Welke informatie moet ik geven bij standaard opgenomen zakelijke gesprekken?

Een lezer vroeg me:

Als bedrijf nemen wij al onze gesprekken (zowel inbound als outbound) standaard op, althans vanaf de verkoop- en klantenservice afdelingen. Mobieltjes van medewerkers en de gewone bureautelefoons natuurlijk niet. Maar hoe zit het nu met de informatieplichten, wat moeten wij in het gesprek verstrekken aan mensen die bellen of die wij bellen?

Het is als bedrijf een verstandige en logische stap om zakelijke gesprekken standaard op te nemen. Het geeft je bewijs van wat is gezegd, je kunt je medewerkers ermee evalueren en trainen en het helpt bij geschillen met de wederpartij.

Het opnemen van zakelijke gesprekken staat (enigszins) op gespannen voet met de AVG. Ook dergelijke gesprekken vallen onder de werking van deze strenge privacywet. Een gesprek is immers een persoonsgegeven in de zin van de AVG. Je moet dus over gespreksopnames vooraf nadenken hoe deze AVG compliant uit te voeren.

Een vaak vergeten aandachtspunt is de informatieplicht. Wie persoonsgegevens verzamelt, moet vooraf (of bij) dat vergaren melden dat hij dat doet, en waarom en voor hoe lang en zo nog wat zaken. Bij online diensten worden daar de privacyverklaringen voor ingezet, maar zo’n document voorlezen is nogal onhandig natuurlijk.

Praktisch gezien lijkt het me dan ook een prima oplossing om met een korte, zakelijke zin te melden dat een opname plaatsvindt en waarom. In het gesprek, of met een bandje achteraf, kan dan meer informatie worden gegeven. Dus “Dit gesprek wordt opgenomen voor kwaliteitsdoeleinden” bij een verkoopgesprek lijkt mij legaal, in combinatie met een document dat uitwerkt wat dat precies inhoudt en hoe je je rechten uitoefent.

Let op dat niet alleen de beller (de klant of zakenrelatie) moet worden geïnformeerd, maar ook de werknemer. Die heeft immers óók rechten onder de AVG. Bij werknemers kun je die informatie verstrekken in bijvoorbeeld het personeelshandboek of de privacyverklaring die je daar toch al verstrekt (je hébt toch een privacyreglement voor personeel?).

En als laatste aandachtspunt nog het feit dat je gespreksopnames alleen mag gebruiken voor het doel waarvoor je ze hebt gemaakt. Als je dus zegt “voor kwaliteitsdoeleinden” (=bewijs wat er is gezegd) en je gaat personeel beoordelen op taalgebruik, dan zou ik dat dubieus vinden ook al is in theorie grof taalgebruik slechte ‘kwaliteit’ van het gesprek. Een verkoopgesprek opnemen met als gesteld doel “bewijzen van de overeenkomst” kun je niet gebruiken om personeel op aan te spreken.

Arnoud

Australisch parlement stemt in met omstreden ‘anti-encryptiewet’

De Australische senaat heeft donderdag ingestemd met de omstreden wet die techbedrijven zoals Apple en Facebook verplicht om mee te werken bij het ongedaan maken van encryptie bij het onderscheppen van communicatie. Dat meldde Tweakers vorige week. De wet is omstreden omdat in het Angelsaksische rechtsgebied het doorbreken van encryptie door opsporingsdiensten als controversieel geldt, en deze wet de primeur heeft aldaar die er ook nog eens met trucjes doorgeduwd werd. Toch is het bepaald niet de “encryptie is nu verboden!!1!” wet die het in sommige media genoemd wordt. De regels over encryptie zijn volgens mij minder streng dan in Nederland.

De omstreden Assistance and Access-wet heeft inderdaad als gesteld doel bevoegdheden van politie en andere opsporingsdiensten te vergroten om het probleem van alomtegenwoordige encryptie op te kunnen lossen. Criminelen gebruiken encryptie om hun daden te verhullen, is dan het argument, dus moeten de diensten bij die versleutelde berichten kunnen in het belang van het onderzoek.

Een kernaspect van de wet is dan ook dat opsporingsdiensten zogeheten “technical assistance notices” en “technical capability notices” mogen sturen. Dat zijn bevelen om bepaalde technische ondersteuning te geven (assistance) maar ook om mogelijkheden in te bouwen (capability) om daarmee in de toekomst meer ondersteuning te realiseren. Dus “geef me de mailbox van Jan” is een assistance notice, maar “bouw iets in dat ik live mails van en naar Jan kan zien” is een capability notice. Met name die laatste is natuurlijk behoorlijk vérgaand, ook omdat je het gratis moet opvolgen.

Wat encryptie betreft is wel weer opgenomen dat zo’n notice niet mag leiden tot structurele verzwakking van encryptie of authenticatie. Een notice mag dus denk ik wel eisen dat een specifiek bericht wordt opengemaakt, maar niet dat standaard een achterdeur wordt ingebouwd.

Een specifiek bericht decrypten is dus een van de nieuwe bevoegdheden. In Nederland is dat helemaal niet zo nieuw, ons wetboek van strafvordering vermeldt onder meer in artikel 125k:

[Een bevel tot toegang tot gegevens kan worden gegeven in het belang van het onderzoek] indien in een geautomatiseerd werk versleutelde gegevens worden aangetroffen. Het bevel richt zich tot degeen van wie redelijkerwijs kan worden vermoed dat hij kennis draagt van de wijze van versleuteling van deze gegevens.

Dit vereist wel dat een verdenking bestaat van een ernstig misdrijf (minstens vier jaar cel, en enkele specifieke strafbare feiten zoals mensenhandel). Het bevel mag overigens niet aan de verdachte worden gegeven (dit staat ter discussie)

Als het gaat om een onderzoek door een toezichthouder, dan gaat de wet nog verder. Artikel 5:20 Awb:

Een ieder is verplicht aan een toezichthouder binnen de door hem gestelde redelijke termijn alle medewerking te verlenen die deze redelijkerwijs kan vorderen bij de uitoefening van zijn bevoegdheden.

Hieronder valt dus ook het ongedaan maken van encryptie. De letter van de wet sluit echter zelfs niet uit dat je dingen gaat bouwen om meer structureel bij bepaalde gegevens te kunnen, maar het zou wel een gedurfde* inzet van bevoegdheden zijn om dit te vorderen.

In de praktijk hebben vrijwel alle grotere bedrijven achterdeuren in hun encryptie-infrastructuur. Dat moet ook wel, want als een sleutelhouder ontslag neemt of overlijdt dan wil je als bedrijf door kunnen. Het openen van versleutelde berichten is dus altijd technisch mogelijk. En als dat zo is, dan mag bijvoorbeeld markttoezichthouder ACM vorderen dat dit gebeurt omdat zij een bestuursrechtelijke overtreding vermoeden.

Arnoud<br/> *Gedurfd besluit: een politiek besluit waarmee je de verkiezingen verliest. Yes, minister

Hoe je een bak geld verdient door gewoon de inkoopvoorwaarden te accepteren, wacht wat?

Corporate purchasing and policies make funding open source Literally Impossible, aldus Swift on Security, een parodiërende maar serieus te nemen securityonderzoekster. De onderliggende klacht is namelijk best reëel: als je een paar tientjes wilt vragen van een groot bedrijf om een bug in je open source project te fixen, dan is dat enorm ingewikkeld. Maar vraag je tienduizend euro voor een supportcontract waaronder je hetzelfde doet, dan is dat zo geregeld. Met dus het advies, doe dat laatste. Waarbij allerlei juristen beginnen te roepen, ja maar de inkoopvoorwaarden dan. Nou ja, die accepteer je dan dus gewoon, wat kan je gebeuren.

In de kern is het probleem de bureaucratie en overhead die je krijgt als je met een groot bedrijf zaken gaat doen. Er moeten veel punten op de i worden gezet wil zo’n organisatie overtuigd zijn dat ze met jou in zee moeten. Dat gaat vaak beter als je een serieuze belofte met langetermijntoezegging kunt doen, oftewel een supportcontract voor drie jaar met 24/7 beschikbaarheid. Dat dat wat meer kost dan het half uurtje dat ze eigenlijk wilden, is een bijzaak.

Natuurlijk zal zo’n bedrijf ook flink wat verwachten, althans op papier. Denk aan stevige aansprakelijkheid, lange betalingstermijnen, eenzijdig opzeggen en al die andere dingen waar je als leverancier op dag 1 tegen gewaarschuwd wordt. Dat moet je niet accepteren natuurlijk. Alleen: als er in de praktijk echt niet meer te verwachten is dan af en toe wat kleine vragen over dingen die je toch al deed, en de software gratis weggegeven wordt, welke aansprakelijkheden zijn praktisch gezien dan te verwachten? Vanuit dat perspectief is “teken gewoon en pak dat geld” een hele logische.

Een andere reden voor dit probleem is denk ik dat een eenmalige uitgave van een paar tientjes vaak wordt gerekend onder het kopje reiskosten/onvoorzien, en bedrijven zijn daar vaak erg huiverig over omdat de kans voor misbruik groot is. Als iedereen in het bedrijf ineens 50 euro mag geven aan een vaag figuur op internet omdat die een of ander leuk tooltje zou hebben gemaakt, waar ben je dan als multinational? (Ik ken mensen die om die reden die 50 euro dan maar privé betalen en het later verrekenen met reiskosten naar een conferentie.)

Het doet natuurlijk raar aan, blog ik een hele serie over hoe je je verweert tegen inkoopvoorwaarden en dan kom ik ineens met een advies om ze gewoon maar te accepteren. Maar soms kan dat gewoon het goede advies zijn.

Arnoud

Roddelen in een WhatsAppgroep over je baas kan reden zijn voor ontslag

Roddelen in een WhatsAppgroep over je baas kan reden zijn voor ontslag, maak ik op uit dit vonnis van de rechtbank Midden-Nederland. In een ontslagzaak werd gegrap en gegrol over het werk aangevoerd ter onderbouwing van een verstoorde arbeidsrelatie. Hoewel het ging om een groepschat met een beperkt aantal collega’s, vond de rechter toch dat de vrouw terecht ontslagen mocht worden.

Een vrouw was sinds 1989 in dienst bij het bedrijf, en had daarbij een standaard geheimhoudings- en relatiebeding in het contract. Eind 2017 ontdekte ze dat er in het bedrijf echter grote verschillen in loon waren, maar haar klachten daarover vonden geen gehoor. Daarop besloot ze elders te solliciteren.

Via WhatsApp had ze daarbij twee collega’s gestimuleerd om mee te gaan (“Echt [voornaam van A] ? Wil je mee? Ik heb jou en [voornaam van B] dan echt nodig hoor!! En [voornaam van C] ook. Haha”). Maar let op: bij de grootste concurrent. En onderdeel van de sollicitatie was een gezamenlijke Powerpoint pitch over wat ze bij die concurrent zouden konden gaan doen. Dat zette zo te lezen enig kwaad bloed, waarop de werkgever haar ontsloeg.

De rechter zet (terecht) voorop dat het volkomen legaal is om bij de concurrent te solliciteren, als je geen keihard contractueel verbod daartegen hebt getekend. En dat was er niet. Maar je collega’s aanzetten om mee te gaan, of bedrijfsvertrouwelijke informatie inzetten in een pitch zijn dingen die wél in strijd met het arbeidscontract kunnen zijn.

Om te kunnen bepalen of dit een probleem is, moet de rechter eerst toetsen of de WhatsApp conversaties waar de partijen zich op beroepen, wel als onderbouwing kunnen dienen. In principe is dat natuurlijk mogelijk, maar in dit geval had de werkneemster gesteld dat de werkgever die had gemanipuleerd. Zo werkt dat in het bewijsrecht, er is niets raar aan elektronisch bewijs of aan chatlogs an sich, maar als er concrete vermoedens van manipulatie komen dan moet je eerst kijken hoe waar dat is.

Uiteindelijk blijft er bij de rechter weinig over van de gestelde manipulatie. Het kwam uiteindelijk vooral neer op het punt dat WhatsApp-chats minder serieus te nemen moeten zijn, de context van humor en snelle berichtjes is immers heel anders dan een formeel-zakelijke conversatie.

Na de chats gelezen te hebben, komt de rechter tot de conclusie dat er geen sprake is van onrechtmatig aanzetten om collega’s A en B mee te nemen. Ze namen nog steeds zelf het initiatief, en uiteindelijk hadden ook zij geen beding tegen die concurrent in hun contracten.

Uit de berichten blijkt wel dat de werkneemster op een ander punt nogal wat te verwijten valt: ze wilde haar werkgever “een lesje leren”, waarbij ze in zeer cynische en schertsende uitspraken de managementcultuur neerzet. De wijze waarop zij het sollicitatietraject vervolgens doorliep bij de concurrent, waarbij ze zich als doel had gesteld de oude werkgever schade toe te brengen, maken dat haar gedrag verwijtbaar werd.

Wat de presentatie betreft, er is geen bedrijfsgeheime informatie gebruikt maar wel bleken foto’s opgenomen te zijn geweest die van de werkgever waren. Dat is dan mede een grond om haar een verwijt te maken.

In beginsel heeft een werknemer die minstens twee jaar in dienst is recht op een transitievergoeding als de arbeidsovereenkomst wordt opgezegd. Bij ernstig verwijtbaar handelen kan dat anders liggen. Maar hoewel dit gedrag verwijtbaar is, is die verwijtbaarheid niet “ernstig” te noemen met name omdat er niet daadwerkelijk schade is opgedaan en derden niets hebben gemerkt. Daarmee komt zij in aanmerking (gezien de duur van het dienstverband) voor een vergoeding van dik 76 duizend euro. De kantonrechter laat dan ook nadrukkelijk een hint vallen dat de werkgever mág kiezen om het ontslag in te trekken.

Arnoud

Wanneer sluit je als consument een verkoopovereenkomst via internet met een bedrijf?

Mijn moeder heeft vorige week maandag op “ikwilvanmijnautoaf.nl” aangegeven van haar auto af te willen, zo opende een draadje bij Tweakers. De moeder van de topicstarter wilde van haar auto af, nam contact op met het gelijknamige bedrijf en kreeg telefonisch een bod van zeshonderd euro, waar ze kennelijk positief op reageerde. Daaruit concludeerde het bedrijf dat er een bindende overeenkomst was, waarop de zoon boos werd want de auto zou volgens externe bronnen eerder vier dúizend euro waard zijn. Wat dan dus de vraag oproept, hoe hard zit je vast aan zo’n telefonische onderhandeling?

Op zich is het volgens mij niet raar om een hele lage prijs te bieden als opkoper, volgens mij weet iedereen dat je bodemprijzen krijgt. Het hele punt is immers, je wil er vanaf en dan heb je niet veel meer te eisen. Maar het moet wel netjes gebeuren, dus als men zegt dat het vrijblijvend is en daarna een overeenkomst claimt dan gaat er iets niet goed.

In deze situatie geldt er geen strenge consumentenbescherming. Had het bedrijf zelf gebeld, wilt u van uw auto af (zangstem: “punt ennel”), dan was het een ongevraagde telefonische acquisitie geweest en dan kan geen rechtsgeldige overeenkomst worden gesloten. Maar nu de verkoper zelf het gesprek initieerde, is dat wel gewoon mogelijk.

Hoofdregel is natuurlijk dat een overeenkomst tot stand komt door aanbod en aanvaarding. Letterlijk het woord “contract” of “afspraak” noemen is niet nodig. Als de autokoper dus zegt “gezien de gegevens lijkt me 600 euro mijn beste prijs” en de verkoper zegt “nou dat moet dan maar” dan zit de verkoper er aan vast. (De koper trouwens ook.)

Ik zie in het draadje diverse opmerkingen dat je bij overeenkomsten op afstand een bevestiging moet sturen om deze bindend te laten zijn. De wet eist bij overeenkomsten langs elektronische weg dat de dienstverlener een bevestiging stuurt (art. 6:227b BW). Dat is hier echter niet van toepassing; lid 3 zegt al vrij letterlijk dat deze eis niet geldt bij overeenkomsten die via elektronische post of een soortgelijke vorm van individuele communicatie tot stand zijn gekomen. Bovendien gaat het bij telefonische onderhandeling niet over diensten van de informatiemaatschappij.

Bij dit soort zaken is het echter vrij gebruikelijk dat de auto eerst gekeurd wordt. De prijs moet je dan dus eerder zien als een indicatie, en dan is juridisch nog geen sprake van een bindende overeenkomst. Ik zou dus eerder denken dat je daarop uit moet komen. Er ligt een bod van (grofweg) 600 euro, laat de auto zien en wellicht dat het bod dan naar beneden gaat. Maar bevalt het definitieve bod je niet, dan rijd je gewoon weer weg.

Natuurlijk wil je het gesprek even terugluisteren om zeker te weten wat er is gezegd, maar zo inschattend denk ik dat er geen bindende overeenkomst is en de autokoper vooral druk probeerde uit te oefenen om mevrouw langs te krijgen en haar om te praten.

Stel nu dat de autokoper had gezegd “ik betaal 600 euro zelfs als ie een total loss blijkt” en mevrouw had gezegd “dat is prima, ik wil er zo graag vanaf”. Dan was het volgens mij wél een bindende overeenkomst. Het is totaal niet relevant wat andere marktpartijen rekenen.

Vandaag wat minder reacties van mijzelf overigens want ik ben jarig. 0x2C alweer, wat gaat de tijd toch snel.

Arnoud

Leerling van school gestuurd na pesten van leraren op Instagram

Het Frits Philips lyceum heeft een leerling van school gestuurd naar aanleiding van een ‘meme-account’ op Instagram, las ik bij Omroep Brabant. “Memes zijn foto’s of heel korte video’s die vaak gaan over herkenbare situaties of grappen bevatten”, zo voegt men voor de duidelijkheid toe. De term ‘grap’ is hier – zoals wel vaker bij middelbaar onderwijs – nogal relatief: een foto van de receptionist met als hoofd een misvormde schedel, of “what if you wanted to go to heaven … but [conciërge] said where were you the 1st, 2nd, 3e periode”. Ehm, ja. Maar van school sturen?

Natuurlijk is er geen enkele wettelijke regel die iets specifiek over memes of Instagram of social media zegt. Maar dat hoeft ook niet. Wetten zijn juist gemaakt om heel generiek te zijn, zodat ze in zo veel mogelijk gevallen toegepast kunnen worden.

In dit geval gaat het om de Wet op het voortgezet onderwijs (Wvo), die een school brede bevoegdheden te geven om de goede orde op school te handhaven (artikel 24g):

In het leerlingenstatuut worden in elk geval voorschriften opgenomen, strekkende tot handhaving van de goede gang van zaken binnen de instelling en, de wijze waarop uitvoering wordt gegeven aan de bescherming van gegevens uit de persoonlijke levenssfeer.

Die van het Frits Philips vermeldt bijvoorbeeld in brede bewoordingen:

De leerlingen en de medewerkers hebben het recht op vrijheid van meningsuiting, mits deze mening niet kwetsend of beledigend is of in strijd met de doelstelling van de school.

Het lijkt me niet zo moeilijk om te onderbouwen dat dergelijke ‘grappen’ als kwetsend of beledigend ervaren kunnen worden. Daarmee is de overtreding van het statuut snel gegeven. Of je dat doet op Instagram of op het schoolplein, maakt daarbij weinig uit – zodra het op school gedoe geeft, valt het onder het statuut.

Het van school sturen voelt wat streng voor zo’n grap, hoewel ik ook dingen over hakenkruizen lees. Maar hierbij woog mee dat de leerling in kwestie bleef ontkennen achter het account te zitten en hem werd verteld van school gestuurd te worden zodra er bewijs was. Dat werd vervolgens gevonden. Die zie ik wel, keihard liegen verpest natuurlijk behoorlijk de relatie en kan tot zwaardere sancties leiden.

Desondanks bekruipt me het gevoel dat dit niet was gebeurd als de memes op papier op het schoolbord waren gehangen, maar mijn schooltijd ligt vér achter me dus misschien ben ik daarin ouderwets.

Arnoud

Een black box algoritme mag geen juridische besluiten nemen

De zwarte doos roept steeds meer zorgen op. En dan bedoel ik niet de (overigens feloranje) kast in vliegtuigen waar informatie over crashes te vinden is, maar de zogeheten black box algorithms die zonder inzicht in hun werking een uitkomst geven. In het jargon van de ‘meme’ of internetgrap: “Computer says no”. Een zorgelijke ontwikkeling immers als je bedenkt dat steeds meer besluitvorming dankzij dergelijke algoritmes plaatsvindt. Een gebrekkige motivatie zou men bij menselijk genomen besluiten niet accepteren, dus waarom dan wel bij computers? Gelukkig heeft onze Hoge Raad nu een uitspraak gedaan die een harde lijn trekt tegen zulke besluitvorming.

De term ‘algoritme’ is in dit verband een tikje misleidend. Een algoritme is een eindige reeks instructies die vanuit een gegeven begintoestand naar een beoogd doel leidt. Meestal worden deze instructies door een computer uitgevoerd. In beginsel is er dus niets ondoorzichtigs of mysterieus aan een algoritme. “Ga na of betrokkene de leeftijd van 67 jaar heeft bereikt en zo ja ga over tot AOW-uitkering” is een volkomen transparant algoritme, dat iedere SVB-ambtenaar kan uitvoeren.

De meeste algoritmes zijn echter een stuk complexer, en drijven steeds vaker op zogeheten machine learning constructies in plaats van ouderwets ontworpen procedures. Klassieke algoritmes worden opgezet als stappenplannen van bovenaf, en verfijnd of uitgebreid als de regels ingewikkelder worden of uitzonderingen moeten worden ingevoerd. In bovengenoemd voorbeeld zou eigenlijk de deelregel horen “als betrokkene na 31 december 1954 en voor 1 oktober 1955 is geboren, neem dan de leeftijd van 67 jaar en 3 maanden”. Latere wetgeving kan nog meer regels doorvoeren, zoals wat te doen als iemand vele jaren in het buitenland heeft gewoond. Dit alles blijft relatief overzichtelijk.

Machine learning algoritmes werken van onderaf. Zij analyseren bestaande historische gegevens en destilleren daaruit patronen, die vervolgens worden omgezet in regels. Een dergelijk algoritme zou bijvoorbeeld uitkeringsfraude kunnen detecteren door in uitgavenpatronen van gerechtigden te zoeken naar voor fraude typische handelingen zoals op onregelmatige momenten grote bedragen ontvangen of vanaf de 15e van de maand niets meer te pinnen (omdat dan het zwart geld handje contantje wordt ontvangen).

Deze algoritmes zijn dus niet met vooraf opgestelde regels geformuleerd, maar kunnen uitsluitend vaststellen of een nieuwe casus voldoet aan het gedetecteerde patroon. Zo’n patroon is dan niet eenvoudig verklaarbaar, althans niet in een vorm waar mensen genoegen mee nemen. Effectief komt het algoritme niet verder dan “uw gedrag lijkt heel sterk op dat van fraudeurs, dus bent u volgens ons een fraudeur”. Nadere uitleg waaróm men dan lijkt, blijft vaak achterwege of komt neer op een opsomming van factoren waar moeilijk een voor juristen herkenbare regel van te maken is.

Een bijkomstigheid is dat dergelijke algoritmes vaak worden ontwikkeld door private bedrijven, die de effectiviteit van hun algoritme als belangrijkste verkoopargument aandragen. Het is dan ook essentieel voor hen dat zij geen inzicht hoeven te geven in de details van het algoritme, immers anders doet de concurrent morgen hetzelfde. Ook daardoor is sterk het beeld ontstaan dat algoritmes ondoorzichtige dozen zijn, er mag immers niet in worden gekeken.

Wanneer dergelijke algoritmes worden ingezet voor juridische besluitvorming, ontstaat een groot probleem. Een bestuursorgaan of rechtbank neemt dan een besluit, waarbij een deel van de motivatie gebaseerd is op een ondoorzichtige doos die ja of nee zegt. Een heldere motivatie is kern van een goede besluitvorming. Immers het is de motivatie waarop men een besluit in hoger beroep aanvecht.

Terecht dan ook dat de Hoge Raad bij arrest van 18 augustus een duidelijke streep in het zand trekt: wanneer een bestuursrechtelijk besluit geheel of ten dele het resultaat is van een geautomatiseerd proces, moet het bestuursorgaan zorgdragen voor de inzichtelijkheid en controleerbaarheid van die keuzes, aannames en gegevens. Anders kan een belanghebbende de juistheid van de bij dat geautomatiseerde proces gemaakte keuzes en van de daarbij gebruikte gegevens en aannames niet controleren en betwisten.

De zaak betrof de modelmatige waardebepaling in het kader van de uitvoering van de Wet WOZ. Deze waardebepaling vindt in eerste aanleg geautomatiseerd plaats. Hiertoe worden door (nagenoeg uitsluitend externe) softwareontwikkelaars taxatiemodellen ontworpen die per gemeente worden gevuld met de relevante objectgegevens en de beschikbare verkoopinformatie. Op grond van modelmatige analyse worden in het taxatiemodel onder meer staffels berekend die kunnen worden gebruikt voor het bepalen van de grondwaarde van het te taxeren object, met inachtneming van het type object en de ligging van de onroerende zaak. De staffels zijn opgenomen in de software en dus niet inzichtelijk voor de ambtenaren die ermee werken, laat staan voor de betrokkenen die de waardebepaling aangezegd krijgen.

De Hoge Raad ziet een dergelijke manier van werken in strijd met fundamentele beginselen van een goede besluitvorming. Een belanghebbende kan in geval van besluitvorming op basis van een computerprogramma dat vanuit zijn perspectief is te beschouwen als een zogenoemde “black box” immers niet controleren op basis waarvan tot een bepaald besluit wordt gekomen. Het is dan onmogelijk een fatsoenlijk bezwaar daartegen te formuleren. Het verbaast dan ook niet dat de HR de betrokkene gelijk geeft.

Terug naar de tekentafel, of eigenlijk rekentafel dus voor de gemeente. Echter, dat roept de vraag op hoe een nieuw besluit dan wél fatsoenlijk tot stand kan komen. Het is immers het gewone werkproces waarbij deze gegevens als black box worden gebruikt. In feite zou de gemeente nu de staffels opnieuw moeten construeren en als transparante tabellen moeten aanbieden, zodat ze als duidelijke onderbouwing en grondslag kunnen dienen. Dat zal buitengewoon veel werk kosten, en dat was nu precies waarom men die software van derden afnam.

Een ander probleem is dat dergelijke nieuwe staffels mogelijk minder van kwaliteit zullen zijn. De bestaande ontransparante staffels voldoen namelijk vaak wel in hoge mate. Dat is de keerzijde van zo’n breed computeralgoritme dat op basis van data-analyse tot stand komt: het wérkt wel heel goed. Het is immers gebaseerd op de feitelijke situatie, niet op hoe men op papier bedenkt dat dingen zouden kunnen zijn. Het dilemma van de algoritmes: wil men een mooi model dat niet past bij de werkelijkheid, of een passend model dat onverklaarbaar is?

Arnoud

Mag een hostingbedrijf haar prijzen vier keer over de kop doen?

Hostingbedrijf Versio heeft vrijdag nieuwe pakketten voor webhosting en domeinnamen aangekondigd, met flink hogere prijzen. Dat meldde Tweakers afgelopen maandag. In een mail op vrijdagavond werd gezegd “We willen iets met je vieren”, maar onderdeel van dat feestje was een prijsverhoging van 0,50 naar 2,50 per maand waarbij het zelfs leek of dat meteen in ging. En oh ja, de algemene voorwaarden waren gewijzigd zodat die op ieder moment mogen worden gewijzigd – zonder aankondiging. Eh, wacht, wat?

Hoofdregel bij ieder contract is dat het alleen mag worden aangepast als beide partijen daarmee instemmen. Veel zakelijke dienstverleners nemen daar een voorschot op door in de AV te bepalen dat zij eenzijdig de voorwaarden mogen herzien. Dat mag en is bindend op de zakelijke afnemer, bij consumenten ligt dat iets ingewikkelder.

Er is géén wettelijke regel dat je moet kunnen opzeggen bij een wijziging van het contract (of de prijzen). Waar het op neerkomt, is of zo’n wijzigingsbeding redelijk is. “Wij mogen wijzigen en dan mag u opzeggen” is in principe altijd redelijk, maar “wij mogen kleine dingen wijzigen zónder dat u mag opzeggen” of “wij mogen de prijzen aan inflatie aanpassen zonder dat u mag opzeggen” vind ik ook best redelijk.

Bij redelijkheid hoort ook hoe je het bekend maakt. Ik denk dat uit de wet volgt dat je als dienstverlener actief moet mededelen aan je klant. Enkel zeggen “kom elke dag maar kijken of de AV zijn aangepast, en oh ja we hebben geen track changes dus succes met lezen” is gewoon weinig redelijk. Het is voor de dienstverlener een kleine moeite een bericht te sturen, en het alternatief is zeer bewerkelijk voor de klant. Een voorwaarden die dus zegt “u moet zelf nagaan of de AV zijn gewijzigd” vind ik dus niet redelijk.

Het lijkt erop dat Versio vooral onhandig heeft gecommuniceerd: de prijswijzigingen en pakketwijzigingen treden pas in werking bij het eerste verlengmoment van de pakketten. Dat is sowieso legaal, als bedrijf ben je immers niet verplicht een verlenging te geven dus mag je bij verlenging afdwingen dat men naar een nieuw pakket overstapt. Natuurlijk moet je dat wel duidelijk melden zodat mensen kunnen weigeren die overstap te maken.

Wat de prijsverhoging betreft, ik snap best dat mensen daarvan schrikken want 400% verhoging is nogal wat. En dan lijkt het klein bier omdat het om 2,50 per maand gaat, maar veel Versio klanten hebben vele websites daar (ik ken de nodige mensen met 50+ sites) en dan gaat het hard natuurlijk.

Arnoud

Volgen van telefoongebruikers met wifi-tracking mag alleen bij uitzondering

De Nederlandse Toezichthouder laat weten dat het volgen van mensen in openbare ruimten via wifi-tracking alleen bij hoge uitzondering is toegestaan, las ik bij Tweakers. Dergelijk volgen is een diepe inbreuk op de privacy, en onder de AVG zal het niet meevallen daar een degelijke en rechtmatige motivatie voor te geven. Toestemming valt sowieso af, en de belangenafweging bij het eigen legitiem belang zal -aldus de toezichthouder- slechts in uitzonderlijke gevallen in het voordeel van de wifivolger uitpakken.

Bij wifi-tracking wordt het signaal van mobiele telefoons gebruikt om groepen mensen in de gaten te houden. In de praktijk gebruiken bedrijven deze techniek bijvoorbeeld in en rond winkelcentra of andere (semi-)openbare plekken. Meestal gaat het dan om via Bluetooth verkregen gegevens, maar ook Wifi signalen kunnen worden gebruikt om tot een identifier te komen. Daarmee kun je locatie of zelfs gedrag van personen bijhouden, wat handig kan zijn om bv. de effectiviteit van de schappen in je winkel te bepalen.

Dergelijk volgen is natuurlijk een vorm van verwerken van persoonsgegevens. Je houdt bij waar iemand is, en koppelt daar informatie aan. Natuurlijk weet je niet hoe die persoon heet of hoe hij of zij te bereiken is, maar dat maakt onder de AVG niet uit. Het door jou toegekende rugnummer (bv. een hash van het MAC-adres van de telefoon) is de identiteit van die persoon. Dat getal is immers genoeg voor jou om iets te doen met die persoon, dus daarmee heb je die persoon geïdentificeerd.

Als je persoonsgegevens verwerkt, dan moet je daar een grondslag voor hebben. De meeste mensen denken dan aan toestemming, maar in de praktijk heb je daar bar weinig aan. Er gelden zware voorwaarden om die te krijgen, en hij is zo in te trekken zonder dat je daar consequenties aan mag verbinden. En een bordje bij de ingang “U wordt gevolgd” is géén manier om toestemming te krijgen.

In de praktijk zul je het dus moeten gooien op wat heet een eigen legitiem belang. Een belang dat maatschappelijk aanvaard is, zoals beveiliging of marketing, en waarbij je ook nog eens kunt laten zien dat in jouw geval dit zwaarder weegt dan de privacy van de mensen die je volgt.

De AP suggereert in het persbericht dat zo’n belang niet snel op zal gaan:

Er zijn vrijwel geen redenen die het volgen van winkelend publiek of reizigers rechtmatig maakt. Bovendien zijn er minder ingrijpende methoden om hetzelfde doel te bereiken, zonder schending van de privacy.

Dat is inderdaad formeel de toets van de belangenafweging, kan het met minder en kan het ook anders. Als dat zo is, dan moet het anders. Ik moet wel zeggen dat ik weinig andere manieren kan bedenken om te meten hoe groepen mensen zich gedragen op een terrein, in ieder geval met ongeveer dezelfde effectiviteit en inzichtelijkheid.

Voor gemeentes en andere overheden is de AP nog strenger: die mogen zich van de AVG namelijk niet op zo’n eigen belang beroepen. Een gemeente moet een wettelijke regeling hebben uitgewerkt waarin staat wat men meet, waarom en voor hoe lang. Dat kan bijvoorbeeld in de APV.

De bezorgdheid achter deze opstelling lijkt te zijn dat bedrijven daarmee die mensen vervolgens commercieel gaan profileren – u loopt hier al de hele dag, u wilt nu water kopen, we doen de prijs even drie keer over de kop. Dat voelt wat voorbarig, voor zover ik weet gaat het op dit moment eigenlijk alleen om testen waar mensen graag willen zijn en welke stands, reclames en dergelijke goed bevallen. Dat lijkt me meer een statistisch onderzoeksdoel dan een plat commercieel doel. Maar ik kan me vergissen.

Arnoud

Starbucks gaat porno blokkeren op zijn gratis wifi

Na jaren van protestacties heeft Starbucks in de VS besloten om porno te blokkeren op de gratis wifi-netwerken in zijn koffiezaken. Dat las ik bij RTL Nieuws vorige week. De koffieketen staat al jaren onder druk van de bezorgde burgers van ‘Enough Is Enough’, die fel tegen porno is en bedacht heeft dat Starbucks wezenlijke invloed daarop kan uitoefenen. Starbucks gaat nu overstag, waarschijnlijk vanuit bezorgdheid om haar reputatie – ik zag het argument “veroordeelde zedendelinquenten gaan dan ook in de Starbucks porno kijken” en dan wordt het ongezellig. Wel vooralsnog alleen in de VS, maar het riep toch de vraag op hoe dit bij ons zou uitpakken. Is dat niet in strijd met netneutraliteit?

Netneutraliteit is het beginsel dat alle internetverkeer gelijk moet worden behandeld. Er mag geen onderscheid op afkomst of inhoud worden gemaakt, behalve in een beperkte set situaties zoals netwerkbeveiliging of een wettelijke plicht. Een internetprovider mag dus geen toeslag vragen voor bijvoorbeeld internetbellen, maar mag ook geen blokkades opwerpen tegen ongepast (maar legaal) internetverkeer zoals pornografie.

In Nederland hadden we als tweede land ter wereld een wet die netneutraliteit regelde. Daarbij was lange tijd onduidelijk of dit nu gold voor iedereen die een ander op internet liet, of alleen voor ‘echte’ internetproviders die het algemene publiek toelieten.

De Europese Verordening op dit gebied die tegenwoordig geldt, lijkt duidelijk genoeg:

Aanbieders van internettoegangsdiensten behandelen bij het aanbieden van internettoegangsdiensten alle verkeer op gelijke wijze, zonder discriminatie, beperking of interferentie, en ongeacht de verzender en de ontvanger, de inhoud waartoe toegang wordt verleend of die wordt verspreid, de gebruikte of aangeboden toepassingen of diensten, of de gebruikte eindapparatuur.

Echter, een ‘aanbieder’ wordt in het vorige artikel gedefinieerd als een “onderneming die openbare communicatienetwerken of openbare elektronische communicatiediensten aanbiedt”. Een koffieketen zoals Starbucks voldoet niet aan die omschrijving, omdat hun netwerk en dienst alleen toegankelijk is voor het beperkte publiek dat haar cafés bezoekt. Dus ja, dit zou mogen.

Wel denk ik dat Starbucks dit expliciet moet melden, omdat anders een essentieel aspect van de geboden dienst (koffie met internet) ontbreekt. Dit vanuit de algemene informatieplichten die je als winkelier hebt. Ik weet alleen niet goed hoe je dát bordje zou moeten formuleren.

Arnoud