‘Leg in het OER vast dat tentamens worden beoordeeld op studentennummer’

| AE 13353 | Privacy | 11 reacties

472301 / Pixabay

Het anoniem beoordelen van het werk van studenten moet op de UU verplicht worden om te zorgen voor een eerlijke beoordeling. Dat pleidooi las ik vorige week. Nee, geen internetrecht maar wel AVG en een hoop rechtenstudenten lezen deze blog, dus het krijgt vandaag toch een stukje aandacht hier. Want anoniem beoordelen zou niet kunnen volgens het CvB omdat de AVG in de weg zit. Eh, huh?

De kern van het pleidooi is dat de Universiteit Utrecht het anoniem beoordelen van tentamens en werkstukken verplicht moet stellen. Dit ter voorkoming van bias: een docent die weet dat hij het werk van Wim dan wel Wilma nakijkt, kan daar verschillende beoordelingen aan geven terwijl de antwoorden eigenlijk inhoudelijk hetzelfde zijn.

In 2020 zegde de rector van de UU nog toe hiervoor te gaan zorgen, maar dat werd later alsnog afgeblazen:

De vraag is volgens hem of anoniem tentamineren in alle gevallen past bij het uitgangspunt van het Utrechts onderwijsmodel. Dat gaat uit van kleinschalig onderwijs en persoonlijk contact tussen studenten en docenten. In sommige gevallen kan het dan bij de beoordeling van studenten juist een voordeel zijn als de docent de student wél kent.
De AVG was dus niet de eigenlijke reden. Die wet komt wel in beeld als het gaat om het verifiëren van de effectiviteit: deze wordt lastig aan te tonen als persoonlijke gegevens van studenten niet mogen worden verzameld. Ik vermoed dat dit zit in het externe onderzoekers toegang tot tentamens met naam en toenaam geven, of in het juist registreren van allerlei zeer privacygevoelige gegevens (denk aan geslacht of etnische afkomst) om op bias daartegen te testen. Dus ik snap die wel.

De studenten halen overigens genoeg onderzoek aan dat overtuigend laat zien dat die bias aanwezig is en dat anoniem nakijken dus effect daartegen zal hebben. Dan voelen de bezwaren toch weer meer als koudwatervrees, en is voor mij “soms kan het wél een voordeel zijn” dan niet goed te volgen.

Ik kan me als docent namelijk niet voorstellen dat je ooit iets haalt uit niet-anoniem nakijken. Ik zou het zelf juist lastig vinden, heb je een vraag op het randje en dan weet je dat het Wim is die dit vak moet halen of eruit gaat en dan direct terug naar Syrië kan (geen inschrijving = ongewenste vreemdeling). Die kennis moet je niet willen hebben bij het beoordelen van dat tentamen lijkt me.

Arnoud

Zijn hashes van vingerafdrukken anoniem of mogen ze toch niet van de AVG?

| AE 12721 | Privacy, Security | 27 reacties

Een lezer vroeg me:

Ik weet dat onder de AVG het gebruik van biometrie strikt beperkt is tot hele specifieke toepassingen. Ik wil als security officer biometrie inzetten en heb daarvoor een oplossing die met templates en hashes werkt, zodat er geen vingerafdrukken hoeven te worden opgeslagen. Een nieuw genomen vingerafdruk wordt tot een hash omgezet die wordt gematcht tegen een database. Dat lijkt mij veilig en bovendien buiten de AVG vallen. Onze FG zegt dat dit nog steeds biometrische gegevens zijn en dat het dus niet mag. Klopt dat?
Het klopt dat ook zo’n systeem met templates biometrische persoonsgegevens verwerkt, maar het klopt niet dat de AVG dan automatisch zegt dat het dus niet mag.

Een vingerafdruk is een biometrisch persoonsgegeven volgens de definitie uit de AVG, “fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon” (artikel 4 lid 14). Of je die kenmerken nou opslaat als een plaatje of als een feature vector, dat maakt niet uit. Je blijft die kenmerken van die vinger bewaren.

De meeste systemen die werken met vingerafdrukken of andere biometrie, verwijzen naar hashes en roepen dan dat het anoniem is. Dat is AVG-technisch niet waar. Een gegeven is pas anoniem als het niet meer tot een persoon te herleiden is, maar het is niet genoeg dat namen ontbreken of iets dergelijks. Een toegangscontrolesysteem dat vingerafdrukken opslaat met enkel daarbij “mag naar binnen ja/nee” zonder namen of rugnummers valt gewoon onder de AVG.

De AVG zegt dat je geen biometrische persoonsgegevens mag gebruiken behalve in uitzonderlijke gevallen. De relevante uitzondering is in Nederland opgenomen in de Uitvoeringswet AVG, artikel 29:

… het verbod om biometrische gegevens met het oog op de unieke identificatie van een persoon te verwerken [is] niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.
Die noodzaak is een hoge eis. Kort gezegd, je hebt eigenlijk geen andere reële optie – en je kunt onderbouwen dat andere opties niet goed genoeg werken. Vaak zie je dat men volstaat met “het is algemeen bekend dat biometrie heel veilig is” of “de kosten voor sleutels zijn hoog” maar dat is niet genoeg.

Voor mij zijn belangrijke factoren dat het echt nodig is dat je weet wélke personen naar binnen mogen (of toegang hebben), dat menselijk toezicht onhaalbaar is (bijvoorbeeld omdat men maar zelden naar binnen gaat) en dat alternatieven (zoals pasjes) geprobeerd zijn en vanwege een concreet probleem niet werken. Dus niet “we denken dat vingerafdrukken het beste zijn” maar “de rest werkt niet, zie hieronder waarom”.

Arnoud

Gordon wil anoniem reageren online onmogelijk maken, maar is dat haalbaar?

| AE 12525 | Uitingsvrijheid | 18 reacties

Zanger en entertainer Gordon is een petitie gestart waarmee hij wil zorgen dat anoniem reageren op internetfora en sociale media niet meer mogelijk is. De SBS-presentator vindt dat mensen een identiteitsbewijs moeten indienen voordat ze een account kunnen aanmaken. “Ik wil ervoor zorgen dat er jurisprudentie komt waar andere collega’s die gestalkt worden of van wie naaktfoto’s worden verstuurd op terug kunnen vallen”, zei hij eerder. Dat gaat nog best eens een probleem worden.

De aanleiding lijkt te zijn geweest dat Gordon een nieuwe televisieserie was begonnen over zijn hondje, dat volgens deskundigen te ziek zou zijn daarvoor. “Wij zien op basis van de vele filmpjes en foto’s dat de fokker van dit hondje zich niet aan alle regels heeft gehouden”, constateert de Hondenbescherming op basis van de voorschriften van de NVWA. Dit gaf vele anonieme commentaren, waarvan een groot deel inderdaad te walgelijk voor woorden is. Bij lang niet alle fora krijgt Gordon daar wat tegen gedaan, en vanwege anonimiteit is het lastig die mensen zelf aan te pakken. Vandaar het plan.

De presentator ziet het als oplossing als mensen niet meer anoniem een online account kunnen aanmaken. Hij stelt bijvoorbeeld voor om inlogs te koppelen aan de DigiD of het BSN. Dat heeft natuurlijk enig effect: wie weet dat zhij te traceren is, zal zich enigszins inhouden bij het doen van al te rare commentaren. Dit zal alleen wel een wetswijziging vereisen: gebruik van BSN voor dit doel – of voorschrijven van DigiD inlog – is niet mogelijk af te dwingen enkel met jurisprudentie. En ook meer algemeen, het eisen dat men de klanten identificeert is iets dat in principe een wet eist.

Je kunt natuurlijk (Lycos/Pessers) eisen dat het platform geeft wat men heeft, zoals het IP-adres. Maar stel nu eens dat ook het BSN of de gegevens van de DigiD-inlog daarbij zitten. Dan heb je toch nog steeds dezelfde route? Je elimineert alleen de tweede stap naar de internetprovider die IP-adres naar abonnee kan vertalen. Heel veel effectiever lijkt me dat niet.

In uitzonderlijke gevallen kun je binnen de huidige jurisprudentie de platformaanbieder aansprakelijk stellen. Het Delfi-arrest uit 2015 bepaalde dat een website die zeer controversiële berichten plaatst en weet dat daar grove, onrechtmatige reacties op gaan komen, zelf aansprakelijk is voor de inhoud daarvan. Wel lijkt het Hof de lat redelijk hoog te leggen: niet bij theoretisch mogelijk strafbare zaken, maar evidente dat-kan-écht-niet doodsbedreigingen en uitspraken die “tegen de menselijke waardigheid” ingaan. Dat lijkt dan aan te sluiten bij de regel die we al kennen bij de Europese notice/takedowns: alleen bij evident onrechtmatige zaken moet je ingrijpen als hoster of beheerder – en nee, niet alleen bij klachten, ook als je er zelf achter komt. Als je het zo bekijkt, dan zegt het Hof dus, je moet je comments gewoon lézen en als je dat-kan-écht-niet zaken ziet, dan moet je ingrijpen. Lees je niet, dan is dat jouw probleem. En Delfi deed weinig, te weinig, om in te grijpen bij dergelijke reacties.

Indirect zou van zo’n aansprakelijkheid een dreiging uit kunnen gaan naar platformeigenaren: als je dát soort troep doorlaat, dan ben je kennelijk zelf aan te spreken, en iemand als Gordon zal dat ook met veel kabaal gaan doen. Dus dan maar beter daarop modereren. Dan krijg je natuurlijk meteen de discussie dat daarmee alle platforms alle negatieve uitingen zullen gaan weren – of stoppen met commentaar in het algemeen – omdat ze niet kunnen modereren op enkel de zeer ernstige gevallen. Ik heb met dat laatste altijd wat moeite gehad. Natuurlijk, vrijheid van meningsuiting is een groot goed maar het soort oprispingen waar we het hier over hebben, zijn die echt niet te onderscheiden van de serieuze kritiek wegens dierenmishandeling die met een tikje emotie wordt geplaatst?

Arnoud

Volgens mij bestaat “echt geanonimiseerde data” helemaal niet bij locatiedata, maar goed

| AE 11846 | Privacy, Regulering | 12 reacties

De Algemene verordening gegevensbescherming (AVG) is niet van toepassing op echt geanonimiseerde data, las ik bij Security.nl. Deze citeert de Europese privacytoezichthouder (EDPS) die daarmee reageert op plannen van de Europese Commissie om mobiele locatiegegevens in de strijd tegen het coronavirus te gebruiken. Het punt is namelijk dat locatiedata van mensen geldt als persoonsgegevens, maar… Lees verder

Websites verantwoordelijk voor reacties anonieme bezoekers

| AE 7758 | Uitingsvrijheid | 35 reacties

Als bezoekers anoniem op een website bedreigingen achterlaten, kan de eigenaar van die website verantwoordelijk worden gehouden voor het verspreiden van die bedreigingen. Dat meldde Nu.nl gisteren in buitengewoon stellige termen: het Europese Hof voor de Rechten van de Mens heeft definitief een einde gemaakt aan een rechtszaak die al negen jaar lang voortsleept, en… Lees verder

Facebook moet pseudoniemen toestaan in Duitsland

| AE 4853 | Privacy | 17 reacties

De huisregel van Facebook dat je je echte naam moet gebruiken is in strijd met de Duitse privacywetgeving, las ik bij Nu.nl. Facebook meldt het bevel tot aanpassing van de Duitse privacywaakhond (nou ja, die van Schleswig-Holstein) te zullen aanvechten, want de Ierse collega’s hadden eerder nog geen problemen op dit punt bespeurd. Facebook hanteert… Lees verder

Ben ik strafbaar als ik een TOR exit node draai?

| AE 2890 | Ondernemingsvrijheid | 27 reacties

Een lezer vroeg me: Ben ik in Nederland strafbaar, of zou ik er problemen mee kunnen krijgen als, ik een Tor relay/bridge/exit-point opzet vanuit mijn flat? Mag dit van de wet? TOR is een open netwerk voor anonieme communicatie, die werkt volgens het principe van Onion Routing. Heel in het kort: een berichtje wordt niet… Lees verder