Wat moet ik met een dagvaarding over een bestelling die ik niet gedaan heb?

Geplaatst op in Ondernemingsvrijheid, 14 reacties
Photo by rupixen on Unsplash

Een lezer vroeg me:

Ik ben daarnet gedagvaard wegens het niet-betalen van een rekening van een webwinkel. Probleem: ik heb daar nooit wat besteld, het lijkt erop dat iemand mijn naam en adres heeft gebruikt en via achterafbetaling het product heeft besteld. Kan ik dit negeren omdat het niet over mij gaat, of moet ik hier wat mee?
Eh ja, hier moet je wat mee. Als je gedagvaard wordt, dan gaat een rechter naar de zaak kijken. En als die oordeelt dat de winkel gelijk heeft, dan moet jij betalen. Als je dán pas met tegenargumenten komt, is dat rijkelijk laat.

Wel is het specifiek bij consumentenzaken zo dat de rechter een aantal dingen standaard (“ambtshalve“) onderzoekt, ook als niemand daar over begonnen is. Maar navragen bij de aangeklaagde partij “heeft u dit echt gekocht” gebeurt alleen als die er ook bij is.

Natuurlijk is het voor jou vrij lastig aan te tonen dat je iets niet besteld hebt. Maar dat hoeft ook niet: de winkel moet aantonen dat jij het wél besteld hebt. Zaken opgegeven bij de bestelling wegen daarin mee, maar als dat alleen algemene dingen zijn als je naam en adres dan is dat zeker niet overtuigend. Zie dit vonnis uit 2023:

Dat er bepaalde gegevens zijn ingevuld bij het plaatsen van een bestelling leidt er daarmee niet direct toe dat [gedaagde] de contractspartij is. Het had op de weg van [eiser] gelegen om na het ingediende verweer van [gedaagde] (aanvullende) gegevens te overleggen waaruit volgt dat [gedaagde] de bestelling wel degelijk heeft geplaatst (en in ontvangst heeft genomen) in plaats van te verwijzen naar hetgeen in de dagvaarding is gesteld. Bijvoorbeeld met een afschrift van de daadwerkelijke orderbevestiging of bewijs waaruit blijkt dat de bestelling is bezorgd op het adres waar [gedaagde] stond ingeschreven.
Iets dergelijks oordeelde ook de rechtbank Rotterdam diverse keren.

Een belangrijke vraag zal zijn waar het pakket is. Ga dus goed na of je écht niet iets gehad hebt op de in de dagvaarding genoemde datum. Je zult de eerste niet zijn die dacht iets voor de buren aan te nemen terwijl jouw huisnummer er op stond. (Een bekende truc is laten afleveren bij nummer 15 en dan met “excuses van nummer 51, typefout” het pakket daar ophalen.)

Hier en daar lees ik dat je wel kunt klagen over identiteitsfraude maar dat men dan eist dat je eerst aangifte gaat doen. Krijg het rambam denk ik dan, en met mij de rechtbank Midden-Nederland.

Arnoud

 

 

Kassa’s Delhaize selecteren door bug producten die klanten niet hebben gekocht

Geplaatst op in Internetrecht, 15 reacties
Photo by Tim Samuel on Pexels

Het kassasysteem van de Belgische supermarktketen Delhaize slaat al maanden producten aan die klanten helemaal niet hebben gekocht. Dat meldde Tweakers vorige week. Door een scaninterpretatiefout betalen klanten soms tot tientallen euro’s extra voor een product dat ze niet hebben ontvangen. Hoe zit dat juridisch?

Bij de VRT weten ze meer. De kern van het probleem is dat er naast de gewone streepjescode ook een datamatrix op veel producten staat.

Wanneer de codes langs het oog van een zelfscan of kassa passeren, registreert het systeem van Delhaize soms niet alleen het echte product. De software linkt de datamatrix tegelijkertijd aan een willekeurig product uit het assortiment. Dat extra bedrag verschijnt dan mee op het kasticket. Wanneer jij of een kassamedewerker het probleem niet opmerkt, ga je als klant soms tientallen euro’s lichter naar huis.
Hoe dit precies misgaat, is mij niet duidelijk. De code uit een datamatrix is zeer zeker niet hetzelfde als een EAN-13 uit een gewone streepjescode. Maar goed, het gebeurt en als je het pas thuis merkt, dan wordt het ingewikkeld.

Puur juridisch-theoretisch: je hebt die krat Jupiler niet gekocht, je had alleen een zuurstok in je mandje. Dus was je nooit die prijs van die krat verschuldigd maar slechts vijftig cent. Delhaize moet het verschil dan terugbetalen, net als bij ons heet dat een onverschuldigde betaling.

Praktisch: bewijs het maar. Want er zullen er dan genoeg zijn die met de kassabon met daarop die krat aangeslagen teruggaan en stellen dat ze een zuurstok gekocht hadden en thuis pas merkten 15 euro te hebben betaald. (Het kan, je had haast en je pinde zonder te kijken.)

Helaas geeft het bewijsrecht hier geen nadere regels voor. Vanuit de hoofdregel is de conclusie dat jij als consument moet bewijzen onverschuldigd betaald te hebben (want jij beroept je op het rechtsgevolg, namelijk geld terug).

Je komt natuurlijk meteen in bewijsnood. Maar daar is niet zo veel aan te doen, tenzij duidelijk is dat het bij bepaalde producten systematisch misgaat. Dan is er misschien een sympathieke rechter te vinden die dan oordeelt dat een winkel die zo’n softwarefout heeft, de gevolgen daarvan moet dragen. Maar een automatisme is het niet.

Arnoud

 

Meta krijgt 200 miljoen euro boete voor ‘betaal of oké’ model Facebook

Geplaatst op in Privacy, Regulering, 23 reacties
Photo by Pixabay on Pexels

De Europese Commissie heeft Meta een boete van 200 miljoen euro opgelegd wegens het overtreden van de Digital Markets Act (DMA) met het ‘betaal of oké’ model op Facebook en Instagram. Dat meldde Security.nl vorige week. Dit lijkt het finale doek voor de strategie waarbij je óf een betaald abonnement neemt óf toestemming voor toegang tot je dienst.

In 2023 oordeelde het Hof van Justitie inzake Meta dat het mogelijk moet zijn om toestemming voor tracking in te tracken, sorry trekken, zonder dat je geheel uit de dienst werd gegooid. Er moet een alternatief komen, desnoods tegen een gepaste vergoeding, waar geen tracking in zit:

Thus, those users must be free to refuse individually, in the context of the contractual process, to give their consent to particular data processing operations not necessary for the performance of the contract, without being obliged to refrain entirely from using the service offered by the online social network operator, which means that those users are to be offered, if necessary for an appropriate fee, an equivalent alternative not accompanied by such data processing operations.

Cruciaal hierbij was dat Meta een enorme machtspositie heeft, zodat argumenten van het soort “dan gebruik je het toch gewoon niet” niet opgaan. Meta kwam daarop met een dubbele constructie die men “Pay or consent” noemde: of je betaalt geld, of je betaalt met je persoonsgegevens. Bekt lekker, maar was direct problematisch. Want de AVG eist dat er geen nadeel mag zitten aan het weigeren van toestemming, en ineens moeten betalen terwijl de buurman gratis mag, dat voelt wel nadelig (zeker voor Nederlanders).

Ik blogde toen:

Als ik terugga in waar die term “detriment” of “nadelig gevolg” vandaan kom, dan kom ik bijvoorbeeld bij WP 187 van wat nu de EPDB is. Hieruit haal ik dat iets nadelig is als het zeg maar bestraffend is, je afschrikt die optie te kiezen. Dit halen ze uit eerdere papers over consent bij medische zaken (bij weigering consent geen behandeling, WP 131) en bij het werk (WP 48, bij weigering geen promotie/nieuwe baan).
Helaas komt er geen fundamenteel criterium, maar wordt “als je elke dag op Facebook moet, dan is betalen een vorm van nadeel” als waarheid geponeerd:
Data subjects may suffer detriment if it becomes impossible for them to use a service that is part of their daily lives and has a prominent role.
Let ook op de “may”, die met z’n vriendje “might” regelmatig terugkomt in dit stuk van de analyse. Alles kan – koffie kan, thee kan – maar is dit een theoretische zijsprong of gaat dit over 90% van de gevallen?

Nu is er dus een boete voor deze constructie, zij het opgelegd onder de DMA omdat die het directst toepasbaar is bij het machtige Meta. Het probleem was dat

… it did not give users the required specific choice to opt for a service that uses less of their personal data but is otherwise equivalent to the ‘personalised ads’ service. Meta’s model also did not allow users to exercise their right to freely consent to the combination of their personal data.
Gezien Meta’s macht had zij dus voor een gratis-zonder-tracking versie moeten zorgen naast de betaalde versie. Specifiek omdat de DMA (artikel 5(2) om precies te zijn) dat nadrukkelijk voorschrijft. Dit is dus géén algemene regel die uit de AVG voortvloeit.

Meta heeft in de tussentijd een alternatief opgetuigd met minder tracking. Deze is nog in onderzoek.

Arnoud

Zorgtoezichthouder krijgt gelijk van rechter: geen schending privacy ggz-patiënten

Geplaatst op in Privacy, Regulering, Security, 2 reacties
Photo by Tim Cooper on Unsplash

De Nederlandse Zorgautoriteit (NZa) heeft met het verzamelen van gedetailleerde persoonlijke gegevens niet de privacy geschonden van ongeveer 800.000 patiënten in de geestelijke gezondheidszorg. Dat meldde de NOS vorige week. Ook andere wetgeving is niet in gevaar gebracht, zo oordeelde de rechtbank Midden-Nederland.

In 2023 werd de toezichthouder in een collectieve procedure door diverse stichtingen aangeklaagd. Zij wilden dat de NZa zou stoppen met het opvragen van informatie over de gezondheidssituatie van individuele cliënten in de geestelijke gezondheidszorg bij hun behandelaren en ook met het verwerken van die gegevens, omdat dit het recht op privacy en het medische beroepsgeheim schendt.

Waar gaat het om? Het tussenvonnis uit 2024 (dat ging over de ontvankelijkheidsvraag van de eisers) legt uit:

Op 1 januari 2022 is er een nieuw bekostigingsstelsel voor de geestelijke gezondheidszorg en forensische zorg ingevoerd. Dat is het zorgprestatiemodel. In dat model wordt gewerkt met een systeem van ‘zorgvraagtypering’. Met de zorgvraagtypering wordt de zorgvraag van cliënten in kaart gebracht en wordt er een verband gelegd tussen de zorgvraag en de mogelijke behandelwijzen.
Behandelaren vullen hiervoor zogenoemde HoNOS+-vragenlijsten in, met allerlei scores over sociale en mentale problemen. Met de ingevulde lijsten kan een algoritme worden geijkt en worden de zorgvraagtyperingen ingedeeld. Bij dat laatste ontstond discussie: dat zijn toch bijzondere (medische) persoonsgegevens, hoezo mag de NZa dat opvragen en hergebruiken?

De rechtbank oordeelt nu dat hier sprake is van anonieme gegevens:

De gepseudonimiseerde declaratiegegevens die de NZa ontvangt zijn daardoor geen direct herleidbare persoonsgegevens meer. Hooguit zijn deze declaratiegegevens dan nog indirect herleidbaar,(…)

Drie werknemers van de NZa hebben toegang tot de HoNOS+-gegevens. Van die drie werknemers hebben twee werknemers ook toegang tot de gepseudonimiseerde declaratiegegevens. … [Z]elfs al zouden de twee werknemers binnen de NZa de HoNOS+-gegevens koppelen aan declaratiedata, dat het voor de NZa redelijkerwijs niet mogelijk is om de gegevens te herleiden tot individuen. Doordat de declaratiedata door hashing zijn gepseudonimiseerd, zijn ze versleuteld. De NZa kan deze gegevens niet ‘ontsleutelen’. Zij beschikt namelijk niet over de sleutel om de hashing, en daarmee de pseudonimisering, ongedaan te maken. Ook heeft zij – zoals de NZa heeft aangevoerd – niet de benodigde quantumcomputer om deze hashing te ‘kraken’, omdat die computer simpelweg nog niet bestaat.

De discussie over anoniem versus pseudoniem heeft er dus weer een ronde bij. De verwijzing naar quantumcomputers is wel een leuke: regelmatig wordt gespeculeerd dat deze nieuwe technologie in staat zal zijn om alle bestaande encryptie en hashing te kraken, in de zin dat deze triviaal ongedaan te maken is. Daarbij hoort de filosofische vraag of gegevens dan nu anoniem zijn als ze in de toekomst herleidbaar worden.

Iets concreter is: wat als de NZa wordt gehackt en de brongegevens worden buitgemaakt, waarna de aanvaller alles combineert en de gegevens blootlegt. Maakt dat de gegevens persoonsgegevens? Ja, dan wel. Maar niet nu al. Dat is dus op zichzelf geen redelijk middel om tot herleiding te komen.

In dit specifieke geval geldt overigens dat bij een mogelijke hack bij de NZa de HoNOS+-gegevens anoniem blijven en de declaratiegegevens versleuteld. Ook voor een hacker zal het daardoor technisch gezien vrijwel onmogelijk (en in ieder geval verboden) zijn om de gegevens te herleiden tot individuen, omdat hij dan meerdere partijen zou moeten hacken.
Meer algemeen is er nog de discussie over patiëntprivacy, want ook als je heel formeel de gegevens anoniem noemt, blijft het een verplichting voor patiënten om zeer gevoelige informatie af te staan aan een grote, onzichtbare organisatie.

Net als bij de EHDS van gisteren is de conclusie hier: dat zit wel goed, want het is uitgebreid onderzocht en gemotiveerd, en bovendien verbonden aan een wettelijke regeling. Dat moet genoeg zijn in een democratische samenleving.

Hetzelfde geldt voor het medisch beroepsgeheim: ook dat mag worden doorbroken als dat wettelijk geregeld is, en die regeling op zichzelf maatschappelijk aanvaardbaar is. Daar heeft de wetgever over nagedacht en een redelijke afweging gemaakt, dus ook dat is in orde.

Arnoud

Kan de European Health Data Space zomaar je patiëntenrechten opzij zetten?

Geplaatst op in Privacy, Security, 12 reacties
Photo by Tim Cooper on Unsplash

De European Health Data Space Verordening (EHDS) zorgt voor een wijziging van het medisch beroepsgeheim zoals we dat nu in Nederland kennen. Dat meldde Security.nl onlangs. Diverse lezers schreven me met grote zorgen over, omdat dit een enorme inperking is van je rechten als patiënt. Kan Europa dit zomaar doen, was de teneur.

De recent aangenomen European Health Data Space is een Europese wet (een verordening) die hergebruik van medische persoonsgegevens regelt. Dit gaat met name over patiëntdossiers en zogeheten secundair gebruik van gezondheidsgegevens, zoals voor wetenschappelijk onderzoek. Ook krijgen patiënten daarbij specifieke rechten.

De EHDS is er niet zonder discussie gekomen. Een belangrijk punt is dat de wet een vorm van opt-out kent, in plaats van opt-in oftewel toestemming zoals nu uit de AVG volgt. Ook is er kritiek dat de wet eigenlijk alleen gaat over gegevensbescherming, en meer abstracte zorgen over privacy en patiënten niet adresseert. Zeker bij medische gegevens kan het ook gewoon een inbreuk op je privacy zijn als die anoniem rondzwerven.

Formeel-juridisch is er niets mis met de EHDS. Deze is volgens de normale Europese processen als wetsvoorstel ingediend, behandeld en uiteindelijk aangenomen. In het Europees Parlement stemden 445 leden voor en 142 tegen, wat toch een ruime meerderheid is ten opzichte van de 720 mensen dat het orgaan telt. Stemmingen over wetten hoeven nooit unaniem te zijn, ook niet als de wet iets regelt over grondrechten zoals toegang tot persoonsgegevens.

De EHDS is een verordening, dus er komt geen aparte implementatiewet. Net als de AVG geldt deze gewoon – vanaf 26 maart 2027, om precies te zijn. Je kunt haar rechten dan direct inroepen.

Het gaat om medische persoonsgegevens, veel gevoeliger dan dat is er niet. Kan dat dan überhaupt wel, een wet maken die het delen en verspreiden daarvan toestaat? Jazeker, want dit grondrecht is niet zo keihard als bijvoorbeeld het slavernijverbod. Als er een duidelijke maatschappelijke behoefte is én de wet adequaat rekening houdt met de belangen van betrokken mensen, dan kan de wet regelen hoe zo’n grondrecht wordt “ingeperkt”, oftewel “legaal geschonden” zo je wilt.

Op papier ziet de EHDS er prima uit. Zo eist artikel 86 dat je een “bijzonder hoog niveau van bescherming en beveiliging” van deze gegevens moet krijgen, en bevat artikel 73 een trits specifieke maatregelen. Dat wordt verbonden aan cybersecuritystandaarden waartegen getoetst kan worden. Maar iedere norm is zo zwak als haar implementatie, dus een datalek is niet uit te sluiten.

Het is mogelijk om de EHDS bij de rechter ter discussie te stellen, net zoals Max Schrems bij diverse aspecten van de AVG doet en in Nederland ooit is gebeurd met onze wet bewaarplicht. Dat vereist alleen wel een heel diepgravend betoog van het hoe en waarom. Enkel een paar abstracte bezwaren stellen en hypothetische zorgen opwerpen gaat niet genoeg zijn.

Arnoud

Maak op tijd bezwaar tegen trainen van Meta AI met jouw data, moet dat?

Geplaatst op in Privacy, Regulering, 13 reacties
Photo by Idi Parinduan on Pexels

Mensen die niet willen dat hun gegevens worden gebruikt om de AI van techbedrijf Meta te trainen, hebben nog tot 27 mei de tijd om daar bezwaar tegen te maken. Dat meldde Nu.nl gisteren, op gezag van de Autoriteit Persoonsgegevens.

Vanaf 27 mei gaat het bedrijf de gegevens van gebruikers van  Meta-diensten Facebook en Instagram inzetten om haar AI-model mee te trainen. Bezwaar maken is in ieder geval de snelste methode om hier wat tegen te doen.

Het kan via het bezwaarformulier van Instagram of dat van Facebook. Wie niet kan of wil inloggen, zo ziet het eruit en het lijkt er op dat een AI je bezwaren leest dus gebruik termen als “EU burger”, “GDPR”, “objection” voor een snelle approval.

Maar moet het ook? Je zou zeggen dat hier toestemming nodig is, gezien het gaat om persoonsgegevens. (Auteursrechtelijk ook, maar dat is makkelijker af te dichten in de algemene voorwaarden dus pech gehad wat dat betreft.) Onder de AVG is toestemming (consent) niet de enige grond, en Meta is gaan zitten op de alternatieve grondslag van gerechtvaardigd belang.

Daarbij is opt-out (artikel 21) een verplichting, zij het dat je die moet onderbouwen met persoonlijke omstandigheden. Vandaar de naam van dat veld op het formulier.

Meer algemeen is het een open vraag – ook na de Guidelines van eind vorig jaar – of legitiem belang in te roepen is bij de toepassing “hergebruik voor trainen taalmodel”. In juni blogde ik hierover toen Meta haar plannen voor het eerst bekend maakte:

[Dat ondernemen een legitieme activiteit is] betekent [niet] dat het dus mág, want bij gerechtvaardigd belang hoort een afweging. Zo zien de Europese toezichthouders (verenigd in de EDPB) het ook: in principe moet dit kunnen, maar je moet wel een goede belangenafweging hebben, zo vat ik het maar even samen. Daarbij weegt zwaar wat mensen redelijkerwijs mochten verwachten. Gezien de ophef bij Meta kun je daar dus wel vraagtekens bij stellen.
Helaas is er nog geen toezichthouder die concrete stappen heeft genomen, wat gezien de tijdsspanne tussen vorig jaar juni en nu toch wel had gemogen.

Arnoud

 

 

Ik kan met Docusign nooit mijn handtekening zetten, is dat toch rechtsgeldig?

Geplaatst op in Ondernemingsvrijheid, 27 reacties

Een lezer vroeg me:

Laatst moest ik weer een handtekening zetten met zo’n online ondertekendienst. Ik krijg het noch met mijn muis noch met mijn vinger voor elkaar om iets te maken dat zelfs maar lijkt op wat in mijn paspoort als handtekening staat. Hoe is dit rechtsgeldig?
Een zogeheten geavanceerde elektronische handtekening is rechtsgeldig niet omdat deze op je paspoort lijkt, maar omdat deze onlosmakelijk verbonden is met jouw identiteit en het document waar deze op staat. Dat is grofweg wat de wet (de eIDAS verordening) hierover zegt.

Veel online tools – zoals DocuSign, dat ik in de titel noemde – geven je de optie om een echte ’tekening’ te maken, om het gevoel te simuleren dat je krijgt bij het zetten van een natte of analoge handtekening. Maar meer dan dat is het niet. Je kunt vaak net zo goed een gestileerde versie van je voor- en achternaam laten verschijnen.

Een juridisch weetje dat maar weinigen weten, is dat er nergens in de wet staat dat je handtekening moet lijken op je “officiële” zoals in je paspoort of identiteitskaart staat. Sterker nog, er is geen regeling die iets zegt over wat nou echt je handtekening is.

De wet (art. 159 Rechtsvordering) zegt alleen dat

Een onderhandse akte waarvan de ondertekening door de partij, tegen welke zij dwingend bewijs zou leveren, stellig wordt ontkend, levert geen bewijs op, zolang niet bewezen is van wie de ondertekening afkomstig is. Is degeen tegen wie de akte wordt ingeroepen een ander dan hij die haar ondertekend zou hebben, dan kan worden volstaan met de verklaring, dat men de echtheid van de ondertekening niet erkent.
Een manier om dat in te vullen, is bij het zetten te controleren of de handtekening lijkt op die uit het identiteitsbewijs van de plaatser. Het idee is dan dat alleen die persoon die kan plaatsen (niet lachen daar achterin), zodat je bewijs hebt dat de ondertekening afkomstig is van de persoon met die identiteit.

Even los van de sterkte van dit argument is dit natuurlijk niet de enige manier om bewijs tegen zo’n ontkenning te leveren. Een getuige die je de handtekening zag zetten en je daarbij herkende is ook een prima manier om bewijs te geven dat een ondertekend geschrift (akte) door jou ondertekend was. (Als die getuige werkt bij de wederpartij, ligt dat iets subtieler want die wordt als partijdig gezien.)

Arnoud

 

Telecom- en internetabonnement opzeggen is vaak lastig, ACM start onderzoek

Geplaatst op in Ondernemingsvrijheid, 5 reacties
Photo by Markus Winkler on Unsplash

De Autoriteit Consument & Markt ontvangt veel klachten over telecom- en internetaanbieders die het onnodig moeilijk maken om een abonnement op te zeggen. Dat meldde Nu.nl vorige week. Vaak gaat het over de “eis” dat je alleen telefonisch mag opzeggen, wat “tegen de regels” is volgens de site. Laten we daar eens juridisch naar kijken.

De telecomtoezichthouder verduidelijkt:

Verschillende providers presenteren op hun website alleen de mogelijkheid om telefonisch op te zeggen. Dat is tegen de regels. “Als mensen willen opzeggen of overstappen, mag dat niet worden bemoeilijkt”, onderstreept directeur Edwin van Houten van de ACM. “Als je het abonnement online kunt aangaan, moet je het ook online kunnen opzeggen.”
Voornaamste reden voor dat telefonisch opzeggen is dat je dan speciaal getrainde mensen aan de lijn krijgt die hun best gaan doen om jou te laten blijven. Wil je korting, dan is opzeggen dus een goede truc. Maar wil je van je abonnement af, dan is dit heel frustrerend.

De laatste zin van het citaat van Van Houten vinden we terug in de wet bij de zwarte lijst van verboden algemene voorwaarden, art. 6:236 punt o BW:

[Verboden is een beding] dat de bevoegdheid van de wederpartij om de overeenkomst, die mondeling, schriftelijk of langs elektronische weg tot stand is gekomen, op een overeenkomstige wijze op te zeggen, uitsluit of beperkt.
Je hebt dus het recht om op dezelfde wijze op te zeggen als waarmee je het contract sloot. Meestal sluit je telefonie- of internetabonnementen via de site, dus moet dat ook via zo’n zelfde kanaal kunnen. Eisen dat je belt, is dus niet mogelijk.

Wat ook niet toegestaan is, is randvoorwaarden verbinden aan hoe je de mededeling van opzegging doet. Als jij de mededeling bij de provider afgeleverd krijgt, is dat bindend.

Natuurlijk moet jij bewijzen dat het bericht bij hen is aangekomen, en daarvoor is meer nodig dan dat hij in jouw map verzonden zit. Maar “sorry, deze opzegging kunnen wij niet accepteren want dat moet telefonisch” is wél duidelijk bewijs, want hieruit blijkt dat de opzeggingsmededeling is aangekomen.

Arnoud

 

 

Kun je met uitzetten van 2FA aansprakelijk zijn voor frauduleuze banktransacties?

Geplaatst op in Ondernemingsvrijheid, Security, 2 reacties

Bunq betaalde in 2024 ruim tien miljoen euro terug aan klanten die slachtoffer werden van phishing. Dat meldde Tweakers vorige week. Er zijn vele klachten over het beveiligingsbeleid van de bank, vandaar dat zij haar beleid aanpaste. In de comments kwam een intrigerende vraag voorbij: je kunt de geavanceerde (2FA) beveiligingsmaatregelen uitzetten, maar schept dat aansprakelijkheid?

Bunq paste het beleid aan nadat de NOS en NRC in mei van 2024 concludeerden dat klanten van de bank disproportioneel vaak slachtoffer van phishing werden. Een punt van kritiek is dat bunq minder zou doen om fraude te bestrijden dan andere banken, bijvoorbeeld door 2FA niet te verplichten en minder vaak in te grijpen bij signalen van verdachte transacties.

In de comments bij Tweakers wordt dan gesteld “Ze hebben recent wat aanpassingen gedaan maar gelukkig ook een knop toegevoegd om alle extra beveiligingsdingen meteen weer uit te zetten – en daar zelf het risico voor te dragen.” Dat lijkt te gaan om zaken als de transactielimiet waarbij een extra authenticatie (securitycode of biometrie) nodig is.

Maar word je aansprakelijk als je die limiet sterk verhoogt en daardoor zeg 5000 euro kwijtraakt, terwijl toepassen van die authenticatie dat had kunnen voorkomen?

De juridische basis hiervoor is art. 7:529 BW:

De betaler draagt alle verliezen die uit niet-toegestane betalingstransacties voortvloeien, indien deze zich hebben voorgedaan doordat hij frauduleus heeft gehandeld of opzettelijk of met grove nalatigheid een of meer verplichtingen uit hoofde van artikel 524 niet is nagekomen.
Het idee is dan dat je door te kiezen voor “ik weet wat ik doe” je van ‘opzet’ mag spreken. Alleen gaat ‘opzet’ enkel over wat er in artikel 524 staat:
De betaaldienstgebruiker die gemachtigd is om een betaalinstrument te gebruiken, a.gebruikt het betaalinstrument overeenkomstig de voorwaarden die op de uitgifte en het gebruik van het betaalinstrument van toepassing zijn, en b.stelt de betaaldienstverlener, of de door laatstgenoemde gespecificeerde entiteit, onverwijld in kennis van het verlies, de diefstal of onrechtmatig gebruik van het betaalinstrument of van het niet-toegestane gebruik ervan.
Dus als je de voorwaarden opzettelijk schendt, zoals door je pincode op je pas te schrijven, dan ben jij aansprakelijk voor een onbevoegde pinopname. Maar je transactielimiet is geen voorwaarde.

Het is dan natuurlijk nog steeds mogelijk dat je een andere voorwaarde schond zoals inlogcodes delen. Als dat opzettelijk of met grove nalatigheid gebeurde, kun je nog steeds aansprakelijk zijn voor het verlies.

Gebruik van wat bunq Strong Customer Authentication (SCA) noemt, is wél een voorwaarde. Maar juist die is niet uit te zetten, dat ik kan vinden. Als dat wel zou kunnen, dan zou dat een enorm gat zijn.

Arnoud

Mag een bedrijf mijn gegevens verstrekken aan een enquetebureau?

Geplaatst op in Ondernemingsvrijheid, Privacy, 1 reacties
"Customer satisfaction survey" by Kecko is licensed under CC BY 2.0

Een lezer vroeg me:

Regelmatig krijg ik na contact met een bedrijf allerlei enquêteverzoeken of uitnodigingen te vertellen hoe tevreden je bent etcetera. Dat wordt meestal gefaciliteerd door een extern bureau en niet door het bedrijf zelf. Mag dat eigenlijk wel van de AVG? Ik heb geen idee wat dat bedrijf nog meer doet met mijn gegevens.
In veel gevallen zal zo’n extern bureau opereren als verwerker voor het bedrijf waar je contact mee had. Het delen van de gegevens met het bureau is dan gedekt: het bureau voert een actie uit die het bedrijf ook zelf had kunnen doen, zeg maar.

Dit wordt anders als het bureau de gegevens (waaronder individuele enquêteresultaten) voor eigen doeleinden gaat gebruiken, maar dat kom ik eigenlijk niet tegen.

De vervolgvraag is, mag een bedrijf zelf mensen een enquêteverzoek sturen na een zakelijk contact? Dit is in AVG-termen een discussie over doelbinding. Dat houdt in dat er een concreet, logisch en nauw verband moet zijn tussen het oorspronkelijke doel en de verdere verwerking. En dat de verdere verwerking ook aansluit bij de verwachtingen van de betrokkene(n).

Als ik iets bestel of een dienst afneem, is het vrij logisch dat het bedrijf wil weten hoe dat is gegaan. Dit is ook een algemeen staande praktijk, dus dat voldoet wel aan de (geobjectiveerde) verwachting van de betrokkene. (Het maakt dan voor mij niet uit of het geleverde gratis was of tegen vergoeding.)

Iets meer moeite heb ik met een dergelijk tevredenheidsonderzoek na een meer vrijblijvend contact, zoals een vraag stellen over een product. Ik verwacht niet dat ik na zo’n kort en weinig diepgaand contact ook nog eens vragen over kwaliteit en tevredenheid hoef te beantwoorden. Hetzelfde geldt voor de nieuwsbrief die je er soms extragratis bij krijgt.

Arnoud