Nog meer dingen die van de AVG ineens niet zouden mogen

Geplaatst op in Privacy, 62 reacties

Oh jee, de AVG. Dat begint een beetje een vervelend mantra te worden sinds 25 mei. Omdat de nieuwe privacyverordening zo veel nieuwe regels met zich meebrengt, komt vrijwel iedereen erachter dat dingen anders moeten. En vernieuwing is vervelend, zeker als het op grond van zoiets raars als privacy moet gebeuren. Een greep dus uit de nieuwsberichten van de afgelopen tijd van mensen die dingen niet meer mogen, en vooral: waarom ze ongelijk hebben.

Niet meer durven bidden voor de zieken – dankzij de privacywet. Dat schreef NRC onlangs. Het noemen van een naam in het gebed (eventueel in combinatie met een verwijzing naar ziekte) kan mogelijk als een verwerking van persoonsgegevens gezien worden. En dan zou de kerk een boete kunnen krijgen.

Onterechte angst, lijkt me. Allereerst is hier sprake van een niet-geautomatiseerde verwerking van gegevens die niet in een bestand terecht komen. Een gebed of preek is geen doorzoekbaar gestructureerd geheel aan informatie. Daarnaast krijg je hier dan onmiddellijk een botsing met de vrijheid van godsdienstuitoefening (artikel 18 UVRM en artikel 6 Grondwet), zodat je op zijn minst een belangenafweging moet maken tussen de grondrechten privacy en godsdienst: wat weegt zwaarder, de religieuze behoeftes van de gelovigen of de privacy van de zieke die wellicht niet in gebed genoemd wil worden?

Wij kunnen geen medicijnendoosjes met etiketten meer aannemen bij onze retourdienst medicijnen, aldus mijn apotheek. Dat twitterde ik een paar weken terug. Het goed verwerken van oude medicijnen is belangrijk omdat deze het milieu ernstig vervuilen en gezondheidsrisico’s vertegenwoordigen, dus biedt vrijwel elke apotheek een inleverdienst aan. Maar dat ‘mag’ dus niet meer van de AVG. Eveneens onterecht, wat mij betreft. En wel om dezelfde reden: een niet-geautomatiseerde verwerking van gegevens die niet in een bestand terechtkomen. Dit valt gewoon buiten de AVG.

School maakt gezichten leerlingen zwart op foto: ‘Privacy staat voorop’, aldus RTL Nieuws. De school had leerlingen foto’s mee naar huis gegeven (gewoon als stukjes papier dus) maar daarop alle gezichten met een zwarte stift onherkenbaar gemaakt. “”We zijn een speciale school met een kwetsbare doelgroep. En we hebben altijd te maken met kinderen die niet op de foto willen”, zo motiveerde het bestuur de beslissing.

Een beetje raar. Het gaat om portfolios gemaakt door de kinderen zelf tijdens de lessen van het afgelopen jaar. Dat lijkt me dus redelijkerwijs noodzakelijk voor het leveren van het onderwijs, en daarmee te rechtvaardigen binnen de AVG. (Als die foto’s niet nodig zijn, waarom worden ze dan gemaakt?) En de privacy-impact lijkt me zeer gering omdat de foto’s alleen worden gedeeld met de betrokkenen zelf en hun wettelijk vertegenwoordigers. Deze zie ik dus niet helemaal.

Zelfs op het oog ‘onschuldige’ gegevens zoals het vrijgeven van het gewicht of de lengte van een voetbalspeler aan media is naar de letter van de nieuwe wetgeving niet toegestaan, zo meldde voetbalclub Feyenoord onlangs. Voetbalspelers zijn immers werknemers van de clubs, en werkgevers hebben de privacy van personeel te respecteren. Zij worden daarom terughoudender in mededeling doen over blessures en dergelijke van spelers.

Wederom onterecht volgens mij. Inderdaad, een gewone werkgever moet terughoudend zijn met privacygevoelige informatie van de werknemer aan derden verstrekken. Dat mag alleen als het voor het werk noodzakelijk is of er een zwaarwegend belang is voor de werkgever. Denk aan een klant bellen dat een afspraak niet doorgaat omdat de betreffende collega ziek is: dat is relevant voor het werk (maar wat deze persoon precies heeft, natuurlijk niet).

Specifiek bij professioneel voetballers en andere topsporters zie ik dat echter anders. Hun rol in de maatschappij is veel groter, zodat de informatievrijheid hier een zwaardere rol gaat spelen. Heel kort door de bocht, het publiek heeft er recht op te weten wat er met ‘hun’ sterspelers aan de hand is. Natuurlijk zitten daar grenzen aan, een live camera boven het ziekbed gaat hem niet worden. Maar een voetbalclub mag volgens mij best melden dat hun speler Robin van Persie een kuitblessure opgelopen heeft en daarom niet kan spelen.

Wie heeft er nog meer “oh jee dat mag niet van de AVG” berichten gezien recent?

Arnoud

Wie is er aansprakelijk voor een door de browser onthouden internetbankierenwachtwoord?

Geplaatst op in Security, 24 reacties

ING onderzoekt of het mogelijk is zijn Chrome-inlogpagina weer ondersteuning te laten bieden voor het invullen van wachtwoorden met een wachtwoordmanager. Dat meldde Tweakers onlangs. De bank had dit geblokkeerd uit angst dat mensen hun browser dit laten onthouden, zodat een derde zonder veel moeite vanaf die laptop kan internetbankieren met alle gevolgen van dien. Wachtwoordmanagers zijn veiliger, maar werken met dezelfde herkentechniek voor inlogpagina’s. De maatregel gaf dan ook de nodige ophef, waaronder “maar het is toch jouw keuze of je zo onveilig bent”? Ja, maar bij bankieren zijn de regels net even anders.

Hoofdregel uit het recht is dat je aansprakelijk bent voor je eigen keuzes. Dus als jij de sleutels van je pand slordig opbergt, dan kun je dat moeilijk anderen verwijten. En specifiek bij internetdiensten is het dan ook jouw keuze en jouw risico hoe je wachtwoorden kiest, beheert en toegankelijk maakt.

Natuurlijk, wachtwoorden kunnen worden gestolen of afgekeken. Maar hoe moet een internetdienst weten dat iemands login door een ander gebeurde? Behoudens heel concrete aanwijzingen zou ik dat niet weten. En pas bij een hele grote of belangrijke dienst zou ik vinden dat die actief moeten monitoren op ongebruikelijk inloggedrag.

Specifiek bij banken ligt het iets complexer. De wet zegt namelijk dat een bank altijd aansprakelijk is voor beveiligingsincidenten, behalve bij fraude, opzet en grove nalatigheid van de klant (art. 7:529 BW). Bij gewone slordigheid of onoplettendheid van de internetbankierende consument draait de bank dus op voor ongeautoriseerde transacties, met hooguit een eigen risico van 150 euro voor die consument. Per ongeluk of uit gemakzucht kiezen voor het onthouden van je inlogwachtwoord voor bankieren lijkt mij een gevalletje slordigheid en géén grove nalatigheid.

Dit risico komt ook weer terug in de Uniforme Veiligheidsregels van de banksector, die expliciet over beveiligingscodes vermelden:

Schrijf of sla de codes niet op. Of, als het echt niet anders kan, alleen in een voor anderen onherkenbare vorm die alleen door uzelf is te ontcijferen. Bewaar in dit geval de versleutelde informatie niet bij uw bankpas of bij apparatuur waarmee u uw bankzaken regelt;

Ik kan dit niet anders lezen dan dat je je browser geen wachtwoorden mag laten opslaan, maar dat je ook geen wachtwoordmanager mag gebruiken. Die “apparatuur” is immers je laptop of telefoon, en de wachtwoordmanager slaat daar het wachtwoord bij op. Dus wat dat betreft is ING wel consistent.

Tegelijk: een wachtwoordmanager en dan een stevig master password is gewoon de beste manier om jezelf te beveiligen bij online diensten. Dus dit voelt als een best wel fundamenteel dilemma.

Arnoud

Nu mag je ook al niet meer doodgaan van de algemene voorwaarden

Geplaatst op in Informatiemaatschappij, 5 reacties

De internetbetaaldienst PayPal heeft een vrouw die onlangs is overleden een brief gestuurd met de mededeling dat haar overlijden in strijd was met de regels. Dat meldde Nu.nl op gezag van de BBC. “You are in breach of condition 15.4(c) of your agreement with PayPal Credit as we have received notice that you are deceased… this breach is not capable of remedy.” meldde de brief. Nadat de weduwnaar de BBC had ingelicht, heeft Paypal de brief ingetrokken onder het maken van excuses. Maar wat krijgen we nou?

Het is me niet helemaal duidelijk welk artikel 15.4 precies wordt bedoeld. De voorwaarden van Paypal Credit zijn anders gestructureerd, en er is nergens een 15.4(c) te vinden. Gezien de context van de brief (een letter of default) gaat het waarschijnlijk om artikel 12, waar voorwaarden in staan waaronder je als klant in verzuim (default) wordt geacht te zijn. Paypal mag dan je krediet ineens opeisen en je account sluiten.

Dit artikel noemt enkele situaties die voor mij vrij standaard zijn, zoals niet tijdig betalen of failliet gaan, maar ook het doen van misleidende verklaringen of niet voldoen aan je informatieplichten. Oké, dat is ergens nog wel te begrijpen, maar dat doodgaan staat er dus ook tussen:

Pass away or become incompetent;

Ik vermoed dat de achterliggende gedachte is dat je iemands kredietovereenkomst op moet kunnen zeggen als die iemand overleden is, er is dan immers geen wederpartij meer. Het is dan ook logisch dat je al het geld terug wilt eisen.

De specifieke uitwerking in dit artikel 12 is een beetje een vieze hack, een soort operator overloading eigenlijk. Artikel 12 regelt wanneer jij iets doet dat niet mag, op grond waarvan Paypal dan mag opzeggen. Dat artikel wordt nu gebruikt om ook de situatie na overlijden te regelen, want de uitkomst is hetzelfde. Maar als side effect gaat er dan een ingebrekestelling uit met als grondslag dat je overleden bent, en dat is natuurlijk weer niet de bedoeling.

Daar is vrij zeker gewoon niet over nagedacht, ook niet toen iemand het sjabloon voor die brief samenstelde en “Pass away” las en daar “you are deceased” van maakte. Het zou me niets verbazen als die zinnen door iemand anders zijn gemaakt dan de persoon die het sjabloon maakte.

De uitkomst (en die brief dus) is complete onzin, maar hoe het kon gebeuren is volkomen logisch.

Arnoud

Moet je ieder theoretisch mogelijk datalek al melden bij de toezichthouder?

Geplaatst op in Privacy, 2 reacties

Een lezer vroeg me:

Bij ons bedrijf loopt een discussie over de meldplicht datalekken. Wij kunnen niet uitsluiten dat geen van onze medewerkers ooit in een phishing-truc trapt, of dat iemand via een uiterst geavanceerde hack binnendringt en data steelt op een manier dat de logging wordt omzeild. Moeten we dan elke dag een datalek melden? Immers, je moet lekken melden tenzij je kunt uitsluiten dat er data is gelekt.

Nee, dat hoeft niet in dit soort theoretische gevallen.

Allereerst is een beveiligingsfout pas een datalek als er daadwerkelijk iets is gebeurd én je daar weet van hebt. Is je een datalek niet opgevallen, dan heb je niets om te melden en dan hoef je dus ook niet te melden. (De lat ligt bij “had moeten weten” volgens mij, dus als een normaal oplettend iemand het had geweten dan kun jij niet zeggen “lalala datalek hoe bedoel je”).

Kun je uitsluiten dat er iets is gebeurd, dan hoef je niet te melden dat die fout er zat. Logbestanden zijn een goede manier om uit te sluiten dat via een gemanipuleerde URL data is opgevraagd bijvoorbeeld. Ook de aanwezigheid van bijvoorbeeld een firewall die het verzenden van data via een bepaalde poort verhindert, zou ik genoeg vinden om niet van een datalek over die poort te spreken.

Het idee is dat je pas iets moet melden als je concreet een incident hebt. Het heeft weinig zin om te zeggen “misschien ben ik gephisht” of “mogelijk zat er een intruder op mijn netwerk die de klantdatabse heeft gedownload buiten ons IDS om”. Met zo’n melding kan er geen onderzoek of wat dan ook volgen.

Ten tweede: als je weet hebt van een datalek, dan moet je het melden tenzij de kans op schade voor betrokkenen minimaal is. In de praktijk komt dat neer op of je kunt uitsluiten dat er misbruik wordt gemaakt van de persoonsgegevens. Het is hier dus niet tenzij je kunt uitsluiten dat er een lék is geweest, maar uitsluiten dat er scháde door het lek is. Arnoud

Arnoud

Bijtertjesblog 925 daagt haarklovende advocaten van Permission Machine uit voor auteursrechtzaak

Geplaatst op in Intellectuele rechten, 29 reacties

Hoi haarklovende advocaten van Permission Machine, komt u naar de zitting op 23 maart. Aldus werkendemannenblog 925. De site is tegen een bekend internetprobleem aangelopen: je hebt als internetpublicatie veel beeldmateriaal nodig, en als je dan een keer niet oplet dan krijg je gelijk een hap van een advocaat die geld wil zien namens een fotograaf die zich ernstig in zijn exclusieve rechten getast voelt. In dit geval een hap van maar liefst € 840.011, maar iets gebruikelijker zijn bedragen van enkele honderden tot een paar duizend euro. Exclusief advocaatkosten, want dat komt er dan ook nog eens bovenop.

Wie deze blog al wat langer volgt, weet van deze problematiek. Internet is gegroeid op het idee dat foto’s vrij beschikbaar zijn, en fotografen zijn er relatief laat achter gekomen dat het internet dat vond. Dat heeft tot een héle serie aan claims en ruzies geleid, waarbij elke keer de conclusie was dat de Auteurswet nu eenmaal streng is en dat je (zeker bij zakelijk gebruik) gewoon moet betalen als je iemands foto overneemt. Dat je niet wist van de rechten of dat je terecht meende rechtenvrije foto’s te hebben, of welk argument dan ook, deed daar niet aan af.

Veel bedrijven zien daar op zich het punt wel van in, maar verslikken zich vervolgens in de hoogte van de claim. Want waar je rechtenvrij beeld normaal koopt voor hooguit enkele tientjes, blijkt zo’n overgenomen foto altijd minstens 255 euro te kosten en als je niet uitkijkt 999. En daar bovenop komt dan nog eens de scrabbleclaim: 2x of 3x de beeldwaarde omdat dat in de algemene voorwaarden staat of “omdat overnemen zonder toestemming niet beloond moet worden”, onder verwijzing naar stapels jurisprudentie (of, met een beetje pech, Mr. Reid, John Reid) die dat zou legaliseren.

De claim tegen 925 maakt het wel erg bont met dik acht ton, maar van facturen van 5000 euro voor één foto van 300×300 pixels kijk ik werkelijk niet meer op. Wat er uiteindelijk van overblijft bij de rechter blijft vooralsnog een spannende, al is mijn ervaring dat wie ernstig overvraagt vaak het deksel op de neus krijgt. Desondanks, frustrerend blijft het om te zien hoe dit elke keer maar mis en mis blijft gaan.

Arnoud

WhatsApp stuurt advocaat af op apps die chatnotificaties gebruiken in eigen apps

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 10 reacties

WhatsApp heeft een advocaat brieven laten sturen naar ontwikkelaars van Android-apps die de notificaties van de chatapp gebruiken in hun eigen apps. Dat meldde Tweakers vorige week. Volgens het bedrijf is hier sprake van een overtreding van de gebruiksvoorwaarden, die immers verbieden dat je “Collect the information of or about WhatsApp’s users in any impermissible or unauthorized manner” en nog een paar hele juridische frases doet. De developer was erg verbaasd, omdat wat hij deed niet meer was dan het centrale notificatiesysteem van Android uitlezen. Kan dat door een TOS worden verboden?

Het is al langer bekend dat het bedrijf WhatsApp erg beschermend doet over haar berichtendienst en wat daar omheen gebeurt. Als een van de weinige internetbedrijven hebben ze geen openbare API waarmee mensen hun dienst geautomatiseerd kunnen aanroepen of uitlezen. Dat zou erg handig zijn, omdat je dan bijvoorbeeld WhatsApp berichten kunt koppelen aan todo-lijstjes of ontvangen foto’s kunt toevoegen aan een archiefdienst. Maar het is hun dienst en hun recht om dat niet te doen, hoe spijtig het ook voor mensen is.

Er zijn al geruime tijd mensen die de dienst uit elkaar geplozen hebben en daar vervolgens eigen aansluitingen op maken. Veel WhatsApp-voor-bedrijven tools zijn gebaseerd op dergelijk uitzoekwerk. Daar doet WhatsApp moeilijk over, en daarbij wordt altijd de Terms of Service (TOS) in stelling gebracht. Het argument is namelijk dat je voor gebruik van de dienst een account nodig hebt en daarbij akkoord gaat met die TOS, waar in staat dat je geen niet-officiële software zult gebruiken.

Kennelijk zit er bij WhatsApp een advocaat met een template iedereen aan te schrijven die iets doet dat voortbouwt op de dienst. Want de teksten die ik zie, komen me erg bekend voor. En ze zijn geschreven voor partijen die inderdaad aansluiten op de officiële dienst met eigen software, waarbij ik het argument in theorie nog wel zie dat je dan contractbreuk pleegt of daartoe aanzet.

Hier ligt het alleen anders: wat er gebeurt is dat WhatsApp tegen Android (het besturingssysteem) zegt dat er een nieuw berichtje is, met afzender en preview van de inhoud, en dat Android dan een notificatie toont op het scherm. En het is die notificatie die deze developer uitleest, via een standaard functionaliteit die in Android zit. Hiervoor is niets speciaals nodig, en al helemaal geen rare hacks of reverse engineering op de WhatsApp software. Daar kan ik met de beste wil van de wereld geen contractbreuk in zien.

Arnoud

Pokémon-achtig spel waarbij agenten met stenen worden bekogeld is niet strafbaar

Geplaatst op in Informatiemaatschappij, 14 reacties

De Rotterdamse rechtbank heeft bepaald dat de maker van een spel waarin bakstenen worden gegooid naar Pokémon met hoofden van echte politieagenten, niet de Nederlandse Strafwet heeft overtreden. De vrouw had op Indymedia een spel genaamd Poke-A-Cop gepubliceerd, dat erop neer kwam dat je Pokémons met daarop geplakte gezichten van politieagenten moest bekogelen met virtuele bakstenen. Maar het liefst speel je dat in het echt met échte bakstenen, succes met zoeken. De implicatie is soort van duidelijk, maar de rechtbank zag er eigenlijk niets strafbaars in.

Het vonnis van de Rotterdamse strafrechter is kort maar krachtig. Met name is het bezwaar dat in de eis eigenlijk alleen staat dat de vrouw opgeroepen had om virtuele bakstenen naar virtuele agenten te gooien, en dat kun je moeilijk zien als een bedreiging tegen werkelijk bestaande agenten. Er zat natuurlijk wel meer achter: “(de bedreiging en het opruien om bakstenen te gooien naar politieagenten in het echte leven) en de onderdelen van de tekst van de verdachte waar de officier daarvoor naar verwijst (o.a. dat het een “NON-virtual reality game is”)”. Alleen, en dat is dan een formeel punt: dat stond niet in de tenlastelegging. En dan houdt het snel op.

Een vordering op grond van de AVG (voorheen het portretrecht) had wellicht meer kans gemaakt. Dat is alleen in principe een civielrechtelijke kwestie; de agenten zelf hadden deze dame dan een proces aan moeten doen wegens de privacyschending door de onrechtmatige verwerking van hun gezicht. Het is in theorie ook strafbaar om iemands portretrecht te schenden, maar dat wordt vrijwel niet gehandhaafd.

Meer algemeen lijkt het argument van de rechtbank te zijn: is dit nu werkelijk zo ernstig, zo bedreigend, dat het strafrecht in beeld moet komen? Is dit eigenlijk niet gewoon iemands ietwat eh aparte manier om zich af te reageren op wat zij ziet als politiegeweld? Want dat zie ik er achter zitten: het ‘spel’ is een direct vervolg op een smoelenboek met beschuldigingen van geweld bij een aantal agenten.

Arnoud

Hoe je 8% meer omzet haalt dankzij één juridisch foefje

Geplaatst op in Ondernemingsvrijheid, 25 reacties

Iedere ondernemer zoekt continu naar meer omzet. Meer klanten en meer verkopen aan bestaande klanten zijn de meest voor de hand liggende strategieën. Juridische zaken zoals je algemene voorwaarden lijken daarbij irrelevant en dat zijn ze natuurlijk ook. Maar er is een foefje dat je uit kunt halen met je algemene voorwaarden waardoor je toch net wat meer mensen over de streep trekt.

Geen mens die algemene voorwaarden leest, zul je denken. Of je nu een webshop met dierenvoer drijft of via je webwinkel juist boeken aanbiedt, je hebt voorwaarden nodig maar je wilt er natuurlijk niet te lang bij stil staan. Vaak is het ook een verplicht nummer, zeker als je consumenten producten verkoopt.

Algemene voorwaarden zijn wel erg handig. Je kunt er je retourregeling in opnemen, bepalen hoe het werkt met achterafbetalen en incassokosten en op welke manier mensen moeten klagen als er wat mis is. Ik zeg dan ook zeker niet dat je geen algemene voorwaarden moet hanteren. Maar het is wel gedoe om ze elke keer aan te bieden, dat erken ik onmiddellijk.

Maar het is precies dat aanbieden waar je je omzetstijging kunt halen. Want dat doe je in het bestelproces, en het is algemeen bekend dat iedere hindernis in het bestelproces tot afhakers leidt. En wat is de grote hindernis bij algemene voorwaarden? Precies, dat je er akkoord mee moet gaan met zo’n vinkje. En dat vergeten mensen dan, en dan zegt je webshopsoftware “Een verplicht veld is vergeten” en dan haken mensen af. Weg dus met dat vinkje.

En nee, dat vinkje is helemaal niet verplicht. Ik weet ook niet waarom iedereen dat zo doet. Of nou ja, dat weet ik wel: omdat in 1982 een Amerikaanse advocaat bedacht dat het nodig was bij online verkoop, en iedereen dat slaafs nabootst want het ziet er juridisch uit. Onze wet (noch de Amerikaanse, overigens) zegt helemaal niet dat dat moet. Ja, je moet mensen erop wijzen dat de voorwaarden van toepassing zijn, maar dat is het. Dus de korte versie: weg met dat vinkje, nergens voor nodig.

Natuurlijk moet je mensen wel expliciet wijzen op je voorwaarden. Enkel ze onderin je voetertekst opnemen is niet genoeg. Zorg er dus voor dat er direct onder of boven de bestelknop een tekst komt zoals “Door te bestellen gaat u akkoord met de algemene voorwaarden”, waarbij je die laatste twee woorden een hyperlink maakt naar een PDF-bestand met de voorwaarden. Dat is alles.

Wij hebben dit voor een hoop klanten zo uitgevoerd, en die zien allemaal leuke omzetstijgingen, dat wel tot acht procent of meer kan zijn. Dus waar wacht je nog op?

Arnoud

Hoe krijg je een contactverbod op je digitale thermostaat?

Geplaatst op in Regulering, 36 reacties

De thermostaat als hulpmiddel voor huiselijke mishandeling, kopte de NY Times recent. Steeds vaker krijgen instanties die slachtoffers van huiselijk geweld bijstaan, te maken met hulpvragen die gaan om technologie. De partner of ex gebruikt dan slimme spullen in het huis om het slachtoffer dwars te zitten. Van de thermostaat van 32 naar 5 graden gooien en weer terug, tot de gordijnen willekeurig open en dicht of de Sonos elke minuut een ander liedje (en bij voorkeur ’s nachts). En vanuit het juridische haakje, hoe regel je een contactverbod zo dat ook het bedienen van de temperatuur niet meer mag?

Daders van huiselijk geweld kennen natuurlijk vele trucjes, maar deze vind ik toch wel ergens heel invasief. In je eigen huis wil je je veilig voelen, en als je apparatuur op hol slaat dan kan dat héél ingrijpend zijn. Denkt u van niet, bekijk dan even dit Mr Robot-fragment en gooi daarna uw Sonos aan het vrije internet. Dat slimme apparaten handig zijn, geloof ik graag, maar je wil er als mens wel de controle over houden.

Natuurlijk, je kunt overal de stekker uit trekken. Maar dan heb je dus geen muziek, geen verwarming en geen zonwering want met de hand zijn die niet te bedienen. Of je moet terug naar de boombox uit 1989, een nieuwe thermostaat met draad laten plaatsen en een zware handbediening voor de zonwering. Lijkt me geen optie, zeker niet als dit allemaal komt door een pestkop die je lastigvalt.

Het opsporen en stoppen van zo’n figuur kan knap ingewikkeld zijn, want vanwege de internetkoppeling kan het overal vandaan komen en via draadloos internet onzichtbaar je huis raken. Of nog erger, het is je huisgenoot en die heeft de wifi op slot gezet, de pincodes veranderd en gedreigd met fysiek geweld als je aan de knopjes komt. Of hij doet de deur op het nachtslot en weigert deze open te doen als naar buiten gaat.

In zulke situaties ontkom je niet aan een contactverbod: eruit met die persoon, die mag nooit meer terugkomen en moet te allen tijde afstand houden. Maar zo’n verbod gaat over contact zoeken of berichten sturen, niet over de thermostaat op 35 zetten middenin de zomer. En omdat contactverboden beperkt worden uitgelegd (wat er niet staat, is niet verboden) moet je dus als slachtoffer zorgen dat je ook hiervoor een expliciete tekst opneemt. Dat lijkt me nog een knap lastige.

Arnoud

Hoe lang mag een bedrijf gespreksopnames eigenlijk bewaren onder de AVG?

Geplaatst op in Ondernemingsvrijheid, Privacy, 10 reacties

Een lezer vroeg me:

Bij ons bedrijf kunnen telefoongesprekken bij de klantenservice worden opgenomen voor trainingsdoeleinden, zo zegt ons bandje keurig. Dat gebeurt willekeurig bij 1 op de 10 gesprekken, die de HR medewerker vervolgens reviewt. Maar we maken ook opnames als een klant vervelend is, dat kan de servicemedewerker doen met een druk op de knop (retroactief wordt dan het gehele gesprek vastgelegd). Mag dat van de AVG? En wat is de bewaartermijn?

Het structureel opnemen van gesprekken met klanten is een vorm van verwerken van persoonsgegevens. Je moet dat dus onder de AVG kunnen rechtvaardigen als bedrijf of organisatie. Meest voor de hand ligt dat je het gooit op de grondslag “uitvoering overeenkomst” (dit hoort bij het netjes nakomen van het contract) of “eigen legitiem belang” (je wilt als organisatie weten hoe je werkt).

Het trainen of evalueren van je personeel lijkt me wel onder die laatste te rechtvaardigen. Optreden tegen lastige klanten vind ik een voorbeeld van het eerste, de klant moet netjes nakomen en moet dus ook netjes blijven aan de telefoon. Dus zolang je dit allebei netjes in je register uitwerkt, lijkt me dit oké.

Ik vind het een mooie dat het systeem zelf kiest welke gesprekken voor evaluatie in aanmerking komen. Zo voelt de medewerker zich niet continu bekeken maar is er wel de kans dat iemand van HR wat vindt van zijn gesprekstechnieken. Evenzo is de opnameknop (met retroactief effect) een slimme truc om lastige gesprekken op te nemen zonder dat je altijd álle gesprekken opneemt.

Natuurlijk moet je de opnames zorgvuldig bewaren en beveiligen. Dat is een algemeen probleem bij organisaties, en volgens mij is er niets specifieks of complex aan deze situatie.

De bewaartermijnen zijn lastig. De wet zegt niet dat je gespreksopnames moet maken, en er is dus geen wettelijke bewaartermijn. Je moet dus zelf verzinnen hoe lang je dat wil doen, en dat onderbouwen. Mijn advies is altijd om dat te koppelen aan functionele criteria. Bij de evaluaties kun je zeggen, we bewaren ze tot het eerstvolgende evaluatiemoment met de medewerker en die zijn eens per kwartaal. Of je zegt, de HR man/vrouw luistert ze wekelijks af en daarna gaan ze weg tenzij er een leermoment op te horen is.

De opnames van lastige klanten zou ik bewaren totdat het met de klant besproken is en/of de escalatie is afgehandeld. Dat kan kort of lang zijn: één opvolggesprek aan de telefoon waarin de klant zegt het niet meer te doen, of een rechtszaak inclusief hoger beroep waarbij het bedrijf een contactverbod eist. Maar met deze formulering vang je allebei.

Arnoud