Ius Mentis

Via Reddit:

Six weeks ago, a coworker messaged me he wanted to talk to me in private, and told me HR files were online and unprotected. He sent me the website with the unprotected files, and I went to the website and downloaded the files on my work PC and my private desktop at home, just to confirm it was actual protected data that was at risk of getting leaked. …

HR told me they wanted to speak to me and they questioned me about what happened with a lawyer present. Afterwards, they told me I had two options, either leave the company or they would fire me. If I left the company, they said they wouldn’t press charges. Otherwise, they said I could get a fine of up to 100k euros and a prison sentence of 6 months up to two years based on GDPR laws.

Uit de discussie blijkt dat deze bestanden met persoonsgegevens ergens in de bedrijfsomgeving voor iedereen toegankelijk waren. Wel moest je ingelogd zijn met je werknemersaccount, en je moest maar net weten wat de (niet te raden) URL precies was. Dat klinkt wel als een stukje gebrekkige beveiliging.

Is het handig zoiets te doen? Nee, maar tegelijk snap ik wel dat je toch even wil kijken als je zoiets raars tegenkomt. Ik zou alleen wél verwachten dat je daarna aan de bel trekt bij de CISO, FG of je manager en daarna de gegevens wist. Je wenkbrauwen optrekken en wat anders gaan doen (en de bestanden laten staan) is, hoe zeg je dat, niet aan te raden.

De reactie van het bedrijf is ook weer enigszins overtrokken. Allereerst kun je iemand op grond van een datalek veroorzaken al niet ontslaan, laat staan iemand die alleen kéék naar een datalek. Ten tweede is het volstrekt idioot en actief onwaar dat je als werknemer een wettelijke boete of celstraf kunt krijgen als je de AVG overtreedt.

De enige die een boete kan krijgen, is het bedrijf zelf. Heel misschien kom je uit bij persoonlijke aansprakelijkheid van de directie, maar afgezien daarvan zijn er geen personen die boetes kunnen krijgen. Mogelijk dat men hier indirect dreigde met aangifte voor computervredebreuk. Maar nog steeds: zwáár overtrokken reactie.

Desondanks natuurlijk buitengewoon vervelend om in zo’n situatie te komen. De kans is groot dat hoe je dit geschil ook vlot trekt, de werkrelatie blijvend verstoord is. Daar is alleen geen juridisch antwoord op.

Arnoud

De Deense privacytoezichthouder Datatilsynet heeft fitnessketen Sporting Health Club berispt voor het invoeren van toegang door middel van gezichtsherkenning. Dat meldde Security.nl vorige week. De kern: je moet héél duidelijk zijn over de alternatieven en die als gelijkwaardig presenteren.

De sportschool wilde 24/7 open zijn, maar kon (of wilde) niet altijd personeel daar aanwezig laten zijn. De oplossing is dan vaak biometrie, in dit geval gezichtsherkenning, om naar binnen te mogen.

Onder de AVG is biometrie voor authenticatiedoeleinden een moeilijke optie, omdat het een zwaar middel is. De sportschool koos dan ook voor de grondslag van toestemming, waarmee je de complicaties van de andere grondslagen omzeilt. Alleen moet die dan wel vrijwillig worden gegeven, en deel daarvan is dat er een equivalent alternatief is.

Dat ging hier niet helemaal goed:

De Deense Autoriteit voor Gegevensbescherming is van oordeel dat het feit dat u tijdens de openingstijden van de receptie de mogelijkheid heeft om via persoonlijke service in te checken bij de receptie tijdens de openingstijden van de receptie op zichzelf niet als een soortgelijk alternatief kan worden beschouwd, aangezien u daardoor beperkt wordt in uw toegang tot het centrum vergeleken met wanneer u toestemming geeft voor gezichtsherkenning.

Tijdens de bemensde openingstijden binnengelaten worden is niet hetzelfde als 24/7 automatisch naar binnen kunnen. Maar omdat er ook een optie was om op ieder moment (24/7 dus) een externe ondersteuning te bellen die je dan binnenlaat, was uiteindelijk het alternatief toch equivalent.

Alleen, dat alternatief was niet duidelijk aangegeven bij de toestemmingsvraag. Die was op zich uitdrukkelijk en expliciet genoeg over wat er zou gebeuren met je gegevens (niets raars, overigens), maar die moet dus ook benoemen wat er gebeurt als je géén toestemming geeft.

Arnoud

 

Heeft een erfgenaam recht op toegang tot het Facebookaccount van een overledene, in het geval dat de overledene op grond van het beleid van Facebook geen keuze heeft gemaakt over wat er met het account moet gebeuren na overlijden? Die vraag moest de rechtbank Amsterdam recent beantwoorden, en dat deed ze met een genuanceerd “ja”.

De zaak werd aangespannen door de achtergebleven echtgenoot (gp) van een overledene van 31 jaar. De overledene had sinds 2010 een Facebookaccount, maar nooit aangegeven wat ze wilde dat daarmee zou gebeuren na overlijden. Op verzoek is het account veranderd naar de zogeheten ‘herdenkingsstatus’, maar daarna was inloggen onmogelijk, net als het lezen of downloaden van chats en andere content.

Net als bij die Hotmail-zaak uit 2021 benadert de rechter het hier vanuit het erfrecht. Dat kent het begrip ‘saisine’:

“[D]e regel dat de erfgenamen in beginsel de positie van de erflater ‘voortzetten’, hoort zowat tot de eerste lessen van iedere cursus erfrecht.” Concreet hier dus: toen deze man overleed, werden zijn erfgenamen (kennelijk ouders en zus) de rechtsopvolger onder het contract met Microsoft waaronder deze de diensten Hotmail en OneDrive aan hem leverde. (Niet eigenaar van het account, accounts bestaan juridisch niet.)

Een overeenkomst kán niet-erfbaar zijn, als dat uitdrukkelijk is geregeld en past bij de aard van de overeenkomst. En dat is hier anders dan in die oudere zaak, omdat Facebook nadrukkelijk de optie kent van een niet-actieve herdenkingsstatus:

Als het recht op actief gebruik zou overgaan op een erfgenaam, dan zou dat betekenen dat de erfgenaam het Facebookaccount van de overledene onder de naam van de overledene zou kunnen voortzetten. Het persoonlijke karakter van de overeenkomst staat daaraan in de weg. Zo volgt uit artikel 3.1 van de Facebook Servicevoorwaarden dat ieder account moet zijn verbonden met een specifiek individu. Overgang van het recht op actief gebruik van een Facebookaccount verdraagt zich niet met het persoonlijke karakter van een Facebookaccount en met de gepersonaliseerde aard van de dienstverlening op Facebook.

Echter, wat wél is overgegaan is het recht op inzage of toegang tot de gegevens die horen bij het account. Alleen, dan kom je bij de persoonlijke levenssfeer en dataprotectierechten van anderen terecht, zoals de chatpartners van de overledene. Daarover is in Duitsland al wat geprocedeerd, en de Duitse rechter laat daar doorschemeren dat je hier rekening mee moet houden (bij e-mailaccounts).

Anders dan [eiser] heeft gesteld, kan niet worden aangenomen dat derden die op Facebook hebben gecommuniceerd met [naam] er rekening mee hebben kunnen of moeten houden dat erfgenamen van [naam] toegang zouden kunnen krijgen tot de gegevens die die derden met [naam] hebben gedeeld. Derden mogen in beginsel ervan uitgaan dat in één-op-één contact via Facebook uitgewisselde informatie vertrouwelijk is.

Belangrijk hierbij is dat de Facebook-documentatie duidelijk aangeeft dat privécommunicatie privé is. Bovendien is Facebook an sich meer privé dan e-mail:

Een Facebookaccount onderscheidt zich van een e-mailaccount vanwege de persoonlijke(re) aard van de communicatie via een Facebookaccount. Ook onderscheidt de communicatie via een Facebookaccount zich van de inhoud van fysieke dagboeken en brieven, in die zin dat het bij fysieke dagboeken en brieven een bewustere keuze is om gedachten en communicatie op die manier fysiek aan het papier toe te vertrouwen én om de inhoud daarvan bij leven te bewaren (of weg te gooien). Dat laatste is bij de inhoud van communicatie via een Facebookaccount veel minder het geval: dergelijke communicatie wordt vaak automatisch (ook voor langere perioden) bewaard zonder dat de gebruiker daar iets voor hoeft te doen.

Wat er precies persoonlijk(er) is aan een Facebookaccount dan een mailbox zie ik niet helemaal. Mogelijk is het de combinatie van soorten content (chats, foto’s, vindikleuks, verbindingen) die een totaalplaatje van iemand geven, ten opzichte van – bij de meeste mensen – een berg met 27.381 berichten waar je met zoekopdrachten probeert die ene mail in terug te vinden.

Toch ziet de rechter wel een geitenpaadje voor de man, die immers met name informatie uit het account wilde om de situatie rond de zelfdoding van de partner te kunnen reconstrueren. Hij krijgt dan ook wél toegang tot alle gegevens die geen persoonsgegevens van derden zijn.

Een complicatie die ik daarbij meteen zie, is wat dat precies betekent in de context van chats. Mijn gevoel is dat de rechter hier denkt aan het weglaten van namen van chatpartners, maar een chatbericht met datum (zeker in de context van een langdurige chat) lijkt me ook zonder naam wel een persoonsgegeven. Al was het maar omdat Facebook de berichten weer kan herleiden tot een persoon.

Arnoud