Hebben werknemers recht op een kopie van hun privébestanden bij uitdiensttreding?

Geplaatst op in Ondernemingsvrijheid, 17 reacties

Een lezer vroeg me:

Beleid bij ons bedrijf is dat bij uitdiensttreding de home-schijf van werknemers wordt gewist aan het einde van de laatste werkdag. Nu kan het voorkomen dat daar privé-informatie op staat (dit is oogluikend toegestaan in ons reglement). Zijn wij verplicht de werknemer hier een kopie van te geven, en verandert de GDPR daar nog wat aan?

Wanneer iemand uit dienst gaat, is het voor de werkgever natuurlijk prima om dan diens laptop en/of netwerkinformatie te wissen. Die apparatuur en opslag zijn dan niet meer nodig voor het werk, en mogen dus weg.

Het is mogelijk (en wettelijk toegestaan) dat er hier en daar wat privéinformatie tussen zit. Veel mensen hebben bijvoorbeeld muziekbestanden opgeslagen om naar te luisteren, wat administratie om bij te werken of logs van privéchats. Dat is op zich prima, en een goed werkgever heeft dat te tolereren zolang het werk er geen last van ondervindt.

Een werknemer heeft echter geen recht op een kopie van die informatie. Informatie is geen eigendom, en als deze dus wordt gewist na einde dienstverband dan heeft de ex-werknemer daar niets tegenin te brengen. Heel misschien als je zegt, een goed werkgever laat mensen die privézaken meenemen, en stuurt ze na als die vergeten blijken, maar ik vind dat hij dat gewoon op de laatste werkdag zelf had moeten uitzoeken.

De GDPR of AVG verandert daar weinig aan. Het klopt dat deze een recht bevat om een kopie van jouw persoonsgegevens op te vragen. Daarmee kun je dus je personeelsdossier in kopie krijgen, maar met een beetje goede wil zou je ook daar die privédocumenten met administratie onder kunnen rekenen. (Een muziekbestand is geen persoonsgegeven enkel omdat het in jouw home-schijf staat.) Alleen vervalt dit recht wanneer de gegevens met goede reden zijn gewist – en uitdiensttreding zie ik als een goede reden.

Arnoud

Kan een werknemer verplicht worden mee te werken aan een vingerafdrukslot?

Geplaatst op in Informatiemaatschappij, 19 reacties

Een intrigerende vraag op Reddit (de /r/Nederland):

I have a 6 months contract. My employer is adding a fingerprint lock to the door, I don’t want my fingerprint or the hash calculated from it to be taken, can he force me?

(Ik baseer het antwoord maar even op de AVG/GDPR want die is het relevantst voor de lange termijn.)

Een vingerafdruk wordt gezien als een biometrisch persoonsgegeven: fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon waarmee identificatie mogelijk is. Wel moet het dan gaan om verwerkingen met het oog op de unieke identificatie van een persoon, maar daarvan lijkt me hier wel sprake.

Het verwerken van biometrische persoonsgegevens valt onder de zeer strenge regels voor bijzondere persoonsgegevens. Dat mag kort gezegd niet, tenzij in de AVG staat van wel. Wie dan doorleest, zal in de AVG zelf niets vinden waarin staat dat dit mag. Echter, hoewel het hier gaat om een Europese wet is het specifiek op dit punt toegestaan dat landen eigen regels maken over biometrische persoonsgegevens.

Nederland heeft dat gedaan, althans in concept: de concepttekst van de Uitvoeringswet AVG bepaalt (artikel 26) dat deze gegevens mogen worden verwerkt ter identificatie. Voorwaarde hiervoor is wel dat de verwerking noodzakelijk en proportioneel is ter behartiging van gerechtvaardigde belangen van de verwerkingsverantwoordelijke of een derde. Het is onder omstandigheden eveneens toegestaan om biometrische gegevens te verwerken indien de betrokkene hiervoor in vrijheid toestemming heeft gegeven.

Dat van die toestemming kun je vergeten als werkgever. Even kort door de bocht, omdat iedereen graag salarisverhoging/vast contract/promotie wil, zullen ze op iedere toestemmingsvraag ja zeggen uit angst dat mis te lopen. Dat is dus niet vrijwillig.

Je moet als werkgever dus op zoek naar een rechtvaardigingsgrond. Waarom moet dat nou met biometrie, die deur. Is er werkelijk geen andere, net zo effectieve oplossing? Natuurlijk, sleutels kan men kwijtraken en pincodes kunnen worden vergeten, uitgelekt of afgekeken. Een portier is ook ietwat begrotelijk. En de kans dat een derde vingers gaat afsnijden om binnen te komen is bij het gemiddelde Nederlandse bedrijf niet zo groot.

Vanuit dat standpunt denk ik dat het dus wel mag, mits alléén voor toegangscontrole. Zou je die vingerafdrukken ook gaan gebruiken om bijvoorbeeld te kijken hoe goed iemand zijn werk doet (“neemt wel héél vaak pauze”) dan zul je daar een apart verhaal voor moeten bouwen waarom jouw belang als werkgever het alsnog wint van de privacy van de werknemer.

Arnoud

Kun je op een inschrijfformulier verwijzen naar de website voor de voorwaarden?

Geplaatst op in Informatiemaatschappij, 13 reacties

Een lezer vroeg me:

Vorig jaar had ik me in het buurthuis opgegeven voor muzieklessen, gewoon met papieren formulier. Na een aantal lessen bleek het niets voor mij en ik heb het laten gaan. Nu krijg ik ineens een factuur voor de verlenging van mijn abonnement(?), dit op grond van de algemene voorwaarden. Ik heb het formulier erbij gepakt (ik fotografeer alle formulieren die ik teken) en daar staat inderdaad “Onze algemene voorwaarden zijn van toepassing, zie onze website voor de tekst”. Is dat werkelijk bindend?

Het is mogelijk, maar twijfelachtig, dat je een overeenkomst aangaat waarbij alleen in de algemene voorwaarden staat dat het stilzwijgend verlengd wordt. Op zich mag zo’n voorwaarde natuurlijk gesteld worden, maar het lijkt mij nogal essentieel of een dienst korte termijn is of lange termijn/met verlenging. En zulke essentiële informatie moet voor of bij het sluiten worden gemeld, dit op grond van de wet oneerlijke handelspraktijken. Doe je dat niet, dan is de overeenkomst vernietigbaar.

Verder mag men op een papieren formulier alleen verwijzen naar voorwaarden op de website indien de klant (of hier de cursist dus) daar expliciet mee akkoord gegaan is (art. 6:234 lid 3 BW). Zo’n zin op het formulier is geen uitdrukkelijke akkoordvraag, dus is dit niet rechtsgeldig.

Je zou daar tegenover kunnen stellen dat het hier gaat om dienstverlening, waardoor andere regels gelden voor de voorwaarden. Art. 6:230c BW bepaalt dat een dienstverlener ze “voor de afnemer gemakkelijk elektronisch toegankelijk [mag maken] op een door de dienstverrichter meegedeeld adres”. Uitdrukkelijke toestemming is dan niet nodig. Wel moet het adres dan specifiek zijn, enkel “zie onze website” of de URL van de homepage is daarvoor niet genoeg.

Ik zou dus reageren dat de voorwaarden niet rechtsgeldig zijn aangeboden omdat de verlenging niet expliciet is gemeld én de wet jouw toestemming voor de elektronische verstrekking eiste, en dat je ze op die grond vernietigt (=buiten toepassing verklaart). Daarmee is de grond voor de stilzwijgende verlenging vervallen en zit je dus nergens aan vast.

Je recht krijgen is bij zulke dingen wel altijd een veel moeilijkere dan je recht hebben.

Arnoud

Mag het mijnen van cryptomunten online advertenties vervangen?

Geplaatst op in Informatiemaatschappij, 43 reacties

Intrigerende ontwikkeling las ik bij Dutch Cowboys: het plaatsen van een crypto-munt mijner op een website die de processor van jouw computer gebruikt om die digitale valuta te genereren. Dit ter vervanging van de klassieke advertentie, waar immers geen cent meer mee verdiend wordt omdat iedereen adblockers heeft. Het idee is niet helemaal nieuw maar werd nu vooral stiekem toegepast. Zou je het ook legaal en open kunnen doen, zeg maar een mijnmuur “Geef toestemming voor cryptomuntmining of de site wordt ontoegankelijk”?

Cryptomunten zoals bitcoin werken zonder centrale autoriteit. In plaats daarvan worden transacties gedecentraliseerd gecontroleerd, en daarvoor zijn complexe berekeningen nodig. Om mensen te stimuleren daaraan mee te werken, word je beloond wanneer je computercapaciteit daarvoor beschikbaar stelt: na voldoende te hebben gerekend, krijg je een gratis nieuwe munt. Dit proces wordt ook wel mining oftewel mijnen of delven genoemd.

Het is technisch mogelijk (maar niet superefficiënt) om software voor dergelijk mining in Javascript uit te voeren, dat dan via een website kan worden verspreid zonder dat mensen apart software moeten downloaden en installeren. Dat biedt dus mogelijkheden om dit bij bezoekers van je site te doen, en daar komt dus het idee vandaan uit de openingsalinea: je moet deze software laten draaien (en mij de gedolven munten geven) anders mag je niet op mijn site.

Mag dat? In principe ja. Het is jouw site, en als jij rare eisen wilt stellen aan de toegang dan is dat jouw beslissing. Omdat het gaat om het installeren van software, is hierop de cookiewet van toepassing. Die eist dat er toestemming wordt gegeven voordat dit programma mag worden losgelaten. Er wordt immers informatie (een script) opgeslagen op de harde schijf van de gebruiker, al is het maar de browsercache.

Uitzondering op die toestemmingsplicht is wanneer de informatie functioneel relevant is, oftewel nodig voor het goed werken van de site. Daarmee zijn normaal Javascripts te rechtvaardigen, maar specifiek hier zie ik dat niet: dit script is niet strikt nodig om de site goed te kunnen laten werken. Zonder toestemming zie ik dit dus niet werken.

Een cookiewall dus – een cryptomuntminingwall. Kan, maar dan kom ik bij een ander issue. Een advertentie is irritant maar mijn computer krijgt er in principe geen last van (malware-injecties daargelaten). Maar het delven van cryptomunten kan een zware belasting voor je computer zijn, en dat zou in ieder geval in theorie tot storingen of zelfs hardwareschade kunnen leiden. Hoewel ik me moeilijk kan voorstellen dat dat ook zou spelen bij een Javascript-gebaseerde delver, maar daar weten jullie denk ik meer van dan ik.

Arnoud

Mag mijn zorgverzekeraar op Facebook om mijn BSN vragen?

Geplaatst op in Informatiemaatschappij, 22 reacties

Een lezer vroeg me:

Nadat ik ontdekte dat ik mijn gegevens niet kon wijzigen bij het portaal van mijn verzekeraar, kreeg ik via Facebook contact met ze. Heel behulpzaam en vriendelijk, alleen wil men mijn BurgerServiceNummer ontvangen ter authenticatie. Mag de zorgverzekeraar überhaupt wel naar mijn BSN vragen via dit kanaal?

Vragen naar een BSN mag nooit – maar soms móet je het verkrijgen. Een zorgverzekeraar is verplicht het BSN gebruiken om persoonsverwisseling en andere fouten te voorkomen. De logica van een verzekeraar die bij een klantenserviceverzoek om een BSN vraagt, zie ik dus wel. (Ik neem aan dat er om meer wordt gevraagd dan alléén het BSN, maar dat terzijde.)

De factor Facebook maakt deze wel een tikje ingewikkeld. Op zich maakt het niet uit welk kanaal de verzekeraar gebruikt voor de communicatie met de klant, zolang dat maar veilig genoeg is voor de communicatie. Dus of je nu belt, appt of Facebookt zou in principe op hetzelfde neer moeten komen. Alleen: bij bellen zit er niet echt een derde partij tussen die inzicht heeft in de communicatie, en een eigen commercieel belang heeft bij de inhoud, pardon je gebruikservaring wil verrijken.

Formeel gezien heeft de verzekeraar hier dus een probleem: zij moeten er voor zorgen dat Facebook niet met die communicatie aan de haal gaat. Er zou in theorie een verwerkersovereenkomst met Facebook moeten worden gesloten, of een andere garantie dat het communicatiekanaal veilig is. Ik denk dat dat maar zelden het geval is, en dan is het dus niet goed mogelijk om dit soort dingen via Facebook te doen.

Arnoud

Mag direct marketing per post straks ook niet meer van de AVG?

Geplaatst op in Ondernemingsvrijheid, Privacy, 26 reacties

Een lezer vroeg me:

Recent kreeg ik geadresseerde reclame per post van een webshop waar ik vorig jaar wat had gekocht. Dat is dus een verwerking van mijn persoonsgegevens! Kan ik daar straks onder de Privacyverordening wat tegen doen? Er is nooit om toestemming gevraagd voor reclamepost namelijk.

Het klopt dat het toesturen van geadresseerde reclamepost vanaf 25 mei dus onder de Privacyverordening (AVG of GDPR) gaat vallen. Die wet geldt immers niet alleen voor elektronische communicatie, maar voor álle verwerkingen van persoonsgegevens. (Onder de huidige wet valt het er denk ik buiten, omdat het gaat om een niet-elektronische verwerking die niet gericht is op opname in een bestand.)

Dat wil niet zeggen dat er dús toestemming nodig is voor het verzenden van post. Dat is een van de grondslagen, maar er zijn er meer. Als de post nodig is voor uitvoering van een overeenkomst (je bestelling moet opgestuurd, of nazending van een reserve-onderdeel bijvoorbeeld) dan mag dat natuurlijk ook gewoon.

En voor direct marketing is er nog een grond: het eigen gerechtvaardigd belang. Kort gezegd moet de verzender van die post dan een goede reden hebben om het bericht te versturen, en direct marketing en reclame is een dergelijk belang, zo staat in de AVG (overweging 47). Wel moet hij een privacy-afweging maken: hoe ernstig is de privacy-inbreuk die ik maak met deze post?

Ik denk dat dit in principe wel positief voor de verzender uit zal pakken. Reclame in de post is irritant maar moeilijk een schending van je persoonlijke levenssfeer te noemen. Dat zou ik pas zien als je adressen werden verkocht of verhuurd aan derden. Ik denk dat dát gewoon echt verboden is vanaf 25 mei.

Wel heb je als ontvanger van dergelijke berichten een recht van bezwaar:

De betrokkene heeft te allen tijde het recht om vanwege met zijn specifieke situatie verband houdende redenen bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens [op grond van een eigen gerechtvaardigd belang].

Het bezwaar moet gebaseerd zijn op de specifieke situatie van de betrokkene. Hij mag dus niet volstaan met algemene of principiële bezwaren tegen verwerking van zijn gegevens, maar moet specifieke omstandigheden aandragen. Een voorbeeld zou zijn dat een medewerker in een rolstoel bezwaar maakt tegen een vertoning van camerabeelden waar gezichten zijn uitgeblurd; in zijn specifieke situatie is hij dan immers nog steeds herkenbaar.

Bij geadresseerde reclamepost is het niet zo evident, verder dan “ik vind het irritant” kom ik niet en ik betwijfel of dat genoeg is. En dat zou betekenen dat de afzender het bezwaar gemotiveerd mag afwijzen. Maar gelukkig is er een sterkere variant voor direct marketing:

Wanneer persoonsgegevens ten behoeve van direct marketing worden verwerkt, heeft de betrokkene te allen tijde het recht bezwaar te maken tegen de verwerking van hem betreffende persoonsgegevens voor dergelijke marketing, met inbegrip van profilering die betrekking heeft op direct marketing. … Wanneer de betrokkene bezwaar maakt tegen verwerking ten behoeve van directe marketing, worden de persoonsgegevens niet meer voor deze doeleinden verwerkt.

Hier is gewoon géén reactie op mogelijk, anders dan het bestand meteen op te schonen. Je hebt dus een keihard recht van opt-out.

Daar komt bij dat de afzender je vooraf moet melden dát hij je gegevens voor direct marketing gaat gebruiken:

21.4. Het in de leden 1 en 2 bedoelde recht wordt uiterlijk op het moment van het eerste contact met de betrokkene uitdrukkelijk onder de aandacht van de betrokkene gebracht en duidelijk en gescheiden van enige andere informatie weergegeven.

Om de betrokkene te informeren over dit recht van bezwaar, dient de verwerkingsverantwoordelijke dit expliciet aan hen te melden. Deze informatie moet uitdrukkelijk en apart gebeuren. Gescheiden van andere informatie betekent dus niet bijvoorbeeld slechts in de privacyverklaring.

Arnoud

Ziggo en XS4All moeten nu toch weer wel The Pirate Bay blokkeren

Geplaatst op in Intellectuele rechten, 24 reacties

Internetproviders Ziggo en XS4All moeten de blokkade van torrentsite The Pirate Bay uit 2012 alsnog in ere herstellen. Dat bepaalde de rechtbank Den Haag vrijdag in kort geding. Raar; we hadden toch juist allemaal bodemprocedures en zelfs vragen aan het Hof van Justitie over deze kwestie, dus hoezo kan een kortgedingrechter dan even zeggen, zet maar terug die DNS-blokkade?

Het begon allemaal in 2012, toen de rechtbank bepaalde dat de internetproviders tot blokkade over moesten gaan. Dit naar aanleiding van een eerder vonnis tegen de Piratenbaaifiguren, waarin werd bepaald dat die site behulpzaam was bij auteursrechtschending. En dan is er een juridisch instrument: artikel 26d Auteurswet bepaalt dat een tussenpersoon (zoals een provider) gedwongen kan worden dergelijke schendingen tegen te gaan. Blokkeren dus.

In hoger beroep in 2014 werd de blokkade ongeldig verklaard. Hoewel TPB evident onrechtmatig is en er zeker auteursrechten worden geschonden door torrentende abonnees, is zo’n blokkade geen proportioneel en effectief middel om daar een einde aan te maken. Er werd te gemakkelijk omheen gewerkt, en dan is het onzinnig die maatregel te eisen.

Daarmee leek de kou uit de lucht, hoewel de zaak vrolijk doorging en uiteindelijk via de Hoge Raad bij het Europese Hof van Justitie belandde. En die bepaalden in juni dat The Pirate Bay niet alleen mensen hiélp bij auteursrechtschendingen (een onrechtmatige daad) maar zélf auteursrechten schond. Een torrent is een herpublicatie, een doorgifte aan een nieuw publiek in het jargon.

De normale gang van zaken is dat daarna de Hoge Raad het stokje weer overneemt en aangeeft of het Gerechtshof gelijk had of niet, en dan hetzij terugverwijst naar een ander Gerechtshof, of zelf bepaalt waar we staan. Brein neemt een voorschot door gauw de kortgedingrechter te vragen een voorlopige uitspraak te doen. Op zich kan dat, het punt van bodemzaken is dat ze lang duren en de kortgedingrechter mag dan een tijdelijke maatregel opleggen als hij inschat dat de bodemrechter te zijner tijd dat ook zou doen.

Hier ligt dat wat ingewikkeld, want er ís al een vonnis van de bodemrechter. Sterker nog een hele stapel: rechtbank, gerechtshof, Hoge Raad en Hof van Justitie. En als er al een bodemvonnis is, dan mag de kortgedingrechter niet meer zelf bepalen dat het anders ligt. Hij moet gewoon bevestigen wat er in dat bodemvonnis staat (tenzij dat vonnis werkelijk kant noch wal raakt). Hij mag zelfs niet zeggen, de zaak is te complex, want er is al beslist over de zaak in dat bodemvonnis.

En nu komt ie: het bodemvonnis in deze zaak is de uitspraak van de rechtbank, die uit 2012 dus. Weliswaar liggen er hogere uitspraken, maar het Gerechtshof had geen gelijk als je de uitspraak van het Hof van Justitie leest. Kan geen gelijk hebben, want het Hof ging er vanuit dat TPB zelf geen auteursrechten schendt maar dat doen ze dus wel. Het enige vonnis dat nog ongeschonden voor ligt, is dus dat uit 2012 en daarom moet de blokkade er terug op.

Natuurlijk had ook de rechtbank het fout ten aanzien van de auteursrechtinbreuk, maar dat breit de kortgedingrechter hier makkelijk recht. Want de rechtbank komt uiteindelijk wel op dezelfde afweging van proportionaliteit (moet dat nou zo heftig) en subsidiariteit (kan dat niet anders), en daardoor staat de conclusie nog steeds overeind. Voorlopig althans, want de zaak ligt nog bij de Hoge Raad en dáár gaat het definitieve oordeel geveld worden.

Formeel juist, maar natuurlijk voelt het bepaald ergerlijk, dit voorschotje op de werkelijke discussie. Maar dit bevestigt het aloude “bad cases make bad law”: ik blijf zitten met het gevoel dat de Pirate Bay blokkades vooral rechtmatig geacht worden omdat de site Pirate Bay heet. Al te bijdehand doen en al te lange neuzen maken naar de rechtbank is geen goed idee. En nu zitten wij met de brokken.

Arnoud

Gaan we weer: Leen Bakker voor de rechter vanwege een hoogslaperprijsfout

Geplaatst op in Ondernemingsvrijheid, 38 reacties

Ruim duizend consumenten gaan een kort geding tegen Leen Bakker aanspannen over niet-geleverde hoogslapers, meldde Nu.nl maandag. De hoogslapers zouden voor 24 euro zijn aangeboden in de webshop, en deze mensen willen ze nu voor die prijs geleverd krijgen. Leen Bakker wil mensen ter compensatie 40 procent korting geven, maar daar neemt de groep consumenten – verenigd in hun claim – geen genoegen mee. Roept u maar: gevalletje.. Otto.

In 2006 bood webwinkel Otto televisies te koop voor 99 euro, waar de werkelijk bedoelde prijs een factor 10 hoger lag. Diverse claims daarover kwamen bij de rechter, en vervolgens in hoger beroep bij het Gerechtshof Den Bosch, dat een duidelijke lijn trok: je bent gebonden als winkel aan de prijzen uit je webshop, tenzij er reden is voor twijfel aan een genoemde prijs.

Wanneer je dus een leuk koopje ziet, moet je nagaan of dit een reële, te verwachten prijs is:

Zo het de consument al niet meteen duidelijk behoort te zijn dat hier een vergissing in het spel is, dan is het verschil in prijs zo aanzienlijk dat er in ieder geval reden is voor twijfel. Ingeval van twijfel omtrent de juistheid van de prijs dient de consument dienaangaande nader onderzoek te verrichten (artikel 3:11 BW).

Afgelopen juli verschenen op de site van Leen Bakker drie hoogslapers met opmerkelijke prijzen, waaronder dus eentje voor 24 euro – terwijl de normale prijs 319 euro is. De reden bleek een technische fout bij Leen Bakker: men wilde 20 tot 50% korting geven, maar omdat matrassen en hoogslapers gebundeld werden, kwam het systeem met korting op korting.

Nu is een fout natuurlijk in principe risico winkelier, maar als je uitkomt bij 92% korting dan komt dat dus anders te, eh, liggen. Kortingen van meer dan 50% zijn zeldzaam, dus dan moet je als consument écht gaan twijfelen aan de juistheid en dan dus nader onderzoek gaan doen, zoals het Gerechtshof bepaalde. Zo te lezen heeft niemand dat gedaan, en daar ga je dus gewoon op onderuit bij de rechter.

Arnoud

Lenovo geeft drie maanden oude Moto E4-smartphones geen update naar Android 8

Geplaatst op in Ondernemingsvrijheid, 24 reacties

Smartphonemaker Lenovo zal zijn Moto E4-serie van toestellen die deze zomer verschenen geen update geven naar Android 8.0. Dat meldde Tweakers vorige week. De reden is me niet helemaal duidelijk, gezien andere toestellen (zoals de Z- en G5-modellen) wel een update naar Android 8 “Oreo” krijgen. Wat dan de vraag oproept, zijn ze niet verplicht om dat door te voeren?

Helaas biedt de wet geen duidelijk antwoord over wat een fabrikant (of winkelier) nu precies moet doen met embedded software. Ja, het product moet veilig zijn en moet aan de gewekte verwachtingen voldoen. Maar vanaf daar wordt het altijd discussie.

Ik blijf erbij: embedded software moet veilig zijn, dat is iets dat iedere consument verwacht. En dan kom je bij de conformiteitseis uit: een product moet aan de overeenkomst beantwoorden, en daarbij geldt dat

de koper mag verwachten dat de zaak de eigenschappen bezit die voor een normaal gebruik daarvan nodig zijn en waarvan hij de aanwezigheid niet behoefde te betwijfelen, alsmede de eigenschappen die nodig zijn voor een bijzonder gebruik dat bij de overeenkomst is voorzien.

Veiligheid lijkt me bij (embedded) software vandaag de dag wel een eigenschap die voor normaal gebruik nodig is. Je mag niet verwachten dat software foutvrij is, want iedereen weet dat dat niet kan voor de prijs van een smartphone, maar je mag wel verwachten dat fouten van tijd tot tijd worden gerepareerd lijkt me zo. Updaten dus.

Belangrijk is voor mij wel dat een nieuwe versie van het besturingssysteem gewoonlijk eerder een upgrade dan een update genoemd wordt. Dat maakt nogal uit. Je krijgt bij een upgrade namelijk nieuwe features en functionaliteiten, die je niet hoefde te verwachten gezien de oude software. Ik denk dat je hoe dan ook niet meer kunt verwachten dan een update, waarbij fouten worden hersteld en dingen hooguit in lichte mate worden verbeterd. Dus een nieuw OS hoef je wettelijk niet te verwachten.

Arnoud

Mag je nog wel een zwarte lijst voor bedrijven aanleggen?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 7 reacties

Een lezer vroeg me:

Ik begrijp dat een zwarte lijst voor personen erg lastig is om aan te leggen, vanwege privacywetgeving. Maar nu las ik dat privacy niet geldt voor bedrijven, dus klopt het dan dat ik wel voor mijn b2b webshops een zwarte lijst mag hanteren van zakelijke klanten met wie ik geen zaken wil doen?

Een zwarte lijst voor webwinkels ligt erg gevoelig, onder de privacywetgeving. Het belang voor winkeliers is duidelijk, maar het kan voor betrokken personen bijzonder vervelende gevolgen hebben. Zeker omdat mensen er onterecht op kunnen belanden. Wat nu als ik verhuis naar een plek waar een wanbetaler woonde, bijvoorbeeld. Of omdat ik erop kom omdat de winkelier me een vervelend figuur vindt dat maar blijft zeuren over garantie.

Kort gezegd komen de eisen vanuit privacywetgeving over zwarte lijsten neer op zorgvuldigheidseisen. Zo moet vooraf aangekondigd zijn dat deze gegevens verwerkt worden. Een winkel moet dus op een of andere manier kenbaar maken dat men een zwarte lijst beheert. Ook moeten mensen in staat zijn om na te gaan dat zij op deze lijst staan, en hebben zij het recht om eraf gehaald te worden als blijkt dat hun vermelding onterecht was. De toezichthouder heeft een checklist zwarte lijsten gepubliceerd. Ook moeten dergelijke lijsten worden gemeld.

Privacy geldt alleen voor mensen, en dus in principe niet voor ondernemingen of verenigingen/stichtingen. Hooguit als het ook gaat om privégegevens, zoals de 06 van de directeur van een bv of het persoonlijk mailadres van de voorzitter. Dus in principe is er weinig tegen zo’n zwarte lijst te doen.

In de praktijk zul je wel aan hoge eisen van zorgvuldigheid moeten voldoen om te voorkomen dat je smaadclaims tegen je krijgt, want een bedrijf kun je wel besmaden door ze ten onrechte en lichtvaardig op een zwarte lijst te zetten. Ik denk dat je in de praktijk dan diezelfde checklist zult moeten volgen, afgezien van de melding bij de toezichthouder zelf.

Arnoud