Een dag van tevoren een verborgen camera in de vergaderzaal hangen is geen goed idee

Man man man. Als school stiekem gesprekken opnemen met je inspectie en dat doen met een camera (met microfoon) die je een dag van tevoren ophangt in de vergaderzaal die men net uitgekozen had om daar vertrouwelijk overleg te voeren. Wat was je denkende, heet dat in internetjargon. En nee, dat je als professionele onderzoeksorganisatie op bezoek bij een te onderzoeken school moet weten of zou hebben moeten weten dat zoiets kon gebeuren, is natuurlijk volstrekte lariekoek als verdediging. Waarom dit naar de Hoge Raad moest, ontgaat me, maar goed: de HR heeft bepaald dat dit inderdaad “wederrechtelijk opnemen” van die gesprekken was.

Het ging in deze zaak om de Europort Business School (EPBS) in Rotterdam. Door de Nederlands-Vlaamse Accreditatie Organisatie (NVAO) was een visitatiepanel opgericht om onderzoek te verrichten op de EPBS. Deze kwam onderzoek doen, inclusief interviews met een aantal betrokkenen, en had gevraagd om een eigen ruimte om daar in vertrouwen tussentijds overleg te willen voeren. Die ruimte was er ook gekomen, maar om mij onduidelijke redenen werd de dag van tevoren een beveiligingscamera met geluidsopnamemogelijkheid verplaatst naar die ruimte. Op de dag zelf had niemand de NVAO mensen erop gewezen dat die camera er ineens hing (de dag er voor was deze gekozen en bekeken).

Het is strafbaar om opzettelijk en wederrechtelijk met een technisch hulpmiddel een vertrouwelijk gesprek op te nemen waar je geen deelnemer aan bent (art. 139a Wetboek van Strafrecht). Het maakt daarbij niet uit hoe hard de opnameapparatuur verstopt is.

Er is wel een uitzondering voor eigenaren die hun panden willen beveiligen en dergelijke:

2° behoudens in geval van kennelijk misbruik, met een technisch hulpmiddel dat op gezag van degene bij wie de woning, het lokaal of het erf in gebruik is, niet heimelijk aanwezig is;

Van een beveiligingscamera kun je zeggen dat deze er niet heimelijk hangt, over het algemeen zijn deze zichtbaar als je even rondkijkt. Echter, als je ná de inspectie van de ruimte gauw zo’n camera ophangt zonder overleg of melden, dan komt dat anders te liggen. Daar hoef je dan als bezoekende organisatie niet op verdacht te zijn. Daarmee is de camera dan toch ‘heimelijk’ geworden.

Ook had de verdachte nog gesteld dat

de leden van de Nederlands-Vlaamse Accreditatie Organisatie (NVAO) wisten, althans hadden moeten beseffen, dat hun gedragingen audiovisueel vastgelegd konden worden. Zij hebben daarover geen opmerkingen gemaakt of vragen gesteld, zodat zij moeten worden geacht daarmee te hebben ingestemd.

Dat argument gaat terecht linea recta naar de prullenbak. Voor instemming is meer nodig dan enkel dat je had moeten weten dat er camera’s konden zijn.

Het doel van een en ander blijft onduidelijk. De directeur lijkt van niets te hebben geweten; toen hij de opname kreeg, heeft hij dit meteen gemeld bij de organisatie en hij heeft medewerking verleend aan het onderzoek. Het lijkt een proactieve actie van een medewerker te zijn geweest, al kan ik uit het arrest niet halen waarom hij dacht dat dit een goed idee was. En dat was het dus niet.

Arnoud

VSCO klaagt concurrent PicsArt aan voor nagemaakte fotofilters

De fotobewerkingsapp VSCO heeft een rechtszaak aangespannen tegen concurrent PicsArt, las ik bij Nu.nl. De dienst PicsArt zou negentien filters van VSCO hebben gekopieerd na te hebben ingelogd bij de concurrent, om zo te leren hoe die filters werken. Vervolgens werden de filters aangeprezen als uniek en speciaal voor Picsart ontwikkeld. Dat roept natuurlijk de vraag op “mag dat”, en dan meer in het bijzonder omdat je je kunt afvragen of er überhaupt wel auteursrecht op een fotofilter rust. Maar VSCO heeft twee andere argumenten in stelling: schending van de gebruiksvoorwaarden, en vooral intrigerend: oneerlijke concurrentie.

De term ‘filter’ is in de online fotografie een zeer brede term, maar zo te lezen gaat het om automatische filters om je foto’s op een bepaalde manier mooier te maken. Bijvoorbeeld een combinatie van kleurbijstellingen, ander contrast of toegevoegde ruis. Een goed filter kan een foto zeer aantrekkelijk maken, reden dus om dat als je “intellectueel eigendom” te zien zoals veel bedrijven dat zeggen. Maar juridisch bestaat dat niet – je moet laten zien dat je een auteursrecht hebt, en dat vergt een intellectuele prestatie in het verzinnen van die instellingen. Ik vraag me af of je dat argument rond krijgt met een filter.

VSCO heeft een slim argument gevonden met die gebruiksvoorwaarden. Als werknemers van PicsArt een account bij ze hebben gemaakt om rond te kijken hoe die filters werken (op welke waarde staat het contrast, en kun je ook met de verzadiging spelen) dan zijn ze daarbij namens de werkgever – PicsArt dus – akkoord gegaan met de gebruiksvoorwaarden. En daarin staat natuurlijk dat je

agree not to sell, license, rent, modify, distribute, copy, reproduce, transmit, publicly display, publicly perform, publish, adapt, edit or create derivative works from any VSCO Content.

Waarbij die term ‘content’ dan zo breed is dat ook de filters eronder vallen. En ja dat kan, contractueel toezeggen iets niet te doen dat zonder contract compleet legaal is. (Behalve op Koningsdag.) Dus dat kan nog interessant worden.

Nog slimmer vond ik het argument van de oneerlijke concurrentie: die nagemaakte filters werden aangeprezen als “exclusive” en “only for [PicsArt] Gold users.” Die termen gaan natuurlijk niet op als de filters exact hetzelfde bij de concurrent aanwezig zijn. Wij zouden dat een oneerlijke handelsprestatie noemen, met een onjuiste mededeling jezelf mooier maken ten koste van je concurrent. Dat zouden meer bedrijven eens moeten doen.

Arnoud

Wat gaat voor, de AVG of een bewaarplicht?

Een lezer vroeg me:

Onlangs vroeg ik aan mijn (ex)apotheek of het mogelijk is om mijn medisch dossier te laten vernietigen, dit op grond van de AVG en de Wgbo. Echter, men weigert omdat de Zorgverzekeringswet bepaalt dat een zorgaanbieder verplicht is om een medisch dossier tot 5 jaar na het stoppen van de behandeling te bewaren om eventuele audits door zorgverzekeraars mogelijk te maken. Maar klopt dat wel? Wat heb ik dan aan mijn recht van verwijdering?

Er zijn ontzettend veel misverstanden over het recht van wissing van persoonsgegevens — ook wel eens het vergeetrecht genoemd. Het belangrijkste is dat het een absoluut recht zou zijn, een recht dat je altijd kunt inroepen.

De AVG noemt diverse situaties waarin je het vergeetrecht kunt inroepen, maar eigenlijk komen ze allemaal neer op het geval dat er eigenlijk überhaupt geen reden meer is om die gegevens te gebruiken. Toestemming is ingetrokken, gegevens zijn niet meer nodig, er was eigenlijk nooit een grondslag, en ga zo maar door.

Wanneer gegevens nog actueel zijn, is een recht op vergetelheid dus helemaal niet aan de orde. Je kunt een bedrijfsproces niet doorkruisen met een beroep op je vergeetrecht, tenzij je kunt hardmaken dat die gegevens helemaal niet meer nodig zijn. En dat valt niet mee als er een wettelijke plicht tot bewaren is.

Bij de Wgbo geldt ongeveer hetzelfde. Weliswaar heb je volgens artikel 7:455 BW het recht om vernietiging te verlangen van je dossier, maar daar staat een uitzondering bij:

Lid 1 geldt niet voor zover het verzoek bescheiden betreft waarvan redelijkerwijs aannemelijk is dat de bewaring van aanmerkelijk belang is voor een ander dan de patiënt, alsmede voor zover het bepaalde bij of krachtens de wet zich tegen vernietiging verzet.

En dat laatste is waar het hier om gaat: er is een andere wet die eist dat de gegevens worden bewaard. Allereerst is dat artikel 7:454 lid 3 BW dat vijftien jaar bewaarplicht voorschrijft, en daarnaast de Zorgverzekeringswet die inderdaad tot 5 jaar na einde behandeling bewaren van dossier verlangt.

De conclusie is dus eenvoudig: als er een wet is die bewaren eist, dan gaat dat eigenlijk altijd boven het vergeetrecht uit de AVG.

Arnoud

Goedendag, wij komen even een advertentiebalk op uw dikke 4K televisie plakken

Google is een proefprogramma begonnen waarbij ‘geselecteerde’ gebruikers van Android televisies een niet te verwijderen balk met advertenties op het home screen te zien krijgen, las ik bij Ars Technica. Trigger alert: “Android TV is committed to optimizing and personalizing the entertainment experience at home. As we explore new opportunities to engage the user community, we’re running a pilot program to surface sponsored content on the Android TV home screen.” In duidelijke taal: dag, wij komen even een advertentiebalk op uw Android televisie plakken en die mag niet weg, ook niet als u een paar duizend euro voor het ding betaalde. Welkom in de informatiemaatschappij.

Met diverse trucjes is de balk in ieder geval tijdelijk te onderdrukken, maar hoe lang dat blijft werken is natuurlijk de vraag. Het maakt dan ook vele mensen boos, met name zij die dachten een hele dure televisie te hebben gekocht die doet wat zij verwachtten, en die nu erachter komen dat die apparaten doen wat Google wil.

Mag dat zo maar? Dat is echt een problematische vraag. In de klassieke wereld waar je apparaten koopt, zou je denk ik er vrij snel uit zijn dat hier iets misgegaan is als de televisie ineens andere dingen toont dan je mocht verwachten. Dat noemen we dan nonconformiteit en het is een reden om herstel of vervanging te eisen, en bij gebreke daarvan je geld terug te krijgen.

Bij een apparaat zoals een Android TV vind ik dat dat toch wat anders ligt. Je koopt dan niet alleen een stuk hardware met een groot scherm, maar nadrukkelijk óók de dienstverlening die mogelijk wordt door Google’s besturingssysteem met bijbehorende apps en mogelijkheden. Je weet dat die kan veranderen, het is immers algemeen bekend dat zulke software van tijd tot tijd wordt geupgrade en dan anders kan werken. Vaak ten goede – ik ben blij met mijn telefoon z’n upgrade naar Android 8.1 – maar soms op een verrassende of kwalijke manier, zoals hier.

Het is buitengewoon ergerlijk maar ik vind het echt te ver gaan om te zeggen dat de televisie nonconform wordt omdat een OS upgrade iets ongewenst toevoegt. Het apparaat deed en doet hetzelfde.

Of moet je heel rigoreus zijn en zeggen: iedere update die de functionaliteit wijzigt (ten goede of ten kwade) maakt het apparaat nonconform, want niet meer zoals gemeld op de doos?

Arnoud

Europese Commissie berispt gamewinkel Steam voor ‘geoblocking’

De Europese Commissie heeft Valve, de maker van gamewinkel Steam, en vijf uitgevers van games op de vingers getikt voor het zogenoemde ‘geoblocking’. Dat meldde Nu.nl vorige week. Deze activiteit is in strijd met de mededingingsregels in de Europese Unie. Steam en de uitgevers hanteerden regiogebonden activatiesleutels voor games, waarbij de prijzen per regio voor dezelfde sleutel konden verschillen. Zo kon je dus niet elders in Europa shoppen voor een goedkopere licentie. Tevens bleken er afspraken te zijn voor een marktverdeling binnen de EU, wat een harde no-no is in de EU.

Sinds december 2018 geldt de Geoblockingverordening in de EU. Deze kent strenge regels tegen onderscheid maken op geografische afkomst. Dat gaat primair over verkoop op afstand – een Belgische webshop die Spaanse klanten weert of Duitsers hogere prijzen rekent – maar óók over dienstverlening op afstand. En een game zoals via Steam geleverd valt nu eenmaal onder het regime van dienstverlening.

Hoofdregel uit de Verordening is dat je géén onderscheid mag maken op basis van nationaliteit, verblijfplaats of plaats van vestiging van de klant. De enige echte uitzondering betreft situaties waarin een wettelijke regel (je mag bepaalde dingen niet verkopen in Duitsland, of een auteursrecht verbiedt jou te leveren naar Frankrijk) anders bepaalt. Dat is hier niet aan de orde met Steam, die spellen zijn allemaal gewoon in de hele EU legaal speelbaar en moeten dus vanuit de hele EU kunnen worden gekocht tegen dezelfde voorwaarden – althans, dezelfde in het kader van nationaliteit of afkomst. (Studentenkortingen mogen dus nog steeds, bijvoorbeeld.)

De overtreding zou hem zitten in deze handeling:

Valve and the five PC video game publishers agreed, in breach of EU antitrust rules, to use geo-blocked activation keys to prevent cross-border sales, including in response to unsolicited consumer requests (so-called “passive sales”) of PC video games from several Member States (i.e. Czechia, Estonia, Hungary, Latvia, Lithuania, Poland, Slovakia, and in some cases Romania). This may have prevented consumers from buying cheaper games available in other Member States.

In de kern komt dit erop neer dat Valve (de beheerder van de dienst Steam) andere activatiesleutels voor games uitgeeft afhankelijk van de locatie van de koper. Die kunnen dan niet aan andere landen worden doorverkocht, of vanuit andere landen worden gekocht. Zo ontstaat een mogelijkheid voor prijsdiscriminatie op basis van locatie, en dat is dus in strijd met deze verordening.

Een complicatie daarbij is nog wel dat de Verordening niet echt geschreven is voor streaming content en downloads, zoals games. Daarmee is het twijfelachtig of je rechtstreeks deze Verordening in kunt roepen bij online gameverkoop. De Commissie houdt dan ook een slag om de arm, en gooit het enerzijds op geoblocking en anderzijds op een ‘gewone’ overtreding van artikel 101 (voor oudgediende juristen: artikel 81) EU Verdrag, het verbod om marktverpestende afspraken te maken.

De bedrijven mogen zich nu verweren tegen de Commissie. En uiteindelijk kan (en, naar ik hoop, zal) de boel naar het Hof van Justitie gaan dat hier een definitieve uitspraak over kan doen.

Arnoud

Is het legaal in je licentie barre arbeidsomstandigheden te verbieden?

Een nieuw fenomeen in licentieland: de Anti 996 licentie, een variant op de opensource BSD licentie die een unieke beperking kent. De licentienemer (gebruiker van de software) mag in zijn bedrijf geen onwettige arbeidsomstandigheden toelaten. De term “996” komt uit een Chinese praktijk- van 9 tot 9 werken, 6 dagen per week – dat leidde tot een protestbeweging om arbeidsomstandigheden te verlichten. Leuke inhaker dus, wie deze software gebruikt moet zijn personeel betere arbeidsvoorwaarden geven of in ieder geval gewoon de wet naleven. Een loffelijk initiatief, maar mag dat eigenlijk wel in een opensourcelicentie?

De bepaling is simpel en effectief geformuleerd:

The [licensee] must strictly comply with all applicable laws, regulations, rules and standards of the jurisdiction relating to labor and employment where the individual is physically located or where the individual was born or naturalized; or where the legal entity is registered or is operating (whichever is stricter). In case that the jurisdiction has no such laws, regulations, rules and standards or its laws, regulations, rules and standards are unenforceable, the individual or the legal entity are required to comply with Core International Labor Standards.

De ILO dient daarbij als minimumstandaard. Deze standaard verbiedt onder meer kinderarbeid en eist dat men zich mag verenigen in vakbonden, om eens twee controversiële onderwerpen te noemen.

Papier is geduldig, dus als jij deze eis in je licentievoorwaarden wilt opnemen en je wederpartij wil dit accepteren dan is dat juridisch verder helemaal prima. De praktijk kent dit al – grotere organisaties nemen vaak in hun inkoopvoorwaarden ook eisen op omtrent maatschappelijk verantwoord ondernemen, garanties tegen kinderarbeid en afspraken over groen ondernemen.

Specifiek bij open source is het echter iets spannender. De definitie van “open source” zoals gepubliceerd door het OSI verbiedt namelijk dat opensourcelicenties onderscheid maken naar “field of endeavour”. Dat is primair bedoeld tegen zaken als commercieel gebruik verbieden of eisen dat de software niet voor massavernietigingswapens wordt ingezet. Maar je zou in theorie ook kunnen zeggen dat deze bepaling dus gebruik in sweatshops verbiedt of discrimineert tegen ondernemingen met inzet van kinderarbeid. Daarmee zou de clausule dus tegen de open source definitie zijn.

Omdat de licentie zich nadrukkelijk beperkt tot het conformeren aan de toepasselijke lokale wetgeving, heb ik daar wel wat twijfels bij. Het onderliggende argument is dan namelijk dat je niet mag discrimineren op grond van iets dat de wet overtreedt. Ik zou het nogal onredelijk vinden als dat niet mag. Ik weet dat al langer geldt dat je “not to be used for Evil” niet mag zeggen, maar ethisch kwaad vind ik wezenlijk wat anders dan wettelijk verboden. Een verboden handeling mag niet. Een kwade handeling hoort niet, maar mag wel.

Arnoud

Mag een voortgezetonderwijsschool anno 2019 een telefoon in beslag nemen?

Een lezer vroeg me:

Op mijn school (ik zit in 3 havo) geldt de regel dat je telefoon in beslag wordt genomen als je deze tijdens de les niet in je kluis of in de telefoonzak naast de deur zit. Dus ook als hij stil in je broekzak zit en je er niets mee doet. Je bent hem dan tot de eerstvolgende werkdag kwijt. Ik was mijn telefoon dus in mijn broekzak vergeten afgelopen vrijdag, en kreeg hem daarom pas maandag weer terug. Kan dat zo maar, mag de school die regel stellen?

Een school is bevoegd om sancties op te leggen om de goede gang van zaken op de school te bewaren. Zij mag zelf bepalen wat die sancties zijn, zolang ze maar redelijk en proportioneel zijn. Het bij de les weren van mobiele telefoons lijkt me zeker proportioneel, omdat er genoeg onderzoek is dat laat zien dat smartphones lessen en samenwerking op school kunnen verstoren.

Lastiger wordt het bij de vraag hoe ver je mag gaan met de sanctie: geef maar hier die telefoon, je krijgt hem X weer terug. Wat is X? De lichtste vorm is “aan het einde van de les”, maar dat is geen straf. De telefoon bij je houden onder de les mocht immers toch al niet. Einde dag is dan ook een veelgekozen waarde, en als je dan tijdens het eerste uur je telefoon vergeet dan heb je ook in de lunchpauze dus geen telefoon.

Deze school gaat nog wat verder: de telefoon blijft een nachtje, of zelfs meerdere nachten wanneer er een weekend (al dan niet met Tweede Paasdag erachter) tussen zit. Daar heb ik meer moeite mee, omdat het wel érg zwaar voelt in het licht van de ordeverstoring waar het om gaat. Je laat de leerling voor datzelfde feit ook geen vier dagen nablijven, zegt mijn onderwijsrechtsgevoel.

Ik heb hier eerder over geblogd (in 2012 met name) maar sindsdien geen nieuwe uitspraken van rechtbank of geschillencommissies meer gevonden. Daarom blijf ik het lastig vinden. Ik zie in de discussie vaak ook dingen langskomen als “het is juist goed om eens zonder telefoon te lopen een weekend”, waar ik dan jeuk van krijg want daar gáát deze straf niet over. En volgens mij is een telefoon anno 2019 wel iets belangrijker dan in 1993 toen deze opmerkingmaker zelf naar school ging. Maar dat terzijde.

Oh ja, en nog een praktisch punt: “in beslag nemen” betekent natuurlijk niet “met fysieke dwang uit de hand wrikken”. Daartoe is een docent niet bevoegd. De docent kan eisen dat het toestel wordt afgegeven op straffe van schorsing van de leerling (art. 13 Inrichtingsbesluit W.V.O.), maar hij mag daar geen geweld bij gebruiken. Wie de telefoon blijft vasthouden, wordt dan geschorst. Met telefoon in de hand, dat wel.

Arnoud

Verklap je iets over Koningsdag in Amersfoort? 25.000 euro boete

Mensen die op wat voor manier dan ook betrokken zijn bij de voorbereiding van Koningsdag hebben van de gemeente moeten tekenen voor geheimhouding. Als ze toch iets vertellen over de voorbereidingen, kan dat een boete opleveren van 25.000 euro. Dat las ik en als contractsjurist viel ik van mijn stoel. Zo’n dwangsom mag helemaal niet, zegt een hoogleraar bestuursrecht tegen RTL Nieuws. Nee, en ik zeg erbij dat de clausule sowieso juridisch ongeldig is. Maar het meest bizarre is nog dat de gemeente dit gewoon in een contract zet en mensen dat laat tekenen.

De koninklijke familie komt dit jaar naar Amersfoort, en de gemeente maakt zich kennelijk zorgen dat ambtenaren en vrijwilligers details gaan lekken over wat er gaat gebeuren. Dat kan ik me tot op zekere hoogte voorstellen, dat je de route geheim wilt houden bijvoorbeeld vind ik normaal gezien de veiligheidssituatie. Maar dat wordt – per NDA – dus ook opgelegd aan de ouders van kinderen die een dansvoorstelling gaan doen, want stel dat die zeggen dat het half vier begint dan heb je dus een tipje over de route onthuld.

De NDA is kort en to the point:

Schending van de geheimhoudingsplicht kan aanzienlijke schade toebrengen aan de gemeente Amersfoort. Indien u handelt in strijd met het bepaalde in deze verklaring kan de gemeente Amersfoort zonder dat enige sommatie of ingebrekestelling vereist is, per overtreding een onmiddellijk opeisbare en niet voor matiging of compensatie vatbare boete van € 25.000 (zeggen: vijfentwintig duizend euro) verbeuren.

Hoogleraar Staats- en Bestuursrecht Wim Voermans (Leiden) vindt dit een onzinnige route: bij vrijwel alle informatie waar geheimhouding zinnig voor is, geldt gewoon al het Wetboek van Strafrecht en de Algemene wet bestuursrecht. Die bepalen wanneer informatie vertrouwelijk is (niet perse staatsgeheim, dat is weer een trapje hoger) die je bij uitvoering van overheidstaken of -werkzaamheden onder ogen krijgt. En vooral: die bepalen welke straf daarop staat en hoe dit moet worden bewezen.

Deze NDA clausule doorkruist dat hele proces, wij zien een overtreding pats mogen we even 25 duizend van u vangen? Op die manier omzeil je dus alle strafrechtelijke en bestuursrechtelijke waarborgen, en dat is niet hoe het recht in elkaar steekt. Daarmee is deze contractuele bepaling dus nietig (art. 3:40 BW, de openbare orde).

Ik kan even geen Buzzfeed-kop bedenken (Ook dure gemeentejuristen maken deze contractenblunder?) maar de clausule is ook inhoudelijk fout. Dit gebeurt vaak: men wil de zin “u verbeurt een boete” nog net even wat agressiever laten klinken, en dan krijg je “zonder dat enige sommatie of ingebrekestelling vereist is”, “onmiddellijk opeisbare” en “niet voor matiging of compensatie vatbare boete”.

En het is die laatste die de clausule ongeldig maakt. In de wet rond contractuele boetes staat namelijk (art. 6:94 BW) dat de rechter een opgelegde boete kan matigen indien de billijkheid dit klaarblijkelijk eist. Met die frase “niet voor matiging vatbaar” probeert men dus deze bevoegdheid buiten werking te stellen. En dat mag niet: van lid 1 afwijkende bedingen zijn nietig, zo staat in lid 3. Een boete die zó hard wil blaffen, mag je niet afspreken.

Copypastejuristerij, ongetwijfeld. Maar wat mij betreft minstens zo raar als de staatsrechtelijke botsing.

Arnoud

Mag je als sociale bezorgdienst een ID verlangen van klanten?

Een lezer (hoi Wim) wees me op sociale bezorgdienst Homerr dat zichzelf als de “toekomst van pakketbezorging” afficheert. Kern van het concept is dat iedereen, zowel particulier als bedrijf, zich kan aanmelden als pakketontvanger binnen zelfgekozen tijden. Je krijgt dan pakketjes van de logistieke dienst, waarna de werkelijke ontvangers -die in jouw buurt wonen natuurlijk- deze dan kunnen afhalen. En per pakketje krijg je betaald. Daarbij moeten die mensen zich identificeren, wat natuurlijk vragen oproept omtrent privacywetgeving. Mag dat eigenlijk wel, als pakketdienst eisen dat je een ID te zien krijgt? Of dat je daar een kopie van maakt?

Het concept is op zich best slim. Lang niet iedereen kan de hele dag thuis zijn, maar af en toe thuis zijn en dan een pakketje aannemen – tegen betaling, overigens – is voor veel mensen wel te doen. Omgekeerd heb je als webwinkelshopper zo ineens veel meer ruimte om een pakketje ergens te laten bezorgen dat op loopafstand is en open is wanneer jij daar tijd voor hebt, wat zeker in een buitenwijk erg fijn kan zijn.

Natuurlijk wil je niet dat mensen pakketjes aan de verkeerde meegeven. Ik zie dan ook geen bezwaar tegen het verlangen van het tonen van een identiteitsbewijs zodat de pakketontvanger naam en foto kan vergelijken met de persoon voor hem, en met het pakketje. Ik zou AVG-technisch dat gewoon een logische invulling noemen van de grondslag “uitvoering overeenkomst”.

Kopietjes maken van die identiteitsbewijzen ligt natuurlijk anders. Dan kom je in een mijnenveld terecht: er staan allerlei gegevens op die jij als pakketjesuitleveraar helemaal niet nodig hebt, zoals een pasfoto of een burgerservicenummer. Of een geboortedatum. Of een woonplaats. Of een, ja noem maar op. Want eigenlijk is de vraag algemener: waarom máák je überhaupt dat kopietje, wat wil je daarmee doen?

De enige reden die ik kan bedenken (naast de beperkte en niet niet van toepassing zijnde wettelijke plichten over kopietjes bewaren) is dat je bewijs wilt bewaren dat je het identiteitsbewijs hebt gezien. Een kopie van iets hebben bewijst immers onomstotelijk dat je het origineel hebt gezien.

Maar is het nódig? Als jij een proces hebt waarbij je identiteitsbewijzen ziet en daarna het nummer noteert, dan lijkt me dat bewijstechnisch prima in orde. Dat is ook de procedure die Homerr hanteert overigens. Prima in orde dus, wat mij betreft.

Zullen we gewoon afspreken dat we stoppen met kopietjes van identiteitsbewijzen maken? Gewoon, iedereen (behalve werkgevers en banken/verzekeraars want die moeten het). Dus ook hotels, autoverhuurders en anderen wiens werkprocessen dit voorschrijven of die denken dat een ISO-gedocumenteerd proces met deze stap erin het een wettelijke plicht maken?

Arnoud

Hoe lang mag je je zakelijke e-mail bewaren onder de AVG?

Een lezer vroeg me:

Je leest natuurlijk veel over bewaartermijnen onder de AVG. Sommige kun je gewoon opzoeken, zoals de bewaartermijnen van facturen, maar bij andere dingen is dat lastiger. Met name bij e-mail kom ik er niet uit: hoe lang mag je die nu bewaren?

De AVG stelt als een van haar beginselen dat je persoonsgegevens niet langer mag bewaren dan nodig voor het doel waarvoor je ze inzet. Er is dus eigenlijk geen bewaarplicht maar een vernietigplicht-tenzij. Motiveer maar waarom deze mail nog niet door de shredder is, anders mag ie per direct alsnog weg.

De vraag hoe lang je een bepaalde soort persoonsgegevens nodig hebt, is niet in algemene zin te beantwoorden. Al helemaal niet bij mail. Sommige mails kunnen eigenlijk direct weg (“wat was je 06 ook weer”), andere mails wil je langer bewaren (“top werk dit, niets op aan te merken”) en weer andere mails móet je bewaren (“hierbij ga ik akkoord met uw offerte”).

Ik durf de stelling dan ook wel aan dat wie het heeft over “bewaartermijnen van e-mail” zijn zaakjes niet goed op orde heeft. E-mail is geen aparte categorie verwerkingen, het is een middel om persoonsgegevens te transporteren. Daar boven onderscheid je pas die categorieën: kattebelletjes, memo’s, informatieve berichten, formele dossiercorrespondentie, rechtshandelingen, verzin ze maar. En voor díe categorieën kun je bewaartermijnen (oké, wistermijnen) vaststellen.

Het ingewikkelde is denk ik vooral dat de meeste mensen dat onderscheid in soorten mails niet maken. E-mail is je inbox, en wie ouderwets is heeft er nog mapjes onder zitten. En daar zitten de offertes, aansprakelijkheidsstellingen, complimentjes en gebabbel gewoon gezellig naast elkaar. Vanuit dat perspectief wil je alle mails dus als één categorie behandelen natuurlijk. Maar ik denk dat dat niet kan.

Vanuit AVG oogpunt is het denk ik onvermijdelijk om voor zakelijke mails over te stappen naar een CRM systeem, waarbij je mails koppelt aan categorieën. Offerte, aanvaarding, factuur, dispuut, en ga zo maar door. Voor die categorieën kun je dan bewaartermijnen bepalen.

De enige uitweg die ik kan bedenken, is dat je een relatief korte bewaartermijn kiest die voor alle soorten mails die je hebt, redelijk is. Dan zeg je, voor het werkproces e-mail geldt een bewaartermijn van zeg zes maanden omdat we zo operationeel nu eenmaal werken en dit niet anders kan zonder enorme kosten. Het is te ingewikkeld voor ons om dan per klant of per mail terug te gaan en dingen te wissen. Daarom wissen we álle mail na zes maanden, en echt belangrijke zaken bewaren we geselecteerd in een apart klantdossier of archief.

Wie denkt dat hij met meer dan zes maanden wegkomt, ik hoor het graag.

Arnoud