Mogen verse ouders de kraamverzorger in de gaten houden met de babycam?

Geplaatst op in Privacy, 35 reacties

Een lezer vroeg me:

Wij zijn een kraamzorgbureau met drie vaste verzorgenden. Recent kwam een van onze medewerkers bij een nieuwe cliënt thuis, die vertelde dat er diverse camera’s hingen om de baby te kunnen zien én, ik citeer, “om te zien wat de kraamverzorgende op een dag doet.” Dat voelde zeer onprettig dus zij heeft geëist dat de camera uit zou gaan. Er dreigt nu een conflict te ontstaan, hoe moeten we daarmee omgaan? En wat is wijsheid voor de toekomst?

Dit dilemma kom ik steeds vaker tegen, en ik moet zeggen dat ik het lastig vind een praktisch werkbaar compromis te bedenken.

Juridisch bekeken komt het neer op een afweging onder de AVG, maar die is nog knap ingewikkeld. Enerzijds mag je als privépersoon in je huis een camera inzetten ter beveiliging en surveillance, met de AVG heb je dan niets te maken want dat valt onder de uitzondering voor huishoudelijke verwerking. (Tenzij je Rynes héél breed leest en zegt, ook hier is een situatie dat de verwerking “buiten de privésfeer geraakt van degene die door middel van dit systeem gegevens verwerkt”.)

Anderzijds hoeft een werknemer niet te pikken dat zhij verplicht voor de camera gaat staan van een derde als dat niet voor het werk noodzakelijk is. Een goed werkgever moet hier waarborgen tegen genomen hebben – de recente Transavia-discussie over het fotograferen van stewardessen. Je kunt als werkgever dus niet makkelijk roepen, je gaat maar bij de klant voor de camera staan want je moet gewoon aan het werk. Ook niet als die klant als privépersoon die camera aan mag hebben staan.

Derderzijds kun je als werkgever niet zomaar alle klanten weigeren omdat ze een camera hebben, zeker niet in de kraamzorg, oppas en dergelijke dienstverlening waar de veiligheidszorgen erg groot zijn en de wens om een camera in te zetten dus zeer persoonlijk en stevig is. Je moet daar dus meer mee dan “die camera weg want m’n personeel d’r privacy gaat voor”.

Ik blijf erover peinzen en ik kom er niet uit. Ja, in je voorwaarden opnemen dat camera’s “in overleg” mogen worden ingezet en dat maatregelen tegen misbruik en excessen moeten worden genomen. Maar wat dan, ga je dan de klant z’n camera-setup controleren? Eis je dat encrypted harddisks met two-man-access-rule worden ingezet en dat terugkijken in aanwezigheid van de manager moet gebeuren?

Arnoud

Move fast & break things, is dat innovatie of moedwillig wetsovertreden?

Geplaatst op in Informatiemaatschappij, 12 reacties

Move fast & break things, is al jaren het motto in Silicon Valley. De term komt van Facebook en was ooit bedoeld om hun interne processen en cultuur te schetsen, maar past heel goed bij hoe internetdiensten zich hebben gemanifesteerd. Snel de markt op, snel groeien en daarna kijken we wel wat er eventueel stuk gegaan is en hoe we dat recht kunnen breien.

Dat stukgaan, dat kon ook rustig een wettelijke verplichting betreffen. Oeps, we hebben veel meer data verzameld dan eigenlijk mocht. Oeps, we zijn eigenlijk een taxidienst zonder vergunning. Oh wacht, hebben we nu werkelijk miljoenen extremisten een gratis platform gegeven om haatboodschappen te verspreiden en kinderen gruwelijke animaties voor te schotelen? Ja dat ging voor ons ook een beetje snel. Die trage wetgeving ook altijd.

Ja, dat is flauw. Innoveren is namelijk bijna altijd ook een stukje wet overtreden. Wetten zijn bedoeld om de status quo vast te leggen, zo is het en dat vinden we eigenlijk wel best. Wetten beschermen de bestaande orde, wat hier gebeurt is goed en zo hebben de marktpartijen zekerheid over hoe ze moeten werken. Dat is goed voor de maatschappij, want het creëert rust en zekerheid en daar kunnen mensen op bouwen. Maar het creëert ook beperkingen, wie een andere manier van werken heeft die komt in de problemen met zo’n wet die zegt dat dat niet mag.

Neem Uber. Even los van hun onfrisse praktijken richting concurrenten en de prijstrucs naar chauffeurs. Het idee van een app waarmee je snel een taxi bestelt en een algoritme dat uitrekent wie het beste daarheen moet gaan, en een ratingsysteem met sterren, dat is best innovatief. Ik noemde ze ooit een snorder met een app maar dat was wel een tikje kort door de bocht (zelfs voor mij). Want het was een knappe prestatie die de markt heeft getransformeerd, ook in het voordeel van de consument. Ja, er zijn nu ook nieuwe nadelen zoals die steeds lagere prijzen en chauffeurs die onder de prijs werken. En dat moet dan opnieuw worden gereguleerd, op een of andere manier.

Een nieuwe wet is dan de oplossing – vanuit de status-quo gedachte in ieder geval. Verbieden die hap, roepen ze dan vanuit de gevestigde orde. Alleen, en dat is best uniek: tegen de tijd dat we die nieuwe wet hebben, is de technologie al zo ver dat er weinig anders meer te doen is dan het legaliseren. Want nu ineens zeggen, AirBNB mag alleen bij hotels, Uber wordt verboden zonder taxivergunning, filesharing is illegaal en drones alleen met pilotenbrevet, je maakt je alleen maar belachelijk. De maatschappij is er al aan gewend, je kunt niet meer terug.

Maar wat dan? Ik denk dat je er niet aan ontkomt om de status quo opnieuw te laten ontstaan. Het stof even neer te laten dalen, en dan zien waar we ongeveer staan. is goed dat nieuwe dingen een tijd een kans krijgen om zichzelf te bewijzen ondanks bestaande wetgeving. Maar al te lang moet dat niet duren, want meestal is die wetgeving ook op een bepaald nuttig doel of streven gebaseerd, en verwacht de maatschappij dat ook de nieuwe daaraan moet voldoen. Niet te snel, want meestal sla je dan dingen dood. Maar zoals het nu gaat duurt het vaak wel érg lang.

Arnoud

Is het inbouwen van backdoors in je encryptiesoftware verplicht?

Geplaatst op in Regulering, Security, 11 reacties

Een lezer vroeg me:

In Australië is sinds vorig jaar een wet van kracht die techleveranciers verplicht om backdoors in te bouwen in hun software als die end-to-end encryptie toepast. Hoe zit dat in Nederland, geldt die plicht bij ons ook zo?

Eind vorig jaar is in Australië inderdaad een wet aangenomen, de Assistance and Access Bill 2018. Deze geeft opsporingsdiensten de macht om bij technologieleveranciers te eisen dat deze decryptiesleutels afgeven, maar ook om een backdoor in te bouwen zodat men stiekem mee kan lezen.

Met name hoe snel en sneaky die wet is doorgevoerd, gaf veel reuring. Maar ook het principe natuurlijk dat je backdoors in moet bouwen, dat is een uniek precedent in de securitywereld. Want nee, in Nederland (of Europa, of de VS) bestaat niet zo’n zelfde wet.

Alle Westerse landen hebben regelgeving dat een dienstverlener die toegang heeft tot berichten van een klant, die af moet geven onder zekere voorwaarden. In Nederland is de grens relatief hoog: als het “belang van het onderzoek dit vordert” bij een ernstig misdrijf (art. 126m Strafrecht) moet een communicatie-aanbieder de decryptie ongedaan maken van berichten die via hem lopen.

Er is echter in Nederland – noch in Europa, noch in de VS – een plicht om encryptie zo te bouwen dát je kunt decrypten. Ja, als je een telecomdienstverlener bent dan moet je netwerk aftapbaar zijn (art. 13.1 Telecommunicatiewet) maar internetdiensten zijn per definitie geen telecomdiensten.

Leveranciers van telecomproducten of internetcommunicatieproducten (waaronder software) hebben op dit moment geen plicht om backdoors in te bouwen. Ik weet in Europa niet van enig plan om dergelijke functionaliteit verplicht te gaan stellen, maar je weet natuurlijk nooit.

Arnoud

Wat mag je nog met tracking pixels tegenwoordig?

Geplaatst op in Privacy, 25 reacties

orgverzekeraars maken gebruik van omstreden tracking-software die is verstopt in e-mails aan klanten, zo meldde Radio 1 onlangs. Deze reportage was een vervolg op eerdere berichten dat onderwijsdienst DUO trackers gebruikte om te zien of studenten hun mail wel lazen, zonder dit te melden. Dat zou in strijd zijn met de AVG. DUO is ermee gestopt, de door Reporter Radio onderzochte zorgverzekeraars gaan hun privacyverklaring aanpassen maar lijken niet te stoppen. Wat dus de vraag oproept, mag dat nu wel of niet van de AVG?

Een tracking pixel is een al wat oudere truc om te achterhalen of iemand je mailbericht heeft gelezen, althans opengeklikt. Er zit dan een plaatje van 1 bij 1 pixel in de mail, en je mailprogramma haalt dat plaatje op net zoals andere afbeeldingen. Dat valt jou als lezer niet op want het is maar 1×1 pixel en bovendien wit of transparant. Maar bij het ophalen wordt je IP-adres geregistreerd, en de bestandsnaam is uniek voor jou als ontvanger zodat de afzender kan zien dat deze pixel vanuit jouw mailbericht is opgevraagd. Dat is dan het bewijs dat jij die mail hebt geopend.

In deze context is dat IP-adres een persoonsgegeven, of iets preciezer: die unieke bestandsnaam in combinatie met IP-adres en datum plus tijd van opvraging is het persoonsgegeven “persoon [email protected] heeft de mail opengeklikt”. En dan is de AVG van toepassing.

Onder de AVG moet je allereerst een grondslag hebben. Dat zal gewoonlijk het eigen gerechtvaardigd belang moeten zijn, want toestemming vraagt geen hond en echt noodzakelijk voor een overeenkomst is het niet. Welke nieuwsbrief is zo belangrijk dat je moet moet moet weten dat deze aangekomen is? Maar een eigen belang – marketing en statistieken – dat zie ik wel. Daar staat dan natuurlijk het privacybelang van de ontvanger tegenover, maar wanneer je de vastlegging uitsluitend gebruikt voor algemene statistieken (deze truc geeft 5% meer opens, in België leest slechts 20% onze nieuwsbrief) dan denk ik dat het marketingbelang wint.

Wel moet je duidelijk informeren over de tracking. Dat zal op zijn minst in de privacyverklaring moeten gebeuren. Maar eigenlijk denk ik dat het duidelijker moet dan dat – een zin bij het “inschrijven voor de nieuwsbrief” formulier, en misschien zelfs wel een zin in de mail zelf. Hoewel dat laatst eigenlijk wat laat is, de tracking pixel is dan al ingeladen. Ook moet er een opt-out (bezwaar) mogelijkheid zijn. Dat mensen zelf blockers kunnen installeren, is wat mager. Je zult mensen dat dan uit moeten leggen. Maar ik denk dat je dan een heel eind komt.

Oh ja, dan is er ook nog de Telecommunicatiewet die in tegenstelling tot wat de Volkskrant zegt wél geldt voor tracking pixels. Er wordt immers een pixel op je computer gezet. Dat “de registratie gebeurt op de server van de afzender” is niet relevant, de Telecomwet gaat niet over waar persoonsgegevens worden verwerkt maar of er data op randapparatuur wordt opgeslagen. Maar het gaat desondanks goed, omdat dergelijke simpele analytics vallen onder de Nederlandse uitzondering op de cookiewet. Dit schendt niet of nauwelijks de privacy en is bedoeld om de effectiviteit van een geleverde dienst te meten. Dan is er geen toestemming nodig.

Dus onder de streep kom ik uit bij een kopje in de privacyverklaring “nieuwsbrief en volgsysteem” waaronder je uitlegt dat je tracking toepast, welke gegevens je vastlegt daarvoor en hoe mensen dit tegen kunnen houden. Toestemming vragen is niet nodig.

Voor DUO ligt dat anders. Dat is een overheidsinstantie, dat die mails verstuurt in de uitoefening van haar publieke taak. In dat geval is zij niet bevoegd de grondslag van het eigen gerechtvaardigd belang in te roepen – zij moet een wettelijke grondslag hebben om dit te mogen doen. En die is er niet.

Arnoud

Belgische school laat leerlingen hun lunch afrekenen met scan van handpalm

Geplaatst op in Privacy, 10 reacties

Op de Sint-Bavohumaniora in Gent kunnen leerlingen binnenkort broodjes en drankjes afrekenen via een scan van hun handpalm. Dat meldde Tweakers onlangs. De biometrische technologie zou praktischer zijn dan de huidige badges en maaltijdbonnetjes, die regelmatig vergeten worden of kwijtraken. Maar het riep vragen op bij vele lezers, omdat het gebruik van biometrische persoonsgegevens toch heel streng gereguleerd was onder de AVG. Recent mocht Manfield gen vingerafdrukken inzetten tegen kassafraude, dus hoezo mag een school dit zomaar doen voor iets triviaals als een lunch afrekenen? Dus ja, hoezo mag dat dan?

Allereerst: die Manfielduitspraak was vooral gebaseerd op het feit dat er niet nagedacht leek te zijn over impact en alternatieven. Hadden ze dat wel gedaan, dan was het volgens mij zonder twijfel legaal geweest om dit systeem in te voeren. Maar er is geen twijfel dat een handpalmafdruk een biometrisch persoonsgegeven is, gezien de definitie van die categorie uit de AVG. Daarmee kom je meteen in de extra strenge bescherming voor bijzondere persoonsgegevens terecht.

Hoofdregel is dat je bijzondere persoonsgegevens niet mag verwerken, tenzij in de AVG of je lokale wetgeving staat van wel. Een van de genoemde uitzonderingsgronden is de uitdrukkelijke toestemming. In Nederland hebben we daarnaast nog de noodzaak voor identificatie of authenticatie, waar dus een werkgever zich op zou kunnen beroepen als hij zijn privacy impact assessment rond heeft.

Een werkgever moet wel, want die kan geen toestemming vragen vanwege de afhankelijkheidsrelatie (en het feit dat het hier om iets verplichts ging). Maar afrekenen met een handpalm voelt voor mij vrijwilliger dan een vinger om in te loggen bij de kassa, er zijn immers gewoon alternatieven beschikbaar. Dus ik zou zelf geen probleem zien met dit als school (of werkgever, in de kantine dus) invoeren als vrijwillige extra afrekenoptie. Natuurlijk wel even extra goed de security checken van het biometrisch betalingsauthenticatiesysteem.

Ik keek nog even snel in de Belgische Uitvoeringswet bij de AVG (de Kaderwet) en het zal ongetwijfeld aan mij liggen maar ik zie daar dus geen analogie aan onze noodzaak voor identificatie en authenticatie. Sterker nog, ik zie in artikel 34 een veel stérker verbod: geen verwerking van biometrie tenzij dit wettelijk is geregeld, noodzakelijk is voor vitaal belang of het gegeven kennelijk openbaar is gemaakt. Daar mist dus de uitdrukkelijke toestemming als grondslag. Dat mag (artikel 23 AVG) maar het voelt als een rare uitkomst, vooral omdat de Gegevensbeschermingsautoriteit zegt dat het “natuurlijk zo [is] dat toestemming een basis is”. Waar dan weer gek aan is dat er geen ‘uitdrukkelijk’ bij staat, een vakterm die ik toch wel verwacht had in een publicatie van de toezichthouder.

Afijn. Ervan uitgaande (ik moet altijd de spelling daarvan nazoeken) dat uitdrukkelijke toestemming in België inderdaad een grondslag is, én er goed over de beveiliging is nagedacht, lijkt me dit dus prima legaal. Als je alléén nog kunt afrekenen met je hand bij die kantine, dan zou ik het niet meer vrijwillig vinden. Natuurlijk kun je dan zeggen, “neem een zakske bokes mee” maar dat voelt voor mij geen reëel alternatief voor een lunch op school die je al jaren gewend bent.

Arnoud

Wie een robot als confrère verwacht, begrijpt niets van legal tech

Geplaatst op in Informatiemaatschappij, 7 reacties

Een robot in de rechtbank zal niet snel voorkomen, want het werk van advocaten „is heel moeilijk te automatiseren”. Dat las ik in NRC Handelsblad onlangs. Het idee is hardnekkig: de robots en/of de AI’s komen eraan, en ze gaan onze banen inpikken (South Park referentie optioneel). Waarbij de illustrator van dienst dan vaste prik een robot in toga tekent die een vlammend betoog ter behoud van de democratische rechtsstaat houdt, of een moeilijk dossier leest met de vinger bij de betreffende regel. Allemaal leuk en aardig maar legal tech en robots gaan helemaal niet het werk van advocaten overnemen of automatiseren. Ze gaan de maatschappij transformeren zodat dat werk irrelevant of een beperkte niche wordt.

Dat het werk van advocaten heel moeilijk te automatiseren is geloof ik graag. Het “heeft een hoge creativiteitsfactor”, zo zegt ABN Amro-bankier en sectorspecialist Han Mesters in de NRC. Slimme argumenten, spitsvondige reacties, aanvoelen wat de rechter eigenlijk wil horen, een schikkingsvoorstel verzinnen dat de emotie van de wederpartij erkent, in een duister uitziende zaak toch een lichtpuntje vinden én met onvermoeibaar pleiten daar de winst uit slepen – nee, daar zie ik vooralsnog geen computerprogramma voor komen.

Software is goed in het automatiseren van het gewone, het alledaagse. Het vinden van afwijkingen, het controleren van patronen, het doen van extrapolaties. Dat is heel iets anders dan het soort maatwerk waar de advocatuur voor staat. Dat zie ik meteen. En om die reden hoef je je inderdaad nul zorgen te maken dat je pleitwerk overgenomen wordt door een robot in een toga.

Grappig genoeg lijkt het NRC artikel juist te bevestigen waar het wél pijn gaat doen in de juridische sector:

Bosman voorziet echter dat het ‘productiewerk’ dat zij verrichten door technologische ontwikkelingen veel sneller zal gaan. „Daar zit de pijn voor advocatenkantoren. Dan stort dit businessmodel in. Mensen zullen in de advocatuur niet vervangen worden door machines, maar er zullen wel minder mensen nodig zijn omdat men productiever wordt.”

Dus het werk van advocaten wordt niet weggeautomatiseerd, alleen 80% van de advocaten. Oké, dat is inderdaad een nuanceverschil.

Daar komt bij dat software-gedreven dienstverlening zorgt voor een andere manier van werken. Automatiseren is nooit het simpelweg automatisch doen van wat je voorheen handmatig deed. Toen de treinen van stoom naar elektrisch gingen, werden stokers overbodig en moesten machinisten hun vak opnieuw leren. Er kwam geen robot die schepjes diesel in de oven gooide. Datzelfde gaat gebeuren in de juridische sector.

Het is misschien een wat gevaarlijk voorbeeld, maar e-Court heeft laten zien wat er kan gaan gebeuren. De organisatie is controversieel omdat consumenten niet doorhadden dat ze naar arbitrage gingen (en dat een robotrechter daarbij meekeek), maar men had wel een alternatieve geschilbeslechting opgetuigd met effectieve inzet van ict-middelen. Lagere kosten, snellere rechtsgang en inzet van AI om standaardkwesties standaard af te doen. Dat is innovatie volgens het boekje. Niet slechts faxen in plaats van brieven, maar het proces opnieuw doen.

Die manier van denken, die wordt de toekomst. De bulk van het proceswerk is standaard, en dáár is software goed in om te verwerken. Daarom gaan die 80% van de advocaten minder werk krijgen. Die software zoekt de standaardzaken uit, en er is dan geen advocaat meer nodig die daar nog eens zhaar zegje over doet.

Ja, natuurlijk zullen er dan altijd nog rare gevallen zijn waarbij je wél een advocaat zou willen. Een mens die jou uit het bureaucratisch geweld van de machines plukt. Maar dat zullen zeldzame situaties zijn, en ik heb zelfs serieuze twijfels of die nieuwe systemen daar rekening mee gaan houden.

Arnoud

Fakenews, trollen en de toekomst van de uitingsvrijheid

Geplaatst op in Informatiemaatschappij, 6 reacties

Wie als jurist problemen met internet moet duiden, kwam lange tijd standaard als eerste met het auteursrecht aan zetten. Of sinds 25 mei 2018 natuurlijk de AVG. Heel logisch en die wetten zijn heel belangrijk, maar binnen het internetrecht is de uitingsvrijheid minstens zo belangrijk – het is één van de vier grondrechten die centraal staan in het rechtsgebied. En daar is ook een heleboel te doen juridisch, al is het wat lastiger om daar echt de legale vinger achter te krijgen.

De uitingsvrijheid is natuurlijk ook buiten internet een van de belangrijkste grondrechten. Informatie kunnen verspreiden en ontvangen zonder overheidsbemoeienis is een fundamenteel vereiste voor een werkende democratie. Maar sinds internet zien we een enorme groei in de hoeveelheid informatie, en vooral een enorm verlies in de kwaliteit door de kwantiteit. Fakenews noemen we dat tegenwoordig.

Wat is fakenews en waarom is het niet strafbaar, ik vroeg het me al eens af. De term is ondertussen te vaag om echt een werkbaar begrip te zijn, maar het is ondertussen wel duidelijk dat het borgen van de kwaliteit van informatie een probleem is. Of het nu gaat om grappig bedoeld getrol of actieve manipulatie of gewoon onwetendheid. En daarom zie je steeds meer stemmen om het dan toch maar te verbieden – wat weer grote risico’s op zichzelf met zich meebrengt want welke legitieme uitingen verhinder je dan meteen ook?

Een tijdje terug las ik nog een stelling die me zo aansprak dat ik de bron niet meer weet. Jarenlang is geroepen, vertrouw niet lui op Wikipedia maar check je eigen bronnen. En daardoor gaat iedereen nu zelf zitten grasduinen op internet, en neemt alles voor waar aan dat met strak lettertype is gezet onder een “New Times Herald” logo. In plaats van de zorgvuldige en eindeloos geduldige factcheckers van de vrije encyclopedie te vertrouwen en van daaruit eventueel verder te werken. Achteraf gezien was het dan misschien beter geweest om juist wél op Wikipedia te vertrouwen.

Meer horen over dit onderwerp, en vooral er zelf mee aan de slag? Op ons event The Future is Legal houdt Alexander Pleijter een workshop over het herkennen van en omgaan met fake news. Schrijf je snel in want het aantal plaatsen is beperkt!

Arnoud

Kan een it-werknemer worden ontslagen als hij ransomware binnenlaat?

Geplaatst op in Security, 25 reacties

Een lezer vroeg me:

Verschillende steden in de VS zijn met ransomware besmet geraakt omdat personeel een besmette e-mailbijlage opende. Nu heeft één van deze steden een it-medewerker ontslagen. Zou dat in Nederland kunnen, iemand ontslaan omdat zijn gedrag tot een infectie leidde, bijvoorbeeld omdat hij een bijlage opende of een update niet installeerde?

Het lijkt me uitermate onwaarschijnlijk dat in Nederland iemand wordt ontslagen enkel vanwege het feit dat door zijn handelen een ransomware-infectie uitbrak.

Natuurlijk is het bepaald slordig als je als werknemer een besmette e-mailbijlage opent, zeker als je op de it-afdeling werkt en dus (zo mag je vermoeden) enige kennis over it, beveiliging en risico’s hebt. Maar slordig je werk doen of onoplettend bezig zijn onder werktijd is simpelweg niet genoeg om tot ontslag over te mogen gaan. Of iets preciezer gezegd: één geval van disfunctioneren is geen reden voor ontslag.

Een disfunctionerende medewerker kun je in Nederland pas ontslaan als je het nodige hebt gedaan (https://www.arbeidsrechter.nl/disfunctioneren-van-de-werknemer-transitievergoeding-schorsing-ontbindingsprocedure) om verandering te brengen in het functioneren van de medewerker. De werkgever moet de medewerker daarbij expliciet informeren over wat er misgaat en hoe dat beter kan, en heeft een zorgplicht dat de werknemer dit ook werkelijk beter gaat doen. Bij it-gerelateerd disfunctioneren moet de medewerker dus op cursus, even kort door de bocht. En pas als hij daarna hardnekkig domme dingen blijft doen, kun je aan ontslag denken.

Ook helpt het behoorlijk bij een ontslagaanvraag om duidelijke regels gesteld te hebben, die dan zijn overtreden ondanks de training en awareness daarover die je als werkgever eraan hebt gegeven. (Enkel dus iets in een reglement zetten of via de mail mededelen is juridisch dus betekenisloos.)

Dan heb je ook nog de ontslag op staande voet, maar bij security incidenten moet iemand het dan wel héél bont hebben gemaakt wil je daartoe over kunnen gaan. Enkel een besmette bijlage openen -ook al ben je de security officer- zou ik als te weinig zien om dit paardenmiddel in te kunnen zetten. Al is het maar omdat een groot deel van de schade bij het bedrijf dan ook komt door gebrekkige beveiliging en backups, en ik het gevoel zou hebben dat het ontslag meer een vorm van afreageren is dan een daadwerkelijke proportionele respons op verwijtbaar handelen.

Arnoud

Passagiers mogen stewardessen niet meer filmen

Geplaatst op in Ondernemingsvrijheid, Privacy, 17 reacties

Luchtvaartmaatschappij Transavia verbiedt reizigers om het cabinepersoneel op beeld vast te leggen. Dat las ik in de Telegraaf (dank, tipgevers). “We weten niet wat er met deze beelden gebeurt”, aldus een woordvoerder van de luchtvaartmaatschappij tegenover de krant. Men komt op voor de privacy van de werknemers, zo te lezen. Ook andere maatschappijen blijken hier regels over te hebben – al lees ik nooit het KLM magazine dus ik had geen idee dat het daar ook niet mocht. Maar het geeft natuurlijk wel de vraag, kan Transavia zo met een beroep op de AVG verbieden dat passagiers foto’s maken?

Het makkelijke antwoord is natuurlijk: ja dat kan, al is de grondslag voor het verbod dan niet de AVG zelf maar de algemene voorwaarden van de maatschappij. Hun huisregels, anders gezegd. Een bedrijf kan binnen haar terreinen of gebouwen huisregels stellen, en daar heb je je dan aan te houden. Alleen winkelen met mandje, geen sportschoenen, niet fotograferen. Heel bijzonder is dat niet.

Algemene voorwaarden moeten redelijk zijn (niet onredelijk bezwarend, heet dat in de wet). Dat betekent bij dit soort verboden grofweg dat ze een redelijk doel moeten dienen. Dat doel zou is dan hier indirect weer wél de AVG: als werkgever moet Transavia zorgen voor de privacybescherming van persoonsgegevens van hun personeel. Die mensen zijn aan het werk, en kunnen zich niet onttrekken aan het fotograferen of filmen door de passagiers. Foto’s kunnen ongewenste gevolgen hebben, en Transavia moet dat tot een minimum zien te beperken. Een verbod is dan geen gek idee. Ik zou het zelf een publicatieverbod hebben genoemd, want dat ik een foto maak en met mijn moeder deel (“Kijk, daar gaan we”) zou geen probleem moeten zijn. Die foto met naam en toenaam op Instagram is een heel ander verhaal. Maar dat terzijde.

Een complicatie is wel dat voorwaarden op zijn minst gemeld moeten zijn bij het sluiten van de vervoersovereenkomst. Pas in het vliegtuig melden dat het niet mag, is natuurlijk veel te laat. Ik hoop dus voor Transavia dat ze het ook netjes opgeschreven hebben in de boekingsvoorwaarden.

Arnoud

Kun je de IoT-eigenaren van een botnet aansprakelijk stellen voor je schade?

Geplaatst op in Security, 12 reacties

Een lezer vroeg me:

Stel dat je als partij wordt aangevallen door een botnet dat is geactiveerd vanuit allerlei IoT-systemen. En stel dat ik een aantal van die systemen kan herleiden tot hun Nederlandse eigenaren, laten we zeggen professionele partijen (bedrijven). Kun je dan die eigenaren aansprakelijk stellen voor je schade?

Wanneer je in Nederland schade lijdt door iemands onrechtmatig handelen, dan kun je dat inderdaad verhalen. Het uitvoeren van een denial-of-service aanval (wat ik maar even als invulling van die aanval kies, een computervredebreuk met datavernieling kan natuurlijk ook) is onrechtmatig want strafbaar, dus de dader(s) van zo’n aanval kun je aansprakelijk stellen.

Meestal is het grootste probleem dat je die aanvallers niet kunt achterhalen, maar bij een botnet dat bestaat uit gehackte IoT-apparaten (lees: nalatig slecht ontworpen en geupdatete kastjes) kan dat inderdaad wel eens anders komen te liggen. Daar wordt nul moeite gedaan de afkomst te verhullen, en als de IP-adressen van die apparaten ook nog eens tot bedrijven te herleiden zijn dan heb je inderdaad vrij snel het adres voor een civielrechtelijke dagvaarding.

Het probleem hier is denk ik lastiger: in hoeverre kun je deze IoT-eigenaren juridisch een verwijt maken? Oftewel hebben zij wel onrechtmatig gehandeld? Zij hebben niet zelf de aanval geïnitieerd of gecoördineerd, dat was de botnet-herder immers. Op eerste gezicht zijn ze dan als willoos werktuig (prachtige juridische term) aan te merken, en daarmee niet aansprakelijk.

Als je de strafwet erbij pakt, dan is er wellicht nog een haakje: artikel 350b Strafrecht verklaart het strafbaar als het jouw schuld is dat een aanval zorgt voor schade (zoals ontoegankelijk zijn van een dienst of gewist worden van gegevens) bij een slachtoffer. Schuld is hier een trapje lager dan opzet (dat staat in 350a), dus kan ook mensen treffen die geen aanval wilden uitvoeren maar dat toch verweten kan worden.

De analyse of sprake is van schuld is juridisch een heel verhaal maar kort door de bocht komt het er voor mij op neer dat ze hun gedrag eigenlijk gewoon hadden moeten aanpassen. Hoe kon je dat nou laten gebeuren, had nou even nagedacht.

Persoonlijk ben ik van mening dat als je als bedrijf zogenaamde smart spullen in gebruik neemt, je moet zorgen voor een goede beveiliging daarvan. Anno 2019 moet iedereen (zakelijk dan) weten dat die apparaten zo lek als een mandje zijn, dus daar moet je dan maatregelen tegen nemen. Doe je dat niet, dan ben je nalatig en wat mij betreft aansprakelijk voor schade. Daar staat tegenover dat je door de leveranciers snel omver geblazen wordt met mooie taal dat die apparaten veilig zijn, en het is vaak gewoon lastig na te gaan óf je apparaten veilig zijn, de laatste firmware hebben et cetera.

Als laatste kanttekening geldt wel dat je als zo’n schuldige alleen aansprakelijk bent voor de schade van jóuw bijdrage, niet voor de gehele schade die al die kastjes samen hebben aangericht. Dat zal bij een gemiddelde aanval nog eens best beperkt zijn, als je überhaupt al een getal kunt plakken op de precieze bijdrage van dat ene kastje van die ene strandtent met gehackte surfweercam of die smart koelkast van die hippe startup.

Arnoud