Heeft het afsluiten van een cyberverzekering nut voor mijn organisatie?

Geplaatst op in Ondernemingsvrijheid, 2 reacties

Een lezer vroeg me:

Ik kreeg recentelijk mail van mijn verzekering over een nieuwe cyberverzekering die ik af zou kunnen sluiten, waardoor schade door cybercrime vergoed zou worden. Nu vind ik het op zich fijn om alle risico’s af te dekken, maar ik twijfel aan het nut van een dergelijke verzekering: als ik het slachtoffer word van cybercrime, word de schade die ik lijd dan niet sowieso verhaald op de dader?
Iedere verzekering is anders, dus lees vooral het polisblad en de uitsluitingen. Maar algemeen wordt met ‘cyberverzekering‘ een verzekering bedoelt die kosten en schade dekt als je als bedrijf of organisatie slachtoffer wordt van een cyberincident zoals datadiefstal, ransomware of hijacking van je webshop.

Schade in deze context verwijst dan naar zaken als aansprakelijkheid bij je klanten, kosten van herstel of terugzetten van backups en (wederom, zie de voorwaarden) soms zelfs gemiste omzet of gederfde winst omdat je onderneming er een tijd uit lag. Vaak zit er ook praktische assistentie of preventieondersteuning bij. De kosten lopen sterk uiteen, mede afhankelijk van de omvang van je organisatie. Ik lees her en der bedragen tussen de 500 en de 1800 euro per jaar aan premie.

Vrijwel iedereen heeft een bedrijfsaansprakelijkheidsverzekering, maar die dekt alleen fysieke schade zoals letsel bij een bezoeker of kapotte spullen. Schade door beroepsfouten van je medewerkers dek je met een beroepsaansprakelijkheidsverzekering. Maar of die laatste ook fouten in de categorie cyber dekt, is maar zeer de vraag.

Een verzekering is vooral bedoeld voor het gemak. Je verzekeraar keert bij een gedekt geval sneller uit dan dat jij de schade kunt verhalen op de dader. Zeker omdat die bij cybercrime eigenlijk maar zelden te achterhalen is, nog los van de vraag of daar geld genoeg zit om je schade te dekken.

Een verzekering als deze moet passen binnen je algemene risicobeheersingsstrategie. Een eenmanszaak hoeft niet bang te zijn dat werknemers data stelen, bijvoorbeeld. Een organisatie die haar kritieke software en servers bij een partner onderbrengt, kan in plaats van een verzekering contractueel afspreken dat die partner die schade dekt. Wie goed is met backups, kan besluiten het risico van ransomware voor lief te nemen. Voor risico’s die je niet met maatregelen kunt borgen, of niet op jouw niveau, is een verzekering dan het sluitstuk.

Arnoud

RvS: bioscoop mag niet zomaar contant geld weigeren ‘vanwege veiligheid’

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 12 reacties
Photo by Jonathan Cooper on Unsplash

De Autoriteit Persoonsgegevens moet opnieuw kijken naar een zaak van een Nederlandse privacyactivist. Dat las ik bij Tweakers. Die privacyactivist is Michiel Jonker, die in 2019 naar de bioscoop wilde maar niet contant mocht betalen. De Raad van State zegt nu dat dit onvoldoende onderzocht is.

Jonker stelde dat de pinverplichting in strijd was met de AVG, omdat je dan immers persoonsgegevens verwerkt terwijl er ook een anoniem alternatief is (contant betalen). Hij vroeg de AP dan ook om handhavend op te treden, maar die wees dat op basis van bureauonderzoek af (“contant accepteren is geen wettelijke plicht”).

Daarop stapte Jonker naar de rechter, die in 2022 uitspraak deed. Die vond echter dat de AP haar afwijzing adequaat had gemotiveerd. Pinbetalen past bij het doel van de veiligheid van de organisatie verhogen, en de hoeveelheid gegevens is daarbij zeer beperkt. Bovendien kun je met een bioscoopbon wél anoniem een kaartje kopen.

De Raad van State oordeelt hier kritisch over. Dat veiligheidsargument is natuurlijk snel op tafel gegooid, maar wordt zelden concreet gemaakt. Natuurlijk, als iedereen pint dan kan een overvaller geen kassa meer meenemen. Maar is dat werkelijk een concrete zorg, bioscoopovervallen?

Uit de uitspraak van de RvS:

Op 11 juni 2019 heeft [bioscoop] Focus gereageerd op het bezwaarschrift van [appellant], en toegelicht dat zij het als haar zorgplicht ziet om de veiligheid van haar medewerkers zo goed mogelijk te beschermen, vooral nu in het filmtheater veel met vrijwilligers wordt gewerkt. Daarnaast wil Focus hen niet onnodig belasten met de verantwoordelijkheid voor contant geld. Volgens Focus is het een feit van algemene bekendheid dat de afwezigheid van cash-geld in een bedrijf de aantrekkelijkheid daarvan voor potentiële overvallers vermindert.
De Raad reageert hierop dat een doel als veiligheid wel concreet gemaakt moet worden voor de organisatie die zich erop beroept.
Op basis van de beschikbare informatie kan echter niet worden vastgesteld dat in dit concrete geval de veiligheid van de medewerkers van Focus in het geding is. Dat heeft [appellant] gemotiveerd betwist en de AP heeft daar niets tegenover gesteld. … De enkele omstandigheid dat contant geld vatbaar is voor diefstal is op zichzelf onvoldoende om (sociale) veiligheid een gerechtvaardigd doel te achten voor verplichte pinbetalingen.
Dit argument kan dus alleen opgaan als je het verbindt aan concrete omstandigheden. Misdaadcijfers in de buurt kunnen dan meewegen, onderzoek naar verminderde overvallen in andere steden bijvoorbeeld ook. Omdat er nu helemaal niets lijkt te zijn, wordt de beslissing van de AP om dit te tolereren, vernietigd.

De toezichthouder moet dus opnieuw de situatie analyseren en een uitspraak doen. En dat moet ex nunc, op basis van de situatie anno 2026. Omdat vandaag “alleen pinnen” zó ingeburgerd is, ben ik dus wel benieuwd wat de argumenten gaan zijn.

Arnoud

 

 

Kan de AP wat doen tegen een bioscoop die geen contant geld wil?

Honderden Nederlandse kinderen slachtoffer van website voor afpersers

Geplaatst op in Regulering, nog geen reacties
Photo by Mark D'aiuto on Pexels

De persoonsgegevens van honderden Nederlandse kinderen zijn online te vinden op een gespecialiseerde website. Dat meldde RTL Nieuws onlangs. Ze gaan voorzien van (vaak onware) beschuldigingen, met als oogmerk die kinderen te dwingen tot betaling om de gegevens weg te krijgen. Strafbare doxing?

Veel mensen op internet kennen de term “doxing” als “de documenten (docs, dox) van iemand publiceren, iemands identiteit of adres bekend maken”. Omdat dit vaak gepaard ging met intimidatie, pesten of stalking is het strafbaar gesteld maar daarbij is wel als eis dat er iets van zo’n bijkomstigheid te vrezen is.

Het wetsartikel (art. 285d Sr) luidt:

Degene die zich persoonsgegevens van een ander of een derde verschaft, deze gegevens verspreidt of anderszins ter beschikking stelt met het oogmerk om die ander vrees aan te jagen dan wel aan te laten jagen, ernstige overlast aan te doen dan wel aan te laten doen of hem in de uitoefening van zijn ambt of beroep ernstig te hinderen dan wel ernstig te laten hinderen, wordt gestraft met gevangenisstraf van ten hoogste twee jaren of geldboete van de vijfde categorie.
Hier worden inderdaad persoonsgegevens gepubliceerd, zoals telefoonnummers en namen. Foto’s kan niet gezien dit een tekst-only website is. (Laten we de naam niet noemen.) Anderen kunnen daar opmerkingen aan toevoegen, en die zijn uiteraard beledigend, smadelijk of aanstootgevend. Ook worden de gepubliceerde contactgegevens gebruikt door anderen om overlast te geven, lastig te vallen en te bedreigen.

Doel van de publicatie is de slachtoffers aan te zetten om hen te betalen, waarna de vermelding wordt verwijderd. Afpersing noemen ze dat. Maar juristen zitten daar iets scherper in (art. 317 Strafrecht):

Hij die, met het oogmerk om zich of een ander wederrechtelijk te bevoordelen, door geweld of bedreiging met geweld iemand dwingt hetzij tot de afgifte van enig goed dat geheel of ten dele aan deze of aan een derde toebehoort, hetzij tot het aangaan van een schuld of het teniet doen van een inschuld, hetzij tot het ter beschikking stellen van gegevens, wordt, als schuldig aan afpersing, gestraft met gevangenisstraf van ten hoogste negen jaren of geldboete van de vijfde categorie.
Iemand dwingen tot geld betalen is afpersing. Maar die dwang moet dan wel bestaan in geweld of bedreiging met geweld. “Betalen of ik publiceer over jou” heet afdreiging (art. 318 Sr):
Hij die, met het oogmerk om zich of een ander wederrechtelijk te bevoordelen, door bedreiging met smaad, smaadschrift of openbaring van een geheim iemand dwingt hetzij tot de afgifte van enig goed dat geheel of ten dele aan deze of aan een derde toebehoort, hetzij tot het aangaan van een schuld of het teniet doen van een inschuld, hetzij tot het ter beschikking stellen van gegevens, wordt als schuldig aan afdreiging, gestraft met gevangenisstraf van ten hoogste vier jaren of geldboete van de vijfde categorie.
Dit gaat eigenlijk over het geval dat je zegt “geef me geld of spullen of ik zet die foto’s online”. Dit kennen we als sextortion als het gaat om seksueel getinte foto’s (voorbeeld uit 2023).

De complicatie hier is dat de gegevens al openbaar zijn. Althans technisch, iedereen kan het vinden als ze daar gaan zoeken. Maar voor mij is het nog steeds geheim, althans geheim genoeg om hier van afdreiging te spreken. Mensen moeten het maar weten te vinden, en het risico dat nieuwe mensen het vinden, dát is waar de afdreiger zijn inkomsten mee verdient.

Arnoud

Odido waarschuwt voor datalek, is daar dan echt niets aan te doen?

Geplaatst op in Privacy, Security, 18 reacties
ananitit / Pixabay

Odido waarschuwt zijn klanten voor een cyberaanval, meldde onder meer Tweakers. Er zijn (mogelijk) gegevens van miljoenen klanten uit een klantcontactsysteem verkregen, waaronder mobiele nummers, klantnummers, e-mailadressen, IBAN-rekeningnummers, geboortedata en ID-kaartnummers. Het gaf vele gefrustreerde reacties: waarom kan ik hier niets tegen doen?

Vooralsnog is onduidelijk wat er precies is gebeurd, zodat we niet kunnen zeggen of Odido te kort geschoten is of juist ondanks alles slachtoffer werd van een geavanceerde aanval. Dat maakt natuurlijk uit; datalekken leiden pas tot aansprakelijkheid als ze het gevolg zijn van inadquate beveiliging.

Een deel van de reacties wijst erop dat er dus gegevens in een klantcontactsysteem zitten die daar niet horen. Waarom is het nummer van mijn paspoort relevant voor klantcontact, wat dat ook moge betekenen? Wat doet een klantreisambassadeur met mijn IBAN? Dit gaat over dataminimalisatie, niet perse over slechte beveiliging, maar is net zo een AVG-issue natuurlijk.

Een schadevergoeding claimen? Dat is vrijwel ondoenlijk als consument. Niet eens zozeer omdat zo’n procedure duur is, maar vooral omdat je je schade niet kunt hardmaken. Je tijd is nul euro waard, er is jou (nog) niets fysiek of digitaal overkomen waar je bonnetjes van een hersteller van kunt overleggen. Psychische schade is kwantificeerbaar (de uren van een psycholoog), maar vereist medische indicatie én wordt al gedekt door de verzekering. Dus dan blijft er eigenlijk niets over.

Je contract opzeggen? Kan, als het datalek te herleiden is tot een tekortkoming bij Odido. Want artikel 14 van hun algemene voorwaarden (consumenten) zegt “Odido gaat zorgvuldig om met je persoonsgegevens en houdt zich aan de wet.” Schiet men te kort daarin, dan is dat een materiële schending van de overeenkomst en dat biedt het recht van opzegging. Uiteraard is dit geen eenvoudig te gebruiken argument.

Natuurlijk, als men tekort schoot in AVG compliance dan kan de AP een boete opleggen. Maar die wordt niet verdeeld over de slachtoffers. En daardoor ontstaat het beeld dat er bar weinig reden is om het beter te doen om dit soort lekken te laten voorkomen.

Arnoud

 

Internetproviders benadelen trouwe abonnees, nieuwe klanten krijgen juist korting

Geplaatst op in Ondernemingsvrijheid, 18 reacties
Photo by Compare Fibre on Unsplash

Hoe trouwer een klant van een internetprovider, hoe meer die betaalt. Tendentieus maar waar, aldus RTL Nieuws. De Autoriteit Consument en Markt (ACM) gaat ingrijpen om zogeheten slapende klanten van providers te helpen. Meer informatie voor consumenten zodat ze getriggerd worden om over te stappen of een gunstiger tarief te vragen.

Algemeen is het een bekend fenomeen: je hebt al sinds jaar en dag een abonnement, en betaalt gewoon steeds dezelfde prijs. Nieuwe klanten krijgen korting, en overstappers naar andere contractsvormen levert ook leuk voordeel op. Vanuit het perspectief van consumentenbescherming is dat raar: waarom krijgt de vaste klant geen korting?

Zo’n expliciete kortingsregeling staat niet in de wet. Artikel 7:2ab Telecommunicatiewet bevat wel een tweetrapsraket waarmee je een heel eind komt:

  1. Ieder telecomcontract (dus ook internet) is na de eerste stilzwijgende verlenging per maand kosteloos opzegbaar, ongeacht wat er afgesproken is.
  2. De provider moet de consument ten minste een keer per jaar informatie geven over de voordeligste tarieven.
De ACM zoomt nu in op die tweede plicht: door slapende klanten actief te informeren over voordeliger contracten bij een overstap, wordt die klant getriggerd om over te stappen. En dat kan gewoon, want je bent (als slapende klant zijnde) stilzwijgend verlengd zodat opzeggen per maand gewoon kan.

De ACM zegt:

Eerder onderzoek toonde aan dat bij 79% van de vaste internetabonnementen de initiële contractperiode al is verstreken. Voor dit nieuwe onderzoek keek de ACM ook naar demografische kenmerken van de mensen met passieve contracten. Daaruit blijkt dat het vaak gaat om oudere consumenten (65+) die klant zijn bij relatief dure telecomaanbieders en een lagere snelheidsabonnement hebben.
Bij deze doelgroep zal een gerichte brief zeker kunnen helpen, al blijf je dan natuurlijk bij dezelfde provider. De ACM kan niet afdwingen dat je je klanten informeert over een aanbieding bij de concurrent. Maar misschien is “hela, het kan bij mijn provider goedkoper” al genoeg als trigger om ook eens bij andere providers te kijken.

De ACM gaat een en ander in richtsnoeren gieten zodat providers op dezelfde manier kunnen communiceren. En dat is belangrijk, want onduidelijkheid over prijs/prestatie verhouding en betalingsstructuur maakt dit nu vaak lastig.

Spannend vind ik de standaardprijzen:

Als mogelijke, verdergaande optie kan worden verkend of prijsdiscriminatie kan worden beperkt door wettelijk te regelen dat consumenten met een passief contract niet meer betalen dan de standaard lijstprijs. Een dergelijke benadering zou kunnen leiden tot een vereenvoudiging van de tariefstructuur, waarbij dan alleen nog gewerkt wordt met een welkomstaanbod en een standaard lijstprijs.
Dit zou wel een aanpassing van de Telecommunicatiewet zelf vereisen.

Arnoud

 

Mag ik een dienstreis naar de Verenigde Staten weigeren omdat ik dan mijn privé social media moet openbaren?

Geplaatst op in Ondernemingsvrijheid, Privacy, 52 reacties
Photo by Ekaterina Belinskaya on Pexels

Een lezer vroeg me:

Ik werk bij een middelgroot ict-bedrijf als senior developer. Mijn manager wil dat ik een week naar de VS ga om een grote klant daar ter plaatse te helpen met een release-probleem. Ik heb daar moeite mee, omdat je bij de douane al je social media moet laten zien. Die van mij beschouw ik als privé, en bovendien staan er zaken waar het regime-Trump niet zo blij van zou worden. Kan ik weigeren deze dienstreis te maken?
Hoofdregel van dienstreizen is dat je ze moet maken, wanneer dit redelijkerwijs tot je werk te rekenen is. Dit valt onder de instructiebevoegdheid van de werkgever. Het hoeft niet apart in je contract genoemd te zijn.

Een goed werkgever houdt wel rekening met de belangen van de werknemer. Zo mag deze je niet opdragen te reizen naar een land met een niet-reizen advies (code rood), en zal hij een hele goede reden moeten hebben voor code geel of oranje. En maatregelen moeten nemen om dit zo goed mogelijk te verzorgen.

Wanneer er geen reisadvies is (code groen) en het werkbelang duidelijk, blijven alleen nog persoonlijke omstandigheden over. Veel genoemde redenen zijn ziekte (of herstel daarvan), zwangerschap, zorg voor een jong kind en ook wel “onoverkomelijke gewetensbezwaren”. Hierover moet je in gesprek en daar moet je dan samen uitkomen.

Zeer recent maakte de VS bekend dat

Wie de Verenigde Staten binnen wil komen met een zogenoemde ESTA-registratie, wordt volgens een nieuw voorstel verplicht om vijf jaar aan socialemediageschiedenis met de Amerikanen te delen.
Onduidelijk is wanneer die regel precies van kracht wordt en wat de scope precies gaat worden. De Customs and Border Protection (CBP) probeerde laatst duidelijkheid te geven:
“CBP has been explicit that social media accounts would not be reviewed for comments, posts or activity critical of President Trump or other political leaders. Under the proposal, CBP would collect usernames solely to check them against classified information the government already has,” the [Greater Miami and the Beaches Hotel Association] said in a post on its blog this month.
Op dit moment is er dus nog géén wettelijke regel die dit eist. Het veel gelinkte document van de CBP dat die regel zou bevatten, is een consultatietekst waar tot 9 februari feedback op gegeven kon worden.

Zonder een harde wettelijke regel is het overleg met de werkgever wat lastig te voeren. Je houdt dan de eigen gewetensbezwaren over, je wilt écht niet omdat je social media privé zijn en dat moeten blijven. Dit kan een hele moeilijke discussie worden, zeker als je de inhoud van die sociale media ook niet kan of wil delen met de werkgever om duidelijk te maken waarom.

De discussie over hoe veilig de VS als zodanig is, is ook voor velen nog een wat ver-van-het-bed show. Statistieken zoals het afgenomen percentage toeristen kunnen daarbij helpen. Maar ik vrees dat een wat starre werkgever die wijst op de code groen voor de VS, zich daardoor niet laat overtuigen.

Hoe zouden jullie bij een werkgever betogen dat die dienstreis hem niet gaat worden?

Arnoud

Mogen banken je verbieden te internetbankieren als je gesideloade apps hebt?

Geplaatst op in Security, 14 reacties
Photo by Morthy Jameson on Pexels

Een lezer vroeg me:

Verschillende banken, waaronder de Britse bank HSBC en de Deense bank Danske Bank, laten hun apps niet werken op Androidtelefoons met gesideloade apps. Hiertoe scannen zij de telefoon met een speciale Android-feature, echter zonder toestemming te vragen. Ook wordt gebruik van alternatieve appstores hiermee feitelijk onmogelijk, immers iedereen moet internetbankieren. Is dit wel legaal, en hoe verhoudt zich dit tot de Digital Markets Act die juist dergelijke appstores aanmoedigt?
De speciale feature waar het over gaat, is een Androidpermissie genaamd QUERYALLPACKAGES waarmee kan worden gecontroleerd welke apps een klant allemaal op zijn telefoon heeft geïnstalleerd en waarvandaan de apps afkomstig zijn. Deze permissie is eigenlijk ontworpen voor virusscanners en dergelijke, maar Google staat gebruik ervan toe bij bankieren- en wallet-apps “solely for security-based purposes”.

Het securitydoel hier is het voorkomen van fraude bij internetbankieren door malafide apps. Apps die buiten de officiële appwinkel binnenkomen, zouden sneller malware kunnen bevatten, is dan het argument. Door de bankieren-app dan niet te laten werken, wordt voorkomen dat je rekening wordt geplunderd. Klinkt eng, maar is natuurlijk aardig speculatief. En genoeg mensen worden slachtoffer van fraude ook met enkel ‘officiële’ apps.

Tegelijkertijd: het klinkt realistisch genoeg en voor de meeste mensen (inclusief dus de meeste beleidsmakers, juristen en toezichthouders) is sideloaden een rare, waarom-zou-je-dat-willen activiteit. Iets dergelijks als veiligheidsrisico afdoen, is dan een vrij normale actie van een serieuze partij als een bank. Die zullen daar wel over nagedacht hebben.

Of een app van de Telecommunicatiewet mag uitlezen wat er op je telefoon staat, is een lastige. Deze wet verbiedt het uitlezen via een netwerk van informatie op een randapparaat (art. 11.7a), maar of je zo’n scan daaronder kunt rekenen, is de vraag. (Lid 3 verklaart de toestemmingseis ook van toepassing wanneer “op een andere wijze” informatie wordt uitgelezen.) Toestemming is dan weer niet nodig als het uitlezen nodig is om een communicatie over het netwerk uit te lezen, maar of dat opgerekt kan worden tot “voor de veiligheid moeten we dit uitlezen”, weet eigenlijk niemand.

De DMA verplicht grote platforms zoals Android om open te staan voor alternatieve appstores. Deze maatregel van banken maakt het nogal lastig om daarmee te werken, want inderdaad, internetbankieren zul je. Dat kun je zien als een effectieve ondermijning van die plicht. Alleen krijg je dan het probleem dat niet Google maar de banken deze maatregel nemen. Het gaat nogal ver om te zeggen dat Google dit de banken moet weigeren omdat Google een DMA-plicht heeft.

De enige manier om dit echt op te lossen, is door de financiële toezichthouders richtsnoeren te laten uitgeven die zeggen wat hierin wel mag en wat niet. En dan komen we weer bij het aloude probleem: hoe laat je praktisch en onderbouwd zien dat sideloaden en alternatieve appstores niet meer risico introduceren dan de gewone appstore?

Arnoud

Mag mijn werkgever zomaar gebruik van Microsoft Hello invoeren?

Geplaatst op in Ondernemingsvrijheid, Privacy, 20 reacties
Photo by Clint Patterson on Unsplash

Een lezer vroeg me:

Mijn werkgever wil inloggen op haar computersystemen mogelijk maken via gezichtsherkenning (Microsoft Hello). Wij als OR zijn niet om instemming gevraagd, met als argument dat de feature zuiver lokaal werkt en er niets wordt opgeslagen, zodat er geen sprake is van ‘verwerking’ onder de AVG. Klopt dat?
Nee, dat klopt niet. Dat er niets wordt verzonden via een netwerk of opgeslagen, is niet genoeg om te zeggen dat er niet wordt verwerkt. ‘Verwerken’ is namelijk de koepelterm. Er worden gezichtsfeatures herkend en gematcht met een opgeslagen set features waaruit een ja/nee volgt. Dat is elektronisch verwerken.

Microsoft heeft voor deze verwerking middelen geleverd en de werkgever beslist dat deze ingezet moeten worden en wanneer/waarom. Een simpele toepassing van de AVG geeft dan dat de werkgever verwerkingsverantwoordelijke is.

Ik geloof meteen dat de werkgever geen idee heeft hoe dit werkt, en dat is prima. Maar dat maakt voor de AVG vraag niet uit. Zelfs als het in een dichtgelaste stalen kist zou gebeuren, blijft men verwerkingsverantwoordelijke, enkel en alleen omdat men beslist dat het moet worden gebruikt.

Er is jurisprudentie dat bij een fanpagina op Facebook (of zelfs een Like-knop) de beheerder (mede) verwerkingsverantwoordelijke is voor wat Facebook/Meta doet, ook al weet niemand wat dat bedrijf uitspookt. Die lijn doortrekkend is het voor mij evident dat je ook de verwerkingsverantwoordelijke bent als je een standaardfeature zoals Hello gebruikt.

Standaard werkt deze vorm van herkenning vrijwillig, je moet het aanzetten. Door die vrijwilligheid is hier denk ik wel ruimte voor de grondslag toestemming, dit zal geen consequenties hebben in de arbeidsrelatie.

De grondslag arbeidsovereenkomst vind ik lastiger, juist omdat het niet verplicht is. Je kunt dan moeilijk zeggen dat deze feature voor het werk nodig is. Als je dus als werkgever zou willen verplichten dat iedereen met Hello inlogt, dan moet daar nog een extra verhaal bij komen.

Arnoud

Zelf een extra beveiligingstag bijmaken voor je huis, mag dat?

Geplaatst op in Security, 31 reacties
Photo by Susanne Plank on Pexels

Via Reddit:

Ik ben recent verhuisd naar een nieuw huurappartement (voor 1 persoon). Bij het intrekken heb ik 1 toegangstag gekregen voor het complex. Mijn vriendin komt regelmatig langs en blijft soms slapen, en praktisch gezien zou een tweede tag heel handig zijn. Volgens de regels is het officieel “1 persoon = 1 tag”, dus extra tags zijn eigenlijk niet toegestaan. [Mag ik er zelf eentje bijmaken?]
Allereerst is het de vraag of dat wel kan, zelf een tag (laten) bijmaken. Simpele RFID-tags of druppels zijn inderdaad vaak triviaal te klonen, maar bij moderne apps lukt dat niet.

Er zijn vast trucs, maar dan kom je al snel in een schimmig gebied terecht. Een aspect daarvan werd in de comments aangestipt:

Afhankelijk van het type tag en het gebruikte systeem kan kopiëren zelfs worden aangemerkt als onbevoegde toegang of het omzeilen van beveiligingsmaatregelen.
Deze opmerking wijst op twee mogelijke serieuze juridische problemen. Allereerst het auteursrecht. In al wat oudere Amerikaanse jurisprudentie (Skylink en Lexmark) werd bepaald dat het klonen van een draadloze garagedeuropener telt als kraken van een toegangsbeveiliging van de software van het origineel. En dat is strafbaar plus kan tot enorme schadeclaims leiden.

Weliswaar kwam daar in hoger beroep een forse correctie, maar het beeld is blijven hangen dat iedere vorm van kopiëren, namaken of soms zelf aanroepen van andermans software in strafrechtgebied terecht komt. Ik meen onterecht

Een voor mij serieuzer probleem is of we hier te maken hebben met computervredebreuk. Door zo’n tag te klonen, creëer je wat strafrechtelijk een “valse sleutel” heet. De sleutel klopt technisch, maar is niet officieel en dús vals. (Ook een gestolen echte sleutel gebruiken telt wel als “valse sleutel”.)

Binnendringen in een computersysteem met een valse sleutel is strafbaar. En dat computersysteem is dus het kastje dat de toegangscontrole regelt. Ik realiseer me dat ik hiermee de normale verwachtingen van dit strafbaar feit oprek, maar dat is in lijn met de jurisprudentie.

In 2024 blogde ik over een geval waarbij een werknemer foto’s maakte van e-mails die hij nodig had voor een arbeidsgeschil:

Maar omdat hij ziek was, en het toch ook moeilijk “je werk” genoemd kan worden om bewijs te screenshotten voor een arbeidsgeschil, vindt de rechter dit een vorm van binnendringen met valse sleutel.
Hier zou het argument dan zijn dat je alleen naar binnen mag met een originele tag, fob of druppel. En jouw tag is hoe dan ook niet origineel, dus dring je binnen.

Tegenargument is dat je op zich wel naar binnen mag daar, en dat daar ook geen doelbinding aan zit: het is je woning. Niet je werkplek terwijl je ziek bent of na diensturen. Maar het gaat niet om in het huis zijn, het gaat om in die computer zijn. En daar mag je niet zijn met een nepsleutel.

Arnoud

 

 

Ben ik als particulier aansprakelijk voor datalekken bij mijn vakantiehuisje?

Geplaatst op in Privacy, 2 reacties
Photo by Cara Fuller on Unsplash

Een lezer vroeg me:

Ik verhuur (als particulier) een vakantiehuisje en gebruik voor de promotie en verhuurregistratie een WordPress site. Nu lees ik de afgelopen weken regelmatig over WordPress hacks en kwetsbaarheden. Als er door een hack gegevens van mijn website worden gelekt, ben ik dan aansprakelijk? Ik probeer eventuele updates wel regelmatig (tegenwoordig eens per week ongeveer) uit te voeren, maar ik kijk niet elke dag naar de website.
Formeel ben je ook als particulier die persoonsgegevens verwerkt, onderworpen aan de AVG. Er is inderdaad een uitzondering voor ‘natuurlijke personen’, maar dat gaat over het soort verwerking: een “zuiver persoonlijke of huishoudelijke activiteit” door een individu is uitgezonderd.

De definitie van zo’n activiteit is nogal beperkt. Overweging 18 omschrijft het als een handeling die “als zodanig geen enkel verband houdt met een beroeps- of handelsactiviteit” en noemt als voorbeelden het houden van adresbestanden en het sociaal netwerken.

Bij het verhuren van een vakantiehuisje kun je moeilijk volhouden dat dat “geen enkel” verband houdt met een handelsactiviteit. Verhuren is naar zijn aard een stukje handel, geld verdienen. Dat het particulier is en niet grootzakelijk, is een kwestie van schaal en niet fundamenteel.

Dus ja, als je particulier een vakantiehuisje verhuurt, daarbij WordPress inzet voor de boekingen en dan een datalek krijgt door gebrekkige beveiliging, dan kan de Autoriteit Persoonsgegevens optreden tegen die schending van artikel 32 (beveiligingsplicht). Het is jouw taak die beveiliging goed op orde te hebben, ook als je een derde inzet (zoals een ict-bedrijf) die het voor je regelt.

De vraagsteller heeft het in de vraag over “niet elke dag” controleren of er beveiligingslekken zijn. Dit kan indirect meewegen gezien zijn status bij de vraag of sprake is van nalatigheid, wat weer mede van invloed is op de hoogte van de boete (art. 83 lid 2 onder b AVG).

Overweging 148 voegt daaraan toe dat als het gaat om een “kleine inbreuk of indien de te verwachten geldboete een onevenredige last zou berokkenen”, de boete daarop bijgesteld moet worden. In de Boetebeleidsregels van de Autoriteit Persoonsgegevens worden geen expliciete uitzonderingen gemaakt voor natuurlijke personen, maar dit kader moet natuurlijk binnen de AVG-regels worden geduid.

Arnoud