Wanneer is een mail aangekomen als deze in een spamfilter blijft hangen?

Geplaatst op in Ondernemingsvrijheid, Regulering, 107 reacties

Een lezer vroeg me:

Naar aanleiding van een discussie die ik had met andere IT’ers over de macht van MS en Google in de wereld van e-mail en hun interne reputatie systeem vroeg ik me af of een mail juridisch gezien is ‘aangekomen’ als mailprovider Microsoft of Google besluit deze als spam aan te merken en weg te gooien?
Hoofdregel bij communicatie is dat de afzender moet bewijzen dat de ontvanger deze heeft ontvangen. Daarbij maakt het niet uit of je met aangetekende post, e-mail of een WhatsApp-bericht communiceert. Het bewijs mag op iedere manier worden geleverd: een screenshot van twee blauwe vinkjes in de WhatsApp client is prima bewijs, een handtekeningbriefje aangeleverd door PostNL ook.

Bij e-mail is er eigenlijk geen goed mechanisme. Het beste werkt nog altijd de reply door de ontvanger zelf. Ook als deze in de reply zegt “hier klopt niets van” of “ik weiger uw e-mail en wens alleen post te ontvangen” (die kreeg mijn incassobureau eens). Waar het om gaat, is of de mail is aangekomen. En dat is ‘ie, als je daarop reageert.

Er zijn trucjes met cookies of transparante pixels waarmee je ontvangstbevestigingen kunt proberen te construeren. Als een bepaalde pixel wordt ingeladen die enkel en alleen in die e-mail was ingevoegd, dan zal die e-mail wel geopend zijn door de ontvanger, is dan het idee. Nog nooit getest, maar het zou kunnen. Maar veel mailprogramma’s blokkeren zulke trucs, en dan sta je nog nergens. Wie écht zekerheid wil, stopt berichten in een portaal en logt wanneer de ontvanger daarop inlogt om het bericht aan te klikken.

Maar goed, de spamfilter. Als jij een spamfilter instelt (bv. alles met “Advertisement” in de subject weggooien) dan is dat jouw risico natuurlijk. Hanteert de provider van de afzender een spamfilter, dan is dat zijn risico. Die twee zijn makkelijk.

Wanneer je een e-maildienst bij een derde afneemt, zoals Microsoft of Google, en deze besluit mail weg te gooien zonder jou in te lichten of zelfs maar in een mapje Spam te zetten, dan ben ik geneigd gewoon te concluderen dat de mail bij de ontvanger is aangekomen. Dat hij een spamdienst afneemt die zo agressief opereert, dat is zijn risico. (Microsoft als postbodebijtende hond?)

Het lastige blijft natuurlijk te bewijzen dát de mail in dat spamfilter is aangekomen. Maildiensten melden dat zelden tot nooit terug, vanwege de overlast die dat geeft. Praktisch gezien heb je er dus weinig aan, behalve in het geval dat iemand zegt “ah ja ik zie je mail nu, hij zat al drie weken in de spam”.

Arnoud

Wat mogen we in 2021 van legal tech verwachten? #legaltechtuesday

Geplaatst op in Innovatie, 3 reacties

Legal tech staat sterk in de belangstelling, en dat heeft vele redenen. Een belangrijke is dat er in de ICT-industrie steeds meer mogelijk is en (gesteund door durfkapitaal) bedrijven steeds meer sectoren gaan ‘aanpakken’. De juridische sector is dan een relatief makkelijke, omdat veel advocatenkantoren nog zeer traditioneel werken. Er is dus veel te halen. Ook weegt mee dat bedrijven – de afnemers van juridische diensten dus – graag op een prettiger manier met die juridische diensten omgaan.

De term legal tech is breed: alle technologie en software waarmee de juridische sector zijn voordeel kan doen. In de klassieke vorm spreken we van automatisering: het versnellen en automatisch uitvoeren van bestaande processen. Maar legal tech is gericht op het transformeren van die processen. Een contract wordt niet gemaakt met een tekstverwerker maar met een wizard. Dossiers screent u met een robot die alvast aangeeft wat relevant is. Bij het opstellen van een dagvaarding wordt relevante literatuur en jurisprudentie meteen aangedragen. En er zijn nog veel meer gebieden of werkzaamheden te bedenken waar legal tech ingezet kan worden.

Het oudste gebied waar legal tech ingezet wordt, is gewoon op kantoor. Legal tech is dan het vervolg op de klassieke kantoorautomatisering. Bekende punten voor inzet van legal tech zijn dan:

  • Contractmanagement
  • Dossiermanagement
  • Praktijkondersteuning
  • Facturatie en tijdschrijven
  • Contractgeneratie
  • Jurisprudentie- en bronnenonderzoek
  • Ondersteunijg bij discovery-procedures
Ik licht contractmanagement er even uit. Hieronder worden alle handelingen rond contracten verstaan die niet gaan over de inhoud, zoals het onderhandelen en afstemmen van bepalingen. Denk aan het bewaken van opzegtermijnen, het zoeken naar alle contracten met een specifieke partij of die een specifieke afspraak betreffen of het inventariseren van de kosten (of inkomsten) die met een bepaald type contract gehaald worden. Dit is een onderdeel waar nog heel veel winst gehaald kan worden.

Een kernwoord bij contractmanagement is metadata: informatie over de data. Oftewel, de extractie van kennis uit een lap tekst. Het automatisch zoeken naar metadata in documenten gaat steeds gemakkelijker met machine learning (zie hieronder) algoritmen: die kunnen automatisch getallen, namen en plaatsen en dergelijke identificeren. Zo kunnen partijen uit een contract worden gevist, of kan een aansprakelijkheidsclausule worden geclassificeerd als hoog (meer dan 1 miljoen), middel (50k tot 1 miljoen) of laag (tot 50k) risico op basis van het getal dat men aantreft. Grote voordeel is dat niet het hele contract gelezen moet worden, zodat bij een hele berg contracten tegelijk deze analyse toch snel een eerste indruk geeft.

De hierboven besproken vormen van legal tech zijn in principe gericht op de juridische professional, zoals de advocaat of bedrijfsjurist. Deze verbetert zo haar manier van werken, bijvoorbeeld omdat zij nu sneller aan de gang kan met een dagvaarding nadat een legal tech systeem de relevante jurisprudentie heeft opgelepeld. Maar de cliënt merkt daar weinig van. Er is echter ook legal tech die gericht is op het beter bedienen van de cliënt.

  • Contractgeneratie
  • Dossierbeheer
  • Marktplaatsen voor juridische dienstverlening
  • Intake-diensten
  • Digitaal onderhandelen en ondertekenen
Nog een stap verder gaan vormen van legal tech waarbij de technologie een nieuwe dienst mogelijk maakt. Dit kan zowel intern voor de juridische professional zelf worden ingezet, als naar de klant toe als dienst worden aangeboden. Hiermee kan een kantoor zichzelf vérgaand transformeren.

Deze nieuwe diensten kenmerken zich vrijwel altijd door de inzet van machine learning, wat dan in de folder artificial intelligence wordt genoemd. Want die echte stap voorwaarts komt er meestal op neer dat je een machine iets laat doen dat een mens (een jurist dus) eerst deed. Beoordelen van de inhoud, of dat nu een contractuele clausule (“hm, deze is nogal streng”) of een offerte (“dit lijkt me 30 uur werk”) betreft.

Deze stap is écht nieuw en daarmee écht beangstigend. Ik zie het dan ook niet snel gebeuren dat dit grootschalig ingezet gaat worden. Dat hoeft ook niet, je moet namelijk ook klein beginnen. Laat met één of twee specifieke toepassingen zien hoe zo’n systeem tot succes en kostenbesparing kan leiden, en dan komen er vanzelf nieuwe.

Een concreet voorbeeld van waar ik nu aan werk, is DPA Lynn. Dit is de collega van NDA Lynn die verwerkersovereenkomsten (data processing agreements, DPAs) kan screenen. Net als bij NDA Lynn rolt daar dan een advies uit over de verschillende clausules. Zo weet je als privacy professional snel of een DPA überhaupt geschikt is als discussiestuk – een verwerker zit niet te wachten op een eenzijdig verhaal vol aansprakelijkheden, ellenlange security-eisen en ook nog eens een boetebeding. En een verantwoordelijke wil juist horen of die DPA meer is dan alleen netjes de AVG geparafraseerd.

Betekent dit nu dat alle stappen van een DPA onderhandelen overgenomen worden? Nee. Je krijgt rode vlaggen, en als ik de dataset goed opzet krijg je ook een redline terug met wat wél nuttige clausules zijn. Daarna ga je het zelf doen. Dat scheelt je dus tijd, maar je blijft zelf in control  bij het uitwerken van het document.

Is dat nou wezenlijk anders? Ja, vind ik wel. “Sorry, zelfs een robot vindt dit prutswerk, hier kunnen we niet mee verder” is toch een heel andere insteek dan toch elke keer maar dat document uitgebreid aanpassen.

Arnoud

Politie haalt servers voor ‘crimineel’ vpn-netwerk Safe-Inet offline

Geplaatst op in Regulering, 26 reacties

U ook een gelukkig 2021. Nog nagekomen uit december: De Nederlandse politie heeft deelgenomen aan een omvangrijke actie tegen Safe-Inet, een vpn-aanbieder die zijn diensten aan de criminele onderwereld zou aanbieden. De dienst zou onder andere bij ransomwareaanvallen ingezet zijn. Dat meldde Tweakers. Inbeslagname vond internationaal plaats: servers zijn meegenomen in Duitsland, Nederland, Zwitserland, Frankrijk en de Verenigde Staten. Het riep wel vele vragen op, want een vpn dienst is toch gewoon een middel, hoezo kun je daarvan dan zeggen dat ze strafbaar zijn omdat anderen er bijvoorbeeld ransomware mee faciliteren?

Natuurlijk is het aanbieden van virtual private networks op zich legaal. Dat is gewoon een dienst, en hoewel daar illegaal gebruik van te maken is (om jezelf te verbergen bij de uitvoering van misdrijven, dus) zijn er ook genoeg legale toepassingen. Denk aan sites die op IP-adressen blokkeren, of netwerkaanbieders die meeluisteren, om er een paar te noemen.

Hier gaat het echter om een vpn aanbieder die nadrukkelijk zichzelf profileert als handige dienst voor criminelen. Zo lees ik in vele bronnen dat men eigenlijk alleen adverteerde op hackfora en andere plekken waarvan bekend is dat crimineeltjes (‘scriptkiddies’ en dergelijke) er actief zijn. Ook zouden reclameberichten nadrukkelijk wijzen op het niet gevonden kunnen worden door opsporingsdiensten, wat ik een heel ander verhaal vind dan “laat het internetcafé niet meelezen” of zelfs “zorg dat Brein je niet krijgt”.

Er ligt ergens een grens waarna we gedrag niet langer neutraal of gewoon handelaar vinden, maar medeplichtigheid of faciliterend. Die grens is niet hard te trekken, maar van wat ik er van lees is Safe-Inet die wel over gegaan met deze opstelling in de markt. In ieder geval op dat niveau dat de politie de servers in beslag kan nemen, want de grens daarvoor is “verdenking van misdrijf” en niet “veroordeling”.

Arnoud

Belgen mogen slimme meter weigeren om gezondheidsredenen

Geplaatst op in Regulering, 121 reacties

Belgen mogen een slimme meter in de toekomst mogelijk toch weigeren, las ik bij Tweakers. Dit blijkt uit een uitspraak van het Grondwettelijk Hof, dat moest oordelen over de plicht om zo’n apparaat in je huis te laten installeren. De klagers vonden dat de slimme meters onder andere in strijd zijn met ‘het recht op een gezond leefmilieu’. Ze stellen dat ‘elektrogevoelige personen’ last kunnen hebben van de elektromagnetische straling van de draadloze meters. Daar gaat het Grondwettelijk Hof in mee. Wat natuurlijk veel vraagtekens opriep, want bestaat dat überhaupt wel medisch gezien, elektrogevoeligheid, en hoezo mag je dan zo’n meter weigeren?

De Brusselse ordonnantie die centraal staat in de uitspraak, regelt de uitrol van de slimme gas- en elektriciteitsmeters in Brussel. Dergelijke ‘slimme’ meters zijn uitgerust met een communicerende functie waarmee gegevens kunnen worden verzonden en ontvangen. Deze functie gebruikt draadloze transmissie, en daar hebben sommige mensen moeite mee: elektrogevoeligheid of elektrohypersensitiviteit heet het dan, mensen ondervinden allerhande gezondheidsklachten. Meestal lastige symptomen zoals hoofdpijn, misselijkheid of neerslachtige gevoelens.

Ik typ deze termen met enige aarzeling, omdat ik weet (zie de discussie bij Tweakers) dat dit erg gevoelig ligt: wetenschappelijk is er nog nooit een duidelijk verband aangetoond tussen elektromagnetische straling en de gezondheidsklachten waarop mensen zich dan beroepen. En als je dan ook nog weet dat een magnetron of mobiele telefoon ook al fors straling uitzendt (en de zon ook een enorme bron van EM is) dan zie je al snel een houding van “wat een flauwekul”. En in dit geval helemaal: heeft dit Grondwettelijk Hof nu gewoon erkend dat die flauwekul juridisch een recht oplevert?

Nou ja, niet helemaal. Nergens in de uitspraak zegt men dat dit fenomeen wetenschappelijk erkend is, of dat iedereen mag roepen elektrosensitief te zijn om vervolgens de meter te mogen weigeren. De kern is vooral dat de ordonnantie geen uitzondering vanwege gezondheidsredenen bevat op de plicht gedwongen een meter in je huis te krijgen. En dat is in Europa een probleem, omdat je bij alle wet- en regelgeving wél rekening met gezondheid moet houden (art. 35 Handvest Grondrechten EU).

Verder is het natuurlijk wel zo dat die mensen écht die klachten hebben. Waar ze aan te wijten zijn, is vanuit gezondheidsperspectief minder van belang. Iemand is ziek als hij door klachten niet goed functioneert, ook als onduidelijk is wat de klachten veroorzaakt en ook als de geclaimde oorzaak onzinnig zou zijn. Hetzelfde geldt voor medicatie: iets geneest als het de klachten wegneemt, ook als we niet weten waarom. (Fun fact: we weten niet waarom paracetamol werkt.)

Het is een feit dat er mensen zijn die ontzettend veel last hebben van klachten die correlatie hebben met apparaten die worden gepercipieerd als sterk stralend. En als overheid heb je daar rekening mee te houden, zeker in gevallen waarin je ze iets in hun eigen huis opdringt dat de klachten verergert. Het maakt dan niet uit of het probleem werkelijk door die straling komt, door een psychische aandoening of iets heel anders: die klachten waren er niet en zijn er nu wel, en ze gaan weer weg als de meter het huis uit gaat. Hoe hard is het dan om te zeggen, die klachten zijn onzin en die meter blijft lekker hangen? Ik kan er wérkelijk niet bij.

Het Grondwettelijk Hof ziet nog een extra argument, namelijk dat die meter net zo goed bedraad kan communiceren. Ik neem aan dat die dingen draadloos communiceren omdat een draad trekken iets duurder is, maar dat vind ik geen sterk argument als je dat tegenover het grondrecht op gezondheid zet:

Volgens het Hof kan de mogelijke blootstelling aan elektromagnetische straling, voor de personen die daardoor een gezondheidsrisico lopen, leiden tot een aanzienlijke achteruitgang van het beschermingsniveau van hun recht op een gezond leefmilieu. Voor die aanzienlijke achteruitgang bestaat geen redelijke verantwoording, vermits elektromagnetische straling eenvoudig kan worden weggenomen door middel van een bekabeling.
De gemeente moet dus terug naar de tekentafel en een uitzonderingsregeling opnemen voor mensen die aantoonbaar serieuze last krijgen nadat de draadloze meter is geplaatst. En dat klopt juridisch dus helemaal, ongeacht de oorzaak van die klachten.

Ik begrijp goed dat er veel mensen nu denken, wat raar want die klachten kómen helemaal niet door de straling uit die meter. En er hebben vast mensen nu al onderzoeken paraat dat het komt door de zorgen over de meter, reeds bestaande psychische condities enzovoorts. Dat zal allemaal best, maar daar gáát het niet om. Het punt is, ga je als overheid mensen gezondheidsschade opdringen door in hun eigen huis een ding op te hangen dat de klachten verergert? Met dus als enige reden dat een draadloze meter goedkoper is?

(Let op dat “eigen huis”: je kunt als burger niet met een beroep op je gezondheid eisen dat je wandelroute vrij van 5G masten moet zijn of dat de bus geen wifi mag hebben.)

Arnoud

 

Legal tech is er juist niet voor de advocaten #legaltechtuesday

Geplaatst op in Innovatie, nog geen reacties

Vanwege de naam legal tech wordt nogal eens gedacht dat dergelijke tools ingezet moet worden door juristen, de juridische mensen. En zeker in het begin is legal tech vooral afgenomen door bedrijfsjuristen en advocatenkantoren, in de hoop daarmee efficiënter te kunnen werken. Bovendien waren er voor leveranciers van dergelijke tools grote winsten te behalen bij het leveren van technologie aan advocatenkantoren. Denk aan tools om bij een bedrijfsovername snel de gehele stape historische contracten door te nemen, of bij een rechtszaak relevante jurisprudentie op te duikelen.

Legal tech is echter breder dan alleen advocaten. Dergelijke tooling automatiseert juridische processen, en die zijn in de hele organisatie aanwezig. Niet alleen bij de juristen of bij HR (arbeidscontracten), maar ook bij bijvoorbeeld sales (leveringscontracten, offertes) en inkoop (leverancierscontracten, inkoopvoorwaarden), facility management (ook veel inkoop) en zo kan ik nog wel even doorgaan. En juist daar is de winst te halen.

Een voorbeeld. Bij een mkb-bedrijf in de ict was één zwaar overwerkte bedrijfsjurist verantwoordelijk voor alle contracten. Omdat het product (een handige app voor de agrarische sector) zeer snel liep, besloot de directeur samen met de jurist tot aanschaf van een contractmanagementtool. Daarmee zou zijn werk een stuk soepeler moeten lopen. Helaas bleek dat tegen te vallen: de steile leercurve en de tijd voor het ‘voeden’ van het systeem zorgde alleen maar voor meer vertraging bij de arme jurist.

Daarop besloot de directeur tot een rondvraag: wie zou baat hebben bij deze tool. Dat bleken de salesmedewerkers wel te hebben, en zij draaiden in een weekend hun standaard offerte met varianten voor de service level agreement in het systeem. Zo konden zij in de gewone gevallen snel een contract samenstellen, inclusief varianten die ze met de jurist afgestemd hadden. Die arme man werd vervolgens pas weer gebeld als de klanten rare dingen wilden. En zo hoort het, wat mij betreft.

Wie een legal tech kantoor wil hebben, moet dus klein beginnen. Zoek laaghangend fruit, oftewel welke afdeling zou het makkelijkst te overtuigen zijn van het nut van deze tooling én kan mooi laten zien welke voordelen het heeft. Je komt dan vaak bij facilitaire afdelingen uit, zoals personeelszaken. De mensen hier werken vaak met contracten (arbeidsovereenkomsten, reglementen, werkafspraken) maar zijn daar niet perse specialist in. Ook wijzigen de regels vaak en moeten er dan snel knopen doorgehakt worden: wat betekent dit voor lopende contracten en voor nieuwe? Dergelijke omstandigheden zijn een vruchtbare bron om een nieuwe oplossing in te voeren.

Arnoud

Nokia, bestaat dat nog? Ja, juist! Dankzij patenten

Geplaatst op in Innovatie, 25 reacties

Slepende patentruzies zijn al lang niet meer het exclusieve domein van smartphonefabrikanten en chipmakers. Dat meldde NRC laatst. Alles wat ‘smart’ is, kan inzet worden van juridische strijd. Dat schaadt de mededinging, vinden critici. De aloude patentendiscussie is terug, met een nieuw ICT-jasje want nu gaat het om ‘smart’ apparaten. Maar stiekem gaat het om macht in standaardisatie, en dat is volstrekt niet nieuw.

Wie deze blog al langer volgt, weet dat softwarepatenten erg gevoelig liggen in de ICT. Daar zijn vele redenen voor: jarenlang zijn zonder al te veel controle duizenden octrooien toegewezen in softwaregebied, volstrekte trivialiteiten werden ineens basispatenten, interoperabiliteit werd gehinderd en er was nul bewijs dat het überhaupt iets zou toevoegen. (En wie dat niet weet, leest mijn Puinhopen-artikel maar eens.)

Kern van het probleem zit hem volgens mij in het feit dat het octrooisysteem komt uit een wereld waarin uitvindingen op zichzelf staan. Ik heb de fiets uitgevonden, jij de step: wij gaan beiden de markt op en zien wie er wint, maar slaafse namaak kunnen we allebei weren. Jij vindt de bel uit, ik moet een licentie kopen bij jou of volstaan met een claxon.

In de ICT hangen alle diensten van de interoperabiliteit aan elkaar. Bestanden lezen uit andermans pakket, je uitvoer doorsturen naar andermans software of gewoon een pakket maken dat diverse dingen kan. Als op elk van die dingen een octrooi zit, dan moet je dus van héél veel mensen een licentie vragen. En als die dat niet willen, dan heb je gewoon een probleem.

Nu is er heel veel discussie (en sinds een paar jaar ook strenge grenzen) over wat voor software je mag patenteren. Maar dat dat mag bij telecomtechnologie, dat staat wel buiten kijf. En daar gaat het NRC-artikel dan ook over:

Nokia heeft de slag om de consument dan wel verloren, het bedrijf heeft een uitgebreide en nog altijd groeiende portefeuille van bijna 3.000 ‘patentfamilies’ op draadloze technologieën zoals 3G, 4G en 5G, blijkt uit het jongste jaarverslag. Licentievergoedingen voor gebruik van intellectuele eigendom zijn tegenwoordig zelfs de belangrijkste inkomstenbron van het bedrijf, […] Nokia behoort daarmee tot een relatief kleine groep multinationals die het overgrote deel van de octrooien bezitten op cruciale communicatie- en netwerktechnologieën, waaronder 3G, 4G, 5G en wifi.
Geld halen uit zulke octrooien is natuurlijk heel lucratief. Inbreuk hoef je niet te bewijzen, een alternatief kan men niet kiezen, dus mogen wij even vangen? Het aantal rechtszaken over patenten die betrekking hebben op cruciale communicatie- en netwerktechnologieën loopt inmiddels in de duizenden, aldus onderzoek. En dat komt dus weer vanwege al die ‘smart’ kastjes, die namelijk 3/4/5G of wifi nodig hebben om persoonsgegevens te lekken, pardon om toegevoegdewaardediensten te leveren. Wie daar patenten op heeft, kan dus flink binnenlopen. Of dwarszitten.

Moet dat bij zulke essentiële standaarden wel kunnen? De consensus is, nou nee eigenlijk niet. Een redelijke vergoeding is tot daar aan toe, maar die moet wel fair, redelijk en niet-discriminatoir zijn:

Het meest concrete voorstel dat op tafel ligt, komt van een onderzoeksgroep onder leiding van hoogleraar Rudi Bekkers. In opdracht van de Europese Commissie onderzocht die groep de haalbaarheid van een onafhankelijk instituut om te beoordelen welke patenten daadwerkelijk „essentieel” zijn voor technologische standaarden. Zo’n beoordeling is een monsterklus, gezien de onmetelijke lijst van patenten die onder de loep moeten worden genomen. Maar het kan, concludeerden Bekkers en zijn collega’s. En het is nodig.
In mijn ervaring is het zo goed als onmogelijk om die klus voor elkaar te krijgen, dus ik ben héél benieuwd wat de uitkomsten gaan zijn. Het zou ontzettend mooi zijn als die wél laat zien wat er essentieel is.

De volgende stap is natuurlijk vaststellen wat dan een eerlijk bedrag moet zijn. Hoe meet je de bijdrage van één octrooi in de 5G standaard? Welk bedrag koppel je daar aan? Daar zie ik vooralsnog geen antwoord op.

Arnoud

Ik wil niet dat mijn klanten mijn identiteitsbewijs scannen!

Geplaatst op in Privacy, Security, 20 reacties

Een lezer vroeg me:

Als ik als IT-medewerker een bepaalde klant bezoek, moet ik me identificeren aan de deur. Fair enough, maar sinds kort moet mijn identiteitsbewijs in een scanner “ter verificatie”. Ik heb daar vraagtekens bij want als bezoeker kun je niet controleren wat de hardware en software (“Paspoort scanner” en een standaard Windows PC) wel en niet doet. Men zegt dan wel dat alles in het apparaat gebeurt en niets wordt opgeslagen, maar hoe controleer je dat? En mijn werkgever zegt dat ik gewoon naar binnen moet. Wat moet ik nu doen?
Een identiteitscontrole van een bezoeker kan gerechtvaardigd zijn, ik denk dat daar weinig discussie over bestaat. En dat je dan wil controleren of het ID-bewijs van die bezoeker echt is, dat snap ik ook. Daar zijn diverse kastjes voor, op de markt vaak bekend onder de term “ID scanner”. Die kunnen echtheidskenmerken controleren en gegevens uitlezen, en soms zelfs daar meteen een bezoekerspas mee maken.

Inzet van zo’n kastje lijkt me op zich geen probleem. Dat ondersteunt de taak die je toch al hebt, en past binnen de goede uitvoering van die noodzakelijke identiteitscontrole. Je had toch al onderbouwd (op papier) waarom je die controle moest doen, nietwaar?

Het is natuurlijk lastig te zien voor mensen wat er gebeurt met hun gegevens. Zelfs als het los kastje met alleen een stroomkabeltje is, dan nog zou deze via wifi van alles door kunnen geven. Dat mag niet als daar geen goede reden voor is.

Er zijn bedrijven die online identiteitsverificatie / ID controle doen; het kastje is dan alleen een scanner en verzendapparaat naar de dienstverlener die dan de resultaten teruggeeft. Als dat is hoe het bedrijf werkt, dan kan dat (dat bedrijf is dan een verwerker immers) maar dat moet dan wel duidelijk uitgelegd worden.

Dat is dan ook het theoretische antwoord: er mag niets dat niet duidelijk is toegelicht, dus op zijn minst moet je kunnen vragen wat er gebeurt en moet de beveiliger/portier/receptionist hier adequaat antwoord op kunnen geven. Bijvoorbeeld met een folder met toelichting.

Voel je je daar niet prettig bij, of heb je twijfels over of het allemaal wel klopt, dan heb je niet zo heel veel mogelijkheden ben ik bang. Je kunt als individu geen DPIA afdwingen, en eisen dat de AP langskomt is ook niet zo kansrijk ben ik bang.

De enige optie die ik zie is dat je naar je werkgever gaat. Die heeft immers een zorgplicht: een goed werkgever laat de privacy van zijn personeel niet in gevaar komen. Die moet dus bij die klant nadere informatie en/of waarborgen eisen, of misschien zelfs wel een ander protocol verzinnen. Ik heb zelf wel eens een klant geadviseerd om de standaardmonteurs een vaste bezoekerspas te geven. Dat is dan eenmalig een handmatige controle van identiteit, en daarna toegang met die pas.

Arnoud

Werknemers zien werkgevers vaker monitoringsoftware inzetten

Geplaatst op in Ondernemingsvrijheid, 12 reacties

Sinds werknemers vanwege de coronamaatregelen thuiswerken wordt er vaker door werkgevers gebruikgemaakt van monitoringsoftware om het personeel in de gaten te houden. Dat meldde Security.nl onlangs. Een enquête van GetApp onder ruim duizend Nederlandse werknemers en tweehonderd managers uit het mkb laat zien dat 65 procent van de managers claimt “meer vertrouwen in het personeel te hebben gekregen” door inzet van de software. Gek genoeg vindt meer dan de helft van de medewerkers het niet prettig dat ze wordt gevolgd. En ik durf de stelling wel aan dat die werkgevers stuk voor stuk de AVG overtreden (en het arbeidsrecht).

Mijn handen jeuken als ik dan lees over toestemmingsformulieren, want natúúrlijk gaan werkgevers dan toestemmingsformulieren maken. Hou daarmee op, het heeft geen enkele zin en je vernietigt iedere kans dat je legaal monitort. Want werknemers kunnen niet vrijelijk toestemming geven, da’s een. En twee is dat als jij claimt op grond van toestemming te werken (die trouwens op ieder moment ingetrokken gaat worden) en dat blijkt niet te kunnen, dat je dan niet ineens alsnog mag gaan zitten op “noodzaak uitvoering arbeidsovereenkomst” of een andere grondslag. Dan ben je gewoon af.

Want ja, het moet en het zal op die noodzaak voor het werk. Of, zo je wil, op grond van een eigen gerechtvaardigd belang dat de privacy van de werknemer kan passeren. Die noodzaak voor het werk zal er zelden zijn, zeker bij kantoorwerk. Hoe essentieel is het dan werkelijk dat je nagaat of iemand van 9 tot 5 (minus lunchpauze) achter de laptop zit en typt? Dat krijg je echt niet rond: op kantoor mogen mensen ook af en toe opstaan, met collega’s praten, naar de wc gaan, de benen strekken enzovoorts.

Ook met dat eigen belang kom je er niet. De redenering is eigenlijk dezelfde, er is geen nóódzaak. Het werk kan ook prima zonder toezicht. Al is het maar omdat je op output kunt monitoren. Als je daar dus op stuurt, krijg je hetzelfde resultaat zonder de privacy-schending.

En ja, als er dus werk is waarbij je mensen móet afrekenen op elke minuut werken, dan zou dat anders kunnen liggen. Maar noem mij eens een beroep waarbij het gaat om het aantal toetsaanslagen en fysieke presence achter de laptop? Ja, de chathelpdesk misschien. Daar wil je inderdaad dat er snel wordt gereageerd op een klantvraag en dat men niet wegloopt voor koffie halverwege een chat. (Ik zal maar niet zeggen dat in winkels het “momentje, ik kijk even in het magazijn voor u” vaak ook daarvoor was.) Maar ook dan kun je meten op andere zaken dan het live meekijken.

Bij het AD wordt een bedrijfsmediator geciteerd die het ziet als een door stress ingegeven reactie, want corona, omzetverlies en geen zicht meer op je mensen:

Maar volgens Diercks is dit eigenlijk een heel onvolwassen houding. Dat is zeker het geval als je het personeel gaat controleren. ,,Het is een soort ouderschap. Dan is de reactie van de werknemers dat ze zich als kind gaan gedragen, sommige zullen zich tegen je gaan verzetten. Hoe minder vertrouwen je geeft, hoe minder je terugkrijgt van je personeel.” Daarnaast krijgen werknemers last van stress als ze het idee hebben in de gaten te worden gehouden. ,,Zo’n onveilige situatie kost energie. En omdat je veel tijd aan je werk besteedt, loopt die emmer een keer over.”
Daarnaast zou het me zéér verbazen als bij deze mkb-bedrijven de OR is gevraagd om instemming. (Ja, een OR moet vanaf 50 medewerkers maar mkb is tot 250.) En toch moet dat: structureel mensen volgen om te zien hoe ze werken, is een regeling rond “controle op aanwezigheid, gedrag of prestaties van de in de onderneming werkzame personen” en natuurlijk een “regeling omtrent het verwerken van alsmede de bescherming van de persoonsgegevens”. Bij die instemming moeten doel, scope, omvang en dergelijke zijn voorgelegd. En dan zou een OR zeggen, oh ja leuk volg iedereen maar? Ik geloof er niets van.

Arnoud

Oh sjonge, optimaliseren van onze website is dus een boetewaardige cookietekst

Geplaatst op in Privacy, 12 reacties

De Franse privacyautoriteit CNIL heeft Google en Amazon een boete van respectievelijk 100 miljoen en 35 miljoen euro gegeven, las ik bij Nu.nl. Het boetebesluit is opmerkelijk omdat het gewoon recht voor z’n raap beboet wat veel mensen al lang zeggen maar bedrijven gewoon blijven doen: direct een tracking cookie zetten en ook nog eens in de cookiemelding alleen maar vage teksten als “By using this website, you accept our use of cookies allowing to offer and improve our services. Read More” te hanteren. Het blijft me verbazen, dat iedereen daar gewoon mee doorging.

Of nou ja, eigenlijk ook weer niet want iedereen doet het en er werd toch niet op gehandhaafd. Maar ik had denk ik wel ergens verwacht dat die vage teksten als “wij gebruiken cookies om uw bezoekerservaring te optimaliseren” wel zouden verdwijnen toen de AVG haar intocht maakte. Dat blijkt dus fors tegen te vallen.

De CNIL is de Franse toezichthouder, en legt dan ook de boete op voor de dienst Google.fr en Amazon.fr – aan de Franse dochter van Google en Amazon, omdat die daadwerkelijk in de EU gevestigd zijn. Zo concludeert men:

Therefore, the processing consisting of operations of accessing or entering information in the terminal of users of the Google Search search engineresiding in France, in particular for advertising purposes, is carried out within the framework of the activities of the company GOOGLE FRANCE on French territory, which is in charge of the promotion and marketing of GOOGLE products and their advertising solutions in France.
(Wat natuurlijk klopt, die Europese dochterbedrijven zitten er om advertenties te verkopen dus die tracking cookies draaien daar voor hún zakelijk belang. De juridische bedrijfsstructuur doet er dan gewoon niet meer toe.)

Maar dan de echte discussie, hoe moet je uitleggen wat je doet? Na eerst alleen maar “Beheer uw privacy klik hier” te hebben gehad, had Google bijvoorbeeld op zeker moment dit ingevoerd:

Google uses cookies and other data to provide, manage and improve its services and ads. If you agree, we’ll personalize the content and ads you see based on your activity on Google services like Search, Maps, and YouTube. Some of our partners also assess how our services are used. Click “More Info” to explore your options or visit g.co/privacytools anytime
Maar is dit genoeg? Nee, aldus de CNIL: hieruit haal je niet dat je gevolgd wordt over meerdere apparaten en diensten heen, dat sprake is van vérgaande personalisatie en vooral dat je dit alles kunt uitzetten. Ja, er staat “more info to explore options” maar dat is bij lange na natuurlijk niet een mogelijkheid om te weigeren. En laat de wet nu niet alleen een weigermogelijkheid eisen maar zelfs een vooráfgaande: je moet gewoon vrijelijk toestemming kunnen geven of niet.

Wie heel hard zocht, kon een opt-out mogelijkheid vinden. Alleen bleek daarbij dat daarna niet alle cookies daadwerkelijk werden verwijderd of op opt-out werden gezet, zodat het tracken vrolijk verder kon gaan.

Goed, en nu. Moet iedereen stoppen met die vage zinnen, en vooral met cookies plaatsen voordat mensen op ja hebben geklikt? Nou ja, wat denk je zelf. Maar ik weet ook wel dat de concurrent er gewoon mee doorgaat, dat deze zaak nog jaren gaat slepen en dat er dus bar weinig prikkel is om morgen over te stappen op een volledig compliant systeem. Dit is echt een probleem.

Arnoud