Mogen admins in je direct message-box kijken als ze dat noodzakelijk achten?

Geplaatst op in Ondernemingsvrijheid, Privacy, 29 reacties

Bij Tweakers las ik een draadje waarin iemand claimde gesteund te worden door mensen die zich per privébericht, pardon direct message (die term is belangrijk) hadden gemeld. Waarop zijn bericht werd weggehaald omdat een admin even had gekeken en – ik citeer – alleen “een paar andere users die ook al [] verbannen waren” had aangetroffen. En tsja, discussies “belanden in de prullenbak omdat fatsoenlijke onderbouwing ontbreekt of er op een andere manier niet fatsoenlijk gediscussieerd wordt.” Eh, oké. Daar gaan mijn wenkbrauwen wel van omhoog, dat een admin dan even in je inbox kijkt als deel van een discussie. Maar mág het?

De reden dat  ‘direct message’ hier belangrijk is, is omdat Tweakers die term is gaan gebruiken juist om te voorkomen dat mensen met termen als “privébericht” gaan schermen als een admin die gaat lezen. Want hoezo kijk jij in mijn privé? Maar nu klinkt het alsof het alleen gaat om het 1-op-1 karakter van het bericht (ik bereik jou direct) en dat zegt niets over je privacyverwachting. Dus mag men kijken, maar maak je geen zorgen: alleen als dat noodzakelijk wordt geacht. Zoals men het zelf zegt:

Alle berichten die je verstuurt en ontvangt blijven bewaard op de servers van Tweakers en kunnen worden ingezien door de crew van Tweakers indien dit noodzakelijk geacht wordt. Spam of anderszins ongewenste berichten kan je hier melden.
Iets preciezer is de privacy notice, die vermeldt:

Berichten worden, net als de gewone forumdiscussies, ongecodeerd op onze servers opgeslagen. Bij misbruik van het DM-systeem of vermoeden van ongewenste activiteiten (bijvoorbeeld: spam, bedreiging, oplichting, enz). kan een selecte groep beheerders van Tweakers.net de betreffende DM boxen inzien.

Voor mij als jurist is “misbruik of vermoeden van ongewenste activiteiten” niet hetzelfde als “indien dit noodzakelijk wordt geacht”. Ik snap dat beide brede criteria zijn, dus we zullen maar zeggen dat men met die term noodzaak verwijst naar de frase uit de privacy notice.

De onderbouwing voor deze specifieke inzage wordt gegeven als

Als jij in dat feedback topic op hoge poten commentaar levert over de moderatie en daarbij claimt veel steun te hebben gekregen via DM, dan was dat in dit geval voor mij aanleiding om te controleren van wie, om dat argument op waarde te schatten (en in dit geval dus te bevestigen dat dat een erg zwak argument is gezien die DMs afkomstig zijn van andere gebruikers die zich meermalen misdragen hebben).

Nou vind ik de Tweakerscrew heel liev maar ik kan met de beste wil van de wereld “controleren om je argument op waarde te schatten” niet scharen onder “misbruik of vermoeden van ongewenste activiteiten”. Tenzij je zegt, het is ongewenst dat mensen feitelijk onjuiste informatie verstrekken over hun direct message box in discussies over moderatie. Dat vind ik nou niet het sterkste soort ongewenste activiteit om me druk over te maken, zelfs niet als je je als moderator aangevallen voelt door de stelling “iedereen steunt me in dm”.

Arnoud

Slack dient Europese antitrustklacht in tegen Microsoft wegens machtsmisbruik

Geplaatst op in Ondernemingsvrijheid, 5 reacties

Slack heeft een klacht ingediend bij de Europese Commissie tegen Microsoft wegens misbruik van haar dominante marktpositie. Dat las ik bij Tweakers. Microsoft heeft namelijk haar chat- en videovergaderdienst Teams toegevoegd aan het immens populaire Office, waardoor Slack oneerlijke concurrentie voelt. Zij kan immers met haar betaalde en losstaande aanbod niet op tegen “ach er zit ook al iets dergelijks in Office”. Opvallend genoeg zei Slack enkele maanden geleden nog dat het Teams helemaal niet als concurrent zag, het is mij niet helemaal duidelijk wat de gedachteverandering gaf. Maar in de kern hebben ze wel een punt.

Het toevoegen van een extra dienst aan je pakket is op zich niet raar. Er is veel vraag naar videobellen en chatten, dus dan speel je gewoon in op de marktvraag door dat toe te voegen. Zeker als je toch al Lync en Skype op de plank had liggen. Tijd om dat eens goed af te stoffen en een integratie toe te voegen.

Alleen, als je zo groot bent als Microsoft, dan gelden de gewone spelregels van de vrije markt niet meer. Het is dan té oneerlijk voor anderen als je zomaar alle trucs kunt toepassen om de concurrent dwars te zitten. En Microsoft is nou eenmaal de marktleider op productiviteitsgebied met haar Office-pakket. (Plus, ze hebben natuurlijk een geschiedenis met hoe ze Internet Explorer in de markt hebben geduwd om zo Netscape kapot te concurreren.)

De vraag is dan, hoe oneerlijk is het om een dienst als Teams toe te voegen aan je bestaande bundel. Het is een recente toevoeging – hoewel men al sinds 2018 bezig met het uitfaseren van Skype for Business is en het mensen pushen naar Teams – maar je kunt het ook zien als meegroeien met wat de markt wil. (In de jaren tachtig werkte Zoom heel anders.) Zeggen dat het enkele toevoegen al machtsmisbruik is, gaat mij dus wat ver.

Ik zie in de klacht van Slack wel dingen als dat je Teams niet zomaar kunt deïnstalleren, en dat er geen aparte prijs voor wordt gerekend. Dát gaat inderdaad net wat verder, want zo maak je het nodeloos net wat moeilijker om over te stappen. Slack zal dan altijd voelen als iets waarvoor je extra betaalt terwijl er al een prima gratis product bij Office zit. En dát is dan het wegpesten van de concurrent.

Arnoud

 

 

Als je een legal tech kantoor wilt hebben, moet je klein beginnen #legaltechtuesday

Geplaatst op in Innovatie, 4 reacties

De grootste fout die softwareontwikkelaars maken: versie 3.  Dat is namelijk de versie waarbij men besluit de oude rommel eens weg te gooien en hélemaal opnieuw te beginnen. Lekker een schone lei, al die rare dingen het raam uit en een mooie, strakke set code. Dat kost alleen ontzettend veel tijd en je gaat alle oude fouten nog eens tegenkomen. Die oude code was namelijk zo raar en rommelig omdat er ontzettend veel fouten mee ondervangen moesten worden. Ditzelfde fenomeen zie je wanneer organisaties besluiten tools zoals legal tech software in te zetten. Laten we alles opnieuw invullen, de hele workflow aanpakken en alles netjes opnieuw neerzetten. Dat werkt dus net zo min.

Legal tech is software die een juridisch proces ondersteunt – maar meestal het proces op een nieuwe manier invult. De neiging van software is om groter en groter te worden (“totdat het ook kan e-mailen”, was ooit het mantra) en dat betekent dat je als klant dus een enorme verandering over je heen krijgt wanneer je zulke software inzet.

En vooral: je krijgt dan dus een enorme organisatieverandering wanneer je zulke software inzet. Zie mijn column van vorige maand: legal tech is een cultuurverandering. Hoe groter die is, hoe lastiger het is om die met succes door te voeren. Want je krijgt meer weerstand, en sowieso moet je meer moeite doen om iedereen al die veranderingen te laten doen. Dat verkleint serieus je kansen op succes.

Ik spreek ondertussen best veel mensen over legal tech (en krijg in de mail ook vele vertrouwelijke oorlogsverhalen, blijf ze sturen meiden&jongens), en de teneur is inderdaad vaak dat er een groot en glimmend ding naar binnen gereden wordt, mensen in frisse polo’s flitsende demo’s laten zien en de directie dan zegt “en vanaf nu alles hiermee”. Om vervolgens mensen aan te spreken op declarabele uren en niet te meten hoe vaak er met de nieuwe tool wordt gewerkt. Ja, vind je het gek.

En het grappige is, er is juist al héél veel winst te halen uit kleine stapjes. Zo veel laaghangend fruit, in het Engelse jargon, dat je kunt plukken. Zet een documentgenerator naast je oude set met templates. Voeg een knopje toe aan Word waarmee je jurisprudentie snel kunt opzoeken. gebruik tools die een specifieke klus versnellen, enzovoorts. Zo leren mensen proeven van dit soort vernieuwingen, en dat smaakt naar meer.

Arnoud

Moeten mensen bij een horecareservering hun contactgegevens opgeven?

Geplaatst op in Informatiemaatschappij, 24 reacties

Een lezer vroeg me:

Vanwege de coronacrisis is het bij restaurants, pretparken en dergelijke verplicht om je naam en/of adres op te geven. Geldt daarvoor ook de AVG en wat moeten ze je hierover informeren? En mogen die gegevens voor marketing worden gebruikt?

Als hygiënemaatregel geldt inderdaad sinds kort dat men verplicht is vooraf te reserveren (en dat een gezondheidscheck plaats moet vinden). Althans bij grotere zalen of ruimtes waar 100 man of meer kan zitten. Kleine cafés hoeven dus niet met reservering te werken.

De meeste bedrijven kiezen voor online reserveren, en de bouwers van zulke sites kiezen dan voor de standaard aanpak waarbij mensen naam en contactgegevens opgeven. Dat is immers hoe het altijd ging. Je zou ook per reservering een random getal kunnen genereren dat mensen kunnen noemen; mogelijk doet men dit niet omdat klanten die getallen kwijtraken.

Maar je valt inderdaad onder de AVG als je mensen laat reserveren. Dat het wettelijk verplicht is, maakt dat niet anders. Dat betekent alleen dat je in je privacyverklaring aangeeft dat je het vraagt omdát het wettelijk verplicht is.

Alleen: het ís niet verplicht om contactgegevens te vragen. De noodverordening eist alleen dat plekken op reservering worden uitgegeven, niet dat je weet hoe die personen heten of hoe je ze kunt benaderen. Ja, de minister wil die gegevens daarvoor gebruiken maar dat kan alleen met aparte toestemming.

Als je dus contactgegevens vraagt bij een reservering, dan moet je uitleggen waarom je die nodig hebt. Dus niet “om uw reservering te beheren” maar concreet, wat doe je met die naam en met dat mailadres? Bevestig je het daarmee (en gaat het mailadres dus daarna weg) of kan men daarmee inloggen en annuleren? Stuur je informatie naar het 06-nummer dat je vroeg? Hoe lang bewaar je die gegevens, hoe krijgt men inzage en wanneer gooi je ze weg?

Er mag veel, maar je moet het wel aangeven. Ook direct marketing op die gegevens is toegestaan, maar daar moet je wel een opt-out bij aanbieden (op het reserveringsformulier dus, niet in de privacyverklaring) en je moet in de privacyverklaring uitleggen wat je ermee doet.

Maar let wel: als je zegt dat het wettelijk verplicht is om die gegevens te verstrekken, dan hang je. Dat is niet zo, en dan verwerk je ze onrechtmatig (want je gebruikt de verkeerde grondslag). En dan mag je niet zeggen “oh ja ik bedoelde uitvoering overeenkomst” of “het was stilzwijgende toestemming”.

Waarom werkt niemand eigenlijk met iets anders dan naam en contactgegevens bij reserveren?

Arnoud

Zit het auteursrecht in de weg als je iemands theorie wilt uitleggen in je cursus?

Geplaatst op in Intellectuele rechten, 9 reacties

Een lezer vroeg me:

Ik ontwikkel cursussen die ik commercieel als e-learning verkoop. Daarin leer ik mensen over bijvoorbeeld de piramide van Maslow, maar ik moet dan natuurlijk de nodige tekst en visuals overnemen uit de bron(nen) die ik gebruik. Loop ik dan tegen auteursrechten aan en maakt het uit dat ik de cursussen verkoop?

Citaatrecht geldt ook bij commerciële publicaties zoals cursussen. Er is dus in principe geen probleem, want als je in een cursus wilt uitleggen hoe een theorie, model of iets dergelijks in elkaar zit dan kan dat binnen het citaatrecht. Je moet dan niet meer dan nodig overnemen uit de bron, en je moet de bron noemen natuurlijk.

Dat “niet meer dan nodig” betekent concreet vooral dat je zo veel mogelijk je eigen woorden gebruikt, en alleen een stukje tekst of afbeelding als je echt niet anders kan. Bijvoorbeeld de kernzin van wat iemands theorie inhoudt, de autoritaire formulering waar je niet omheen kunt of een superduidelijk stukje dat je niet kunt missen.

Eigenlijk is auteursrecht ongeveer hetzelfde als wetenschappelijk citeren. Ook daar leen je soms werk van anderen, maar door de bron te noemen en te erkennen is dat verder geen probleem. Ik vind deze uitleg van de RUG een mooie samenvatting van hoe je citeert en vooral wanneer je parafraseert in plaats van te citeren. Zeker bij figuren en andere visuals zou ik altijd zeggen: maak je eigen. Niet alleen verminder je dan de auteursrechtelijke problemen, het staat ook gewoon mooier want je kunt het in jouw huisstijl doen en de nadruk leggen waar jij die nodig hebt.

Bij sommige methodes en protocollen kun je tegen merkrechten aanlopen. In de hoek van de zelfhulpmethodes zijn nogal wat namen als merk vastgelegd, en als jij die methode dan gaat uitleggen onder het noemen van die naam, dan kun je daar tegenaan lopen. Het kan wel, zolang je maar duidelijk aangeeft dat jij die methode uitlegt en dat die als merk bekend staat. Ga je zelf “onafhankelijke cursussen” in dat gedachtengoed aanbieden, dan kun je de merknaam niet noemen.

Arnoud

Hoe problematisch is de CLOUD Act nu echt?

Geplaatst op in Ondernemingsvrijheid, 26 reacties

Een hoop ophef en vraagtekens vorige week over het einde van Privacy Shield. Een belangrijke zorg was weggelegd voor de Cloud Act, want daarmee zouden Amerikaanse overheden ook toegang tot Europese data alhier kunnen vorderen. Daarmee zou de standaard oplossing – blijf in een Europees datacenter bij een Europees bedrijf – ook gevaar lopen. Hoe ver reikt die wet nu eigenlijk?

De Cloud Act is er gekomen naar aanleiding van een rechtszaak tussen Microsoft en de FBI over afgifte van data bij een Europese dochter van het Office-cloudbedrijf. Kort en goed zegt die wet, niet zeuren maar doen. Afgeven die hap, ook als die in het buitenland staat. Letterlijk (paragraaf 2713):

Electronic communication service providers and remote computing service providers must comply with the obligations of [this Act] to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider’s possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.

Zo’n bevel kan aan Microsoft in Redmond, Washington worden gegeven. Die zou dan haar Europese dochter kunnen opdragen die gegevens door te geven, aldus deze wet.

Maar dat kan eigenlijk niet, want binnen de regels voor concerns kán een moeder niet direct bevelen wat een dochterbedrijf moet doen. Aandelen geven wel zeggenschap, maar geen bestuursbevoegdheid. Je moet dus het bestuur overtuigen, en dat kan eigenlijk alleen door te zeggen dat je het bestuur eruit gooit als ze niet doen wat je zegt. Dat zou nogal opvallen, en als in de statuten van die dochter ook nog vervelende dingen staan dan wordt dit helemaal een heilloze route.

Bovendien is er artikel 48 AVG:

Elke rechterlijke uitspraak en elk besluit van een administratieve autoriteit van een derde land op grond waarvan een verwerkingsverantwoordelijke of een verwerker persoonsgegevens moet doorgeven of verstrekken, mag alleen op enigerlei wijze worden erkend of afdwingbaar zijn indien zij gebaseerd zijn op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand, tussen het verzoekende derde landen en de Unie of een lidstaat, onverminderd andere gronden voor doorgifte uit hoofde van dit hoofdstuk.

Een bevel onder de CLOUD Act voldoet niet aan de eisen van dit artikel. De Europese dochter moet dit dus naast zich neerleggen, op straffe van hoge boetes (in theorie 20 miljoen Euro, art. 48 jo. 83 lid 5 AVG).

En meer algemeen vraag ik me dus al tijden af, hoe gaat dit überhaupt werken, dat vanuit Amerika opvorderen van persoonsgegevens? Moet de Ierse dochter van Microsoft dan een achterdeur inbouwen, komt er een bevel tegen de Ierse directie en zo ja hoe gaan ze dat dan afdwingen? Er zijn immers geen verdragen over wederzijds erkennen van zulke inzagebevelen. Dat is waar we al heel lang rechtshulpverzoeken voor hebben immers.

Ik zie hoe er een risico is als je data in de VS hebt staan, want dan kan men erbij en dat mag dan dus. Maar als je data hier staat en de beherend entiteit is Europees (ook al is de moedermaatschappij Amerikaans) dan zie ik gewoon niet hoe in de praktijk die data naar de VS zou gaan als de FBI dat zou willen.

Arnoud

Ik krijg zo’n jeuk van dat “iedereen zet toch alles al op Facebook”-kulargument tegen privacy

Geplaatst op in Informatiemaatschappij, 19 reacties

Toen tijdens een van de persconferenties minister Hugo de Jonge (Volksgezondheid, CDA) alleen al het voornemen van een corona-app uitsprak, haalde men bijna collectief de neus op. Zo karakteriseerde Rosanne Hertzberger de ophef over de corona-app in een recente column in NRC. Zo raar he mensen, iedereen zet alles op Facebook maar als de overheid een snippertje data van je wil dan schieten we in de heiligste verontwaardiging en wordt 1984 bij stapels verbrand. Of zoiets. En man wat krijg ik een jeuk van dát kulargument. Maar in plaats van in een dikke factfree tirade te schieten, dacht ik ik duik eens in de literatuur of er ooit onderzoek naar gedaan is. En dat is er dus.

Met enige speurwerk vond ik het proefschrift van Joris Demmers, die in 2018 doctor werd op de vraag hoe en waarom consumenten hun data delen met bedrijven. Hij bekeek het vanuit het perspectief van marketing: hoe je consumenten verleidt om wél gegevens te geven. Daarbij speelt mee dat mensen wel degelijk de privacyzorgen kennen, en dat die zeker ook meewegen op het moment dat men een beslissing maakt (zoals iets posten of gegevens verstrekken). Het is dus niet zo dat men zich niet bewust is van de risico’s, of dat mensen het prima vinden om als een datapunt verhandeld te worden. De “privacy bestaat niet, get over it”-club is een hele kleine.

Het punt is dat privacyzorgen abstract zijn, terwijl wat daar tegenover staat juist concreet is: ik wil nu dat spelletje spelen, ik wil dit product hebben en ik wil graag reageren op die stelling. Het is een bekend fenomeen dat mensen abstracte risico’s als minder ernstig zien wanneer er concrete voordelen tegenover staan. Zo zal Hertzberger vast weten dat alcohol slecht voor je is, maar als er concreet een mooi wijntje op tafel komt bij het diner dan zal zij zoals de meeste mensen toch dat glas nemen. (Doe ik ook hoor.) Dat is dan concreet en fijn, en het abstracte risico van leverkwalen en ander drankgerelateerde ongein dat zakt dan weg. Maar hoe maak je die afweging?

Demmers laat in zijn onderzoek zien (p. 66-68) dat daarbij van belang is hoe dichtbij de kosten en de baten staan. Als de baten zeer dichtbij zijn, zeer concreet – nú snel inloggen – en de kosten zeer abstract en ver weg – Google weet nu iets meer van je – dan zullen de baten de doorslag geven. Dan ga je dus via Google inloggen. Zijn de kosten dichterbij – een autoverzekeraar wil je rijgedrag in detail hebben, elke rit – en de baten wat verder weg – je premie gaat 10% omlaag – dan laten mensen zich leiden door de kosten, de risico’s. Die verzekering neem je dus niet.

Demmers:

We showed that consumers hold relatively high-level, abstract mindsets in attitudinal privacy preference contexts, whereas they hold more concrete, low-level mindsets in behavioral contexts, which is in line with the idea to which an event is directly experienced determines the way it is mentally processed (Wakslak, 2007). In disclosure situations that are characterized by the common configuration of psychologically close benefits versus distant costs of disclosure, these diverging mindsets cause people to focus on the psychologically close benefits in behavioral privacy preference contexts, but on the psychologically distant, more abstractly construed costs in attitudinal contexts.

Een argument dat zegt “mensen plaatsen alles op Facebook dus moeten ze niet zeuren over een overheids-app” slaat de plank dus mis omdat het twee onvergelijkbare situaties betreft. Bij Facebook zijn de risico’s abstract en lastig inzichtelijk, en zijn de baten er direct en concreet. Het is léuk om iets op Facebook te zetten, met vrienden te interacteren en spelletjes te spelen. En concreter dan “dan krijg je meer reclame op maat” wordt het niet, qua kosten-analyse. Dus ik zie wel hoe men dan uitkomt bij gewoon doorgaan met Facebook. (Nog even los van dingen als het netwerkeffect of FOMO).

Terwijl bij zo’n overheidsapp de baten zeer abstract zijn maar de kosten reëel: je wordt ieder moment gevolgd, de overheid kijkt mee. Dat maakt dat de afweging dus heel begrijpelijk zeer anders uitvalt. Dus nee, het slaat nergens op om dit te zeggen – je vergelijkt appels met peren.

Arnoud

De adoptie van legal tech gaat de advocatuur gewoon bypassen #legaltechtuesday

Geplaatst op in Innovatie, 7 reacties

Jaja, het coronavirus zou de grote transformatie in legal tech land met zich meebrengen. Maar om heel eerlijk te zijn heb ik het idee dat dat toch wat rustiger gaat nu het lijkt (nadruk op lijkt) alsof die crisis aan het overwaaien is. Wat ik ondertussen wel heel grappig vind om te merken, is dat er wél steeds meer vraag en aandacht voor legal tech oplossingen komen vanuit andere dienstverleners. Ik heb dat al eerder geroepen, maar ik zie nu meer bevestiging: door legal tech kunnen andere beroepsgroepen meer van het juridische erbij gaan doen, want dat versterkt hún eigen dienstverlening. Oh en ze zullen goedkoper zijn voor dat juridische.

Bij Artificial Lawyer las ik over de lancering van de “Legal Business Services” groep van Deloitte, een van de Big 4 accountantskantoren. Dat gaf veel ach en wee in Amerika, als zo’n grote jongen met een bak met geld juridische diensten gaat verrichten dan is dat het einde van de advocatuur. Net zoals advocaten wel konden inpakken toen we rechtsbijstandsverzekeraars kregen. Niet dus. (En de grap is dat Deloitte in de meeste staten helemaal geen juridisch advies mág geven want adviesmonopolie.)

Het signaal is wel een mooie, want van een accountantskantoor zou je niet direct juridisch advieswerk zoals contracten verwachten. Maar het kan natuurlijk wel, en als je anno 2020 een nieuwe dienst in die niche opzet waarom zou je dat dan niet met legal tech doen? Dan ben je sneller, effectiever en met minder mensen klaar dan de traditionele dienstverleners.

In Nederland geldt geen adviesmonopolie voor advocaten, iedereen mag juridische diensten verlenen. Alleen procederen is gedeeltelijk een afgeschermde markt. Dus als je als boekhouder, accountant, coach of welk beroep dan ook juridische diensten erbij wil doen, dan kan dat. En met legal tech kan dat vaak ook nog goedkoop én op het niveau van een advocaat of jurist. Dat zijn immers gewoon de documenten of kennis die je erbij koopt.

En omdat je het goedkoop inkoopt, kun je het goedkoop wegzetten als je wilt. Ik zie daarbij vooral interesse in het gratis (of bijna gratis) weggeven van de dienst. Als lokkertje, als upsell, als complimentje, hoe je het maar wil noemen. Waar het om gaat, is dat je jouw klanten wat extra’s kunt bieden dat de concurrent niet heeft. Daar hoef je niet perse geld voor te vragen, dat geld verdien je met wat je core business is.

Een bijeffect van die strategie is dat de prijs van juridisch advies omlaag gaat. Dat noemen we commodificatie, een term die ik al vaker heb laten vallen bij juridische dienstverlening. Goedkoop, standaard en simpel. En laat dat nou precies zijn waar computers goed in zijn. Ik ben heel benieuwd!

Arnoud

Deze startup kreeg zo veel haat op haar privacypolicy dat ze hem aanpaste, advocaten staan versteld

Geplaatst op in Privacy, 6 reacties

Als Ars Technica clickbaitkoppen mag doen, mag ik het ook. “Ars readers hated this startup’s privacy policy—so the company changed it”, meldde men onlangs. De Amerikaanse technieuwssite had zoekmachine Neeva gereviewd, maar de reacties van lezers gingen massaal en zeer negatief los op de privacypolicy van het bedrijf. Tot veler verrassing leidde dat tot daadwerkelijke verandering: CEO Sridhar Ramaswamy liet de policy aanpassen. Een lesje in hoe het wel moet.

Hoe kon dit nou gebeuren? Nou ja, de bedoelingen waren natuurlijk goed maar ja toen gingen de juristen moeilijk doen:

Ramaswamy told Ars that the company’s intention was to provide a secure and privacy-respecting platform from the start. But, he added—and we’re paraphrasing here—”lawyers will be lawyers,” and it was “on him” that he had not inspected the policies drafted by the company’s legal counsel closely enough.

En ja, ik herken dat: heel veel ondernemers denken dat als een jurist of advocaat iets opstelt, het wel zo zal moeten van de wet dus dan nemen we het maar over. Of de tekst is zó lang, dicht en onnavolgbaar dat men het van pure ellende maar online zet. (Als je klant tegen je zegt “Fantastische tekst, ik heb er geen woord aan veranderd en hij gaat meteen online” dan bedoelt hij “Ik kom er niét doorheen dus het zal wel.” Ik heb drie klanten die nog steeds een “wie dit leest krijgt een fles champagne”-clausule in hun algemene voorwaarden hebben.)

Wat ging er nu mis? Neeva presenteert zichzelf als een privacyvriendelijke zoekmachine, waarbij je betaalt voor de dienst. En dat is een mooie insteek voor een nichedienst, alleen moet je dan wel extra goed nadenken hoe je in je privacyverklaring dingen uitlegt. Dit werkt bijvoorbeeld niet:

We have not sold consumers’ personal information in the preceding 12 months.

Ik begrijp dat dit bedoeld was als een kanarie – zodra men wel data zou gaan verkopen, was dit statement een leugen en dan kun je ze daarop ‘pakken’. Maar dat werkte niet: mensen dachten dat Neeva dus alleen maar 12 maanden hoefde te wachten en dan commercieel los kon gaan. Dat is dus nu gewoon “We do not and never have sold consumers’ personal information”.

Wat ook niet hielp, was een generiek statement dat men informatie kon delen met affiliated companies. Er stond niet bij wat dat waren – zuster en dochterbedrijven? Zakenpartners? Bedrijven die tegen vergoeding klanten aanbrengen? Dus dat gaf enige ophef, met name omdat er niets stond over waarborgen of beperkingen.

Ook niet fijn:

we store the personal information we receive as described in this Privacy Policy for as long as you use our Services or as necessary to fulfill the purposes for which it was collected… [including pursuit of] legitimate business purposes.

Dat kan dus wel héél ver oplopen als je een paar jaar de dienst gebruikt, en wat zijn legitieme bedrijfsbelangen? Plus, in de advertenties stond dat men alles maximaal 90 dagen zou bewaren, dus wat is er nou waar? Dit werd dus meteen aangepast: automatisch verzamelde data (zoals zoekgeschiedenis) weg na 90 dagen, en alleen informatie die langer nodig is voor de dienst (zoals profielinformatie) bewaard zo lang de dienst afgenomen wordt.

Wat ging hier nou mis? Mijn vermoeden is dat men ‘gewoon’ ergens een privacy policy bestelde, en dat de jurist in kwestie zijn of haar best deed een keurig document te maken. Maar als je niet in detail doorspreekt wat belangrijk is, of als jurist wel denkt dat je weet wat belangrijk is, dan krijg je dit soort discrepanties.

Die quote hierboven over bewaartermijnen is bijvoorbeeld een heel normale voor juristen, dingen moeten weg als niet meer nodig (artikel 17 AVG, bij ons) dus dat schrijf je dan netjes op. Maar als de klant niet zegt “zoekdata gaat na 90 dagen weg”, hoe kom je er dan achter dat je die uitzondering moet maken? Dat is dus waar je extra werk in moet steken als juridisch adviseur, alleen vereist dat vaak meer gedoe dan oorspronkelijk begroot of voorzien. En dan kom je op het punt dat je een CEO moet uitleggen waarom een privacypolicy geen standaardtekstje is dat je er achteraf even op kwakt.

Arnoud

Oké zullen we gewoon stoppen met de US cloud want ik wil niet stééds uitspraken van 60 pagina’s samenvatten tot “stop nou eens met de US cloud”

Geplaatst op in Privacy, 57 reacties

Ja sorry, ik word een beetje chagrijnig van dit gedoe. Maar zoals ik -en velen met mij- al een paar jaar roep: je kunt niet vertrouwen op Privacy Shield, en je mag niet zomaar data van je klanten naar Amerika sturen. Ook niet in een clouddienst en ook niet als je er een verwerkersovereenkomst bij hebt. En ja, ze hebben ook gezegd dat Standard Contractual Clauses wél rechtsgeldig zijn. Maar dat is alleen omdat in die SCC staat dat je onmiddellijk moet stoppen met data naar Amerika sturen zodra blijkt dat dat land onveilig is. Oftewel, per direct.

Goed, ik ben alweer rustig. het gaat dus om de Schrems II-zaak. Oostenrijkse GDPR-activist Max Schrems wilde alweer heel wat jaartjes geleden weten waarom Facebook Ierland persoonsgegevens van hemzelf mocht verstrekken aan Facebook Inc. uit Californië. Amerika heeft immers niet echt hetzelfde niveau van bescherming van persoonsgegevens als wij. De Ierse AP besloot die vraag aan het Hof van Justitie voor te leggen, en die kwamen toen met de verstrekkende uitspraak dat de toenmalige Safe Harbor-overeenkomst niet rechtsgeldig was. Mede gezien de Snowden-onthullingen kun je Amerika met de beste wil van de wereld geen persoonsgegevensrespecterend land noemen.

Dat gaf politieke onrust, vandaar dat een jaartje later het Privacy Shield er kwam. Daarmee was er formeel weer een grondslag voor uitbesteden van dataverwerking in de VS, mits het bedrijf maar plechtig zei dat ze Privacy Shield zou respecteren en de Amerikaanse overheid zou doen alsof die ombudsman en mooie verklaringen uit het verdrag iets betekenden. Ja moehaha zeg ik dan, maar goed het was even een schaamlap zodat u tijd had om uw clouddiensten en Amerikaanse onderaannemers uit te faseren.

En nu is het dus zover, het Hof van Justitie zegt wederom dat Amerika niet veilig is voor persoonsgegevens en dat je die er dus niet heen mag brengen vanwege mooie woorden in die Privacy Shield overeenkomst. De Europese Commissie had gewoon niet kunnen en mogen concluderen dat Amerika veilig is (net zoals ze dat bij Safe Harbor niet hadden gemogen). Met name specifiek omdat de NSA en andere overheidsinstanties data mogen besnuffelen zonder enige mogelijkheid van klacht of bezwaar, en dat recht moet je wel hebben. En die ombudsman valt onder de minister van binnenlandse zaken en is daarmee niet onafhankelijk. Daarmee had Privacy Shield nooit gesloten mogen worden, en dat ding dat ze wel gesloten hebben is dus ongeldig.

Vele privacyjuristen hadden hier al rekening mee gehouden en dus ingezet op de zogeheten Standard Contractual Clauses (SCC). Dat zijn door de Europese Commissie opgestelde bepalingen waarmee je een standaardcontract samenstelt om grip te krijgen op een buitenlandse (niet-EU) partij die voor jou persoonsgegevens gaat verwerken. In dat contract dwing je keihard af dat men zich aan de GDPR houdt, onder meer met een recht van audit voor jou bij hem, een plicht van hem om rare dingen te melden en de plicht om klachten van gebruikers daadwerkelijk op te lossen.

Het Hof van Justitie zegt nu dat die constructie nog wél geldig is. Die is immers bedoeld voor situaties waarin de buitenlandse partij ergens zit waar ze rare dingen doen met persoonsgegevens. Dus dan is het prima als je samen keiharde afspraken maakt waarmee je die rare dingen buiten de deur houdt. Afdwingbaar, met boetes en rechtszaken. Dat kan gewoon. Daarom zegt het Hof, prima om naar Amerika met SCC te werken.

Alleen en nu komt ie: die afspraken moet je dan wel daadwerkelijk handhaven. Zo moet de Amerikaanse partij jou bijvoorbeeld informeren over rare praktijken of wetten die botsen met Europese rechten. Als jij onder FISA valt, zoals alle ICT-providers, dan moet jij dat aan je Europese klanten melden. En die mogen dan geen persoonsgegevens meer aan jou geven. Dus als je met SCC werkt, dan heb je jezelf contractueel verplicht om vandaag nog te stoppen met persoonsgegevens naar Amerika sturen.

Einde US cloud dus. Althans: voor laten we zeggen zakelijk gebruik door Europese bedrijven. Als jij zelf een Amerikaanse dienst gebruikt voor dienstverlening aan jou (hetzij zakelijk hetzij privé) dan blijft dat prima. Dat valt onder het kopje “toestemming”, dat nog steeds kan. Boeken bij een Amerikaans hotel, een Amerikaanse prijsvergelijker, lezen van een Amerikaanse krantwebsite, betalen met Paypal of een Amerikaans-gecontroleerde creditcard: allemaal prima. Gegevens van je klanten of je websitebezoekers door een Amerikaan laten analyseren: niet prima.

Ook niet als je een verwerkersovereenkomst hebt. Die zegt alleen maar dat die Amerikaan niets mag doen behalve wat jij hem opdraagt, maar dit borgt niet dat de NSA van die persoonsgegevens afblijft. En zolang dát niet geborgd is, mag je geen data laten verwerken in de VS.

Arnoud