Als jurist of IT-er aan de slag met de toekomst van internetrecht? Dan móet je mijn Summer School komen volgen

Geplaatst op in Informatiemaatschappij, 2 reacties

Wil jij deze zomer écht iets nieuws leren op het snijvlak van recht en techniek? Dan heb ik de uitdaging voor je. Of je nu jurist of IT’er bent: mijn IT Law Summer School neemt je op diepgravende en unieke wijze mee door de toekomst van het internetrecht. Vijf weken lang, elke week een ander, nieuw thema en online opdrachten om je de kennis eigen te maken en in de praktijk te brengen. Ik ben de hoofddocent.

Wie internetrecht zegt, denkt natuurlijk aan thema’s als auteursrecht, privacy/AVG, blockchain en zelfrijdende auto’s. Dat is leuk maar ik wil deze keer wel eens écht iets anders doen. Wat gaat de komende jaren speerpunt zijn in de juridisch/technische discussie. Nou, daar heb ik over nagedacht en ik kom hier op uit:

  • De mens als datapunt: persoonsgegevens, algoritmes, Artificial Intelligence en besluitvorming.
  • Wiskunde als wapen: beveiliging, encryptie, afluisteren, criminaliteit en veiligheid.
  • Werken en leven op afstand: online samen zijn, werk en privé en de Europese cloud.
  • De drone-dokter: gezondheid, genezen, preventie en persoonlijke ontwikkeling.

Inschrijven kan vanaf vandaag. Je gaat in groepjes van 4 mensen aan de slag, twee juristen en twee IT-ers (ik wil geen “techneut” zeggen). Je kiest één thema waar je met je groep een eindopdracht voor maakt, bij de andere drie thema’s ondersteun je de andere groepen én beoordeel je hun eindproduct. Dus elke week ben je druk bezig met de stof verwerken.

De Summer School is online, dus we werken écht online. En dat is niet een webinar plus een mail met wat je in een essay moet schrijven of iets dergelijks. Nee, ook dit is wat nieuws en ik hoop dat je het net zo gaaf en uitdagend vind als ik. Een greep uit wat je kunt doen:

  • Kamerrapport: over vijf jaar blijkt het gekozen onderwerp zo rampzalig te zijn verlopen dat dit leidt tot een parlementaire enquête. Schrijf (een deel van) het rapport van de commissie en blik zo terug, inclusief aanbevelingen voor de toekomst.
  • Kennisclip met toetsvragen: documenteer het onderwerp in een video van maximaal 10 minuten, en verwerk daarin toetsvragen waarmee de kijker kan vaststellen dat hij het heeft begrepen.
  • Game-pitch: schrijf een briefing voor een game (app of online) waarmee de speler kennis over het onderwerp zich eigen maakt.

Uiteraard verwacht ik juridische én technische diepgang, maar je gaat zo ook echt wat leren. Praktisch, to the point en met enige humor zoals je van mij gewend bent. Ik ga er wat van maken, doe je mee?

Arnoud

Claimt Disney nou echt dat een hashtag gebruiken akkoord op hun TOS is?

Geplaatst op in Intellectuele rechten, 6 reacties

Als je op Twitter iets zegt met de hashtag #MayThe4th, dan mag Disney alles doen met je bericht. Dat las ik bij Slashdot. Dit in vervolg op een uitnodiging: “Reply with your favorite #StarWars memory and you may see it somewhere special on #MayThe4th.” Niet bekend is wat men precies wil gaan doen met die replies, maar het is natuurlijk wel zeer opmerkelijk. Zeker omdat men het koppelt aan uitgebreide Terms of Use die je dan maar even moet gaan lezen. En dan zie je inderdaad staan dat je een licentie geeft aan Disney op alles dat je onder die TOS naar ze aanlevert. Eh, wacht, wat?

Die TOS zijn natuurlijk geschreven voor hun eigen platform; Disney mag regels stellen over wat je op hun forum en dergelijke zegt. Er staat in die TOS bijvoorbeeld dat je geen smadelijke of aanstootgevende dingen mag uploaden, wat ik heel normaal vind. Ook zie ik op zich vrij normale IP language:

you grant us a non-exclusive, sublicensable, irrevocable and royalty-free worldwide license under all copyrights, trademarks, patents, trade secrets, privacy and publicity rights and other intellectual property rights for the full duration of those rights to use, reproduce, transmit, print, publish, publicly display, exhibit, distribute, redistribute, copy, index, comment on, modify, transform, adapt, translate, create derivative works based upon, publicly perform, publicly communicate, make available, and otherwise exploit such User Generated Content, in whole or in part, in all media formats and channels now known or hereafter devised (including in connection with the Disney Products and on third-party websites, services, applications, and/or platforms), in any number of copies and without limit as to time, manner and frequency of use, without further notice to you, without attribution (to the extent this is not contrary to mandatory provisions of applicable law), and without the requirement of permission from or payment to you or any other person or entity.

Ja oké dat was een lange en wat ontbreekt is “strictly as necessary for the provision of our services”. Dus ze mogen alles met je “User Generated Content”. In hoeverre dat houdbaar is, is natuurlijk al de vraag.

Maar waar de hubbub in dit geval vandaan komt, is het feit dat Disney dus doodleuk meldt dat door te twitteren met de door hen gekozen hashtag, je de voorwaarden geaccepteerd hebt. Dat voelt zwaar overtrokken, het gebruik van een hashtag is een doodnormale handeling en betekent niet meer dan dat je mee wilt in die stroom van de discussie. Maar dat is dan ook meteen het juridische argument: het gebruik van die hashtag mag dan niet worden opgevat als een rechtshandeling, mensen hebben geen akkoord gewild.

(In theorie kán het natuurlijk wel, akkoord geven op een aanbod kan op iedere manier dus ook met een specifiek bericht dat je naar iemand stuurt. Denk aan de “SMS banaan naar 5151 als je dagelijks een vacature wilt ontvangen” berichtjes van vroeger. Maar uit de context moet dan wel duidelijk zijn dat het berichtje bedoeld is als akkoord.)

Disney verduidelijkte na de eerste ophef het bericht: niet alleen moet je de hashtag gebruiken maar het moet ook een @-reply zijn naar het officiële Disney account. Dat maakt de scope van de claim iets beperkter, maar het principe blijft hetzelfde. Ik zou zeggen dat ook als een bedrijf je vraagt te reageren, ze niet mogen aannemen dat je daarbij akkoord bent gegaan met welke voorwaarden dan ook. Daar is echt een apart proces voor nodig waar je stapsgewijs doorheen gaat.

Arnoud

Moet mijn werkgever geen tweefactorauthenticatie op het HRM-portaal zetten?

Geplaatst op in Privacy, 6 reacties

Een lezer vroeg me:

Bij veel bedrijven kan je op een portaal o.a. je loonstroken, jaaropgaven, n.a.w gegevens raadplegen. En vaak ook HRM vragen indienen. Hierbij wordt geen mogelijkheid geboden om 2FA gebruiken bij het inloggen. Er is ook geen keuze om dit ‘dicht’ te zetten. Is dat wel conform de AVG, 2factorauthenticatie is toch een vrij basaal middel? Kan ik mijn werkgever aansprakelijk stellen?

De AVG eist dat je bij alle applicaties die persoonsgegevens verwerken een adequaat niveau van beveiliging realiseert. Perfectie wordt niet verlangd, het moet gewoon oké zijn gezien het soort gegevens, het soort risico’s en de kosten en moeite.

Helaas is er geen makkelijke checklist waarmee je kunt kijken welke maatregelen je moet nemen. Dit moet je zelf analyseren en uitwerken. En als je grote risico’s ziet, dan moet je een DPIA uitvoeren.

Sommige maatregelen zijn zo basaal dat er nauwelijks discussie over kan zijn. Dat je een wachtwoord op een account zet, lijkt me voor zich spreken. SSL op je bestelpagina, ook geen twijfel. Bij 2FA kom je voor mijn gevoel nog net iets meer in een discussiegebied: het is weer even wat extra kosten en gedoe, je moet een 2FA kastje of app hebben, en omdat het hier om privéinformatie gaat (de loonstroken etc) moet dat dan de privételefoon zijn of de zakelijke?

Daarnaast zou het voor mij ook relevant zijn of het gaat om een intranet waar je alleen na centraal inloggen bij kunt, of een openbare dienst waar je gewoon apart inlogt. Als die centrale inlog al veilig is, of alleen vanuit kantoor kan, dan zie ik even de aanvullende veiligheid van 2FA op dit specifieke portaal niet.

Ik zou eens beginnen met de werkgever te vragen waarom 2FA niet ingevoerd is en of dat op de planning staat. Maar die vraag vereist altijd context; de belangenafweging bij beveiliging.

Arnoud

Kan een ex-werknemer naamsvermelding eisen onder zijn oude blogs?

Geplaatst op in Intellectuele rechten, 19 reacties

Nee, deze heeft niets te maken met die blog van laatst. In deze vraag via Linkedin kwam de kwestie voorbij dat een ex-werknemer juist wilde dat zijn naam bij oude blogs bleef staan, sterker nog dat eiste hij op grond van zijn auteursrecht. Nu ligt dat recht bij de werkgever, de blogs waren immers als deel van het werk geschreven, maar specifiek bij naamsvermelding ligt het iets complexer.

Het auteursrecht kent naast de gewone publicatierechten (“economische rechten”) ook de zogeheten morele of persoonlijkheidsrechten. Die omvatten het recht te eisen dat je naam ergens bij staat, hoewel je daar afstand van kunt doen. En de complicatie is dus dat een werkgever de economische rechten krijgt, maar niet perse de persoonlijkheidsrechten.

Als ik het zo inschat dan is vandaag de dag de opvatting dat de werknémer die rechten heeft, ook als het gaat om werken onder artikel 7 (dus waarvan de rechten naar de werkgever gaan) of waarvan je in je arbeidscontract hebt gezegd dat de rechten bij de werkgever liggen. En omdat persoonlijkheidsrechten niet overdraagbaar zijn, kan de werkgever die niet opeisen.

De enige ’truc’ is dat de werknemer afstand moet doen van die rechten in het arbeidscontract, maar die zin heb ik nog nooit gezien in een arbeidscontract. En als je als werkgever vervolgens toch mensen hun naam ergens bij gaat zetten, voelt het raar om daarna te zeggen “maar je deed afstand van het recht op naamsvermelding”.

Ik denk dus dat je als werknemer inderdaad kunt eisen dat je naam ergens bij staat. Wel met de nuance dat het een situatie moet zijn waarin het redelijk is dat je naam erbij staat. De salesbrochure van het nieuwe product, daar staat nooit een auteursnaam in, dus daar zou je eis tot naamsvermelding heel raar zijn. En ook zal zwaar meewegen hoe de publicatie bij dat bedrijf normaal gaat. Veel blogs kennen auteurs, maar grootzakelijke blogs vermelden hooguit “marketing” of zo als naam. Daar zul je ook weinig kunnen eisen.

(De AVG gaat de werkgever niet helpen, ik zeg het maar even, want er is een noodzaak of zelfs wettelijke plicht om die naam te laten staan als de werknemer dat eist. Ik stip het maar even aan.)

Arnoud

Het fakenews op de pijnbank van het Nederlands strafrecht

Geplaatst op in Uitingsvrijheid, 20 reacties

Fake news oftewel nepnieuws is als fenomeen haast niet meer weg te denken uit het discours over de online media. Steeds luider klinkt ook de roep om dergelijke valse berichtgeving ‘aan te pakken’, bij voorkeur via het strafrecht. Maar wat is nu precies nepnieuws en waarom is het zo’n probleem? En welke mogelijkheden kent het strafrecht om deze berichtgeving juridisch te bestrijden? Een voorpublicatie van mijn artikel in het Tijdschrift voor bijzonder strafrecht.

Hoewel de term nepnieuws vooral de laatste vijf jaar grote weerklank kent, is het fenomeen zeker niet nieuw. Al in de 18e eeuw werd een Nederlandse uitgever (Gerard Lodewijk van der Macht) tot vier maal toe gestraft met verbanning voor het publiceren van verzonnen berichten. De opkomst van internet heeft het fenomeen wel een stevige spurt gegeven. Hiervoor zijn grofweg twee oorzaken aan te wijzen: het middels advertenties kunnen profiteren van grote bezoekersaantallen en het beïnvloeden van politieke processen. De eerste oorzaak heeft waarschijnlijk de tweede mogelijk gemaakt.

In de literatuur zijn vele pogingen zijn ondernomen om het fenomeen nepnieuws te definiëren. Deze definities leveren zelden een écht brede classificatie op, en worden zeker in de juridische literatuur dan ook altijd keurig geciteerd en vervolgens genegeerd. Gezien de impact die nepnieuws kan hebben, weerklinkt de roep om strafrechtelijk ingrijpen met enige regelmaat. Het probleem daarbij is natuurlijk dat de term als zodanig zo lastig te duiden is, dat een specifieke verbodsbepaling niet te formuleren is. De term kan ook gewone fouten of sensatiejournalistiek betreffen.

Een specifiek delict in het Wetboek van Strafrecht is er niet. De achterliggende oorzaak van dit gebrek is natuurlijk dat er nooit echt gedacht is aan de situatie dat mensen opzettelijk legitiem uitziende berichten gaan maken die echt nep zijn en zonder een spoortje van humor of poging daartoe worden gepubliceerd. De beperkte ruimte in kranten en televisie (en de kostbare toegang daartoe) maakte de verspreiding daarvan nauwelijks haalbaar. Dit nog los van de beroepstrots van de traditionele journalist om berichten te checken en de waarheid te willen brengen.

De grote vraag bij aanpakken (bijvoorbeeld met nieuwe wetgeving) zal blijven hoe een oplossing te bieden zonder de uitingsvrijheid nodeloos geweld aan te doen. De term verwijst immers naar een breed spectrum aan uitingen, met eigenlijk als enige gemeenschappelijk kenmerk dat zij de waarheid geweld aan doen. Individuele nieuwe vormen van fakenews zijn zonder twijfel strafbaar te stellen, maar daarmee blijft men achter de feiten aanhollen omdat nieuwe vormen zo bedacht zijn. Dit nog los van de praktische handhaafbaarheid van dergelijke strafwetgeving: opsporing is vanwege de wereldwijde ICT-omgeving waarin zij plaatsvindt al zeer lastig, en uitlevering van de verdachte vanuit zijn of haar land zal lastig blijken als daar de betreffende uiting niet strafbaar is, wat vaak het geval is.

De civielrechtelijke route richting de platforms lijkt veelbelovender. Wanneer Facebook besluit een pagina te sluiten of Google een website weert, is daar geen strafproces voor nodig. Een simpel beroep op de eigen huisregels en of vrijheid van onderneming is in beginsel genoeg. Lastig hieraan is wel dat juist deze eenvoud de uitingsvrijheid veel meer bedreigt, precies omdat uitingen dan zó makkelijk gesmoord kunnen worden. Idealiter zou een tussenvorm bestaan die het gemak van ingrijpen door de grote platforms combineert met de waarborgen van het strafrecht, maar hoe dát op een eenvoudige manier te realiseren, blijft vooralsnog een onbeantwoorde vraag.

Arnoud

Een kopie identiteitsbewijs bewijst niet dat je een contract sloot

Geplaatst op in Ondernemingsvrijheid, 42 reacties

Leuk als je via internet contracten sluit en mensen kopie identiteitsbewijs laat opsturen, maar het bewijst niets. Dat vonniste de rechtbank Rotterdam onlangs. Telecombedrijf Tele2 dacht zo’n 1800 euro te krijgen van een internetklant wegens niet-betaalde abonnementskosten en restprijs telefoon, maar liep tegen het bekende probleem aan dat iedereen wel via internet een contract kan afsluiten op andermans naam. Het is eigenlijk een wonder dat het zo vaak goed gaat met online contracteren, want als het misgaat dan heb je als bedrijf echt een serieus probleem.

De uitspraak opent als een standaardverhaal. Er was een contract gesloten voor mobiele telefonie met een telefoon op afbetaling, de rekeningen werden niet betaald dus er werd afgesloten en een incasso opgestart om het geld toch te krijgen. Dat komt vaker voor.

Nieuw was dat de abonnee nu stelde het contract nooit aangegaan te zijn. Niet hij, maar zijn ex-partner, zou dat hebben gedaan. Tele2 wees erop dat het webformulier voor het abonnement netjes was ingevuld, dat er een kopie identiteitsbewijs was ontvangen en dat er een cent was geïncasseerd vanaf de bankrekening van de gedaagde. Dat is standaard voor heel veel bedrijven en zou dus bewijs moeten zijn.

Toch niet. Want iedereen kan wel zo’n formulier invullen, dus dat bewijst niets. Sterker nog, in dit geval bleek een adres te zijn ingevuld waar de gedaagde niet woonde, dus welke check Tele2 uitvoert op die informatie is niet geheel duidelijk. Ook de kopie van identiteitsbewijs en bankpas leveren niets op: dat bewijst alleen dat de inzender daarvan die dingen had, niet dat hij de genoemde persoon is. Hetzelfde geldt voor de ene cent: bewijst dat Tele2 de incasso kon doen maar niet dat de eigenaar van die rekening het contract is aangegaan.

Oh ja, en bij de handtekening op het aanvraagformulier stond ook nog eens “i.o.”, waardoor je vrij zeker weet (als jurist dan) dat dit niet door de abonnee zelf getekend is. Het kan natuurlijk, dat je iemand machtigt om namens jou een abonnement af te sluiten, maar het is handig om dan even de machtiging op te vragen. Allemaal niet gebeurd.

Hoe moet het dan wel? Het is natuurlijk erg lastig als je niet bij de persoon zelf bent om vast te stellen met wie je te maken hebt. Alle stukken die je krijgt, zijn mogelijk vervalst of gestolen. Alle personen die je spreekt, kunnen onbekenden zijn die zich voordoen als de abonnee. Toegang tot het GBA heb je niet, dus je weet niet zeker naar welk adres je het contract moet sturen. En elke keer iemand langssturen die een identiteitscheck doet, is ook zo wat.

Ik blijf dus met de conclusie zitten dat e-commerce eigenlijk alleen maar goed gaat omdat de meeste mensen geen oplichters zijn.

Arnoud

Kunnen wij onze niet-tekenende partner toch houden aan de groepssamenwerking?

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Een lezer vroeg me:

Al een tijdje onderhandel ik met vijf partijen om tot een samenwerking te komen, waarbij we een opensourcepakket gaan exploiteren onder gezamenlijke winstdeling. Het contract ondertekenen is blijven liggen vanwege de crisis, maar we zijn wel al soort van begonnen. Nu stelt een van de partijen dat hij het eigenlijk toch niet eens is met het contract (lees: de winstdeling) en hij zegt dat hij nergens aan vast zit omdat hij nooit getekend heeft. Is dat zo, en wat kunnen wij nu doen?

Of een overeenkomst gesloten is, hangt in eerste instantie af van wat in de tekst zelf staat. Soms staat er iets van “Deze treedt in werking na de laatste handtekening” en dan is het evident dat de overeenkomst nu nog niet gesloten is omdat er handtekeningen missen.

Minstens zo vaak staat er een aanvangsdatum en is er geen duidelijke reden waarom de handtekeningen gezet moeten worden. Of er staat helemaal niets over wanneer het contract aanvangt. Dan moet je gaan duiden hoe de rest van het contract opgezet is. Wat was het doel van de overeenkomst, en is het daarvoor echt nodig dat dan iedereen moet tekenen? Wat waren, anders gezegd, de bedoelingen van partijen toen ze kozen voor een document waar een krabbel onder zou komen.

In veel gevallen geldt: niet ondertekend hebben is niet hetzelfde als niet akkoord zijn. Ook uit feitelijk handelen kun je akkoord afleiden, bijvoorbeeld omdat die ene partij ze de oprichtingsbijdrage betaald heeft, alvast het afgesproken werk ging doen of op zijn minst inhoudelijk ging discussiëren op de groepsapp waar de samenwerking mee gerund wordt. Dan is het ontbreken van de handtekening geen beletsel meer.

Uitzonderingen zijn natuurlijk mogelijk. Als de partij zich in het onderhandeltraject altijd wat afhoudend had opgesteld, dan kun je nu niet claimen dat hij stilzwijgend er aan vast zat bijvoorbeeld. Of als hij een unieke bijdrage gaat leveren (en dat nog niet gedaan heeft), dan is het ook nogal prematuur.

Maar zoals gezegd, een handtekening is niet verplicht. Juridisch zitten ze er bijvoorbeeld al aan vast als de vertegenwoordiger appt dat ze akkoord zijn en de handtekening nog even laat wachten vanwege coronaperikelen. Je kunt dus prima snel schakelen door aan te dringen op een anders gecommuniceerd akkoord, en later zien hoe je die krabbel gaat krijgen. Want die is eigenlijk nergens voor nodig, behalve je héél bang bent dat je ruzie gaat krijgen over wat er exact afgesproken is.

Arnoud

Studenten protesteren tegen tentamensoftware die beelden van hun huiskamer opslaat

Geplaatst op in Informatiemaatschappij, Privacy, 25 reacties

Kijk. Dit is dus wat ik gisteren bedoelde. “Studenten ervaren software voor online tentamens als een inbreuk op hun privacy”, meldde de Volkskrant onlangs. Schandalig, je moet tijdens tentamens iemand mee laten kijken via je webcam (én je mobiel die je op 3 meter afstand op je werkplek moet richten) zodat ze kunnen nagaan of je niet fraudeert. Dat is dus geen sterk verhaal, ondanks dat je de AVG erbij kunt halen want er zitten vast ergens bijzondere persoonsgegevens in beeld (niet gniffelen daar achterin) en oh ja er kijken algoritmes mee. Nee, hier is iets anders mis.

Sinds de coronacrisis zoekt iedereen naar manieren om op afstand te kunnen werken. Dat betekent vaak vanuit huis aan de slag, en communicatie gaat dan vaak met video want dat voelt handiger (of zo, ik ben zelf te ouderwets daarvoor). Ook bij studie of school, en dan wordt het gelijk ingewikkelder want daar moet getentamineerd of getoetst worden en daarbij ligt fraude op de loer.

De oplossing waar dan naar gegrepen wordt, is toezicht. Net als in de tentamenzaal immers. Dus je webcam aan, en om te voorkomen dat het hulpje dan achter je scherm gaat zitten (of er voor? in ieder geval, waar de webcam het niet ziet) moet er dan ook nog een opstelling met je telefoon gemaakt die dan een overzichtsbeeld geeft. En algoritmes analyseren dan de beelden op fraude-achtige signalen (iemand die door het beeld loopt, met name, of dat je opstaat) waarna je in aanmerking komt voor een extra onderzoek. Nee, word ik ook niet vrolijk van als ik mijn eigen studietijd met zulke tooling zou voorstellen.

Maar is het dan echt de beste koers om over je privacy te beginnen? Dat is dus precies wat ik gisteren bedoelde, waar het mis mee gaat met dat argument. Als je tentamen doet, moet je privacy maar even wijken, is het gemakkelijke tegenargument. In de tentamenzaal mag ook je boek geïnspecteerd en in de tas kijken bij enig vermoeden, daar moet je ook maar mee leren leven. Je wilt toch dat vak halen? Nou dan.

Het is vooral: die discussie leidt af van het werkelijke punt, dat de Volkskrant in een ander artikel aanstipte: het kan zo veel beter bij afstandsonderwijs:

Denk aan een toets waarbij een studieboek gebruikt mag worden (een openboektentamen), essays, mondelinge presentaties en ‘take home examens’, een test waarbij studenten enkele uren of dagen de tijd krijgen om een opdracht thuis uit te werken. … Geluk bij een ongeluk: dit zijn stuk voor stuk toetsen die zich lenen voor een ‘formatieve beoordeling’, waarbij het er niet om gaat of je slaagt of faalt voor een opdracht, maar je duidelijk wordt gemaakt waaraan je moet werken.

Cru gezegd: een universiteit die kiest voor digital proctoring, is lui en niet geïnteresseerd in zich aanpassen aan afstandsonderwijs. Als het onderwijs anders gaat, hoort ook de toetsing dat te worden. En dat de student dan op afstand allerlei hulpbronnen in kan zetten die hij in het zaaltje niet kan, dat is dan een gegeven waarmee je vertrekt bij je beoordelingsmethodologie. Dát zou de discussie moeten zijn, en niet hoe je toestemming voor proctoring vraagt of hoe je het beste iemands laptop inspecteert op overlegsoftware.

Arnoud

Inderdaad, bescherming van persoonsgegevens gaat over veel meer dan privacy

Geplaatst op in Informatiemaatschappij, Privacy, 8 reacties

Maar pas deze week zag ik welk fundamenteel maatschappelijk misverstand door dat rare begrip ‘privacy’ is ontstaan. Dat schreef Maxim Februari vorige week in NRC Handelsblad. Hij noemt het een ‘gruwelijk misverstand’ dat het steeds maar over de private kwestie van privacy gaat – de omgang met persoonsgegevens is een kwestie van algemeen belang. Het raakt het hart van de rechtsstaat. En dat is een gruwelijk goed punt, en maakt de discussie zó veel sterker.

De omgang met persoonsgegevens is natuurlijk altijd gebracht vanuit de context van privacy, meestal onder verwijzing naar artikel 8 EVRM waar inderdaad bescherming van je persoonlijke levenssfeer staat geregeld. Juristen maken dan het onderscheid tussen de klassieke of relationele privacy (met rust gelaten worden, jezelf kunnen zijn) en de informationele privacy (niet zomaar digitaal besnuffeld worden). De regels van de Wbp en nu de AVG zijn heel logisch in die context: ze regelen de informationele privacy, ze geven je rechten om te voorkomen dat je gegevens nodeloos worden gebruikt, dat fouten worden gemaakt die jou in je menszijn raken.

Echter. Privacy is een vrij breed begrip, heel flexibel ook. De discussie over het ‘waarom’ van zulke regels komt dan ook al snel uit bij “omdat je recht hebt op privacy”, en dat is dan een heel ongrijpbaar argument. Daar komt bij dat het vaak niet perse gáát over jezelf zijn, over met rust gelaten worden. Februari noemt het voorbeeld van de Belastingdienst die persoonsgegevens misbruikt in de toeslagenaffaire: dat was een ramp omdat aan onbetrouwbare data verregaande en foute conclusies werden verbonden, niet omdat mensen zonder respect voor hun gezinsleven werden behandeld. De Belastingdienst was niet transparant en niet eerlijk.

Dat zijn kwesties van algemeen belang, die raken aan hoe een rechtsstaat moet opereren. (En ja, ook hoe burgers onderling moeten opereren, ook naar elkaar toe heb je eerlijk te zijn.) Wie bestuurt, of wie afspraken maakt, moet zorgen dat hij kan rechtvaardigen wat hij vervolgens doet. Dat is waar het nu vaak misgaat: datamodellen zijn niet volledig of niet inzichtelijk, welke data wordt gebruikt of waarvoor is totaal niet transparant en tegen de conclusies kun je zelden wat doen.

Dát is het ongewenste aan misbruik van persoonsgegevens. Het gaat om eerlijkheid, een nette behandeling van iedereen. Algoritmes (pardon, datasets maar dat bekt minder lekker) inzetten om mensen te beoordelen is niet een individueel probleem maar een probleem van de maatschappij: het is niet netjes, zo willen we mensen niet behandelen.

Zoals ikelders las:

Data-gedreven technologie slaat sociale problemen plat. Het reduceert de werkelijkheid tot data zonder rekening te houden met de verschillende, rauwe, niet-kloppende, tegenstrijdige kanten.

Dat, veel meer dan “laat mij mezelf zijn”, is de kern van dataprotectie.

Arnoud

Hoge Raad: Kentekenparkeren Amsterdam ‘rechtvaardige privacy-inbreuk’

Geplaatst op in Privacy, Regulering, 28 reacties

Het systeem van kentekenparkeren in de gemeente Amsterdam is een “gerechtvaardigde inmenging op het recht op het privéleven”, heeft de Hoge Raad vrijdag geoordeeld. Dat meldde Nu.nl onlangs (leeswaarschuwing: er klopt geen klap van hun juridisch taalgebruik). Stichting Privacy First was naar de rechter gestapt om het automatisch scannen van kentekens te laten verbieden, maar kreeg tot drie maal toe een onwillig rechtscollege tegenover zich. Het arrest van de HR houdt het jammer genoeg bij een formeel punt (de wettelijke basis) en dat is natuurlijk heel jammer.

In 2017 begon de stichting een rechtszaak om het verplichte elektronisch betalen van parkeerbelasting aan te vechten. Dit in vervolg op hun succes uit 2016: de Hoge Raad had kentekenparkeren verboden, althans had gezegd dat betalen voor het verkeerde kenteken gewoon terecht betalen was (en dus niet naheffingsplichtig). Daaruit kun je inderdaad concluderen dat je niet verplicht kunt zijn om je kenteken in te voeren, oftewel dat kentekenparkeren niet verplicht gesteld kan worden.

Echter, als je dan via de pin moet betalen dan ben je alsnog niet anoniem, en daar was het Privacy First om te doen. Men kreeg echter ongelijk bij rechtbank en Hof. Met name het Gerechtshof was pragmatisch: nergens in de wet staat dat je moet kunnen betalen met contant geld bij welke transactie dan ook, dus hoezo zou dat een recht zijn bij parkeerbelasting?

Op naar de Hoge Raad dus. En helaas maakt die zich er makkelijk vanaf. De stichting had het gegooid op een overtreding van artikel 8 EVRM, het grondrecht privacy. Deel van de discussie was daardoor of gemeenten wel met scanauto’s mogen werken, die leggen immers van alle parkeerders kentekens vast en dat is bezwaarlijk anoniem te noemen. Het Hof had daar een stevige fout bij gemaakt, door te zeggen dat dit geen ‘inmenging’ in dat grondrecht is want je kenteken is gewoon te zien aan de openbare weg. Dat klopt niet, want iedere handeling die raakt aan iemands privacy is een inmenging, dat is gewoon het woord daarvoor. De vraag is of die toelaatbaar is.

De HR constateert die fout en corrigeert hem, maar serveert vervolgens PF meteen af met een makkelijke uitweg: er staat in de APV geregeld hoe men met kentekenparkeren werkt, en dat geeft een wettelijke basis. Dat is vereist onder artikel 8 EVRM, dus in het grondrecht wordt toelaatbaar gemengd. Maar normaal is dat stap 1 van de analyse, want er zijn nóg twee eisen: dient de inmenging een redelijk doel en is de maatregel noodzakelijk en proportioneel voor dat doel? En die stappen slaat de HR gemakshalve over, ik kan niet ontdekken waarom. De stichting heeft al aangekondigd naar het EHRM te gaan.

Erg jammer, een gemiste kans om een goede, fundamentele uitspraak over kentekenparkeren te krijgen. Persoonlijk vind ik het iets te principieel om te verlangen dat je anoniem en met contant geld moet kunnen parkeren in steden. De parkeerdrukte is hoog, regulering daarvan moet kunnen en om dat efficiënt te kunnen zie ik wel hoe kentekenparkeren (en pinnen) daaraan bijdraagt. Maar toegegeven, dat is vanuit het motief dat steden eigenlijk autovrij moeten zijn.

Arnoud