Hoe is het een datalek om de namen van personeel in je metadata te laten staan?

Geplaatst op in Privacy, 13 reacties

De Autoriteit Persoonsgegevens, waarbij bedrijven datalekken verplicht moeten melden, heeft zelf per ongeluk de namen van werknemers openbaar gemaakt. Dat gniffelde Nu.nl en heel wat meer media naar aanleiding van de ontdekking van onderzoeker Mischa van Geelen van beveiligingsbedrijf NFIR. Die had gezien dat namen van personeel te vinden was in de metadata van zo’n 800 pdf-documenten, terwijl beleid van de AP is om geen namen van individuele medewerkers naar buiten toe te communiceren. Ohooh de juf laat een scheetje, en het doet ook wat knullig aan natuurlijk om op die manier namen te lekken, maar is dit nu werkelijk iets om je druk over te maken?

Natuurlijk zijn namen van personeelsleden persoonsgegevens. Daar moet je als werkgever dus zorgvuldig mee omgaan, en lijsten van medewerkers zomaar aan derden geven of op internet zetten lijkt me niet echt de bedoeling. Als het toch gebeurt, zou ik echter wel moeite hebben met de conclusie dat dit dús een meldwaardig datalek is. Als er meer bij staat, zoals salaris of andere gevoelige zaken, dan zonder meer, maar alléén een naam? Welke negatieve gevolgen ondervindt iemand van de onthulling dat hij bij organisatie X werkt?

Helemaal heb ik er moeite mee omdat het hier gaat over de naam van de ambtenaar die beleidsdocument Y heeft geschreven bij organisatie X. Natuurlijk kan het beleid zijn van de AP om die niet te publiceren, maar daarmee is het nog niet automatisch een noemenswaardig datalek dat die gegevens tóch op straat komen. Volgens mij is het doodnormaal dat bij publicaties van bedrijven de namen van de werknemer(s) in kwestie genoemd wordt (en afhankelijk van hoe je de Auteurswet leest, is het zelfs een récht van de werknemer), dus daarmee zie ik niet hoe het onrechtmatig is. Laat staan dus meldplichtwaardig.

Maar goed, het was even leuk lachen. Ik neem aan dat al die bedrijven zelf keurig datalekbeleid hebben en ondertussen AVG compliant zijn?

Arnoud

Mogen loonstroken onder de AVG nog gewoon per e-mail als pdf?

Geplaatst op in Privacy, 42 reacties

Een lezer vroeg me:

Als administratiekantoor verzorgen wij onder meer salarisadministratie voor medewerkers. De loonstroken sturen wij dan per mail met in de bijlage de pdf met de informatie. Mogen we dit onder de AVG blijven doen, of moeten we het versleutelen of op een portaal aanbieden?

Onder de AVG gaat er veel veranderen, maar specifiek waar het gaat om beveiliging blijven de regels in de kern gelijk. Je moet als bedrijf zorgen voor “adequate” oftewel gewoon goede beveiliging bij alles dat je doet met persoonsgegevens.

De AVG eist vooral duidelijkheid, vastgelegd in beleid. Er moet dus vastgelegd zijn welke beveiligingskeuzes zijn gemaakt en waarom dit zorgt voor het gewenste niveau van beveiliging.

E-mail is daarbij een heikel punt. Het is het meestgebruikte medium om informatie van A naar B te transporteren, maar een erg veilig medium is het van zichzelf niet. Goed beveiligingsbeleid heeft dus ook een sectie over e-mail en regelt daarin wat wanneer mag worden gemaild, wanneer encryptie moet worden gebruikt en wanneer een ander, veiliger kanaal moet worden ingezet.

Financiële gegevens zoals salarisstroken vind ik relatief kwetsbaar en daar moet dus extra aandacht voor veiligheid bij komen. Dit per mail sturen zou ik alleen acceptabel vinden als de wederpartij daar zelf om vraagt (zoals een particulier die per mail vraagt om een financieel advies) maar een ‘gedwongen’ situatie (je werkgever laat je loonstroken per mail versturen, zonder te vragen) zou ik er meer moeite mee hebben.

Specifiek bij loonstroken geldt nog dat de werknemer er uitdrukkelijk mee ingestemd moet hebben. Dat mag in de arbeidsovereenkomst of later zijn gebeurd. Als daarbij is gezegd dat dit per mail gebeurt, dan denk ik dat dit ook wel door de beugel kan. Als werkgever zul je dus wel moeten nagaan of je personeel kan overzien waar ze voor tekenen als ze hier ja op zeggen, en afgedwongen toestemming kan natuurlijk niet door de beugel.

Encryptie of de zaken via een beveiligd portaal aanbieden zijn goede alternatieven. Hun nadeel is wel dat het technisch complexer wordt en dat je dan weer moet nadenken over beheersing van de wachtwoorden.

Arnoud

Artificial intelligence is eigenlijk gewoon maar mensenwerk

Geplaatst op in Innovatie, 5 reacties

Het stiekeme verhaal achter artificial intelligence: eigenlijk drijft het volledig op mensenkracht, aldus de Indian Express. Al die AI-systemen moeten leren wat wat is, en daarvoor is vooralsnog een heleboel mensenkracht nodig: in foto’s omcirkelen wat een chihuahua is en wat een muffin, teksten labelen als positief of negatief of aangeven of een actie terecht genomen is. Al dit labelen of taggen blijkt een steeds groter deel van thuiswerken en extra inkomsten in landen als India of Venezuela te worden. Interessant weetje of essentieel voor de toekomst van AI?

Artificial intelligence of iets specifieker machine learning is het vakgebied waarbij een computer op basis van een heleboel voorbeelden leert algemene regels te formuleren en daarmee weer conclusies te trekken. Dit is te onderscheiden in twee categorieën, supervised en unsupervised, waarbij het supervised learning momenteel het populairst is. Hierbij geef je de computer een hoop geclassificeerde voorbeelden (goed/fout, hond/cake, tumor/gezwel, rood/oranje/groen) waarna hij gaat zoeken naar onderscheidende kenmerken. Op basis van die kenmerken kan hij dan nieuwe voorbeelden interpreteren en daar een uitspraak over doen.

Er zijn ook andere manieren om van data te leren. Bij unsupervised learning verzint de computer zelf combinaties en clusters. Je hebt dan geen labels meer nodig. Nadeel is dan weer wel dat je niet op voorhand kunt inprogrammeren wat met welke cluster moet gebeuren – je weet immers niet wat er precies in zit.

Het is natuurlijk een gigantische berg werk om al die labeltjes in te typen, dus het verrast me niet dat dat massaal wordt uitbesteed aan lagelonenwerkers. Per labeltje betaalt het natuurlijk erg weinig, maar als je een paar dagen stevig doorwerkt dan kan het toch een leuke extra inkomstenbron zijn. En het lijkt betrouwbaarder dan oude publieke datasets gebruiken waar ik recent over blogde.

Maar het houdt natuurlijk wel een stevig risico in dat de toegevoegde labels toch een bepaalde onderliggende bias bevatten, hét grote probleem bij machine learning. Want mensen die je zo min mogelijk geld betaalt, hebben vooral een stimulus om zo veel mogelijk labels te plakken in plaats van de kwaliteit zo hoog mogelijk te krijgen. Dat lijkt me een fundamentele zorg bij het gebruik van dit soort systemen. Het is natuurlijk voor een deel op te lossen, bijvoorbeeld door meerdere mensen dezelfde data te laten labelen en alleen identieke labels te gebruiken, maar ideaal is ook dat niet.

Arnoud

De strafbaarheid van een verborgen camera in de sauna

Geplaatst op in Privacy, 9 reacties

De politie en het Openbaar Ministerie (OM) doen onderzoek naar de openbaar gemaakte beelden van ontklede mensen in de Sauna & Beauty Oase in Nederasselt (gemeente Heumen). Dat maakte de politie onlangs bekend. Dit naar aanleiding van gelekte beveiligingscamerabeelden van de sauna, met onder meer een aantal bekende sporters in beeld. Het onderzoek onthulde onder meer een werkende camera in de kleedkamer. Dat gaf voor veel mensen de vraag, hoe strafbaar is dat nu, het maken, publiceren of bekijken van die beelden?

Op zich is het legitiem om beveiligingscamera’s op te hangen in je bedrijfspand. Wel moet je daar duidelijk voor waarschuwen en in een reglement aangeven wat je met de beelden doet. Specifiek bij een sauna vind ik dat wel een moeilijke, omdat het risico van lekken of misbruik hier een stuk groter is dan zeg bij de slager. Het is een belangenafweging (privacy versus beveiliging of handhaving van goede orde, denk aan lastigvallen van andere bezoekers) maar het lijkt me moeilijk die rond te krijgen bij camera’s in naaktruimtes. Kom je daar niet uit, dan mag de camera er niet hangen. De camera overtreedt dan de Wbp en AVG.

Hangt de camera er verstopt, dan is dat ook een strafbaar feit (artikel 139f Strafrecht):

1°. hij die, gebruik makende van een technisch hulpmiddel waarvan de aanwezigheid niet op duidelijke wijze kenbaar is gemaakt, opzettelijk en wederrechtelijk van een persoon, aanwezig in een woning of op een andere niet voor het publiek toegankelijke plaats, een afbeelding vervaardigt;

De eigenaar/beheerder van die verborgen camera die de politie vond, pleegt dus een misdrijf. Let op dat het hier gaat om een niet publieke plaats, waardoor het niet uitmaakt of de camera permanent bevestigd is (wat wel vereist is bij camera’s in de openbare ruimte) of verborgen is in een handdoek die de eigenaar mee naar binnen neemt.

Of de camera er nu legaal hangt of niet, als de beelden door een computerinbraak worden verkregen dan is dat een misdrijf. Computervredebreuk en of aftappen van gegevens die niet voor jou bestemd zijn. Het is alleen niet apart strafbaar om de daarmee verkregen gegevens te bezitten of te verspreiden, behalve als de camera er illegaal hangt. Dan is ook het bezitten van die afbeeldingen strafbaar. Dus de gelekte beveiligingsbeelden mag je bezitten (voor jezelf), de beelden van die camera in de handdoek mag je niet eens op je eigen laptop hebben (artikel 139f lid 2).

Publiceren van deze beelden kan strafbaar zijn. Je loopt dan tegen het strafrechtelijk portretrecht aan (artikel 35 Auteurswet), het zonder recht publiceren van andermans portret. Dit is een overtreding, geen misdrijf, en er staat een geldboete op. Hierbij maakt het dan weer niet uit of de camera er legaal hing, wel is van belang dat de personen in kwestie herkenbaar zijn. Als de camera er illegaal hing, dan kun je dat ‘bezit’ van de afbeeldingen dat ik hierboven besprak, ook doortrekken naar publiceren en dan is het dus een misdrijf om ze te publiceren. Maar ik denk dat je dan wel moet hebben geweten (voorwaardelijke opzet) dat de beelden uit een stiekeme camera afkomstig waren.

Praktisch gezien is dit natuurlijk allemaal leuk maar heel moeilijk te handhaven. Want die beelden duiken op op een vage Amerikaanse site met buitenlandse domeinnaam zonder links naar een Nederlander die het beheert. Dan kun je wel een veroordeling uitspreken of een schadevergoeding toewijzen, maar dat ten uitvoer leggen gaat hem niet worden. De hostingpartijen aanspreken is ook ingewikkeld, zeker in de VS: het weghalen van zulke beelden gaat je niet lukken. Er zit geen auteursrecht op zulke camerabeelden, en in de VS is er geen andere grond om een takedown te eisen tenzij je kunt bewijzen dat de beheerder actief meegewerkt heeft aan het plaatsen van de beelden.

Arnoud

Mag een vereniging met instemming van de ALV je postadresverkopen?

Geplaatst op in Privacy, 18 reacties

Verandering in de manier waarop de KNLTB met jouw persoonsgegevens omgaat, las ik op de site van de Koninklijke Nederlandse Lawn Tennis Bond (KNLTB), en ik moest ook even zoeken wat de L was. De verandering houdt in dat men op zoek gegaan is naar manieren om “meerwaarde voor jouw KNLTB-lidmaatschap te creëren”, wat inderdaad neerkomt op “we gaan je persoonlijke informatie verkopen”. Maar geen zorgen, de ALV heeft ingestemd met deze nieuwe manier van werken en je kunt je altijd afmelden. Maar, wacht, AVG, wat?

Tussen de regels door lees ik dat de KNLTB op zoek is naar extra bronnen van inkomens, en haar ledenlijst als een waardevol betaalmiddel ziet. Daarom is besloten om die ledenlijst eens commercieel te activeren, door ze aan (ongetwijfeld zorgvuldig geselecteerde) partners te geven. Deze mogen dan bellen of brieven sturen met reclame, totaal maximaal drie keer per kwartaal. E-mail is uitgezonderd, daarvoor moeten leden een aparte opt-in geven vanwege het spamverbod uit de Telecomwet.

Het deed me denken aan de KNVB, die als vereniging het besluit nam om namens leden toestemming te geven. Maar dat is niet het geval hier, want de FAQ biedt zowaar een juridische uitleg:

De grondslag voor het delen van persoonsgegevens met partners van de KNLTB is gebaseerd op een gerechtvaardigd belang, dat is ontstaan door de beslissing die de Ledenraad hierover heeft genomen in december 2017. Het delen van persoonsgegevens geldt voor eigen acties en promotionele acties van partners van de KNLTB of partijen waarmee de KNLTB een samenwerking is aangegaan.

Dit schuurt bij mij een beetje want het lijkt allemaal sterk op wat er in de AVG staat, maar het klopt volgens mij net niet. Het klopt dat je je kunt beroepen op een eigen gerechtvaardigd belang, en dan mag je persoonsgegevens gebruiken zonder toestemming. Direct marketing wordt in de AVG genoemd als een dergelijk belang, en in principe kun je dat dan doen mits je een opt-out toepast. Dat belang kan van de verantwoordelijke (de KNLTB) zelf zijn of van een derde, dus die marketing zou ook door een partner kunnen gebeuren. De relevantie van het besluit van de ledenraad zie ik niet direct, je hebt als organisatie een belang of niet en daarover stemmen verandert je belang niet, volgens mij.

Alleen wat ontbreekt en wat nou net de kern is van dat belang is dat er een áfweging achteraan komt waarom dit gepast is gezien de privacy en je eigenlijk geen andere optie hebt dan deze invulling. En dat is waar het bij direct marketing al heel snel misgaat. Toestemming vragen is immers niet moeilijk – in tegenstelling tot bijvoorbeeld cameratoezicht of fraude-detectie.

Daar staat tegenover dat de verkochte gegevens alleen je postadres en telefoonnummer zijn. De privacy-impact van reclame per post vind ik kleiner dan e-mail, zeker omdat er geen persoonlijke interesses en dergelijke worden verkocht. Behalve dan dat je houdt van lawn tennis natuurlijk.

Daarom denk ik dat dit misschien toch wel door de beugel kan, mede vanwege de duidelijke communicatie en de afmeldmogelijkheid. De KNTLB moet er wel zelf voor zorgen dat die partners je gegevens dan ook weggooien, overigens.

Arnoud

Smartphone in autohouder bedienen tijdens het rijden mag wel

Geplaatst op in Regulering, 22 reacties

Het gerechtshof in Leeuwarden heeft besloten dat het bedienen van een smartphone die in een houder is geplaatst niet gelijkstaat aan het vasthouden van een telefoon. Vorig jaar augustus bepaalde de rechtbank nog dat dit een overtreding is van de Wegenverkeerswet, die het tijdens het rijden vasthouden van een telefoon verbiedt. De rechtbank oordeelde dat het erom ging dat je met dergelijk bedienen, net als met vasthouden, een hand niet beschikbaar hebt om te sturen (of schakelen), maar die uitleg vindt het Gerechtshof in hoger beroep te ver gaan.

Een man kreeg in december 2016 een boete voor het vasthouden van een mobiele telefoon tijdens het besturen van een motorvoertuig (art. 61a Reglement verkeersregels en verkeerstekens). De agent had namelijk het volgende geconstateerd:

Verbalisant zag betrokkene met zijn linkerhand zijn telefoon bedienen. Telefoon zat in een houder links van het stuur en betrof een nieuw type Nokia met touchscreen. Betrokkene was zichtbaar bezig met zijn telefoon en keek ook naar zijn telefoon gedurende het passeren van het opvallende dienstvoertuig.

De man ging in bezwaar tegen de boete omdat hij niet de telefoon in de hand had gehouden, wat de op dat moment heersende opvatting was over wat “vasthouden” betekende. Maar tot veler verrassing oordeelde de rechtbank dat ook het bedienen van een telefoon in een houder telt als ‘vasthouden’. Ik noemde dat vorig jaar een do-what-I-mean interpretatie: de rechter keek naar het doel van het verbod en meende dat dit doel vereiste dat ook dit aanraken verboden was:

De kantonrechter is van oordeel dat betrokkene tijdens het bedienen van de telefoon, ook wanneer deze in een telefoonhouder is geplaatst, gedurende enige tijd slechts met één hand de noodzakelijke verkeershandelingen kan verrichten. Dat brengt mee dat het met de andere hand bedienen van de telefoon, waarbij niet uitgesloten is dat betrokkene bijvoorbeeld appberichten beantwoordt, danwel de sociale media aan het volgen is, betrokkene afleidt van de verkeerssituatie, maar ook dat betrokkene fysiek te veel betrokken is bij het bedienen van zijn telefoon. Hij is daardoor minder goed in staat de benodigde verkeershandelingen te verrichten.

In hoger beroep kijkt het Gerechtshof nog eens goed naar de onderliggende motivatie en komt dan tot de tegenovergestelde conclusie.

Uit de Nota van Toelichting volgt dat de regelgever er bewust voor heeft gekozen om slechts het vasthouden van de mobiele telefoon te verbieden. Dat de regelgever het vasthouden van een mobiele telefoon tijdens het rijden heeft verboden, betekent daarom geenszins dat het bedienen van een mobiele telefoon tijdens het rijden niet is toegestaan, indien de telefoon niet wordt vastgehouden. Voor zover het telefoneren, dan wel het bedienen van de mobiele telefoon gevaarlijk wordt geacht, wat daar verder ook van zij, heeft de regelgever dit niet verboden.

Weliswaar was een onderliggende motivatie dat het gebruik van mobiele telefoons verhoogde risico’s geeft, maar uiteindelijk is met name gekeken naar de situatie van het in de hand houden tijdens het bellen. Zo heb je inderdaad ook bij het aanraken van een smartphone maar één hand, maar dat duurt een stuk minder lang dan een gemiddeld telefoongesprek voeren met de telefoon aan je oor. Daarmee is duidelijk dat de keuze is gemaakt om het vásthouden te verbieden gezien het specifieke verhoogde gevaar daarbij, en als dat de keuze is dan mag je niet achteraf dat woord oprekken tot iedere vorm van aanraken. Do-what-I-actually-mean.

Arnoud

Nederlands bedrijf aangeklaagd wegens domeinnaamfraude

Geplaatst op in Intellectuele rechten, 22 reacties

Het in Amsterdam en Heerhugowaard gevestigde Trademark Office wordt door een groep van ruim dertig ondernemers aangeklaagd wegens domeinnaamfraude. Dat meldde Nu.nl vorige week. Advocatenkantoor Berntsen Mulder, dat zich al een tijd vastbijt in deze praktijken, heeft namens die ondernemers een collectieve rechtszaak aangespannen om een claim wegens acquisitiefraude te verhalen. De beschreven truc is al vrij oud, en ik viel vooral van mijn stoel om te lezen dat een Nederlands bedrijf dit zou doen. Het leek me zodanig triviaal niet toegestaan dat ik me niet kon voorstellen dat iemand het risico wilde weten.

Kort gezegd is de truc als volgt. Het bedrijf belt organisaties met de mededeling dat iemand de .com versie van hun domeinnaam wil vastleggen, maar dat zij als controleur de organisatie nu de gelegenheid geven als eerste deze domeinnaam vast te leggen. Je hebt 24 uur om te beslissen en als je er op ingaat, blijk je een tienjarencontract voor dat domein te krijgen tegen prijzen die bepaald niet marktconform zijn.

Er is uiteraard niet daadwerkelijk iemand bezig met het vastleggen van die domeinnaam, en er is ook geen enkele wettelijke regeling dat de houder van de .nl domeinnaam (of het merk of de handelsnaam daarachter) een gelegenheid moet krijgen om die domeinnaam met .com extensie vast te leggen. Daarom riekt dit behoorlijk naar fraude. De advocaat van Berntsen Mulder motiveert het verder:

De kosten blijken ook nog eens veel hoger dan wat in de markt gebruikelijk is. Ook is er helemaal geen ander bedrijf dat de .com versie van jouw domeinnaam wilde hebben en Trademark Office is helemaal niet belast met de controle op dubbele domeinnamen. Ook het zogenaamde ‘eerste registratierecht’ bestaat alleen in de fantasiewereld van Trademark Office zelf. Door bedrijven zoals Trademark Office wordt een schijnurgentie gecreëerd, alleen om bedrijven over te halen met hen in zee te gaan.

De truc is al wijd en zijd bekend als een vorm van acquisitiefraude, alleen had ik hem dus alleen gehoord in de context van Aziatische (meestal Chinese) bedrijven die Europese domeinnaamhouders benaderen. Dat leek me logisch want gezien de afstand zou een slachtoffer niet snel naar de rechter stappen in China of Vietnam. Nu dus in Nederland, en dat vind ik raar want wij hebben een goed en snel rechtssysteem. Je neemt dus een serieus risico, of mis ik iets?

Arnoud

Hoe kunnen we transparantie toevoegen aan besluitvormende algoritmen?

Geplaatst op in Innovatie, 16 reacties

Bestuursrecht en bestuursrechtspraak zijn onvoldoende in staat om ketenbesluiten te toetsen omdat onbekend is hoe een beslisregel exact is opgebouwd en tot welke resultaten deze leidt. Dat las ik in juristenblad NJB. Steeds meer beslisregels en algoritmes worden ingezet om tot formele besluitvorming te komen, maar daarbij is volstrekt onduidelijk hoe dat besluit tot standkomt. Dit op gezag van Marlies van Eck die promoveerde op dit probleem. En ja, dat is een groot probleem want juist bij juridische besluitvorming wil je weten hoe men tot de conclusie is gekomen.

Toevallig las ik vorige week ook nog een Amerikaans artikel waarin wordt voorgesteld een Algorithmic Impact Assessment in te voeren, vergelijkbaar met de milieuimpactanalyse die in de VS al verplicht is. Het doel van een AIA is het begrijpelijk maken van de besluitvorming (bij overheidsinstanties). Dit kent vier aspecten:

First, it would require any government agency that wants to use an algorithm to publish a description of the system and its potential impact. Second, agencies would give external researchers access to the system so they can study it. Third, it would require agencies to publish an evaluation of how the algorithm will affect the public and how it plans to address any biases or problems. And lastly, an AIA would require the agency to create a system for regular people to hold agencies accountable when they fail to disclose important pieces of information about an algorithm.

Deze eisen klinken zeer redelijk, maar het zijn behoorlijk pittige voorwaarden om als bedrijf aan te voldoen. Zeker omdat de techbedrijven die deze AI’s leveren, de werking van hun systemen als een onschatbaar waardevol handelsgeheim zien en daar dus geen inzicht in zullen willen geven. Dat geeft een patstelling: zonder disclosure geen mogelijkheid om te toetsen wat eruit komt, maar met disclosure geen bereidheid het systeem in te zetten voor de publieke taak.

Ik ben er nog niet uit hoe dat dilemma op te lossen. Dat Amerikaans artikel zegt dat het juist een prikkel tot innovatie geeft om een fairder systeem te ontwikkelen. Als je wel moet om überhaupt te mogen leveren, dan wordt het ineens een kans. Klinkt leuk, maar waarom zouden bedrijven die nu hun AI geheim houden dan ineens een open, transparant systeem opzetten?

Arnoud

Mag een mail gateway iemands mail weggooien zonder dit te melden?

Geplaatst op in Privacy, 10 reacties

Een lezer vroeg me:

Ons bedrijf is overgestapt naar een externe maildienst die een mail gatewaydienst aanbiedt (scannen op malware, virussen en andere bedreigingen). Nu blijkt dat deze mails met dergelijke bedreigingen gewoon stilletjes weggooit. Mag dat zomaar?

Het doet nogal raar aan dat een bedrijf dit zou doen, maar ik denk dat het wel mag, juridisch gezien.

In beginsel zijn bedrijven onderling vrij om hun dienstverlening in te richten zoals hen goeddunkt. Het filteren of controleren van e-mail is voor de wet gewoon een dienst als alle andere, en als de klant het goed vindt dat de dienstverlener verdachte zaken direct weggooit zonder te melden, dan is dat een zakelijke keuze.

Natuurlijk heeft de andere partij (bijvoorbeeld de externe afzender van een mail) hier last van. Diens mails komen niet aan maar hij krijgt dat niet te horen. Hij kan dus weinig doen dan namailen of op zeker moment gaan bellen. Dat is hinderlijk en kan de relatie schaden tussen hem en het bedrijf dat de gatewaydienstverlener ingeschakeld heeft. Maar volgens mij is het niet verboden.

In theorie zou je nog op de AVG kunnen wijzen: de mail gateway verwerkt immers persoonsgegevens door de mail te scannen en door te sturen dan wel weg te gooien. Daarmee geldt er een informatieplicht voor het bedrijf dat de gateway inzet, en de afzender heeft dan een basis voor een claim dat zijn persoonsgegevens ongewenst zijn verwerkt.

Ik denk dat dat in de praktijk niet gaat vliegen. Het scannen van mail en het weggooien van verdachte mail is een relatief bekende praktijk. Daarnaast kan het (zo weet iedereen) altijd gebeuren dat mails spontaan kwijtraken. Je moet er dus sowieso altijd rekening mee houden dat een mail niet aankomt of niet gelezen wordt. Eisen dat de ontvanger je informeert over een blokkade, kan ik dus ook onder de AVG niet hard krijgen.

Arnoud

Moet ik voor de AVG al mijn opt-ins opnieuw om toestemming vragen voor de nieuwsbrief?

Geplaatst op in Privacy, 28 reacties

Een lezer vroeg me:

Ik heb al jaren goedlopende nieuwsbrieven, waar ik aan verdien met affiliatelinks. Ik heb altijd netjes confirmed opt-in gehanteerd, maar ik lees nu overal dat toestemming on der de AVG veel strenger wordt. Ook zou er geen coulanceregeling zijn voor bestaande opt-ins. Klopt dat? Moet ik echt al mijn opt-ins opnieuw gaan halen?

Het klopt dat de AVG strenger is dan de huidige wet waar het gaat om toestemming, maar wie nu werkt met heldere, vrijwillig gegeven opt-ins voor nieuwsbrieven zal daar weinig last van hebben.

In de kern komt toestemming onder de AVG neer op een vrijwillige actieve handeling. Een vakje aanvinken, je e-mailadres invullen in een veld direct onder “Abonneren nieuwsbrief” en dergelijke zijn duidelijke actieve handelingen die mensen in volle vrijheid doen. Daarentegen zou een vinkje weghalen (wat we nu opt-out noemen) niet genoeg zijn, net als mensen een verplichte popup bieden waarna ze alleen verder kunnen na invullen mailadres.

Vereist is ook dat je specifiek en duidelijk hebt uitgelegd wat er gaat gebeuren na die handeling. Enkel om een e-mailadres vragen is dus niet genoeg, je moet er expliciet bij zetten dat dat mailadres geabonneerd gaat worden op de nieuwsbrief. Die bekende formulieren “vul uw mailadres in en download een ebook” zijn dus niet rechtsgeldig, omdat er niet bij staat dat je de nieuwsbrief(-ven) gaat ontvangen.

Een praktisch probleem kan zijn dat de AVG strenger is in de bewijslast. Je moet als afzender van zo’n nieuwsbrief kunnen bewijzen dat je ontvangers opt-in hebben gegeven. Weinig mensen hebben logbestanden van opt-ins op nieuwsbrieven. Maar dat hoeft ook niet. Als je kunt aantonen dat je hebt gewerkt met confirmed opt-in (dus een bevestigingslink mailen en pas na klikken daarop mensen inschrijven) dan staat voldoende vast dat mensen zich vrijwillig hebben ingeschreven.

Ingewikkelder wordt het onder de AVG voor nieuwsbriefinschrijvingen die gekoppeld zijn aan gratis downloads, zoals ebooks, whitepapers of webinars. De AVG vermeldt namelijk expliciet dat een afgedwongen toestemming niet mag, en toestemming voor iets niet-noodzakelijks verplichten bij afname van een dienst noemen ze als voorbeeld van afdwingen. Hier kom ik volgende week op terug.

Arnoud