Hoe kan ik met SCC’s nou regelen dat de NSA van mijn data afblijft?

Geplaatst op in Privacy, Regulering, Security, 9 reacties

Een lezer vroeg me:

Mocht het Data Privacy Framework (DPF) komen te vervallen, dan schrijft het kabinet dat we kunnen terugvallen op de modelcontractbepalingen (SCC’s) in onze contracten met cloud-providers om de privacy te waarborgen. Echter, hoe kan een contract met een cloud-provider nu zaken opvangen als het inperken van de toegang tot EU-gegevens door Amerikaanse inlichtingendiensten, zoals nu door DPF wordt gedaan?
Het Data Privacy Framework of DPF is een set afspraken tussen de VS en de EU, waarmee een zogeheten “adequaat niveau” van omvang met persoonsgegevens in de VS wordt vastgelegd. Op grond van het DPF is vervolgens door de Europese Commissie gesteld dat de VS een adequaat land is om persoonsgegevens heen te brengen, mits je dat doet binnen de kaders van het DPF.

Recent heeft president Trump leden van het voor het DPF essentieel orgaan, de Privacy and Civil liberties Oversight Board (PCLOB), ontslagen. Hierdoor is er geen quorum meer voor deze board om beslissingen te nemen, zodat ze effectief machteloos is geworden. Daarmee lijkt het DPF niet meer te voldoen aan de afspraken en is de kans groot dat het adequaatheidsbesluit moet worden ingetrokken.

Als dat gebeurt, kun je dus geen persoonsgegevens meer overbrengen naar de VS. Oftewel: geen US clouddiensten gebruiken voor opslag of verwerking daarvan. (Bij Europese dochterbedrijven met datacenters alhier is een ander verhaal.)

Naast dat adequaatheidsbesluit zijn er ook de zogeheten modelcontractbepalingen (SCC’s). Hiermee regel je het zelf: je spreekt met je Amerikaanse wederpartij regels af waarmee zij zich conformeren aan de AVG, kort gezegd. Daaronder valt ook het nemen van maatregelen die AVG overtredingen borgen, zoals het in strijd met de AVG afgeven van persoonsgegevens aan Amerikaanse justitie.

Een terecht punt is hoe je dat doet als de lokale wetgeving je daartoe juist verplicht. Dat punt was even minder relevant, omdat de redenering was dat dóórdat het DPF en het adequaatheidsbesluit er waren je mocht aannemen dat dit niet zomaar zou gebeuren. Een adequaat land mág haar justitie dingen laten vorderen, die kaders zijn gewoon AVG-conform – dat is het punt van het land adequaat achten. Het zit wel goed daar.

Dat argument staat natuurlijk op losse schroeven als dat adequaatheidsbesluit nu ingetrokken wordt door het wegvallen van het DPF. Wat heb je dan nog om te zeggen, mijn Amerikaanse wederpartij kan zich gewoon aan de SCC afspraken houden?

In een recente kamerbrief zegt onze staatssecretaris Digitalisering en Koninkrijksrelaties daarover dat “Mocht het DPF komen te vervallen, dan zal mogelijk middels een DTIA gekeken moeten worden naar de vraag of er (en zo ja welke) aanvullende waarborgen of maatregelen moeten worden genomen om de in de AVG vereiste rechtsbescherming voor natuurlijke personen te waarborgen.” Dat schuift dus het probleem voor ons uit.

Terzijde: Of Amerikaanse inlichtingendiensten stiekem bij data kunnen is volledig irrelevant voor deze discussie. Dat is een beveiligingskwestie, maar staat los van de vraag of je van de AVG je data mág opslaan daar. Die vraag gaat pas spelen als overheidsinstellingen op grond van de wet vorderen dat ze data mogen hebben, dus juridisch in plaats van gewoon praktisch er bij willen. De NSA is hetzelfde als iedere willekeurige indringer van buitenaf.

Arnoud

Welke rol zou AI kunnen spelen bij het opstellen van vonnissen?

Geplaatst op in Regulering, 2 reacties
Photo by Sora Shimazaki on Pexels

De Rechtbank Rotterdam heeft AI ingezet als schrijfhulp bij het opstellen van het strafvonnis, las ik bij Tweakers. AI is niet gebruikt om te helpen met het nemen van de rechterlijke beslissingen zelf, voegt de rechtbank daar snel aan toe, hoewel men wel enthousiast is over de resultaten. Het zette me aan het denken: wat zouden we nog meer kunnen doen met AI zonder gelijk te vallen over de bekende risico’s?

Procedureel was deze proef goed ingericht. Er is gelet op vertrouwelijkheid en integriteit, geen privacygevoelige gegevens of herleidbare feiten ingevoerd en het ging alleen om een schrijfhulp:

De suggesties en formuleringen die door de AI voor de strafmotivering zijn aangedragen op grond van ingevoerde korte algemene feiten en omstandigheden van de zaak zijn zorgvuldig beoordeeld en geselecteerd door de strafrechters en de griffier. Zij hebben daarbij gewerkt volgens de standaard werkwijze, waarin de griffier een concept maakt dat vervolgens door de strafrechters gezamenlijk is aangepast tot de definitieve strafmotivering. Van groot belang is daarbij dat AI geen beslissingen heeft genomen, beslissingen heeft voorbereid en/of afwegingen heeft gemaakt.
Hier kun je moeilijk op tegen zijn, maar de toegevoegde waarde is dan ook weer niet heel denderend. Maar we zijn nog lang niet klaar voor een robotrechter (hoi eCourt), nog los van dat die dan alle hoogrisico-eisen onder de AI Act over zich heen krijgt.

Vonnissen schrijven is voor een deel het hanteren van standaardteksten. Rechtspraak is vrij formalistisch in hoe een vonnis wordt opgebouwd, maar ook hoe je dingen motiveert. Je ziet bij zaken vaak standaardformuleringen om vaste jurisprudentie aan te halen. Een bekende is

Bij een botsing tussen enerzijds het door artikel 7 Grondwet (Gw) en artikel 10 van het Europees verdrag tot bescherming van de rechten van de mens en de fundamentele vrijheden (EVRM) gewaarborgde recht op vrijheid van meningsuiting en anderzijds het door artikel 10 Gw en artikel 8 EVRM beschermde recht op eerbiediging van de persoonlijke levenssfeer – waaronder het door haar ingeroepen recht op bescherming van de goede naam/reputatie is begrepen (EHRM 15 november 2007, no. 12556/03, Pfeifer/Oostenrijk, EHRC 2008, 6) – moet het antwoord op de vraag welk van deze beide rechten in het concrete geval zwaarder weegt, worden gevonden door een afweging van alle terzake dienende omstandigheden van het geval.
Daarna moet je al snel de jurisprudentie toesnijden op de zaak. En dat moet op een bepaalde manier, want als je niet de subsidiariteit expliciet benoemt dan kan een partij daarover piepen in hoger beroep. Daar kun je dan een sjabloon voor gebruiken, maar dat komt de leesbaarheid niet ten goede. Een LLM dat je teksten op maat schrijft vanaf jouw sjabloon is dan volgens mij een prima manier.

In de jaren negentig is geprobeerd of we niet met eenvoudiger taal kunnen procederen. Dat is in 1996 keihard afgewezen door de Hoge Raad (Klare Taal I arrest). Je moet álle wettelijke componenten noemen en wel precies met de naam uit de wet, anders weet de verdachte niet waarop hij wordt veroordeeld. In deze dagvaarding stond “Hij heeft op 8 juli 1993 in [plek] de ruiten “van de voordeur van [betrokkene] vernield”.

ChatGPT zou het ook zo zeggen. Maar dan is niet duidelijk of je bedoelt per ongeluk of opzettelijk, of hij dat mocht of niet, enzovoorts. In de ‘oude’ tenlastenlegging staat dat wel allemaal. En natuurlijk, je kunt dat er dan even bij zetten maar dan vervang je alleen “opzettelijk en wederrechtelijk” door “niet per ongeluk en zonder dat het mocht”. Dat schiet dan weinig op.

Jurisprudentie en artikelen samenvatten en als basis gebruiken? Het kan, hoewel eigenlijk de partijen natuurlijk de onderbouwing voor hun stellingen aan moeten dragen. Ik experimenteer nu met diverse “deep research” tools (zoals Perplexity en Elicit), maar ben nog niet echt tevreden over de diepgang van de resultaten. Een blog van een advocaat is niet hetzelfde als een paper in een tijdschrift.

Arnoud

Ook met een aanvinkvakje erbij is “Bevestig je aanvraag” niet genoeg voor een rechtsgeldige overeenkomst

Geplaatst op in Ondernemingsvrijheid, 29 reacties

Wie online wil bestellen, zit daar pas aan vast als er “bestellen met betalingsverplichting” op de bestelknop staat. Andere teksten zijn juridisch riskant. En uit een recent arrest uit Amsterdam maak ik op dat óók teksten of vinkjes naast de knop een probleem zijn.

In deze zaak ging het om een contract voor het leveren van gas en elektra aan een consument. Dat was online aangegaan, waarbij een “zogenoemde bestelknop” werd gebruikt:

Bij het aangaan van de overeenkomst diende een aanvinkvakje te worden aangeklikt met de tekst “Ik begrijp dat ik een betalingsovereenkomst aanga en accepteer de voorwaarden”. Na het aanklikken van het aanvinkvakje kon worden overgegaan tot het klikken op de knop ‘Bevestig je aanvraag’.
Na wanbetaling stapte de leverancier naar de rechter, en die toetst dan ambtshalve of aan alle wettelijke eisen is voldaan. Dat ging hier dus mis bij de informatieplicht op de bestelknop. Het Hof formuleert het hard:
Om te beoordelen of de handelaar aan deze verplichting heeft voldaan, moet alleen rekening worden gehouden met de woorden op de bestelknop. Op de verdere omstandigheden van het bestelproces mag geen acht worden geslagen, omdat voor de consument duidelijk moet zijn op welk moment hij de betalingsverplichting daadwerkelijk aangaat. Zie het arrest van het Hof van Justitie van de Europese Unie (hierna: HvJEU) van 7 april 2022 (ECLI:EU:C:2022:269, Fuhrmann).
Dat arrest kwam zijdelings langs in twee arresten van de Hoge Raad over precies dit soort knoppen. De kern is dat de onderliggende Europese Richtlijn het zo opschrijft:
Indien het plaatsen van een bestelling inhoudt dat een knop of een soortgelijke functie moet worden aangeklikt, wordt de knop of soortgelijke functie op een goed leesbare wijze aangemerkt met alleen de woorden „bestelling met betalingsverplichting” of een overeenkomstige ondubbelzinnige formulering waaruit blijkt dat het plaatsen van de bestelling een verplichting inhoudt om de handelaar te betalen.
De knop moet worden aangemerkt met die woorden. Dus niet: onder de knop een aanvinkvakje of boven de knop een tekst met duidelijke waarschuwing. Op de knop die tekst.

Natuurlijk is die tekst lang. Er is jurisprudentie die suggereert (weliswaar impliciet) dat het “Bestellen en betalen” mag zijn, wat volgens mij klopt met de tekst uit de Richtlijn (maar aansprakelijkheid tot de deur).

Frustrerend voor webwinkeliers inderdaad, want die tekst schrikt af. Dus ik snap het zoeken naar alternatieven, en deze tekst met vinkje is een aardige. Alleen, een praktisch probleem is dat consumenten volledig vinkjes moe worden geslagen op allerlei sites. Akkoord op voorwaarden, privacyverklaring, nieuwsbrief en ga zo maar door. Ik heb dan mijn vraagtekens bij de stelling dat de consument het écht begrepen heeft.

Verder vind ik het eigenlijk belangrijkste argument dat er zó veel misgaat met misleidende knoppen en bestelprocessen dat een harde lijn de enige optie nog is. Sorry voor de goeden maar je moet onder de kwaden leiden.

Arnoud

Een hermeneutisch-linguïstische analyse van juridisch-technologisch AI-openingsdiscours

Geplaatst op in Iusmentis, 4 reacties
Photo by Annie Spratt on Unsplash

Hoe openen juristen over AI? Artificiële intelligentie vormt anno 2025 wereldwijd een hot topic in het juridisch discours. De zich razendsnel opstapelende ontwikkelingen brengen nieuwe vragen met zich mee. Ik maakte een thematisch overzicht van cliché-openingszinnen rondom AI in juridisch-wetenschappelijke artikelen.

Op basis van een kleine 100 zinnen verzameld uit tijdschriften presenteer ik u deze volstrekt onwetenschappelijke samenvatting, met vooral het verzoek deze vormen van opening vanaf nu geheel te vermijden. Daar gaan we:

“De Onvermijdelijke Opmars” (De AI-invasie is onstuitbaar!)

Zinnen die benadrukken hoe AI overal is en we er niet omheen kunnen:

  • “Artificial Intelligence (‘AI’) – ook wel kunstmatige intelligentie genoemd – is niet meer weg te denken in de samenleving.”
  • “Artificiële intelligentie (AI) is een revolutionaire technologie die een grote impact heeft op ons leven. N.”
  • “Tegenwoordig is kunstmatige intelligentie overal.”
  • “Artificiële intelligentie (AI) wordt steeds breder toegepast in de maatschappij…”

“Het Nieuwe Buzzword Bingo” (Technologische toverwoorden!)

Zinnen die AI als het nieuwe hippe onderwerp presenteren:

  • “Artificiële intelligentie vormt anno 2023 wereldwijd een hot topic.”
  • “In de afgelopen vijf jaar lijkt artificial intelligence (AI) of kunstmatige intelligentie het nieuwe toverwoord te zijn geworden ter vervanging van big data.”

“De Academische Zucht” (Fundamentele vragen die niemand beantwoordt)

Zinnen die gewichtig klinken maar eigenlijk weinig zeggen:

  • “De snelle ontwikkeling van artificiële intelligentie dwingt ons tot heroverweging van traditionele juridische concepten zoals aansprakelijkheid, rechtspersoonlijkheid en intellectuele eigendom.”
  • “In het licht van de recente technologische ontwikkelingen op het gebied van artificiële intelligentie, beoogt deze bijdrage een verkennend overzicht te bieden van de juridische uitdagingen.”

“De Definieringsdrang” (Laat mij u vertellen wat AI is…)

Zinnen die proberen AI te definiëren of af te bakenen:

  • “Een AI-systeem in de zin van de AIA is software die is ontwikkeld aan de hand van een of meer van de technieken…”
  • “Gelet op het opschrift van deze paragraaf zal men wellicht beantwoording verwachten van de vraag wat kunstmatige intelligentie is.”

“De EU-fanclub” (Brussel redt ons wel!)

Zinnen die vol verwachting naar EU-regelgeving kijken:

  • “Recentelijk heeft de EU een ambitieus regelgevend kader geïntroduceerd voor de ontwikkeling en implementatie van AI-systemen.”
  • “Waar de nationale wetgever nog zoekende is naar haar rol in de regulering van Artificiële Intelligentie (AI), is de Europese Commissie voortvarend te werk gegaan…”
  • “De Europese Commissie (EC) nam in 2024 de AI Verordening (AI Act) aan met als doel een risicogebaseerde regulering van artificial intelligence (AI).”

“De ‘Ik Heb Eigenlijk Géén Idee’ School” (Vaag begin met vage belofte)

Zinnen die suggereren dat de auteur nog niet precies weet waar het artikel naartoe gaat:

  • “Deze bijdrage beoogt een eerste aanzet te geven tot een juridisch kader voor de vele vraagstukken die AI-implementatie met zich meebrengt.”
  • “AI wordt steeds belangrijker in de Nederlandse samenleving.”
  • “De introductie van slimme huishoudelijke apparaten met ingebouwde AI-functionaliteit roept nieuwe vragen op.”

“De Wetgevingsverzuchter” (Regelgeving als jungle)

Zinnen die de complexiteit of omvang van AI-wetgeving benadrukken:

  • “113 artikelen, 13 bijlagen, 180 overwegingen, verwijzingen naar 27 andere wetten: de AI Act is het meest complexe stuk ict-wetgeving dat Europa heeft gemaakt.”
  • “Een woud aan vers aangeplant Europees ’technologierecht’ moet van de EU het beoogde digitale soevereine gidsland voor tech-regulering maken.”

“De Gelukkig Vermeden Klassiekers” (Wat we niet meer hoeven te lezen!)

Achterhaalde clichés die verrassend genoeg niet aangetroffen werden:

  • “Sinds de industriële revolutie heeft geen enkele technologie zoveel impact gehad op de samenleving als artificiële intelligentie.”
  • “De term ‘artificiële intelligentie’ werd voor het eerst gebruikt door John McCarthy tijdens de Dartmouth Conference in 1956.”
  • “Terwijl science fiction ons vaak dystopische toekomstbeelden schetst van door robots overgenomen werelden, is de juridische realiteit van AI veel genuanceerder.”
  • “Van schaakcomputers tot zelfrijdende auto’s: de evolutie van kunstmatige intelligentie heeft een lange weg afgelegd.”

“De Stijlfiguur-Fetisjist” (Hoera voor schrijfkunsten!)

Los van de specifieke onderwerpen zijn dit veel terugkerende stilistische kenmerken in juridische AI-artikelen:
  • De Tijdsmarkeerder: “Anno 2023”, “tegenwoordig”, “in de afgelopen vijf jaar” – alsof AI pas gisteren is uitgevonden.
  • De Passieve Verhulling: “In deze bijdrage wordt stilgestaan bij”, “Er is veel ophef ontstaan” – om persoonlijke betrokkenheid kunstmatig te vermijden.
  • De Opsommingsobsessie: “Algoritmen, big data, deepfakes, kunstmatige intelligentie, personalised medicine en smart cities” – mogelijk een poging om eruditie te tonen.
  • De Afkortingskoorts: “Artificiële intelligentie (AI)” – want de lezer zou dit ingewikkelde concept anders niet kunnen onthouden.
  • De Retorische Vraagsteller: “Mag ik auteursrechtelijk beschermde teksten…?” – een complexe juridische kwestie verhullen als eenvoudige ja/nee-vraag. In strijd met de wet van Betterige is het antwoord hier eigenlijk altijd “dat hangt er van af”.
  • De Adjectief-Oversaturatie: “Indrukwekkende versnelling”, “verbluffende resultaten” – om een gemiddelde technologische ontwikkeling op te blazen tot een revolutie.
Wat is het doel van dit overzicht? Vooral: hopelijk herkent u deze openingszinnen-bingo overal waar u leest over AI en de juridische kant daarvan. Belangrijker nog: u zult hopelijk twee keer nadenken voordat u zelf een juridisch artikel over AI begint met een van deze formuleringen.

Uw eigen pareltjes graag in de comments!

Arnoud

 

Moet ik een gps-tracker in mijn auto zetten als ik een kilometervergoeding wil?

Geplaatst op in Internetrecht, 12 reacties
Photo by Oskar Kadaksoo on Unsplash

Een lezer vroeg me:

Ik rij zo’n 1500 zakelijke kilometers per week en krijg daar van mijn werkgever ook netjes een kilometervergoeding voor. Nu wil mijn werkgever dat ik een gps-tracker in mijn eigen auto laat plaatsen, net als de collega’s maar die hebben een leaseauto. Het argument van mijn werkgever is dat het plaatsen van een tracker noodzakelijk is voor de controle van de belastingdienst. Klopt dat?
De vraagsteller en zijn collega’s hebben beiden een kilometerregistratie, maar voor twee verschillende doelen. Bij de leaseauto is de registratie nodig voor de bijtelling, bij de vraagsteller gaat het om bewijs van de zakelijke kilometers zodat de vergoeding kan worden gecontroleerd.

In beide gevallen kan de belastingdienst natuurlijk bewijs verlangen van de gereden kilometers. In het Handboek Loonheffingen zegt men hier over “Om de onbelaste vergoeding van maximaal € 0,23 per kilometer aannemelijk te kunnen maken, is het verstandig om per reis de gevolgde route en het bezochte adres te noteren.”

Verstandig dus, geen keiharde plicht. Een GPS-tracker die de betreffende kilometers noteert, is daarbinnen dan een praktische oplossing. Uiteraard binnen de grenzen van de AVG, bijvoorbeeld doordat de werknemer op een knop drukt bij het wegrijden en bij einde rit de logging uitzet, waarna het systeem datum + aantal kilometers vastlegt (maar niet van waar naar waar).

Een dergelijke constructie kun je als werkgever verplichten als voorwaarde voor de kilometervergoeding. De AVG-maatregelen maken de privacyrisico’s minimaal, en je hóeft geen vergoeding te geven. Als dit al jaren wel wordt gedaan en nu komt die tracker uit de lucht vallen, dan wordt het een ander verhaal. Dan kun je pas zo’n eis leggen als blijkt dat de werknemer de klassieke registratie niet op orde had.

Arnoud

Ik heb het Youtube-account van mijn moeder gewist omdat ze mij er steeds op zet, wat nu?

Geplaatst op in Privacy, 18 reacties

Een lezer vroeg me:

Help! Mijn moeder heeft een YouTube-kanaal waar ze ‘aesthetic daily life’ vlogs post en ze filmt ALLES. School, uitjes, zelfs toen ik ziek was bij de dokter! Mijn klasgenoten herkennen me en spreken me erop aan. Ik ben nog maar 14 en voel me super ongemakkelijk dat duizenden mensen mij kunnen zien zonder dat ik daar toestemming voor heb gegeven. Haar laatste video gaf een berg reacties over mij waar ik écht boos over werd, dus gisteren heb ik haar kanaal verwijderd toen ze niet thuis was. Ze gaat FLIPPEN als ze het ontdekt. Had ik het recht om dit te doen?
Sharenting, kent u die uitdrukking? Het betekent dat (groot)ouders informatie van hun (klein)kind delen op social media, zoals foto’s en video’s. Een groeiend probleem binnen de context van ict-geletterdheid.

Het juridisch kader is nogal generiek. Een vlog met een herkenbaar persoon is een persoonsgegeven, en moet dus met een AVG grondslag gerechtvaardigd worden. Toestemming ligt voor de hand, en omdat de persoon nog geen zestien is moet de ouder die geven (artikel 5 lid 1 Uitvoeringswet AVG).

Moet je je kind horen in zo’n toestemmingskeuze als ouder? Daar is de AVG niet duidelijk over, al hint overweging 38 er wel op met de zinsnede “specifieke bescherming” voor kinderen. Het Kinderrechtenverdrag zegt (artikel 3) dat bij beslissen over kinderen “de belangen van het kind de eerste overweging” vormen.

De moeder moet die belangen dus meewegen bij het geven van toestemming. Ik zie zo in de vraag geen reden waarom de privacybelangen van de dochter gepasseerd moeten worden. Op het gevaar van instra-ostracism af (“likes zijn een grondrecht”), dit is gewoon een vlog en niet een documentaire van een zware maatschappelijke misstand.

Als de moeder tevens jurist is, zou ze kunnen zeggen dat ze niet de grondslag toestemming gebruikt maar het eigen gerechtvaardigd belang, zeg maar de nieuwswaarde van de vlog weegt op tegen de privacy van de dochter. Maar je komt dan bij dezelfde afweging uit: dat Kinderrechtenverdrag werkt ook hier door. De conclusie zal dan hetzelfde zijn.

Het kanaal verwijderen was wellicht niet de meest constructieve oplossing, maar begrijpelijk vanuit de frustratie van het kind. En als de conclusie is dat de video’s sowieso niet mochten dan zelfs theoretisch juist (recht van vergetelheid, artikel 17) maar een disproportionele actie want ook video’s zonder de dochter zijn nu geraakt.

Mogelijk is de moeder ook financieel gedupeerd, want haar (ongetwijfeld) gesponsorde posts zijn nu weg, de volgers zijn kwijt et cetera. Ik kan me inderdaad inbeelden hoe dit vanuit moeders perspectief tot enige boosheid leidt, met dreigementen over zakgeld inhouden tot gevolg. Als jurist kan ik alleen maar zeggen dat hier niets strafbaars aan zit (computervredebreuk mijn juridische hoela) en dat geen rechter een schadevergoeding toe gaat wijzen.

Natuurlijk gaat hier geen rechtszaak over komen. Een goed gesprek was lang geleden al een goed idee geweest, maar op dit moment zal daar echt een derde bij moeten. Een vertrouwd familielid, de decaan van school of een gezinscoach, maar deze twee gaan dit niet samen rechtbreien.

Jullie nog tips?

Arnoud (Vraag herschreven met AI om herkenbaarheid te minimaliseren)

Hoe pijnlijk kan krokettenbeleid zijn?

Geplaatst op in Security, 45 reacties
Fotograaf: Marco Verch, CC-BY 2.0

Een lezer vroeg me:

Bij ons geldt ‘krokettenbeleid’: als je je computer niet vergrendelt wanneer je wegloopt, mogen collega’s uit jouw naam een mail sturen dat je kroketten voor iedereen meeneemt. Vorige week opende ik op mijn werkplek een e-mail van de ivf-kliniek waarin stond dat onze laatste behandeling mislukt was. Ik was zo overstuur dat ik huilend naar het toilet ben gerend zonder mijn laptop te vergrendelen. Uiteraard greep iemand zijn kans om een ‘krokettenmail’ te versturen. Mijn manager zegt dat dit gewoon volgens de regels is. Wat kan ik hier aan doen?
Ik citeer even deze wat langere vraag omdat het me al eventjes dwars zit maar ik niet kon articuleren hoe: het krokettenbeleid, ook wel vlaaibeleid of taartbeleid. Laat jij je laptop onbeheerd open staan, dan mogen collega’s de afdeling mailen dat jij een traktatie meeneemt.

Ik heb eerder over krokettenbeleid geblogd, en trok toen eerder grenzen bij schadebrengend gedrag zoals iemand zijn ontslag laten nemen. Enkel de mail “ik neem vlaai mee want ik sloot mijn laptop niet af” leek me wat mager. Maar ik denk nu dat ik daar van ga terugkomen: het is invasief, zet iemand nodeloos hard te kakken en kan in situaties als deze ontzettend pijnlijk zijn.

Natuurlijk is het belangrijk dat mensen hun laptop afsluiten, in verband met datalekken of onbevoegde inzage in vertrouwelijke informatie. Maar zullen we de discussie voeren over hoe je als organisatie dat faciliteert, in plaats van hoe je mensen ‘pakt’ die dit niet voor elkaar krijgen?

Bijvoorbeeld: welke training bied je, welke hulpmiddelen geef je ze? Kan die laptop niet detecteren dat je badge of telefoon te ver weg is en dan vanzelf op slot gaan?

Arnoud

 

Mag ik op mijn skateboard een telefoon vasthouden?

Geplaatst op in Ondernemingsvrijheid, 1 reacties
Photo by The Nigmatic on Unsplash

Een lezer vroeg me:

Laatst werd ik door een agent staande gehouden omdat ik aan het skaten was terwijl ik mezelf filmde met mijn telefoon. Volgens hem is dat verboden en mag je alleen lopend filmen. Klopt dat?
Het vasthouden van een telefoon in het verkeer kan inderdaad verboden zijn. Daarvoor moet sprake zijn van tijdens het rijden een mobiel elektronisch apparaat vasthouden (art. 61a Rvv).

Ben je aan het rijden op een skateboard? Nee. Dat kan alleen met “voertuigen”, en een skateboard is dat niet. Je bent voor de wet gewoon een voetganger, en die mogen prima zich voortbewegen terwijl ze een telefoon vasthouden (al dan niet filmend).

Natuurlijk geldt nog wel artikel 5 Wegenverkeerswet, gedrag dat gevaar of hinder op de weg veroorzaakt of kan veroorzaken. In theorie kan dat ook opgaan bij lopen terwijl je een telefoon vasthoudt, maar naar zijn aard lijkt me dat wel een uitzonderlijke situatie.

Arnoud

 

Mijn huisbaas wil mijn emailadres niet wijzigen, wat nu?

Geplaatst op in Ondernemingsvrijheid, Privacy, 13 reacties
Photo by Ivan Aleksic on Unsplash

Via Reddit [ingekort]:

Ik huur een appartement in de vrije sector die wordt beheerd door een property manager. Dat bedrijft heeft een online portaal waar je je contract kan inzien en reparatieverzoeken (tickets) kan indienen. Voor dat portaal heb ik een account op basis van mijn e-mailadres. Echter wil ik mijn e-mailadres veranderen. De portaal zelf biedt geen mogelijk om een e-mailadres te wijzigen. [De organisatie geeft] daarbij aan dat het hun beleid is om e-mailadressen niet aan te passen. Op de vraag hoe zij contact met mij gaan opnemen als ik geen toegang meer heb tot mijn oude e-mailadres, krijg ik als reactie dat het mijn keuze is om mijn e-mailadres te wijzigen en dat ik maar mijn oude e-mailadres moet aanhouden.
Dit is weer zo’n casus waarbij het theoretische antwoord vrij makkelijk is maar het praktische aspect enorme moeite gaat opleveren.

Een e-mailadres van een natuurlijk persoon is een persoonsgegeven. Het doet er daarbij niet toe of het in het formaat voornaam.achternaam@example.com is of niet. Enkel dat het door en voor een mens wordt gebruikt, is genoeg om het onder de AVG te laten vallen.

Het is prima (en best handig) om accounts bij online diensten te verbinden aan een mailadres. Dat weet je (in tegenstelling tot je zoveelste gebruikersnaam), daar kun je altijd bij en het is met jou verbonden. Maar als organisatie verwerk je dan persoonsgegevens, en dan moet je rekening houden met de AVG.

Het kunnen wijzigen van het mailadres is simpelweg een recht van de betrokkene. Ik zie ook niet hoe dit gedoe moet geven: het is een veld in je database en daar kun je nieuwe data in stoppen. Goed, je wilt een validatieproces want mensen kunnen typefouten maken, maar meer dan dat zou ik als bezwaar niet weten.

Maar goed, het probleem is dus dat de verhuurder het recht weigert na te leven en daar niet met een stevige sommatiebrief uit ChatGPT gehoor aan geven. Wat kun je dan doen? In de comments de bekende tips: een verzoekschriftprocedure (mag zonder advocaat) bij de rechtbank, de AP vragen om te handhaven en “gewoon doen na notificatie”.

Die eerste twee spreken voor zich maar zijn misschien meer moeite dan een oud account aanhouden met een forwardregel. Maar kun je wegkomen met “hierbij meld ik u dat mijn adres oud@kremvax.su niet meer werkt en dat ik alleen bereikbaar ben op nieuw@worldonline.nl”, aangenomen dat je bewijs hebt dat deze melding is aangekomen?

Het gaat hier om toegang tot een portaal. In principe mis je dus niets zolang je gewoon af en toe inlogt, behalve de notificatieberichten dat er iets speelt. Je wachtwoord vergeten is ongeveer het enige probleem.

Als er dingen gebeuren waar je mailadres echt voor nodig is, zoals “de verrekening van de energiekosten, als er tijdelijk geen stroom/water beschikbaar gaat zijn of om een afspraak te maken”, dan kan er wel wat misgaan. Er kan dan een monteur voor de deur staan, of jij weet niet dat het water er deze ochtend af zou gaan en hebt nu geen douchemogelijkheid.

Toch lijken me ook deze dingen niet iets waar een juridisch randje aan zit. Een melding dat er een monteur langskomt, is niet genoeg om bv. voorrijkosten te mogen rekenen omdat je er niet was. Geen warm water hebben is vervelend, maar de notificatie maakt daar juridisch gezien weinig over uit.

Arnoud

 

Mag je werknemers een speekseltest dwingen te ondergaan van de AVG?

Geplaatst op in Ondernemingsvrijheid, Privacy, 29 reacties

De door de werkgever afgenomen drugstest is in strijd met AVG. Dat meldde een recent vonnis waar enige ophef over was. Het is weliswaar niet direct ict, maar het laat wel zien hoe de AVG geacht wordt te werken dus ik kijk er toch even naar.

De werkgever in deze zaak is een bedrijf dat monopiles produceert, stalen funderingen voor offshore windparken. Monopiles zijn om en nabij 120 meter lang, kennen een diameter van 9 tot 11 meter en hebben een gewicht van 2500 ton. Dus ik snap dat je als werkgever je zorgen maakt over werknemers die onder invloed van alcohol, drugs of medicijnen (ADM) hiermee werken.

Het bedrijf had duidelijk zero tolerance ADM-beleid, wat op zich prima en logisch is. Waar het misging, was de onaangekondigde alcohol- en drugscontroles aan de poort die willekeurig kon worden gegeven. De werknemer in deze zaak werd getest, testte positief en “kwam stoned over” in het gesprek dat daarna plaatsvond.

De werknemer vocht het daarop volgende ontslag aan, onder meer met het argument dat de drugstest in strijd met de AVG was gegeven. Punt hierbij is dat de uitslag van zo’n test telt als gezondheidsgegeven, en dat de AVG dan in principe een wettelijke regeling eist om dit te mogen doen.

De Autoriteit Persoonsgegevens legt uit:

Voor sommige werknemers die risicovolle beroepen uitoefenen, zoals piloten en schippers, bestaat nu al een wettelijke uitzondering. … Omdat er een gezagsrelatie bestaat tussen een werkgever en werknemer, zijn duidelijke voorwaarden en waarborgen opgenomen in de wet over de wijze waarop deze controles moeten worden uitgevoerd. Ook is helder afgesproken op welke manier de uitkomsten van een ADM-test mogen worden gedeeld en bewaard.
Door zo’n wettelijke regeling worden de belangen van werknemers beschermd en wordt een eerlijke situatie geborgd. Maar het spiegelbeeld daarbij is natuurlijk wel dat als je géén wettelijke regeling hebt, je dus geen ADM-tests mag doen.

Uiteraard is dat zeer frustrerend, en de tip om dan maar ADM-beleid op te stellen en actief hulp te bieden bij middelengebruik voelt dan nogal karig. Het probleem is vooral dat onze wetgever sinds 2022 niets meer heeft gedaan om werkgevers ADM-tests in te kunnen zetten.

En ja, ik Vind Er Wat Van dat dit dan in het nieuws komt als “het mag niet van de AVG”. Het AVG-kader staat dit prima toe, je moet alleen wel wat doen als wetgever.

Arnoud