Thuiskopieheffing gaat bij aankoop smartphones flink omhoog naar 7,30 euro

Geplaatst op in Intellectuele rechten, 82 reacties

De Stichting Onderhandelingen Thuiskopievergoedingen, ofwel SONT, heeft de hoogte van de thuiskopievergoeding voor smartphones verhoogd naar zeven euro dertig, las ik bij Tweakers. Inderdaad, zeven euro dertig (voor juristen: €7,30), een verhoging met 50% van het oude tarief van €4,70. Als verklaring voor de verhoging voor smartphones wordt genoemd dat het maken van thuiskopieën op de smartphone in de lift zit. Want je kunt in Spotify en Netflix een aflevering of andere content unit offline beschikbaar maken, en dat is hetzelfde als er een cd van branden. Eh ja, precies.

Ik geloof dat er niemand op deze blog is die blij wordt van het onderwerp thuiskopieheffing, in ieder geval niet sinds downloaden uit illegale bron verboden werd verklaard. Het basisidee blijft natuurlijk raar: iedereen moet betalen voor eventuele inbreuken op auteursrechten, ongeacht of zij die maken en ongeacht wat de schade daadwerkelijk zou zijn geweest. De gedachte erachter (uit de jaren zeventig) is dat je anders óf opname-apparatuur moet verbieden óf bij mensen thuis auteursrechten moet gaan handhaven, en beiden werken natuurlijk niet.

Het begint alleen nu alleen anno 2020 wel nogal te wringen met dat idee, dat het gemiddeld toch eerlijk uitkomt als iedereen gewoon zeven euro aan stichting Thuiskopie geeft, die dan met een voor mij onnavolgbare verdeelsleutel zorgt dat dat bij Marco Borsato en John de Mol terecht komt, als ik het goed zeg. Helemaal omdat het al lang niet meer gaat om zelfgebrande dvd’s of usb-harddisks vol met mp3’s, mp4’s en mkz’s (al dan niet van nzb’s, hoi Tim) maar hier dus echt om het gegeven dat een smartphone in het interne geheugen een tijdelijke kopie maakt van als offline gemarkeerde content in streamingdiensten.

Ik zag dat elektronicaproducentenvereniging NLDigital zich ook al boos maakt hierover, met name omdat het proces helemaal is vastgelopen:

We zitten al jaren in een complete patstelling. Meningsverschillen worden zelfs via de rechter uitgevochten. De huidige regeling is gewoon op, de hoogte van de heffing sluit helaas totaal niet meer aan bij het mediagebruik in het huidige streamingtijdperk.
Maar, dat u het weet: u slaat gemiddeld 13 thuiskopieheffingsplichtige werken op uw smartphone op. Het gaat dan eigenlijk altijd om gedownloade werken binnen een streamingabonnement, zo lees ik in dat rapport. Maar dat voelt voor mij wel misleidend: een download is iets waar ik heerschappij over heb. Zo’n kopie in het applicatiegeheugen van Spotify of Netflix daar heb ik niets over te zeggen, die is weg zodra de dienstaanbieder dat wil.

Arnoud

Mag je zelf bepalen wanneer je een datalek meldingswaardig vindt?

Geplaatst op in Privacy, 21 reacties

Tientallen keren per jaar komt privacygevoelige informatie van patiënten door datalekken bij het Noordwest Ziekenhuis in Alkmaar en Den Helder in verkeerde handen terecht. Dat las ik bij Langedijk Centraal, dat het weer van het Noordhollands Dagblad had. Vaak gaat het om verkeerd geadresseerde post, maar ook om rondslingerende usb-sticks of geneus zonder toestemming. En, zo lazen diverse tipgevers,  “Over het algemeen is degene die onbedoeld met informatie over een ander in aanraking komt een betrouwbare partij die het netjes terug bezorgd. Dat hoeft niet te worden gemeld aan de Autoriteit Persoonsgegevens of de betrokkene.” Met dus het welbekende CBR-motto er achteraan.

Volgens de AVG is iedere vorm van inbreuk op de beveiliging van persoonsgegevens een datalek (artikel 4 definitie 12), als die leidt tot al dan niet bedoelde verwerking in strijd met de AVG. Dus inderdaad is het verkeerd versturen van medische informatie een datalek, een usb-stick met onbeveiligde dossiers laten slingeren ook en het zonder bevoegdheid lezen van iemands medische statuschart eveneens.

Ieder datalek moet worden gemeld bij de AP (artikel 35 AVG), en wel zo snel mogelijk. Dus niet “binnen 72 uur”, dat is alleen de bovengrens voor “zo snel mogelijk”. Er geldt alleen een grote uitzondering:

tenzij het niet waarschijnlijk is dat de inbreuk in verband met persoonsgegevens een risico inhoudt voor de rechten en vrijheden van natuurlijke personen
De richtsnoeren van het Comité noemen als voorbeeld hiervan het feit dat het nieuwsbriefsysteem van een energiebedrijf er door een storing een week uitligt, zodat de klanten geen nieuwsbrief met nuttige weetjes over energiebesparing krijgen. Dat is geen risico voor die klanten, dus dit datalek (onbeschikbaarheid van persoonsgegevens) hoeft niet te worden gemeld.

Bij medische informatie zou je toch snel aannemen dat je wél een risico hebt. Maar de ziekenhuiswoordvoerder lijkt te doelen op de specifieke situatie dat de ontvanger betrouwbaar is en dus geen misbruik van de gegevens maakt. Bijvoorbeeld wanneer iemand bij de rookpaal een usb-stick vindt, die inlevert bij de receptie waar net twee minuten eerder een arts zich meldde met “heeft iemand een usb-stick gevonden”. Dan kun je zeggen, de kans is zeer klein dat er misbruik van de stick is gemaakt (natuurlijk, het kán dat de vinder snel een kopie heeft getrokken maar hoe waarschijnlijk is dat), en dan hoef je dat niet te melden.

Ik heb zelf wel eens een Excelsheet met persoonsgegevens per abuis naar mijn notaris gemaild in plaats van naar de beoogde ontvanger (zelfde voornaam, Outlook, jaja precies). Dat vond ik geen meldingsplichting datalek omdat de notaris geheimhouding heeft, en als die dan zegt het bestand meteen te vernietigen dan is dat genoeg. Maar dat gaat dus goed vanwege de speciale status van die notaris én de werkrelatie die ik met die persoon heb.

Ik ken ook het verhaal van iemand die klant A een lijst persoonsgegevens mailde die voor klant B bedoeld was. Daar hing hij binnen 30 seconden aan de lijn bij A, die vertelde in het gesprek “ik druk nú op delete en nú op prullenbak leeg” en daarna bevestigde hij dat schriftelijk, inclusief de toezegging “ik vertel niets hierover en mochten er backups zijn dan gooi ik het bestand daaruit ook weg; als ik lieg mag je me 100% aansprakelijk stellen”. Dat is denk ik ook wel genoeg, gezien de grote snelheid en de betrouwbaar overkomende reactie.

In het algemeen zeggen “het leek zo’n aardige man/vrouw” zou ik daarentegen wat mager vinden. Je neemt dan een risico, maar ik zie het ergens wel: waarschijnlijk heb je een langdurige patiëntrelatie met mevrouw A, dus als de behandelend arts die belt en zegt “ach wilt u die brief aan B in de kachel stoppen” en mevrouw reageert positief, dan kun je wel aannemen dat A dat ook echt doet. Ik zou die brief dan niet melden – als het om één (of een handvol) brieven gaat. Stuurde je er 500 naar verkeerde personen, dan is dat nabellen nauwelijks te doen én is er vast wel iemand die kwaad wil.

Arnou

Heeft die consent-balk van Teams bij video-opnames ook maar enige betekenis?

Geplaatst op in Ondernemingsvrijheid, Privacy, 29 reacties

Via Twitter:

als tijdens een videooverleg de organisator ‘opnemen’ aanzet dan lijkt dit me geen AVG-conforme manier om toestemming omdat die ‘vrijelijk’ gegeven moet worden.
Ik verbaas me ook regelmatig over dat balkje bovenin de meeting, met de tekst “This meeting is being recorded. By joining you are giving consent for this meeting to be recorded.” Eh nee, zo werkt het niet. Maar dit is dan weer zo’n ding waar het gewoon zo gaat en we dat met een zucht accepteren. Het lijkt wel het digitale equivalent van dat “de directie stelt zich niet aansprakelijk”-bordje (waar ik nog steeds meer voorbeelden van zoek, trouwens) te worden.

Inderdaad valt het opnemen van zakelijke meetings onder de AVG. In theorie zou het kunnen dat iemand dit voor strikt persoonlijk gebruik opneemt, maar laten we even uitgaan van een zakelijke meeting en een organisator die structureel opneemt en dat in bijvoorbeeld het zaakdossier opneemt.

Met toestemming van je deelnemers mag dat natuurlijk. Alleen: die moet vrijelijk worden gegeven, en bovendien met een actieve handeling. “Door daarnet het gesprek binnen te komen, heeft u toestemming gegeven” is daarbij een tikje laat. Die tekst had vóór het binnenkomen getoond moeten worden om überhaupt in aanmerking te komen voor de kwalificatie van toestemmingsvraag. Maar ik heb nog geen enkele meeting gehad waarbij Teams voorafgaand aan het binnenkomen me meldt dat er opgenomen gaat worden. Raar.

Zonder toestemming een meeting opnemen ligt lastig. Het kan wel: als de opname noodzakelijk is voor het werk, bijvoorbeeld voor collega’s die terug moeten kijken, dan zie ik het wel als legaal. Of als een organisatie een groot belang heeft bij de opname, de videoregistratie van een jaarvergadering wellicht als bewijs van wat er afgesproken is. Hoewel je natuurlijk daar meteen tegenover kunt stellen dat er ook notulen zijn, dus waarom moeten mensen de hele vergadering terugkijken?

(Dat laatste is de innovatieparadox uit de AVG: nieuwe dingen mogen eigenlijk nooit, want er is een bestaand oud ding dat eigenlijk net zo goed is. Dus er is geen noodzaak. En als er geen bestaand ding is dat je vervangt met je nieuwe ding, dan is het hoog risico of geen nut, dus ook geen noodzaak.)

Arnoud

 

Facebook mag pagina’s offline halen die in strijd zijn met haar eigen COVID-19 beleid.

Geplaatst op in Uitingsvrijheid, 18 reacties

Facebook mag pagina’s offline halen die in strijd zijn met haar eigen COVID-19 beleid, las ik bij Rechtspraak.nl. Dat is gek, want Youtube mocht laatst juist niet bepaalde video’s offline halen omdat ze in strijd waren met haar eigen regels.

De betreffende Facebook-regels dateren uit januari. Sinds die tijd “werkt Facebook samen met wereldwijde organisaties zoals de Wereldgezondheidsorganisatie (WHO) en UNICEF om hen te helpen bij de bestrijding van verspreiding van informatie over COVID-19 die schadelijk zou kunnen zijn voor de volksgezondheid”, lees ik in het vonnis. Dat komt zo terug in de voorwaarden:

Nu mensen over de hele wereld worden geconfronteerd met deze ongekende noodsituatie voor de volksgezondheid, willen we er zeker van zijn dat onze richtlijnen voor de community mensen beschermt tegen schadelijke inhoud en nieuwe typen misbruik die zijn gerelateerd aan COVID-19. We werken eraan inhoud te verwijderen die mogelijk schade in de echte wereld kan toebrengen, zoals door ons beleid voor het verbod op de coördinatie van schade, verkoop van medische maskers en gerelateerde goederen, haatdragend taalgebruik, pesten en intimidatie en desinformatie die bijdraagt aan het risico op dreigend geweld of fysieke schade.
In juli dit jaar ontdekte horeca-belangenorganisatie Smart Exit dat haar Facebookpagina “Nee tegen 1,5 meter” was verwijderd, en bij navraag werd gemeld dat dat was vanwege overtreding van dit beleid. Ook de organisatie Viruswaanzin overkwam iets dergelijks, al blijkt vervolgens onduidelijk wat er nu precies bij wie verwijderd was. De rechtbank wijst de eis niet af vanwege deze onduidelijkheid, omdat het gaat om een algemene vraag: mag Facebook eigen beleid voeren over wat je wel  en niet mag zeggen over COVID-19?

Die discussie is terug te voeren op wat juristen noemen de horizontale werking van de vrijheid van meningsuiting. Die vrijheid geldt namelijk in principe tegen de overheid (“verticale werking”): die mag jou niet verbieden je mening te uiten, behalve voor zover noodzakelijk én wettelijk geregeld. Andere burgers (of bedrijven) zijn niet zo hard gebonden aan dat verbod. Die hoeven niet mee te werken en mogen je zelfs hinderen.

Pas als de vrijheid van meningsuiting als geheel in gevaar komt, dan kan dat anders komen te liggen. Dat is precies waar het Appleby-arrest over gaat (dat vanwege de AVG kennelijk nu het [partij]/Verenigd Koninkrijk-arrest heet):

Where, however, the bar on access to property has the effect of preventing any effective exercise of freedom of expression or it can be said that the essence of the right has been destroyed, the Court would not exclude that a positive obligation could arise for the State to protect the enjoyment of the Convention rights by regulating property rights.
Facebook heeft weliswaar een enorm bereik met haar platform, maar dat is op zichzelf nog geen argument dat zij dus maar iedere mening toe moet staan. Sterker nog: als je dat citaat hierboven goed leest, dan staat er dat in zo’n situatie de overheid iets moet doen, namelijk een wet maken om Facebook op dit punt te reguleren. Niet dat Facebook dan automatisch alles toe moet laten.

Indirect heeft de vrijheid van meningsuiting wel effect op relaties tussen burgers onderling. In juridische taal, deze werkt door in bijvoorbeeld de redelijkheid en billijkheid of de maatschappelijke betamelijkheid. Ook dan is het geen automatisme dat je dus alles moet mogen zeggen, een toetsing blijft vereist. En in dit geval valt die uit in het voordeel van Facebook:

In het licht hiervan wordt wel het volgende overwogen. Facebook handelt door haar COVID-19 beleid te hanteren voorshands niet in algemene zin in strijd met hetgeen – naar huidige opvattingen – maatschappelijk betamelijk is. Zij heeft een maatschappelijke plicht om zich te houden aan overheidsrichtlijnen, tenzij die evident onjuist zijn. Dat is voorshands niet het geval. Het wetenschappelijk en maatschappelijk debat over COVID-19 en wat passende en doeltreffende maatregelen zijn, is nog gaande.
En dan gaat de rechtbank nog een stapje verder. Want Facebook volgt de Europese aanbevelingen van de overheid, en die aanbevelingen moet je dan juist zien als een (softe) regulering van het spanningsveld tussen de uitingsvrijheid, de volksgezondheid en de belangen van Facebook en haar gebruikers. Daarmee doet Facebook dus eigenlijk al precies

En wat is nu het verschil met Youtube? Daar werd vooral gezegd dat in het algemeen kritische uitingen op overheidsbeleid en wetenschappelijke bevindingen niet zomaar tegengehouden mag worden, maar wel gevaarlijke uitingen afkomstig van een huisarts: die nemen mensen eerder serieus. Dus dat voelt als een specifieker geval dan deze uitspraak.

Arnoud

Compliance en risicomanagement bij Artificiële Intelligentie leren? #legaltechtuesday

Geplaatst op in Iusmentis, 4 reacties

Steeds meer organisaties zetten Artificial Intelligence (AI) in. Dit versnelt beslissingsprocessen en schept nieuwe inzichten omtrent risico’s, klanteigenschappen en commerciële kansen. Deze techniek is zeer nieuw en haar inzet roept dan ook vele vragen op over de juridische en ethische randvoorwaarden. Mag dat wel, een computer laten beslissen? Welke kaders hanteer je om een verantwoorde inzet van AI te realiseren? Wordt het tijd voor een AI Compliance Officer?

De inzet van AI biedt nieuwe mogelijkheden. Bestaande processen kunnen fors worden versneld door menselijke tussenkomst te vervangen door een AI. Zo zou een AI-bewaker bagage van bezoekers kunnen screenen op ongewenste voorwerpen, en deze doet dat dan veel sneller dan een mens (en is bovendien om vijf uur niet moe en afgeleid). Een verzekeraar zou een AI in kunnen zetten om claims te kunnen analyseren.

Dergelijke analyses hebben echter ook diverse risico’s. Zo staan AI’s er om bekend dat zij bestaande vooringenomenheid (bias) uit de onderliggende data sterk uitvergroten, wat kan leiden tot ongewenst gedrag zoals discriminatie. Ook is het vaak lastig duidelijke uitleg te krijgen over hoe een AI tot zijn conclusie komt: dergelijke data-analyse is volkomen onvergelijkbaar met een menselijk gedachteproces.

Deze risico’s maken organisaties nog steeds huiverig over de inzet van AI. Ook de wetgever heeft niet stilgezeten: in de Europese privacywet GDPR is een expliciet verbod opgenomen om mensen aan besluiten te onderwerpen die door een AI zijn genomen. Hoe dan ook grip te krijgen op AI, en te zorgen voor een nette, ethisch verantwoorde inzet, is een lastige vraag voor veel organisaties.

In 2019 publiceerde de Europese Commissie de Ethics Guidelines for trustworthy AI. Onder “ethisch” verstaat men niet alleen het voldoen aan wettelijke regels, maar ook aan meer algemene ethische principes. Ethische AI bestaat uit drie componenten, waaraan gedurende de volledige levenscyclus van het systeem moet worden voldaan: de AI moet

  1. wettig zijn, door te voldoen aan alle toepasselijke wet- en regelgeving,
  2. ethisch zijn, door naleving van ethische beginselen en waarden te waarborgen, en
  3. robuust zijn uit zowel technisch als sociaal oogpunt, aangezien KI-systemen ongewild schade kunnen aanrichten, zelfs al zijn de bedoelingen goed.
Uitgaande van deze drie componenten komen de richtsnoeren tot zeven vereisten voor AI-systemen:
  1. Menselijke controle en toezicht
  2. Diversiteit, non-discriminatie en rechtvaardigheid
  3. Technische robuustheid en veiligheid
  4. Transparantie en verklaarbaarheid
  5. Privacy en datagovernance
  6. Maatschappelijk en milieuwelzijn
  7. Verantwoording en controleerbaarheid
Het toetsen aan deze vereisten komt in de praktijk neer op het welbekende proces van compliance: formuleer criteria waarmee naleving kan worden gemeten, zorg dat mensen doordrongen zijn van het belang van naleving en toets op de criteria. Dat dan ook nog eens op een positieve manier; nee zeggen is altijd makkelijk, maar technologie op een compliant en werkbare manier de markt op krijgen is een stuk lastiger.

Omdat het hier ook nog eens gaat om geavanceerde technologie en vaak vele partijen betrokken zijn, is AI compliance een uitdagende kwestie. Een AI compliance officer moet dan ook behoorlijk thuis zijn in wetgeving, techniek en de toepassingspraktijk.

Ik vond dit zo’n leuke dat ik de afgelopen weken eigenlijk alleen heb gewerkt aan mijn nieuwe leergang AI in de praktijk: compliance & governance. Deze online leergang is speciaal ontwikkeld voor informatieprofessionals, juristen en compliance officers die aan de slag moeten of willen met AI en de toetsing daarvan. Geen blokkades opwerpen, maar zorgen dat bedrijven en instanties aan de slag kunnen. Weten wat er wel kan en hoe dat wordt bereikt.

De stof wordt volledig online aangeboden. Met geavanceerde vormen van elearning kan de cursist eenvoudig werken en effectief de stof tot zich nemen. De docent is online beschikbaar voor 1-op-1 overleg, en via een discussieforum kunnen cursisten met elkaar overleggen en brainstormen.

Met dat forum is trouwens iets bijzonders: het wordt aangeboden door een fictief Nederlands dorp. De leergang kent namelijk een serious game element, waarbij deelnemers optreden voor bedrijfsleven en overheid in dat dorp om te zorgen dat AI-initiatieven volledig compliant én bruikbaar worden. Hoe beter men het spel speelt, hoe hoger het dorp scoort in de wereldwijde competitie van de Most AI-focused city in the world, bijgehouden door het fictieve United Nations Office for Global AI (UNOGAI). Bij pittige onderwerpen als deze is serious gaming een bewezen techniek om leren effectiever te maken.

Durf jij de uitdaging aan? Op 1 februari gaat de eerste ronde van start. Meer informatie en de inschrijfmogelijkheid vindt u bij ICTRecht.

Arnoud

 

 

 

Mag mijn webhoster ons cms schrappen volgend jaar?

Geplaatst op in Ondernemingsvrijheid, 23 reacties

Een lezer vroeg me:

Onze websitebouwer en hosting bedrijf stapt over op een ander (en volgens hun veiliger) cms systeem. Het cms dat we nu gebruiken zal per 1 juli bevroren worden en per 1 januari daarna offline gehaald worden. Kunnen zij dat eenzijdig zeggen? Dit geeft ons enorme kosten, onder meer 5000 euro voor de migratie van alle content en verdubbeling van de maandelijkse kosten.
Het voelt natuurlijk nogal vervelend om over te moeten naar een nieuw systeem terwijl het huidige nog prima lijkt te werken. Maar onderhoud van software is duur, met name als de software steeds ouder wordt. Ik begrijp de stap van de websitebouwer/hoster dus wel.

Ik moet zeggen dat ik in dit geval de gegunde termijnen (een dik half jaar nog alles kunnen doen en daarna nog zes maanden gebruiken zonder aanpassingen in het cms) best schappelijk vind. Ik krijg deze vraag vaker maar dan zijn de termijnen eerder in weken uitgedrukt. Een periode van dik een jaar om te migreren naar een andere leverancier voelt best redelijk, en dat maakt dat ik eigenlijk geen juridisch argument tegen kan bedenken.

Ja, als er in de voorwaarden of SLA zou staan dat de software nog een aantal jaren mee moet kunnen natuurlijk. Maar ik ken geen leverancier die zichzelf zo hard vast gaat pinnen zonder behoorlijke vergoeding. Of als heel recent het contract is vernieuwd voor een paar jaar en het cms een belangrijk deel van de dienst is. Maar dat is vrij uitzonderlijk.

Arnoud

Autoriteit Persoonsgegevens waarschuwt voor inzet van slimme deurbellen

Geplaatst op in Privacy, 23 reacties

Deurbellen met een ingebouwde camera mogen niet zomaar worden opgehangen richting buren of de openbare weg, waarschuwt de Autoriteit Persoonsgegevens tegen de NOS. Volgens marktonderzoeker Multiscope heeft een half miljoen huishoudens inmiddels zo’n slimme deurbel. Wat er slim aan die deurbellen is, vermeldt het onderzoek overigens niet. Maar het probleem is natuurlijk dat dan (vaak) ook de openbare weg wordt gefilmd. En dat mag niet zomaar, en het is altijd een héle discussie wat dan de randvoorwaarden zijn.

Een deurbel die mensen filmt, verwerkt persoonsgegevens. Het doet er dan niet direct toe of je de beelden meteen weggooit of juist maandenlang bewaart. Dit valt dan onder de AVG, tenzij je het filmen zo inricht dat je niet “buiten de privésfeer geraakt van degene die door middel van dit systeem gegevens verwerkt”. Oftewel, zolang je niet  de openbare weg filmt.

In de meeste gevallen hangen dergelijke surveillancecamera’s echter zo dat ze wel de openbare weg filmen. De kern van het probleem is namelijk dat je de aanbeller (of portiekophouders) frontaal wil kunnen zien voor de herkenning, en vrijwel altijd is de openbare weg zichtbaar achter die personen. Huizen met grote voortuin en de bel pas bij de voordeur zijn sterk in de minderheid.

Het is echter niet verboden, omdat je wel degelijk een eigen legitiem belang kunt hebben bij dat filmen. Je wilt namelijk weten wie er aan de deur staat, wie zich ophoudt in je portiek en ga zo maar door. Dat valt onder het kopje beveiliging en is in principe een legitieme reden onder de AVG. Je komt dan ook uit bij de belangenafweging: is die camera van jou nodig en proportioneel voor dat doel? En heb je redelijke maatregelen ter bescherming van passanten en andere betrokkenen genomen?

Als je de AVG zuiver leest, dan ontkom je niet aan een duidelijke waarschuwing en een reglement cameratoezicht. Daarin moet je dan onder meer uitgewerkt hebben wanneer er wordt gefilmd, wat je met de beelden doet en hoe lang je ze bewaart. Dat doet natuurlijk niemand, en daarom waarschuwt de AP nu maar eens via de massamedia.

Weet je wat slim zou zijn van zo’n camera? Een automatische achtergrond-uitknipper net zoals Zoom en Teams hanteren. Dan zie je wel wie er voor de deur staat (dat was zeg maar het punt van een deurbel) maar worden passanten geblurd terwijl ze langslopen.

Arnoud

Franse politie arresteert café-uitbaters die wifidata niet bewaarden

Geplaatst op in Ondernemingsvrijheid, 6 reacties

In de Franse stad Grenoble zijn ten minste vijf uitbaters van cafés en restaurants opgepakt omdat ze een wifinetwerk in hun etablissement aanboden maar de logs niet minstens een jaar bewaarden. Dat meldde Tweakers maandag. Die bewaartermijn staat in de Franse wet, en is opmerkelijk gezien we in Europees verband dit juist hadden verboden. De Franse wet blijkt al sinds 2006 te bestaan maar heeft nooit echt aandacht gekregen, getuige de verbijstering bij de café-eigenaren.

Heel Frans vind ik dan de klacht dat “de informatie zou ook niet aan bod zijn gekomen bij trainingen van de UMIH, de Franse horecavakbond.” Ik weet niet of je in Nederland ver zou komen met het verweer dat je het niet gehad hebt bij je horecadiploma of de inschrijving bij de Kamer van Koophandel. Maar dat terzijde.

De complicatie zit hem er vooral in dat je dus actief data moet vergaren en vastleggen. Wat de meeste ondernemers doen, is gewoon een wifi access point neerzetten op een al dan niet forse internetverbinding, want zo zou iedereen dat doen. Mais non:

Or, les forfaits professionnels des opérateurs fournissent des outils qui permettent d’identifier les clients finaux, de collecter les IP, les historiques… et d’être conformes avec la loi de 2006. C’est d’ailleurs ce qui est fait dans les hôtels, les centres de congrès… Mais ces abonnements sont évidemment bien plus chers que les forfaits grand public.
Bezorgde horecaondernemers in Nederland: dit is een specifieke Franse wet, die geen Nederlands equivalent kent. Er is geen eis bij ons dat je weet wie je wifi gebruikt, laat staan dat je de logs een jaar bewaart zodat Justitie dit kan opvragen. (Je bent ook niet aansprakelijk als mensen je wifi gebruiken, maakt niet uit wat ze ermee uitvreten. En nu ik je toch spreek, kap met die “ik accepteer de voorwaarden”-startpagina’s. Nergens voor nodig.)

Een mogelijke nuance hierbij is dat het Hof van Justitie in 2016 heeft gezegd dat je in staat moet zijn je bezoekers te identificeren wanneer blijkt dat zij auteursrechten hebben geschonden. Daar is sindsdien niets meer over gehoord, en ik heb zelf ook niet het idee dat er nou heel massaal illegaal wordt geüp- dan wel -download via openbare wifi. Dus ik denk dat dit praktisch niet heel relevant is.

Arnoud

H&M krijgt boete van 35 miljoen euro voor schenden privacy personeel

Geplaatst op in Privacy, 13 reacties

Kledingketen H&M heeft van de Hamburgse databeschermingstoezichthouder een boete van 35 miljoen euro gekregen wegens het schenden van de privacy van het personeel. Dat meldde Security.nl onlangs. Sinds 2014 werden zaken over het privéleven van medewerkers van het servicecentrum in Nuremberg in groot detail bijgehouden. Dit kwam eind vorig jaar door een configuratiefout aan het licht; het gehele bedrijf kon bij de 60 gigabyte aan personeelsdata. Met een stevige boete én schadevergoeding wordt daar nu een einde aan gemaakt.

Je vraagt je af wie er anno 2020 nog zó stom kan zijn:

Het ging om informatie over bijvoorbeeld vakanties, ziekteverlof of andere redenen om afwezig te zijn. Zodra medewerkers weer terugkwamen kregen ze een gesprek met een manager. Die noteerde niet alleen de reden voor de afwezigheid, maar ook symptomen van ziektes en diagnoses. Tijdens privégesprekken en gesprekken op de werkvloer werd allerlei andere persoonlijke informatie over het personeel verzameld. Het ging dan om details over het gezinsleven, maar ook de geloofsovertuiging.
Echt, serieus. Dat je als manager denkt informatie over iemands ziekte te moeten noteren, hoe kom je erbij. Daar is gewoon geen enkele reden voor, geen argument. Iemand is ziek of niet, en die informatie krijg je in binaire vorm. Hetzij van de werknemer, hetzij (als je die niet vertrouwt) van een arts. En alleen die arts beoordeelt ziektesymptomen en diagnoses, dus alleen die heeft die informatie.

Ik hoef denk ik niet uit te leggen waarom details over gezinsleven of geloof niet in een personeelsdossier thuishoren.

Ik ben vooral verbaasd dat dit überhaupt is gebeurd, niet dat het op enig moment door een datalek aan het licht kwam. Want datalekken zijn geen als, maar een wanneer. Zeker bij dit soort stommigheden.

Het is wel weer mooi dat H&M als organisatie het zo serieus oppakt. Want naast een boete van 35 miljoen euro, heeft H&M aan alle betrokken medewerkers excuses gemaakt en hen een schadevergoeding betaald. Tevens heeft de kledingketen verschillende databeschermingsmaatregelen genomen en zijn diverse managers ontslagen.

En beste lezer, ben je van HR of personeelsmanagement en denk je nu “ja oké gelukkig noteren wij qua ziekte of gezin alleen maar X” dan bij deze mijn weloverwogen juridisch advies: wil je daar mee stoppen alsjeblieft?

Arnoud