Bedrijven gehackt door bij NCSC bekend lek, had men dit moeten delen?

Geplaatst op in Informatiemaatschappij, 21 reacties

Aanbieders van digitale infrastructuur verenigd in de Stichting DINL zijn gefrustreerd over het opnieuw achterhouden van informatie over een belangrijke hack door het NCSC. Dat las ik bij Computable.nl. Het Nationaal Cyber Security Centrum (NCSC) had actuele en gerichte informatie over de hack maar deelde die niet met de bedreigde organisaties, omdat data niet binnen haar wettelijke taak viel. De bedrijven werden ook werkelijk gehackt met deze zwakheid, iets dat dus voorkomen had kunnen worden.

Tweakers legt uit dat het ging om de inloggegevens van Pulse Secure-accounts van meer dan 900 bedrijven, die online werden gepubliceerd nadat ze door exploitatie van een lek in deze VPN software werden verkregen. Beveiligingsonderzoeker Matthijs Koot (hoi) lichtte het NCSC in, omdat ook Nederlandse bedrijven er tussen stonden. Maar die deed er dus niets mee.

In het FD licht de dienst dit toe:

Binnen de ‘juridische mogelijkheden’ heeft het NCSC er alles aan gedaan om organisaties te informeren, e-mailt een woordvoerder van Justitie. Maar ‘organisaties buiten het wettelijk mandaat kunnen helaas niet door het NCSC geïnformeerd worden.’ Ook nu bekend is dat de bedrijven daadwerkelijk zijn gehackt, worden ze dus niet op de hoogte gebracht.
Het probleem is dat er juridisch zoiets is als een vitale organisatie. Deel van het takenpakket van het NCSC is dat men alleen deze instanties mag informeren. Daarmee is er dus geen bevoegdheid om ook andere bedrijven te informeren.

De achterliggende logica snap ik niet helemaal, ik zie in de wet geen hard verbod op het informeren van een niet-vitale organisatie maar dat ligt vast aan mij. Ik kan me hooguit voorstellen dat je niet ieder lek aan ieder bedrijf wil melden, al is het maar omdat je niet zeker weet wie wel of niet lek is en het mogelijk héél veel belletjes worden als je voor iedere WordPress-vulnerability iedere slager met blog moet gaan bellen. Maar iets van een inhoudelijke afweging moet toch niet zo’n groot probleem zijn?

Arnoud

 

Een notaris is toch een stuk duidelijker dan een blockchain voor een authenticiteitsverklaring

Geplaatst op in Informatiemaatschappij, 7 reacties

Programmadirecteur Sylvia Bronmans krijgt de eerste notarisverklaring dat de coronameldersoftware in de appstore dezelfde is als de open source software op github. Dat meldde Brenno de Winter op Twitter. De software die recent uitkwam, is als open source ontwikkeld vanuit het oogpunt van transparantie. Hartstikke leuk, maar daarna moet deze vanuit de appwinkels van Apple of Google gedownload worden. En hoe weet je dan zeker dat daar toch dezelfde versie in zit? Ik hoor van de achterste rij de suggestie van een smart blockchain, dank u. Maar ik vond “omdat de notaris dat zegt” toch net wat praktischer.

De coronamelder-app is zo transparant mogelijk ontwikkeld, met als publicitair hoogtepuntje de push to master van onze minister, voor zover bij mij bekend de eerste keer dat een bewindspersoon een stuk software live zette. (En het voelde echter dan het welbekende lintje doorknippen of rode knop indrukken, vooral omdat die rode knop zelden ergens mee verbonden is.)

De broncode is volledig in te zien op Github, het wereldwijd grootste platform voor opensourcesoftwareontwikkeling. Wie wil zien of er rare achterdeurtjes in de melder zitten: voel je vrij en ga je gang, je kunt alles nakijken. Daar zit alleen één snag aan, namelijk dat uiteindelijk de eindversie naar de appwinkels moet. En dan zóu er iemand tussen kunnen zitten die even snel de software verwisselt voor een malafide versie.

Met deze notarisverklaring is dat opgelost: de notaris heeft geconstateerd dat de software zoals te verkrijgen in de appstore hetzelfde is als de eindversie zoals beschikbaar via Github. De verklaringen staan ook op Github: daaruit volgt zonder voorbehoud dat de softwareversies inhoudelijk hetzelfde zijn.

Waarom niet met de blockchain, of met gesigneerde certificaten zo las ik op diverse plekken. Dat zijn immers juist technieken om dit soort dingen te bewijzen en verifiëren. Klopt, maar met één groot nadeel: je moet dan die technieken vertrouwen, inclusief hun implementatie. En voor mij is een notaris een stuk praktischer en transparanter. De functie van notaris is die van vertrouwde persoon – een functie die in het Amerikaans recht vrijwel geheel ontbreekt (de notary public heeft een veel beperktere rol), vandaar dat men steeds met technische oplossingen komt. Dus nee, heel goed dat het zo gaat.

Arnoud

Nog even terugkomen op die zorgplicht voor ICT-dienstverleners

Geplaatst op in Ondernemingsvrijheid, 5 reacties

Recent blogde ik over dat roemruchte vonnis waarin een ICT-bedrijfje opdraaide voor de kosten van een datagijzeling, op grond van zijn zorgplicht als dienstverlener. Dat gaf de nodige heisa, wat ik al overdreven vond, maar nu vond ik recent nog een arrest van het Hof Amsterdam dat juist ómgekeerd naar de zorgplicht keek. Dus ik kom er nog even op terug: wat je afspreekt is superbelangrijk, net als de communicatie in het vervolgtraject. Oftewel, let op wat je zegt en dan gaat het gewoon goed.

Waarom het Amsterdamse vonnis uit 2018 anno 2020 alsnog werd gepubliceerd, is mij een raadsel, maar het sloeg in als een bom. Een administratiekantoor kon haar ict-dienstverlener aansprakelijk stellen voor de gevolgen van een ransomware-aanval, omdat deze zijn zorgplicht had geschonden door geen backups te maken of sterke wachtwoorden in te regelen. Dat de klant weigerde de aangeboden backupoplossingen in te zetten en sterke wachtwoorden maar stom vond, dat deed niet ter zake.

In de zaak uit 2020 betrof het een strafrechtadvocate die haar praktijk verhuisde. Zij wilde haar ict-diensten meenemen en ook thuis kunnen werken. Na de verhuizing stelt de advocate dat de overeengekomen werkzaamheden niet naar behoren zijn uitgevoerd omdat de dienstverlener de verhuizing niet (tijdig) heeft voorbereid als gevolg waarvan pas op de verhuisdag bleek dat de bestaande apparatuur ontoereikend was en het internet te traag en dat toen ad hoc maatregelen genomen moesten worden. Zo werd data snel in een cloudlocatie geplaatst om maar verder te kunnen werken. De juiste apparatuur bleek niet te zijn geselecteerd en de voorbereiding was te laat begonnen.

Een en ander verliep dus nogal rommelig, en de advocate stelde daarop dat de dienstverlener in zijn zorgplicht te kort geschoten was. Dat ziet het Hof anders. Eerst moet men kijken wat precies de overeenkomst was, en pas dan kan worden bepaald waar de zorgplicht op toezag. Een belangrijke factor daarbij was dat de werkzaamheden van deze leverancier eerder incidenteel waren dan permanent ontzorgen, en dat de instructies van de advocate kort maar duidelijk waren. Er was dan ook geen aanleiding tot nader onderzoek. Dat dingen dan later tegen blijken te vallen, is geen schending van de zorgplicht.

Specifiek over backups is het Hof ook snel klaar: uit geen van de stukken blijkt dat overeengekomen is dat de dienstverlener backups zou maken, dus daar is hij ook niet in tekort geschoten.

Hoe deze uitspraken nu met elkaar te verenigen? De meest logische verklaring is dat in de eerste zaak de dienstverlener zich had gepresenteerd als totaaloplosser, terwijl in de tweede zaak de dienstverlener veel ‘lager’ ingestoken had met de dienstverlener. Af en toe hand- en spandiensten leveren tegen betaling is heel wat anders dan op abonnementsbasis iemand permanent ontzorgen. Wie dat laatste toezegt, krijgt een veel hogere zorgplicht op zich gelegd. Dat is ook logisch want de belofte is veel hoger, men mag op meer rekenen.

Ook van groot belang blijkt hoe uitgebreid men opdrachten vastlegt. In de eerste zaak blijkt er weinig tot niets vastgelegd te zijn over te verrichten werk, dat is wel iets dat de dienstverlener kan worden aangerekend. En ook wanneer risico’s langskomen, moet men daarover discussiëren tot consensus is bereikt over hoe verder. Dus wat je niet afbakent, kan zomaar als deel van de opdracht gezien worden.

De belangrijkste les voor mij blijft dan ook: zorg dat je blijft communiceren met je klant en dat je daarin de risico’s ook écht duidelijk maakt. In taal die de klant snapt, met waarschuwingen die er niet om liegen en blijf aandringen op een bevestiging van de vorm “ik snap de risico’s en ik wil het tóch zo”. Dat doe je in de conversatie, niet verstopt in je voorwaarden en niet met een bulletpoint in je offerte. En die conversatie die log je en je komt erop terug als de situatie rijp lijkt voor verbetering. Dat is hoe een goed IT-er zorgt voor zijn klanten.

Arnoud

 

Rijk worden van schadeclaims lijkt me niet de bedoeling, ook niet voor fotojournalisten

Geplaatst op in Intellectuele rechten, 88 reacties

Zonder toestemming overnemen op sociale media van professioneel gemaakte beelden is diefstal. Zo, met die fijngevoelige opening start NVJ-secretaris Thomas Bruning zijn betoog dat het een schande is dat rechters tegenwoordig maar zo weinig geld toewijzen bij foto-auteursrechtinbreuk. Rechters zijn steeds kritischer, bovendien krijg je je proceskosten niet meer vergoed én de grote techbedrijven zijn nergens aansprakelijk voor te houden terwijl die er eigenlijk het meest van profiteren. Men stuurde een brandbrief naar de minister van Justitie met diezelfde strekking. (En mijn gevoel is dan ook dat het er vooral om gaat die techbedrijven, die toch al aardig onder vuur liggen, nog eens wat extra te kunnen aanpakken.)

Wie deze blog wat langer leest, weet dat ik me behoorlijk kwaad kan maken om rechters die juist ongemotiveerd enorme bedragen toewijzen bij wat ik een kleine inbreuk noem. Dat leidde tot een onderzoeksartikel in 2012 en een vervolg in 2015, waarin ik grofweg twee stromingen in de rechtspraak onderscheid. De ene vindt dat inbreuk niet moet kunnen, en ziet het toewijzen van hoge schadeclaims als de manier om dit te bestrijden. De andere ziet een hoge schadeclaim als overvragen – als jij normaal 50 euro vraagt voor je foto, dan kun je niet nu 3500 vragen omdat het gaat om inbreuk en er maar eens een voorbeeld gesteld moet worden.

De laatste jaren zie je inderdaad dat rechters wat vaker richting dat laatste standpunt gaan. Formeel juridisch klopt dat: de schade is de gemiste inkomsten uit licenties, daar allerlei opslagen en verdriedubbelaars bij doen is gewoon niet hoe het werkt in het schadevergoedingsrecht. Ook niet als je al héél vaak door inbreuken getroffen bent. In de analogie: dat er elke dag jongetjes in je voortuin lopen om hun voetbal op te halen, betekent niet dat je vandaag een bal lek mag steken omdat je er eindelijk eentje te pakken hebt.

De NVJ ziet dit iets anders:

Iedereen die publiceert op digitale kanalen dient zich ervan bewust te zijn dat professioneel beeld waarde vertegenwoordigt en dat ongevraagd hergebruik feitelijk diefstal betreft. Omdat de ‘pakkans’ op het wereldwijde web bij dit soort hergebruik klein is, zou er van de straffen hiervoor een stevige preventieve werking moeten uitgaan.
Het is natuurlijk waar dat straffen ook een preventieve werking moeten hebben. Als ik zie wat een ander voor straf krijgt, dan zal ik zelf ook minder snel geneigd zijn het te doen. Alleen, straffen worden uitgedeeld onder het strafrecht – en dit soort claims zijn burgerlijk recht, schadevergoedingsrecht.

Het NVJ pleit echter niet voor harder politie-optreden bij online inbreuk (en de politie & het OM gaan dat ook echt niet doen). Ik begrijp uit de brief dat men eerder zou willen dat men zélf mensen mag straffen, door zelf eens driemaal of viermaal de geleden schade te gaan claimen én graag de volledige advocaatkosten vergoed krijgen. Dus inderdaad, waar men een foto voor 75 euro verkoopt dan mag er nu 8000 euro worden afgetikt. Moet je maar niet stelen. Maar hoezo mag de fotograaf dat geld dan in eigen zak steken, sinds wanneer gaan boetes naar het slachtoffer?

Maar goed, ik denk dat de NVJ ook wel weet dat die trend van dalende schadevergoedingen niet te keren is. Het lijkt vooral een opmaat om de grote techbedrijven op de korrel te kunnen nemen:

Ons pleidooi is dan ook helder: maak socialemediabedrijven altijd (financieel) verantwoordelijk voor de publicatie van tekst en beeld, dat zonder toestemming is gepubliceerd op hun platformen en herintroduceer een vergoeding bij auteursrechtschendingen, die recht doet aan de werkelijk geleden schade.
Hiervoor wil men aanhaken bij de Richtlijn auteursrechten uit 2019 die nu in de wet verwerkt moet worden, het gewraakte artikel 17 dus. Bij iedere geuploade of overgenomen foto moet er dus meteen afgerekend worden. Dat is niet helemaal hoe de Richtlijn werkt: die bevat weliswaar de regel dat men aansprakelijk kan zijn als platform, maar kort gezegd pas nadat blijkt dat er te weinig is gedaan om de inbreuk te voorkomen. Voor strengere Nederlandse regels lijkt mij geen ruimte te zijn.

Dat gezegd hebbende, leuke opsteker dat de tendens anno 2020 dus écht lijkt te zijn dat rechters het aansprakelijkheidsrecht toepassen volgens het boekje.

Arnoud

 

Massaclaim tegen Oracle en Salesforce wegens privacyschendingen

Geplaatst op in Privacy, 9 reacties

De Nederlandse claimstichting The Privacy Collective is een massaclaim tegen Oracle en Salesforce gestart omdat de bedrijven de persoonsgegevens van miljoenen Nederlanders zouden misbruiken. Dat meldde Security.nl onlangs. Oracle en Salesforce zijn beide zeer actief op de online advertentiemarkt en houden zich bezig met online advertentieveilingen, waarbij grootschalig in profieltoegang wordt gehandeld. Het is (na de Consumentenbond) de tweede massaclaim onder de AVG, en ik hoop natuurlijk dat er nog vele gaan volgen als dit een mooi uitgewerkt precedent gaat opleveren. Opmerkelijk voor sommigen is nog dat de claim wordt gefinancierd door het Britse Innsworth litigation funding, om zo het verbod op no cure no pay te omzeilen.

In de kern komt de achterliggende techniek erop neer dat wanneer je een site met advertenties bezoekt, allerlei bedrijven hun cookies op die pagina uitlezen om zo te achterhalen hoe interessant jij bent. Hoe meer informatie je dan kunt combineren, hoe beter je dat kunt. Vervolgens kun je een bod uitbrengen om een advertentie te mogen tonen, en het hoogste bod wint dan. Zoals Emerce het uitlegt:

Elke keer wanneer iemand een website bezoekt die gebruik maakt van RTB, worden er via een zogenoemd bid request persoonlijke gegevens gedeeld met tientallen zo niet honderden bedrijven. Die gegevens kunnen onder andere bestaan uit informatie over je exacte locatie, wat je online leest, luistert of kijkt, gevoelige informatie over je gezondheid of seksueel gedrag, en unieke codes waarmee op lange termijn een uniek profiel kan worden opgebouwd.
Twee van die bedrijven zijn dus Salesforce en Oracle. En nee, ik heb ook nooit informatie van ze gehad dat ik met cookies werd ge-rtb’d, laat staan dat mij duidelijk is gemaakt onder welke grondslag hier werd geopereerd. Dus ik zie de AVG overtredingen wel.

Het probleem is natuurlijk de schade: welk geldbedrag kun je zetten op het leed dat ik heb ondervonden door dit proces? Daar kom je niet uit, en welk bedrag het ook is, een beetje procesadvocaat komt daar zijn bed niet voor uit. (Niet arrogant bedoeld want weinig ondernemers zijn bereid om voor 500 euro opbrengst tienduizend euro kosten te maken.) Dus het moet wel massaal, claims bundelen om zo massa te creëren waardoor er genoeg geld binnenkomt.

Dan kun je dus no-cure-no-pay opereren als advocaat, maar dat mag niet in Nederland. Je krijgt dan als advocaat belang bij de uitkomst, bijvoorbeeld omdat je niet wil schikken (dat levert dan minder op) terwijl dat voor de klant de beste uitkomst zou zijn. En dat is dus waar Innsworth om de hoek komt kijken: die betalen de proceskosten, zodat de advocaat gewoon op uurtje-factuurtje werkt en naar de beste uitkomst kan streven.

Daar staat tegenover dat Innsworth een percentage van de opbrengst krijgt, als compensatie voor het risico. Dat geeft ophef; is dat niet zelf óók dan rijk worden van datahandel? Zeker met getallen als 30% die langsvliegen. Hoogleraar Joris van Hoboken (tevens bestuurslid van de stichting die deze rechtszaak aanspande) wijst erop dat het effectief maar om 11% gaat. En ik vind het argument sowieso wat ver gezocht, procedures als deze hebben geen kans van slagen als er niet iemand met een zak geld de boel voorfinanciert. En omdat deze partij risico loopt (bij verlies krijgen ze geen cent) snap ik de wens tot meeropbrengst wel.

Arnoud

 

Waarom zou je een videoconferentie of elearning mogen opnemen van de AVG?

Geplaatst op in Privacy, 6 reacties

Een lezer vroeg me:

Sinds de coronacrisis zitten we met z’n allen massaal in videovergaderingen, maar ook werkoverleg en online trainingen (elearning). Het valt me op dat de organisatoren dat vaak opnemen, en ik vroeg me af of dat wel in de haak is? Dat gebeurde bij ‘ouderwetse’ vergaderingen of trainingen ook lang niet altijd, dus echt nodig lijkt het niet. En toestemming wordt zelden gevraagd. Kun je hier je juridisch licht eens over laten schijnen?
Het gebruik van videotools voor overleg, kennisoverdracht en vergaderen is natuurlijk alomtegenwoordig, maar roept ook veel vragen op. Ik denk dat je in het algemeen wel kunt zeggen dat je daaraan moet meedoen, als het onderwerp van het overleg of de meeting sowieso al een verplicht nummer voor je was.

Het is al discutabel of je verplicht kunt worden je camera aan te zetten. Jezelf in beeld brengen is heel wat anders dan alleen maar meeluisteren. Ik zie daar niet meteen het nut van in, tenzij het bijvoorbeeld (in de context van een training) gaat om een oefening of presentatie. Dan wil je vaak ook zien hoe iemand het brengt of het doet, en dan is video dus essentieel.

Het opnemen van een overleg of training kan handig zijn, zeker bij elearning waarbij niet iedereen op hetzelfde tijdstip aanwezig kan of wil zijn. Dan kun je de opname achteraf terugkijken. Ik denk dat dát prima te rechtvaardigen is als een eigen belang (dat van de organisator en/of de deelnemers), mits je maar zorgt dat de opname dan ook echt alleen voor terugkijken wordt ingezet. Niet delen dus met derden, en wissen nadat de cursus is afgelopen.

Bij een vergadering vind ik dit iets minder logisch, is er werkelijk iemand die een vergadering wil terugkijken? Je zou zeggen dat notulen (of liever nog een actielijst) genoeg zijn om de essentie van de vergadering te achterhalen.

Dan heb je nog grapjassen die denken dat je onder de grondslag toestemming werkt, omdat je videoconferencingtool bovenin de uitzending zegt “Door deel te nemen geeft u toestemming voor opname”. (Ja ik kijk naar jou, Microsoft Teams.) Dat heeft natuurlijk nul betekenis die tekst, want dat is niet hoe toestemming onder de AVG werkt. Maar zelfs als er wél rechtsgeldig toestemming is: die kan de deelnemer op ieder moment intrekken, zonder gevolgen en zonder beperkingen (“nee sorry Jaap, je intrekking kan pas als hoofdstuk 3 klaar is”). Nogmaals, wie denkt op toestemming te kunnen varen, die schendt de AVG – of heeft een nieuwsbrief.

Arnoud

Zijn telecomproviders aansprakelijk voor gespoofte telefoonnummers?

Geplaatst op in Ondernemingsvrijheid, 52 reacties

Een lezer vroeg me:

Regelmatig wordt bericht over SMSjes of telefoongesprekken afkomstig van criminelen die gebruik maken van gespoofte telefoonnummers en zo hun geloofwaardigheid te vergroten. Denk aan nummers van banken of de overheid. Zijn telecombedrijven aansprakelijk wanneer zij dergelijke vormen van spoofing toestaan, en maakt het dan nog uit hoe actief zij daarop toezien?
Helaas komt het steeds vaker voor dat oplichters (“phishers”, in het jargon) gebruik maken van gespoofte telefoonnummers. In februari werd bijvoorbeeld bericht dat de politie samen met de Nederlandse grootbanken een onderzoek is gestart naar het spoofen van telefoonnummers van banken door oplichters. Ik heb nog geen resultaten gelezen, maar het laat de urgentie van het probleem zien. Wanneer een slachtoffer het werkelijke nummer van een bank als beller ziet, zal hij eerder het verhaal geloven natuurlijk.

Het doet raar aan dat een beller andermans telefoonnummer kan meesturen. Deze situatie bestaat echter al heel lang. Er zijn namelijk legale toepassingen, zoals wanneer een bedrijf bij alle uitgaande telefoontjes het centrale nummer meestuurt. Dan komen terugbellende klanten niet bij een specifieke medewerker terecht maar altijd bij de telefoniste.

Raar is wel dat daarbij in de praktijk geen enkele beperking wordt gehanteerd, zoals dat het ingestelde nummer ergens aan jouw bedrijf gekoppeld moet zijn in de administratie van de telecomprovider. Ik weet niet waarom dat niet gebeurt.

Aansprakelijk voor problemen als gevolg van zo’n nepnummer is een telecomprovider niet. In de wet staat immers dat partijen die toegang geven tot communicatienetwerken niet aansprakelijk zijn voor de doorgegeven informatie (art. 6:196c lid 1 BW), en dat geldt dus ook voor telefonieproviders. Onder “informatie” valt ook metadata zoals het nummer van de afzender/beller.

Ik begrijp dat de ACM (de toezichthouder in deze sector) al sinds 2018 bezig is met telecomproviders samen te werken hier wat aan te doen. Ik kan geen specifieke wettelijke regels of beleidsregels vinden waar dit onder zou vallen. Het lijkt mij een vrij eenvoudige regel om in te voeren, en gezien de opkomst van deze fraude ook geen gek idee. Of mis ik een reële case waarom mensen arbitraire nummers moeten kunnen meesturen met uitgaande telefoongesprekken?

Arnoud

Mag de horeca gasten weigeren die geen naam en contactgegevens willen geven?

Geplaatst op in Ondernemingsvrijheid, Privacy, 33 reacties

Horecagelegenheden mogen gasten die geen naam en contactgegevens willen geven niet weigeren, las ik bij Security.nl. Dit blijkt uit een bericht van Koninklijke Horeca Nederland in reactie op de nieuwe maatregelen voor de horeca in de strijd tegen corona. Een van die nieuwe regels is dat iedere horecatent moet werken met reserveringen, ook als het een kleine zaak is. En daarbij is het vragen naar naam en contactgegevens verplicht voor contactonderzoek. Maar of je ook antwoord moet geven is dus niet duidelijk aldus de belangenorganisatie.

Dat is inderdaad een tikje dubbel van de Rijksoverheid:

Daarnaast worden alle bezoekers gevraagd zich te registreren. Bezoekers laten op vrijwillige basis naam- en contactgegevens achter zodat de GGD contact kan opnemen bij een besmetting die verband houdt met de horecagelegenheid.
Vragen is dus verplicht, maar als ik zeg “dat krijg je niet” dan heb je dus pech als horecagelegenheid. Dat riep bij velen (onder meer in de draad bij Security.nl en in mijn inbox) de vraag op of je dat niet alsnog gewoon kunt afdwingen. Het is toch jouw tent, als jij wil dat alleen bij jou bekende personen binnen zijn en dat je hun mailadres hebt dan is dat toch gewoon jouw ondernemersvrijheid?

Nou ja, niet helemaal. De hoofdregel klopt natuurlijk, maar er kunnen wel degelijk wetten zijn die jou hinderen in die vrijheid. De AVG/GDPR is hier echter echt wel een probleem. Een restaurant dat zegt “geef me naam en adres zodat ik marketing op je kan doen, anders eet je maar ergens anders” loopt tegen artikel 7 AVG aan dat zegt dat toestemming vrijwillig gegeven moet worden, zonder enige dwang.

Dit is precies de discussie van de cookiemuur: kan een ondernemer zeggen, geef me toestemming voor cookies anders geen website voor jou? De AP neigt naar de interpretatie “nee”, maar de rechter heeft zich er nog niet over uitgelaten. Ik zie zelf veel voor het standpunt van de AP, ook bij horeca want tegen de tijd dat ik daar sta om half zeven dan heb ik honger en ga ik echt geen ander restaurant opzoeken.

Praktisch gezien zou ik een nepnaam en mailadres invullen net als iedereen. En als je dat wil afvangen door een online reservering te eisen met emailvalidatie of bevestigings-06, dan prima maar dan wel (artikel 13 AVG en 11.7 Telecomwet) expliciet erbij zetten dat je me reclamemails gaat sturen én een afmeldoptie op voorhand. Doen of het alleen is voor coronatracing en dán reclame sturen is gewoon tegen de wet.

Arnoud

Misschien doet handhaven op informatieplichten wel meer pijn dan op toestemming/belang?

Geplaatst op in Privacy, 32 reacties

Whatsappen met Wopke Hoekstra? Bellen met Kajsa Ollongren of Carola Schouten? Het kan dankzij Lusha, een onlinedienst die mailadressen en telefoonnummers van het internet plukt. Zo opende Trouw onlangs. Met deze vage dienst zijn mobiele telefoonnummers te vinden van vele, vele mensen. En er is een handige browser plugin waarmee je het telefoonnummer meteen ziet als je iemands social media profiel bezoekt. Natuurlijk is er geen toestemming gevraagd want even zo natuurlijk ziet het bedrijf hier een eigen legitiem belang – fraudebestrijding. Ik word zo moe van die discussie, dus laten we het eens over de informatieplichten hebben.

Een van de grondslagen om onder de AVG met persoonsgegevens te kunnen werken is het eigen legitiem belang. Je zegt dan grofweg, ik heb gewoon een eerlijke reden om dit te mogen doen en ik houd rekening met je privacy, maar dit moet gewoon kunnen. Dat “ik houd rekening met je privacy” is belangrijk; je moet wel waarborgen inbouwen en rekening houden met bezwaren.

Wat zijn nou “eerlijke redenen”? Nou ja, fraudebestrijding dus bijvoorbeeld. Net als netwerkbeveiliging of beschermen van eigendom, de reden dus dat je security monitoring of cameratoezicht mag inzetten. In principe, want je moet dus die afweging maken. Honderd camera’s op de werkvloer gaat hem dus niet worden, dat is niet proportioneel in die afweging ook al heb je eigendommen te beschermen.

Ik roep altijd dat je niet om toestemming moet vragen (tenzij je een nieuwsbrief hebt), en dat blijf ik ook nu doen. Lusha kiest volgens mij inderdaad de juiste grondslag. Ik geloof er vervolgens direct geen bal van dat ze die afweging hebben gemaakt, ze citeren een stukje AVG en produceren een leuterverhaal zonder onderbouwing – ik was blij verrast dat de Trouw-journalist dat keurig affakkelt overigens. Maar ik zie wel hoe je een lange discussie kunt krijgen over de inhoud van zo’n afweging.

De insteek van professor Zwenne (geciteerd in Trouw) is een veel simpeler én effectiever: je hebt als betrokkene het recht geïnformeerd te worden voor of bij het eerste gebruik van die gegevens. En dat is dus niet “wanneer je gebeld wordt” maar “wanneer Lusha je nummer in hun database stopt of via de API opvraagt bij vagedatabases.kremvax.ru”. En dat is niet gebeurd, zeker weten. Dus daarmee overtreedt Lusha keihard de AVG, en als ze een jurist hadden ingehuurd (nee, ik had ze lachend naar buiten gewezen) dan hadden ze dat geweten.

Blijft natuurlijk het probleem van handhaving: het is een Amerikaans-Israelisch bedrijf, dus een boete opleggen en incasseren is een lastig traject. Ik kon zo gauw geen Nederlandse bv ontdekken waar royalties (de Dutch/Irish sandwich) doorheen gaan of iets dergelijks, in ieder geval.

Wel is het natuurlijk zo dat iedereen die Lusha zakelijk gebruikt, automatisch de AVG overtreedt. Ja, ook als jij zelf wél een duidelijk onderbouwd gerechtvaardigd belang hebt én mensen meteen informeert dat je nummers bij Lusha inkoopt. Want naast die specifieke regels is er ook artikel 5, de basisprincipes. En eentje daarvan is “rechtmatig, behoorlijk en transparant”. Het is natuurlijk niet rechtmatig of behoorlijk dat je gegevens inkoopt bij een bedrijf dat zo duidelijk de AVG overtreedt. Ook niet als je een vrijwaring hebt opgenomen bij een garantie van Lusha dat ze de AVG wél naleven.

Arnoud

Keurig betaald met de parkeer-app en toch een bekeuring

Geplaatst op in Privacy, 30 reacties

Twee jaar geleden parkeerde rechtenhoogleraar Corien Prins haar auto in de Utrechtsestraat in het centrum van Tilburg, zo opende NRC een juridisch artikel. Ze betaalde met haar parkeer-app, die aangaf dat ze daar een uur mocht staan. Maar dat bleek niet te kloppen en ze kreeg een boete. Ja mevrouwtje, zo gaat het verhaal dan, die app is niet van de overheid dus dan blijft het uw eigen verantwoordelijkheid he. Maar de app wordt natuurlijk wel gevoed met informatie afkomstig van de gemeente, die bouwers gaan echt niet zelf elk verkeersbord nazoeken. Interessant genoeg geeft de Hoge Raad Prins gelijk.

Uit het arrest blijkt dat op de betreffende locatie alleen geparkeerd mocht worden met vergunning of dagticket, terwijl Prins via haar app voor een uur had betaald (€2,20 in plaats van een dagkaart van €16,50). Op een bord aan het begin van de straat stond dat ook aangegeven, maar de parkeer-app wist niet beter dan dat je per tijdseenheid kon parkeren.

Die informatie over waar je betaald moet parkeren, die haalt zo’n bedrijf natuurlijk niet zelf overal op. Die wordt door gemeenten aangeleverd, er is zelfs een Nationaal Parkeer Register (spatiefout in origineel) waarin deze informatie op te halen is. En daar ging het dus mis, de gemeente Tilburg had die informatie over die dagkaart niet correct in het NPR gezet. Wiens fout is dat nou?

Rechtbank en Gerechtshof legden de verantwoordelijkheid voor het op de juiste manier voldoen van de parkeerbelasting toch bij de burger neer. Je kiest er zelf voor om een app te gebruiken, je had ook het bord kunnen controleren en dan had je het kunnen weten. Dat de gemeente die informatie in het NPR stopt en de appbouwer daarop afgaat dat is niet het probleem van de handhaving, je moet daar altijd op bedacht blijven als je gaat parkeren.

Ja die vond ik ook niet heel sterk. En vooral de Hoge Raad niet, en die heeft er nog een juridisch argument voor ook. Volgens de Gemeentewet moet je duidelijk informeren hoe en waarvoor er parkeerbelasting moet worden betaald. Als je vervolgens als gemeente toelaat dat men via een app betaalt, dan moet je als gemeente zorgen dat ook in de app duidelijke informatie beschikbaar is over het betalen.

In cassatie staat vast dat belanghebbende bij het betalen door middel van de parkeerapp onjuiste gegevens omtrent de verschuldigde parkeerbelasting te zien kreeg. Daarmee staat ook vast dat de gemeente Tilburg niet heeft voldaan aan haar hiervoor in 2.4.1 omschreven informatieplicht ten aanzien van deze wijze van betaling. Aangezien de Verordening aan belanghebbende de keuze biedt tussen betaling door middel van een parkeerapp of een parkeerautomaat en tussen die wijzen van betaling geen onderscheid maakt, kan aan belanghebbende niet worden tegengeworpen dat hij is afgegaan op de tariefinformatie in de parkeerapp zonder ook tariefinformatie in de plaatselijke parkeerautomaat en/of op in de omgeving geplaatste borden te raadplegen.
De naheffingsaanslag wordt dan ook vernietigd. Hopelijk wordt de informatie nu ook snel aangepast; in het artikel wordt Tilburg geciteerd als dat ze hebben gezegd dat het wel vaker fout gaat. Maar nu er eindelijk een sanctie staat op die fouten, hoop je dat er een prikkel is om dit op te lossen. „Op het moment van de uitspraak van de Hoge Raad was de kaart al verbeterd en de gemeente Tilburg is bezig om de kaarten nog nauwkeuriger in te tekenen”, aldus de gemeente.

Arnoud