Hoe maak je sms-berichten en appjes van ambtenaren Wob-baar?

Geplaatst op in Regulering, Uitingsvrijheid, 23 reacties

Alweer wat ouder nieuws, maar toch: sms-berichten en appjes van ambtenaren vallen onder de Wet openbaarheid van bestuur. Dat besliste de Raad van State enige tijd terug. Iets formeler gezegd: het medium waarin informatie wordt opgeslagen of verstuurd, is niet relevant. Of iets nu in een sms bericht staat of in een papieren brief: als de informatie onder de reikwijdte van de Wob valt, dan heeft de burger daar recht op. Werk aan de winkel dus voor ambtenaren, want sms- en appverkeer wordt gewoonlijk niet standaard gearchiveerd of zelfs maar centraal bijgehouden. Hoe ga je dat nu concreet beheren?

Alleen al praktisch is dat een behoorlijke kluif. Formele communicatie per brief gaat al heel wat jaren goed, omdat dit beheersbare informatiestromen zijn. Er is vaak ook een postkamer of secretaresse (m/v) die bepaalt wat bewaard moet, en een archivaris die er het juiste labeltje op plakt zodat het te vinden is. Bij e-mail blijkt dit in de praktijk nu al wat lastiger, maar het kan omdat dat centraal op te slaan is.

App-berichten en sms-berichten staan normaal echter alleen op de telefoon waar ze zijn ontvangen. Als je mazzel hebt, heeft de ambtenaar de desktopversie van WhatsApp maar dan nog. Natuurlijk, je kunt iemands telefoon periodiek leegtrekken maar dat is nogal een proces. En een oekaze rondsturen dat iedereen wekelijks zijn chatlogs moet inleveren is natuurlijk leuk op papier, maar dat zal niet -of althans niet 100%- gebeuren en dan heb je wettelijk een probleem.

En nog een leuke, uit dat NRC artikel: “Het maakt daarbij niet uit op welk apparaat (zakelijk of privé) deze berichten staan omdat anders de wet kan worden ontlopen door de keuze van het apparaat waarop deze staan.” Het klinkt me logisch in de oren dat veel ambtenaren met hun privételefoon zullen appen of sms’en over werk, dat doet namelijk iedereen. En dan moet je dus een proces invoeren waarbij je vanaf privételefoons die berichten uitleest, en daarbij ook nog eens de privacy van de ambtenaar in privéhoedanigheid respecteert. Ik geef het je te doen.

Een reglement dan, zullen de HR-professionals nu denken. Gewoon opschrijven dat alle berichten moeten worden ingeleverd en dat je geen privéconversaties mag voeren behalve in eigen tijd, en dan niet over werk praten zodat je de Wob vermijdt. Klinkt leuk, wederom op papier, maar werkt niet: mensen mógen privéconversaties voeren op het werk, ook met klanten en relaties, en de werkgever moet daar ruimte voor maken. Hij mag ook niet botweg die berichten dan opvragen en archiveren, er moet een goede reden zijn om in privécommunicatie te kijken. En dat de Wob mogelijk geldt op andere berichten in dat communicatiemedium, is niet goed genoeg.

Hoe zouden jullie dit aanpakken als je de verantwoordelijke informatiemanager was bij de overheid?

Arnoud

Google en Facebook werken aan regels rond werk van kinderen op sociale media

Geplaatst op in Ondernemingsvrijheid, 9 reacties

Google en Facebook werken aan regels rond kinderen die figureren in Instagram-posts of YouTube-video’s. Dat las ik bij Tweakers onlangs. Daar zijn allerlei juridische zorgen over, zoals hoe de strenge AVG uitpakt voor zo’n situatie. Maar degene die er hier uitgelicht werd, vond ik wel een erg aparte: is hier sprake van (kinder-)arbeid in de zin dat er een arbeidsverhouding ontstaat tussen de minderjarige vlogger/figurant en de dienstverlener die die video’s online zet? De vraag lijkt absurd want je tekent geen arbeidscontract met Google. Maar juridisch gezien is het zo absurd nog niet, omdat je prima een arbeidscontract kunt sluiten zonder ooit een handtekening te zetten.

In het bronartikel in The Guardian lees ik over een zevenjarige die miljoenen binnenharkt met het recenseren van speelgoed. Dat is dan wel gelijk het extreemste voorbeeld, maar het geeft wel aan waar het om gaat; er wordt goed geld verdiend met het maken van zulke video’s en de advertenties (en affiliate-links) er omheen.

Wanneer je structureel geld krijgt van iemand voor arbeid die je levert, dan trigger je het arbeidsrecht want dat riekt naar werknemerschap. In Californië helemaal, want daar kent men de strengste regels over werknemerschap ter wereld. Mede vanwege Hollywood en de kindsterren die daar figureren. Als je werk doet voor de camera en daar geld voor krijgt, dan ben je werknemer binnen de entertainmentsector en dan gelden er dwingend allerlei speciale regels over wat er met je vergoedingen moet gebeuren en welke waarborgen je werkgever moet nemen.

Geldt dat ook voor Google, eigenaar van videoplatform Youtube? Volgens Amerikaanse arbeidsrechtprofessor Veena Dubal zeer zeker wel:

“You could argue that YouTube is the joint employer [dus samen met de ouders, AE] of the child,” said Dubal. “YouTube controls what the child can and cannot do. They control the dissemination of the money. They would very likely be considered joint employers under California wage laws and child labor laws.”

In Nederland kennen we niet zo’n bijzondere constructie voor kindacteurs. De regels of sprake is van een arbeidsverhouding kennen eigenlijk drie factoren: werkgeversgezag, persoonlijke arbeid en loon. Dit betekent:

  1. De werkgever moet zeggenschap hebben over hoe het werk wordt uitgevoerd. Dus niet alleen “het moet vrijdag af”, maar ook “ik wil dat je maandag hier om 9 uur zit en gaat werken tot 17 uur”. Hij hoeft dat niet perse daadwerkelijk te dóen maar hij moet de mogelijkheid hebben dit te eisen.
  2. De werknemer moet persoonlijk het werk uitvoeren, vervanging is niet toegestaan. Een werknemer mag geen collega laten opdraven of zijn vrouw het werk laten doen. Een ingehuurde freelancer zou dat wel mogen.
  3. De werknemer krijgt loon. Deze is tricky want ook in andere verhoudingen kun je geld ontvangen, en is dat nu loon of niet?

Er zijn nog aanvullende factoren, zoals of je doorbetaald krijgt bij ziekte, of je bij meerdere opdrachtgevers tegelijk mag werken, wie de gereedschappen verzorgt en wie er aansprakelijk is voor fouten.

In de Youtube-situatie zie ik het argument (in theorie) wel opgaan voor de ouders als werkgever. Die krijgen dan te maken met het arbeidsrecht, en dat kan behoorlijk streng zijn voor kinderarbeid, ook in de entertainmentsector.

Maar hoe je Youtube zelf er met de arbeidsrechtelijke haren erbij sleept, zie ik even niet. Youtube oefent geen inhoudelijke zeggenschap uit op het werk, tenzij je de Terms of Service over acceptabele inhoud als “zeggenschap” ziet maar dat vind ik nogal gezocht. Verder zal het Youtube een worst wezen wie er deze keer figureert. Dus tenzij er specifieke constructies zijn voor invloedrijke vloggers die op afroep video’s maken voor Youtube, zie ik die constructie niet.

Arnoud

Kandidaat zijn zonder dat je het weet, mag dat?

Geplaatst op in Informatiemaatschappij, 18 reacties

Voor het radiospel ‘De Uitverkorene’ stuurt Qmusic een privédetective af op onbekende Nederlanders. Dat meldde RTL maandag. Het concept: een Nederlander wordt door een privédetective gevolgd. Wie de gelukkige denkt te zijn en dat raadt, wint 10.000 euro. De kandidaat-zonder-wil wordt gekozen op basis van een “goede daad” die hij eerder verricht heeft, maar wel eentje die Q-Music in scène heeft gezet. Het signalement wordt enigszins generiek opgebouwd en alleen op basis van gegevens verkregen in de openbare ruimte. Desondanks de vraag: huh, sinds wanneer mag dat?

“Je mag willekeurige personen gewoon observeren in het publieke. Het gebeurt wel vaker, bijvoorbeeld in stalkingszaken.” aldus de verdediging van het programma in een notendop. Eh ja, maar dat is omdat er dan een zwaarwegend belang is, namelijk het vastleggen van stalkingsgedrag zodat je aangifte kunt doen. Een andere reden om mensen te observeren, is fraude bij bijvoorbeeld ziekmeldingen op te sporen. En zelfs bij het onderzoeken van zeg overspel in een relatie kan ik me nog wat voorstellen bij een zwaarwegend belang om dat te willen weten.

Hier gaat het echter om een zelfbedacht belang: men zet een “goede daad” in scène, zoals een portemonnee neerleggen die iemand dan opraapt en retourneert. En dan wil je vervolgens die persoon in het zonnetje zetten met een opsporingsbericht en een privédetective. Nee, daar vind ik dan toch wel wat van.

Hoe zou het dan wel moeten? Geen idee eerlijk gezegd. Ja, toestemming vragen aan de betrokkenen maar dan is de lol er wel een beetje af natuurlijk. De enige manier om dit te spelen is via de belangenafweging van de grondslag “eigen gerechtvaardigd belang”. En omdat het hier gaat om puur entertainment, kun je natuurlijk spreken van vrijheid van meningsuiting maar sterk zal dat niet zijn. Daarmee is het moeilijk het privacybelang van de kandidaten-in-spe te overrulen.

En ja, mensen worden gevolgd in het publiek domein, in het openbaar. Maar dat maakt niet uit bij privacy: die houdt niet op bij de voordeur. Ook op de openbare weg heb je recht op privacy, waaronder dus ook valt het structureel vastleggen van je persoonsgegevens met als doel deze in een televisieprogramma te gebruiken. De openbaarheid van de gegevens is een factor in die belangenafweging, maar geen doorslaggevende.

Arnoud

Mag een website je vliegreis veranderen als je er een hotel bij doet?

Geplaatst op in Ondernemingsvrijheid, 18 reacties

Een interessante vraag op het Tweakersforum:

Vanmiddag heb ik via een website vliegtickets geboekt. Na het uitzoeken van de tickets stonden er 2 knoppen in beeld. “Boek nu” en “Toon prijs incl. hotel’. Aangezien ik een hotel nodig heb voor de 2e knop gekozen. … Helaas zie ik pas in de bevestiging dat het ineens heel andere vliegtickets zijn (andere luchthaven (in Londen) en andere tijden). [De helpdesk zegt] “We zien dat wanneer er een hotel geselecteerd word er andere vluchten mogelijk zijn, welke vlucht er aan verbonden was kon u zien via de vluchtdetails.”

Wat een merkwaardig verhaal. Het komt er dus op neer dat als je een vlucht met hotel boekt, men uitkomt bij andere vluchten en voor het gemak die maar gelijk in de plaats stelt van de uitgekozen vluchten. Dat kan dus kennelijk inclusief een volledig ander vliegveld in de gewenste stad zijn?

Uiteindelijk blijkt het wel zo te zijn (Bekijk de video!) dat men een aparte pagina met een boekingsoverzicht toont, met daarin de aangepaste -andere dus- vluchtgegevens opgenomen. De vraagsteller hád het dus kunnen weten, als hij die pagina aandacht had gelezen en dan op de definitieve knop voor betaling had gedrukt. Vanuit dat perspectief valt er dus weinig te verdedigen. Wie niet leest wat hem aangeboden wordt, moet niet klagen dat hij iets krijgt wat hem niet opgevallen was.

Daar staat tegenover dat we in het consumentenrecht echt wel meer verwachten dan “had je maar moeten lezen”. Verkopers (en dus ook reisorganisaties en bemiddelaars) moeten actief aan de bak; zij hebben informatieplichten, mogen geen misleidende praktijken plegen en moeten zo duidelijk mogelijk zijn in wat ze aanbieden. Tot en met de expliciete tekst “betalingsverplichting” bij de bestelknop, enkel “Nu bestellen” of “Nu definitief boeken” is juridisch niet genoeg.

Ik zou zeggen dat als iemand in een boekingsproces kiest voor vlucht A vanaf Schiphol om 14:20, en hij er dan een hotel bij boekt, hij niet zomaar hoeft te verwachten dat de vlucht verandert in eentje vanaf Londen Stansted (of voor mijn part Eindhoven Airport) om 12:10. Je vertrouwt erop dat je vérder gaat in het boekingstraject, niet terug naar de keuze hoe en wanneer je wilt vliegen. Mentaal heb je dus onthouden dat de vlucht al gedaan is, alleen nog een hotel erbij.

Vanuit dat standpunt is het dus vrij essentieel om te signaleren dat de gekozen vlucht is veranderd. En daarmee wordt het dus een plicht om dit te doen, op straffe van vernietigbaarheid van de combinatieboeking hotel en vlucht. Ongeacht of de juiste gegevens op het eindscherm stonden; het niet tonen van de expliciete “Let op, dit is anders” boodschap levert een misleidende omissie op.

Wat vinden jullie? Moet je gewoon beter lezen, of is het de taak van de reisorganisatie om te waarschuwen?

Arnoud

HP kan blokkeren generieke inktcartridges niet met het octrooirecht afdwingen

Geplaatst op in Intellectuele rechten, 14 reacties

Printermakers zoals HP hebben graag dat je hun originele cartridges gebruikt, maar vanwege de kosten willen veel mensen toch liever een merkloze (generieke) cartridge. Het is dan ook niet gek dat je vaak ziet dat namaak van cartridges op allerlei manieren wordt tegengewerkt door printermakers. Dat ondervond ook het Nederlandse bedrijf Digital Revolution, bekend van 123inkt.nl, dat al enige tijd in een geschil met HP is verwikkeld over het verkopen van eigen cartridges die passen in (en dus zouden moeten werken met) HP printers. De laatste stap in dit geschil is een uitspraak van de Hoge Raad, en wel eentje in het voordeel van Digital Revolution: het octrooirecht van HP op haar cartridges mag niet in de weg staan aan de verkoop van zulke cartridges.

HP heeft sinds 2007 een octrooi op een techniek voor printercartridges, die als ik het goed lees gaat over een protocol voor het herstellen van mogelijke foute informatie bij het uitlezen van een cartridge. Dat is van belang om te voorkomen dat een defecte cartridge tot fysieke schade aan de printer leidt. Dit protocol wordt uitgevoerd bij het plaatsen van een nieuwe cartridge.

Toevalligerwijs had je die techniek altijd nodig als je een cartridge wilde maken die werkt met HP printers, omdat die printers bij het niet volgen van het protocol concluderen dat de cartridge defect is, en hem dan weigeren. Digital Revolution had dus het protocol ingebouwd in haar cartridges, en kreeg toen het verwijt van octrooi-inbreuk naar haar hoofd.

In eerste instantie had de rechtbank het octrooi nietig verklaard. Er was een eerdere publicatie waarmee de uitvinding niet nieuw zou zijn. Dan kan er van inbreuk natuurlijk geen sprake zijn. In hoger beroep werd dat teruggedraaid, maar kreeg Digital Revolution via een andere route alsnog gelijk: als iemand een HP printer koopt, dan krijgt hij een impliciete licentie voor gebruik van dat protocol. Ook als dat via een cartridge van een derde gebeurt.

De Hoge Raad bevestigt nu dat laatste. Zij bevestigt wat het Hof al zei:

Aangezien degene die een HP printer aanschaft mag verwachten dat de printer normaal moet kunnen functioneren, moet die toestemming – behoudens bij de aanschaf van de printer overeengekomen beperkende voorwaarden, die niet zijn gesteld of gebleken – geacht worden zich tevens uit te strekken tot het gebruik van voor die printer geschikte cartridges die zelf geen inbreuk maken op enige productconclusie, zoals hiervoor is vastgesteld.

Het octrooi ging immers over printers die praten met cartridges, en niet apart over cartridges. Juridisch gezien maakt het nogal uit of een object zelf inbreuk maakt of ‘slechts’ ingezet kan worden om een inbreuk elders te verrichten.

Een mooie slag dus voor Digital Revolution, want in vrijwel alle gevallen is het de printer die het slimmigheidje (het protocol) uitvoert en de cartridge slechts een domme meewerkende partij. Daarmee is het dus in principe altijd de printer die de inbreuk maakt, en volgens de Hoge Raad is dat legaal wegens uitputting – als je een printer van HP koopt, mag je ook hun cartridge-validatie doen met zelf aangeboden cartridges.

Arnoud

Wat moet je geregeld hebben als je als ICT-ondernemer komt te overlijden

Geplaatst op in Ondernemingsvrijheid, 10 reacties

Misschien een luguber onderwerp, maar wel iets waar je zakelijk over na moet denken als je een bedrijf hebt. Zeker als je ook personeel of partners hebt, want die worden dan geraakt in hun bedrijfsvoering. Natuurlijk speelt dit bij iedere ondernemer wel, en niet alleen bij ICT-ondernemers, maar er zijn wel een paar speciale aandachtspunten die voor ICT-dienstverlening uniek zijn. Maar het belangrijkste is: denk er over na en regel het ruim voordat het een issue zou kunnen gaan worden. Want anders is het voor je collega’s, personeel of nabestaanden een bijzonder complex, confronterend en ook duur traject.

Het hangt van de rechtsvorm af wat er gebeurt met je bedrijf als je overlijdt. Ben je een eenmanszaak, dan houdt deze op te bestaan na overlijden. Je kunt dat anders regelen, door in je testament op te nemen hoe het verder moet met de onderneming en de bijbehorende bedrijfsmiddelen. (Die zijn namelijk deel van je privévermogen.) Bij een vennootschap onder firma hoort in het VOF-contract te staan wat er gebeurt als een vennoot overlijdt. En bij een besloten vennootschap gaat het primair over de eigendom van je aandelen. Vaak is vastgelegd dat deze naar de andere vennoot gaan, al dan niet tegen een afkoopsom. Maar ga na hoe je wilt dat het verloopt, en leg dat vast.

Een speciaal punt van aandacht voor ICT-ondernemers is je auteursrecht. Wanneer je als directeur software maakt, of andere werken waar auteursrecht op rust, dan is niet gezegd dat die rechten aan je bedrijf toekomen. Je bent geen werknemer, dus de gewone regel “het is voor werk, dus het is van werk” gaat hier niet op. Heb je niets geregeld in je testament of in een aparte ondertekende akte, dan is het mogelijk dat je auteursrechten naar je erfgenamen gaan in plaats van naar de collega of partner die het bedrijf voortzet. Dat is natuurlijk bepaald onhandig.

Regel dus expliciet (en met handtekening) dat de rechten bij de juiste entiteit komen te liggen. En let op: een algemene zin in je VOF- of managementcontract dat alle bedrijfsmiddelen of “resultaten van vlijt en inspanning” overgaan naar het bedrijf, is niet genoeg. Een auteursrecht draag je alleen over als concreet is vastgelegd om welk werk het gaat. En er moet een handtekening onder staan.

Daarnaast heb je als bedrijf vaak de nodige accounts bij diensten van derden. Dat kan iets simpels als de bedrijfs-Twitter zijn tot een SaaS-dienst waar je als bedrijf van afhankelijk bent. Misschien betaal je die nog steeds met je privé-creditcard, omdat dat handiger was toen je begon. Zet dat even om naar een zakelijke betaalmogelijkheid, net als het gekoppelde telefoonnummer voor accountherstel. En bedenk een manier om het wachtwoord veilig beschikbaar te hebben voor je zakenpartner(s) die met je bedrijf doorgaan.

Bij je zakelijke social media wil je misschien het wachtwoord niet delen. Wat moet een collega immers met jouw Linkedin? Maar wat moet er dan met die dienst gebeuren? Wie gaat namens jou dan het account bevriezen of opheffen? Er is een procedure voor maar misschien is het makkelijker om toch het wachtwoord ergens vast te leggen, zodat iemand bij overlijden snel het account weg kan halen, of juist een bericht kan plaatsen van overlijden.

Hebben jullie nog meer tips?

Arnoud

Een cent overmaken is wel een heel creatieve manier van spammen

Geplaatst op in Informatiemaatschappij, 19 reacties

Het betreft een door klaagster via haar privé bankrekening ontvangen uiting, onder meer omtrent de bijschrijving van € 0,01 op haar bankrekening. Wacht, wat. Ja inderdaad, dat is hoe een recente uitspraak van de Reclame Code Commissie over ongewenste elektronische reclame begon. KPN had een consument een cent gegeven, en in de omschrijving reclame opgenomen voor een nieuwe dienst naar aanleiding van het stoppen van de dienst ISDN (nee dat wist ik ook niet, dat ISDN stopt). KPN kon niet onderbouwen hoe ze aan de gegevens van de consument was gekomen, waarop deze naar de RCC stapte voor een uitspraak over of dit nu de Telecommunicatiewet overtreedt.

De gewraakte overboeking had als omschrijving:

ISDN stopt Wij helpen u verder. Bel gratis 0800-5025 op werkdagen 09.00 17.30u voor een persoonlijk advies. Voor info: kpn.com/ ISDNstopt IBAN: (bankrekeningnummer) Kenmerk: (een nummer) Datum maandag 12 november 2018 Bedrag € 0,01 Tegenrekening (in de bij de klacht overgelegde uiting weggelakt) Mutatiesoort Verzamelbetaling

Ik zou daar in mijn internetbankieren ook een tikje chagrijnig van worden. Dit riekt naar reclame, KPN’s eerste standpunt dat sprake was van een “servicebericht” ten spijt. De term ‘servicebericht‘ is in de e-mailmarketing ingeburgerd als vakterm voor mails die geen reclame zijn. Mijn vuistregel daarvoor is wel dat je het eigenlijk niet leuk vindt om te sturen – dit weekend gaat uw internetdienst offline, de levering is helaas vertraagd, dat werk. Bovenstaand bericht voldoet daar natuurlijk voor geen cent (haha) aan.

Reclame dus. Maar vrij zeldzaam, deze manier. Hoe kon dat gebeuren? KPN had een zakelijke klant gevonden die aan het bankrekeningnummer van deze mevrouw was gekoppeld, en die zou de reclame-uiting wel hebben willen ontvangen / de service hebben willen genieten. Dat gelooft de RCC inderdaad ook niet. Deze merkt de reclame dan ook aan als verboden spam onder de Telecommunicatiewet.

Je kunt als jurist natuurlijk nog wel enige vraagtekens stellen bij of dat laatste écht zo is. Immers, de wet definieert spam als:

Het gebruik van automatische oproep- en communicatiesystemen zonder menselijke tussenkomst, faxen en elektronische berichten voor het overbrengen van ongevraagde communicatie voor commerciële, ideële of charitatieve doeleinden aan abonnees of gebruikers (…)

Je kunt je dan natuurlijk afvragen of wel sprake is van een automatisch communicatiesysteem. Ik vind het een tikje gezocht om te spreken van een “communicatiesysteem” waar het enkel gaat over een veld waar je een opmerking bij een overboeking achterlaat. Is dat ‘communiceren’ met de ontvanger van dat geld?

Arnoud

Nee, ik blijf liever moddervet – Hoe illegaal is confirmshaming onder de AVG?

Geplaatst op in Ondernemingsvrijheid, Privacy, 6 reacties

Kent u dat? Dat je gevraagd wordt je in te schrijven voor het een of ander, en dat de “nee” optie wordt voorzien van een beschamende kwalificatie. “Ja, ik wil de slankwordennieuwsbrief / Nee, ik blijf liever moddervet”. Of “Ik wil een groentetuin starten / Nee, ik weet alles al”. Of “Ja, houd me op de hoogte / Waaahh, ikke willen niet”. Lekkere voorbeelden te over bij de Confirmshaming Tumblr. Een paar lezers (dank) vroegen me, hoe legaal is dat nu eigenlijk, mensen proberen over te halen om ja te zeggen door van de nee een schaamtevolle gebeurtenis te maken. Want is het nog wel een vrije keuze als de nee voorzien is van een zó botte diskwalificatie?

Onder de AVG moet toestemming in vrijheid worden gegeven, en deel daarvan is dat je geen sancties koppelt aan het weigeren van toestemming. Dit is waarom het debat over cookiemuren speelt: iemand de toegang tot je site ontzeggen als hij geen toestemming voor marketing/profiling geeft, kun je zien als een sanctie. Maar het speelt natuurlijk niet alléén bij cookies.

Confirmshaming is het fenomeen waarbij je de keuze om de gevraagde toestemming te weigeren voorziet van een negatieve kwalificatie, specifiek eentje waarbij de gebruiker schaamte over zichzelf afroept. “Nee, ik blijf graag een loser zonder toegang tot superdeals”, bijvoorbeeld. Het idee is dan natuurlijk dat je dan liever de schaamte vermijdt en toch maar “ja” klikt. Dit artikel maakt duidelijk dat schaamte een zeer sterke emotie is om mensen over te halen:

“Because guilt is experientially bad, the act of making another person feel guilty clearly qualifies as an aversive interpersonal behavior. To make someone feel guilty is to inflict a negative, undesired emotional state that most people normally try to avoid.”

Het gaat hier natuurlijk niet om fysieke of juridische dwang, maar ik denk dat zo’n sterke negatieve emotionele reactie oproepen toch wel sterk in de buurt komt. Ik zie dan ook wel wat in het argument dat je hier niet echt vrij gelaten wordt.

Arnoud

Activision betaalt medewerkers om zwangerschappen te volgen via gezondheidsapp

Geplaatst op in Ondernemingsvrijheid, Privacy, 6 reacties

Activision Blizzard betaalt vrouwelijke medewerkers om gegevens over hun vruchtbaarheid en zwangerschap in te voeren in de gezondheidsapp Ovia. Dat meldde Tweakers onlangs. De medewerkers die vrijwillig kiezen hieraan mee te doen, krijgen hiervoor dagelijks een kadokaart ter waarde van een dollar. De gegevens worden geanonimiseerd en als statistieken weergeven, met als doel -hou je vast- “het bedrijf in een competitieve industrie te laten excelleren en bijdragen aan het vasthouden en laten terugkeren van vrouwen met vaardigheden”. Mag ik een teiltje? En ondertussen de vraag, mag dat als je dat in Europa zou doen?

Gegevens over zwangerschap vallen binnen Europa onder het strenge regime van de bijzondere persoonsgegevens, namelijk onder het kopje ‘gezondheid’. Dat betekent dat verwerking van die gegevens verboden is, tenzij er een uitzonderingsgrond van toepassing is. Voor werkgevers is er een mogelijke grond, de arbeidsgezondheid en de “de beoordeling van de arbeidsgeschiktheid van de werknemer” (artikel 9 lid 2 sub i AVG). Een zwangere vrouw heeft een bijzondere positie, dus dat moet je kunnen registreren voor je bedrijfsvoering. Ook kun je het gooien op de Uitvoeringswet AVG, waarbij je die gegevens mag gebruiken als dat noodzakelijk is voor een goede uitvoering van wettelijke voorschriften (en die zijn er dus, ter bescherming van de vrouw).

Het soort actie van Blizzard kan ik moeilijk zien als zo’n uitzonderingsgrond. Tenzij je zegt, die app is bedoeld om bij te houden wat we wettelijk eigenlijk al moesten als werkgever, en die statistieken ten behoeve van kuchkuch excellentie zijn geen persoonsgegevens. Ik zie alleen dat er een héleboel gegevens worden verzameld (“… lopen uiteen van de status van lichaamsfuncties, medicijngebruik, gemoedstoestand, tot aan de geslachtsdrift”) en kan dat niet goed rijmen met de wettelijke taak als werkgever.

Maar er wordt uitdrukkelijk vrijwillig toestemming gevraagd, staat in het artikel. Dan zou het oké moeten zijn, want “uitdrukkelijke toestemming voor welbepaalde doelen” heft ook het verbod op. Dan kom je ‘gewoon’ uit bij een onderzoek onder zwangere vrouwen die voor een leuke cadeaukaart vrijwillig gegevens geven over hoe het met ze gaat, waar me an sich niets mis mee lijkt.

Alleen krijg je dan de complicatie omdat het hier gaat om werknemers. Die kunnen eigenlijk geen toestemming geven, omdat ze in een afhankelijkheidsrelatie zitten naar de werkgever toe. Of dat nu is dat ze een nieuw contract willen, een loonsverhoging of alleen maar hun baan op dezelfde manier terug na het ouderschapsverlof, doet er niet eens toe. Er zal altijd iets van een gevoel van dwang zijn, waardoor je als werknemer niet vrijwillig kunt beslissen.

Heel misschien dat het kan omdat het énkel gaat om statistieken. Dat kun je denk ik wel vrijwillig vragen, wil je meedoen aan dit onderzoek. Als je dan ook borgt dat je niet hoort wie er meedoet, dan zie ik wel weer vrijwilligheid ontstaan. Alleen, de werkgever weet het hier wél (je krijgt immers die cadeaubon) en deel van de inzet van de data is ook verbetering van het bedrijf. Dan voelt het ergens toch als een soort moetje, en dat zou tegen de AVG zijn.

Arnoud

Curatoren verkopen geregeld klantgegevens zonder toestemming na faillissement

Geplaatst op in Privacy, 19 reacties

Curatoren verkopen na bedrijfsfaillissementen geregeld klantgegevens door, waaronder die van failliete webwinkels. Dat meldde Tweakers woensdag. Zij baseren zich op onderzoek van De Groene Amsterdammer en onderzoeksplatform Investico. Zij bekeken verschillende faillissementen en de dataverkoop die daarmee gemoeid ging. Zo’n dataverkoop mag niet, en wie zegt van wel -of dat het ingewikkeld is- die heeft het keihard fout. Ik ergerde me dan ook rot aan het bericht. Ik wil best geloven dat niet iedere curator even diep in de AVG zit, maar de partijen die die data kopen die moeten gewoon weten dat ze privacyheling plegen.

Curatoren moeten natuurlijk de failliete boedel te gelde maken, en ik zie heus wel dat er geld te verdienen is met een lijst klantgegevens of relaties. Er zijn altijd partijen die daar geld voor geven. Deze praktijk speelt dan ook al vele jaren. Het belang van zo’n bestand was tien jaar terug niet zo heel erg groot, en je merkte er niet altijd wat van als je gegevens werden doorverkocht. Maar vandaag de dag is dat wel anders.

Onder de AVG zijn de regels vrij simpel: zowel de kopende als de verkopende partij moet een eigen grondslag hebben om dit te mogen doen. Dat je iets van een curator koopt, betekent nog niet dat je er wat mee mag doen. En als je er niks mee mag doen, dan mag je die gegevens niet hebben. Dataminimalisatie, verwijderplicht.

“Het belang van de boedel gaat gewoon voor”, zegt een curator dan. Zou hij dat ook zeggen bij een partij asbest of Viagra-pillen die hij in de boedel aantreft? Ik kan me het niet voorstellen. Ja, ik weet dat de AVG erg ingewikkeld kan zijn, maar denk dan cynisch wel altijd “vooral voor mensen die er baat bij hebben dat ze het niet begrijpen”. Want je voelt op je klompen aan dat databestanden met klantgegevens niet bedoeld zijn voor derden om reclame op te doen. Dus dan mag het niet.

Oké, het hielp niet dat de AP eind 2017 op haar website expliciet vermeldde dat curatoren wel die gegevens mogen verkopen. Maar die zin is snel weer weggehaald, en terecht. Ik blijf cynisch: tot 2017 was het dus heel onduidelijk hoe de wet werkte, ondanks dat de AP op diverse manieren aangaf dat het niet mocht. En in 2017 was het dan ineens wél duidelijk dat het mocht omdat de AP het zei, en nu de AP weer zegt dat het niet mag is het heel onduidelijk en dus blijven we het maar doen. Ik kan daar met mijn eenvoudige juristenpet niet bij.

Arnoud