Wanneer hebben wij een data protection officer nodig als bedrijf?

Geplaatst op in Privacy, 16 reacties

privacy-statement.jpgEen lezer vroeg me:

In 2018 komt de Privacyverordening eraan. Eén van de plichten daaruit is het aanstellen van een data protection officer ofwel een functionaris gegevensbescherming. Maar welke bedrijven moeten dit nu verplicht doen?

De functionaris voor de gegevensbescherming oftewel de data protection officer (DPO) is een onafhankelijk en deskundig persoon binnen de organisatie van de verwerker met als taak informeren en adviseren over de omgang met persoonsgegevens. De functionaris mag een werknemer zijn of een extern ingehuurde kracht. Het idee is dat je zo meer nadruk op toezicht en naleving van de Privacyverordening kunt leggen.

Aanstellen van een functionaris voor gegevensbescherming is verplicht in drie situaties, zo staat in artikel 37 van de Verordening:

  1. de verwerking wordt verricht door een overheidsinstantie of overheidsorgaan, behalve in het geval van gerechten bij de uitoefening van hun rechterlijke taken; Overheidsinstanties dus (rechtbanken zijn kort gezegd vrijgesteld van toezicht wegens de rechterlijke onafhankelijkheid)
  2. een verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met verwerkingen die vanwege hun aard, hun omvang en/of hun doeleinden regelmatige en stelselmatige observatie op grote schaal van betrokkenen vereisen; Het moet dus gaan om het uitvoeren van regelmatige en stelselmatige observatie op grote schaal van betrokkenen. Te denken valt aan recherchebureaus, maar ook aan internetbedrijven die diensten aanbieden om websitebezoek zeer gedetailleerd te monitoren (analytics).
  3. de verwerkingsverantwoordelijke of de verwerker hoofdzakelijk is belast met grootschalige verwerking van [bijzondere en strafrechtelijke persoonsgegevens]; dit zijn bijvoorbeeld persoonsgegevens over ras, seksuele voorkeur of politieke gezindheid.

Er zijn dus géén getalsmatige criteria, zoals in eerdere concepten van de Verordening nog wel stonden. Diverse artikelen verwijzen hier nog naar, bijvoorbeeld dat je pas een functionaris nodig hebt vanaf 500 medewerkers of als je van 250 mensen of meer persoonsgegevens verwerkt. Dat is dus allemaal niet meer uit de wet af te leiden.

Nadere Europese of nationale wetgeving kan voorschrijven dat in andere gevallen een functionaris verplicht is (lid 4). Het staat organisaties vrij daarnaast vrijwillig een functionaris te benoemen (lid 4). En dat kan nut hebben: een bedrijf met een goed opererende functionaris zal minder snel door de toezichthouder worden besprongen met audits en boetes. En als je bedenkt dat die 20 miljoen per overtreding kunnen zijn, dan loont het best de moeite daarover na te denken.

Arnoud

Moeten alle zakelijke Youtubevideos vanaf 2017 ondertiteld zijn?

Geplaatst op in Ondernemingsvrijheid, 14 reacties

youtube-subtitle-ondertitelsMoeten alle websites per 1 januari toegankelijk zijn voor mensen met een handicap, en meer in het bijzonder moeten alle (zakelijke) video’s op sites als Youtube vanaf die datum ondertiteld zijn? Vele lezers stuurden me die vraag, vaak met linkje naar dit bericht uit januari dat inderdaad stellig meldt “websites moeten toegankelijk gaan worden voor mensen met een handicap.” En toegankelijkheid voor doven bij een video, dat betekent ondertitels. Dus moeten we allemaal aan de slag nu?

Het was even spitten, maar in januari is het verdrag inzake de rechten van personen met een handicap goedgekeurd. Dit verdrag beschrijft rechten van mensen met een handicap (langdurige fysieke, mentale, intellectuele of zintuiglijke beperkingen) en bevat tevens de verplichting dat verdragsstaten alle passende maatregelen nemen om te waarborgen dat redelijke aanpassingen worden verricht.

In de uitvoeringswet wordt dit als volgt uitgewerkt (artikel 2a):

1. Degene tot wie het verbod van onderscheid zich richt, draagt daarnaast tenminste geleidelijk zorg voor de algemene toegankelijkheid voor personen met een handicap of chronische ziekte, tenzij dat voor hem een onevenredige belasting vormt.

En dit artikel geldt in het algemeen voor partijen die beroepsmatig producten of diensten aanbieden. Dus ook online dienstverleners. Lid 2 verwijst vervolgens naar de mogelijkheid een algemene maatregel van bestuur (zeg maar een uitvoeringsreglement opgesteld door de minister) waarin deze maatregelen nader kunnen worden uitgewerkt. Daar zou dus in kunnen staan dat zakelijke video’s moeten worden ondertiteld.

Die AMVB komt er inderdaad per 1 januari 2017. Er staat alleen weinig concreets in. De eis uit de wet “geleidelijk zorg voor algemene toegankelijkheid” wordt als volgt uitgewerkt:

1. [Dienstverleners zijn] verplicht tot het treffen van voorzieningen van eenvoudige aard en gaandeweg zorg te dragen voor de algemene toegankelijkheid voor personen met een handicap of chronische ziekte, tenzij dat voor hem een onevenredige belasting vormt.
2. Onder een voorziening van eenvoudige aard wordt verstaan: een voorziening die op weinig ingrijpende wijze en zonder of met weinig kosten tot stand kan worden gebracht.

Inderdaad kún je daarin lezen dat er ondertiteling aan Youtube-video’s moet worden toegevoegd, maar een harde regel is dat allerminst. De maatregel moet eenvoudig zijn en gaandeweg ingevoerd, en mag geen onevenredige belasting vormen voor de dienstverlener. Oftewel het mag weinig kosten en weinig impact hebben op de bedrijfsvoering van de dienstverlener. Dat kan ik hooguit lezen als “als je ondertitels hebt, moet je ze uploaden” of iets van dien aard. Of een plicht tot het aanzetten van de automatische ondertitels van Youtube, maar meer niet.

Nu ben ik wel benieuwd, wat zou hier dan wél onder vallen? Wat kun je als bedrijf wel eenvoudig doen met weinig kosten om de toegankelijkheid van je website te verhogen?

Arnoud

Ik wil niet namens mijn werkgever akkoord gaan met Microsoft’s EULA

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 15 reacties

eula-ridge-trail-bordje-sign-flickr-oregon-brandon.jpgEen lezer vroeg me:

Deel van mijn werk is het uitrollen van Office 365. Eén van de installatiestappen is het akkoord gaan met de hele riedel gebruiksvoorwaarden en privacy condities van de firma Microsoft. Dit snap ik niet. Waarom moet dat, als wij al een contract hebben? En hoe voorkom ik dat ik straks privé akkoord ga of zo?

Het is compleet onzinnig dat een bedrijfsmatige installatie van reeds gelicentieerde software zou vereisen dat je akkoord gaat met op het scherm gepresenteerde gebruiksvoorwaarden. Precies om de reden die de vraagsteller noemt: de licentienemer hééft al akkoord gegeven op voorwaarden, zij het ouderwets op een stuk papier en niet met een klik. Maar dat doet er niet toe.

(En breek me de bek niet open over akkoord op privacyverklaringen. Dat slaat écht helemaal nergens op. Privacyverklaringen verklaren. Ze zijn verplicht op grond van de Wbp ter toelichting op wat je gaat doen. Maar een akkoord daarop is net zo relevant als akkoord op de dienstregeling van de NS.)

Die software is echter geprogrammeerd om bij installatie die voorwaarden te tonen, en doet dat dus vrolijk ook al betekent het niets. Maar daar staat tegenover dat klikken dus op zich ook niets betekent, afgezien van 5 seconden extra moeite. (Ik herinner me dat er opties zijn bij zakelijk installeren om dit te skippen, wie ‘m weet mag het roepen!)

Sowieso ben je niet privé gebonden, dit installeren doe jij zakelijk dus handel jij namens je werkgever. Jij als persoon bestaat niet, onder de wet. Jij bent een hand van je werkgever en niets dat die hand doet, kan bindend worden op de persoon achter die hand.

Arnoud

Mag Spotify mijn SSD-schijven tot prut reduceren?

Geplaatst op in Informatiemaatschappij, 15 reacties

ssd-schijf-opslagOeps. De afgelopen vijf maanden (zo niet langer) heeft de Spotify app zo hard staan schrijven naar de ssd-schijven in telefoons dat deze járen aan levensduur zijn kwijtgeraakt. Dat las ik bij Ars Technica. Frequent schrijven naar ssd schijven is serieus Niet Handig aangezien dat voor grote slijtage zorgt. En nee, het ging niet om overijverig downloadende gebruikers: dit was een oeps foutje bedankt van Spotify. De nieuwste versie lost het op, maar de schade is niet ongedaan te maken. Kan dat zomaar?

We hebben natuurlijk de productaansprakelijkheid in de wet, en die opent met een veelbelovend artikel:

De producent is aansprakelijk voor de schade veroorzaakt door een gebrek in zijn produkt, tenzij: (…)

Alleen gaat dat ‘gebrek’ vervolgens alleen over fysieke veiligheid, zeg maar ontploffingen en dergelijke. Overmatige slijtage is moeilijk te zien als een veiligheidskwestie, behalve misschien bij autogordels. Bovendien is een app zoals Spotify geen ‘product’ (al dan niet met een k), want dat moet een roerende zaak zijn. Dus daarmee komen we er niet.

Wanprestatie dan. De app doet niet wat je ervan mag verwachten, dus geen conformiteit dus herstel & vergoeding van schade. En ja, dit geldt ook voor software – het Beeldbrigade-arrest van de Hoge Raad bepaalde in 2014 expliciet dat standaardsoftware onder de kooptitel valt en daarmee aan de conformiteitseis moet voldoen. Alleen hm: is er wel sprake van een koop? Je koopt immers niet de app, die krijg je gratis. Je betaalt voor de dienst van Spotify, en dat zie ik als wezenlijk wat anders.

Onrechtmatige daad? Strijd met een wettelijke plicht of inbreuk op een recht, die zie ik niet. Dus dan houd ik over de maatschappelijke zorgvuldigheid, zeg maar dit dóe je gewoon niet. Dit is niet netjes, ook al staat het niet als verbod in de wet. Dat kan altijd, maar sterk vind ik ‘m niet.

Oké, er is een oplossing maar helemaal lekker zit het me niet. Ik vermoed dat dit zo’n ding is waar niemand ooit over nagedacht heeft. Sinds wanneer kan software immers hardware pijn doen (HCF daargelaten)

(Ongetwijfeld staat er in de Spotify EULA iets over geen aansprakelijkheid voor welke schade dan ook, maar ongezien mijn juridische hoela voor zo’n voorwaarde.)

Arnoud

Welke data over mijn auto mag worden doorgeappt?

Geplaatst op in Informatiemaatschappij, 23 reacties

ford-t-autoEen lezer vroeg me:

Ik zag dit artikel met de intrigerende opmerking “Verzekeraars willen bij een ongeluk nu weten of iemand op zijn telefoon zat te appen.” Met een speciale app kun je bijvoorbeeld je telefoon laten uitschakelen als je snelheid te hoog gaat, en je kunt lees ik zelfs kiezen voor een app die (in ruil voor korting) je verkeersgedrag doorstuurt naar de verzekeraar. Een voorbeeld is Flo. Mag dat?

Wettelijk gezien is er voor een verzekeraar op dit moment geen grond om bij een verkeersongeval data van iemands telefoon te vorderen. Dus nee, onder normale omstandigheden mag dat niet.

Verkeersgedrag is geen gevoelige informatie, dus met vrijwillig gegeven toestemming zou die wel mogen worden verstrekt. Dus als een verzekeraar daar apart om vraagt en geen negatieve gevolgen verbindt aan een weigering (zoals uitsluiting of opzegging van de verzekering) dan denk ik dat dit wel kan. (En nee, het mag niet als stiekeme functionaliteit in een “Declareer snel uw autoschade”-app, ook niet als in de privacypolicy er een mooie braaftaalzin over staat.)

Ik vraag me alleen wel af hoe vrijwillig dit is. Natuurlijk, korting is altijd optioneel dus in zoverre kun je het zien als vrijwillig. Je hóeft geen korting te accepteren. Maar als ze het andersom hadden geformuleerd – wie de app niet installeert, krijgt een boete/toeslag – dan zou iedereen het als afdwingen zien. Principieel vind ik het dan ook moeilijk om het verschil aan te geven.

Maar zelfs als je zegt, het is een korting dus vrijwillig dus prima. Dan zitten we over vijf jaar met de situatie dat 90% van de mensen de kortingsregeling heeft. Dan ís de verzekering toch goedkoper en dan ís de volle mep betalen toch een vorm van boete?

Arnoud

Amerikaans WhatsApp valt onder Nederlandse privacywet

Geplaatst op in Ondernemingsvrijheid, Privacy, 19 reacties

whatsapp De chatapp WhatsApp heeft een rechtszaak verloren van de Autoriteit Persoonsgegevens, de Nederlandse privacywaakhond. Dat meldde Nu.nl gisteren. Op straffe van een dwangsom van 10.000 euro per dag moet het bedrijf een vertegenwoordiger aanstellen in Nederland. Want hoewel het bedrijf in de VS zit en geen servers en dergelijke in Nederland heeft staan, valt men toch onder de Nederlandse Wbp.

WhatsApp en de toezichthouder liggen al een tijdje in de clinch over naleving van de Wbp. In november 2015 werd een besluit opgelegd waarin WhatsApp onder meer toezegde hashing te gaan gebruiken zodat ze alleen nog gegevens kon matchen van gebruikers onderling, en niet meer tevens van niet-gebruikers. “WhatsApp betwist de bevoegdheid van het CBP, maar heeft wel meegewerkt aan het onderzoek” stond er dan omineus in het persbericht, en nu zien we dat men die betwisting heeft doorgepakt, maar zonder succes.

Het lijkt een formeel puntje. Een bedrijf dat buiten Europa gevestigd is en persoonsgegevens van Nederlanders verwerkt, moet een vertegenwoordiger aanstellen (art. 4 lid 3 Wbp). Het idee daarachter is dat je als Nederlands burger dan makkelijker klachten en claims kunt indienen bij dat bedrijf.

WhatsApp had nooit zo’n vertegenwoordiger gesteld, ik vermoed omdat ze vonden dat ze überhaupt niet onder Nederlands recht vallen (als ze daar al ooit van gehoord hadden, Nederland is de hoofdstad van Denemarken, toch?). Maar de rechtbank bevestigt nu dat dat toch echt moet. Het juridische argument dat onze wet in strijd is met de Privacyichtlijn uit 1995 (omdat het tekstueel niet 100% matcht) gaat van tafel, de Nederlandse regels zijn een prima invulling van de Richtlijn.

Belangrijker vind ik echter het onderliggende punt: WhatsApp valt onder de Wbp, hoewel ze hier geen vestiging of server hebben. Dit vanwege artikel 4 lid 2 Wbp:

Deze wet is van toepassing op de verwerking van persoonsgegevens door of ten behoeve van een verantwoordelijke die geen vestiging heeft in de Europese Unie, waarbij gebruik wordt gemaakt van al dan niet geautomatiseerde middelen die zich in Nederland bevinden, tenzij deze middelen slechts worden gebruikt voor de doorvoer van persoonsgegevens.

Je zou denken dat dat gaat over servers en zo, maar de AP zegt nu – met instemming van de rechtbank – dat dit óók gaat over smartphones. Niet heel verrassend, de Artikel 29-Werkgroep had dat al in 2013 gesteld, maar het is nu door de rechter bevestigd.

Misschien een tikje gek, want die smartphones zijn toch uitsluitend voor persoonlijk gebruik door de consument-eigenaren? Klopt, maar de WhatsAppapp doet meer, die stuurt immers data door naar WhatsApp het bedrijf in de VS die er meer mee doet. Zoals dus dat matchen. En daarom kan WhatsApp niet zeggen dat ze slechts een faciliterend bedrijf (‘bewerker’ in het jargon) is voor de consument.

Ik moest glimlachen bij het verweer “Het is eiseres niet gelukt om een commerciële partij te vinden die een dergelijk risico wil aanvaarden.” Want die vertegenwoordiger is dus aansprakelijk voor alle claims en boetes die WhatsApp veroorzaakt, en je zou dus wel gek zijn. Maar, zo merkt de rechtbank ook op, je kunt als vertegenwoordiger prima afspreken dat WhatsApp je schadeloos stelt bij deze claims. Dus nee, ook dat is geen argument.

Alles bij elkaar een best belangwekkende uitspraak, want dit geldt niet alleen voor WhatsApp. Iedere app-exploitant die gebruikerspecifieke data naar de VS laat sturen, is nu verplicht zichzelf in Europa daar verantwoordelijk (en aansprakelijk) voor te stellen.

Arnoud

Mag ik nou wel of niet naar mijn website verwijzen voor mijn algemene voorwaarden?

Geplaatst op in Informatiemaatschappij, 12 reacties

algemene-voorwaarden-kleine-lettertjes-tos-eulaEen lezer vroeg me:

Hoe kan ik als ICT-dienstverlener nu het beste mijn algemene voorwaarden melden aan mijn klant? Natuurlijk, ik kan ze bij mijn offertes voegen maar meestal heb ik hele korte informele offertes (gewoon een mailtje) en dat voelt wat overdreven. Of ik vergeet het. Ik zou liever een standaardzin in mijn handtekening zetten met een link, maar ik begreep van jou dat dat niet mag. Hele hordes mensen doen dat gewoon, dus zit er niet toch een kern van waarheid in?

Om algemene voorwaarden van toepassing te krijgen op een offerte, moet aan twee eisen zijn voldaan:

  1. De offerte moet expliciet zeggen dat de algemene voorwaarden van toepassing zijn (eventueel welke versie);
  2. De algemene voorwaarden moeten op papier of als PDF worden bijgevoegd bij de offerte.

Die eerste eis lijkt triviaal, maar als ik een euro had voor elke offerte die niets zegt over algemene voorwaarden (terwijl er wel AV zijn, uiteraard) dan kon ik een dag minder werken.

De tweede eis is eigenlijk eveneens triviaal: plak de PDF met je voorwaarden gewoon achter de PDF van je offerte, of stuur twee bijlagen in de mail waarin je de offerte uitbrengt. Maar kennelijk is dit toch erg moeilijk.

De wet (art. 6:234 BW) biedt eigenlijk geen ruimte voor andere constructies. Ja, je kunt onder voorwaarden volstaan met een depot bij de KVK of griffie van de rechtbank, maar geen ICT-ondernemer die voldoet aan die voorwaarden. De voorwaarden op je site aanbieden mag ook, maar dat geldt primair voor contracten die via die site worden gesloten (de bekende “Ik ga akkoord met de AV”-vinkjes met hyperlink). Niet voor offertes die zeggen “zie onze site voor onze AV”.

Maar eigenlijk moet ik dan de ‘oude’ wet zeggen. Want we hebben al een tijdje specifieke regels voor dienstverleners in de wet, en daarbij staan ook regels over hoe dienstverleners hun voorwaarden moeten aanbieden. Die regels zijn anders dan die hoofdregel van daarnet. Je mag als dienstverlener kiezen:

  1. [De informatie] wordt op eigen initiatief door de dienstverrichter verstrekt;
  2. [De informatie] is voor de afnemer gemakkelijk toegankelijk op de plaats waar de dienst wordt verricht of de overeenkomst wordt gesloten;
  3. [De informatie] is voor de afnemer gemakkelijk elektronisch toegankelijk op een door de dienstverrichter meegedeeld adres;
  4. [De informatie] is opgenomen in alle door de dienstverrichter aan de afnemer verstrekte documenten waarin deze diensten in detail worden beschreven.

Optie 1 is in feite mijn eis twee: verstrekken oftewel meeleveren met de offerte. Optie 4 komt volgens mij op hetzelfde neer. Optie 2 is vooral bedoeld voor zaken als fietsverhuur et cetera waarbij je binnenloopt bij de dienstverlener.

Het is optie 3 die perspectieven biedt voor dienstverleners: maak ze makkelijk toegankelijk via internet en meld je klant het adres daarvan. Een PDF op je website zetten en in je offerte “Deze voorwaarden vindt u op http://example.com/av/” opnemen is dus rechtsgeldig voor dienstverleners.

Blijft de vraag: wat als de klant achteraf zei, je website deed het niet dan wel gaf een 404 toen ik op die link klikte. Want jij moet bewijzen dat ze er wél stonden op de dag dat de klant keek. Hoe doe je dat? Dus vandaar dat ik toch altijd de AV bij zou sluiten. Maar ja, ik ben ouderwets.

Arnoud

Mag je geen “bijna vijf uur” mails meer sturen op je werk?

Geplaatst op in Ondernemingsvrijheid, Privacy, 13 reacties

je-hoeft-niet-gek-te-zijn-om-hier-te-werken-maar-het-helpt-wel.jpgEen lezer vroeg me:

Afgelopen vrijdag stuurde ik om 16:50 een mail naar mijn directe collega’s “Jongens bijna vijf uur: weekend!!” met een uitnodiging te gaan borrelen. Die mail is bij mijn manager terecht gekomen, en die heeft me zojuist berispt omdat dit blijk geeft van een slechte werkhouding. Als ik niet wil werken tot vijf uur, dan moet ik misschien maar een andere baan zoeken?! Mag dat überhaupt wel, me aanspreken op zo’n privémail naar collega’s?

Dit is een nogal overdreven reactie van die manager. Nog even afgezien van het pedante punt dat de mail zegt bijna vijf uur, en je dus kunt zeggen dat hij wel degelijk wil blijven werken tot vijf uur. Ik snap het punt dat die man wil maken, maar gezien de aard van deze mail kun je hier écht niets mee, arbeidsrechtelijk gezien.

Het is op zich niet verboden om zulke mails door te sturen, omdat het interne berichten binnen een organisatie zijn. Ik zie daar niets principieels verkeerds aan, nog even los van briefgeheim dat niet geldt op e-mail. En ja, je hebt privacy op je werk maar wel binnen grenzen: stel je had dit gezégd tegen je collega’s en de de manager had het toevallig gehoord, dan zouden we dat ook geen privacykwestie vinden. Als de informatie ter kennis komt van de manager, dan mag hij daar wat mee. Ik zie niets illegaals aan dat doorsturen binnen de organisatie. Maar sjonge.

Arnoud

Waarom EULA’s allemaal zo verschrikkelijk onleesbaar zijn

Geplaatst op in Informatiemaatschappij, 12 reacties

eula-naam.jpgMooi stuk bij BoingBoing: onze digitale economie zit vol met licenties (EULA’s, end user license agreements) maar geen hond die ze leest. Is dat luiheid van de consument? Onoplettendheid in het bestelproces? Nee. Dit zit fundamenteler.

Het concept van licenties – verlening van toestemming – is natuurlijk al veel ouder dan internet. De visvergunning is gewoon een rivier-EULA, en wie met een radio wil uitzenden heeft daar ook toestemming voor nodig. Maar dergelijke vergunningen of licenties waren relatief simpel. Je mocht iets dat je eerst niet mocht, met hooguit een aantal specifieke randvoorwaarden zoals dat je alleen bij daglicht mag vissen of dat de politie mag komen kijken of je je wapens (onder je schiet-EULA) wel veilig opbergt.

Die voorwaarden waren dus best duidelijk. Dat kon, omdat die situaties specifiek waren en verder duidelijk omlijnd. Ook had de opsteller van die EULA – de overheid – een belang bij duidelijkheid. Als je elke dag onduidelijke vergunningen moet gaan handhaven, dan is dat een verspilling van tijd en belastinggeld.

Bij internetdiensten en software zitten er andere factoren. Allereerst gaat het hier om private partijen met een particulier belang: je wilt dat mensen je dienst gebruiken, maar je wilt geen gezeik. Dus ga je je dienst dichttimmeren met voorwaarden in jouw voordeel. Ten tweede is er niemand die een tegengeluid laat horen. De vereniging van sportvissers gaat echt wel piepen als de hengel-EULA ineens zes pagina’s algemene voorwaarden krijgt, maar consumenten van internetdiensten doet dat niet.

Het BoingBoing-artikel (eigenlijk het boek The End of Ownership: Personal Property in the Digital Economy) noemt nog een derde factor die ik intrigerend vind. Omdat consumenten niet in staat zijn EULAs op waarde te schatten, is er geen prikkel om ze beter te maken. Voor juristen is er dus weinig eer aan te behalen, áls je al als jurist wordt gevraagd om een EULA op te stellen (hoe vaak ik niet de vraag krijg, ik heb een EULA op internet gevonden, kun je die even checken in een kwartiertje of zo).

Ook weegt een stukje conservatisme mee. Een belachelijk eenzijdige clausule kan geen kwaad, maar de clausule weglaten misschien wél. Als je zegt “wij zijn niet aansprakelijk voor zover wettelijk toegestaan” dan heb je netjes je aansprakelijkheid ingeperkt. Laat je die zin weg, dan is er misschien een situatie waarin iemand een claim indient die je met die zin had kunnen pareren. Helemaal als je collega’s dat ook allemaal doen. Dus een perverse prikkel om het zo eenzijdig mogelijk te houden.

Wel vraag ik me af of de auteurs gelijk hebben als ze hier een sinistere opmars van beperkende maatregelen menen te bespeuren. Zouden bedrijven echt redeneren, oei, dat recht een backup te maken is gevaarlijk voor ons businessmodel, kan dat even uitgesloten worden in de licentie? Ik heb heel sterk het gevoel dat dit soort dingen semi-automatisch door de jurist zelf worden ingevuld. Je wilt er toch iets van maken, en consumentenrechten uitsluiten waar dat kan, is dan toch een beetje je werk. Maar ik geloof niet dat dat na zorgvuldig overleg op directieniveau is verzonnen. Ook de directie leest de EULA niet.

Maar uiteindelijk maakt dat niet heel veel uit. Het eigenlijke punt blijft staan: door al die EULAs verandert de online markt wezenlijk ten opzichte van de offline. Als ik een boek koop, mag ik het doorverkopen of ermee doen wat ik wil. Als ik een e-book ‘koop’, krijg ik een beperkte licentie die me verbiedt het werk te reproduceren tenzij wettelijk toegestaan, die opmerkt dat het slechts op één apparaat geïnstalleerd mag worden, me bij de gratie gods een backup laat maken (“Doch uitsluitend indien technisch noodzakelijk voor een goede werking van het Werk”), ALLE AANSPRAKEN OP CONFORMITEIT EN JUISTHEID UITSLUIT BEHOUDENS EN VOOR ZOVER IN UW JURISDICTIE ANDERS IS BEPAALD DOCH IN IEDER GEVAL TOT MAXIMAAL HET AANSCHAFBEDRAG OF 5 DOLLAR, WELK MAAR MINDER IS. Sorry, ik liet me even gaan.

Wat is de oplossing? Daar ben ik nog niet uit. Standaardregels in de wet lijken me een goed begin, maar het is geen panacee. Als we vastleggen dat digitale producten net zo mogen worden behandeld als fysieke, en een aantal van de grofste clausules op een zwarte lijst zetten (net zoals bij consumentenkoop de grijze en zwarte lijst), dan zouden we al een heel eind puin ruimen. Maar ik betwijfel of het genoeg is.

Arnoud

Help, mijn persoonsgegevens zijn gelekt, wat nu?

Geplaatst op in Privacy, 17 reacties

persoon-persoonsgegeven-veilig-hek-beschermd-lek-dataEen lezer vroeg me:

Je hebt regelmatig aandacht besteed aan datalekken, maar vanuit het perspectief van een slachtoffer wilde ik toch wat vragen. Afgelopen zaterdag informeerde mijn werkgever me dat mijn adres en BSN op straat ligt door een fout van een ingehuurd bedrijf. Maar meer dan “de kans op fraude is laag” en dat ik goed op mijn rekening moet letten zie ik niet. Kan ik hier juridisch wat mee?

Helaas komen datalekken erg vaak – te vaak – voor. Gelukkig niet altijd van deze omvang. Je zou hopen dat die nieuwe wet hier snel verandering in brengt.

Een bedrijf is verplicht datalekken te melden bij de toezichthouder, en bij vermoedelijke negatieve gevolgen ook bij betrokkenen zelf. Die brief is dus op zich terecht verstuurd. De brief moet ook vermelden wat “de aanbevolen maatregelen om de negatieve gevolgen van de inbreuk te beperken” zijn (art. 34a lid 3 Wbp).

De tekst van die brief doet wat plichtmatig aan. Dat kan ik zelf ook wel bedenken, dat ik goed moet gaan uitkijken. Maar ja, heel veel meer dan “let op je creditcard” en “log regelmatig overal even in om te zien of niemand met je bsn identiteitsfraude heeft gepleegd” kan ik ook niet bedenken. Want er ís niet veel meer dat je kunt doen als consument.

Ja, heb je concreet nadeel van dit datalek dan is dat te verhalen. Schending van de Wbp is een onrechtmatige daad, en wie die pleegt moet de schade vergoeden. Dit even los van boetes die de toezichthouder oplegt. Alleen, wat is je schade bij een privacyschending? Welk getal zet je op de tijd en het gedoe met je energiemaatschappij of zorgverzekeraar omdat een grapjas bijvoorbeeld je contract heeft opgezegd?

Ik zou graag positiever zijn maar helaas is het best wel slecht geregeld voor mensen die getroffen worden door een datalek.

Arnoud