Nederlandse politie wil gebruikmaken van particuliere DNA-databank in VS

Geplaatst op in Privacy, Regulering, 11 reacties

De coldcaseteams van de Amsterdamse en Rotterdamse politie willen de Amerikaanse particuliere DNA-databank GEDmatch inzetten om de identiteit van onbekende doden te achterhalen. Dat meldde NRC gisteren. GEDmatch is een openbare, Amerikaanse databank waarin genetische gegevens van allerlei mensen zitten, en daarin kan iedereen zoeken op potentiële matches. Daarmee is in theorie de mogelijkheid voor de politie om ook te zoeken naar bijvoorbeeld een verdachte, of een bloedverwant van een slachtoffer. Maar het roept de nodige vragen op, omdat juridisch niet duidelijk is of men dit überhaupt mag.

Genetische informatie zoals DNA valt onder de AVG onder de strenge regels voor bijzondere persoonsgegevens. Deze mogen niet zomaar worden gebruikt, omdat er zeer gevoelige informatie uit afgeleid kan worden. Je eigen DNA in zo’n databank plaatsen mag in principe wel, wanneer daarbij duidelijk wordt gezegd wat en hoe er gaat gebeuren – je geeft dan uitdrukkelijke toestemming. Maar een complicatie is dat DNA ook informatie over anderen bevat, en dan kun je dus zeggen dat je andermans persoonsgegevens staat te uploaden.

Voor de politie en het OM geldt de AVG niet. Zij moeten zich houden aan de Wet politiegegevens en het Wetboek van Strafvordering. Onder de Wet politiegegevens mag er iets meer; als verwerking “onvermijdelijk is voor het doel van de verwerking” waarvoor andere gegevens worden gebruikt. Ik denk niet dat je daar snel aan komt met genetisch materiaal uit een openbare databank.

In het Wetboek van Strafvordering staan een aantal bevoegdheden over inzet en onderzoek van DNA-materiaal, en er is ook een Besluit DNA-onderzoek in strafzaken met nadere regels. Maar het probleem is eigenlijk vrij simpel: al deze regels gaan uit van matches in individuele zaken. Er is DNA bij het slachtoffer gevonden en dat willen we matchen aan de verdachte, even kort door de bocht. Er is gewoon geen regel die toeziet op het gebruik van grootschalige bronnen van DNA-materiaal. Dat is niet gek, want die regels zijn gemaakt voordat dergelijke databanken bestonden.

Dit maakt de situatie voor de cold case teams erg ingewikkeld, want in principe geldt voor opsporingsdiensten dan de regel dat het niet mag. De politie mag niets tenzij de wet zegt van wel, even weer heel kort door de bocht. Maar dat voelt specifiek bij het oplossen van oude zaken wel heel erg cru. Dit is wellicht de laatste kans om de zaak nog op te lossen, en het gaat om ernstige zaken zoals moord zodat het maatschappelijk belang wel héél zwaarwegend voelt.

Voor het identificeren van slachtoffers ligt dat anders. De AVG geldt niet bij overledenen, en datzelfde geldt op de Wet politiegegevens. Ik denk dus dat DNA materiaal wel mag worden gebruikt om te achterhalen wie een onbekende is, mits dat uitsluitend wordt ingezet voor het doel van informeren van de nabestaanden.

Arnoud

EU-wetsvoorstel geeft consumenten recht op ‘nodige updates’ elektronica

Geplaatst op in Ondernemingsvrijheid, 9 reacties

De EU wil consumenten meer bescherming geven wanneer ze apparaten kopen die afhankelijk zijn van software. Dat meldde Tweakers vorige week. De Belgische Europarlementariër Pascal Arimont heeft het Europese wetsvoorstel gedaan waarmee consumenten recht hebben op de nodige updates gedurende een redelijke periode, een verplichte garantieperiode van één of twee jaar en het recht om defecte producten gratis te repareren of of vervangen. Mooi nieuws, met name natuurlijk het recht op updates zou een verademing zijn in een wereld waar zelfs tandenborstels updates krijgen (en ineens willen weten waar je bent).

Het wetsvoorstel voor een Richtlijn zou vereisen dat alle lidstaten hun wetgeving aanpassen. Het wordt dus geen Verordening zoals de AVG die in één keer Europees van kracht is. Dit is denk ik omdat consumentenrecht sterk hangt aan nationaal recht. Je moet dus straks nog steeds kijken in welk land je iets koopt om de juiste wet te vinden, maar de strekking zal in elk EU-land daarmee hetzelfde zijn. Het voorstel laat de optie open dat lidstaten zelf de wet nog strenger maken, overigens.

Het stuk over updates kan ik niet direct vinden in de laatste gepubliceerde tekst, maar misschien komt er nog een nieuwe publicatie. Uit het persbericht maak ik op dat men updates als een vorm van repareren ziet: je apparaat moet gedurende een zekere periode conform de verwachtingen zijn, en updates zijn een manier om conformiteit terug te brengen. Als mijn televisie geen Youtube meer kan draaien, en daarmee deze nonconform wordt, dan moet de leverancier een update uitgeven zodat Youtube weer werkt. Zoiets.

Ingewikkeld lijkt me nog wel dat deze regels allemaal bindend zijn op de verkoper die het product aan de consument biedt. Logisch, want je wilt als consument gewoon terug naar waar je ‘m gekocht hebt en die zoekt het maar lekker uit met de importeur of ver weg gelegen fabrikant. En voor een herstel voldoet dat ook wel, want dan kan die winkel het product desnoods terugsturen naar de centrale herstelafdeling of omruilen voor een nieuwe die hij dan nabestelt.

Hoe gaat dat werken bij updates? Een nieuw apparaat geven als dozenschuiver heeft geen zin, daar staan de updates ook niet op. Moet je ze dan zelf downloaden van de fabriek en gaan installeren op de klant z’n apparaat? Moet de importeur dat doen? En wat nu als de fabrikant ver weg is en geen zin heeft in updates, dan wil de klant zijn geld terug – en dat mag, van de nieuwe Richtlijn. Dat voelt wel wat onhandiger dan bij ‘gewone’ defecten.

Arnoud

Wanneer is het hebben van een Remote Acces Tool en een Keylogger strafbaar?

Geplaatst op in Regulering, Security, 22 reacties

In december werd een man veroordeeld voor het voorhanden hebben en verspreiden van Blackshades software. De rechtbank merkte dit aan als medeplichtigheid tot computervredebreuk, omdat deze software gebruikt kan worden om een inbraak in andermans computer te vergemakkelijken. Wat diverse lezers ertoe bracht om me te vragen, hoezo is het strafbaar om die software te hebben? Er zijn zo veel tools voor remote access, hoe moet je nu weten wanneer dat wel of niet strafbaar is?

Het enkele feit dat software geschikt is voor remote access maakt deze natuurlijk niet meteen een hulpmiddel voor computervredebreuk. De wet spreekt van “ontworpen of geschikt gemaakt” voor het misdrijf (art. 139d lid 2 Strafrecht), en niet alle binnengaan of binnendringen in andermans computer is een misdrijf. Een ICT-bedrijf kan immers prima legaal bij de klant zijn computer binnengaan om onderhoud te plegen onder een contract, of op verzoek inloggen om een probleem te herstellen.

Dergelijke software kan ook door criminelen worden gebruikt om stiekem bij mensen binnen te dringen, en dan bijvoorbeeld data te gijzelen of te verkrijgen, of om de computer als springplank voor een aanval elders te gebruiken. Dat zijn misdrijven.

Hoe zie je dan het verschil? Zoals ik wel vaker zeg, dat zie je aan de intentie van hoe de software wordt vermarket en hoe deze in de markt bekend staat. De software Blackshades staat bekend als hackingtool:

Blackshades is the name of a malicious trojan horse used by hackers to control infected computers remotely. The malware targets the computers using Microsoft Windows -based operating systems. According to US officials, over 500,000 computer systems have been infected worldwide with the software. … Blackshades infects computer systems by downloading onto a victim’s computer when the victim accesses a malicious webpage (sometimes downloading onto the victim’s computer without the victim’s knowledge, known as a drive-by download) or through external storage devices, such as USB flash drives.

De rechtbank is dan ook van oordeel dat de Blackshades software hoofdzakelijk is ontworpen om het plegen van computervredebreuk mogelijk te maken. Daarmee is bezit van deze software dus strafbaar. Dat de software ook gebruikt kan worden voor legale activiteiten is dan niet relevant; het gaat erom of hij hoofdzakelijk bedoeld is voor illegale zaken. En gezien hoe deze software algemeen bekend staat, en het soort features dat aan boord is, is dat hier dus het geval.

De verdachte wilde zich aansluiten bij de reeds bestaande Blackshades organisatie, en kreeg dat op zeker moment ook voor elkaar. Bovendien had hij wetenschap van alle functionaliteiten en illegale mogelijkheden van deze software. Dat maakt hem ook strafbaar voor het voorhanden hebben van die software, én voor medeplichtigheid aan misdrijven zoals binnendringen en denial of service aanvallen.

Arnoud

Hoe kan ik mijn algoritme zo goed mogelijk anti-patent publiceren?

Geplaatst op in Intellectuele rechten, 29 reacties

Een lezer vroeg me:

Ik heb een algoritme ontwikkeld waarvan ik verwacht dat het patenteerbaar is, maar dat ik beschikbaar wil stellen in het publiek domein. Ik wil voorkomen dat iemand anders er patent op aanvraagt. Welke eisen gelden er dan aan de publicatie? Kan ik het gewoon op mijn Linkedin-feed publiceren, is dat publiek genoeg?

Wie wil voorkomen dat zijn uitvinding door een ander gepatenteerd wordt, moet deze publiceren. Een octrooi wordt volgens de wet niet verleend op een uitvinding die al bekend was (het nieuwheidsvereiste). Aan ‘bekendheid’ worden geen hoge eisen gesteld, het gaat er eigenlijk alleen maar om dat het publiek toegang had tot de publicatie op de dag voordat het octrooi werd aangevraagd.

In theorie kun je de uitvinding dus op een briefje schrijven en in de lokale bibliotheek ophangen. Praktisch gezien is dat niet handig, want octrooiverlenende instanties kijken daar niet en zullen dus het octrooi gewoon verlenen. Dan moet je achteraf gaan bewijzen dat je dat briefje daar opgehangen had en wat er precies in stond.

Beter is dus een publicatie op een plek waarvan je weet dat die instanties (zoals het EPO of het USPTO) ze lezen. Je komt dan bij de zogeheten defensive publication-uitgevers terecht. Deze spannen zich in om bijdragen van derden doorzoekbaar te maken voor octrooiverlenende instanties, zodat deze de publicatie gebruiken om meteen aanvragen af te wijzen.

Een mooie die ik zelf zou aanraden is Defensive Publications, een initiatief van onder meer patentalliantie Open Invention Network en het Software Freedom Law Center (dat weer gelieerd is aan de Free Software Foundation). Een andere is de Prior Art Search Database van IP.com.

Belangrijk voor mij zou nog zijn om zo veel mogelijk steekwoorden en patentterminologie toe te voegen, en vooral de uitleg in gewone taal te doen. Niet alleen broncode of een wiskundige beschrijving. Daar kun je namelijk niet op zoeken.

Arnoud

Marechaussee mocht onder dwang vingerafdruk afnemen om telefoon te ontgrendelen

Geplaatst op in Regulering, 26 reacties

De Koninklijke Marechaussee mocht onder dwang de vingerafdruk van een verdachte afnemen om zijn telefoon te ontgrendelen, las ik bij Security.nl. De rechtbank Noord-Holland bepaalde dat dit legitiem was bij een verdachte die vorig jaar augustus was aangehouden op Schiphol aangehouden wegens het invoeren van drugs. De verdachte had betoogd dat dit in strijd was met het beginsel dat je niet tegen jezelf hoeft te getuigen, maar de rechtbank vindt dat onterecht.

In Nederland is niet expliciet geregeld dat opsporingsambtenaren vingers mogen zetten op sensors waarmee apparatuur van verdachten wordt ontgrendeld. Er is wel een algemene regel dat vingerafdrukken mogen worden genomen, maar het moet dan eigenlijk gaan om identificatie van de verdachte (art. 27a Strafvordering). Dat is toch wel even iets anders dan een vingerafdruk inzetten om een telefoon te openen. Maar bij een ernstig misdrijf mag er meer (art. 55c):

De foto’s en vingerafdrukken [van de verdachte] kunnen ook worden verwerkt voor het voorkomen, opsporen, vervolgen en berechten van strafbare feiten en het vaststellen van de identiteit van een lijk.

Met enige goede wil is “openen van zijn telefoon” wel te rekenen onder “opsporen van strafbare feiten”, als de data op die telefoon daar deel van uitmaakt, schreef ik in 2013. De rechter lijkt het nu met me eens te zijn, getuige de simpele opmerking dat

Een dergelijk bevel is vergelijkbaar met het (onder dwang) afnemen van vingerafdrukken voor opsporingsonderzoek. Het gaat om biometrisch materiaal wat onafhankelijk van de wil van verdachte bestaat en wat zonder zijn medewerking zou kunnen worden verkregen (…)

Complicatie was nog dat tegen de verdachte was gezegd “geef je pincode of ik forceer je vinger op de telefoon en unlock ‘m zo”. Het vragen om pincodes is wezenlijk anders, dat is wél een getuigenis die je dan vraagt. Het doet raar aan, want je hebt als agent gewoon de bevoegdheid om een vingerafdruk fysiek af te nemen als de verdachte tegenstribbelt. Dus waarom dan vragen om pincodes?

Maar omdat hier het ontgrendelen met de vinger wél legaal mogelijk was, ziet de rechtbank deze vraag niet als een verplichting om te getuigen tegen jezelf. Zeg maar hetzelfde als “zeg waar de huissleutel ligt of ik knal de deur open met deze stormram”.

Arnoud

Zó wil Zalando voorkomen dat kleren na één keer dragen worden teruggestuurd

Geplaatst op in Ondernemingsvrijheid, 99 reacties

Met een opvallend groot label voorzien van de tekst ‘do not remove this tag’ wil Zalando voorkomen dat kleding gedragen en vervolgens toch teruggestuurd wordt. Dat las ik in het Eindhovens Dagblad. Zalando heeft een enorm aantal retourzendingen van kledingstukken en wil dat terugdringen, omdat kennelijk de kosten en het gedoe toch fors in de papieren gaan lopen. Maar lastig is dat wel natuurlijk, want retourzenden binnen 14 dagen is een recht dat je als consument hebt, en je mag als bedrijf dat recht niet inperken. Ook niet met indirecte trucjes. Dus hoe ver mag Zalando hierin gaan?

“Retouren worden alleen geaccepteerd als dit label nog aan het product bevestigd is”, zo meldt het 10 bij 15 centimeter grote knalwitte ding. Heel letterlijk klopt dat niet: de wet Koop op afstand kent geen optie om een retour te weigeren wanneer een zelfbedacht label is verwijderd. Er zijn slechts een beperkt aantal uitzonderingsgronden, en voor kleding gaan die eigenlijk nooit op (behalve wellicht de hygiënegrond bij ondergoed dat verzegeld wordt verkocht).

Praktisch gezien zit er wel iets in. Van de wet mag je een product namelijk alleen uitproberen, om te kijken of het geschikt voor je is. Oftewel: passen, naast je andere kleding leggen et cetera. Er mee naar een feestje gaan is geen uitproberen meer (en nee, “ik wilde uitproberen of ik meer opviel op het feest” komt niet door de giecheltoets) en na zulk gebruik vervalt je retourrecht.

Het idee van Zalando is natuurlijk dat je bij gewoon uitproberen geen last hebt van dat label, het zit immers aan de buitenkant dus de pasvorm wordt niet aangetast en vergelijken met de rest van je garderobe gaat ook geen probleem zijn. Maar naar een feestje gaan met zo’n enorm label, dan moet je wel een héle erge #instafamous #influencer zijn wil je dat aandurven.

Zalando zal dan ook waarschijnlijk een mooie standaardtekst hebben geformuleerd die erop neerkomt dat omdat het label weg is, zij mogen vermoeden dat jij het product meer hebt gebruikt dan noodzakelijk was om het uit te proberen. En omdat je dat hebt gedaan, is je retourrecht vervallen. De reden is dan dus niet letterlijk “het label is weg” maar “wij denken dat je het hebt gebruikt in plaats van geprobeerd”.

Ik zie daar wel wat in, maar natuurlijk blijft er ruimte voor de consument om te zeggen, “nee, het viel eraf tijdens het uitproberen”. Maar ik denk dat je dan wel iets van een onderbouwing moet geven. Dat plastic oranje touwtje breekt denk ik niet héél snel.

Arnoud

Mag een sportschool ’s nachts mensen met gezichtsherkenning binnenlaten?

Geplaatst op in Ondernemingsvrijheid, Privacy, 18 reacties

Het hoeft niet, maar het kán: midden in de nacht fitnessen. Dat meldde BN De Stem onlangs. Een nieuwe fitness-zaak in Etten-Leur gaat gezichtsherkenning inzetten bij klanten, vanwege haar mogelijkheid tot 24 uur toegang. Mensen krijgen een eigen tag waarmee ze binnen kunnen. We werken met camera’s met gezichtsherkenning, die aanslaan wanneer er iemand binnenkomt die niet herkend wordt, zo staat in het artikel. Er is dan geen personeel maar je kunt hulp inroepen via een keycord.

Zakelijk vast een gat in de markt, maar was er niet iets met gezichtsherkenning en camera’s onder de AVG? Ja inderdaad. Wanneer je gezichten gaat fotograferen met als doel mensen herkennen, dan spreken we van verwerking van biometrische persoonsgegevens en dat valt onder de strenge regels van de bijzondere persoonsgegevens. Heel kort: afblijven tenzij in de AVG specifiek staat dat het mag.

In principe is het idee daarmee van tafel, want de AVG kent geen ontheffing voor het gebruik van bijzondere persoonsgegevens voor herkenning. Maar dat komt omdat de lidstaten het niet eens konden worden over hoe ver die regels dan mochten gaan. Artikel 9 lid 4 zegt dan ook dat de lidstaten zelf regels mogen maken over biometrie.

Nederland heeft dat gedaan in artikel 29 Uitvoeringswet AVG, en vrij breed ook:

[het verbod is] niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

Het mag dus, als er maar een duidelijk belang daarvoor is én eigenlijk geen andere optie hebt ter authenticatie of voor de beveiliging. Je moet dit onderbouwen en die onderbouwing moet in je verwerkingsregister zitten.

Bij toegangscontrole wanneer er geen personeel aanwezig is, is biometrie een op zich redelijk betrouwbare keuze volgens mij. Natuurlijk kun je zeggen, zet een nachtportier neer of ga gewoon niet open. Maar dat vind ik geen reële alternatieven: ze zijn duur en niet perse betrouwbaarder – en gewoon dicht zijn is zakelijk natuurlijk onwerkbaar. Ik denk dan ook dat aan die noodzaak wel is voldaan.

Arnoud

OM vervolgt internetoplichters niet als ze slachtoffers terugbetalen

Geplaatst op in Regulering, 13 reacties

Het Openbaar Ministerie is een proef gestart waarbij internetoplichters niet worden vervolgd als ze hun slachtoffers terugbetalen. Dat las ik bij Security.nl Alleen zogeheten “first offenders” die mensen voor maximaal 300 euro hebben opgelicht komen in aanmerking. “Strafvervolging is van secundair belang”, zo wordt de politie geciteerd. Het gaat namelijk vaak om minderjarigen of jongere meerderjarigen. Een lezer vroeg me daarop: mag dat wel, dat het OM er zo voor kiest om daders van strafbare feiten eigenlijk zonder enige echte consequentie weg te laten komen?

De bedragen waarvoor mensen zijn opgelicht door deze ‘beginners’ variëren van enkele tientjes tot maximaal zo’n 300 euro, dus je zou kunnen zeggen dat het om relatief kleinschalige criminaliteit gaat. Het is dan de vraag een heel strafrechtelijk traject wel de moeite waard is, gezien ook de te verwachten straf die de rechter aan het eind zou opleggen. Worden we daar beter van als maatschappij? En zo niet, is dan niet een alternatief beter waarbij je zegt, geld terugbetalen en we houden je in de gaten vriend?

En ja, zoiets mag het Openbaar Ministerie beslissen. Het OM heeft grote beleidsvrijheid in besluiten wie ze wel of niet vervolgt en welke straf ze dan eist. Dit heet het opportuniteitsbeginsel, en het basisidee is dat het OM zelf moet afwegen waar de beste plek is waar het zware middel van het strafrecht wordt ingezet, gezien de beperkte middelen die men nu eenmaal heeft.

Die vrijheid wordt in de praktijk vertaald naar zogeheten aanwijzingen, waar individuele officieren op kunnen varen. De op deze blog het meest voorbij komende Aanwijzing is die van IE-fraude, en deze komt er kort gezegd op neer dat je niet vervolgt behalve bij georganiseerde misdaad of dreigingen voor de volksgezondheid (nepmedicijnen, zeg maar). Zo’n aanwijzing is bindend: het OM mag er niet van afwijken als ze iemand vervolgt.

Ik moet zeggen dat ik deze aanpak creatief en nuttig vind. Vooral vanwege het argument in Tubantia dat natuurlijk ook na een veroordeling slachtoffers hun geld kunnen terugkrijgen, maar dat dat héél lang duurt en je zeker niet weet of het geld er nog is na zo’n traject. Het voelt ergens verkeerd dat je daders vervolgens laat gaan, maar in deze specifieke situatie kan ik dat billijken.

Arnoud

Mag een Tesla zichzelf bewaken met camera’s rondom het voertuig?

Geplaatst op in Ondernemingsvrijheid, Privacy, 20 reacties

Elon Musk laat weten dat Tesla binnenkort een zogeheten Sentry Mode uitbrengt voor alle auto’s die beschikken over Autopilot 2.5. Dat meldde Tweakers vorige week. Deze modus zorgt ervoor dat verscheidene camera’s worden gebruikt om een beeld van 360 graden rondom de auto op te nemen. De nieuwere Tesla’s hebben acht camera’s rondom het voertuig en kunnen daarmee dus worden ingezet om bijvoorbeeld onvoorzichtige fietsers of doelbewuste bekrassers vast te leggen, zodat er bewijs is van hoe schade is ontstaan. Maar er was toch iets met camera’s rondom auto’s?

Hoofdregel is dat je mag filmen wat en wie je wilt, aan de openbare weg. Het publiceren van die beelden is wat complexer, dan zit je met privacy van je gefilmde personen en moet je een duidelijk belang daar tegenover stellen. Maar dat is hier niet aan de orde; de beelden zouden naar de verzekeraar of politie gaan om een claim vanwege schade te ondersteunen.

Filmen met een aangebrachte camera mag niet zonder duidelijk waarschuwingsbordje, dat staat in het wetboek van Strafrecht. Maar ik blijf erbij dat een auto met een camera (of je dat nu dashcam noemt of “Sentry Mode”) geen aangebrachte camera is. De bedoeling van de wet is om situaties te reguleren waarin iemand langdurig en stelselmatig één plek in de gaten houdt. Een auto doet dat niet, een nachtje ergens geparkeerd zijn is niet hetzelfde als een camera ophangen aan de zijmuur van je huis.

Maar in Duitsland mocht dat toch niet? Klopt, in 2017 kreeg een vrouw een boete van 150 euro, nadat ze met de dashcam verkregen beelden van een parkeerbotsing had gebruikt als bewijs bij haar aangifte. Het verwerken van alle kentekens van passerende auto’s is onrechtmatig als er geen duidelijke grondslag is, en enkel willen weten wie jouw auto molesteert, is daarvoor niet genoeg volgens de rechtbank München, dat met een glijdendeschaalargument de dashcam onrechtmatig verklaarde: het kan niet zo zijn dat straks iedereen elkaar permanent gaat filmen.

We hebben in Nederland jurisprudentie die bepaalt dat

… het plaatsen van een camera, gericht op de auto van [de eiser] en het tonen van die beelden op een monitor, waarbij ook een gedeelte van de Rijksweg in beeld is, als zodanig niet in strijd met het privacybelang van weggebruikers … In wezen komt dit gebruik van de camera en het observeren van de auto overeen met hetgeen [de eiser] met het blote oog zou waarnemen vanuit zijn raam indien hij overging tot verwijdering van de daarvoor geplaatste bosschage.

Mede daarom meen ik dat het in Nederland écht anders uit moet vallen met die belangenafweging. En wat het aangebrachte karakter betreft, doel van die regeling is het tegengaan van langdurige stiekeme observatie. Dat vind ik bij een dashcam niet aan de orde, ook niet als hij ’s nachts op één plek geparkeerd staat. Met name hier omdat de camera’s geprogrammeerd zijn om alleen bij aanrijdingen/botsingen te filmen, wat me echt een zwaarwegend legitiem belang voor de auto-eigenaar lijkt.

Arnoud

Ja, deden ze dat maar – Privacygroep klaagt Amazon, Apple en Netflix aan om schenden AVG

Geplaatst op in Privacy, Regulering, 47 reacties

Privacyorganisatie noyb heeft grote techbedrijven aangeklaagd, omdat die de Algemene verordening gegevensbescherming (AVG) zouden schenden. Dat meldde Nu.nl onlangs. Dat klonk interessant, maar het bleek tegen te vallen: ze hebben gewoon een klacht ingediend bij de Oostenrijkse Autoriteit Persoonsgegevens, in de hoop dat die de techbedrijven Netflix, Amazon, Spotify, YouTube en Apple (en nog een paar) gaat aanpakken. Dat is een loffelijk streven en daar hebben we die toezichthouders ook voor, maar echt opschieten doet het niet. Ik had zo graag gehad dat ze zélf een rechtszaak waren begonnen. Want ik geloof er heilig in dat private handhaving de toekomst van de AVG gaat worden.

De kracht van een wet zit hem altijd in de handhaving. De hele reden dat iedereen zo hard is gaan rennen vanwege de AVG, is omdat men vreesde voor hoge boetes die door actieve toezichthouders zouden worden opgelegd. En de AVG kent natuurlijk megaboetes, daar is iedereen het over eens. Maar mijn grote zorg is altijd geweest dat de handhaving zeer beperkt zou zijn, zodat voor kleinere bedrijven de sfeer zou ontstaan van “wij worden niet gepakt” / “dit gaat over megabedrijven”.

Gelukkig zie ik langzaam maar zeker wat handhaving, zoals de Fransen die Google aanpakken met een boete van 50 miljoen voor de vaagtaal in hun privacyverklaring (“onze verscheidenheid aan diensten verwerkt diverse persoonsgegevens op allerlei manieren om uw gebruikservaring te optimaliseren”). In Nederland laat de AP zich ook zien met steekproefonderzoeken in de private sector. Maar het blijft mondjesmaat, en ik denk dat dat onvermijdelijk is bij handhaving door de overheid. Massale handhaving (de 100% controle) zie je eigenlijk nergens.

De AVG kent echter nog een ander mechanisme, dat behoorlijk onderbelicht is gebleven. Op grond van artikel 79 AVG mag iedere betrokkene een rechtszaak starten tegen een onrechtmatig gebruik van zijn persoonsgegevens, en daarbij zelfs schadevergoeding (artikel 82 AVG) eisen. Het praktische probleem daarbij is natuurlijk dat de kosten van een rechtszaak snel op kunnen lopen, en dat er op dit moment geen duidelijkheid is wat die schade dan in Euro’s zou moeten zijn. Er zijn nog geen richtsnoeren voor privacyschendingen op dat gebied.

Er is echter nóg een mechanisme waardoor dit interessanter gaat worden: artikel 80 AVG stelt de mogelijkheid voor massaclaims open, door organisaties die consumenten vertegenwoordigen op een bepaald gebied. Precies, zoals noyb dus. Zij mogen namens betrokkenen naar de rechter, en kunnen daarbij massa-schadeclaims indienen “indien het lidstatelijke recht daarin voorziet”. En dat kan zelfs zonder specifieke opdracht of mandaat van die betrokkenen, als het nationaal recht daarin voorziet.

In Nederland is het op dit moment zo dat een belangenorganisatie geen schadevergoeding kan eisen in een massaclaim (art. 3:305a BW). Daar wordt al jaren aan gesleuteld, zonder al te veel succes. De angst bij bedrijven voor massaclaims is natuurlijk groot, dus het lobbywerk heeft de mogelijkheden hier fors ingeperkt. Ik zie in de AVG echter meer ruimte voor zo’n organisatie, en omdat de AVG boven nationaal recht gaat, is dat lobbywerk misschien eenvoudig te passeren. Daarmee zou de weg vrij zijn voor een AVG-claimclub die namens consumenten (maar zonder aparte machtiging per consument) grote bedragen gaat halen.

Mijn stellige overtuiging is dat zodra er een paar van die clubs een actie starten, we vrij snel duidelijkheid krijgen over wat de schade van gebruik van een persoonsgegeven zou moeten zijn. En zelfs al is dat maar tien euro voor basale gegevens, een claim voor een miljoen van die gegevens loopt toch snel op. Ik zou als bedrijf héél wat zenuwachtiger worden van een private organisatie die tien miljoen wil komen halen, dan van een toezichthouder die dreigt met een boete van datzelfde bedrag.

Arnoud