Minister wil data over criminelen makkelijker kunnen delen

Geplaatst op in Privacy, Regulering, 11 reacties

Minister Grapperhaus van Justitie en Veiligheid wil dat het eenvoudiger wordt om gegevens over criminelen te delen, las ik bij Security.nl op gezag van een interview in de Telegraaf. Het delen van gegevens over criminelen tussen overheidsinstanties is problematisch, omdat de AVG daar strenge regels over stelt. “Er kan nog zoveel worden gewonnen met uitwisseling van informatie. Het mag alleen geen inbreuk maken op de privacy, dan gaan misdadigers zich beroepen op fouten”, aldus de minister. De oplossing lijkt me vrij simpel, maar dat kan aan mij liggen.

Het klopt natuurlijk dat de AVG zeer streng is over de omgang met strafrechtelijke gegevens en andere informatie over strafbare activiteiten. Strenger dan voorheen: waar de Wbp dergelijke gegevens ‘bijzondere persoonsgegevens’ noemde, kent de AVG er een apart regime voor dat grofweg neerkomt op “daar mag je niets mee doen”. Letterlijk:

Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid.

Heel plat zou je dan kunnen zeggen, er is geen probleem want je kunt als Nederlandse overheid dus gewoon een wetje maken waarin je zegt welke gegevens worden uitgewisseld en voor welk doel. Maar in de Uitvoeringswet (zeg maar de Nederlandse kop op de AVG) zijn nog wat extra beperkingen gesteld. Verwerken van die gegevens mag (artikel 31 UAVG) alleen als in de UAVG daar een grond voor is.

Artikel 32 noemt daarbij algemene gronden, zoals aparte toestemming, vitaal belang en kennelijk zelf openbaar gemaakt. Maar daar heb je als overheid vrij weinig aan. De meest passende grondslag staat volgens mij in artikel 33:

Persoonsgegevens van strafrechtelijke aard mogen worden verwerkt, indien: (…)
b. de verwerking geschiedt door en ten behoeve van publiekrechtelijke samenwerkingsverbanden van verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken, indien:
1°. de verwerking noodzakelijk is voor de uitvoering van de taak van deze verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken; en
2°. bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad;

Een aantal samenwerkende gemeenten valt onder dit sub b als ze dit doen om zich verplaatsende criminaliteit te signaleren en te bestrijden. De vraag is dan dus, welke noodzaak is er tot uitwisseling (iets dat je dus even moet uitwerken) en welke waarborgen moeten we nemen. Bij dat laatste moet je denken aan een onterechte vermelding, zoals na een vrijspraak in hoger beroep of een persoonsverwisseling.

“Het is bijzonder dat we die informatie niet kunnen uitwisselen”, zo citeert de Telegraaf burgemeester Aboutaleb na diens constatering dat hij gegevens over een criminele ondernemer niet aan de gemeente Nissewaard (voormalig Spijkenisse en Bernisse) mocht geven.

Dat klinkt alsof de AVG er keihard aan in de weg staat, een misverstand dat ik vaker hoor. De AVG verbiedt weinig echt keihard en categorisch: vrijwel altijd mág het wel mits je maar een goed verhaal hebt. En bij de overheid betekent dat, werk het maar eens uit in een wet of regeling en leg daarbij uit hoe je met die mensen wilt omgaan. Ik vind het bijzonderder dat dat kennelijk een probleem is, zeggen wat je van plan bent.

Arnoud

‘IBM biedt zonder toestemming fotodatabase gezichtsherkenning aan’

Geplaatst op in Informatiemaatschappij, 20 reacties

Het Amerikaanse technologiebedrijf IBM heeft zonder toestemming van de gefotografeerden een miljoen foto’s van fotosite Flickr gebruikt om kunstmatige intelligentie op gezichtsherkenning te trainen. Dat meldde Nu.nl op gezag van nieuwszender NBC. De dataset met foto’s en toegevoegde metadata werd eerder al door Yahoo (de eigenaar van Flickr) aangeboden, waarbij men zich beriep op de Creative Commons licentie die op de foto’s zit. IBM zag daar een mooie bron in voor een machine learning dataset, met name omdat de fotocollectie een diverser beeld van de mensheid geeft dan de typische wittemannendatasets voor dergelijke toepassingen.

In de VS bestaat geen duidelijke wetgeving over gebruik van je portret. Heel kort door de bocht ben je vogelvrij als je op de openbare weg bent en iemand een foto van je maakt. Die mag daar alles mee doen dat hem goeddunkt, inclusief dus op internet publiceren onder een “voel je vrij en ga je gang”-licentie zoals Creative Commons. Het is dus daar goed mogelijk dat mensen gaan handelen in foto’s waar je herkenbaar op staat, en of dat nu voor publicatie in een tijdschrift is of voor het trainen van een gezichtsherkenning-AI maakt daarbij niet uit.

In Europa zou dit problematischer zijn, omdat de AVG vrij duidelijk is dat een foto een persoonsgegeven is en er dus onder de AVG een grondslag moet zijn om die foto aan een ander te geven. Zonder toestemming van de geportretteerde kom je dan al heel snel uit bij het zogeheten legitiem belang, wat in feite dezelfde afweging geeft als vroeger het portretrecht – welk belang heb jij tegen publicatie, en welk belang kan de handelaar daar tegenover zetten. In journalistieke contexten kom je daar nog wel uit, maar pure handel in een portret zie ik niet snel gerechtvaardigd onder de AVG.

Het verbaast me echter volstrekt niets dat dergelijke databanken worden gescrapet voor machine learning. Het bouwen van een goede dataset is moeilijk, en vaak wordt dan maar gekozen voor zo veel mogelijk data. Veel matige data komt vaak ongeveer net zo goed uit als een kleinere goed geselecteerde dataset, en met minder kosten. Plus, de betrokken personen merken er niets van, tenzij de dataset uitlekt en iemand de afbeeldingen gaat herleiden tot hun bron natuurlijk.

Arnoud

Kamer van Koophandel neemt maatregelen tegen zzp-spam

Geplaatst op in Ondernemingsvrijheid, 8 reacties

De Kamer van Koophandel stopt met het op grote schaal verkopen van kant-en-klare bestanden met adressen, las ik bij de NOS. Dit na aandringen van de Autoriteit Persoonsgegevens, omdat dergelijke handel in persoonsgegevens in strijd is met de AVG. De Kamer van Koophandel biedt al sinds jaar en dag bestanden aan met contactgegevens van ondernemers, waarmee telemarketeers en andere handige jongens snel gerichte reclame kunnen sturen. Een doorn in het oog van veel ondernemers, maar iets dat de KVK altijd rechtvaardigde met een beroep op haar wettelijke taak om gegevens over ondernemingen te verstrekken. Men stopt dan ook niet met de volledige toegang, maar alleen met de laagdrempelige bulkproducten.

Om even een misverstand weg te nemen: gegevens over ondernemers zijn persoonsgegevens, en blijven dat ook als ze in een openbaar register zijn opgenomen voor een wettelijk verplichte registratie. De AVG kent het concept van “publiek domein” of “openbare bron” niet, persoonsgegevens zijn persoonsgegevens als ze over een persoon gaan – en dat is bij een zzp’er of een vof gewoon het geval wanneer je gegevens over deze ondernemer(s) noteert.

De KVK heeft natuurlijk gelijk dat ze van de Handelsregisterwet 2007 een register moeten houden met daarin gegevens van alle ondernemingen in Nederland. Het is verplicht je daar in te schrijven, en vervolgens kan iedereen je daarin zoeken. Doel daarvan is primair dat je na kunt gaan of een bedrijf echt bestaat en wat de authentieke gegevens daarvan zijn.

Een onbedoeld bijeffect was dat bedrijven grote hoeveelheden gegevens gingen opvragen om zo marketingacties te kunnen doen: reclame per post, maar ook telefonische acquisitie en zelfs e-mailreclame. Dat laatste was altijd al een probleem onder de Telecomwet, maar bellen en met name post sturen zijn populair gebleven. Tot ergernis van vele ondernemers. Maar die marketeers riepen dan, het is een openbaar bestand en wij bellen het bedrijf, niet de persoon. Een argument dat dus zeker onder de AVG nu ongeldig is gebleken.

Natuurlijk kun je je afvragen of de wettelijke taak wel zo ver gaat dat je gegevens in bulk moet verkopen voor reclamedoeleinden. Dat mensen recht hebben op inzage of een kopie van iemands gegevens, betekent immers nog niet dat je het makkelijk moet maken om duizenden gegevens tegelijk te verstrekken. Dat standpunt heeft de AP dus ingenomen, zodat de KVK zich nu genoodzaakt ziet om te stoppen met deze handel. (Opvallend vond ik nog dat de KVK vorig jaar zei “Dat doen we al honderd jaar zo”, alsof dat een argument is bij een nieuwe wet.)

Arnoud

Amerikaanse keten dwingt Utrechtse sapjesbar naam te veranderen

Geplaatst op in Intellectuele rechten, 12 reacties

De Utrechtse zaak Smood Juicebar, die nu bijna 3 jaar gevestigd zit op de Vismarkt in de binnenstad, wordt gezien als bedreiging door een soortgelijk bedrijf in de Verenigde Staten. Dat meldde stadskrant DUIC onlangs. Na een juridisch gevecht van een half jaar heeft de sapjesbar eieren voor haar geld gekozen en wordt de naam nu verandert. Dat bevreemde een hoop lezers, want merkrechten zijn toch per land beperkt en hoezo kan een hipstercafé in New York (Dr Smood) dan in Utrecht rechten hebben?

Een merk is inderdaad per land beperkt, hoewel er bijvoorbeeld in Europa ook merken voor de hele gemeenschap ineens aangevraagd kunnen worden. Maar voorop staat dat je ergens je merk geregistreerd moet hebben (en daadwerkelijk gebruiken) om rechten uit te kunnen oefenen.

Dit speelt vaak bij internetzaken: bedrijf A in het ene land claimt een domeinnaam waar bedrijf B in een ander land haar merk in ziet, en dan worden er dure advocaten losgelaten die op hoge poten afgifte van dit Ernstig Inbreukmakende Eigendom eisen (een kenmerk van blafbrieven is Zelfbedachte Dreigende Afkortingen). Ongeacht hoe het merkenrechtelijk nu precies zit. Dat kan dus niet, tenzij bedrijf A door haar handelen daadwerkelijk in het land van B interfereert met het gedeponeerde merk. Vanuit Nederland kún je je op de VS richten en zo een merkrecht aldaar schenden, maar specifiek met een sapjesbar in Utrecht kan ik me dat moeilijk voorstellen.

Het geval wil echter dat Dr Smood een Europees merk heeft, en dan komt het natuurlijk anders te liggen. Dan gaat het dus niet over Amerikaanse claims tegen een Utrechtse bar, maar een Europees recht dat botst met een Nederlandse onderneming. Het merk is uit 2014 en de bar uit 2016, dus zo op het eerste gezicht heeft de merkhouder daar een punt. Ook als ze (nog) niet in Europa actief zijn – het merk zou dan 5 jaar na de toekenning (2016) vervallen, en daar zijn we nog niet.

Arnoud

Mag je iemand er publiekelijk op wijzen dat hij heel dom privéinformatie publiceert?

Geplaatst op in Privacy, Security, Uitingsvrijheid, 8 reacties

“Zet nooit, maar dan ook helemaal nooit, je boardingpass op Twitter @peterverhaar. En roep al helemaal niet mensen op om het te doen.” Aldus techjournalist Daniel Verlaan op Twitter vorige week. Aanleiding was een actie van bankier Verhaar tegen de ‘klimaatterroristen’ waarbij je door een Tweet met je boardingpass laat zien dat je tegen klimaatverandering bent. Of zoiets. Bepaald handig is die oproep niet: zoals journalist Verlaan liet zien, kun je met de informatie op een boardingpass erg veel doen: “Ik weet nu naast jouw privégegevens ook de namen, e-mailadressen en telefoonnummers van je vrouw en dochter.” Maar mag je dat wel achterhalen, met die informatie?

Natuurlijk is het in principe computervredebreuk om in te loggen met publiek aangetroffen accountgegevens, zoals een boardingkaartnummer en een achternaam. Je dringt dan binnen in een systeem onder de hoedanigheid van de luchtpassagier, en je weet dat je daar niet mag zijn in die hoedanigheid. Dat de gegevens publiek te vinden waren, maakt daarbij niet uit. (Als je ooit denkt “de informatie is publiek dus ik mag X”, dan heb je -als vuistregel- juridisch geen gelijk.)

Punt is natuurlijk dat Verlaan werkt als journalist, en daarbij technologie en met name security als aandachtspunt voor zichzelf geclaimd heeft. Hij bouwde onder meer de site Laat je niet hack maken, die mensen in gewone taal uitlegt wat wel en niet verstandig is bij online security. En als zo’n journalist ziet dat iemand met een profiel als Peter Verhaar publiekelijk oproept om zoiets doms te doen, dan snap ik meteen dat hij dat publiceert. Zoals een twitteraar het vergeleek: “ik ben tegen de bankmaffia, u ook, post dan uw creditcard voor en achter”.

Een journalist mág zoiets ook, in het kader van het aan de kaak stellen van een misstand. Ook als daarbij een strafbaar feit nodig was. Als journalist mag je soms net een klein stapje verder gaan, als dat in het belang is van je publicatie en je geen andere manier hebt om je punt te maken.

De vraag is dus, had Verlaan die noodzaak om in te loggen en die gegevens van vrouw en kind te noteren en (geanonimiseerd) te publiceren? Ik zou zeggen van wel: Verhaar begaat zo’n ernstige en onverantwoorde fout dat daar onmiddellijk een signaal tegen gegeven moet komen. En iemand die zo oliedom is, zal van enkel “dat is niet handig!!1!” van een nerdjournalist (sorry Daniel) niet onder de indruk zijn. Die persoonlijke informatie is dan nodig om direct het signaal te geven, doe dit niet, houd ermee op. Dus ja, dit mocht.

Arnoud

Mag een vereniging haar leden ongevraagd mailings toesturen?

Geplaatst op in Regulering, 7 reacties

Via Twitter: Databank en nieuwsbrief NOvA Tuchtrecht Updates gelanceerd en verplichte nieuwsbrief. Inderdaad, de Orde van Advocaten verzorgt elke twee weken een nieuwsbrief met tuchtrechtelijke uitspraken, iets waar advocaten ongetwijfeld meer over willen weten. Maar het verbaast wel dat er geen opt-in wordt gevraagd, zomaar nieuwsbrieven sturen is juridisch gezien een tikje twijfelachtig zal ik maar zeggen. Toch denk ik dat er in deze situatie meer mag dan in het algemene geval van “bedrijf wil reclame sturen aan mogelijke klanten”.

De Nederlandse Orde van Advocaten (NOvA) lanceerde onlangs haar website Tuchtrecht Updates, met daarop uitspraken van alle tuchtcolleges voor de advocatuur gerangschikt naar onderwerp, instantie en datum. Daaraan gekoppeld een nieuwsbrief, want:

De NOvA vindt het voor een behoorlijke uitoefening van de praktijk belangrijk dat alle advocaten van deze uitspraken kennisnemen. Alle advocaten ontvangen daarom elke twee weken van Boom Juridisch per e-mail een nieuwsbrief met de meest relevante disciplinaire uitspraken. Zo bent u altijd op de hoogte van de belangrijkste tuchtrechtelijke ontwikkelingen.

Dat gaf dus wat boosheid, want hoezo stuurt men zonder voorafgaande opt-in aan de leden van deze organisatie zomaar nieuwsbrieven?

Of het netjes is, laat ik in het midden maar ik denk dat het juridisch wel mag. De regel dat nieuwsbrieven opt-in vereisen is gebaseerd op artikel 11.7 Telecommunicatiewet (het spamverbod) en dat is nadrukkelijk beperkt tot “ongevraagde communicatie voor commerciële, ideële of charitatieve doeleinden”. Andersoortige communicatie mag ongevraagd worden verstuurd.

Een nieuwsbrief met de laatste aanbiedingen is natuurlijk commerciële communicatie, maar een nieuwsbrief met relevant nieuws voor je vereniging vind ik echt een heel ander verhaal. Zeker als de Orde zich op het standpunt stelt dat je deze informatie gewoon moet weten als advocaat. Dan kom je op het niveau van de aankondiging van de ALV van de schaakvereniging of de melding van Ziggo dat dit weekend het internet eruit gaat voor werkzaamheden (het servicebericht). Daar is echt geen opt-in voor nodig.

Arnoud

Ministers gevraagd of filmpjes van leraren in strijd met AVG zijn

Geplaatst op in Privacy, 16 reacties

De VVD heeft minister Van Engelshoven van Onderwijs en minister Dekker voor Rechtsbescherming gevraagd of filmpjes van leraren die door leerlingen worden gemaakt en op internet geplaatst in strijd met de Algemene verordening gegevensbescherming (AVG) zijn. Dat las ik bij Security.nl vorige week. De vragen zijn naar aanleiding van diverse filmpjes van leraren die op internet verschenen en leidden tot schorsing en ophef. De minister gaat niet over interpretatie van de AVG dus de vragen zijn juridisch niet zinnig, maar wel een aardige aanleiding voor de vraag: mag dat, je leraar filmen en dat op internet zetten?

Al in 2014 blogde ik over dit probleem, dat natuurlijk alleen maar groter is geworden de afgelopen jaren. En dan heb ik het niet alleen maar over opnames van lessen, maar juist over gekke situaties (‘pranks’, zeg maar pestgedrag waar je geacht wordt om te lachen) of escalaties die niet perse objectief in beeld komen. Het is logisch dat je als school daar wat mee wilt doen, of als getroffen leraar.

De AVG is nieuw, en zegt iets over beeldmateriaal, dus zal het wel een goede stok zijn om hier wat aan te doen. Een foto of video van iemand is natuurlijk een persoonsgegeven, maar dat wil echter niet zeggen dat je dus op grond van de AVG zo’n publicatie tegen kunt houden.

Allereerst zit je met het probleem dat deze leerling niet perse onder de AVG valt. De strikt huishoudelijke of privé-activiteit van verwerking is uitgesloten van de AVG. Voor jezelf en of een beperkte groep vrienden een filmopname maken zou best eens aan dat criterium kunnen voldoen. Daar staat tegenover dat een beveiligingscamera op de openbare weg hangen al buiten dat criterium viel en dus wél onder de AVG.

Ten tweede en belangrijker zit je met de vrijheid van meningsuiting, waar ook het maken van beeld onder valt. De AVG geldt maar beperkt bij journalistieke verwerkingen, zo heb je géén recht van verwijdering bij een dergelijke publicatie. Natuurlijk is een Youtube-publicatie van een schokkerig telefoonfilmpje heel wat anders dan een diepgravende documentaire van de BBC, maar dat is een kwaliteitstoets en geen juridisch relevant argument. Zolang de scholier er iets mee wil informeren of aan de kaak stellen, zit je al heel snel aan de AVG.

Daar staat dan weer tegenover dat een school gewoon huisregels kan stellen over het maken en/of publiceren van camerabeelden. Ik zou daar wel wat moeite mee hebben, omdat het vergaren van informatie een grondrecht is (deel van de vrijheid van meningsuiting) en een opleidingsinstituut die vrijheid niet zomaar even aan banden mag leggen. Maar als je het koppelt aan onaangekondigd filmen en/of tijdens de les, dan denk ik dat je zeker bij scholieren een heel eind komt.

Arnoud

En dan verbiedt de AP gewoon even op donderdagmiddag de cookiemuur

Geplaatst op in Privacy, 25 reacties

De Autoriteit Persoonsgegevens (AP) stelt nu dat de zogeheten cookiewall in strijd is met de Europese privacywet, meldde RTL Nieuws gisteren. De waakhond ontving de afgelopen tijd tientallen klachten over cookiewalls en besloot dat het maar eens afgelopen moest zijn met dwingende meldingen waar je ‘ja’ moet klikken om toegang tot een website te krijgen. Het argument is natuurlijk dat een dergelijke toestemming afgedwongen is, en dat is in strijd met de definitie van toestemming in de AVG die toch vrij duidelijk spreekt van “vrijwillig”. Maar volgens mij is de AVG iets genuanceerder dan dat.

Gisteren publiceerde de AP een normuitleg over cookiewalls, zeg maar een gezaghebbende opinie in functie over hoe de AVG uitgelegd moet worden. Met zo’n normuitleg kan de AP vervolgens gerichter handhaven, iedereen zou nu moeten weten hoe het zit. En omgekeerd, als je doet wat in de normuitleg staat dan hoef je niet bang te zijn dat er tegen je gehandhaafd wordt.

De normuitleg maakt al meteen duidelijk dat het gaat om tracking cookies. Wie een cookiewall bij andersoortige cookies inzet (bijvoorbeeld bij first party analytics) valt er dus buiten, dat is dan een juridisch andere situatie. Maar werk je met tracking (een term die in de normuitleg niet wordt gedefinieerd) dan krijg je dit:

Het principe van een cookiewall komt neer op ‘take it or leave it’ en is daarmee geen ‘echte’ of ‘vrije’ keuze. Hoewel bij cookiewalls toestemming voor het plaatsen van cookies kan worden geweigerd, kan dat niet zonder nadelige gevolgen, omdat de weigering betekent dat de website dan überhaupt niet kan worden bezocht. Kortom, als op een website (mede) wordt gevraagd om toestemming voor tracking cookies en bij weigering daarvan toegang tot de website, app of andere dienst niet mogelijk is, vindt de AP dat onrechtmatig.

Ik vind hier wel wat van. Allereerst vind ik het veel te snel om te zeggen “je kunt niet bij een site dús geef je geen vrije toestemming”. Een dienstverlener is niet verplicht je toegang te verlenen tot zijn site, dus vind ik het niet a priori onrechtmatig om toegang te weigeren.

Daarnaast is de AVG zeker niet zo stellig. Artikel 7 lid 4 zegt immers:

4. Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.

Dit is nadrukkelijk niet hetzelfde als “het mag niet”. Ik vind dat een normuitleg dan niet zo categorisch kan zeggen “het mag niet”, maar moet aangeven met welke factoren je dan rekening zou moeten houden.

Ik kan me er bijvoorbeeld wat bij voorstellen als je zegt, nieuwswebsites (zoals Nu.nl of RTL Nieuws) die zo groot zijn dat ze essentieel deel van het medialandschap zijn, die mogen geen cookiewall. Dan ontzeg je het publiek toegang tot iets essentieels, net zoals wanneer de KLM dat zou doen. Of wanneer de cookiewall pas komt nadat je al een relatie met de organisatie hebt, zoals een energiebedrijf dat een cookiewall zet op de pagina voor de meterstanden of een voetbalvereniging op het ledengedeelte.

Zijn er alternatieven? De AP noemt ze niet. Ja, je kunt als site volstaan met analytics cookies en geen advertenties tonen:

Daarmee kan de bezoeker die niet ‘getracked’ wil worden, toch de site raadplegen.
Dat geloof ik graag, maar dit komt erop neer dat je als bezoeker te allen tijde recht hebt op toegang tot iemands website. En dat gaat me te ver – de AVG zegt “kijk ten strengste naar de relatie tussen toestemming en dienst” en niet “je mag het niet koppelen”.

Helemaal mooi vond ik de reactie van collega-jurist Charlotte Meindersma:

Ook internetjurist Charlotte Meindersma vindt de reactie van de AP ‘nogal overdreven’: “In een aankomende Europese wet, de ePrivacy Verordening, gaat het veel meer over cookiewalls. Daarin staat dat websites waar informatie op staat die je nergens anders krijgt, geen cookiewall mogen hebben, zoals overheidswebsites. Maar voor commerciële media heb je genoeg alternatieven.”

Die Verordening is nog niet aangenomen, maar veel zal er niet meer veranderen denk ik. Er kan dus de situatie ontstaan dat we straks een op de AVG aanvullende (en dus prevalerende) wet krijgen die zegt dat mediasites wél mogen tracken en dat met cookiewall mogen afdwingen, waardoor deze normuitleg weer moet worden teruggedraaid. Zit je dan als ondernemer.

Arnoud

Is er ook een meldplicht datalekken voor bedrijfsdata?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 3 reacties

Een lezer vroeg me: Vraag: De laatste jaren is er veel te doen over datalekken. Daarbij gaat het echter steeds over privacygevoelige data, wat ik snap gezien de gevolgen bij consumenten maar hoe zit het met andere bedrijfsdata? De term ‘datalek’ is immers breder, maar ik kan niet vinden hoe het zit met de meldplicht voor bijvoorbeeld diefstal van bedrijfsgeheimen. Hoe zit dit?

De term ‘datalek’ is inderdaad een tikje misleidend, omdat het wettelijk gezien echt alleen gaat over het lekken/misbruiken van persoonsgegevens. Er is geen algemene regeling over het moeten melden van andersoortige security-incidenten of misbruik van gevoelige bedrijfsgegevens.

Specifiek bij de Rijksoverheid en vitale aanbieders geldt wel een aparte meldplicht voor andere security-incidenten. Op 1 oktober 2017 is de Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) in werking getreden. Per 1 januari 2018 moeten deze organisaties incidenten melden bij het NCSC, zodat deze de impact en risico’s voor de samenleving kan inschatten. Dit geldt alleen als je als organisatie bent aangewezen als ‘vitale aanbieder’.

Ben je niet ‘vitaal’, dan is de omgang met diefstal of vernieling met bedrijfsdata geheel je eigen keuze. Melden kan niet, er is geen loket dat dit in behandeling neemt. Vaak zal dergelijk handelen strafbaar zijn (denk aan computervredebreuk of afluisteren/aftappen van data) en dan kun je aangifte doen natuurlijk van die feiten. De waarde van die data kan dat strafbaar feit dan meer gewicht geven.

Eind oktober is ook de Wet bescherming bedrijfsgeheimen in werking getreden. Deze biedt organisaties de mogelijkheid om zelf op te treden tegen ongeautoriseerd gebruik van data die waarde heeft omdat deze niet algemeen bekend is. Met die wet in de hand kun je dus optreden tegen bijvoorbeeld een concurrent die een setje offertes weet te bemachtigen door een slechte beveiliging. Dit moet je wel zelf doen bij de civiele rechter.

Opmerkelijk aan die wet vind ik overigens nog dat er expliciet is gezegd dat een bedrijfsgeheim géén IE-recht is. Je kunt een geheim niet verkopen of in licentie geven. Wel heb je ongeveer dezelfde middelen ter beschikking om een inbreukmaker aan te pakken, zoals beslag en een volledige proceskostenvergoeding – maar dat laatste alleen als dat gepast is gezien de waarden van je geheim.

Arnoud

Politie mocht iPhone verdachte onder dwang via duim ontgrendelen

Geplaatst op in Regulering, Security, 10 reacties

De politie heeft in een onderzoek naar een phishingbende de iPhone van een verdachte onder dwang via zijn duim mogen ontgrendelen, las ik bij Security.nl. In drie vonnissen besliste de rechtbank Noord-Holland dat deze opsporingstechniek legitiem is, ook nu er geen specifieke wettelijke regeling is. Dat bevestigt de eerdere lijn uit februari waarin ook de Marechaussee dit mocht doen.

In deze zaak ging het om verdenkingen van phishing (juridisch: diefstal in vereniging en oplichting), waarbij de verdachten in voorlopige hechtenis waren genomen. Daarbij werd een iPhone aangetroffen, die de politie wilde ontgrendelen waarvoor de vinger van de verdachte nodig was. Die weigerde dat, waarop de officier besloot dat de verdachte weerspannig was en hem liet boeien, waarna de vinger door een agent op de telefoon werd gezet. Daarna was de telefoon toegankelijk voor onderzoek.

Het juridische probleem hierachter is dat er geen specifieke regels zijn over het doorzoeken van telefoons die als bewijs in beslag zijn genomen. Dat moet eigenlijk wel, omdat dergelijke apparaten tegenwoordig veel persoonlijke informatie bevatten. Om diepgaand te treden in de privacy van een verdachte, is een wettelijke regeling nodig. Denk aan huiszoeking of snuffelen in iemands mailbox.

De Hoge Raad bepaalde in 2017 dat de politie terughoudend moet zijn met telefoondoorzoekingen. Even kijken naar “een gering aantal bepaalde gegevens” bij een concrete aanleiding kan nog net, de gehele telefoon van 0 tot 255 doornemen zou te ver gaan tenzij daar héél zwaarwegende redenen voor zijn. In de praktijk komt dit erop neer dat hoe ernstiger de verdenking, hoe verder men mag kijken.

Leuk en aardig maar als die telefoon niet open gaat, dan houdt al het onderzoek snel op. De laatste jaren is er dan ook veel discussie geweest over hoe de politie een telefoon mag open forceren als ze niet zelf de pincode of andere unlockinformatie kan achterhalen. De vinger op de sensor forceren werd al snel een centraal punt in die discussie. Is dat nu gewoon een vingerafdruk nemen (zoals al sinds jaar en dag gebeurt) of is dit iemand dwingen tegen zichzelf te getuigen?

De lijn die bij dit nemo tenetur-beginsel in mensenrecht-jurisprudentie getrokken wordt, is of de gedwongen actie iets is dat al dan niet onafhankelijk van de wil van de verdachte plaats kan vinden. Hem fotograferen of een vingerafdruk afnemen voor het dossier, is iets dat kan of hij dat nu wil of niet. Zeggen waar het lijk ligt, vereist zijn wil. Je mag in die lijn dan ook wel een verdachte dwingen in de lens te kijken of zijn vinger op een stempelkussen te duwen en daarna op een papiertje, maar niet op een kaart te markeren waar het lijk te vinden is.

Anders dan de situatie waarin verdachte wordt gedwongen de toegangscode van zijn telefoon te geven, hetgeen een verklaring van verdachte vereist, maakt het plaatsen van de duim van verdachte op zijn iPhone naar het oordeel van de rechtbank geen inbreuk op het nemo tenetur-beginsel. Het betreft hier namelijk het dulden van een onderzoeksmaatregel die geen actieve medewerking van verdachte vereist. Daar komt bij dat de vingerafdruk met een zeer geringe mate van dwang is verkregen. Dat met het plaatsen van de duim van verdachte op de iPhone toegang wordt verkregen tot mogelijk wilsafhankelijke en voor hem belastende gegevens, maakt dit naar het oordeel van de rechtbank niet anders.

De rechtbank weegt daarbij mee dat er maar weinig andere mogelijkheden waren, onder meer omdat een telefoon zich na een bepaald aantal pogingen permanent vergrendelt. En de verwachting was zeer groot dat er wat te vinden zou zijn. Dat alles bij elkaar maakt dat het ontgrendelen legitiem wordt geacht.

De uiteindelijk gevonden informatie blijkt vervolgens ook relevant voor de strafzaak. Ik ben dan nog wel benieuwd hoe dit uit zou pakken als blijkt dat de politie verkeerd zat, maar de lijn dat een vinger afdwingen mag, lijkt daarmee wel definitief gezet.

Arnoud