Spotify: Apple draagt met App Store-voorwaarden bij aan oneerlijke concurrentie

Geplaatst op in Informatiemaatschappij, 6 reacties

Spotify-oprichter Daniel Ek stelt in een blogbericht dat Apple met enkele voorwaarden van de App Store bijdraagt aan oneerlijke concurrentie, <A HREF=https://tweakers.net/nieuws/150242/spotify-apple-draagt-met-app-store-voorwaarden-bij-aan-oneerlijke-concurrentie.html”>meldde Tweakers onlangs. Apple stelde daarop dat er niets aan de hand is, zonder inhoudelijk op de zaak in te gaan, waarop Spotify verder ging en Apple van monopolisme beschuldigde. Kern van de zaak: wanneer mensen een Spotify-abonnement via de App Store afsluiten, moet Spotify 30% van de prijs afdragen aan Apple. Die afdracht geldt niet voor Apple’s eigen muziekdienst, zodat die een stuk goedkoper kan zijn dan de Zweedse streamer.

De zaak is juridisch zeer vernieuwend, want de kern van de claim is het gevolg van de platforms die we nu massaal het internet zien beheersen. Die situatie is onvergelijkbaar met ‘gewone’ anticoncurrentiezaken of gedrag van monopolisten. Normale monopolisten knijpen de markt af en willen concurrenten er niet bij hebben. Apple en consorten willen dat juist wel, zij het dat ze een graantje meepikken van hun inkomsten.

Natuurlijk kun je zeggen, hoezo is Apple monopolist want je kunt toch ook Spotify buiten hen om afnemen? En dat klopt ook, maar Apple verbiedt het verkopen van abonnementen buiten hen om als je niet óók via hen abonnementen kunt afsluiten. Logisch ook weer vanuit hun standpunt, want anders heeft niemand meer een betaalde app maar krijgt iedereen een “upgrade to premium” knop in de app zelf.

De kern van het probleem is denk ik niet zozeer dat Apple die 30% wil pakken, maar dat Apple er ook een eigen muziekdienst naast heeft staan die goedkoper zijn waren kan aanbieden. Dat levert oneerlijke concurrentie op. Apple speelt vals door de regels voor het platform zo in te zetten dat de muziekdienst altijd goedkoper is, is dan het argument.

Wat zou de oplossing moeten zijn? De meest voor de hand liggende werkwijze zou ontbundeling of opsplitsing zijn: de App Store moet een ander bedrijf worden dan Apple Music, zodat die laatste net als Spotify dan 30% moet afdragen of welk percentage men dan maar relevant vindt. Maar of dat kan, is al jaren onderwerp van discussie. Zo heb je bij Apple het probleem wat de markt nu precies is: is dat Apple-telefoons (waar men inderdaad monopolist is) of smartphones (waar Apple iets van 15% marktaandeel heeft).

Arnoud

Mag dat, gratis wonen als je mee laat kijken in je bed?

Geplaatst op in Innovatie, Privacy, 14 reacties

Aangeboden: een jaar lang goedkoop wonen, zo meldde het FD onlangs. Ingebouwde sensors meten hoeveel je slaapt, wat je doet met ‘slimme’ huishoudelijke apparaten, hoeveel tijd je doorbrengt met social media, of je nog genoeg beweegt. Behoorlijk indringend maar er staat iets tegenover: hoe meer je laat meten, hoe lager je huur wordt. In theorie zou je zelfs geheel gratis moeten kunnen wonen als ze letterlijk álles van je mogen weten. Inclusief je Brown Big Data dus, de sensoren in de riolering. Een mooi initiatief, maar diverse lezers kregen er de vraag door, mag dat eigenlijk wel van de AVG?

Het Brainport Smart District in Helmond heeft als ambitie een toekomstwijk te zijn: een veilige, veerkrachtige wijk met sociale samenhang met, voor en door bewoners. De focus ligt op integratie en diensten voor de bewoner, dit in tegenstelling tot eerdere experimenten waarbij de focus lag op datagraaien voor de techbedrijven erachter (zoals Toronto). Veelzeggend vond ik de uitspraak van een voorlichter dat “data is arbeid”, arbeid mag best beloond immers.

Zo op het eerste gezicht lijkt er weinig mis met de opzet, juridisch gezien. Je gaat daar wonen terwijl je duidelijk weet wat er gaat gebeuren, daar zie ik wel een vrijwillig gegeven toestemming in. Die kun je intrekken, zelfs getrapt – deze week even de slaapkamer niet – en daar doet dan niemand moeilijk over. Volgens mij zit dat AVG technisch wel snor.

In het huurrecht is deze constructie een nieuwe volgens mij. Op zich is het nogal ongepast voor een verhuurder om te snuffelen in de privézaken van zijn huurder. Een verhuurder heeft het recht niet eens om het pand te betreden, om eens wat te noemen. Dus camera’s of sensoren, dat mag allemaal niet. Maar met toestemming mag er natuurlijk heel wat meer.

De enige mogelijke juridische vraagtekens kun je volgens mij zetten bij hoe vrij die toestemming echt is, omdat er immers keihard geld (en vast geen tientjes) tegenover staat aan korting op de huur. Het argument zou dan zijn, mensen gaan er heen met het idee dat het wel meevalt met die sensoren, en als ze dan ontdekken dat ze het onprettig vinden dan is die huurkorting al het budget ingeslopen zodat ze niet vrijelijk nee meer kunnen zeggen. Die gaat me wat ver, maar in de lijn van de cookiemuur-uitspraak van de AP is het verdedigbaar.

Arnoud

Minister wil data over criminelen makkelijker kunnen delen

Geplaatst op in Privacy, Regulering, 11 reacties

Minister Grapperhaus van Justitie en Veiligheid wil dat het eenvoudiger wordt om gegevens over criminelen te delen, las ik bij Security.nl op gezag van een interview in de Telegraaf. Het delen van gegevens over criminelen tussen overheidsinstanties is problematisch, omdat de AVG daar strenge regels over stelt. “Er kan nog zoveel worden gewonnen met uitwisseling van informatie. Het mag alleen geen inbreuk maken op de privacy, dan gaan misdadigers zich beroepen op fouten”, aldus de minister. De oplossing lijkt me vrij simpel, maar dat kan aan mij liggen.

Het klopt natuurlijk dat de AVG zeer streng is over de omgang met strafrechtelijke gegevens en andere informatie over strafbare activiteiten. Strenger dan voorheen: waar de Wbp dergelijke gegevens ‘bijzondere persoonsgegevens’ noemde, kent de AVG er een apart regime voor dat grofweg neerkomt op “daar mag je niets mee doen”. Letterlijk:

Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid.

Heel plat zou je dan kunnen zeggen, er is geen probleem want je kunt als Nederlandse overheid dus gewoon een wetje maken waarin je zegt welke gegevens worden uitgewisseld en voor welk doel. Maar in de Uitvoeringswet (zeg maar de Nederlandse kop op de AVG) zijn nog wat extra beperkingen gesteld. Verwerken van die gegevens mag (artikel 31 UAVG) alleen als in de UAVG daar een grond voor is.

Artikel 32 noemt daarbij algemene gronden, zoals aparte toestemming, vitaal belang en kennelijk zelf openbaar gemaakt. Maar daar heb je als overheid vrij weinig aan. De meest passende grondslag staat volgens mij in artikel 33:

Persoonsgegevens van strafrechtelijke aard mogen worden verwerkt, indien: (…)
b. de verwerking geschiedt door en ten behoeve van publiekrechtelijke samenwerkingsverbanden van verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken, indien:
1°. de verwerking noodzakelijk is voor de uitvoering van de taak van deze verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken; en
2°. bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad;

Een aantal samenwerkende gemeenten valt onder dit sub b als ze dit doen om zich verplaatsende criminaliteit te signaleren en te bestrijden. De vraag is dan dus, welke noodzaak is er tot uitwisseling (iets dat je dus even moet uitwerken) en welke waarborgen moeten we nemen. Bij dat laatste moet je denken aan een onterechte vermelding, zoals na een vrijspraak in hoger beroep of een persoonsverwisseling.

“Het is bijzonder dat we die informatie niet kunnen uitwisselen”, zo citeert de Telegraaf burgemeester Aboutaleb na diens constatering dat hij gegevens over een criminele ondernemer niet aan de gemeente Nissewaard (voormalig Spijkenisse en Bernisse) mocht geven.

Dat klinkt alsof de AVG er keihard aan in de weg staat, een misverstand dat ik vaker hoor. De AVG verbiedt weinig echt keihard en categorisch: vrijwel altijd mág het wel mits je maar een goed verhaal hebt. En bij de overheid betekent dat, werk het maar eens uit in een wet of regeling en leg daarbij uit hoe je met die mensen wilt omgaan. Ik vind het bijzonderder dat dat kennelijk een probleem is, zeggen wat je van plan bent.

Arnoud

‘IBM biedt zonder toestemming fotodatabase gezichtsherkenning aan’

Geplaatst op in Informatiemaatschappij, 20 reacties

Het Amerikaanse technologiebedrijf IBM heeft zonder toestemming van de gefotografeerden een miljoen foto’s van fotosite Flickr gebruikt om kunstmatige intelligentie op gezichtsherkenning te trainen. Dat meldde Nu.nl op gezag van nieuwszender NBC. De dataset met foto’s en toegevoegde metadata werd eerder al door Yahoo (de eigenaar van Flickr) aangeboden, waarbij men zich beriep op de Creative Commons licentie die op de foto’s zit. IBM zag daar een mooie bron in voor een machine learning dataset, met name omdat de fotocollectie een diverser beeld van de mensheid geeft dan de typische wittemannendatasets voor dergelijke toepassingen.

In de VS bestaat geen duidelijke wetgeving over gebruik van je portret. Heel kort door de bocht ben je vogelvrij als je op de openbare weg bent en iemand een foto van je maakt. Die mag daar alles mee doen dat hem goeddunkt, inclusief dus op internet publiceren onder een “voel je vrij en ga je gang”-licentie zoals Creative Commons. Het is dus daar goed mogelijk dat mensen gaan handelen in foto’s waar je herkenbaar op staat, en of dat nu voor publicatie in een tijdschrift is of voor het trainen van een gezichtsherkenning-AI maakt daarbij niet uit.

In Europa zou dit problematischer zijn, omdat de AVG vrij duidelijk is dat een foto een persoonsgegeven is en er dus onder de AVG een grondslag moet zijn om die foto aan een ander te geven. Zonder toestemming van de geportretteerde kom je dan al heel snel uit bij het zogeheten legitiem belang, wat in feite dezelfde afweging geeft als vroeger het portretrecht – welk belang heb jij tegen publicatie, en welk belang kan de handelaar daar tegenover zetten. In journalistieke contexten kom je daar nog wel uit, maar pure handel in een portret zie ik niet snel gerechtvaardigd onder de AVG.

Het verbaast me echter volstrekt niets dat dergelijke databanken worden gescrapet voor machine learning. Het bouwen van een goede dataset is moeilijk, en vaak wordt dan maar gekozen voor zo veel mogelijk data. Veel matige data komt vaak ongeveer net zo goed uit als een kleinere goed geselecteerde dataset, en met minder kosten. Plus, de betrokken personen merken er niets van, tenzij de dataset uitlekt en iemand de afbeeldingen gaat herleiden tot hun bron natuurlijk.

Arnoud

Kamer van Koophandel neemt maatregelen tegen zzp-spam

Geplaatst op in Ondernemingsvrijheid, 8 reacties

De Kamer van Koophandel stopt met het op grote schaal verkopen van kant-en-klare bestanden met adressen, las ik bij de NOS. Dit na aandringen van de Autoriteit Persoonsgegevens, omdat dergelijke handel in persoonsgegevens in strijd is met de AVG. De Kamer van Koophandel biedt al sinds jaar en dag bestanden aan met contactgegevens van ondernemers, waarmee telemarketeers en andere handige jongens snel gerichte reclame kunnen sturen. Een doorn in het oog van veel ondernemers, maar iets dat de KVK altijd rechtvaardigde met een beroep op haar wettelijke taak om gegevens over ondernemingen te verstrekken. Men stopt dan ook niet met de volledige toegang, maar alleen met de laagdrempelige bulkproducten.

Om even een misverstand weg te nemen: gegevens over ondernemers zijn persoonsgegevens, en blijven dat ook als ze in een openbaar register zijn opgenomen voor een wettelijk verplichte registratie. De AVG kent het concept van “publiek domein” of “openbare bron” niet, persoonsgegevens zijn persoonsgegevens als ze over een persoon gaan – en dat is bij een zzp’er of een vof gewoon het geval wanneer je gegevens over deze ondernemer(s) noteert.

De KVK heeft natuurlijk gelijk dat ze van de Handelsregisterwet 2007 een register moeten houden met daarin gegevens van alle ondernemingen in Nederland. Het is verplicht je daar in te schrijven, en vervolgens kan iedereen je daarin zoeken. Doel daarvan is primair dat je na kunt gaan of een bedrijf echt bestaat en wat de authentieke gegevens daarvan zijn.

Een onbedoeld bijeffect was dat bedrijven grote hoeveelheden gegevens gingen opvragen om zo marketingacties te kunnen doen: reclame per post, maar ook telefonische acquisitie en zelfs e-mailreclame. Dat laatste was altijd al een probleem onder de Telecomwet, maar bellen en met name post sturen zijn populair gebleven. Tot ergernis van vele ondernemers. Maar die marketeers riepen dan, het is een openbaar bestand en wij bellen het bedrijf, niet de persoon. Een argument dat dus zeker onder de AVG nu ongeldig is gebleken.

Natuurlijk kun je je afvragen of de wettelijke taak wel zo ver gaat dat je gegevens in bulk moet verkopen voor reclamedoeleinden. Dat mensen recht hebben op inzage of een kopie van iemands gegevens, betekent immers nog niet dat je het makkelijk moet maken om duizenden gegevens tegelijk te verstrekken. Dat standpunt heeft de AP dus ingenomen, zodat de KVK zich nu genoodzaakt ziet om te stoppen met deze handel. (Opvallend vond ik nog dat de KVK vorig jaar zei “Dat doen we al honderd jaar zo”, alsof dat een argument is bij een nieuwe wet.)

Arnoud

Amerikaanse keten dwingt Utrechtse sapjesbar naam te veranderen

Geplaatst op in Intellectuele rechten, 12 reacties

De Utrechtse zaak Smood Juicebar, die nu bijna 3 jaar gevestigd zit op de Vismarkt in de binnenstad, wordt gezien als bedreiging door een soortgelijk bedrijf in de Verenigde Staten. Dat meldde stadskrant DUIC onlangs. Na een juridisch gevecht van een half jaar heeft de sapjesbar eieren voor haar geld gekozen en wordt de naam nu verandert. Dat bevreemde een hoop lezers, want merkrechten zijn toch per land beperkt en hoezo kan een hipstercafé in New York (Dr Smood) dan in Utrecht rechten hebben?

Een merk is inderdaad per land beperkt, hoewel er bijvoorbeeld in Europa ook merken voor de hele gemeenschap ineens aangevraagd kunnen worden. Maar voorop staat dat je ergens je merk geregistreerd moet hebben (en daadwerkelijk gebruiken) om rechten uit te kunnen oefenen.

Dit speelt vaak bij internetzaken: bedrijf A in het ene land claimt een domeinnaam waar bedrijf B in een ander land haar merk in ziet, en dan worden er dure advocaten losgelaten die op hoge poten afgifte van dit Ernstig Inbreukmakende Eigendom eisen (een kenmerk van blafbrieven is Zelfbedachte Dreigende Afkortingen). Ongeacht hoe het merkenrechtelijk nu precies zit. Dat kan dus niet, tenzij bedrijf A door haar handelen daadwerkelijk in het land van B interfereert met het gedeponeerde merk. Vanuit Nederland kún je je op de VS richten en zo een merkrecht aldaar schenden, maar specifiek met een sapjesbar in Utrecht kan ik me dat moeilijk voorstellen.

Het geval wil echter dat Dr Smood een Europees merk heeft, en dan komt het natuurlijk anders te liggen. Dan gaat het dus niet over Amerikaanse claims tegen een Utrechtse bar, maar een Europees recht dat botst met een Nederlandse onderneming. Het merk is uit 2014 en de bar uit 2016, dus zo op het eerste gezicht heeft de merkhouder daar een punt. Ook als ze (nog) niet in Europa actief zijn – het merk zou dan 5 jaar na de toekenning (2016) vervallen, en daar zijn we nog niet.

Arnoud

Mag je iemand er publiekelijk op wijzen dat hij heel dom privéinformatie publiceert?

Geplaatst op in Privacy, Security, Uitingsvrijheid, 8 reacties

“Zet nooit, maar dan ook helemaal nooit, je boardingpass op Twitter @peterverhaar. En roep al helemaal niet mensen op om het te doen.” Aldus techjournalist Daniel Verlaan op Twitter vorige week. Aanleiding was een actie van bankier Verhaar tegen de ‘klimaatterroristen’ waarbij je door een Tweet met je boardingpass laat zien dat je tegen klimaatverandering bent. Of zoiets. Bepaald handig is die oproep niet: zoals journalist Verlaan liet zien, kun je met de informatie op een boardingpass erg veel doen: “Ik weet nu naast jouw privégegevens ook de namen, e-mailadressen en telefoonnummers van je vrouw en dochter.” Maar mag je dat wel achterhalen, met die informatie?

Natuurlijk is het in principe computervredebreuk om in te loggen met publiek aangetroffen accountgegevens, zoals een boardingkaartnummer en een achternaam. Je dringt dan binnen in een systeem onder de hoedanigheid van de luchtpassagier, en je weet dat je daar niet mag zijn in die hoedanigheid. Dat de gegevens publiek te vinden waren, maakt daarbij niet uit. (Als je ooit denkt “de informatie is publiek dus ik mag X”, dan heb je -als vuistregel- juridisch geen gelijk.)

Punt is natuurlijk dat Verlaan werkt als journalist, en daarbij technologie en met name security als aandachtspunt voor zichzelf geclaimd heeft. Hij bouwde onder meer de site Laat je niet hack maken, die mensen in gewone taal uitlegt wat wel en niet verstandig is bij online security. En als zo’n journalist ziet dat iemand met een profiel als Peter Verhaar publiekelijk oproept om zoiets doms te doen, dan snap ik meteen dat hij dat publiceert. Zoals een twitteraar het vergeleek: “ik ben tegen de bankmaffia, u ook, post dan uw creditcard voor en achter”.

Een journalist mág zoiets ook, in het kader van het aan de kaak stellen van een misstand. Ook als daarbij een strafbaar feit nodig was. Als journalist mag je soms net een klein stapje verder gaan, als dat in het belang is van je publicatie en je geen andere manier hebt om je punt te maken.

De vraag is dus, had Verlaan die noodzaak om in te loggen en die gegevens van vrouw en kind te noteren en (geanonimiseerd) te publiceren? Ik zou zeggen van wel: Verhaar begaat zo’n ernstige en onverantwoorde fout dat daar onmiddellijk een signaal tegen gegeven moet komen. En iemand die zo oliedom is, zal van enkel “dat is niet handig!!1!” van een nerdjournalist (sorry Daniel) niet onder de indruk zijn. Die persoonlijke informatie is dan nodig om direct het signaal te geven, doe dit niet, houd ermee op. Dus ja, dit mocht.

Arnoud

Mag een vereniging haar leden ongevraagd mailings toesturen?

Geplaatst op in Regulering, 7 reacties

Via Twitter: Databank en nieuwsbrief NOvA Tuchtrecht Updates gelanceerd en verplichte nieuwsbrief. Inderdaad, de Orde van Advocaten verzorgt elke twee weken een nieuwsbrief met tuchtrechtelijke uitspraken, iets waar advocaten ongetwijfeld meer over willen weten. Maar het verbaast wel dat er geen opt-in wordt gevraagd, zomaar nieuwsbrieven sturen is juridisch gezien een tikje twijfelachtig zal ik maar zeggen. Toch denk ik dat er in deze situatie meer mag dan in het algemene geval van “bedrijf wil reclame sturen aan mogelijke klanten”.

De Nederlandse Orde van Advocaten (NOvA) lanceerde onlangs haar website Tuchtrecht Updates, met daarop uitspraken van alle tuchtcolleges voor de advocatuur gerangschikt naar onderwerp, instantie en datum. Daaraan gekoppeld een nieuwsbrief, want:

De NOvA vindt het voor een behoorlijke uitoefening van de praktijk belangrijk dat alle advocaten van deze uitspraken kennisnemen. Alle advocaten ontvangen daarom elke twee weken van Boom Juridisch per e-mail een nieuwsbrief met de meest relevante disciplinaire uitspraken. Zo bent u altijd op de hoogte van de belangrijkste tuchtrechtelijke ontwikkelingen.

Dat gaf dus wat boosheid, want hoezo stuurt men zonder voorafgaande opt-in aan de leden van deze organisatie zomaar nieuwsbrieven?

Of het netjes is, laat ik in het midden maar ik denk dat het juridisch wel mag. De regel dat nieuwsbrieven opt-in vereisen is gebaseerd op artikel 11.7 Telecommunicatiewet (het spamverbod) en dat is nadrukkelijk beperkt tot “ongevraagde communicatie voor commerciële, ideële of charitatieve doeleinden”. Andersoortige communicatie mag ongevraagd worden verstuurd.

Een nieuwsbrief met de laatste aanbiedingen is natuurlijk commerciële communicatie, maar een nieuwsbrief met relevant nieuws voor je vereniging vind ik echt een heel ander verhaal. Zeker als de Orde zich op het standpunt stelt dat je deze informatie gewoon moet weten als advocaat. Dan kom je op het niveau van de aankondiging van de ALV van de schaakvereniging of de melding van Ziggo dat dit weekend het internet eruit gaat voor werkzaamheden (het servicebericht). Daar is echt geen opt-in voor nodig.

Arnoud

Ministers gevraagd of filmpjes van leraren in strijd met AVG zijn

Geplaatst op in Privacy, 16 reacties

De VVD heeft minister Van Engelshoven van Onderwijs en minister Dekker voor Rechtsbescherming gevraagd of filmpjes van leraren die door leerlingen worden gemaakt en op internet geplaatst in strijd met de Algemene verordening gegevensbescherming (AVG) zijn. Dat las ik bij Security.nl vorige week. De vragen zijn naar aanleiding van diverse filmpjes van leraren die op internet verschenen en leidden tot schorsing en ophef. De minister gaat niet over interpretatie van de AVG dus de vragen zijn juridisch niet zinnig, maar wel een aardige aanleiding voor de vraag: mag dat, je leraar filmen en dat op internet zetten?

Al in 2014 blogde ik over dit probleem, dat natuurlijk alleen maar groter is geworden de afgelopen jaren. En dan heb ik het niet alleen maar over opnames van lessen, maar juist over gekke situaties (‘pranks’, zeg maar pestgedrag waar je geacht wordt om te lachen) of escalaties die niet perse objectief in beeld komen. Het is logisch dat je als school daar wat mee wilt doen, of als getroffen leraar.

De AVG is nieuw, en zegt iets over beeldmateriaal, dus zal het wel een goede stok zijn om hier wat aan te doen. Een foto of video van iemand is natuurlijk een persoonsgegeven, maar dat wil echter niet zeggen dat je dus op grond van de AVG zo’n publicatie tegen kunt houden.

Allereerst zit je met het probleem dat deze leerling niet perse onder de AVG valt. De strikt huishoudelijke of privé-activiteit van verwerking is uitgesloten van de AVG. Voor jezelf en of een beperkte groep vrienden een filmopname maken zou best eens aan dat criterium kunnen voldoen. Daar staat tegenover dat een beveiligingscamera op de openbare weg hangen al buiten dat criterium viel en dus wél onder de AVG.

Ten tweede en belangrijker zit je met de vrijheid van meningsuiting, waar ook het maken van beeld onder valt. De AVG geldt maar beperkt bij journalistieke verwerkingen, zo heb je géén recht van verwijdering bij een dergelijke publicatie. Natuurlijk is een Youtube-publicatie van een schokkerig telefoonfilmpje heel wat anders dan een diepgravende documentaire van de BBC, maar dat is een kwaliteitstoets en geen juridisch relevant argument. Zolang de scholier er iets mee wil informeren of aan de kaak stellen, zit je al heel snel aan de AVG.

Daar staat dan weer tegenover dat een school gewoon huisregels kan stellen over het maken en/of publiceren van camerabeelden. Ik zou daar wel wat moeite mee hebben, omdat het vergaren van informatie een grondrecht is (deel van de vrijheid van meningsuiting) en een opleidingsinstituut die vrijheid niet zomaar even aan banden mag leggen. Maar als je het koppelt aan onaangekondigd filmen en/of tijdens de les, dan denk ik dat je zeker bij scholieren een heel eind komt.

Arnoud

En dan verbiedt de AP gewoon even op donderdagmiddag de cookiemuur

Geplaatst op in Privacy, 25 reacties

De Autoriteit Persoonsgegevens (AP) stelt nu dat de zogeheten cookiewall in strijd is met de Europese privacywet, meldde RTL Nieuws gisteren. De waakhond ontving de afgelopen tijd tientallen klachten over cookiewalls en besloot dat het maar eens afgelopen moest zijn met dwingende meldingen waar je ‘ja’ moet klikken om toegang tot een website te krijgen. Het argument is natuurlijk dat een dergelijke toestemming afgedwongen is, en dat is in strijd met de definitie van toestemming in de AVG die toch vrij duidelijk spreekt van “vrijwillig”. Maar volgens mij is de AVG iets genuanceerder dan dat.

Gisteren publiceerde de AP een normuitleg over cookiewalls, zeg maar een gezaghebbende opinie in functie over hoe de AVG uitgelegd moet worden. Met zo’n normuitleg kan de AP vervolgens gerichter handhaven, iedereen zou nu moeten weten hoe het zit. En omgekeerd, als je doet wat in de normuitleg staat dan hoef je niet bang te zijn dat er tegen je gehandhaafd wordt.

De normuitleg maakt al meteen duidelijk dat het gaat om tracking cookies. Wie een cookiewall bij andersoortige cookies inzet (bijvoorbeeld bij first party analytics) valt er dus buiten, dat is dan een juridisch andere situatie. Maar werk je met tracking (een term die in de normuitleg niet wordt gedefinieerd) dan krijg je dit:

Het principe van een cookiewall komt neer op ‘take it or leave it’ en is daarmee geen ‘echte’ of ‘vrije’ keuze. Hoewel bij cookiewalls toestemming voor het plaatsen van cookies kan worden geweigerd, kan dat niet zonder nadelige gevolgen, omdat de weigering betekent dat de website dan überhaupt niet kan worden bezocht. Kortom, als op een website (mede) wordt gevraagd om toestemming voor tracking cookies en bij weigering daarvan toegang tot de website, app of andere dienst niet mogelijk is, vindt de AP dat onrechtmatig.

Ik vind hier wel wat van. Allereerst vind ik het veel te snel om te zeggen “je kunt niet bij een site dús geef je geen vrije toestemming”. Een dienstverlener is niet verplicht je toegang te verlenen tot zijn site, dus vind ik het niet a priori onrechtmatig om toegang te weigeren.

Daarnaast is de AVG zeker niet zo stellig. Artikel 7 lid 4 zegt immers:

4. Bij de beoordeling van de vraag of de toestemming vrijelijk kan worden gegeven, wordt onder meer ten sterkste rekening gehouden met de vraag of voor de uitvoering van een overeenkomst, met inbegrip van een dienstenovereenkomst, toestemming vereist is voor een verwerking van persoonsgegevens die niet noodzakelijk is voor de uitvoering van die overeenkomst.

Dit is nadrukkelijk niet hetzelfde als “het mag niet”. Ik vind dat een normuitleg dan niet zo categorisch kan zeggen “het mag niet”, maar moet aangeven met welke factoren je dan rekening zou moeten houden.

Ik kan me er bijvoorbeeld wat bij voorstellen als je zegt, nieuwswebsites (zoals Nu.nl of RTL Nieuws) die zo groot zijn dat ze essentieel deel van het medialandschap zijn, die mogen geen cookiewall. Dan ontzeg je het publiek toegang tot iets essentieels, net zoals wanneer de KLM dat zou doen. Of wanneer de cookiewall pas komt nadat je al een relatie met de organisatie hebt, zoals een energiebedrijf dat een cookiewall zet op de pagina voor de meterstanden of een voetbalvereniging op het ledengedeelte.

Zijn er alternatieven? De AP noemt ze niet. Ja, je kunt als site volstaan met analytics cookies en geen advertenties tonen:

Daarmee kan de bezoeker die niet ‘getracked’ wil worden, toch de site raadplegen.
Dat geloof ik graag, maar dit komt erop neer dat je als bezoeker te allen tijde recht hebt op toegang tot iemands website. En dat gaat me te ver – de AVG zegt “kijk ten strengste naar de relatie tussen toestemming en dienst” en niet “je mag het niet koppelen”.

Helemaal mooi vond ik de reactie van collega-jurist Charlotte Meindersma:

Ook internetjurist Charlotte Meindersma vindt de reactie van de AP ‘nogal overdreven’: “In een aankomende Europese wet, de ePrivacy Verordening, gaat het veel meer over cookiewalls. Daarin staat dat websites waar informatie op staat die je nergens anders krijgt, geen cookiewall mogen hebben, zoals overheidswebsites. Maar voor commerciële media heb je genoeg alternatieven.”

Die Verordening is nog niet aangenomen, maar veel zal er niet meer veranderen denk ik. Er kan dus de situatie ontstaan dat we straks een op de AVG aanvullende (en dus prevalerende) wet krijgen die zegt dat mediasites wél mogen tracken en dat met cookiewall mogen afdwingen, waardoor deze normuitleg weer moet worden teruggedraaid. Zit je dan als ondernemer.

Arnoud