ACM beboet veilingwebsite voor prijsopdrijving via automatische biedingen

Photo by John on Unsplash

Het bedrijf Ticketveiling.nl misleidde consumenten door via een speciaal ontwikkeld algoritme mee te bieden bij veilingen. Dat maakte de ACM onlangs bekend, en zij legde daarvoor een boete van 270.000 euro op. Deelnemers aan de veiling dachten dat zij opboden tegen andere menselijke deelnemers, maar het was dus een bot van de aanbieder zelf.

Bij Ticketveiling punt nl kun je via een veiling bieden op uitjes, diensten en producten. Kennelijk komt het daar met enige regelmaat voor dat er niemand (of te weinig mensen) ging bieden, waardoor de gewenste minimumprijs niet werd gehaald. Dan zet je dus een algoritme in:

Deze zogenaamde biedbot werd in de periode van 1 augustus 2024 tot en met 1 december 2024 ingezet bij de veiling van ruim 70.000 kavels. Deelnemers aan de veiling dachten daardoor dat ze opboden tegen andere menselijke deelnemers. In werkelijkheid boden zij op tegen een biedbot die door het bedrijf zelf was ingezet. Als de biedbot de veiling won, konden de menselijke deelnemers vervolgens voor dit winnende bedrag alsnog het aanbod accepteren. Daarbij werd niet verteld dat de biedbot de veiling had gewonnen.
In het boetebesluit lees ik dat men allerlei stappen nam om te verhullen dat hier sprake was van bots. Zo gebruikten deze verschillende biedstrategieën en hadden ze wisselende namen, zodat ook vaste klanten niet direct Berend zouden herkennen.

Ergens voelt het raar dat je je eigen bot laat bieden, want wat nou als die wint? Specifiek hier was dat geen nadeel: men had de “lachende tweede” regel. Ik citeer de collega’s van VakantieVeilingen:

Dat betekent dat je, ook al ben je niet de hoogste bieder, het product tóch kunt kopen voor hetzelfde bedrag als het winnende bod. Je krijgt daarbij exact dezelfde rechten en plichten als de winnaar van de veiling. We bieden dit alleen aan wanneer het hoogste bod aantrekkelijk voor jou is. Dit is het geval wanneer de prijs lager ligt dan de kassaprijs, maar wel binnen de vooraf afgesproken marge met de aanbieder. Zo profiteer je er allebei van.
Persoonlijk snap ik hier weinig van, waarom zou je als platform een ander dan de hoogste bieder het product gunnen? Misschien wanneer je meerdere exemplaren hebt, maar dan kun je je weer afvragen waarom je een veiling hanteert.

Ik had zelf gedacht dat dit zou uitkomen bij “jezelf bedrieglijk voordoen als consument”, maar de ACM houdt het veel simpeler: dit is misleiding over “de prijs of de wijze waarop de prijs wordt berekend” (art. 6:193c lid 1 onder d BW).

Arnoud

Binnenkort kun je shoppen via TikTok, maar Consumentenbond is kritisch

Photo by Markus Spiske on Unsplash

De populaire app TikTok introduceert TikTok Shop in Nederland, las ik bij Nu.nl. Met de nieuwe shopfunctie kun je vanaf 15 juni een product kopen zonder dat je de app verlaat. Lekker handig, maar de zorg van de Consumentenbond over impulsaankopen snap ik wel.

De Bond legt uit:

Met TikTok Shop kun je producten kopen zonder de app te verlaten. Een filmpje kijken en meteen op een koopknop drukken. Het gaat razendsnel. Daardoor worden impulsaankopen aantrekkelijker. Vooral jongeren lopen risico om spullen te kopen die ze eigenlijk niet nodig hebben. En met achteraf betalen kan dat ook nog leiden tot geldproblemen en schulden.
Het is immers geen webshop waarbij je rondsnuffelt, je winkelwagentje bekijkt en dan een checkoutproces doorgaat. (Er is wel een checkout, maar die is kort en snel vanaf de pagina van het individuele product.)

Door die snelheid en context (midddein iemands filmpje) vraag ik me dan af hoe aan de wettelijke informatieplichten wordt voldaan. Waar kan ik lezen over essentiële kenmerken zoals compatibiliteit, samenstelling en garantie? Maar ik moet zeggen, TikTok doet haar best om haar creators op te voeden zich aan de wet te houden.

De belangrijker zorg zit hem in de presentatie. Waar je bij ‘gewone’ webshops door categorieën en lijsten heenloopt, krijg je ze hier ingebouwd in de algoritmische presentatie. Dat kan oneerlijk zijn: de een kan een beter product hebben, maar de ander meer zichtbaarheid en volgers en daardoor tóch meer verkopen.

Verboden is dit niet. De DSA (artikel 27) eist alleen dat platformaanbieders

in hun algemene voorwaarden in duidelijke en begrijpelijke taal de belangrijkste parameters [vermelden] die in hun aanbevelingssystemen worden gebruikt, alsook eventuele opties voor de afnemers van de dienst om deze belangrijkste parameters te wijzigen of te beïnvloeden.
Ook dit doet TikTok vrij uitgebreid. Desondanks zullen de door de Consumentenbond gesignaleerde risico’s blijven bestaan, maar ik zie daar niet meteen een wettelijke regel tegen.

Een deel van de zorg is de tijdsimpuls: het wordt nú gepromoot, je moet het nú hebben. Dat komt in de buurt van wat als oneerlijke handelspraktijk wordt gekwalificeerd, namelijk (art. 6:193g onder g BW):

bedrieglijk beweren dat het product slechts gedurende een zeer beperkte tijd beschikbaar zal zijn of dat het slechts onder speciale voorwaarden gedurende een zeer beperkte tijd beschikbaar zal zijn om de consument onmiddellijk te doen beslissen en hem geen kans of onvoldoende tijd te geven een geïnformeerd besluit te nemen;
Maar let op: het moet dan echt gaan om ‘bedrieglijk’, zoals elke week een eenmalige aanbieding doen. Als je het écht alleen vandaag te koop zet, dan is daar volgens mij weinig mis mee.

Arnoud

 

Hoe veel tijd heb je bij belparkeren om naar de automaat te lopen?

Beeld: Wikimedia Commons

In Amersfoort vinden ze kennelijk dat iedereen met z’n telefoon parkeerbelasting betaalt. Dat haal ik uit dit vonnis van de rechtbank Midden-Nederland, waarbij een persoon beboet (nageheven?) werd omdat zij ouderwetsch naar den automaeth was geloopen, in stede van hare mobiele telefoongeleider ter hand te nemen.

De timing was ook wel zéér precies: om exact 17.22 constateerde de ambtenaar dat voor de geparkeerde auto geen parkeerbelasting was voldaan. En om datzelfde 17.22 betaalde de bestuurder bij de automaat iets verderop. Ik had altijd onthouden dat dan automatisch de naheffing werd vernietigd, maar niet in Amersfoort:

De medewerker die het bewaar behandelde schrijft: ‘Bij belparkeren moet de bestuurder, direct nadat hij de auto heeft neergezet, zijn voertuig telefonisch aanmelden. Het spreekt min of meer voor zich dat dit vóór het verlaten van het voertuig gebeurt.’
Dat laatste is inderdaad logisch (al mocht deze meneer wél even uitstappen om naar een hotspot te lopen, hoewel een niet-werkende app voor jouw rekening komt). Op zijn minst omdat de ambtenaar dan kan zien dat jij bij de auto bezig bent. Anders is iedereen “net onderweg naar Starbucks voor internet”.

Echter, in dit geval kun je duidelijk zien dat er níet met de app is betaald maar via de automaat. Hoe kwam men dan überhaupt toe aan het argument “je had in de auto moeten zitten”?

Arnoud

Politie haalt criminele vpn-dienst offline en identificeert duizenden gebruikers

Photo by Daniel Jerez on Unsplash

De Nederlandse en Franse politie hebben de vpn-dienst First VPN offline gehaald, las ik bij Tweakers. Deze dienst was populair onder cybercriminelen, maar velen zetten vraagtekens bij de ingreep “want de Gamma verkoopt ook koevoeten”. Mag ik daar even hard bij ingrijpen?

Samenwerkingsverband Europol legt in een persbericht uit wat de reden voor de actie was:

For years, the service, known as ‘First VPN’, was promoted on Russian-speaking cybercrime forums as a trusted tool for remaining beyond the reach of law enforcement. It offered users anonymous payments, hidden infrastructure, and services designed specifically for criminal use.
Het is dat stukje “designed specifically for criminal use” dat hier essentieel is, en dat altijd gemakshalve wegvalt in de vergelijkingen met de Gamma, Audi-dealers en de Hema-keukenmessencollectie.

Nee, dat mag niet, dingen specifiek ontwerpen en aanprijzen voor crimineel gebruik; je komt dan al snel bij medeplichtigheid uit, of bij speciale wetsartikelen die vervaardigen of aanprijzen van hulpmiddelen strafbaar stellen.

Bij TechCruch lees ik dat men vervolgens ook nog duizenden criminele gebruikers wist aan te wijzen:

Europol, however, said that First VPN users were notified of the shutdown and “informed that they have been identified.” Investigators said they did this by obtaining the service’s user database and identifying VPN connections, which “exposed thousands of users linked to the cybercrime ecosystem.”
Uiteraard gaat het hier om een inval en hebben we alleen de kant van de politie. De rechter moet zich er nog over buigen. Maar alleen kijken naar de techniek en dan zeggen “het is maar een tool” is écht te kort door de bocht bij deze zaak.

Arnoud

‘Microsoft deelt namen van Nederlandse ambtenaren die werken aan DSA met VS’

Photo by CHUTTERSNAP on Unsplash

Namen van Nederlandse ambtenaren zijn door Microsoft doorgespeeld aan de Amerikaanse overheid, aldus Vrij Nederland onlangs. Deze personen werken aan handhaving en beleid van de Digital Services Act. Veel ophef en ik hoor veel CLOUD Act verwijzingen. Maar dat klopt niet.

Het bericht sluit aan op eerdere berichten dat de VS sancties overwegen tegen personen die de VS onwelgevallige wetgeving maken of ondersteunen. Logisch dat je dan wil weten wie het zijn: zo kun je hen inreisvisa naar de VS weigeren bijvoorbeeld. Of hun bankrekening/creditcard blokkeren.

Maar hoe komt Microsoft aan de gegevens? De wuifverwijzingen naar de CLOUD Act wekken de indruk dat Microsoft in de accounts van allerlei partijen heeft zitten grasduinen en daar NAW-gegevens uit kon vissen. Maar nergens lees ik dat dat echt is gebeurd. “Dit specifieke verzoek betrof gegevens van Microsoft, geen klantgegevens“, claimt het bedrijf bijvoorbeeld in een reactie tegen Tweakers dat eerst ook het over CLOUD Act verzoeken had.

Wat er precies is gedeeld, is eigen data van Microsoft. Het bedrijf verleent medewerking aan een onderzoek van het Huis van Afgevaardigden over buitenlandse inmenging in Amerikaanse media zoals X. Daarbij geeft men zaken af zoals brieven met Europese instanties over de DSA, en dáár staan dan namen van ambtenaren in. (Waarom die niet zijn weggelakt, weet ik niet.)

Arnoud

 

Kan ik de leverancier van mijn AI-agent aanpakken wegens door de agent bekend destructief gedrag?

Photo by Jonathan Cooper on Unsplash

Een lezer vroeg me:

Met enige regelmaat lees je over AI agents die destructief handelen, zoals dit verhaal over een AI-agent die op eigen houtje een productiedatabase van een startup verwijdert. Nu vroeg ik me af, kun je die schade verhalen op de leverancier die dat kennelijk zonder kwaliteitscontrole inbouwt? En maakt het daarbij uit dat het AI-model zelf een analyse oplepelt inclusief schuldbekentenis?
Als een menselijke systeembeheerder of programmeur data vernielt, kun je ze als bedrijf op het matje roepen. Maar bij een slecht geprogrammeerd stuk software ligt dat lastiger. Je komt dan al snel uit bij de leverancier, maar die heeft zich in de zakelijke relatie waarschijnlijk ingedekt tegen fouten met een sterke beperking van aansprakelijkheid.

Dat de medewerker schuld bekent, is bij mensen niet heel erg relevant. Fout is fout, en alleen als de bekentenis is “dit deed ik om jullie te beschadigen” dan wordt het juridisch interessant. Want dan spreken we van opzet of bewuste roekeloosheid en dan kun je die beperking van aansprakelijkheid omzeilen.

Alleen: een AI-agent is geen medewerker, en ook daarmee niet te vergelijken. Het is een tool, een stuk software. Weliswaar is de interface “gewoon Nederlands praten” en gebruikt het ding ik en jij in de communicatie, maar juridisch is er geen verschil tussen een shellscript en het meest geavanceerde frontier AI model. Het kan fouten bevatten, en als het de leverancier zijn schuld is dan stuit dat af op de beperking van aansprakelijkheid.

Er is enige discussie of het statistische karakter van deze diensten nog uit moet maken. Een shellscript of ander klassiek stuk software doet wat je zegt, keer op keer. Een AI-agent kan zomaar andere resultaten geven bij dezelfde instructie en dezelfde data. Dat is inherent aan hoe ze zijn gemaakt, en je kunt verdedigen dat dit eerder tot verwijtbaarheid bij de leverancier leidt. Tegelijkertijd: als dit inherent is, is dat ook iets dat jij als koper had moeten weten.

Arnoud

Nederland blokkeert overname DigiD-hoster Solvinity door Amerikaans IT-bedrijf

Het Nederlandse ministerie van Economische Zaken verbiedt de overname van DigiD-hoster Solvinity door het Amerikaanse IT-bedrijf Kyndryl. Dat meldde Tweakers gisteren. Het Bureau Toetsing Investeringen concludeerde op grond van de Wet ongewenste zeggenschap telecommunicatie (Wozt) dat de koop mogelijk een risico vormt voor het publieke belang. Dat zou een einde moeten zijn voor de eindeloze soap rond Solvinity.

“DigiD komt in Amerikaanse handen” was afgelopen jaar steeds de kreet. Formeel onjuist: het ging om de overname van infrastructuurdienstverlener Solvinity, waar de applicatie DigiD op gehost werd. Maar praktisch snap ik de zorg wel, want wie bij je infrastructuur kan, kan alles. En als dat dan moet van die snode CLOUD Act, dan zijn we met huid en haar overgeleverd aan de Yanks.

De maatschappelijke ophef snap ik dus helemaal. Er was alleen niet heel veel aan te doen; Kamervragen kan altijd, maar het contract opzeggen of verlengen was écht de keuze van het ministerie. Een kort geding in mei mocht ook niet baten: dat zou een opzegging op korte termijn van de dienstverlening impliceren, en dat zou weer het functioneren van DigiD in gevaar brengen.

De ingreep van het BTI is verrassend, hoewel het juridisch inderdaad gewoon kan. Het punt is vooral dat die wet geschreven is voor overnames door strategisch vijandige partijen, overnames die een “bedreiging van het publiek belang” opleveren. Het is voor het eerst dat wordt erkend dat Amerikaanse partijen zo’n bedreiging kunnen geven.

Hoe nu verder? Op korte termijn zal het vooral shoppen zijn naar een andere overnamepartij, want Solvinity stond niet voor niets in de verkoop. Maar het zou een wake-upcall kunnen zijn voor overheden om hier dieper na over te denken. Het idee van Bert Hubert om een rijkscloud op te zetten, zou ik alleen maar toejuichen.

Arnoud

 

Jury verwerpt zaak die Musk had aangespannen tegen bedrijf achter ChatGPT

Photo by Rolf van Root on Unsplash

Een jury heeft [op 4 mei] de rechtszaak die ondernemer Elon Musk had aangespannen tegen OpenAI verworpen. Dat meldde Nu.nl vorige week. De reden is niet inhoudelijk; de zaak is te laat aangespannen volgens de formele regels. Maar wat was er dan aan de hand?

OpenAI, grondleggers van ChatGPT en daarmee de hype van “AI”, is in 2015 begonnen als een stichting. In 2019 veranderde dat naar een hybride vorm, en in 2025 werd alles anders:

In 2019, it created a hybrid structure, part nonprofit, part for-profit, that let investors earn returns while keeping the nonprofit in control. This structure limited how much investors could earn and didn’t allow equity ownership.

In late 2025, OpenAI restructured as a for-profit public benefit corporation with one crucial detail: the nonprofit OpenAI Foundation retained a 26% equity stake. As OpenAI’s value rises, so does the foundation’s endowment.

Elon Musk was al vroeg betrokken bij de stichting, en had nu bezwaar tegen die transformatie: het zou het originele doel van OpenAI fundamenteel ondermijnen. Dat was niet de afspraak, al was er natuurlijk geen hard stuk papier van destijds waarin dit letterlijk stond.

Juridisch heet dat in Californië “breach of charitable trust”, zoiets als “schending zorgplicht”. Dat kan ook zonder formele documenten, zorgplichten zijn bij uitstek dingen die je invult met softe aanwijzingen. Maar in Californië zit er een verjaringstermijn van drie jaar op, vanaf het moment dat je er daadwerkelijk kennis van hebt. De reden: zo’n club moet op een gegeven moment verder, dus als jij blijft zitten op je beweerde schending dan heb jij vanaf dan pech.

OpenAI wist de jury te overtuigen dat Musk al in 2017 kennis had van de plannen om naar een for-profit structuur te gaan. Sterker nog, hij had dat zelf voorgesteld, onder meer in een teleconference in 2017: “coming weeks, top priority. gotta figure out how do we transition from non-profit to something which is essentially philanthropic endeavor and is B-corp or C-corp or something. must tell the story and not lose moral high ground”.

Natuurlijk wist hij pas in 2025 van de herstructurering omdat die toen pas plaatsvond. Maar het bezwaar was niet tegen die specifieke omzetting, maar tegen de gehele transformatie. En dan had je in 2020 uiterlijk in actie moeten komen.

Over de wenselijkheid van het kunnen omzetten van een stichting naar een bedrijf doet de rechter geen uitspraak. Het is in Californië legaal om dat te doen (onder zekere voorwaarden die OpenAI niet geschonden lijkt te hebben).

Arnoud

Kan een product via vaste maatopties juridisch toch maatwerk zijn?

Photo by Erik Mclean on Pexels

Via Reddit:

Kan een product dat pas na bestelling wordt geproduceerd juridisch maatwerk zijn, ook als de klant kiest via vaste maatopties? Bij op maat gemaakte gordijnen wordt vaak aangegeven dat deze niet geretourneerd kunnen worden. Tegelijk hoor ik soms dat producten die via vaste maatopties (dropdown-menu) besteld worden juridisch geen maatwerk zouden zijn.
Volgens de wet (art. 6:230p punt f onder 1 BW) geldt de ‘maatwerkuitzondering’ voor deze specifieke categorie:
  • de levering van volgens specificaties van de consument vervaardigde zaken, die niet geprefabriceerd zijn en die worden vervaardigd op basis van een individuele keuze of beslissing van de consument, of die duidelijk voor een specifieke persoon bestemd zijn;
Enkel het product maken op bestelling is daarvoor niet genoeg (net als de speciale bestelling bij de fabriek). Over assemblage op specificatie kunnen we discussiëren.

De verwijzing naar opties uit een dropdown doet me denken aan deze blog:

Een keuze uit standaardmaten of -opties [bij een houten deur] is echter nog niet “volgens specificatie vervaardigd” of “op basis van een individuele keuze”, het is immers een standaard keuze op die manier. Daarom kan een winkel zich niet op de uitzondering beroepen wanneer hij enkel standaardopties of -maten aanbiedt. Dit is ooit ook door de Geschillencommissie zo geoordeeld. Had de winkel gezegd “typ lengte en breedte in”, dan was de deur natuurlijk wel maatwerk geweest.
Ook in zaken over een bed met opties en een tweede over een deur werd vergelijkbaar geoordeeld. De specifieke referentie naar keuzemenus komt weer uit een Europees richtsnoer uit 2021, waarin ze het volgende zeggen:

Indien de consument daarentegen de goederen gewoon samenstelt door te kiezen uit door de handelaar aangeboden standaardopties (die vooraf zijn bepaald), zou niet moeten worden gesproken van “specificatie” of “personalisering” in de enge zin van deze bepaling. De uitzondering zou dus niet van toepassing zijn in de volgende voorbeelden: — het kiezen van meubelen met een specifieke kleur of textuur door een keuze te maken uit de catalogus van de fabrikant; — een auto met extra uitrusting, geselecteerd uit de catalogus van de fabrikant; — een aantal bij elkaar horende meubelen op basis van standaardelementen.

Een dropdown-menu is een typische manier waarop je standaardopties aanbiedt: kies een van de zes modellen, welke van deze kleuren wilt u en moet de afwerking glanzend of mat zijn. Daarom komt die term regelmatig terug.

Maar dat betekent natuurlijk niet dat gebruik van een dropdown automatisch impliceert dat sprake is van maatwerk. Een bedrijf kan producten bedrukken met een geboortedatum, en een dropdown aanbieden om die te kiezen. Toch zou ik een tshirt met mijn geboortedatum erop als “volgens specificaties van de consument vervaardigd” zien.

Waar het uiteindelijk op neerkomt, is de vraag of de opties ‘standaard’ zijn. Dat gaat vaak samen met aantal: zestien kleuren, zes modellen, glanzend of mat. Maar het onderliggende criterium is of het product ook bij andere klanten verkoopbaar zou zijn. De richtsnoeren omschrijven dit mooi als “dat de goederen in beginsel uniek zijn en zijn geproduceerd op basis van de individuele wensen en eisen”.

Waar ligt nu de grens? Met geboortedata heb je zo’n 120 x 365 = 43.800 keuzes, en dat voelt als best veel. En ja, natuurlijk is het best denkbaar dat er een week later nóg iemand een shirt met die geboortedatum wil hebben, maar in beginsel is dat shirt uniek want ik wilde míjn geboortedatum er op.

Maar bij die tweede deurenzaak ging het ook om een fors aantal factoren:

  • Type: opdek of stomp en binnen of buiten
  • Deurvariant: enkele of dubbele deur
  • Draairichting: links/rechts en naar binnen/buiten
  • Hoogte: drie keuzes
  • Breedte: vier keuzes
  • Aflakken: niet of één van vijf RAL-kleuren
Dat is (2 x 2) x (2) x (2 x 2) x (3) x (4) x (6) = 2.304 en dat is ook een respectabel aantal. Ik snap zeker dat de deurenwinkel dan zegt “zo’n deur wordt niet in die vorm opnieuw verkocht”.

Bij het uitprobeerrecht wordt als maatstaf wel gehanteerd “uitproberen is wat je in de winkel ook zou mogen doen”. Dus bij een wasmachine wel het deurtje dicht en het knopje draaien, niet een sportwas doen en kijken hoe schoon het wordt. Die maatstaf hier toepassen levert dan iets van “Als een fysieke winkel een dergelijke variatie aan voorraad zou houden, dan is het standaard”. Fair?

Arnoud

Mag ik van de school van mijn kind inzage in het beveiligingsbeleid vorderen? (Nadat mijn zoon de printer gehackt had)

Photo by stevepb on Pixabay

Een lezer vroeg me:

Een leerling op de school van mijn zoon heeft de centrale printer van hun school gehackt. Volgens hen was het nauwelijks hacken omdat de beveiliging minimaal was. Uiteraard vind de school het schandalig, maar voor mij als security auditor en moeder redenen om me af te vragen: is de rest van de school dan ook zo belabberd beveiligd. Kan ik daar inzage in krijgen, mag ik maatregelen eisen?
Het ‘hacken’ van ict-apparatuur op school is voor leerlingen leuk en interessant, maar inderdaad reageren scholen daar scherp op. De tijd dat je dan een stage bij een securitybedrijf kreeg (of de IT-persoon van school mocht worden) is al lang voorbij: ik ken zo tien gevallen van mensen tegen wie aangifte werd gedaan in zo’n situatie.

Uiteraard is dat vrij kansloos als de security minimaal tot afwezig is, en er natuurlijk geen echte schade is aangericht. En ik snap wel dat je bij afwezige schade als ouder denkt: is dit representatief voor hoe de school ict-security implementeert. Dat zou goed kunnen, hoewel net zo goed mogelijk is dat de printers door een andere partij worden beheerd dan het leerlingvolgsysteem of de financiële administratie.

Inzage in het beveiligingsbeleid van een organisatie is algemeen eigenlijk niet mogelijk. Ook bij beveiligingsbeleid rond persoonsgegevens is daarvoor geen bevoegdheid: de informatieplichten (artikel 13 en 14 AVG) verwijzen niet naar het beveiligingsbeleid. En bij het recht van inzage (artikel 15) kan geen inzage in genomen beveiligingsmaatregelen worden geëist.

Wel heeft de AVG het algemene beginsel van transparantie (artikel 5 lid 1 onder a), waaruit je kunt afleiden dat transparant zijn over de beveiliging van gegevensverwerking er desondanks bij hoort. Hierover is geen jurisprudentie, en in de richtsnoeren van de EDPB of Autoriteit Persoonsgegevens zie je hier niets over terug. Wel beschrijven veel partijen in algemene zin hun beveiligingsmaatregelen in de privacyverklaring, maar dat gaat zelden verder dan mooie beloften of opmerkingen dat ergens een ISO 27001 certificering voor afgegeven is.

In maart deed de Autoriteit Persoonsgegevens een oproep aan scholen en leveranciers van digitale leermiddelen op om goede afspraken te maken en open te zijn over het verwerken van persoonsgegevens van leerlingen. Hierbij noemt men expliciet dat duidelijkheid gegeven zou moeten worden over “[h]oe deze gegevens worden beveiligd, hoe lang de gegevens worden bewaard en in welke systemen”. Je zou met een beroep op deze oproep het gesprek aan kunnen gaan.

Arnoud De printer op de foto komt niet voor in het artikel.