Ius Mentis

Is er ook een meldplicht datalekken voor bedrijfsdata?

Geplaatst op 7 maart 20194 maart 2019 in Intellectuele rechten, Ondernemingsvrijheid, 3 reacties

Een lezer vroeg me: Vraag: De laatste jaren is er veel te doen over datalekken. Daarbij gaat het echter steeds over privacygevoelige data, wat ik snap gezien de gevolgen bij consumenten maar hoe zit het met andere bedrijfsdata? De term ‘datalek’ is immers breder, maar ik kan niet vinden hoe het zit met de meldplicht voor bijvoorbeeld diefstal van bedrijfsgeheimen. Hoe zit dit?

De term ‘datalek’ is inderdaad een tikje misleidend, omdat het wettelijk gezien echt alleen gaat over het lekken/misbruiken van persoonsgegevens. Er is geen algemene regeling over het moeten melden van andersoortige security-incidenten of misbruik van gevoelige bedrijfsgegevens.

Specifiek bij de Rijksoverheid en vitale aanbieders geldt wel een aparte meldplicht voor andere security-incidenten. Op 1 oktober 2017 is de Wet gegevensverwerking en meldplicht cybersecurity (Wgmc) in werking getreden. Per 1 januari 2018 moeten deze organisaties incidenten melden bij het NCSC, zodat deze de impact en risico’s voor de samenleving kan inschatten. Dit geldt alleen als je als organisatie bent aangewezen als ‘vitale aanbieder’.

Ben je niet ‘vitaal’, dan is de omgang met diefstal of vernieling met bedrijfsdata geheel je eigen keuze. Melden kan niet, er is geen loket dat dit in behandeling neemt. Vaak zal dergelijk handelen strafbaar zijn (denk aan computervredebreuk of afluisteren/aftappen van data) en dan kun je aangifte doen natuurlijk van die feiten. De waarde van die data kan dat strafbaar feit dan meer gewicht geven.

Eind oktober is ook de Wet bescherming bedrijfsgeheimen in werking getreden. Deze biedt organisaties de mogelijkheid om zelf op te treden tegen ongeautoriseerd gebruik van data die waarde heeft omdat deze niet algemeen bekend is. Met die wet in de hand kun je dus optreden tegen bijvoorbeeld een concurrent die een setje offertes weet te bemachtigen door een slechte beveiliging. Dit moet je wel zelf doen bij de civiele rechter.

Opmerkelijk aan die wet vind ik overigens nog dat er expliciet is gezegd dat een bedrijfsgeheim géén IE-recht is. Je kunt een geheim niet verkopen of in licentie geven. Wel heb je ongeveer dezelfde middelen ter beschikking om een inbreukmaker aan te pakken, zoals beslag en een volledige proceskostenvergoeding – maar dat laatste alleen als dat gepast is gezien de waarden van je geheim.

Arnoud

Politie mocht iPhone verdachte onder dwang via duim ontgrendelen

Geplaatst op 6 maart 201928 februari 2019 in Regulering, Security, 10 reacties

De politie heeft in een onderzoek naar een phishingbende de iPhone van een verdachte onder dwang via zijn duim mogen ontgrendelen, las ik bij Security.nl. In drie vonnissen besliste de rechtbank Noord-Holland dat deze opsporingstechniek legitiem is, ook nu er geen specifieke wettelijke regeling is. Dat bevestigt de eerdere lijn uit februari waarin ook de Marechaussee dit mocht doen.

In deze zaak ging het om verdenkingen van phishing (juridisch: diefstal in vereniging en oplichting), waarbij de verdachten in voorlopige hechtenis waren genomen. Daarbij werd een iPhone aangetroffen, die de politie wilde ontgrendelen waarvoor de vinger van de verdachte nodig was. Die weigerde dat, waarop de officier besloot dat de verdachte weerspannig was en hem liet boeien, waarna de vinger door een agent op de telefoon werd gezet. Daarna was de telefoon toegankelijk voor onderzoek.

Het juridische probleem hierachter is dat er geen specifieke regels zijn over het doorzoeken van telefoons die als bewijs in beslag zijn genomen. Dat moet eigenlijk wel, omdat dergelijke apparaten tegenwoordig veel persoonlijke informatie bevatten. Om diepgaand te treden in de privacy van een verdachte, is een wettelijke regeling nodig. Denk aan huiszoeking of snuffelen in iemands mailbox.

De Hoge Raad bepaalde in 2017 dat de politie terughoudend moet zijn met telefoondoorzoekingen. Even kijken naar “een gering aantal bepaalde gegevens” bij een concrete aanleiding kan nog net, de gehele telefoon van 0 tot 255 doornemen zou te ver gaan tenzij daar héél zwaarwegende redenen voor zijn. In de praktijk komt dit erop neer dat hoe ernstiger de verdenking, hoe verder men mag kijken.

Leuk en aardig maar als die telefoon niet open gaat, dan houdt al het onderzoek snel op. De laatste jaren is er dan ook veel discussie geweest over hoe de politie een telefoon mag open forceren als ze niet zelf de pincode of andere unlockinformatie kan achterhalen. De vinger op de sensor forceren werd al snel een centraal punt in die discussie. Is dat nu gewoon een vingerafdruk nemen (zoals al sinds jaar en dag gebeurt) of is dit iemand dwingen tegen zichzelf te getuigen?

De lijn die bij dit nemo tenetur-beginsel in mensenrecht-jurisprudentie getrokken wordt, is of de gedwongen actie iets is dat al dan niet onafhankelijk van de wil van de verdachte plaats kan vinden. Hem fotograferen of een vingerafdruk afnemen voor het dossier, is iets dat kan of hij dat nu wil of niet. Zeggen waar het lijk ligt, vereist zijn wil. Je mag in die lijn dan ook wel een verdachte dwingen in de lens te kijken of zijn vinger op een stempelkussen te duwen en daarna op een papiertje, maar niet op een kaart te markeren waar het lijk te vinden is.

Anders dan de situatie waarin verdachte wordt gedwongen de toegangscode van zijn telefoon te geven, hetgeen een verklaring van verdachte vereist, maakt het plaatsen van de duim van verdachte op zijn iPhone naar het oordeel van de rechtbank geen inbreuk op het nemo tenetur-beginsel. Het betreft hier namelijk het dulden van een onderzoeksmaatregel die geen actieve medewerking van verdachte vereist. Daar komt bij dat de vingerafdruk met een zeer geringe mate van dwang is verkregen. Dat met het plaatsen van de duim van verdachte op de iPhone toegang wordt verkregen tot mogelijk wilsafhankelijke en voor hem belastende gegevens, maakt dit naar het oordeel van de rechtbank niet anders.

De rechtbank weegt daarbij mee dat er maar weinig andere mogelijkheden waren, onder meer omdat een telefoon zich na een bepaald aantal pogingen permanent vergrendelt. En de verwachting was zeer groot dat er wat te vinden zou zijn. Dat alles bij elkaar maakt dat het ontgrendelen legitiem wordt geacht.

De uiteindelijk gevonden informatie blijkt vervolgens ook relevant voor de strafzaak. Ik ben dan nog wel benieuwd hoe dit uit zou pakken als blijkt dat de politie verkeerd zat, maar de lijn dat een vinger afdwingen mag, lijkt daarmee wel definitief gezet.

Arnoud

Mag nu.nl ontkennen van klimaatverandering verbieden op haar nujij.nl reactiesite?

Geplaatst op 5 maart 201928 februari 2019 in Uitingsvrijheid, 87 reacties

Het ontkennen van klimaatverandering of de invloed van de mens daarop, is op NUjij niet langer toegestaan. Zo opende Nu.nl vorige week een bericht om haar nieuwe beleid omtrent dit onderwerp toe te lichten. NU.nl heeft een verantwoordelijkheid om bezoekers van betrouwbare informatie te voorzien, zo licht men toe: ook de reacties van haar miljoenen bezoekers vallen daaronder, omdat deze zo groots zichtbaar zijn krijgen ook deze een groot bereik. Nu.nl neemt daarom haar verantwoordelijkheid en verbiedt het verspreiden van deze onwaarheid. Wat me dus vele mails gaf met de vraag of dit censuur is, of Nu.nl dit mag et cetera.

Het flauwe en pedante antwoord is dat dit geen censuur is omdat die juridische jargonterm betekent dat de overheid voorafgaand toezicht op een uiting toepast. Nu.nl is geen overheid en kan dus niets of niemand censureren. Het bedrijf (Sanoma bv) beslist zelf wat er op haar site wordt gepubliceerd, en of ze iets weigeren omdat het klimaatveranderingsontkenning is of omdat het moeilijk leesbaar is, is dan hun eigen keuze. Huisregels mag je zelf verzinnen.

Of toch niet. Want juist bij grote clubs zoals Sanoma/Nu.nl zit je praktisch toch met een probleem: worden daar bepaalde berichte of onderwerpen geweerd, dan verdwijnen ze effectief van de publieke radar. Je kunt natuurlijk wel een eigen site beginnen of op een vaag Amerikaans forum je betoog vervolgen, maar geen hond die dat leest. Je wilt, nee je moet op Nujij zijn om je mening effectief te uiten.

Een discussie die al langer speelt, onder meer toen Volkskrantblog ging sluiten en vele mensen boos waren omdat ze hierdoor hun mening niet meer kwijt konden. Maar je hebt geen recht op meningsuiting bij een ander. In beginsel dan. Heel misschien kan dat anders liggen:

In de Europese Appleby-zaak wilde een groep demonstranten in een winkelcentrum ” ook een semi-openbare ruimte ” haar mening uiten. De (private) eigenaar verbood dit op grond van zijn eigendomsrecht. Het EHRM oordeelde dat dit in beginsel inderdaad toegelaten was. Het eigendomsrecht woog zeer zwaar en kon in beginsel slechts opzij gezet worden wanneer sprake was van “preventing any effectieve exercise of freedom of expression or [if] it can be said that the essence of the right has been destroyed (r.o. 47).”

De Nujij-klimaatveranderingsoorzaaksontkenners zouden dus alleen een punt hebben als je werkelijk nergens anders effectief je mening over dit onderwerp kwijt zou kunnen. Daar valt dus wat voor te zeggen als inderdaad “de reacties op NU.nl miljoenen keren per maand gelezen worden en dus een belangrijk onderdeel van ons informatieaanbod zijn” bij de bekendste nieuwssite van Nederland.

Tegelijk denk ik dat hier ook meespeelt dat dit nauwelijks nog een serieuze discussie te noemen is. De wetenschappelijke consensus is al vrij lang dat klimaatopwarming door de mens veroorzaakt wordt. Dus op dat punt nog willen debatteren over te ja dan te nee, is geen heel sterk rechtens te respecteren belang. Daar krijg je de rechter dan ook een stuk minder snel warm voor dan voor bijvoorbeeld jouw politieke visie over zeg het basisinkomen (stel dat Nu.nl dat zou weren).

Arnoud

Mag je van de GDPR geen cloud-based office dienst meer inzetten?

Geplaatst op 4 maart 201927 februari 2019 in Privacy, Regulering, 29 reacties

It is currently impossible for Sweden’s public sector to purchase web-based office services (word processing, email and text/video chat) that comply with the European General Data Protection Regulation (GDPR). Dat las ik bij de Open Source Observatory. Men ging af op een studie van de Zweedse National Procurement Services die focust op de impact van de US CLOUD Act, waarmee data vanuit Europa ineens opgevraagd kan worden door Amerikaanse diensten, en dat is dan in strijd met de AVG/GDPR. Dus einde van de cloud-based office in Europa? Nou, niet helemaal.

Er is veel onduidelijkheid over de US CLOUD Act, en dat is niet gek want die wet is er stilletjes en zonder al te veel voorafgaande discussie gekomen middenin het getouwtrek tussen Microsoft en de FBI over afgifte van data bij een Europese dochter van het Office-cloudbedrijf. Kort en goed zegt die wet, niet zeuren maar doen. Afgeven die hap, ook als die in het buitenland staat. Letterlijk (paragraaf 2713):

Electronic communication service providers and remote computing service providers must comply with the obligations of [this Act] to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider’s possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.

Zo’n bevel kan aan Microsoft in Redmond, Washington worden gegeven. Die zou dan haar Duitse dochter kunnen opdragen die gegevens door te geven, want je zit nu eenmaal in een concern. Maar dat kan eigenlijk niet, want binnen de regels voor concerns kán een moeder niet direct bevelen wat een dochterbedrijf moet doen. Aandelen geven wel zeggenschap, maar geen bestuursbevoegdheid. Je moet dus het bestuur overtuigen, en dat kan eigenlijk alleen door te zeggen dat je het bestuur eruit gooit als ze niet doen wat je zegt. Dat zou nogal opvallen, en als in de statuten van die dochter ook nog vervelende dingen staan dan wordt dit helemaal een heilloze route.

Meer effect zou je als FBI hebben als je direct die Duitse dochter pakt en zegt, afgeven die hap, strikte geheimhouding en anders Gitmo for you. Maar ook dat wordt dan nog knap ingewikkeld, want dat mág helemaal niet. In de AVG is hier namelijk een specifiek artikel over opgenomen, artikel 48:

Elke rechterlijke uitspraak en elk besluit van een administratieve autoriteit van een derde land op grond waarvan een verwerkingsverantwoordelijke of een verwerker persoonsgegevens moet doorgeven of verstrekken, mag alleen op enigerlei wijze worden erkend of afdwingbaar zijn indien zij gebaseerd zijn op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand, tussen het verzoekende derde landen en de Unie of een lidstaat, onverminderd andere gronden voor doorgifte uit hoofde van dit hoofdstuk.

Een bevel onder de CLOUD Act voldoet niet aan die omschrijving. (Een rechtshulpverzoek aan de Duitse federale politie natuurlijk wel, maar die toetsen dan naar Duits recht en daar hoort iets meer openbaarheid en toetsing aan grondrechten bij.) Daarmee zou die Duitse dochter dus niet mee mogen werken op straffe van hoge boetes. Een vervelende spagaat; je moet iets afgeven op straffe van hoge boetes of zelfs celstraf, maar je mag het niet afgeven op straffe van minstens zo hoge boetes en dreiging van sluiting van je bedrijf (een verwerkingsverbod). Wat moet je dan doen als directie?

Arnoud

Waarom moeten artsen binnenkort hun BIG nummer op Twitter zetten?

Geplaatst op 1 maart 201927 februari 2019 in Regulering, 19 reacties

Huisartsen en andere zorgverleners zijn verbaasd over de manier waarop ze vanaf 1 april hun registratienummer moeten tonen. Dat las ik bij RTL Nieuws. Als voorbeeld noemen ze dat dit nummer onder meer bij hun Twitter-account moeten staan als ze zich daar als arts bekendmaken. Grote ophef en protest, niet alleen bij artsen maar ook bij fysiotherapeuten, verpleegkundigen en andere beroepsbeoefenaars die in het BIG-register zijn ingeschreven. Vanwaar deze consternatie?

De Wet op de beroepen in de individuele gezondheidszorg (‘Wet BIG’) bestaat al heel wat jaartjes en reguleert, inderdaad, beroepen in de gezondheidszorg. Een belangrijke component daarvan is het register, waar je als gereguleerde zorgaanbieder ingeschreven moet staan. Een beetje vergelijkbaar met de KVK voor ondernemers, maar strenger want als je eruit wordt gehaald dan mag je je beroep niet meer beoefenen.

Door een wijziging in de wet BIG zijn BIG-geregistreerde zorgverleners per 1 april 2019 verplicht hun BIG-nummer actief bekend te maken, aldus de Rijksoverheid in februari. Die wetswijziging is vorig jaar aangenomen, en daarbij is dit punt niet echt onder de aandacht gekomen volgens mij. Ik denk dat dat komt omdat er in de wet alleen iets vaags stond:

Bij algemene maatregel van bestuur kan worden bepaald in welke gevallen en op welke wijze de beoefenaar van een beroep als bedoeld in artikel 3, eerste lid, het publiek kenbaar maakt onder welk BIG-nummer hij is ingeschreven.

Die informatie van de Rijksoverheid is voor zover ik kan nagaan niet op een AMvB gebaseerd, maar het ministerie van VWS loopt vooruit (aldus NVZ Kennisnet) met deze publicatie. En wat veel mensen helemaal overvalt, is dat dit zonder overleg met het veld en al per 1 april is besloten. Nog los van de algemene negatieve opinie dat dit niets toevoegt, zie bijvoorbeeld het t-shirt van huisarts Marco Blanker (topicfoto) die tegenwoordig als Twitternick zijn BIG-nummer heeft.

Het ministerie noemt als motivatie dat het transparanter voor zorgafnemers is om meteen het BIG-nummer te hebben. Je kunt dan meteen opzoeken wat voor kwalificaties iemand heeft (of heel basaal of een nepnummer is gebruikt), en dat gaat sneller dan alleen een achternaam of Twitternick. Achternaam en geboortedatum zou wel werken, maar veel zorgverleners vinden dat net iets privacygevoeliger, zo lees ik. En dan is dit nummer dat toch al openbaar is, misschien een betere oplossing. Tegelijkertijd heb ik geen idee welk probleem dit dan zou oplossen want het lijkt vrijwel niet voor te komen dat mensen zich met andermans BIG-nummer als arts voordoen, of dat patiënten werkelijk hun zorgverlener niet kunnen vinden.

Arnoud

Hoe generiek mag je privacyverklaring zijn onder de AVG?

Geplaatst op 28 februari 201926 februari 2019 in Privacy, 12 reacties

Een lezer vroeg me:

Een van mijn ‘leveranciers’ heeft in de Privacy Verklaring staan dat ze bij websitebezoek mijn IP-adres, Internetbrowser, besturingssysteem en apparaattype opslaan. Dat doen ze “Voor het onderzoeken van je (surf)gedrag op onze website, zo kunnen we bijvoorbeeld de website en onze tools nog beter maken.” Bij navraag blijkt dat ze zich beroepen op het gerechtvaardigd belang. Mag dat zo generiek? Als dat zo is, dan mag iedereen weer alles opslaan van de website bezoeker, want alles is bruikbaar voor verbetering van de website.

Het is inderdaad mogelijk om met een beroep op het gerechtvaardigd belang van alles te doen onder de AVG. Maar dat moet je wel onderbouwen, en een tekst als deze voelt wat magertjes.

Het eigen gerechtvaardigd belang is een grondslag voor de verwerking van persoonsgegevens. Als je je hierop beroept, heb je geen toestemming nodig maar alleen een gemotiveerde belangenafweging die in jouw voordeel uitkomt. Het is dus ten onrechte dat dingen “niet mogen” van de AVG of niet mogen zonder toestemming; deze grondslag (en er zijn er nog 4) is net zo goed als met toestemming werken.

Die belangenafweging is natuurlijk wel kern. Bij toestemming weet je dat het mag, omdat je hebt uitgelegd wat je gaat doen en de betrokkene daar expliciet mee instemt. Bij het gerechtvaardigd belang weet je dat niet, je moet zelf verzinnen wat men ervan zou vinden en hoe je de privacy van betrokkenen afweegt tegen jouw belang.

In de praktijk komt het erop neer dat je eerst op een rijtje zet wat je wilt doen en wat je daarvoor nodig hebt, en dat je daarna kijkt of het niet een onsje minder kan. In juridische taal: dat je privacybevorderende maatregelen neemt die eventuele inbreuken door jouw verwerking beperken of tot nul reduceren.

Bij de verwerking hierboven kun je je afvragen hoe lang daarbij is stilgestaan. Het is zeker een gerechtvaardigd belang om te kijken hoe je site wordt gebruikt zodat je deze beter kunt maken. Maar daarmee is niet gezegd dat je dus alles mag verzamelen. In dit geval vind ik wel dat inventariseren van besturingssysteem en apparaattype weinig kwaad kan, die gegevens zijn erg relevant in de aggregatie (moeten we Safari blijven ondersteunen, tablets gebruikt niemand meer) maar niet voor persoonsgebonden onderzoek (he daar heb je die Linuxgebruiker weer).

Natuurlijk kún je die gegevens ook voor heel persoonlijk volgen gebruiken (device fingerprinting) maar dat wordt hier niet genoemd en zou ook een hele andere belangenafweging eisen. Gegevens verzamelen voor doel X en dan inzetten voor niet-genoemd doel Y is AVG-technisch onder geen voorwaarde toegestaan (oké tenzij X en Y zeer dicht bij elkaar liggen), dus als jurist zou ik dan zeggen dat hier niets aan de hand is.

Ik had wel graag gezien dat in de privacyverklaring werd uitgelegd dát die gegevens alleen voor geaggregeerde gebruiksstatistieken werden ingezet. Dat had in ieder geval deze vraagsteller gerustgesteld vermoed ik.

Arnoud

Mag ik met mijn sitebezoekers meelezen voordat ze hun chatbericht sturen?

Geplaatst op 27 februari 201922 februari 2019 in Ondernemingsvrijheid, Privacy, 27 reacties

Een lezer vroeg me:

We overwegen een chatdienst voor onze webshop, en kwamen Tidio Chat tegen. Leuk en aardig, maar toen las ik “Use the Live Typing preview to see what your customers are typing before they even hit the ‘send’ button!” Is dat wel legaal onder de GDPR?

Mijn eerste gedachte toen ik dat las: waarom zou je dat willen als ondernemer? Omdat je dan net 2 seconden sneller de vraag kunt beantwoorden? Dat voelt als een nogal marginaal voordeel ten opzichte van de heisa die je je op de hals haalt. Maar er zijn er meer dan toevallig dit bedrijf die het aanbieden, dus kennelijk is er vraag naar.

Onder de GDPR zijn er vrij weinig dingen die echt nooit mogen. Het gaat altijd over de voorwaarden waaronder en de reden waarom je het wilt doen. Bij een online game lijkt het me best handig dat iedere toets die je indrukt, meteen naar alle medespelers gaat. Maar bij een geheim-dagboek-brainstormsite die je belooft dat je offline schrijft wat je wilt en daarna publiceert wat je écht meent, zou ik het raar vinden als ieder teken naar de site gaat.

Kort en goed, je moet vooraf zeggen wat je doet en waarom, en daarnaast een grondslag hebben. Die grondslag zal bij webwinkels vaak de overeenkomst zijn, je chat met een winkel omdat je iets wilt bestellen of iets besteld hebt en daar wat over wilt zeggen. Het opsturen van je chatberichten is dan redelijkerwijs noodzakelijk. Over dat direct meelezen kun je twisten, maar als je daar een argument voor weet te vinden, dan zit je snor wat betreft je grondslag.

Blijft over de informatieplicht. Je moet expliciet, duidelijk en in eenvoudige taal aangeven dat je deze feature toepast. En wel zo dat mensen het weten voordat het gebeurt. Dat is meestal waar het misgaat, want het staat zelden tot nooit ergens behalve wellicht in een privacyverklaring met omfloerste taal. En dan ben je af, in GDPR taal.

Wil je dit toch legaal inzetten, dan zul je expliciet bij het chatvenster moeten zetten “Let op: wij lezen mee met elke letter die u intypt, ook voordat u op Verzenden klikt”. Dat is niet voor misverstand vatbaar.

En als je dan denkt, ja maar dan wil niemand meer met me chatten, dat vinden ze niet leuk, dan heb je dus geen onderbouwing voor je noodzaak. En dan mag het dus niet.

Arnoud

Mag een bedrijf gesprekken opnemen voor kwaliteitsdoeleinden?

Geplaatst op 26 februari 201922 februari 2019 in Privacy, 15 reacties

Een lezer vroeg me:

Ons bedrijf krijgt regelmatig van medewerkers en relaties de klacht dat er een storing op de telefoonlijn zit die stemmen vervormt. Onze telecomprovider wil dit onderzoeken maar moet daarom een aantal gespreksopnames beluisteren. Het personeel is hier echter negatief over, omdat niet vooraf is gemeld dat gesprekken worden opgenomen. Zij zijn bang voor boze klanten, en een aantal vindt het zelf ook niet prettig dat gesprekken worden opgenomen. Hoe kunnen wij nu toestemming krijgen van personeel en klanten?

Het is een misverstand dat je onder de AVG altijd toestemming nodig hebt om een gespreksopname te maken. De AVG kent zes zogeheten grondslagen voor het verwerken van persoonsgegevens, en toestemming is er daar één van. Maar er zijn er meer; met name het eigen gerechtvaardigd belang is een alternatief voor dit soort situaties.

Dat je als bedrijf wilt dat je telefoonverbinding vrij is van storingen, lijkt me vrij evident een legitiem belang. Dat daar persoonsgegevens bij nodig zijn, is onvermijdelijk – je moet een gesprek beluisteren om te horen wat er misgaat. Dan is dus de vraag hoe ver je daarin mag gaan.

Ik zie hier een aantal factoren die in het voordeel van de werkgever spelen. Allereerst wordt de opname gemaakt door de telecomprovider, die verder geen belang heeft bij de inhoud van het gesprek. De werknemer hoeft niet bang te zijn dat het gesprek ineens op zijn functioneringsgesprek terugkomt, bijvoorbeeld. De werkgever kan dit expliciet vastleggen in een contract met de provider. Ten tweede zal waarschijnlijk zeer kort en beperkt worden geluisterd naar de opname, men zoekt het moment met de storing, luistert of dat informatie geeft -is het gepiep, vervorming, blikkerig geluid- en kijkt dan elders (bijvoorbeeld in logbestanden) naar mogelijke oorzaken. En ten derde gaat het slechts om een paar opnames, een of twee zouden al genoeg moeten zijn.

Een factor in het nadeel van de werkgever is natuurlijk dat niet vooraf is gezegd dat gesprekken kunnen worden opgenomen. Dat is een probleem, want je moet voor of bij het verwerken van de gegevens (hier dus: het opnemen van het gesprek) melden dat dat gebeurt (artikel 12 AVG). Ik zou dan ook adviseren om nu een paar gesprekken aan te wijzen en in overleg met het betrokken personeelslid deze op te laten nemen door de telecomprovider. In overleg – dus niet “met toestemming”, maar zodat je als goed werkgever weet dat er geen grote bezwaren bestaan.

Ook kun je als werkgever vaak terugvallen op de grondslag van de uitvoering overeenkomst: je hebt een contract met je personeel (of met je klant) en sommige dingen horen daar nu eenmaal bij. Als iets nodig is voor het werk, dan mag het van de AVG en is geen toestemming nodig. Natuurlijk kun je je afvragen of iets nu echt nodig is voor het werk – die GPS-tracker bij je handelsagenten lijkt me wat overdreven – maar het opnemen van een gesprek om een technische storing op te sporen, lijkt me een normaal deel van werk anno 2019. De inhoudelijke afweging wordt dan hetzelfde.

De klant zal dit ook gemeld moeten krijgen, omdat ook zijn of haar persoonsgegevens worden verwerkt. Dat zou eigenlijk vooraf moeten, dus de medewerker moet daar dan over worden geïnstrueerd. Dit is denk ik de oorsprong van de melding “opname voor gespreksdoeleinden”.

Ook bij de klant is echter overigens formeel geen toestemming nodig, ook in zijn relatie kun je een beroep doen op die andere grondslagen. Maar het lijkt me wel zo netjes en verstandig om het vooraf even te vragen.

Arnoud

Hoe belangrijk zijn emoji in een vonnis?

Geplaatst op 25 februari 201920 februari 2019 in Regulering, 11 reacties

Amerikaanse rechtbanken kunnen niet omgaan met emoji (emoticons), las ik bij The Verge. Santa Clara University law professor Eric Goldman heeft onderzoek gedaan naar emoji’s in vonnissen, en zag opvallend vaak dat deze gewoon maar werden weggelaten hoewel ze steeds vaker in zaken een rol spelen. Dat heeft een basale reden, de databanken waar vonnissen in opgenomen worden kunnen niet goed met niet-tekstuele gegevens omgaan. Dat is in Nederland gelukkig iets makkelijker, Rechtspraak.nl kan gewoon afbeeldingen in vonnissen opnemen. Maar hoe rechters emoji interpreteren, blijft een open vraag.

Goldman zag de termen ‘emoji’ en ‘emoticon’ sinds 2004 opkomen, de laatste paar jaar exponentieel toegenomen ten opzichte van het begin. In allerlei soort zaken, van moordzaken en overvallen tot vervolgingen wegens pooierij of zelfs een contractenzaak:

In 2017, a couple in Israel was charged thousands of dollars in fees after a court ruled that their use of emoji to a landlord signaled an intent to rent his apartment. After sending an enthusiastic text confirming that they wanted the apartment, which contained a string of emoji including a champagne bottle, a squirrel, and a comet, they stopped responding to the landlord’s texts and went on to rent a different apartment. The court declared that the couple acted in bad faith, ruling that the “icons conveyed great optimism” that “naturally led to the Plaintiff’s great reliance on the Defendants’ desire to rent his apartment,” according to Room 404.

Ik denk dat dit in Nederland ook wel zo zou uitpakken. Ik heb echter gezocht maar kon weinig vinden aan vonnissen waarin emoji’s, emoticons of smileys een rol speelden. Er zijn vele zaken met treffers maar vrijwel altijd vals positief: allerlei drugs wordt verkocht met smileys erop, bijvoorbeeld.

De enige echte zaak die ik ken waarin een smiley meegewogen werd, was de Balkenende-bedreiging uit 2010 op ‘jongerenmedium’ Hyves:

ey bolle vet zak met je kanker bolle kanker bril je gaat died bitch ik kom je halen

Klinkt agressief, nietwaar? Maar de ontvanger van deze krabbel – toenmalig ministerpresident Balkenende – hoefde zich niet bedreigd te voelen:

Gelet op de gebruikte bewoordingen, het feit dat het bericht afkomstig was van een jongerennetwerk en het feit dat aan het bericht vijftien, verschillende soorten ‘smileys’ waren toegevoegd, komt het hof tot het oordeel dat een dergelijke vrees in redelijkheid niet bij [minister-president] heeft kunnen ontstaan.

Dat wil natuurlijk niet zeggen dat berichten met smileys nooit en te nimmer strafbaar kunnen zijn. In deze arbeidsrechtzaak las ik bijvoorbeeld een ongepaste chat tussen twee werknemers waarin een smiley een bericht een dubieuzere toon gaf dan de tekst alleen. En ik zou me kunnen voorstellen dat bij een dreigtekst een emoji van een pistool de lading ook een stuk ernstiger maakt dan een hartje of een emotieloze tekst.

Wie de mooiste zaak vindt, wint een gratis exemplaar van De wet op internet!

Arnoud