Ius Mentis

Je doet de deur open, neemt je pakket aan en flits! De bezorger maakt opeens een foto. Dat beeld schetste TROS Radar onlangs. Kennelijk wilde die bezorger vastleggen dat hij het pakket overhandigde, maar raar is het wel. Mag dat, en is het nodig?

Of het gaat om structureel beleid, betwijfel ik. Radar vroeg het de grootste pakketbedrijven in Nederland. Die geven allemaal aan géén foto’s te gebruiken als bewijsmiddel. PostNL en DPD ontkennen categorisch.

Anderen, zoals DHL en UPS, gebruiken wel een camera, maar benadrukken dat dit alleen voor het pakket zelf is en nooit bij een persoonlijke overdracht. Zij maken foto’s als een pakket met jouw toestemming op een afgesproken plek wordt achtergelaten. DHL: “Bij het persoonlijk afleveren van pakketten worden geen beelden gemaakt.”

Zou het wat toevoegen? Meestal vragen pakketbezorgers een handtekening voor ontvangst, wat juridisch het sterkste is. Het document met die handtekening is dan namelijk een akte, het sterkste bewijsmiddel dat er is. (Ik weet het, er zijn bezorgers die zelf tekenen, de buurman kan tekenen, mijn handtekening lijkt ook nooit.)

Wanneer een pakket ergens wordt achtergelaten (de “optie neerzettoestemming”) kun je natuurlijk geen handtekening vragen. Dan is een foto van het pakket zoals achtergelaten een slimme. In combinatie met de vooraf gegeven toestemming, waar de plek van achterlaten in opgegeven is, heb je dan duidelijk bewijs dat aan de afspraak voldaan is.

Een foto van een persoon die het pakket aanneemt, zou op zich ook bewijs opleveren dat die persoon het pakket heeft aangenomen. Maar omdat dit nogal een privacyschending oplevert (immers ongevraagd en onverwacht), AVG-risico’s geeft én een makkelijk alternatief kent, kun je dit als bezorgbedrijf zeker niet zomaar doen.

Arnoud

 

 

De reclamemailregels hebben er weer eentje bij: het is tóch legaal om gebruikers van je gratis dienst ongevraagd reclame te sturen, zolang die reclame maar gaat over de bijbehorende premiumversie. Dat is wat ik opmaak uit het recente arrest (C-654/23) van het Hof van Justitie over de ePrivacy richtlijn.

De ePrivacy richtlijn uit alweer 2002 is de basis voor onze antispamwetgeving, in Nederland artikel 11.7 van de Telecommunicatiewet. De kern is simpel: ongevraagde reclame per mail (en sms, appbericht, Linkedinbericht et cetera ook) mag alleen met voorafgaande specifieke toestemming. Niks legitiem belang, toestemming.

Voor klanten is er een uitzondering:

[C]ontactgegevens die hij heeft verkregen van zijn klanten in het kader van de verkoop van een product of dienst, [mag een ondernemer] gebruiken voor het overbrengen van ongevraagde communicatie voor commerciële doeleinden ten behoeve van eigen gelijksoortige producten of diensten.

Daar hoort dan wel weer een opt-out bij, wat de reden is dat iedereen op z’n bestelformulier het vinkje voor de nieuwsbrief vooraf aangevinkt heeft. Dat mag dus, omdat zo’n bestelling dan een “verkoop van product of dienst” is, de nieuwsbrief “gelijksoortige” producten promoot en het weghalen van dat vinkje de opt-out oplevert.

Bij gratis diensten zei iedereen altijd dat dat niet mag, want een gratis dienst “koop” je niet. Maar in deze zaak komt het Hof van Justitie tot de opmerkelijke conclusie dat je die wél koopt, althans dat sprake is van “een verkoop”, in het specifieke geval dat de reclame gaat over de premiumversie naast de gratis dienst.

De kern van de redenering is dat er iemand betaald heeft voor de gratis dienst, namelijk de aanbieder zelf vanuit het marketingbudget van de betaalde dienst. De A-G had dat ook al geconcludeerd: “niet vereist [is] dat de verrichte dienst wordt betaald door degenen aan wie de dienst wordt verleend. Hieruit concludeert het Hof dat er dus betaald is voor deze gratis dienst, zodat het versturen van reclame op de opt-out basis mag.

Het Hof zegt dan:

Ten eerste sluit de bewoordingen van artikel 13, lid 2, echter niet uit dat de voor een „verkooptransactie” in de zin van die bepaling vereiste vergoeding kan worden betaald door een andere persoon dan de ontvanger van het product of de dienst die het voorwerp van die transactie vormt.

Dat is op zich waar, maar de bewoordingen “klant” en “verkoop” sámen maken duidelijk dat het hier gaat om situaties waarin de ontvanger van de mail de betalingstransactie verricht. Ik koop een boek – ik ben de klant. Ik krijg een boek gratis van de uitgever – ik ben geen klant. Volgens mij is dat vrij basaal.

Ook wijst men naar overweging 41 van de richtlijn, die simpelweg verwijst naar “in het kader van een bestaande klant-leverancierrelatie zonder die relatie verder te kwalificeren”. Dus dan zou de sponsor de “klant” zijn.

Maar dat klopt nadrukkelijk niet, want verderop staat dan dat bij die relatie “de klant duidelijk en separaat [dient] te worden geïnformeerd over het gebruik daarvan voor direct marketing en de gelegenheid te krijgen dat gebruik te verbieden.” En dat is alleen zinnig als de ontvanger van de mail de klant is. Waarom zou de sponsor een opt-out moeten geven?

Arnoud

 

 

 

Een lezer vroeg me:

Onze organisatie is erg bezorgd over fouten bij gebruik van AI, met name door het uploaden van persoonsgegevens of vertrouwelijke informatie. Men heeft nu aangekondigd alle verkeer naar zulke diensten te monitoren en steeksproefgewijs te controleren. Mag dat zomaar?

Dat mag, maar niet zomaar.

Het monitoren van internetverkeer van medewerkers is al sinds jaar en dag een onderwerp met juridisch kader. Dat het hier specifiek over AI-diensten gaat, is bijzaak. Het gaat om de risico’s: onbevoegd gebruik van persoonsgegevens, lekken van bedrijfsgeheimen, of zaken als reputatieschade veroorzaken. Die risico’s zijn legitiem en daar mag je maatregelen op nemen.

Tegelijkertijd is het monitoren van ict-verkeer van werknemers een inbreuk op hun privacy. Die heb je ook op het werk, en ook bij gebruik van diensten die niet toegestaan zijn. Want om te kijken of je dat doet, moet je alle ict-verkeer controleren.

Het compromis waar we eigenlijk al een tijdje op uitgekomen zijn, is dat geautomatiseerd scannen in principe mag, maar voor menselijk meekijken moet er meer zijn. En bij acteren op zo’n scan moet je proportioneel handelen. Een paar voorbeelden:

• Je mag loggen of mensen naar sites als chatgpt.com of perplexity.ai gaan. Gebeurt dat vaak, dan kun je die mensen een mailtje sturen met de waarschuwing dat dit niet voor zakelijke doeleinden mag. (In de lunchpauze sinterklaasgedichten uit Sjet halen mag wel.)
• Je mag de omvang van internetverkeer naar zulke diensten monitoren. Wie grote pieken veroorzaakt, kan gericht worden gevraagd wat voor bakken data hij uploadt.
• Bij zakelijke abonnementen op AI-diensten kun je het loggen van chats verplicht stellen. Je kunt beleid maken dat je daar op basis van trefwoorden in mag zoeken of steekproefsgewijs in mag kijken. (De OR zal dit moeten goedkeuren, als die er is.)
• De mensen die de logs lezen, zijn apart op geheimhouding gewezen en zijn geen directe collega’s van de gemonitorde mensen.

Bij die laatste zijn zaken als “op basis van trefwoorden” belangrijk omdat je daarmee de impact beperkt. Die trefwoorden zijn over nagedacht, dus beperken de kans dat je allerlei gegevens uit een privéchat voor ogen krijgt.

Arnoud