Juridisch de hand lichten voor een YouTuber/influencer, het kan

Geplaatst op in Ondernemingsvrijheid, 5 reacties

Verzoeker wenst de bevoegdheden te verwerven van een meerderjarige, zo begint een beschikking van de rechtbank Gelderland. Ik kreeg deze van een lezer met de vraag of dat normaal is, omdat het gaat om een zestienjarige die een eigen bedrijf runt als Youtuber/influencer. Kun je vanwege zoiets ineens meerderjarig verklaard worden? Het korte antwoord: ja, dat is normaal en dat kan.

Een persoon van zestien kan op zich geen rechtshandelingen verrichten, zo staat in de wet (art. 1:234 BW). Behalve rechtshandelingen die normaal zijn voor iemand van zijn of haar leeftijd. Nu doen zestienjarigen veel, en zitten er ook behoorlijk wat op Youtube elkaar te influencen, maar een eigen bedrijf beginnen en daar ook nog redelijk succesvol in zijn is nog niet echt gebruikelijk te noemen.

Het voelt nogal oneerlijk -en ook wel onhandig- om bij zo’n ondernemer te zeggen, ga maar voor alles een handtekening bij je moeder halen. Daarom kent de wet het systeem van handlichting: de rechter bepaalt dan dat je “bepaalde bevoegdheden van een meerderjarige” krijgt, zodat je zelfstandig die handelingen kunt verrichten en je ouders daar geen invloed op hebben. (En er ook niet voor aansprakelijk zijn, trouwens).

In dit geval ging het verzoek redelijk soepel, omdat de ouders ermee instemden en de rechtbank ook niets raars in het dossier ziet. De jongeman wordt toegestaan om alles te doen dat nodig is voor zijn bedrijf, waaronder het aangaan van overeenkomsten tot een bedrag van € 5.000,00 en het verrichten van betalingen tot € 500,00. Hij mag geen onroerende zaken of effecten verwerven of verkopen, dat kan echt pas als hij achttien is.

Een praktisch punt is nog dat de wet zegt dat een handlichting in de Staatscourant en twee dagbladen vermeld moet worden. Dat vinden kantonrechters al een paar jaar zeer onpraktisch, vandaar dat ze er voor gekozen hebben hun beschikking via rechtspraak.nl te publiceren met (in dit geval) de verplichting om het nog wel in een regionaal dagblad te publiceren.

Arnoud

Mag je onder de AVG als cliënt de thuiszorg filmen?

Geplaatst op in Privacy, 13 reacties

Een lezer vroeg me:

In 2013 blogde je over de vraag: Mag een cliënt de thuiszorg met een webcam filmen? Toen was een eenduidig antwoord met ja of nee niet te geven. Maar hoe zit dat nu onder de AVG, deze stelt strengere regels. Mag het nu eindelijk niet meer?

De eerste regel bij filmen in privéruimtes is volgens mij nog steeds het Wetboek van Strafrecht. Het filmen van personen in een niet-openbare ruimte zoals een huis is verboden, tenzij je dit duidelijk aankondigt en een zwaarwegende reden hebt om om deze manier mensen te filmen (art. 139f Strafrecht). Dat artikel is hetzelfde als in 2013. Het blijft dus strafbaar om stiekem de thuiszorg te filmen.

De AVG kan het Wetboek van Strafrecht niet opzij zetten. Los daarvan is volgens mij de AVG in het geheel niet van toepassing, omdat het gaat om filmen door de cliënt zelf met als doel zichzelf te beschermen (neem ik maar aan). Dat valt onder de uitzondering voor privédoeleinden, zodat de AVG niet van toepassing is.

Ik weet dat die uitzondering beperkt wordt uitgelegd, hij geldt niet bij cameratoezicht op de openbare weg. Maar ik denk dat er nog wel ruimte is voor die uitzondering voor filmen in je eigen huis, wanneer je die beelden alleen voor jezelf nodig hebt. Het criterium uit dat arrest uit 2014 was vooral dat je in andermans ruimte komt (de openbare weg) en dat gaat hier niet op.

Als de AVG wel zou gelden, dan zou je als cliënt een register moeten hebben voor dit toezicht, de thuiszorg duidelijk moeten informeren en een belangenafweging op papier hebben gemaakt. Dat komt afgezien van de administratieve rompslomp neer op hetzelfde als wat het strafrecht zegt: duidelijk aangeven dat er een camera is en wat daarmee gebeurt.

Het dilemma blijft voor mij. Enerzijds dat het benauwend moet zijn om continu gefilmd te worden als je gewoon je werk gaat doen (zeker bij persoonlijke dienstverlening). Anderzijds gaan er met enige regelmaat helaas dingen mis bij thuiszorg, dus vanuit preventie-oogpunt een camera snap ik dan wel weer. Ik weet dus niet hoe de knoop doorgehakt moet worden.

Arnoud

Mag een kinderdagverblijf voor hun activiteiten-app eisen dat je Google of Facebook gebruikt?

Geplaatst op in Ondernemingsvrijheid, Privacy, 43 reacties

Een lezer vroeg me:

De kinderopvang waar mijn kinderen naartoe gaan hebben onlangs een contract gesloten met Bitcare voor hun management en registratie van wat er zoal gebeurt gedurende de dag. Echter, registreren kan alleen door je via een ‘identity provider’ aan te melden. Je hebt een Google, Microsoft of Facebook account nodig zodat het bedrijf je kan koppelen aan je kinderen, en zodat ze in contact met je kunnen komen indien nodig. Maar ik wil dat helemaal niet, mijn gegevens hoeven niet naar die Amerikaanse datagraaiers. Kunnen ze dit zomaar doen?

Bitcare is een van diverse dienstaanbieders gericht op communicatie tussen ouders en kinderopvang, bso en dergelijke. Het idee is dat je zo makkelijk allerlei informatie kunt verstrekken op een veilige manier, inclusief foto’s van je kinderen tijdens de dag. De dienst legt uit wat het inhoudt:

Met Bitcare zullen gedurende de dag activiteiten en foto’s online met u gedeeld. Via een app en website kunt u zien hoe laat uw kind heeft geslapen, gegeten en gedronken en welke leuke activiteiten er met de kinderen zijn ondernomen. Ook kunt u de planning bekijken en verzoeken indienen omtrent vakanties, ziekte, extra dagen en ruildagen. Daarnaast kunt u chatten met leidsters op de groep. Met Bitcare blijft u altijd op de hoogte van alle gebeurtenissen en de ontwikkeling van uw kind(eren). Zo kunt u zorgeloos werken en hoeft u niets te missen!

Om dit goed te laten werken, moet de dienst natuurlijk de identiteit van ouders vaststellen alvorens ze een account te geven. Dat kunnen ze natuurlijk zelf doen, maar dat is in dit geval uitbesteed aan Facebook, Google of Microsoft als identity provider. In de kern komt het er dan op neer dat je daar moet inloggen en dat het resultaat wordt teruggemeld aan Bitcare, waarna die weet wat je echte naam is.

Deze insteek zie ik vaker sinds de AVG. Het achterliggende idee is dan dat Facebook, Google of Microsoft beter in staat zijn je gegevens te beschermen dan zo’n kleine club als een kinderopvang. De authenticatie is dan dus veiliger en betrouwbaarder. Daar is weinig tegenin te brengen, dus de zorg gaat dan vooral over wat er nog meer gebeurt met die gegevens.

Bitcare zelf doet eigenlijk niets met Facebook-gegevens, noch andersom:

Bitcare gebruikt na toestemming dan ook alleen uw naam en e-mail adres, zodat mocht het nodig zijn er contact met u opgenomen kan worden. We hanteren strenge privacy regels voor u en uw kind en Bitcare zal nooit deze gegevens misbruiken. Bitcare heeft verder geen toegang tot uw Google, Microsoft of Facebook account en de bovenstaande partijen hebben ook geen toegang tot de Bitcare gegevens.

Eerlijk gezegd zie ik in die situatie weinig reden om hier bang voor te zijn. Een verhoogd risico door gebruik van deze authenticatie bij deze dienst is er volgens mij niet. Als je bang bent voor wat Google, Microsoft of Facebook doen, dan snap ik dat maar deze specifieke toepassing zal de bedreigingen weinig versterken.

Een alternatief bieden in de zin van een eigen authenticatiedienst kan natuurlijk, maar voelt nogal omslachtig en geeft bovendien extra risico’s rond identiteitsfraude, foutjes bij de administratie en ga zo maar door. Ik zou de stelling wel aandurven dat je minder veilig bent met eigen formuliertjes dan met een Microsoft als identity provider.

Wat denken jullie?

Arnoud

Mag je onder de AVG weten wie je een Valentijnskaart of -boeket stuurde?

Geplaatst op in Informatiemaatschappij, Privacy, 19 reacties

Vandaag is het Valentijnsdag, dus krijgen een hoop mensen een kaart of boeket van een geliefde of bewonderaar. Soms met naam, soms zonder. Dat laatste hoort er een beetje bij onder deze traditie. Maar genoeg mensen die dan juist nieuwsgierig worden en willen weten wie de afzender was. De bloemist of het kaartenverstuurbedrijf heeft die informatie, gekoppeld aan jouw naam en adres. Dus toen kreeg ik slimmeriken (m/v) in de mail die zich afvroegen of ze die informatie niet gewoon onder de AVG konden verkrijgen – dat Pietje jou een kaartje stuurt, is toch een persoonsgegeven over jou?

Een persoonsgegeven is inderdaad ieder gegeven dat direct of indirect iets over jou zegt. Niet alleen administratieve gegevens (je woont hier, je verdient dat) maar ook bredere informatie valt daaronder. Dus ja, het klopt dat “Pietje gaf op 13 februari 9:11 de opdracht boeket X naar u te sturen” een persoonsgegeven over jou is.

Op grond van artikel 15 AVG heb je recht op inzage en kopie van je persoonsgegevens. Je kunt dus bij de bloemist die boeket X afgaf, verzoeken om inzage in alle gegevens over die bestelling. (Natuurlijk is het wel de vraag of de naam van Pietje aanwezig is, bij een webshop zie ik dat nog wel maar bij een telefonische order of bestelling in de winkel is dat natuurlijk niet perse zo.)

Er is natuurlijk wel een complicatie: “Pietje gaf op 13 februari 9:11 de opdracht boeket X naar u te sturen” is óók een persoonsgegeven over Pietje. in principe heeft niemand behalve Pietje recht op inzage in die persoonsgegevens. Dat is dus een dilemma: kun je nu wel of niet die gegevens opvragen?

De AVG benoemt dat dilemma niet letterlijk. Alleen bij artikel 15 lid 3 staat dat een verzoek om een kopie geen afbreuk mag doen aan rechten en vrijheden van anderen. Heel strikt kun je dus zeggen dat je alleen inzage wil, desnoods mondeling, maar geen kopie hoeft te hebben. Maar praktisch gezien komt dat op hetzelfde neer. Ik denk dus dat alles bij elkaar de bloemist de naam van Pietje niet mag noemen.

Omgekeerd mag hij dan ook weer niet aan Pietje melden of je blij was met het boeket, of het juist meteen in de hoek smeet.

Arnoud

Tegenwoordig weet iedereen wél wat ACAB betekent

Geplaatst op in Uitingsvrijheid, 64 reacties

Weet u nog, dat rechters niet mogen googelen? Dat was een zaak uit 2011 waarin de Hoge Raad bepaalde dat een rechtbank niet zomaar in Google mag kijken om te zien hoe bekend een afkorting is, om vervolgens iemand die die afkorting gebruikte te veroordelen. Die afkorting was ACAB, in 2011 redelijk bekend maar ten tijde van de overtreding een stuk minder. De rechtbank had op zijn minst de bevindingen aan de verdediging voor moeten leggen. Maar nu in 2018 is er een nieuw arrest (Hof Amsterdam) waarin googlen wél mag.

In deze zaak ging het om exact dezelfde afkorting. De verdachte zong tijdens een voetbalwedstrijd de tekst “ACAB, ACAB” en keek daarbij naar politieagenten. Deze arresteerden hem voor belediging van een ambtenaar in functie. De verdachte verklaarde niet te weten wat deze term betekende. Dat voelde voor mij ook wat onwaarschijnlijk, en met mij het Gerechtshof.

Het Hof pakt Google erbij, stelt de zoekperiode in op beperkt tot uiterlijk de datum van het delict(!), en constateert dat over de afkorting (en de beledigende betekenis daarvan) zeer veel nieuwsberichten zijn gepubliceerd, zowel door regionale als landelijke media. En dat vind ik dan leuk: die berichten kwamen mede naar aanleiding van die zaak uit 2011 waarin juist werd gezegd dat Googelen niet mag om de bekendheid van een term vast te stellen.

Het Hof concludeert nu dat gezien de landelijke bekendheid van de uitspraak en de term deze nu wel algemeen bekend geacht wordt te zijn. Daarop wordt de man veroordeeld voor belediging. En dat klopt dus – met zo veel bekendheid in pers en online over die uitspraak, kun je vandaag de dag niet meer volhouden dat je dit niet wist. Al helemaal niet in een voetbalcontext, wat mij betreft.

Arnoud (Dat ik in deze blog nergens hoef te zeggen wat ACAB betekende, zegt natuurlijk ook wel wat.)

‘Ouders controleren massaal het internetgedrag van hun kinderen’

Geplaatst op in Privacy, 6 reacties

Veel Nederlandse ouders controleren de telefoon en het internetgedrag van hun kind. Dat meldde Nu.nl vorige week op basis van onderzoek van Safer Internet Centre Nederland. Meer dan de helft van de ouders checkt de telefoon en 80 procent gaat het online gedrag na, zo blijkt uit het onderzoek onder ruim tweeduizend ouders en tieners van twaalf tot zeventien jaar oud. Meestal komt dat controleren neer op praten wat je kind zoal tegenkomt, maar ook het gps tracken van telefoons of het checken van de inhoud van laptop of smartphones komt voor. Wanneer mag dat nu?

Ook als kind heb je privacy (de AVG, maar ook meer algemeen het Verdrag inzake de Rechten van het Kind). Maar zolang je minderjarig bent, hebben je ouders ook een zorgplicht. Daar hoort bij erop letten dat het kind op een veilige manier met internet omgaat en geen al te grote last krijgt van wat daar gebeurt. Helaas zijn daar geen harde regels voor, het hangt immers af van leeftijd, zelfstandigheid en manier van gebruiken. Een zevenjarige die Youtube-filmpjes wil kijken, heeft heel andere begeleiding nodig dan een zeventienjarige met een eigen bedrijfje. Om eens twee uitersten te noemen.

Dit onderzoek richtte zich met name op pubers. Dat is dan meteen een heel lastige balans: enerzijds wil je kinderen van die leeftijd de vrijheid geven zelf de wereld te ontdekken, anderzijds zijn de gevaren meteen ook groter en wil je als ouder daar vroeg bij zijn. Uit het onderzoek:

Ouders zijn het meest bezorgd dat hun kind online content kan tegenkomen waar hij/zij nog niet aan toe is (58%). Ongeveer de helft van de ouders (51%) maakt zich in enige mate zorgen dat hun kinderen online lastig gevallen worden en vier op de tien dat ze gepest worden (44%). Die zorgen zijn terecht, want bij meer dan een vijfde van de tieners is dit één of meerdere keren voorgekomen (respectievelijk 27% en 21%). Het onderzoek laat verder zien dat een derde van de ouders zich enige zorgen maakt over kettingbrieven met dreigementen (33%). Eenzelfde percentage van de jongeren geeft aan minstens één keer een kettingbrief met dreigementen te hebben ontvangen, zoals een dwingend WhatsApp-verzoek om geld over te maken om vervelende gevolgen te voorkomen.

Maar om dan meteen naar zware middelen als gps trackers of meekijksoftware te grijpen, gaat mij erg ver. Je moet als kind ook fouten kunnen maken. In AVG-taal: er moet een aantoonbare noodzaak zijn op grond waarvan je kennis neemt van die gegevens.

Een goede balans lijkt me dan ook om te beginnen met praten en samen te delen wat er zoal speelt, en pas bij verontrustende signalen verder te kijken. Dan kun je ook andere middelen in gaan zetten – maar dat lijkt me wel iets om expliciet te zeggen. Ik kan me weinig situaties voorstellen waarin je echt stiekem zonder te melden een gps tracker of meekijksoftware installeert bij een puber.

Arnoud

Ziggo hoeft adresgegevens illegale downloaders niet te delen

Geplaatst op in Intellectuele rechten, Privacy, 17 reacties

De rechtbank Midden-Nederland vindt dat internetprovider Ziggo geen NAW-gegevens (naam, adres en woonplaats) van illegale downloaders hoeft over te dragen aan filmexploitant Dutch FilmWorks (DFW). Dat meldde de NOS vrijdag. De rechtszaak was het logisch gevolg van DFW’s plan downloaders aan te spreken op illegaal downloaden, inclusief boete, pardon schikkingsvoorstel van 150 euro per download. Nodig daarvoor is dat providers gezellig NAW-gegevens verstrekken wanneer DFW een IP-adres verstrekt en een rapportje dat er daarmee gedownload is. Maar de rechtbank vindt dat even iets te makkelijk gaan.

In de basis had DFW natuurlijk een punt om providers aan te kunnen spreken. Dat Lycos/Pessers-arrest uit 2006 bepaalt dat je bij evidente inbreuk gewoon die gegevens moet verschaffen. Maar daar zit wel een belangenafweging bij: hoe reëel is de claim, zijn er andere opties en vooral, welke belangen spreken eventueel tegen het afgeven van die NAW-gegevens?

De rechtbank kiest een nieuwe insteek bij die belangenafweging: wacht eens even, wat gaat u dan dóen met die mensen? Want natuurlijk, ik hoor u zeggen, mensen aanspreken op mogelijke inbreuk, maar hóe dan. Dat was kennelijk ook bij de zitting gevraagd, en het antwoord viel niet goed:

De opmerking van DFW ter zitting dat er een brief zal worden gestuurd en dat er dan rustig zal worden afgewacht wat de reactie zal zijn, is erg mager, zeker in de omstandigheid dat de inhoud van de brief niet (voldoende) bekend is.

Gezien de beruchte praktijken van rare clubs als Permission Machine ligt het inderdaad bepaald niet voor de hand dat DFW ineens wél netjes gaat zeggen “mogelijk heeft u inbreuk gemaakt, laten we een goed gesprek voeren rekening houdend met uw situatie en zien of de kostprijs van een Blu-Ray wellicht de schade dekt”. Mede vanwege het feit dat DFW in de pers eerder 150 euro als schadebedrag had genoemd, en ook nog “honderden euro’s”. Dan ga je toch denken, is deze partij uit op handhaving volgens het boekje of wil men binnenlopen op illegale downloaders.

En dat telt zwaar:

Het bedrag dat DFW thans wenst te ontvangen, vermoedelijk € 150,–, is echter op geen enkele wijze onderbouwd en niet is uitgesloten dat in het door DFW te vragen schadebedrag ook elementen van een boete zitten. Dat de sancties bij de handhaving van het auteursrecht doeltreffend en evenredig moeten zijn en de sancties ook bijzondere preventieve werking moeten hebben, betekent echter niet dat er ruimte is voor punitieve elementen bij een schadevergoeding. De bestaande onduidelijkheid over het daadwerkelijk te vragen (schade)bedrag en de samenstelling daarvan, werkt bij de afweging van alle belangen in het nadeel van DFW.

De rechter ziet de bui al hangen: geef je ze die namen, gaan ze blafbrieven sturen waarin op hoge toon van vaststaande inbreuk wordt gesproken die gerechtelijk gestraft wordt met een conform de jurisprudentie berekende staffel van 150 euro, gelieve binnen 14 dagen te betalen bij gebreke waarvan een procedure zal worden gestart waarbij volledige proceskosten ex 1019h Rechtsvordering zullen worden geëist dewelke kunnen oplopen tot 8.000 euro conform het door de Rechtspraak goedgekeurde tarievenmodel. Toch een iets andere brief dan “kunnen wij even praten, volgens mij heeft u een auteursrecht van ons geschonden”, nietwaar?

Geen NAW-gegevens dus. Dit wil natuurlijk niet zeggen dat DFW nooit meer terug mag komen, ze kunnen een nieuwe procedure starten en dan laten zien wat ze concreet wél aan de downloaders, althans de accounthouders gaan sturen. Ik ben heel benieuwd.

Arnoud

Onderzoeksbureau werkt in Nederland met vpn-app op telefoons voor marktonderzoek

Geplaatst op in Privacy, 13 reacties

Onderzoeksbureau Kantar (voorheen TNS/Nipo) vraagt voor zijn bereiksonderzoek om een vpn-app op Android-tablets en -smartphones te zetten. Dat meldde Tweakers begin deze week. Google en Facebook raakten eerder nog in opspraak vanwege het gebruik van vpn-apps voor onderzoek. De Kantar-app is bedoeld voor consumentenonderzoek naar het bereik van onder meer websites en videoplatforms online. Dat roept de vraag op, mag dat wel op deze manier, je internetverkeer omleiden om daarmee te tellen hoe populair bepaalde websites zijn?

Door internetverkeer vanaf de telefoon (of tablet) om te leiden met vpn-software, krijgt men inzicht in al het internetverkeer op detailniveau. In theorie kun je hiermee elke verzonden mail, elke opgevraagde webpagina en elk ingestuurd formulier mee lezen. Ook al is dat niet de bedoeling; zo werkt vpn als technologie nu eenmaal. Kantar zegt overigens dat het weliswaar alle gegevens verzamelt, maar alleen de voor het onderzoek relevante gegevens gebruikt en de rest weggooit.

De AVG biedt behoorlijk wat ruimte voor wetenschappelijk onderzoek. Artikel 89 AVG stelt vrij expliciet dat er veel mag, mits er passende waarborgen genomen worden waarbij met name het beginsel van minimale gegevensverwerking wordt gegarandeerd. Lidstaten mogen daarbij zelf regels stellen, en Nederland deed dat onder meer in artikel 24 Uitvoeringswet. Zo mag je bijzondere persoonsgegevens verwerken als dat nodig is voor het onderzoek. Ook hoef je (artikel 44) inzage en correctie niet toe te staan.

Wat wel gewoon blijft staan, is dat je een grondslag moet hebben voor je onderzoek. Toestemming dus, of een overeenkomst, of een eigen legitiem belang. Het is niet automatisch zo dat wetenschap of statistiek bedrijven je een grondslag geeft. Maar specifiek bij het soort onderzoek dat Kantar doet, zie ik dat belang wel. Natuurlijk zit je dan nog steeds met een privacy-afweging, waarbij je niet op voorhand weet of jouw belang zwaarder weegt dan de privacy van je onderzoekssubjecten.

Kantar doet het netjes door toestemming te vragen. Niet alleen bij de deelnemer zelf, maar ook bij zijn of haar huisgenoten, want iedereen moet meedoen, aldus de voorlichtingsfolder. Dat is op zich netter en overzichtelijker, maar het vereist wel dat je specifiek en duidelijk die toestemming geeft. En dat is dan dus niet alleen voor deelname aan het onderzoek, maar ook voor de nogal invasieve inzet van een VPN app.

Lastig is natuurlijk dat je dan ook nog eens in duidelijke en eenvoudige taal (artikel 12 AVG) moet aangeven wat je doet. En leg maar eens op dat niveau uit wat een VPN app is. Kantar doet haar best:

Door een link in de mail te activeren geeft u toestemming voor het plaatsen van een cookie of app en wordt het online gedrag bij de aangesloten omroepen en uitgevers vastgelegd. Daarnaast vragen wij u om op elk apparaat software te installeren waarmee wij uw online gedrag kunnen verzamelen. … Via de geinstalleerde software MediaTracker kan Kantar Media voor onderzoeksdoeleinden informatie over het internetgedrag van respondent verzamelen (welke websites zijn bezocht, welke zoekwoorden zijn gebruikt, welke applicaties zijn gebruikt en/of welke advertenties zijn gezien).

Dit komt een heel eind – en sowieso zou je natuurlijk al wel iets kunnen bedenken als je mee gaat doen aan een onderzoekspanel over je internetgedrag. Maar het blijft een ingewikkelde materie om uit te leggen. Helemaal omdat ik zelf ook niet doorhad tot ik er écht in dook dat het niet alleen Kantar is dat die gegevens verkrijgt:

Maar dat de informatie door Kantar wordt gedeeld met een ander bedrijf dat de inhoudelijke analyse doet, namelijk het bedrijf Wakoopa, wordt niet duidelijk.

Wakoopa is een bestaand bedrijf met als core business het tracken van mensen. Ik kan nergens vinden of ze dit voor Kantar doen in de rol van verwerker, maar het zou me ergens verbazen als die gegevens niet ook voor eigen doeleinden worden aangewend. En dát zou een gigantisch probleem zijn, nog los van hoe je de toestemmingsvraag goed krijgt.

Arnoud

Nederlandse politie wil gebruikmaken van particuliere DNA-databank in VS

Geplaatst op in Privacy, Regulering, 11 reacties

De coldcaseteams van de Amsterdamse en Rotterdamse politie willen de Amerikaanse particuliere DNA-databank GEDmatch inzetten om de identiteit van onbekende doden te achterhalen. Dat meldde NRC gisteren. GEDmatch is een openbare, Amerikaanse databank waarin genetische gegevens van allerlei mensen zitten, en daarin kan iedereen zoeken op potentiële matches. Daarmee is in theorie de mogelijkheid voor de politie om ook te zoeken naar bijvoorbeeld een verdachte, of een bloedverwant van een slachtoffer. Maar het roept de nodige vragen op, omdat juridisch niet duidelijk is of men dit überhaupt mag.

Genetische informatie zoals DNA valt onder de AVG onder de strenge regels voor bijzondere persoonsgegevens. Deze mogen niet zomaar worden gebruikt, omdat er zeer gevoelige informatie uit afgeleid kan worden. Je eigen DNA in zo’n databank plaatsen mag in principe wel, wanneer daarbij duidelijk wordt gezegd wat en hoe er gaat gebeuren – je geeft dan uitdrukkelijke toestemming. Maar een complicatie is dat DNA ook informatie over anderen bevat, en dan kun je dus zeggen dat je andermans persoonsgegevens staat te uploaden.

Voor de politie en het OM geldt de AVG niet. Zij moeten zich houden aan de Wet politiegegevens en het Wetboek van Strafvordering. Onder de Wet politiegegevens mag er iets meer; als verwerking “onvermijdelijk is voor het doel van de verwerking” waarvoor andere gegevens worden gebruikt. Ik denk niet dat je daar snel aan komt met genetisch materiaal uit een openbare databank.

In het Wetboek van Strafvordering staan een aantal bevoegdheden over inzet en onderzoek van DNA-materiaal, en er is ook een Besluit DNA-onderzoek in strafzaken met nadere regels. Maar het probleem is eigenlijk vrij simpel: al deze regels gaan uit van matches in individuele zaken. Er is DNA bij het slachtoffer gevonden en dat willen we matchen aan de verdachte, even kort door de bocht. Er is gewoon geen regel die toeziet op het gebruik van grootschalige bronnen van DNA-materiaal. Dat is niet gek, want die regels zijn gemaakt voordat dergelijke databanken bestonden.

Dit maakt de situatie voor de cold case teams erg ingewikkeld, want in principe geldt voor opsporingsdiensten dan de regel dat het niet mag. De politie mag niets tenzij de wet zegt van wel, even weer heel kort door de bocht. Maar dat voelt specifiek bij het oplossen van oude zaken wel heel erg cru. Dit is wellicht de laatste kans om de zaak nog op te lossen, en het gaat om ernstige zaken zoals moord zodat het maatschappelijk belang wel héél zwaarwegend voelt.

Voor het identificeren van slachtoffers ligt dat anders. De AVG geldt niet bij overledenen, en datzelfde geldt op de Wet politiegegevens. Ik denk dus dat DNA materiaal wel mag worden gebruikt om te achterhalen wie een onbekende is, mits dat uitsluitend wordt ingezet voor het doel van informeren van de nabestaanden.

Arnoud

EU-wetsvoorstel geeft consumenten recht op ‘nodige updates’ elektronica

Geplaatst op in Ondernemingsvrijheid, 9 reacties

De EU wil consumenten meer bescherming geven wanneer ze apparaten kopen die afhankelijk zijn van software. Dat meldde Tweakers vorige week. De Belgische Europarlementariër Pascal Arimont heeft het Europese wetsvoorstel gedaan waarmee consumenten recht hebben op de nodige updates gedurende een redelijke periode, een verplichte garantieperiode van één of twee jaar en het recht om defecte producten gratis te repareren of of vervangen. Mooi nieuws, met name natuurlijk het recht op updates zou een verademing zijn in een wereld waar zelfs tandenborstels updates krijgen (en ineens willen weten waar je bent).

Het wetsvoorstel voor een Richtlijn zou vereisen dat alle lidstaten hun wetgeving aanpassen. Het wordt dus geen Verordening zoals de AVG die in één keer Europees van kracht is. Dit is denk ik omdat consumentenrecht sterk hangt aan nationaal recht. Je moet dus straks nog steeds kijken in welk land je iets koopt om de juiste wet te vinden, maar de strekking zal in elk EU-land daarmee hetzelfde zijn. Het voorstel laat de optie open dat lidstaten zelf de wet nog strenger maken, overigens.

Het stuk over updates kan ik niet direct vinden in de laatste gepubliceerde tekst, maar misschien komt er nog een nieuwe publicatie. Uit het persbericht maak ik op dat men updates als een vorm van repareren ziet: je apparaat moet gedurende een zekere periode conform de verwachtingen zijn, en updates zijn een manier om conformiteit terug te brengen. Als mijn televisie geen Youtube meer kan draaien, en daarmee deze nonconform wordt, dan moet de leverancier een update uitgeven zodat Youtube weer werkt. Zoiets.

Ingewikkeld lijkt me nog wel dat deze regels allemaal bindend zijn op de verkoper die het product aan de consument biedt. Logisch, want je wilt als consument gewoon terug naar waar je ‘m gekocht hebt en die zoekt het maar lekker uit met de importeur of ver weg gelegen fabrikant. En voor een herstel voldoet dat ook wel, want dan kan die winkel het product desnoods terugsturen naar de centrale herstelafdeling of omruilen voor een nieuwe die hij dan nabestelt.

Hoe gaat dat werken bij updates? Een nieuw apparaat geven als dozenschuiver heeft geen zin, daar staan de updates ook niet op. Moet je ze dan zelf downloaden van de fabriek en gaan installeren op de klant z’n apparaat? Moet de importeur dat doen? En wat nu als de fabrikant ver weg is en geen zin heeft in updates, dan wil de klant zijn geld terug – en dat mag, van de nieuwe Richtlijn. Dat voelt wel wat onhandiger dan bij ‘gewone’ defecten.

Arnoud