Mag je als werkgever bepalen wat er op een BYOD laptop geïnstalleerd wordt?

Geplaatst op in Ondernemingsvrijheid, Security, 18 reacties

Een lezer vroeg me:

Bij ons bedrijf is gekozen voor bring-your-own-device, waarbij mensen zelf privé een laptop mogen kopen en de werkgever het bedrag vergoedt via de werkkostenregeling. Nu zeggen collega’s dat ze dus op hun eigendom alles mogen installeren dat ze willen, inclusief applicaties die adminrechten nodig hebben. Dat zie ik als security officer als een groot risico, maar hoe zit het juridisch met deze positie?
Je kunt inderdaad werknemers een vergoeding via de werkkostenregeling geven voor de aanschaf van apparatuur zoals een laptop. Maar dat is inderdaad dan ook een privélaptop, waar de werknemer mee mag doen wat zhij wil. Inclusief installeren van gare software met adminrechten.

Als werkgever kun je dan natuurlijk zeggen dat die laptop niet veilig genoeg is om het werk mee te doen. Dat is je goed recht, alleen moet de werknemer dan wel een andere laptop krijgen om mee te kunnen werken.

Er is een uitzondering, en die heet de gerichte vrijstelling: als de laptop voor 90% of meer zakelijk gebruikt wordt, dan kun je de werknemer deze geven en gaat het bedrag niet uit deze regeling. Wel moet het dan noodzakelijk zijn:

‘Noodzakelijk’ betekent dat de werknemer zonder de voorziening zijn dienstbetrekking niet goed kan uitoefenen. Dat houdt in dat de werknemer de voorziening voor zijn werk nodig heeft en gebruikt. De mate van dat zakelijke gebruik is daarbij niet doorslaggevend.
In die situatie kun je de laptop als werklaptop zien en behandelen, inclusief veiligheidsrestricties die redelijkerwijs nodig zijn. Echt privé is de laptop dan niet: bij uitdiensttreden moet deze teruggegeven worden aan de werkgever.

Arnoud

Mag je een elearning blijven geven als de docent ondertussen overleden is?

Geplaatst op in Informatiemaatschappij, Uitingsvrijheid, 12 reacties

Via Twitter:

HI EXCUSE ME, I just found out the the prof for this online course I’m taking died in 2019 and he’s technically still giving classes since he’s literally my prof for this course and I’m learning from lectures recorded before his passing ……….it’s a great class but WHAT
Het blijkt te gaan om een student aan Concordia University, die zijn professor mailde met een vraag naar aanleiding van een online videocollege. Als reactie kreeg hij een autoreply met diens overlijdensbericht. Dat voelt inderdaad wat gek, omdat de student al enige weken dingen bekeek, las en hoorde van deze professor. Dat is toch anders dan een boek opentrekken waarvan de hoofdauteur vijf jaar geleden van ons heengegaan is.

Het bronartikel in Slate kiest de insteek van de overwerkte UD die feitelijk het werk doet, maar de professor de eer en glorie moet laten gaan:

Tenured faculty might teach a few classes, but student work is often graded by underpaid graduate student teaching assistants or graders. At prestigious research universities, discussion sections are also led by graduate students. Many more classes are taught by part-time faculty, who are cobbling together a living, or other short-term contracted faculty, like visiting assistant professors or postdocs. Digital technologies like recorded video lectures allow for the appearance of continued traditional instruction while cutting costs.
Ik heb niet het idee dat het in Nederland ook zo werkt, en zeker in een online leergang zie je natuurlijk gewoon wie je lesgeeft. Toegegeven, je weet niet wie uiteindelijk je opdracht nakijkt of het discussieforum beheert maar over het algemeen gebeurt dat toch echt met open vizier volgens mij. En er lijkt me niets mis mee dat de professor de colleges geeft en een collega of assistent het dag-tot-dag contact met de studenten doet.

Behalve als de professor ondertussen overleden is, natuurlijk. Dan voelt het inderdaad wat raar: je bent dan videocollege aan het volgen en dat wekt toch ergens de indruk dat je deze persoon nu, hier, live in actie ziet. Ontdek je dan langs onverwachte weg (een mail dus naar de professor) dat zhij er niet meer is, dan voelt dat gek. Ergens sowieso gek van die universiteit, dat ze kennelijk de persoonspagina van de professor laten staan en ook diens emailadres blijven vermelden in het universiteitsbrede adresboek. Maar dat terzijde.

Maar mag het? Juridisch gezien liggen de rechten op de video bij de werkgever van deze professor, de universiteit dus. (Voor diens wetenschappelijk werk ligt dat in Nederland waarschijnlijk anders, maar dat terzijde.) Deze kan op grond van het auteursrecht beslissen wat ermee te doen, en in beginsel maakt het daarbij niet uit of de ‘acteur’ in het videowerk ondertussen overleden is. De regel is hetzelfde als bij films en televisieprogramma’s, ook daar is een overleden hoofdrolspeler geen bezwaar tegen heruitzending of uitgave op dvd.

Er is mogelijk een haakje voor de nabestaanden, want de zogeheten persoonlijkheidsrechten (artikel 25 Auteurswet) kunnen door een “aan de door de maker bij uiterste wilsbeschikking aangewezene” worden uitgeoefend. Dat vereist dus wel dat de professor expliciet iemand bij testament of codicil heeft aangewezen, enkel erfgenaam zijn is hiervoor niet genoeg. Dit omdat de auteursrechten niet bij de professor liggen, een beetje extra documentatie is dan wel echt handig.

Wel moet er dan natuurlijk sprake zijn van een situatie waarin die rechten worden geschonden. Enkel het herpubliceren van de video lijkt me zeker niet genoeg. Hetzelfde krijg je bij het portretrecht, dat ook na overlijden van de geportretteerde blijft bestaan (tot tien jaar na overlijden). Welk redelijk belang wordt er dan geschonden? Je beroepen op privacy en eer en goede naam van een overledene zie ik niet opgaan. Identiteitsfraude kan ik het ook niet echt noemen, tenzij je de bizarre situatie zou hebben dat een collega vanuit de mailbox van de prof gaat reageren of dat er een botje onder diens naam reacties gaat plaatsen op het forum, bijvoorbeeld.

Arnoud PS over elearning gesproken, je kunt je weer inschrijven voor mijn elearning AI in de praktijk: Compliance & Governance, we starten op 3 mei en 20 september weer.

Wanneer is mijn reclamemail voor “gelijksoortige” producten toegestaan zonder opt-in?

Geplaatst op in Ondernemingsvrijheid, Regulering, 12 reacties

Een lezer vroeg me:

Ik heb een webwinkel en wil meer reclame maken. Nu las ik dat je daarvoor normaal toestemming nodig hebt, maar niet als je “soortgelijke” producten adverteert aan je klant. Wanneer is het volgens de wet “soortgelijk”?
Voor veel ondernemers is deze uitzondering interessant, omdat het verzamelen van toestemming voor reclame toch vaak best pittig blijkt. Maar het is een heel beperkte, en ik denk dat je er weinig aan hebt. Zeg ik maar even vooraf.

De wet (art. 11.7 Telecommunicatiewet) staat toe om klanten (dus mensen die jou betalen) reclame te sturen zonder opt-in als het gaat om “eigen gelijksoortige producten of diensten” volgens de wet. Er is nooit een rechtszaak geweest waarin definitief hét criterium is toegelicht. Dat is ergens ook wel logisch, want wat zou dat dan moeten zijn in het algemeen? Je komt dan niet verder dan synoniemen voor die term.

De ACM heeft in haar richtsnoeren gezegd dat je vooral moet kijken naar de verwachting van de ontvanger: zou die gek opkijken als hij voor dát product reclame krijgt gezien zijn bestelling? Dat vind ik wel een mooie. Het idee van “gelijksoortig” is immers dat je iets relevants, iets logischerwijs erbij horends meestuurt.

In de Memorie van toelichting van de wet is gezegd dat je ook moet meewegen wat er is gecommuniceerd, hoe de winkel zich presenteert. Ben ik een brillenwinkel dan is reclame voor schoenen raar, ben ik de Bijenkorf dan kan het wel. Dan gaat het immers om mode in het algemeen, en bij een bril is een bijpassend paar schoenen niet zo raar als advies in een modewinkel.

De angel zit hem bij deze constructie in een ander aspect: je mag weliswaar zonder toestemming mailen, maar je moet het bij de bestelling hebben gemeld op het formulier en een áfmeldmogelijkheid (optout) hebben geboden. Dus na een paar jaar bedenken “ik wil meer reclame maken” is gewoon niet genoeg, je hebt dan nooit mensen dit gezegd laat staan ze een afmeldmogelijkheid gegeven. En dan kun je je niet op deze uitzondering beroepen.

Deze uitzondering is dan weer wel de reden waarom de “Ik wil de nieuwsbrief ontvangen”-aanvinkvakjes vooraf aangevinkt mogen zijn bij bestelformulieren. Het weghalen van dat vinkje is dan de opt-out.

Arnoud

Kan Europa antitrustonderzoek beginnen als bedrijven uit EU verdwijnen?

Geplaatst op in Ondernemingsvrijheid, 39 reacties

Eurocommissaris Margrethe Vestager zegt dat Europa nieuwe antitrustonderzoeken kan beginnen naar bigtechbedrijven als die dreigen van de Europese markt te verdwijnen. Dat meldde Tweakers vorige week. Vestager reageert daarmee op de controverse in Australië: het land wil dat Facebook en Google de portemonnee trekken; dat moet de Australische media-industrie helpen. Daarop besloot Facebook de nieuwsvoorziening in Australië te saboteren om zo de regering te dwingen het plan aan te passen. De Europese insteek in zo’n geval is dat een dominant bedrijf zijn machtspositie misbruikt als het op die manier zou proberen wetgeving tegen te houden. En ja, dat kan.

De kern van het argument van Vestager zit in het mededingingsrecht, meer specifiek artikel 82 EU Verdrag:

Onverenigbaar met de gemeenschappelijke markt en verboden, voorzover de handel tussen lidstaten daardoor ongunstig kan worden beïnvloed, is het, dat een of meer ondernemingen misbruik maken van een machtspositie op de gemeenschappelijke markt of op een wezenlijk deel daarvan.
Vaak zeggen we hierbij dat het gaat om een monopolist, maar het is genoeg dat je “dominant” bent in een markt. Google is met het Android-besturingssysteem bijvoorbeeld zeker weten dominant in de markt voor smartphone-OS’en, hoewel er natuurlijk zeker wel concurrenten zijn (zoals Apple). En het belangrijkste criterium is dat je de handel beïnvloedt, we moeten er als afnemers dus last van krijgen.

Het argument zou dan zijn dat Facebook misbruik maakt van haar dominante positie in de markt voor nieuwsvoorziening door te zeggen “ik stop alle dienstverlening als ik moet betalen voor snippets die mensen delen op mijn platform”. Omdat Facebook zo groot is, kan ze met zo’n dreigement haast afdwingen dat die wetgeving er dan niet komt. Welke politicus wil immers bekend staan als de partij die Facebook het land uit joeg? (Ik gebruikte niet voor niets het woord “sabotage” in de opening, ik aarzelde over “chantage”.)

Natuurlijk is er het probleem dat als Facebook weg is, je moeilijk een eventuele veroordeling kunt handhaven. Er is dan niets meer te halen. Maar een bedrijf van deze omvang is niet van de ene op de andere dag wég uit je regio. En tot die tijd zijn er zeker wel geldstromen (de Irish-Dutch-Irish sandwich-route bijvoorbeeld) in de Europese Unie waar je boetes van kunt incasseren, kantoren die je kunt sluiten of desnoods mensen die je kunt arresteren tot er is betaald.

Dat geheel los van de vraag of het terecht is van een land om te zeggen dat er moet worden betaald voor wat in principe rechtenvrije citaten zijn. Die discussie mag best gevoerd worden en fel ook. Maar als je zó groot bent als Facebook, dan is “als dat wet wordt dan stoppen wij ermee” geen eerlijk argument meer.

Arnoud

Ook zonder handtekening zit je gewoon aan je opdrachten vast als je begint te werken

Geplaatst op in Ondernemingsvrijheid, 3 reacties

Nadat een intentieverklaring was uitgewisseld, hebben partijen uitvoering gegeven aan het beoogde project terwijl zij gelijktijdig de gemaakte afspraken hebben uitgewerkt in contractdocumentatie. Aldus rechtspraak.nl over een recent geschil tussen een fotomarketingbedrijf en een marketingbureau, dat ook relevant is voor de ICT praktijk want de fout is dezelfde: denken dat je pas aan een contract vast zit als je een handtekening hebt gezet. Hoe mensen dat denken? Nou ja, omdat ze in het contract zetten dat dit pas in werking treedt na handtekening. Maar zo werkt het dus niet.

De klant in deze zaak was bezig met een reclamecampagne voor Schiphol, waarbij men de eiser verzocht om een aantal foto’s te verzorgen. Die deed in mei 2017 een voorstel (“inclusief visuals, antwoord op je vragen en een verdere uitwerking van de interface en de benodigdheden”), waarbij men tevens het kostenplaatje nog eens ging bekijken.

Een maandje later stuurde men de klant een intentieverklaring, met daarin de typische mooie woorden uit een intentieverklaring:

  • [Gedaagde] wenst op (internationale) luchthavens interactieve foto experiences te ontwikkelen en exploiteren;
  • [Eiser] kan voorzien in deze behoefte;
  • [Eiser] zal als exclusief technologiepartner van [Gedaagde] op het gebied van fotomarketing optreden;
  • [Gedaagde] en [Eiser] wensen om samen te werken en spreken de intentie uit om hierover nader te overleggen;
  • Partijen zullen zich beiden inzetten om de onderhandelingen succesvol af te ronden;
  • [Gedaagde] en [Eiser] kunnen aan deze verklaring geen rechten ontlenen;
  • Deze verklaring behelst geen overeenkomst en rechten ontstaan pas nadat een overeenkomst tussen partijen is ondertekend waarin over essentiële elementen overeenstemming is bereikt.
(Ik citeer even uitgebreid omdat ik dit heel vaak zie.) De kern is natuurlijk dat laatste: het zou leuk zijn als we samen konden werken, maar we zitten pas vast als we getekend hebben en het overal over eens zijn. Oh ja, en natuurlijk “Elk der partijen is gerechtigd zich uit de verdere onderhandelingen terug te trekken zonder opgaaf van reden tot het moment van ondertekening”.

Vervolgens ging men onderhandelen en kreeg men een offerte, SLA en algemene voorwaarden, waarin driftig werd gewijzigd. Ondertussen begon men ook alvast maar met de klus, ik denk onder meer omdat er in oktober een grote beurs was in het vakgebied en men daar de producten wilde demonstreren.

Daar ging vervolgens het nodige mis, niet alleen software die niet alles kon maar ook hardware die veel te heet werd. Dat werd een rechtszaak, en daarbij stond dus onder meer het punt centraal of er überhaupt een contract was gesloten.

Het is natuurlijk te makkelijk om te zeggen dat je het eens bent als de een al aan het werk gaat. Bedrijven gaan ook wel eens alvast beginnen met de gok dat het goed komt, dat is gewoon ondernemersrisico. Maar vrijwel altijd gaat het dan om eenzijdig alvast wat gaan maken, niet om -zoals hier- samen de klus opstarten terwijl er nog getekend moet worden. Als je dán spreekt van risico opdrachtnemer, dan moet je met fors bewijs komen waarom jij nergens aan vast zat terwijl je toch ‘samen’ aan de slag was.

En die eis dat het schriftelijk vastgelegd moet zijn en dat je er op ieder moment onderuitkon? Dat kun je in de praktijk passeren:

Partijen hebben uitvoering gegeven aan de gemaakte afspraken terwijl deze nog verder uitgewerkt en geformaliseerd werden en zijn het over die afspraken ook eens geworden. Daarmee zijn zij stilzwijgend voorbijgegaan aan de schriftelijkheidseis en kan [Gedaagde] zich daarop niet langer beroepen.
Een belangrijke les dus voor iedere ondernemer: denk niet dat je nergens aan vast zit, enkel omdat je nog niet getekend hebt. De praktijk weegt in Nederland zwaarder dan de formele letter. Als je al aan de slag bent, dan ben je (kennelijk) akkoord.

Op onze cursus ICT-contracten krijg ik dit onderwerp ook vaak langs, waarbij dan al snel de vervolgvraag komt: waarom teken je dan eigenlijk een intentieverklaring? Ja, dat is een goede, zeg ik dan altijd. Ik zou niet weten wanneer dat nuttig is, maar je ziet wel vaak dat mensen er door op het verkeerde been gezet worden.

Natuurlijk kan het zijn dat je het alvast eens bent over bepaalde punten, en dan kun je de intentie uitspreken dat deze punten het gaan worden terwijl je over de rest nog onderhandelt. (Een soort ‘vastklikken’ van wat je al afgekaart hebt.) Maar heeft dat veel waarde, als je allebei nog uit elkaar kunt?

Meestal zie je dat een intentieverklaring getekend wordt omdat men “alvast iets” vast wil leggen. Dan is het toch echt beter om een “alvast iets”-overeenkomst te tekenen: een trial licentie, een geheimhoudingscontract, een evaluatiecontract, zoiets.

Vuistregel, de naam van je contract beschrijft wat je wilt gaan doen. Dus als de intentie is, we gaan kijken of het werkt, dan heb je een pilot of een evaluatieovereenkomst. En natuurlijk, heb je enkel een intentie om wat leuks te gaan doen, dan kun je een intentieverklaring tekenen. Maar dan zeg je dus niets toe en ga je nog niets doen.

Arnoud

 

Gordon wil anoniem reageren online onmogelijk maken, maar is dat haalbaar?

Geplaatst op in Uitingsvrijheid, 18 reacties

Zanger en entertainer Gordon is een petitie gestart waarmee hij wil zorgen dat anoniem reageren op internetfora en sociale media niet meer mogelijk is. De SBS-presentator vindt dat mensen een identiteitsbewijs moeten indienen voordat ze een account kunnen aanmaken. “Ik wil ervoor zorgen dat er jurisprudentie komt waar andere collega’s die gestalkt worden of van wie naaktfoto’s worden verstuurd op terug kunnen vallen”, zei hij eerder. Dat gaat nog best eens een probleem worden.

De aanleiding lijkt te zijn geweest dat Gordon een nieuwe televisieserie was begonnen over zijn hondje, dat volgens deskundigen te ziek zou zijn daarvoor. “Wij zien op basis van de vele filmpjes en foto’s dat de fokker van dit hondje zich niet aan alle regels heeft gehouden”, constateert de Hondenbescherming op basis van de voorschriften van de NVWA. Dit gaf vele anonieme commentaren, waarvan een groot deel inderdaad te walgelijk voor woorden is. Bij lang niet alle fora krijgt Gordon daar wat tegen gedaan, en vanwege anonimiteit is het lastig die mensen zelf aan te pakken. Vandaar het plan.

De presentator ziet het als oplossing als mensen niet meer anoniem een online account kunnen aanmaken. Hij stelt bijvoorbeeld voor om inlogs te koppelen aan de DigiD of het BSN. Dat heeft natuurlijk enig effect: wie weet dat zhij te traceren is, zal zich enigszins inhouden bij het doen van al te rare commentaren. Dit zal alleen wel een wetswijziging vereisen: gebruik van BSN voor dit doel – of voorschrijven van DigiD inlog – is niet mogelijk af te dwingen enkel met jurisprudentie. En ook meer algemeen, het eisen dat men de klanten identificeert is iets dat in principe een wet eist.

Je kunt natuurlijk (Lycos/Pessers) eisen dat het platform geeft wat men heeft, zoals het IP-adres. Maar stel nu eens dat ook het BSN of de gegevens van de DigiD-inlog daarbij zitten. Dan heb je toch nog steeds dezelfde route? Je elimineert alleen de tweede stap naar de internetprovider die IP-adres naar abonnee kan vertalen. Heel veel effectiever lijkt me dat niet.

In uitzonderlijke gevallen kun je binnen de huidige jurisprudentie de platformaanbieder aansprakelijk stellen. Het Delfi-arrest uit 2015 bepaalde dat een website die zeer controversiële berichten plaatst en weet dat daar grove, onrechtmatige reacties op gaan komen, zelf aansprakelijk is voor de inhoud daarvan. Wel lijkt het Hof de lat redelijk hoog te leggen: niet bij theoretisch mogelijk strafbare zaken, maar evidente dat-kan-écht-niet doodsbedreigingen en uitspraken die “tegen de menselijke waardigheid” ingaan. Dat lijkt dan aan te sluiten bij de regel die we al kennen bij de Europese notice/takedowns: alleen bij evident onrechtmatige zaken moet je ingrijpen als hoster of beheerder – en nee, niet alleen bij klachten, ook als je er zelf achter komt. Als je het zo bekijkt, dan zegt het Hof dus, je moet je comments gewoon lézen en als je dat-kan-écht-niet zaken ziet, dan moet je ingrijpen. Lees je niet, dan is dat jouw probleem. En Delfi deed weinig, te weinig, om in te grijpen bij dergelijke reacties.

Indirect zou van zo’n aansprakelijkheid een dreiging uit kunnen gaan naar platformeigenaren: als je dát soort troep doorlaat, dan ben je kennelijk zelf aan te spreken, en iemand als Gordon zal dat ook met veel kabaal gaan doen. Dus dan maar beter daarop modereren. Dan krijg je natuurlijk meteen de discussie dat daarmee alle platforms alle negatieve uitingen zullen gaan weren – of stoppen met commentaar in het algemeen – omdat ze niet kunnen modereren op enkel de zeer ernstige gevallen. Ik heb met dat laatste altijd wat moeite gehad. Natuurlijk, vrijheid van meningsuiting is een groot goed maar het soort oprispingen waar we het hier over hebben, zijn die echt niet te onderscheiden van de serieuze kritiek wegens dierenmishandeling die met een tikje emotie wordt geplaatst?

Arnoud

Mag Clubhouse eisen dat je je adresboek deelt?

Geplaatst op in Ondernemingsvrijheid, Privacy, 20 reacties

Clubhouse, de nieuwe social media app, is echt iets voor dummies, aldus een van de vele blogs over deze nieuwe dienst. Want je hoeft er weinig voor te kunnen: alleen luisteren. De app draait namelijk om live gesprekken, zonder beeld of chatten. De app is nieuw en hip, en je kunt er alleen gebruik van maken als je uitgenodigd wordt (en een iPhone hebt). En daarbij een opmerkelijk detail: “Omdat Clubhouse gebruik maakt van je contactenlijst (in je telefoon) ziet de app direct wie van je bekenden er al gebruik maakt van de app.” Dat is even geleden, dat apps je adresboek standaard leegtrekken om zo andere mensen te kunnen werven. Hoe zit dat ook alweer, mocht dat nou of niet?

Je adresboek moet je delen om anderen te kunnen uitnodigen. Doel hiervan is namelijk dat Clubhouse kan zien wie van deze mensen al een account heeft. Maar indirect natuurlijk ook het opbouwen van een groot informatiebestand van kennelijk kapitaalkrachtige mensen met interesse in high tech en het laatste en hipste, je bent startup of niet natuurlijk. (Tenzij je voor de app betaalt, gaat het om je data en niet om de dienstverlening.)

Dit delen van adresboeken is in Europa problematisch, omdat een vermelding in je adresboek een persoonsgegeven is van die contactpersoon. Die mag jij daar hebben – uitzondering voor persoonlijk gebruik en/of toestemming tot communicatie met die persoon. Maar delen van die vermelding met een ander mag in principe gewoon niet, tenzij het netjes is van wel, en in bulk lijkt me eigenlijk nooit netjes. Dat is niet waarom jij in mijn adresboek zit, juridisch gezegd: de doelbinding ontbreekt, en toestemming is er ook al niet. Dus nee.

Tegelijk zie ik ook wel de legitieme behoefte van alleen uitnodigingen willen sturen aan mensen die de app al hebben. Dus dat Clubhouse wil nagaan of een opgegeven genodigde de app heeft, dat lijkt me legitiem. Precies dat was wat Whatsapp vroeger deed, totdat onze AP ingreep: die gegevens mag je wel verwerken, maar niet zodanig dat je ze óók voor gewone marketingdoeleinden (profielopbouw van niet-klanten) kunt inzetten. De dienst stuurt nu alleen hashes van 06-nummers uit het adresboek, en de server kan daarmee zien of iemand al klant is (men heeft dezelfde hash in het klantenbestand) of niet (hash onbekend). Dit is dus wat Clubhouse ook moet gaan doen.

Arnoud

Is een lijst van bekende roodharigen in strijd met de AVG?

Geplaatst op in Privacy, 37 reacties

Deze discussie kan ook alleen op Wikipedia: mag je een lijst van bekende mensen met rood haar publiceren in je online encyclopedie, of is dat in strijd met de AVG? (Dit speelde in januari, maar ik kom er pas net achter dankzij een tipgever.) Je kunt je natuurlijk afvragen hoe encyclopedisch zo’n lijst is, maar als je in de pers rondkijkt dan zie je ook regelmatig lijstjes met de tien langste mensen, tien beroemdheden met een tic en wat al niet meer. Dus waarom zou dit dan ineens een AVG probleem zijn?

Het eerste argument voor verwijdering is volgens mij ook het meest relevant: dit is eigen onderzoek (dus geen bronnen gebruikt) en het is alleen een opsomming, dat is niet encyclopedisch. Dat laatste is de kern van Wikipedia; het moet relevant voor het publiek zijn, waarom is dit nieuwswaardig, naslagwaardig of hoe je dat maar wil zeggen bij Wikipedia.

Het argument daartegen is dat er al vele lijsten rondzwerven van “famous redheads”, dus dat het kennelijk relevant voor het publiek is. Er zijn dan weer geen lijsten van “mannen met blauwe ogen” of “personen met behaarde voeten”, dus het is kennelijk een maatschappelijk relevant criterium, dat rood haar hebben.

En toen kwam de AVG in het spel:

De Autoriteit Persoonsgegevens is hier duidelijk over, mag niet tenzij je aan een van de uitzonderingen voldoet. Een lijst op Wikipedia voldoet niet aan de uitzonderingen. Is rood haar herleidbaar tot iemands ras/etniciteit? Ja, de connectie rood haar en ras/etniciteit is redelijk beschreven in de wetenschappelijke literatuur. Als je dat ook nog eens combineert met iemands land van herkomst en de geboortedatum, ja dan zegt dat zeker wat over ras en etniciteit. Dat maakt dat er toch wel gerede twijfel is of de lijst daarmee in lijn is met de AVG.
In iets juridischer taal is het argument dat “hebben van rood haar” een persoonsgegeven over etnische afkomst is, namelijk mensen wier oorsprong in Groot-Brittannië en Ierland ligt (de Kelten, met name). En dergelijke persoonsgegevens mag je eigenlijk niet verwerken, net zo min als medische gegevens, zonder – kort gezegd – uitdrukkelijke toestemming of een wettelijke regeling die zegt dat het mag. Aan allebei voldoet Wikipedia niet met die lijst.

Nou heb ik zelf de nodige twijfels of dít nu een “etnische afkomst” kenmerk is. Want allereerst is de koppeling tussen dat oorspronggebied en rood haar ondertussen wel behoorlijk vervaagd, als het al zo was dat rood haar primair uit die regio kwam. Want elders lees ik dat rood haar eigenlijk overal ter wereld wel gevonden wordt. En ten tweede heb ik niet het idee dat hiermee een groep wordt afgebakend, zoals de bedoeling is van dat kenmerk.

Maar belangrijker: Wikipedia heeft als encyclopedie iets meer ruimte onder de AVG. Haar publicaties zijn namelijk equivalent aan journalistiek: zij publiceert feiten, meningen en ideeën die van belang zijn voor het publiek. Weliswaar niet actueel, maar als naslag. En daarmee kwalificeert de vrije encyclopedie voor de uitzondering voor journalistieke doeleinden onder de AVG, wat als gevolg heeft dat ze wél bijzondere persoonsgegevens mag gebruiken in haar publicaties als dat relevant is.

Bij een lemma van zeg Geri Halliwell of James Joyce hun rode haar noemen lijkt me op zich wel relevant, gezien beiden daarmee opvielen binnen hun kringen van bekendheid. (Of Vladimir Lenin, ik las het en ik was verrast, dus kennelijk heeft het feit nieuwswaarde.) Dus zelfs als dat een etnisch kenmerk is, dan mag dat.

Een letterlijke lijst, zonder verder enig journalistiek oogmerk anders dan “dit zijn ze allemaal”, is dan weer een stuk twijfelachtiger. Daar is de uitzondering niet op van toepassing, en dan moet je dus wel de discussie gaan voeren of dit gewone dan wel bijzondere persoonsgegevens zijn.

Maar voor mij zou belangrijker zijn: is dit wel encyclopedisch relevant? Ik zie hem niet. Er zit niet eens een poging in om er wat van te maken, in tegenstelling tot de bekende roddelbladen en clickbaitsites met hun “Ook deze mensen waren redheads, van nummer zeven val je van je stoel” artikelen.

Arnoud

 

 

Deliveroo-bezorgers zijn dus echt werknemers, ja daarvoor was een rechtszaak nodig

Geplaatst op in Ondernemingsvrijheid, 35 reacties

Ook in hoger beroep oordeelt de rechter dat de maaltijdbezorgers in feite werknemers zijn, en ze dus als zodanig betaald en behandeld dienen te worden. Dat meldde NRC vorige week. Inderdaad vonniste de rechtbank hetzelfde in 2019, en nu is er dus het Hof dat dit bevestigt. Ongetwijfeld een klap voor het verdienmodel van het ICT-platform dat zich nadrukkelijk niet als maaltijdbezorger wenst te profileren – ja, die leg ik hieronder uit. Maar wel terecht binnen de kaders van de wet, én de maatschappelijke opvattingen.

In twee zaken bij dezelfde rechtbank kwam FNV als vakbond op voor de algemene kwestie of voedselfietsbezorgbedrijf Deliveroo haar bezorgers als zzp’er mocht aanmerken. Dit was een collectieve procedure, waar Deliveroo bezwaar tegen maakte met het argument dat ieder arbeidscontract anders is en de beoordeling of iemand werknemer is ook. Maar de rechter bepaalde meteen dat FNV wél mag procederen over zoiets principieels als dit.

Tegen de uitspraak – ja, ze zijn werknemer – kwam Deliveroo met zo ongeveer alle mogelijke argumenten in het verweer. Onder meer dat ieder contract toch anders is, wat de rechter terzijde schuift: je kunt best een algemene uitspraak doen over mensen die bepaald werk verrichten, en dan eventueel in uitzonderingsgevallen daar weer van afwijken.

Kern van de uitspraak is een arrest uit november, waarin de Hoge Raad bepaalde dat de bedoelingen van partijen er niet toe doet bij de vraag of een contract een arbeidsovereenkomst is. Je kijkt er objectief naar: werkt iemand ‘in dienst’, krijgt zhij ‘loon’ om ‘gedurende zekere tijd’ bepaalde ‘arbeid’ te verrichten. Zo ja, dan is het een arbeidscontract. En dan doet het er niet toe wat er bovenaan het contract staat of zelfs wat je allebei verklaard te hebben gewild.

Dit is ter bescherming van de werknemer, die anders maar al te vaak plechtig zal verklaren zzp’er wilde te zijn. Wat precies is dat er gebeurde bij Deliveroo, dat in februari 2018 al haar werknemers uitnodigde voor zichzelf te beginnen en tot haar grote vreugde van ontzettend veel zzp’ers een aanbod kreeg om pakketjes te bezorgen. Ja, zo generiek is het:

Deliveroo heeft verder betwist dat het bezorgen van maaltijden voor haar een kernactiviteit betreft. Zij stelt dat zij een IT-bedrijf is, en het bezorgen van maaltijden daarbij slechts van ondergeschikte betekenis is.
(Ik ben niet aansprakelijk voor koffie op de monitor.) Droogjes constateert het Gerechtshof dat zij “kan Deliveroo hierin niet volgen.” Ik denk dat we dit standpunt voor marktplaatspartijen maar eens naar de giechel-afvalbak gaan verwijzen.

Dat de bezorgers een vergoeding krijgen, staat buiten kijf. Maar is dat loon? Dat is natuurlijk lastig te zeggen. Het Hof vindt belangrijk dat wat je aan het eind van de maand overhoudt, niet véél meer is dan het minimumloon uit de wet. Daar schemert doorheen dat zzp’ers meestal toch voor meer dan dat willen werken. Wat niet meehelpt is dat Deliveroo de vergoeding eenzijdig kan aanpassen, wat niet logisch is bij zzp’ers, en dat haar standaardcontract de aanname bevat dat de bezorger “hobbymatig” de werkzaamheden verricht in de zin van de belastingwetgeving.

Belangrijker is de vraag of zij ‘in dienst’ zijn, oftewel of Deliveroo gezag kan uitoefenen over de bezorgers. Dat lijkt het geval: Deliveroo zegt waar je moet zijn en hoe laat je moet leveren om geld te verdienen. Daarbij komt dat wat de bezorgers doen, eigenlijk gewoon de “kernarbeid” van het bedrijf is. Een zzp’er haal je er eerder bij om iets incidenteels te doen. De ict van een juristenkantoor, bijvoorbeeld, of de website van een bakker. Wie brood komt bakken bij die bakker, zal wel werknemer zijn en geen gedetacheerde zzp’er dus.

Maar ook de techniek kan gezag uitoefenen:

Het GPS-systeem geeft Deliveroo daarmee een vergaande controlemogelijkheid op de werkwijze van de bezorger. FNV heeft erop gewezen, en zulks komt het hof ook aannemelijk voor, dat deze GPS-bekendheid ook een druk op de bezorger uitoefent. De klant rekent op bezorging van een maaltijd op een bepaald tijdstip; wanneer een bezorger bijvoorbeeld langzamer gaat fietsen, dan zal de klant (en daarmee Deliveroo) hierover teleurgesteld zijn, hetgeen een bezorger menselijkerwijs zal willen proberen te voorkomen. Het GPS-systeem geeft Deliveroo (al dan niet via haar klanten) dus een vergaande controlemogelijkheid, die eveneens als een vorm van gezag is aan te merken.
Daar komt bij dat de bezorgers zich naar buiten toe moeten profileren als “iemand van Deliveroo”, zodat restaurants weten wie hun maaltijden bezorgt en passanten eventuele overlast kunnen melden bij Deliveroo. Alles bij elkaar (en dat is de juridische standaard) zijn de Deliveroo-bezorgers dus gewoon werknemers.

De criteria zijn redelijk op het bedrijf gericht maar ik denk dat je dit vrij eenvoudig ook kunt toepassen op andere fietsbezorgdiensten en andere door platforms gecoördineerde individuen.

Arnoud

Leveranciers GPS-horloges doen tevergeefs beroep op AVG tegen concurrenten

Geplaatst op in Ondernemingsvrijheid, Privacy, 10 reacties

Een poging van twee leveranciers van GPS-horloges om een concurrent aan te pakken via de privacywet AVG is tot nu toe niet geslaagd. Dat meldde het FD onlangs. De rechtszaak was aangespannen omdat de concurrent de AVG zou overtreden, en daarmee een oneerlijke voorsprong zou nemen op de wél netjes AVG-compliant opererende eisers uit de zaak. Maar volgens de rechter is de AVG niet bedoeld om concurrenten mee aan te pakken; alleen consumenten en de AP kunnen zich op deze wet beroepen. Buitengewoon jammer!

De rechtszaak was aangespannen door Leading Care Technologies (LCT) en Lifewatcher uit Zoetermeer. Deze bedrijven leveren GPS-horloges aan ouderen, die daarmee direct contact kunnen houden met verzorgers. Alles netjes geregeld, zo te lezen: ze kopen in bij een Oostenrijks bedrijf en voor de verwerking van persoonsgegevens is een verwerkersovereenkomst gesloten met de leverancier.

De gedaagde was iets makkelijker: het door hem geleverde horloge en de app komen uit China. De app is gratis en kan gedownload worden uit de app-stores van Apple en Google, zonder enige check of toezicht vanuit de verkoper. Dat lijkt mij ook niet direct AVG-compliant, dus ik snap wel dat je je dan gefrustreerd voelt als concurrent die wél hard z’n best doet.

Het vonnis laat zien dat het gaat om de ‘relativiteit’, is het wel de bedoeling dat deze wet voor dit doel wordt ingezet. De AVG is een vertaling van het grondrecht van grip op je persoonsgegevens, en dat is per definitie iets persoonlijks waar gewone mensen wat aan hebben. De concurrent van een gebruiker van persoonsgegevens heeft weinig te maken met mijn grondrechten als betrokkene.

Het is natuurlijk erg jammer want juist private handhaving heeft bij dit soort wetgeving het meeste effect. Kijk naar reclamerecht en oneerlijke handelspraktijken: daar gaat het erg netjes mee in Nederland, omdat iedereen weet dat de concurrent in je nek springt als je ten onrechte zegt dat je goedkoper, sneller, beter of compatibeler bent.

Formeel is natuurlijk ook die wetgeving gericht op bescherming van consumenten, maar in de Europese Richtlijn over handelspraktijken staat vrij expliciet dat deze indirect legitieme ondernemingen beschermt tegen concurrenten die de regels in de richtlijn niet in acht nemen. Een dergelijke opmerking ontbreekt in de AVG, dus dat argument gaat hier niet op.

Dat had bij de AVG ook best kunnen werken: wie persoonsgegevens oneerlijk verwerkt, zet zichzelf op een oneerlijke voorsprong en daar lijdt de concurrent schade door. En bedrijven zijn prima in staat om in te schatten waar een bedrijf de fout in gaat met een wet als de AVG. Maar daar zet de rechter nu dus een streep door. Gemiste kans.

Opvallend nog is wat de rechter zegt over de gratis app. Die zou oneerlijke concurrentie opleveren: een gooi-en-smijt app met mogelijk Chinese achterdeur versus een zorgvuldig ontwikkelde en pas na dpia uitgebrachte Europese app, dat gaat nergens over natuurlijk. Maar nee:

Op computers kan gratis software worden geïnstalleerd en ook met de mogelijkheid om via App Store of Google Play Store gratis apps te downloaden zijn gebruikers van smartphones en tablets al jaren bekend. Ook de eventueel daaraan verbonden voor- en nadelen mogen inmiddels bekend worden verondersteld. Eén van die gratis apps is de SeTracker app, die niet alleen op de door Avium geleverd GPS-horloges werkt maar door iedereen op een geschikt apparaat, zoals een smartwatch of smartphone, kan worden geïnstalleerd.
Dit voelt wel erg kort door de bocht: iedereen weet dat gratis apps de privacy kunnen schenden, dus het is niet oneerlijk als een bedrijf daarvoor kiest. Zolang ze maar eerlijk zijn dat je AVG-technisch kaalgesnuffeld wordt. Daar heb ik geen juridische argumenten meer tegen.

Arnoud