Overheidssites scheppen verwarring met cookies van Google Analytics

Geplaatst op in Privacy, 19 reacties

Maar liefst 20 procent van alle sites van de rijksoverheid maakt gebruik van de analysesoftware van Google, las ik in de Volkskrant. Alex Bik van zakelijke internetprovider BIT onderzocht de bijna 1.200 websites van de Rijksoverheid op het gebruik van Google Analytics, de software van Google waarmee sitebeheerders het bezoek aan hun sites kunnen analyseren, en vond dat 236 sites deze dienst inzet. Dat is opmerkelijk, omdat er genoeg privacyvriendelijke alternatieven zijn die zelfs door de overheid worden gepromoot. Maar is het verboden?

In de kern komt de zorg van Bik erop neer dat er áltijd data naar Google gaat als je hun Analytics-dienst inzet, en dat is raar als het gaat om overheidswebsites. Als ik als burger de Nederlandse overheid bezoek, hoort niets van mijn bezoek bij een commerciële Amerikaanse partij terecht te komen, zou je zeggen.

Natuurlijk mag de overheid best meten hoe hun sites worden gebruikt, zodat ze deze kunnen verbeteren of leren waar mensen tegenaan lopen. Maar daarvoor is het hele geweld van Google Analytics niet nodig, er zijn genoeg alternatieven. Er is zelfs een standaard platform gebouwd dat met het vriendelijker, first-party analytics systeem Piwik werkt. Maar dat wordt slechts zeer beperkt ingezet, mede vanwege de wildgroei aan webbouwers die voor de overheid aan de slag is gegaan.

In theorie kan het best legaal zijn, ook wanneer de website geen toestemming vraagt voor de Analytics-cookies. Wanneer je als dienstverlener Analytics privacyvriendelijk configureert, voldoe je aan de richtlijnen van de Autoriteit Persoonsgegevens (en de uitzondering uit de cookiewet) en wordt je Analytics als “geen of geringe inbreuk op de privacy” aangemerkt. In dat geval is geen toestemming nodig – en is, althans op papier, Google niet toegestaan om die gegevens verder te gebruiken.

Het is precies dat “althans op papier” waar Bik terecht bezwaar tegen maakt. Want hoe zien wij dat? Er is bijvoorbeeld een vinkje in het Google Analytics dashboard nodig dat bepaalt dat data niet met andere Google diensten mag worden gedeeld. Van buitenaf is het onmogelijk om na te gaan of dat vinkje is gezet. Je moet de opsteller van de privacyverklaring maar geloven dat dit werkelijk zo doorgevoerd is. Ik vind dat best wel een grote stap, zeker bij een overheidsdienst.

Arnoud

Mag een appartementenbeheerder wel of niet mailadressen van bewoners aan de VVE geven?

Geplaatst op in Privacy, 26 reacties

Op Tweakers las ik:

Als bestuur van de VVE willen wij graag onze leden informeren. Hiervoor hebben we een Facebook pagina en diverse mededelingenborden in het complex. … Onze beheerder heeft alle emailadressen van onze leden in beheer. Allemaal via expliciet akkoord van ieder lid. So far so good. We hebben aan onze beheerder gevraagd of wij als bestuur die lijst ook kunnen gebruiken om onze leden te informeren. Beheerder says no. Want AVG.

Het doet inderdaad wat raar aan dat een beheerder -aangesteld door de VVE- beschikt over persoonsgegevens, en die dan niet zou mogen verstrekken aan de VVE zelf op grond van de privacywet. Maar ik zie zulke dingen vaak gebeuren, en er zitten meestal twee punten van onduidelijkheid in: (1) wie is ‘eigenaar’ van de gegevens en (2) wie heeft welke grondslag (en hoe ver strekt dat).

Wat eigendom betreft, dat is eigenlijk een foute term. Op data kan helemaal geen eigendom rusten. Je kunt die route dus niet gebruiken om te bepalen of iemand wel of niet iets mag doen. Werken met persoonsgegevens mag alleen als er een grondslag is, zoals toestemming of een wettelijke plicht.

Soms wordt de term ‘eigenaarschap’ gebruikt om te verwijzen naar de discussie over verantwoordelijke- en verwerkerschap. De verantwoordelijke is dan de ‘eigenaar’ van de gegevens, en de verwerker een uitvoerende partij. Door te communiceren dat die verwerker “geen eigenaar” is, onderstreep je die gezagsrelatie.

Ik zou in de meeste gevallen geneigd zijn die beheerder als verwerker aan te merken. Hij krijgt gegevens over de eigenaren/bewoners via de VVE met als doel het praktisch beheer van het appartementencomplex uit te voeren. De leden van de VVE informeren hoort daar bij, en dat dat met toestemming gebeurt is al helemaal netjes. Maar ik zie beheer van het complex als een taak van de VVE, en dus de VVE formeel als beslisser over hoe die taak wordt uitgevoerd. Daarmee is het de VVE die beslist welke persoonsgegevens nodig zijn, inclusief dus de keuze om per e-mail de leden te gaan informeren.

Vanuit dat perspectief is de beheerder dus gehouden die persoonsgegevens te verstrekken, omdat de verantwoordelijke beslist over wat er gebeurt. Dat hun softwaresysteem een export niet toestaat (zo lees ik in het topic) doet daar niet aan af. Dan is die software niet AVG-compliant.

De vervolgvraag is of het bestuur de leden mag mailen als ze die lijst te pakken hebben. Dat komt neer op welke grondslag ze daarvoor zouden hebben. Toestemming is er niet, want die is gegeven in de context van de beheersituatie – maandag komt de glazenwasser, wilt u geen fietsen in de hal zetten want de brandweer – en het bestuur wil de leden over andere kwesties informeren – 12 mei is de jaarvergadering, de servicekosten worden per 1 januari geïndexeerd, wie wil er secretaris worden. Tenzij de toestemmingsvraag daar nadrukkelijk rekening mee hield, kan het bestuur niet op die toestemming varen.

Zonder toestemming kom je bij de recente discussie over het mogen mailen van je leden. Ik denk dat dat wel mag als het duidelijk een belang heeft voor de vereniging en geen reclame is. De zaken die ik hierboven noemde, zoals de jaarvergadering of een oproep het bestuur in te gaan, lijken mij prima aan dat criterium te voldoen.

Binnen de grondslag van het legitiem eigen belang denk ik dat je als verenigingslid dergelijke mails gewoon te dulden hebt. Een afmeldmogelijkheid zou netjes zijn, maar hoeft niet. In ieder geval niet bij verenigingen van deze omvang, waar toch enige betrokkenheid bij het verenigingsleven vereist is omdat het gaat om een gezamenlijk appartementencomplex.

Arnoud

Wat moet je doen met een ICT-beheerder die per abuis persoonsgegevens krijgt?

Geplaatst op in Privacy, 4 reacties

Een lezer vroeg me:

In 2018 schreef je over verwerkerschap bij een derde partij zoals een ICT-beheerder. Je zei dat je geen verwerkersovereenkomst hoeft te sluiten met zo’n partij wanneer deze partij expliciet geen toegang wil hebben tot persoonsgegevens. Wat zou die partij dan wel mogen (of moeten) doen als hij toch persoonsgegevens krijgt? Iedere handeling daarmee is een verwerking, dus moet er dan toch alsnog gauw een verwerkersovereenkomst komen?

Het klopt dat je aan het verwerken bent als je persoonsgegevens langs ziet komen. Zelfs de enkele handeling van het wissen daarvan, is naar de letter van de AVG een verwerking. Maar persoonsgegevens verwerken wil niet zeggen dat je een verwerker bent.

Een verwerker ben je als je in opdracht persoonsgegevens verwerkt waar de opdrachtgever verwerkingsverantwoordelijke voor is. Die ander bepaalt het doel (dit moet je doen) en kiest de middelen (of tekent daarvoor af). Dat is de wettelijke definitie. Mijn salarisadministrateur is dus een verwerker, en mijn cloud-mailprovider is dat ook. Beiden doen wat ik zeggen dat ze moeten doen met de persoonsgegevens van mijn personeel en klanten.

Wie data tegenkomt buiten een opdracht, is dan ook per definitie geen verwerker. Volgens de AVG ben je dan zelf verwerkingsverantwoordelijke, oftewel je bepaalt zelf wat je er mee mag en moet. En dat is in dit geval heel simpel: je hebt geen grondslag om die gegevens te mogen hebben, dus moet je ze vernietigen. (De grondslag voor die vernietiging is dan ook de wettelijke plicht, artikel 6 sub c AVG.)

Ik twijfel nog of je als beheerder in zo’n situatie van een voor jou meldingsplichtig datalek moet spreken. Jij hebt immers geen geschonden beveiliging, zodat jij geen datalek hebt veroorzaakt. Maar je had wel data onder je op een plek waar die niet hoorde te zijn. Het meest logisch lijkt me echter dat je onmiddellijk de ‘echte’ verantwoordelijke in kennis stelt, waarna die wettelijk verplicht het lek zal moeten melden.

Arnoud

Kan ‘ongevraagde toezending’ tot stand komen na het niet willen aanvaarden van een annulering?

Geplaatst op in Ondernemingsvrijheid, 74 reacties

Een issue op Reddit:

[I]emand had mijn gegevens ingevuld bij het doen van een bestelling, en gezien de inhoud (goedkoop 4XL damesondergoed) vermoed ik hier een practical joke. Toen ik de bestelbevestiging op mijn mail binnenkreeg, heb ik ook contact gezocht met het postorderbedrijf, met de melding dat ik deze bestelling niet geplaatst heb, en hem dus graag wil annuleren. Dit contact heeft plaatsgevonden voordat de bestelling verzonden werd. De klantenservice reageerde hier echter op met de melding dat ik om verwijderd te worden uit het systeem aangifte zou moeten doen van identiteitsfraude, en die aangifte naar hen toe zou moeten sturen. … Nu is er, effectief, een pakket bij mij bezorgd waar ik niet om gevraagd heb, en waarvan ik expliciet heb aangegeven het niet te willen ontvangen. … Het probleem is echter dat retourneren geen optie is; het product was afgeprijsd, en kan om hygiënische redenen logischerwijs niet geruild worden. Van mij wordt nu dus ook volledige betaling van de kosten voor product en verzendkosten geëist.

Juridisch gezien is het probleem vrij simpel op te lossen. Deze meneer heeft niet besteld dus mag van hem geen betaling worden geëist. De winkel moet bewijzen dat hij heeft besteld, en dat zal niet meevallen als het een grapjas was die in zijn naam heeft besteld. Dus in theorie is het antwoord, doe gewoon niets en laat ze maar dagvaarden en dan bewijzen dat jij het was.

Het probleem is dat de meeste bestelsystemen anders ingericht zijn. Er ligt een bestelling op jouw naam, dus jij hebt besteld en de producten zijn geleverd dus jij moet betalen. En anders moet jij maar door hoepels springen om aan te tonen dat jij het niet was. De omgekeerde wereld maar wel waar het vaak op neerkomt. Het kan dus effectiever zijn om een truc te zoeken binnen het systeem, dan om op de formele toer te gaan en bij de kantonrechter na dagvaarding (en aanmelding op zwarte lijsten en mogelijk beslag op je bankrekening) alles ongedaan te maken.

De meest logische truc die in me opkomt, is dat het onzinnig is om een retour te weigeren omdat het product afgeprijsd is. Dat staat niet als grondslag in de wet. Wel in de wet staat dat hygiëne een reden is om retouren te weigeren, maar het staat er iets specifieker dan “ondergoed mag niet retour”:

de levering van zaken die niet geschikt zijn om te worden teruggezonden om redenen van gezondheidsbescherming of hygiëne en waarvan de verzegeling na de levering is verbroken;

Daarbij kun je je afvragen of ondergoed valt onder hygiëne (hoi Alex) maar belangrijker is, zolang ze nog in de verzegelde verpakking zitten dan mogen ze sowieso terug. En dan kan de winkel op z’n hoofd gaan staan met hun algemene voorwaarden. Stuur ze dus een mail waarin je vraagt hoe het ondergoed retour moet, gezien het nog verzegeld is.

Meer algemeen is het handig om bewijs vast te leggen van alle communicatie, inclusief dat eerste telefoontje met de klantenservice. Want komt het dan ooit bij de kantonrechter dan heb je een heel duidelijk verhaal, en dat scheelt altijd weer.

Arnoud

Mag ik de verbouwing van ons kantoor als timelapse op internet zetten?

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Een lezer vroeg me:

Wij gaan binnenkort ons kantoorpand grondig verbouwen. Nu leek het ons leuk om een timelapse te maken van de voortgang, en deze elke week te publiceren op onze blog. Zo blijft iedereen betrokken. Maar er staat dan wel een camera op de werkvloer, dus hoe verhoudt zich dat tot de AVG? Is een bordje genoeg?

Een timelapse is “een filmtechniek waarbij er minder beelden per tijdseenheid opgenomen worden dan de framerate bij het afspelen.” Je kunt bijvoorbeeld een werkdag lang elke 5 minuten een beeld vastleggen, waardoor je 96 beelden per dag overhoudt die tegen 24 frames per seconde dus een video van 4 seconden geven. Ben je dan drie maanden oftewel drie keer twintig werkdagen aan het filmen, dan houd je een leuke video van 4 minuten over.

Theoretisch gezien is ook één zo’n foto (frame, in videotaal) inderdaad een persoonsgegeven als daar iemand herkenbaar op staat. Deze opstelling staat dus elke vijf minuten in theorie een persoonsgegeven vast te leggen, zodat de cameravastlegging een verwerking van persoonsgegevens is.

Echter, bij zo’n samenvatting van drie maanden activiteiten op de werkvloer kan ik me weinig meer voorstellen bij persoonlijke gegevens. Eén flits per vijf minuten kan werkelijk geen persoonlijke informatie vastleggen naar mijn gevoel, en in de compilatie van 4 minuten na drie maanden blijft daar al helemaal niets van over. (Het zou anders zijn als je een gewone video/livestream van het werk vastlegt en daar achteraf een timelapse van maakt door selectief beelden te kopiëren.) Ik ben dus geneigd deze vastlegging géén verwerking van persoonsgegevens te noemen, in juridische taal “kom nou toch”.

Als je het wél een verwerking vindt, dan moet je vervolgens rechtvaardigen onder de AVG waarom je dit wilt doen. Ik kom dan al vrij snel bij de vrijheid van meningsuiting, de journalistieke verwerking dus. Je wilt het publiek informeren over jouw verbouwing, en toont daarbij hooguit schimmen die heen en weer flitsen. Dat voldoet aan de juridische definitie van journalistiek, en binnen de belangenafweging met de betrokkenen kom je volgens al heel snel uit bij dat dit door de beugel kan. Registratie, toestemming et cetera is dan allemaal niet van toepassing.

Dat gezegd hebbende lijkt me een bordje met toelichting bij het begin van het werkgebied wel zo gepast. Al is het maar omdat je aan de camera niet kunt zien dat er slechts eens per 5 minuten wordt gefilmd, zodat mensen kunnen gaan piepen dat ze gelivestreamed worden. En dát zou een heel ander verhaal zijn.

Arnoud

Mag mijn werkgever eisen dat ik mijn Excel model aan ze geef?

Geplaatst op in Intellectuele rechten, 16 reacties

Een lezer vroeg me:

Ik heb ooit als zelfstandig ondernemer een Excel model gemaakt om op heel efficiënte manier investeringsanalyses te doen. Dit model gebruik ik sindsdien al jaren bij diverse werkgevers tot volle tevredenheid. Mijn huidige werkgever eist nu echter dat ik dit model aan hen beschikbaar stel, en dit dreigt een arbeidsconflict te worden. Waar sta ik nu juridisch, is dit model ineens hun eigendom geworden omdat ik het aanwend voor het werk daar?

Een tool wordt geen eigendom wanneer je dit voor werk inzet. Heel misschien kan daar discussie over komen wanneer in het arbeidscontract is bepaald dat ook bestaande auteursrechten overgaan bij indiensttreding, maar dat zou ik een zeer onredelijke algemene voorwaarde vinden. Ik heb het in ieder geval nog nooit zo specifiek gezien.

Toch denk ik wel dat de werkgever kan eisen dat hij een kopie krijgt van de tool. Niet perse in eigendom, eerder in licentie dus. Dit omdat de tool wordt ingezet voor het werk, en daarmee een afhankelijkheid ontstaat tussen werkgever en werknemer over de manier waarop het werk wordt uitgevoerd.

Dat lijkt me niet de bedoeling, stel dat er ooit een arbeidsconflict ontstaat of de werknemer krijgt een ongeluk, hoe moet het werk dan verder? Of nog praktischer, hoe kan de werkgever nu onderbouwen welke beslissingen worden gemaakt als hij de tool niet kent?

Een kopie van de tool afgeven zal voor de werknemer nogal onprettig voelen, zeker als het zulk liefdewerk is waar al meer dan tien jaar aan gewerkt is. Maar als de situatie eenmaal ontstaan is dat het huidige werk er van afhankelijk is, dan zal dat opgelost moeten worden. En dan ontkom je denk ik niet aan het beschikbaar stellen van de tool.

Tenzij je zegt, deze mevrouw is in dienst om financiële analyses te doen, dan moet de werkgever maar zorgen dat er een tool komt om die analyses mee te ondersteunen. Collega’s van haar zullen toch ook iets hebben om het werk mee te vergemakkelijken? In dat geval moet deze zelfgebrouwen tool gewoon terug naar huis, en moet ze vanaf nu gewoon werken zoals haar collega’s. Dat er dan suboptimale (of minder efficiënt gemaakte) analyses uitkomen, is jammer maar het risico van de werkgever.

Algemeen zou mijn advies zijn om nooit eigen tools naar het werk mee te nemen zonder vooraf expliciet te hebben afgesproken wie wat daarmee mag. Achteraf dit rechttrekken is nooit goed voor de arbeidsrelatie.

Arnoud

Mag de huisbaas je een smart lock opdringen?

Geplaatst op in Privacy, 18 reacties

Een lezer vroeg me:

Wij wonen in een studentenhuis met acht mensen. Onze huisbaas (een particulier met nog een paar panden) heeft recent aangekondigd de bellen en voordeursloten te komen vervangen, en wel door zogenaamde smart locks. Dat zou handiger zijn in verband met wisselende bewoners en nagemaakte sleutels, maar er zit een camera op zodat hij kan meekijken (in theorie). Plus, ik ken die dingen en weet dat ze vaak hartstikke lek zijn. Zijn wij verplicht zo’n slot te accepteren?

Hoofdregel onder de wet is dat de deurbellen en de sloten voor verantwoordelijkheid van de huurder zijn. Deze vallen onder het kopje klein onderhoud, en daar draait de huurder voor op. Ergens wel logisch ook, het is immers op dat moment mijn huis dus ik wil bepalen hoe de bel werkt (en klinkt), en ik kan zo kiezen voor het soort slot dat ik wil. Extra sterk met politiekeurmerk of juist iets simpels – het is mijn verzekering en mijn risico.

Natuurlijk kun je hier andere afspraken over maken. Als de verhuurder aanbiedt om op zijn kosten een duur inbraakproof slot te plaatsen, en jij vindt dat een goed idee, waarom dan niet. Uiteraard betekent dat niet dat de verhuurder dan een reservesleutel mag hebben, laat staan ermee naar binnen mag gaan. Maar met wederzijds goedvinden mag zoiets prima.

Een smart lock klinkt leuk, en zeker in studentenhuizen en andere plekken met veel verloop kan ik me iets voorstellen bij het gedoe dat sleutelbeheer dan geeft. Deurcodes kun je makkelijker wijzigen dan sleutels, en in ieder geval een stuk goedkoper. En als je met vingerafdrukken werkt, dan heb je ook meer mogelijkheden om niet meer welkome personen te weren. Maar desondanks zie ik geen mogelijkheden om dit te doen zonder instemming van de huurder, althans bij zijn woongedeelte.

Bij de algemene voordeur ligt dat anders. Het portiek en de gemeenschappelijke ruimtes zijn namelijk de verantwoordelijkheid van de verhuurder, wat ook weer logisch is want uiteindelijk kun je daar nooit één huurder voor verantwoordelijk stellen. Daar zou de verhuurder dus eenzijdig kunnen kiezen om een zelfgekozen slot te monteren.

Er is geen specifieke regelgeving over wat voor soort slot dat dan moet zijn, zodat hij dus in beginsel vrij is om een als “smart lock” in de winkel liggend ding te monteren. Maar een verhuurder moet natuurlijk wel zorgvuldig te werk gaan, en ik denk dat je daar wel een punt hebt gezien de brakke reputatie van veel van die sloten. Het is alleen in zoverre oneerlijk dat je als huurder dan met onderbouwing moet komen waarom het slot onveilig is, terwijl de verhuurder alleen maar hoeft te zeggen “hij komt van de slotenmaker en er staat ‘Super Secure’ op de doos”. Maar zo is het recht, vrees ik.

Arnoud

Spotify: Apple draagt met App Store-voorwaarden bij aan oneerlijke concurrentie

Geplaatst op in Informatiemaatschappij, 6 reacties

Spotify-oprichter Daniel Ek stelt in een blogbericht dat Apple met enkele voorwaarden van de App Store bijdraagt aan oneerlijke concurrentie, <A HREF=https://tweakers.net/nieuws/150242/spotify-apple-draagt-met-app-store-voorwaarden-bij-aan-oneerlijke-concurrentie.html”>meldde Tweakers onlangs. Apple stelde daarop dat er niets aan de hand is, zonder inhoudelijk op de zaak in te gaan, waarop Spotify verder ging en Apple van monopolisme beschuldigde. Kern van de zaak: wanneer mensen een Spotify-abonnement via de App Store afsluiten, moet Spotify 30% van de prijs afdragen aan Apple. Die afdracht geldt niet voor Apple’s eigen muziekdienst, zodat die een stuk goedkoper kan zijn dan de Zweedse streamer.

De zaak is juridisch zeer vernieuwend, want de kern van de claim is het gevolg van de platforms die we nu massaal het internet zien beheersen. Die situatie is onvergelijkbaar met ‘gewone’ anticoncurrentiezaken of gedrag van monopolisten. Normale monopolisten knijpen de markt af en willen concurrenten er niet bij hebben. Apple en consorten willen dat juist wel, zij het dat ze een graantje meepikken van hun inkomsten.

Natuurlijk kun je zeggen, hoezo is Apple monopolist want je kunt toch ook Spotify buiten hen om afnemen? En dat klopt ook, maar Apple verbiedt het verkopen van abonnementen buiten hen om als je niet óók via hen abonnementen kunt afsluiten. Logisch ook weer vanuit hun standpunt, want anders heeft niemand meer een betaalde app maar krijgt iedereen een “upgrade to premium” knop in de app zelf.

De kern van het probleem is denk ik niet zozeer dat Apple die 30% wil pakken, maar dat Apple er ook een eigen muziekdienst naast heeft staan die goedkoper zijn waren kan aanbieden. Dat levert oneerlijke concurrentie op. Apple speelt vals door de regels voor het platform zo in te zetten dat de muziekdienst altijd goedkoper is, is dan het argument.

Wat zou de oplossing moeten zijn? De meest voor de hand liggende werkwijze zou ontbundeling of opsplitsing zijn: de App Store moet een ander bedrijf worden dan Apple Music, zodat die laatste net als Spotify dan 30% moet afdragen of welk percentage men dan maar relevant vindt. Maar of dat kan, is al jaren onderwerp van discussie. Zo heb je bij Apple het probleem wat de markt nu precies is: is dat Apple-telefoons (waar men inderdaad monopolist is) of smartphones (waar Apple iets van 15% marktaandeel heeft).

Arnoud

Mag dat, gratis wonen als je mee laat kijken in je bed?

Geplaatst op in Innovatie, Privacy, 14 reacties

Aangeboden: een jaar lang goedkoop wonen, zo meldde het FD onlangs. Ingebouwde sensors meten hoeveel je slaapt, wat je doet met ‘slimme’ huishoudelijke apparaten, hoeveel tijd je doorbrengt met social media, of je nog genoeg beweegt. Behoorlijk indringend maar er staat iets tegenover: hoe meer je laat meten, hoe lager je huur wordt. In theorie zou je zelfs geheel gratis moeten kunnen wonen als ze letterlijk álles van je mogen weten. Inclusief je Brown Big Data dus, de sensoren in de riolering. Een mooi initiatief, maar diverse lezers kregen er de vraag door, mag dat eigenlijk wel van de AVG?

Het Brainport Smart District in Helmond heeft als ambitie een toekomstwijk te zijn: een veilige, veerkrachtige wijk met sociale samenhang met, voor en door bewoners. De focus ligt op integratie en diensten voor de bewoner, dit in tegenstelling tot eerdere experimenten waarbij de focus lag op datagraaien voor de techbedrijven erachter (zoals Toronto). Veelzeggend vond ik de uitspraak van een voorlichter dat “data is arbeid”, arbeid mag best beloond immers.

Zo op het eerste gezicht lijkt er weinig mis met de opzet, juridisch gezien. Je gaat daar wonen terwijl je duidelijk weet wat er gaat gebeuren, daar zie ik wel een vrijwillig gegeven toestemming in. Die kun je intrekken, zelfs getrapt – deze week even de slaapkamer niet – en daar doet dan niemand moeilijk over. Volgens mij zit dat AVG technisch wel snor.

In het huurrecht is deze constructie een nieuwe volgens mij. Op zich is het nogal ongepast voor een verhuurder om te snuffelen in de privézaken van zijn huurder. Een verhuurder heeft het recht niet eens om het pand te betreden, om eens wat te noemen. Dus camera’s of sensoren, dat mag allemaal niet. Maar met toestemming mag er natuurlijk heel wat meer.

De enige mogelijke juridische vraagtekens kun je volgens mij zetten bij hoe vrij die toestemming echt is, omdat er immers keihard geld (en vast geen tientjes) tegenover staat aan korting op de huur. Het argument zou dan zijn, mensen gaan er heen met het idee dat het wel meevalt met die sensoren, en als ze dan ontdekken dat ze het onprettig vinden dan is die huurkorting al het budget ingeslopen zodat ze niet vrijelijk nee meer kunnen zeggen. Die gaat me wat ver, maar in de lijn van de cookiemuur-uitspraak van de AP is het verdedigbaar.

Arnoud