot in de administratieve beroepsfase. In zo’n geval mag een bestuursorgaan geen boete opleggen.

De dwangsom (vanaf nu gaan doen anders per dag geld betalen) blijft wel in stand. Want nu dit vonnis er ligt, zou alles duidelijk moeten zijn en zijn de zorgen van Voys niet meer relevant. Dan blijft alleen nog over dat er een wettelijke plicht is, en voor een rechter is het vrij logisch dat je doet wat een wettelijke plicht zegt.

Verweerder heeft er in dit verband terecht op gewezen dat het van groot maatschappelijk belang is dat iedere aanbieder is aangesloten bij het CIOT. Dit is noodzakelijk voor de effectieve opsporing van strafbare feiten. Als in een hypothetische situatie alle aanbieders zouden besluiten zich niet aan te sluiten op het CIS, dan wordt het voor de opsporingsdiensten zoeken naar de spreekwoordelijke ‘speld in de hooiberg’ bij welke persoon een IP-adres of telefoonnummer hoort. De opsporing van strafbare feiten zou daardoor ernstig worden bemoeilijkt.
Voys stelt in hun FAQ dat ze pas mee zouden werken als de beveiliging bij het CIOT op orde zou zijn. Daar gaat de rechter verder niet op in, net zo min als op de klacht van Voys dat er geen audit-trail is in die enorme database met alle NAW+IP gegevens van alle Nederlanders met wanneer ze online en offline gingen. Oftewel niemand houdt bij wie welke opvragingen doet. (Het Haga-ziekenhuis werd onder meer daarvoor beboet.) Maar uiteindelijk is dat dus “niet het probleem” van Voys, formeel gezien. Ik vraag me dan af wat er nodig zou zijn voordat je wél mag zeggen, die database van een overheidsinstantie is zo slecht beveiligd daar hoeft niemand data in te stoppen.

Arnoud

FBI deelt voortaan uitgelekte wachtwoorden met Have I Been Pwned, mag dat van de AVG?

Geplaatst op in Innovatie, Security, 14 reacties

De FBI gaat uitgelekte wachtwoorden die het tijdens onderzoeken tegen gekomen is, in het vervolg delen met de website Have I Been Pwned. Dat meldde Tweakers onlangs. De wachtwoorden die de FBI met Have I Been Pwned deelt, zullen worden voorzien van een SHA-I en NTLM-hashparen, zodat ook HIBP-eigenaar Troy Hunt de wachtwoorden niet in plain text heeft. Wat de interessante vraag opriep: mag dat van de AVG?

De eerste vraag is dan natuurlijk, verwerkt HIBP dan persoonsgegevens? Want een wachtwoord is weliswaar persoonlijk maar zegt op zich niets over de persoon. Klopt, maar dat is natuurlijk gekoppeld aan een e-mailadres en dat is wél een persoonsgegeven (uitgaande van [email protected] mailadressen, over info@ heb ik het even niet).

Emailadressen worden verwerkt: als je in de dienst je mailadres opgeeft, meldt deze in welke breaches je opgenomen bent. Natuurlijk wordt het wachtwoord niet getoond. Zoals de site het uitlegt:

When email addresses from a data breach are loaded into the site, no corresponding passwords are loaded with them. Separately to the pwned address search feature, the Pwned Passwords service allows you to check if an individual password has previously been seen in a data breach. No password is stored next to any personally identifiable data (such as an email address) and every password is SHA-1 hashed.
Desondanks: ja, HIBT verwerkt dus persoonsgegevens want ze hebben een lijst met mailadressen met daaraan gekoppeld de informatie waar deze slachtoffer van datalekken zijn geworden. En dan krijg je dus de vraag of de AVG van toepassing is, omdat dat Hunt in Australië gevestigd is met zijn site.

Er zitten bergen mailadressen van Europeanen in die gelekte databases, waardoor je kunt gaan kijken naar artikel 3 lid 2 AVG. Want dat regelt situaties waarin de AVG van toepassing is ondanks dat de verwerkingsverantwoordelijke niet in de EU is gevestigd. Eis is dan dat

de verwerking verband houdt met: a) het aanbieden van goederen of diensten aan deze betrokkenen in de Unie, ongeacht of een betaling door de betrokkenen is vereist; of b) het monitoren van hun gedrag, voor zover dit gedrag in de Unie plaatsvindt.
Optie b (monitoren van gedrag) lijkt me vrij evident niet van toepassing, Hunt monitort helemaal niemand. Dus dan is de vraag of Hunt diensten aanbiedt aan deze betrokkenen (want goederen zijn er natuurlijk niet). Is die dienst dan de website, waarin je je mailadres invult en “ja” te horen krijgt, of de achterliggende dienst waarbij hij data verzamelt en koppelt ten behoeve van die website-dienst?

In het eerste geval geldt de AVG zonder twijfel, maar dan gaat het meteen goed met de grondslag en dergelijke: jij vraagt dan om die dienst (“Have I been pwned? :O”) en je krijgt die geleverd (“yes :(“) waarbij de verwerking best wel noodzakelijk is en bovendien voldoet aan dataminimalisatie.

In het tweede geval vraag jij nergens om – Hunt verzamelt immers zonder opdracht ieders gegevens uit allerlei lekkages en zet die in zijn database. Maar dan kun je meteen er achteraan stellen dat Hunt ook geen diensten aan jou levert, hij doet dat voor zijn eigen plezier. Pas wanneer jij gaat zoeken, is sprake van een dienst – en dan zitten we weer bij geval 1. Dus volgens mij gaat deze dienst goed, AVG-technisch.

Arnoud

Kan iemand mij uitleggen waarom ik het gerechtvaardigd belang van anderen aan en uit kan zetten?

Geplaatst op in Ondernemingsvrijheid, 16 reacties

Via Reddit:

Al een tijdje krijgen we in de koekjesschermen een andere keuze. Het gaat niet alleen meer om waar ik toestemming voor geef, maar ook om gerechtvaardigd belang. … Wat ik niet snap, is waarom ik dan in de cookiebanner naast de toestemmingsvraag ook een vraag krijg over legitiem belang. Er staat legitiem belang en dan met een slider ernaast. Alsof ik het legitieme belang van een bedrijf aan en uit kan zetten. Wat doet die slider daar?

Adverteerders zijn een jaartje of zo geleden ineens massaal van de toestemming afgestapt en naar legitiem belang gegaan. Waarom is me nog steeds niet helemaal duidelijk, maar ik vermoed dat men de bui wel zag hangen dat met cookiemuren afgedwongen toestemming niet rechtsgeldig zou zijn.

Legitiem belang of gerechtvaardigd belang is een andere grondslag: je zegt dan eigenlijk, ik mag dit gewoon want mijn belang weegt zwaarder dan uw privacy. Daar horen dan bepaalde privacybeschermende maatregelen bij. En de marketeers hebben dan het voordeel dat in overweging 47 staat dat “verwerking van persoonsgegevens ten behoeve van direct marketing kan worden beschouwd als uitgevoerd met het oog op een gerechtvaardigd belang.” Het jargon spreekt overigens van “legitiem belang” omdat de Engelse tekst ‘legitimate interest’ zegt.

Die slider heb ik ook altijd over zitten denken. Ik had altijd het beeld dat die er was omdat hij er bij toestemming ook stond, en dat daar verder niet over nagedacht is. Want het is niet logisch, dat je iemands belang aan of uit kunt zetten.

Als je even doorbladert in de AVG dan kom je uit bij het recht van bezwaar, artikel 21 AVG:

1. De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens op basis van artikel 6, lid 1, onder e) of f), van artikel 6, lid 1, met inbegrip van profilering op basis van die bepalingen. De verwerkingsverantwoordelijke staakt de verwerking van de persoonsgegevens tenzij hij dwingende gerechtvaardigde gronden voor de verwerking aanvoert die zwaarder wegen dan de belangen, rechten en vrijheden van de betrokkene of die verband houden met de instelling, uitoefening of onderbouwing van een rechtsvordering.
Bezwaar maken kan dus, maar het moet gaan om redenen vanwege zijn specifieke situatie, zeg maar persoonlijke redenen. En dan moet een afweging volgen: heeft de verwerkingsverantwoordelijke dwingende gronden om tóch door te gaan?

Maar voor direct marketing is het simpeler:

3. Wanneer de betrokkene bezwaar maakt tegen verwerking ten behoeve van direct marketing, worden de persoonsgegevens niet meer voor deze doeleinden verwerkt.
Je moet de slider dus zien als zo’n bezwaar tegen marketing. De slider op uit zetten is dus “I object”, ik maak bezwaar. Dat voelt ergens niet correct, UI-technisch gezien, maar het werkt wel.

Arnoud

Kan een ICT-leverancier bij contractuele ruzie weigeren de wachtwoorden te geven?

Geplaatst op in Ondernemingsvrijheid, 13 reacties

Een lezer vroeg me:

Als opdrachtgever zijn we erg ontevreden met een ICT-leverancier. We zeggen op (conform contract), en verzoeken ze de wachtwoorden van alle diensten over te dragen zodat we alles in eigen beheer kunnen nemen. Dit wordt geweigerd omdat er volgens hen nog facturen open staan en een afkoopsom betaald zou moeten worden. Wij betwisten dat. Kunnen wij de wachtwoorden opeisen?
Dat zal echt 100% afhangen van wat in je contract met die leverancier staat. Als er niets staat, dan heb je een enorm probleem als je de wachtwoorden niet hebt en de diensten kritisch zijn voor je bedrijfsvoering.

Er is in de wet niets bijzonders geregeld over toegang tot diensten. Die worden geen eigendom van de klant bijvoorbeeld, in tegenstelling tot zeg de producten die voor je worden gemaakt. Zulke producten zou je nog kunnen opeisen (hoewel eigendomsvoorbehoud et cetera daar het ingewikkeld kan maken) maar het wachtwoord voor een dienst die beheerd wordt door de dienstverlener, dat valt daar zeker niet onder.

Natuurlijk kun je zeggen, het contract met die dienst staat op mijn naam, dus ik wil de toegang tot mijn dienst. Maar dan moet je bij de eigenlijke dienstverlener zijn, de derde partij wiens dienst door jouw ICT-leverancier wordt beheerd. Die zou jou dan een nieuw wachtwoord moeten geven. Of die dat doet, is de vraag; vaak werken die met resellers of dit soort ICT-partners omdat ze niet zelf met de eindklant bezig willen zijn.

Dit is dus waarom je het contractueel moet regelen met die leverancier. Daarbij zit er nog wel één grote angel: als er ruzie ontstaat over het contract, dan kan de leverancier het contract besluiten op te schorten. Dan hoeven ze niets te doen, dus ook niet de afspraak nakomen dat ze je wachtwoord moeten geven. Natuurlijk moet de reden voor die ruzie dan wel kloppen, maar hoe dan ook ben je vele weken verder totdat de rechter in kort geding oordeelt dat de wachtwoorden toch moeten worden gegeven.

Met wachtwoorden is het dus net als met data in het algemeen: vertrouw niet op juridische constructies om erbij te kunnen. Zorg dat je ze gewoon hebt.

Arnoud

DNB: cryptohandelaren hoeven toch niet steeds identiteit van klanten te bewijzen

Geplaatst op in Ondernemingsvrijheid, 5 reacties

De Nederlandsche Bank stopt met het verplicht identificeren van klanten bij elke transactie voor cryptohandelaren. Dat las ik bij Tweakers. Bedrijven moeten transacties wel screenen, maar verplicht identificeren vervalt. DNB had eerder de wet zo geïnterpreteerd dat die identificatie wel zou moeten, waardoor cryptobedrijven als Bitonic zich ernstig bedreigd voelen in hun dienstverlening. Met deze stap is ook het kort geding van Bitonic tegen DNB van de baan.

Bitonic heeft een vergunning van DNB om als bank te opereren, wat kort gezegd nodig is om bitcoins naar fiatgeld om te zetten en terug. Deel van die vergunning is dat je moet voldoen aan de regels rond voorkoming van witwassen en terrorismefinanciering en aan regels die voortvloeien uit de Sanctiewet. Hieruit volgt een plicht om transacties van klanten monitoren, en aan de bel te trekken bij verdachte of rare transacties.

NRC legt uit wat er speelt:

Het bedrijf vraagt zich alleen of het moet zoals DNB lijkt te eisen: elke keer als een klant een bitcointransactie doet naar zijn of haar wallet (waarin je cryptovaluta bewaart), moet een screenshot van die transactie worden genomen om te verifiëren of die wallet wel echt in zijn bezit is. Daarmee zou een bitcoinbedrijf verder moeten gaan dan een bank of schadeverzekeraar.
Meer algemeen speelt het punt dat de wet alleen een registratie van instanties als Bitonic eist, en dat DNB met dit soort eisen er een soort vergunning van maakt. Een registratie is immers een melding: hier zit ik, ik doe in bitcoin. Daar valt weinig aan te doen verder. Een vergunning kan wél worden ingetrokken of beperkt, wat dus is wat DNB leek te doen door te zeggen “maak die screenshots of je mag geen bank zijn”.

Voor Bitonic en collega’s is daarmee nu meer ruimte gekomen om sneller te opereren. Ergens heb ik wel het gevoel dat DNB met iets nieuws gaat komen. Het fundamentele probleem achter deze eis is immers dat bitcoin wallets niet vergelijkbaar zijn met bankrekeningen, zodat de kans op misbruik / illegale transacties eerder aanwezig is. En als je daar dan toch effectief toezicht op wilt houden, dan moet er iets komen. Ik heb alleen ook geen idee wat.

Arnoud

Deze lawyerbot reviseert en becommentarieert je verwerkersovereenkomst binnen één minuut (en twintig seconden) #legaltechtuesday

Geplaatst op in Innovatie, 17 reacties

Verwerkersovereenkomsten nakijken, het is dagelijkse kost voor iedere privacyjurist, compliance officer of functionaris gegevensbescherming. Maar 90% van dat werk is steeds hetzelfde gedoe: proberen ze toch weer de beveiliging een garantie te maken, klopt die geheimhouding wel, waarom staat aansprakelijkheid zo hoog (of laag) en zijn ze nou weer artikel 28 lid 3 sub e AVG vergeten op te nemen? En dan kun je weer gaan aanpassen. Dat was ik dus zat, vandaar dat onze nieuwe lawyerbot DPA Lynn dat helemaal doet. Ja, met edits en commentaar in de marge.

U herinnert zich misschien nog mijn frustratie over steeds NDA’s checken op die ene vraag: kan ik tekenen. Daar werd inderdaad een robot uit geboren, NDALynn.com. Die gaf je een keurig antwoord op die vraag, of suggesties waarom je niet kon tekenen.

Toen kwam de AVG, met een berg verwerkersovereenkomsten (data processing agreements, DPA’s) en al snel kregen mijn collega’s en ik hetzelfde gevoel: steeds dezelfde checks, steeds dezelfde soort aanpassingen en steeds dezelfde discussie. Waarom zou een robot dát niet kunnen? Nou ja, dat kan een robot dus prima, zoals DPA Lynn laat zien.

Het werkt supersimpel: je uploadt een Word document (docx), je zegt of je verwerker dan wel verantwoordelijke bent en je wacht een minuut. Een PDF kan ook maar dan krijg je geen aangepaste documenten. En na die minuut (en 20 seconden) krijg je een aangepast Word document waarin alle vervelende clausules aangepast zijn naar redelijke alternatieven, en waarin Lynn in de marge uitlegt waarom het anders moet. Wat ontbreekt, wordt er gewoon bij gezet. En oh ja natuurlijk is het gratis.

Voor drukke juristen en privacy officers een uitkomst, want Lynn werkt onvermoeibaar en levert altijd dezelfde kwaliteit. Natuurlijk blijven er lastige vragen over, zoals of je überhaupt wel verwerker bent, welke persoonsgegevens er precies gebruikt worden en of er misschien een DPIA nodig is. Maar daar heb je nu tijd genoeg voor, zou ik zeggen.

Ben je niet tevreden met de keuzes die Lynn maakt? Liever juist wél garanties over beveiliging, een kostenregeling voor bijstand (dat lid 3 sub e AVG) en de aansprakelijkheid hoger of juist lager? In de premium versies van Lynn kun je dat zelf instellen. En je krijgt er ook nog een mailinterface bij: forward die toegezonden DPA naar Lynn, wacht eventjes en je krijgt een reply met de aangepaste versie keurig in je inbox. En meer, zoals documentbeheer.

Probeer het nu: DPALynn.com.

Arnoud

AP geeft AVG-boete van 15.000 euro aan bedrijf dat ziektes registreerde

Geplaatst op in Ondernemingsvrijheid, Privacy, 3 reacties

De Autoriteit Persoonsgegevens heeft een boete van 15.000 euro opgelegd aan een bedrijf dat zijn systeem om ziekteverzuim te registreren slecht beveiligde. Dat meldde Tweakers onlangs. Ook verzamelde het bedrijf onterecht meer gezondheidsgegevens dan was toegestaan, zoals specifieke klachten en verloop van de ziekte. Opmerkelijk is vooral dat de boetes volgens de regels zouden neerkomen op respectievelijk 725.000 en 310.000 euro voor de twee overtredingen, maar gematigd worden tot 15.000 euro vanwege de beperkte omvang van het bedrijf.

Het wordt natuurlijk al heel lang geroepen: blijf van de medische gegevens van je personeel af. Daar heb je als werkgever niets mee te doen, de arts of verzekeraar meldt je wanneer meneer of mevrouw weer aan het werk kan en wat dan de beperkingen of benodigdheden zijn. Toch blijken hele horden werkgevers deze informatie nog steeds te noteren, dus het signaal van deze boete is ontzettend belangrijk.

Natuurlijk zijn er dingen die je als werkgever wel moet weten. Maar dat is een beslissing van de arts of het relevant is, en die zal het dan met je delen. Als werkgever mag je daar niet zelf informatie over bijhouden, eigen dossiers over opbouwen of wat dies meer zij. Ook niet als je denkt dat de werknemer simuleert en niet echt ziek is. Dat is en blijft een medisch oordeel.

Dit bedrijf hield een verzuimregistratie bij in een Google Drive bestand. En dat bleek zonder enige beveiliging toegankelijk via internet, logisch dus dat de AP daarover viel. Bovendien zag men dat in die registratie de reden van verzuim (over zowel de fysieke als mentale gezondheid), de prognose en de opmerkingen over de verzuimreden en prognose over deze werknemers) was opgenomen, wat natuurlijk in strijd is met de AVG.

Maar wat mag er dan wel? De AP citeert haar eigen richtlijnen, ik doe dat ook maar even:

De gegevens die volgens de beleidsregels ‘De zieke werknemer’ (2016, maar AVG-proof geschreven) wél mogen worden verwerkt zijn:

  • de werkzaamheden waartoe de werknemer niet meer of nog wel in staat is (functionele beperkingen, restmogelijkheden en implicaties voor het soort werk dat de werknemer nog kan doen);
  • de verwachte duur van het verzuim;
  • de mate waarin de werknemer arbeidsongeschikt is (gebaseerd op functionele beperkingen, restmogelijkheden en implicaties voor het soort werk dat de werknemer nog kan doen);
  • eventuele adviezen over aanpassingen, werkvoorzieningen of interventies die de werkgever voor de re-integratie moet treffen.
De gegevens die volgens deze beleidsregels niet mogen worden verwerkt, zijn onder meer:
  • diagnoses, naam ziekte, specifieke klachten of pijnaanduidingen;
  • eigen subjectieve waarnemingen, zowel over geestelijke als lichamelijke gezondheidstoestand;
  • gegevens over therapieën, afspraken met artsen, fysiotherapeuten, psychologen e.d.;
  • overige situationele problemen, zoals relatieproblemen, problemen uit het verleden, verhuizing, overlijden partner, scheiding e.d.
Het verschil tussen die twee zit hem in het belang voor het werk. Weten wat iemand niet meer kan kan en wanneer zhij weer begint, dat heeft een werkgever nodig. Weten waaróm iemand iets niet meer kan, dat is een ander verhaal. “Meneer moet na 30 minuten zitten een half uur staan”, daar kun je prima mee aan de slag als werkgever zonder dat je hoeft te weten of het versleten ruggewervels zijn of voorkomen van een migraine. Ook je eigen inschattingen “ze zegt migraine maar lijkt mij smoesje vanwege arbeidsconflict” horen niet in zo’n dossier thuis.

Tegelijk begrijp ik die werkgevers ook wel: het is heel logisch, ook vanuit betrokkenheid naar je personeel, dat je zulke dingen noteert. Dat wil je onthouden, je wilt inzicht en begrip. Maar omdat er ook werkgevers zijn die dit noteren om “zelf te beoordelen of je weer ziek bent” of vanuit het idee dat zij beter kunnen inschatten wat de werknemer nodig heeft, is dit wettelijk verboden.

Arnoud

Gemeenten zouden op grote schaal burgers bespieden op sociale media

Geplaatst op in Regulering, 10 reacties

Nederlandse gemeenten zouden op grote schaal meekijken met burgers op sociale media, zo las ik bij Nu.nl (op gezag van dit rapport). Controversieel is dat de gemeente onder meer nepaccounts gebruikt, terwijl dit niet zou zijn toegestaan. “Een methode die alleen politie en inlichtingendiensten onder strikte voorwaarden mogen inzetten”, aldus de nieuwssite. En dat terwijl 95 procent van de ondervraagde ambtenaren zegt dat hun gemeente aan online monitoring van burgers doet, en 54% dat er geen beleid op is. Hoe zit dat juridisch?

Het klopt dat politie en inlichtingendiensten alleen onder strikte voorwaarden undercoveroperaties mogen uitvoeren. En ja, met dat grote woord omschrijven we ook het aanmaken van nepaccounts om mensen online te volgen terwijl ze zich onbespied waren. Waarmee niet gezegd is dat ieder account van een agent automatisch een undercoveroperatie is: met een Instagram-account rondkijken naar “toegankelijk voor alle ingelogde gebruikers”-content is bijvoorbeeld geheel legaal. Het gaat om dingen als vrienden worden met mensen, in besloten groepen toegelaten worden of in privéconversaties dingen vernemen van mensen.

Die strenge regels zijn er omdat in het strafrecht de belangen groot zijn, en de zorgen over machtsmisbruik ook. Bij gemeentes is er de complicatie dat dit geen strafrecht is maar bestuursrecht, en daar zijn de regels vaak net even anders. Er is bij mijn weten in de Algemene Wet Bestuursrecht geen verbod op het undercover vergaren van inlichtingen. Helaas staat er ook niet expliciet dat het wél mag, behalve dan de generieke zin dat de opsporingsambtenaar bevoegd is “elke plaats te betreden met uitzondering van een woning zonder toestemming van de bewoner.” Ook moet iedereen meewerken en inlichtingen geven.

Het rapport wijst echter op een veel directer conflict: zo’n elektronisch volgen en monitoren is een vorm van elektronisch verwerken van persoonsgegevens die onder de AVG valt. En sterker nog, die verboden is onder de AVG omdat het door een overheidsorgaan gebeurt. Er is immers geen specifieke wettelijke regeling die het toelaat, zodat de grondslag onder de AVG ontbreekt. (De grondslag van het legitiem belang mag een overheidsorgaan niet gebruiken bij uitoefening van haar openbare taak.)

Er blijken ook gemeentes te zijn die de data bij een extern bedrijf inkopen. Ik lees dan de bekende idioterie dat “dit niet onder de privacywet valt omdat het om openbare gegevens gaat” of dat zo’n bedrijf een legitiem belang kan claimen bij haar bronnenonderzoek. Dat is gek maar doet voor de gemeente niet af dat zij voor verwerking van zulke gegevens een wettelijke grondslag nodig heeft.

Tot mijn (positieve) verbazing sluit het rapport dan zo af:

Binnen gemeenten wordt gemonitord om redenen die volstrekt begrijpelijk zijn, gelet op de juridische positie van de burgemeester en de maatschappelijke positie van de gemeente. Veel van de juridische eisen lijken in de praktijk nageleefd. Dat is niet vanwege kennis van een concreet juridisch kader. Want maar 21% van de medewerkers vindt het juridisch kader duidelijk. Toch lijken intuïtief of op basis van ethische overwegingen veel zaken goed te gaan. Zo worden er volgens respondenten in beperkte mate dossiers bijgehouden, zijn medewerkers terughoudend in het ‘doorklikken’ op profielen en geven ze aan dat ze voor online monitoring nooit (40%) of beperkt gebruikmaken van privéaccounts (38%) en nooit (67%) of beperkt gebruikmaken van nepaccounts (13%).
De zorg is wel dat gemeente denken “We hebben de mensen, we hebben de middelen, het lijkt te werken, en dus gebruiken we het.” Slechts één op de zes gemeenten betrekt de functionaris gegevensbescherming bijvoorbeeld bij monitoring. Dat kan dus grote problemen opleveren, inclusief schadeclaims door mensen die onterecht bekeken of gevolgd zijn. (Nog los van de praktische problemen zoals nepaccounts, of mensen die ‘grappig’ doen door bijvoorbeeld nepdrugs of zogenaamd de nieuwe auto te laten zien.)

Dit moet dus beter: een wettelijke regeling lijkt me zeker een goed idee. Mij is niet helemaal duidelijk waarom het rapport zegt dat dit niet in de APV mag maar een wet in formele zin vereist (een wet aangenomen door het parlement), volgens mij eist de AVG alleen dat er een wéttelijke regeling is en de APV is materieelrechtelijk gewoon een wet. Maar het is natuurlijk in ieder geval de beste route als de rijksoverheid de kaders stelt waarbinnen gemeenten mogen opereren, lijkt me.

Arnoud

 

Baas tech-bedrijf draagt ons op AVG te negeren. Hoe bescherm ik mezelf als werknemer?

Geplaatst op in Privacy, 37 reacties

“Our boss explicitly, and repeatedly, instructed us to refrain from deleting the email addresses, even when told by multiple people in my team that this would be in violation of the AVG, and our own privacy statement.” Zo vertelt een anonieme Redditor over zijn dilemma: de werkgever draagt hem en zijn collega’s op om de AVG te schenden, en wat zou dat betekenen voor hen als de Autoriteit Persoonsgegevens erachter komt?

De kern is dat gegevens van oude (ex-)gebruikers van de app nog bewaard worden, in strijd met de bewaartermijn uit de privacyverklaring en dus in strijd met de AVG. Men wil dit weggooien en de boze baas zegt, dat mag niet want dan zien onze gebruikersaantallen er slechter uit.

En toegegeven, ineens je “al $numUsers mensen gingen u voor!” reclametekst zien halveren, dat is niet echt fijn. Alleen ja, als je gezegd hebt dat je bewaartermijn zeg twee maanden na einde gebruik is, dan hadden die userprofielen echt allang weggemoeten.

Maar wat nu: wet zegt weg, baas zegt nietes. Nou ja, dan wint de wet natuurlijk. Maar de wet zegt wat het bedrijf moet doen, en uiteindelijk is het de directie die beslist wat het bedrijf gaat doen. (Mogelijk op advies van de FG, als die er is.) Niet een individuele werknemer. Dus zelf een weggooiactie ondernemen om het bedrijf weer AVG-compliant te krijgen, dat is géén goed idee.

Inderdaad ben je als werknemer niet verplicht om dingen te doen die (evident) in strijd zijn met de wet. Je werkgever kan je niet ontslaan omdat je weigert iets te doen dat niet mag. Alleen hier gaat het om iets wél willen doen waarvan de werkgever het verboden heeft, namelijk een grote groep klantgegevens wissen. Dan kom je bij de arbeidsrechter niet ver met “maar volgens mij mochten wij die gegevens niet bewaren, daarom heb ik ze weggegooid” want als je werkgever expliciet nee zegt, dan is het nee.

Loop je nu persoonlijk een risico dat de AP achter je aankomt? Nee, in het geheel niet. In zo’n situatie is de wet duidelijk: de werkgever (het bedrijf, niet je manager privé) is aansprakelijk voor naleving van de AVG, en kan dus beboet of anders gesanctioneerd worden als de AP erachter komt. Betrokkenen kunnen claims indienen, die het bedrijf dan moet betalen.

Dus nee, het is zuur maar ik zie geen manier om deze AVG schending te beëindigen als de verantwoordelijke in de hiërarchie zegt dat ze er vrolijk mee door gaan. Over diens hoofd gaan kán natuurlijk: weet de bedrijfsjurist en/of FG hiervan, en wat zouden die tegen de algemeen directeur zeggen? Alleen is het een bekend verschijnsel in grotere bedrijven dat over het hoofd van je lijnmanager gaan, zelden tot goede resultaten leidt.

Als je dit een zeer ernstige misstand vindt, dan kun je gaan klokkenluiden. Ik las bij Reddit al de tip om de lijst met adressen te dumpen, en in de bibliotheek vanuit een nieuw aangemaakt mailadres die mensen te tippen dat hun account bij X nog steeds bestaat. Zullen we dat gewoon niet doen? Werknemer A klaagt, er gebeurt niets, de klanten krijgen van een anoniempje een signaal en dienen claims in, goh wie oh wie zou daarvoor gezorgd hebben en welk boetemaximum staat er in zijn arbeidscontract bij de geheimhoudingsclausule?

Arnoud

Met ‘online straatverbod’ hoopt burgemeester Halsema online shamers harder aan te pakken

Geplaatst op in Regulering, 2 reacties

Door middel van ‘online straatverboden’ hoopt burgemeester Halsema de ongewenste verspreiding van privébeelden op internet harder aan te kunnen pakken. Dat las ik bij AT5. De burgemeester wil hiermee ervoor zorgen dat daders zich niet meer in de buurt van een slachtoffer kunnen vertonen, ook online. De gemeente onderzoekt nog of het überhaupt juridisch haalbaar is, lees ik dan. Ik ga een poging wagen.

De zorg over online naming en shaming van met name kwetsbare jongeren wordt steeds groter, en het blijft lastig om dit op een effectieve manier aan te pakken. Maar de impact kan enorm zijn bij de slachtoffers, zoals een dertienjarig meisje dat door publicatie van zulke beelden zich tot zelfdoding gedwongen voelde. Vandaar dat ook gemeentes naar nieuwe instrumenten zoeken.

In april vorig jaar hadden we het over een internetverbod voor overlastgevers. De burgemeester is immers bevoegd mensen gebiedsverboden en huisverboden te geven, zo staat in de Gemeentewet (art. 172a). Maar dat gaat over fysieke terreinen, iets waar het vrij logisch is dat de gemeente er over gaat. Het is immers in hun gemeente.

De enige mogelijk relevante bevoegdheid voor internetverboden zou in artikel 172 lid 3 zijn:

De burgemeester is bevoegd bij verstoring van de openbare orde of bij ernstige vrees voor het ontstaan daarvan, de bevelen te geven die noodzakelijk te achten zijn voor de handhaving van de openbare orde.
Dit wordt gezien als een ‘lichte’ bevoegdheid, omdat ze wordt ingezet bij lichte vergrijpen waarbij er eigenlijk geen aparte strafbaarstelling is. Een tijdelijk gebiedsverbod is hiermee mogelijk. Dit artikel is ingevoerd als deel van de Voetbalwet, maar is natuurlijk niet alleen inzetbaar bij te verwachten voetbalrellen of iets dergelijks. Je zou kunnen zeggen dat dit artikel ook kan toezien op internet: als iemand via internet de orde in de gemeente verstoort, dan zou je hen kunnen verbieden internet op te gaan, althans dat deel waar zhij die verstoring veroorzaakt.

De aanleiding in 2020 waren diverse cyberaanvallen, wat ik nog wel wil zien als een verstoring van de openbare orde. Alleen heb ik moeite om diezelfde term te passen op chantage of vernedering van één persoon. Hoe kwetsend ook, een openbare orde verstoring is dat niet. Daar zou je pas aan zitten als er grootschalig aandacht voor komt, waardoor de gemeente als zodanig in oproer of verstoring komt. Dat kan zeker aan de orde komen bij dit soort wangedrag, maar de boel moet dan zeg maar al een eind uit de hand gelopen zijn.

Natuurlijk is er een politiezaak van te maken, je zou zeggen dat dit vrij eenvoudig als smaad (vanwege de reputatieschade die men probeert aan te richten) of het verspreiden van kinderporno (veel slachtoffers zijn minderjarig) te kwalificeren is. Helaas komt dat vaak niet goed van de grond. Ik citeer AT5:

Experts en gemeente zijn huiverig voor de verkeerde reactie op de soms heftig verhalen. Halsema: “De reactie mag natuurlijk nooit zijn dat je je lichaam niet meer kunt laten zien. De fout zit niet op je lijf, maar op de reacties.” Dit zogenoemde ‘victim blaming’ is één van de grootste problemen rond exposing en shaming.
Zelf ken ik van klanten ook die problemen: wil je aangifte doen, krijg je te horen dat je dan zelf óók mogelijk vervolgd kunt worden omdat je de foto als veertienjarige zelf hebt gemaakt. Of, en daar ben ik echt verbijsterd over, dat “je social media ook kunt negeren”.

Arnoud