Tag: avg

About avg

Subscribe Feeds

Wat moet je doen met een ICT-beheerder die per abuis persoonsgegevens krijgt?

Geplaatst op in Privacy, 4 reacties

Een lezer vroeg me:

In 2018 schreef je over verwerkerschap bij een derde partij zoals een ICT-beheerder. Je zei dat je geen verwerkersovereenkomst hoeft te sluiten met zo’n partij wanneer deze partij expliciet geen toegang wil hebben tot persoonsgegevens. Wat zou die partij dan wel mogen (of moeten) doen als hij toch persoonsgegevens krijgt? Iedere handeling daarmee is een verwerking, dus moet er dan toch alsnog gauw een verwerkersovereenkomst komen?

Het klopt dat je aan het verwerken bent als je persoonsgegevens langs ziet komen. Zelfs de enkele handeling van het wissen daarvan, is naar de letter van de AVG een verwerking. Maar persoonsgegevens verwerken wil niet zeggen dat je een verwerker bent.

Een verwerker ben je als je in opdracht persoonsgegevens verwerkt waar de opdrachtgever verwerkingsverantwoordelijke voor is. Die ander bepaalt het doel (dit moet je doen) en kiest de middelen (of tekent daarvoor af). Dat is de wettelijke definitie. Mijn salarisadministrateur is dus een verwerker, en mijn cloud-mailprovider is dat ook. Beiden doen wat ik zeggen dat ze moeten doen met de persoonsgegevens van mijn personeel en klanten.

Wie data tegenkomt buiten een opdracht, is dan ook per definitie geen verwerker. Volgens de AVG ben je dan zelf verwerkingsverantwoordelijke, oftewel je bepaalt zelf wat je er mee mag en moet. En dat is in dit geval heel simpel: je hebt geen grondslag om die gegevens te mogen hebben, dus moet je ze vernietigen. (De grondslag voor die vernietiging is dan ook de wettelijke plicht, artikel 6 sub c AVG.)

Ik twijfel nog of je als beheerder in zo’n situatie van een voor jou meldingsplichtig datalek moet spreken. Jij hebt immers geen geschonden beveiliging, zodat jij geen datalek hebt veroorzaakt. Maar je had wel data onder je op een plek waar die niet hoorde te zijn. Het meest logisch lijkt me echter dat je onmiddellijk de ‘echte’ verantwoordelijke in kennis stelt, waarna die wettelijk verplicht het lek zal moeten melden.

Arnoud

Mag ik de verbouwing van ons kantoor als timelapse op internet zetten?

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Een lezer vroeg me:

Wij gaan binnenkort ons kantoorpand grondig verbouwen. Nu leek het ons leuk om een timelapse te maken van de voortgang, en deze elke week te publiceren op onze blog. Zo blijft iedereen betrokken. Maar er staat dan wel een camera op de werkvloer, dus hoe verhoudt zich dat tot de AVG? Is een bordje genoeg?

Een timelapse is “een filmtechniek waarbij er minder beelden per tijdseenheid opgenomen worden dan de framerate bij het afspelen.” Je kunt bijvoorbeeld een werkdag lang elke 5 minuten een beeld vastleggen, waardoor je 96 beelden per dag overhoudt die tegen 24 frames per seconde dus een video van 4 seconden geven. Ben je dan drie maanden oftewel drie keer twintig werkdagen aan het filmen, dan houd je een leuke video van 4 minuten over.

Theoretisch gezien is ook één zo’n foto (frame, in videotaal) inderdaad een persoonsgegeven als daar iemand herkenbaar op staat. Deze opstelling staat dus elke vijf minuten in theorie een persoonsgegeven vast te leggen, zodat de cameravastlegging een verwerking van persoonsgegevens is.

Echter, bij zo’n samenvatting van drie maanden activiteiten op de werkvloer kan ik me weinig meer voorstellen bij persoonlijke gegevens. Eén flits per vijf minuten kan werkelijk geen persoonlijke informatie vastleggen naar mijn gevoel, en in de compilatie van 4 minuten na drie maanden blijft daar al helemaal niets van over. (Het zou anders zijn als je een gewone video/livestream van het werk vastlegt en daar achteraf een timelapse van maakt door selectief beelden te kopiëren.) Ik ben dus geneigd deze vastlegging géén verwerking van persoonsgegevens te noemen, in juridische taal “kom nou toch”.

Als je het wél een verwerking vindt, dan moet je vervolgens rechtvaardigen onder de AVG waarom je dit wilt doen. Ik kom dan al vrij snel bij de vrijheid van meningsuiting, de journalistieke verwerking dus. Je wilt het publiek informeren over jouw verbouwing, en toont daarbij hooguit schimmen die heen en weer flitsen. Dat voldoet aan de juridische definitie van journalistiek, en binnen de belangenafweging met de betrokkenen kom je volgens al heel snel uit bij dat dit door de beugel kan. Registratie, toestemming et cetera is dan allemaal niet van toepassing.

Dat gezegd hebbende lijkt me een bordje met toelichting bij het begin van het werkgebied wel zo gepast. Al is het maar omdat je aan de camera niet kunt zien dat er slechts eens per 5 minuten wordt gefilmd, zodat mensen kunnen gaan piepen dat ze gelivestreamed worden. En dát zou een heel ander verhaal zijn.

Arnoud

Minister wil data over criminelen makkelijker kunnen delen

Geplaatst op in Privacy, Regulering, 11 reacties

Minister Grapperhaus van Justitie en Veiligheid wil dat het eenvoudiger wordt om gegevens over criminelen te delen, las ik bij Security.nl op gezag van een interview in de Telegraaf. Het delen van gegevens over criminelen tussen overheidsinstanties is problematisch, omdat de AVG daar strenge regels over stelt. “Er kan nog zoveel worden gewonnen met uitwisseling van informatie. Het mag alleen geen inbreuk maken op de privacy, dan gaan misdadigers zich beroepen op fouten”, aldus de minister. De oplossing lijkt me vrij simpel, maar dat kan aan mij liggen.

Het klopt natuurlijk dat de AVG zeer streng is over de omgang met strafrechtelijke gegevens en andere informatie over strafbare activiteiten. Strenger dan voorheen: waar de Wbp dergelijke gegevens ‘bijzondere persoonsgegevens’ noemde, kent de AVG er een apart regime voor dat grofweg neerkomt op “daar mag je niets mee doen”. Letterlijk:

Persoonsgegevens betreffende strafrechtelijke veroordelingen en strafbare feiten of daarmee verband houdende veiligheidsmaatregelen mogen op grond van artikel 6, lid 1, alleen worden verwerkt onder toezicht van de overheid of indien de verwerking is toegestaan bij Unierechtelijke of lidstaatrechtelijke bepalingen die passende waarborgen voor de rechten en vrijheden van de betrokkenen bieden. Omvattende registers van strafrechtelijke veroordelingen mogen alleen worden bijgehouden onder toezicht van de overheid.

Heel plat zou je dan kunnen zeggen, er is geen probleem want je kunt als Nederlandse overheid dus gewoon een wetje maken waarin je zegt welke gegevens worden uitgewisseld en voor welk doel. Maar in de Uitvoeringswet (zeg maar de Nederlandse kop op de AVG) zijn nog wat extra beperkingen gesteld. Verwerken van die gegevens mag (artikel 31 UAVG) alleen als in de UAVG daar een grond voor is.

Artikel 32 noemt daarbij algemene gronden, zoals aparte toestemming, vitaal belang en kennelijk zelf openbaar gemaakt. Maar daar heb je als overheid vrij weinig aan. De meest passende grondslag staat volgens mij in artikel 33:

Persoonsgegevens van strafrechtelijke aard mogen worden verwerkt, indien: (…)
b. de verwerking geschiedt door en ten behoeve van publiekrechtelijke samenwerkingsverbanden van verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken, indien:
1°. de verwerking noodzakelijk is voor de uitvoering van de taak van deze verwerkingsverantwoordelijken of groepen van verwerkingsverantwoordelijken; en
2°. bij de uitvoering is voorzien in zodanige waarborgen dat de persoonlijke levenssfeer van de betrokkene niet onevenredig wordt geschaad;

Een aantal samenwerkende gemeenten valt onder dit sub b als ze dit doen om zich verplaatsende criminaliteit te signaleren en te bestrijden. De vraag is dan dus, welke noodzaak is er tot uitwisseling (iets dat je dus even moet uitwerken) en welke waarborgen moeten we nemen. Bij dat laatste moet je denken aan een onterechte vermelding, zoals na een vrijspraak in hoger beroep of een persoonsverwisseling.

“Het is bijzonder dat we die informatie niet kunnen uitwisselen”, zo citeert de Telegraaf burgemeester Aboutaleb na diens constatering dat hij gegevens over een criminele ondernemer niet aan de gemeente Nissewaard (voormalig Spijkenisse en Bernisse) mocht geven.

Dat klinkt alsof de AVG er keihard aan in de weg staat, een misverstand dat ik vaker hoor. De AVG verbiedt weinig echt keihard en categorisch: vrijwel altijd mág het wel mits je maar een goed verhaal hebt. En bij de overheid betekent dat, werk het maar eens uit in een wet of regeling en leg daarbij uit hoe je met die mensen wilt omgaan. Ik vind het bijzonderder dat dat kennelijk een probleem is, zeggen wat je van plan bent.

Arnoud

Kamer van Koophandel neemt maatregelen tegen zzp-spam

Geplaatst op in Ondernemingsvrijheid, 8 reacties

De Kamer van Koophandel stopt met het op grote schaal verkopen van kant-en-klare bestanden met adressen, las ik bij de NOS. Dit na aandringen van de Autoriteit Persoonsgegevens, omdat dergelijke handel in persoonsgegevens in strijd is met de AVG. De Kamer van Koophandel biedt al sinds jaar en dag bestanden aan met contactgegevens van ondernemers, waarmee telemarketeers en andere handige jongens snel gerichte reclame kunnen sturen. Een doorn in het oog van veel ondernemers, maar iets dat de KVK altijd rechtvaardigde met een beroep op haar wettelijke taak om gegevens over ondernemingen te verstrekken. Men stopt dan ook niet met de volledige toegang, maar alleen met de laagdrempelige bulkproducten.

Om even een misverstand weg te nemen: gegevens over ondernemers zijn persoonsgegevens, en blijven dat ook als ze in een openbaar register zijn opgenomen voor een wettelijk verplichte registratie. De AVG kent het concept van “publiek domein” of “openbare bron” niet, persoonsgegevens zijn persoonsgegevens als ze over een persoon gaan – en dat is bij een zzp’er of een vof gewoon het geval wanneer je gegevens over deze ondernemer(s) noteert.

De KVK heeft natuurlijk gelijk dat ze van de Handelsregisterwet 2007 een register moeten houden met daarin gegevens van alle ondernemingen in Nederland. Het is verplicht je daar in te schrijven, en vervolgens kan iedereen je daarin zoeken. Doel daarvan is primair dat je na kunt gaan of een bedrijf echt bestaat en wat de authentieke gegevens daarvan zijn.

Een onbedoeld bijeffect was dat bedrijven grote hoeveelheden gegevens gingen opvragen om zo marketingacties te kunnen doen: reclame per post, maar ook telefonische acquisitie en zelfs e-mailreclame. Dat laatste was altijd al een probleem onder de Telecomwet, maar bellen en met name post sturen zijn populair gebleven. Tot ergernis van vele ondernemers. Maar die marketeers riepen dan, het is een openbaar bestand en wij bellen het bedrijf, niet de persoon. Een argument dat dus zeker onder de AVG nu ongeldig is gebleken.

Natuurlijk kun je je afvragen of de wettelijke taak wel zo ver gaat dat je gegevens in bulk moet verkopen voor reclamedoeleinden. Dat mensen recht hebben op inzage of een kopie van iemands gegevens, betekent immers nog niet dat je het makkelijk moet maken om duizenden gegevens tegelijk te verstrekken. Dat standpunt heeft de AP dus ingenomen, zodat de KVK zich nu genoodzaakt ziet om te stoppen met deze handel. (Opvallend vond ik nog dat de KVK vorig jaar zei “Dat doen we al honderd jaar zo”, alsof dat een argument is bij een nieuwe wet.)

Arnoud

Ministers gevraagd of filmpjes van leraren in strijd met AVG zijn

Geplaatst op in Privacy, 16 reacties

De VVD heeft minister Van Engelshoven van Onderwijs en minister Dekker voor Rechtsbescherming gevraagd of filmpjes van leraren die door leerlingen worden gemaakt en op internet geplaatst in strijd met de Algemene verordening gegevensbescherming (AVG) zijn. Dat las ik bij Security.nl vorige week. De vragen zijn naar aanleiding van diverse filmpjes van leraren die op internet verschenen en leidden tot schorsing en ophef. De minister gaat niet over interpretatie van de AVG dus de vragen zijn juridisch niet zinnig, maar wel een aardige aanleiding voor de vraag: mag dat, je leraar filmen en dat op internet zetten?

Al in 2014 blogde ik over dit probleem, dat natuurlijk alleen maar groter is geworden de afgelopen jaren. En dan heb ik het niet alleen maar over opnames van lessen, maar juist over gekke situaties (‘pranks’, zeg maar pestgedrag waar je geacht wordt om te lachen) of escalaties die niet perse objectief in beeld komen. Het is logisch dat je als school daar wat mee wilt doen, of als getroffen leraar.

De AVG is nieuw, en zegt iets over beeldmateriaal, dus zal het wel een goede stok zijn om hier wat aan te doen. Een foto of video van iemand is natuurlijk een persoonsgegeven, maar dat wil echter niet zeggen dat je dus op grond van de AVG zo’n publicatie tegen kunt houden.

Allereerst zit je met het probleem dat deze leerling niet perse onder de AVG valt. De strikt huishoudelijke of privé-activiteit van verwerking is uitgesloten van de AVG. Voor jezelf en of een beperkte groep vrienden een filmopname maken zou best eens aan dat criterium kunnen voldoen. Daar staat tegenover dat een beveiligingscamera op de openbare weg hangen al buiten dat criterium viel en dus wél onder de AVG.

Ten tweede en belangrijker zit je met de vrijheid van meningsuiting, waar ook het maken van beeld onder valt. De AVG geldt maar beperkt bij journalistieke verwerkingen, zo heb je géén recht van verwijdering bij een dergelijke publicatie. Natuurlijk is een Youtube-publicatie van een schokkerig telefoonfilmpje heel wat anders dan een diepgravende documentaire van de BBC, maar dat is een kwaliteitstoets en geen juridisch relevant argument. Zolang de scholier er iets mee wil informeren of aan de kaak stellen, zit je al heel snel aan de AVG.

Daar staat dan weer tegenover dat een school gewoon huisregels kan stellen over het maken en/of publiceren van camerabeelden. Ik zou daar wel wat moeite mee hebben, omdat het vergaren van informatie een grondrecht is (deel van de vrijheid van meningsuiting) en een opleidingsinstituut die vrijheid niet zomaar even aan banden mag leggen. Maar als je het koppelt aan onaangekondigd filmen en/of tijdens de les, dan denk ik dat je zeker bij scholieren een heel eind komt.

Arnoud

Mag ik met mijn sitebezoekers meelezen voordat ze hun chatbericht sturen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 27 reacties

Een lezer vroeg me:

We overwegen een chatdienst voor onze webshop, en kwamen Tidio Chat tegen. Leuk en aardig, maar toen las ik “Use the Live Typing preview to see what your customers are typing before they even hit the ‘send’ button!” Is dat wel legaal onder de GDPR?

Mijn eerste gedachte toen ik dat las: waarom zou je dat willen als ondernemer? Omdat je dan net 2 seconden sneller de vraag kunt beantwoorden? Dat voelt als een nogal marginaal voordeel ten opzichte van de heisa die je je op de hals haalt. Maar er zijn er meer dan toevallig dit bedrijf die het aanbieden, dus kennelijk is er vraag naar.

Onder de GDPR zijn er vrij weinig dingen die echt nooit mogen. Het gaat altijd over de voorwaarden waaronder en de reden waarom je het wilt doen. Bij een online game lijkt het me best handig dat iedere toets die je indrukt, meteen naar alle medespelers gaat. Maar bij een geheim-dagboek-brainstormsite die je belooft dat je offline schrijft wat je wilt en daarna publiceert wat je écht meent, zou ik het raar vinden als ieder teken naar de site gaat.

Kort en goed, je moet vooraf zeggen wat je doet en waarom, en daarnaast een grondslag hebben. Die grondslag zal bij webwinkels vaak de overeenkomst zijn, je chat met een winkel omdat je iets wilt bestellen of iets besteld hebt en daar wat over wilt zeggen. Het opsturen van je chatberichten is dan redelijkerwijs noodzakelijk. Over dat direct meelezen kun je twisten, maar als je daar een argument voor weet te vinden, dan zit je snor wat betreft je grondslag.

Blijft over de informatieplicht. Je moet expliciet, duidelijk en in eenvoudige taal aangeven dat je deze feature toepast. En wel zo dat mensen het weten voordat het gebeurt. Dat is meestal waar het misgaat, want het staat zelden tot nooit ergens behalve wellicht in een privacyverklaring met omfloerste taal. En dan ben je af, in GDPR taal.

Wil je dit toch legaal inzetten, dan zul je expliciet bij het chatvenster moeten zetten “Let op: wij lezen mee met elke letter die u intypt, ook voordat u op Verzenden klikt”. Dat is niet voor misverstand vatbaar.

En als je dan denkt, ja maar dan wil niemand meer met me chatten, dat vinden ze niet leuk, dan heb je dus geen onderbouwing voor je noodzaak. En dan mag het dus niet.

Arnoud

Even iets anders: Ik schreef een GDPR-compliant science fiction verhaal

Geplaatst op in Iusmentis, 12 reacties

Ik zou nu een diepe basstem moeten opzetten en beginnen met “In a world… where the GDPR has taken over… one young woman takes up the fight” maar dat voelt iets te theatraal. Daarom houd ik het simpel: willen jullie eens wat anders van me lezen? Meer specifiek, een sciencefictionverhaal waarin inderdaad een jonge vrouw als ondernemer het opneemt tegen zwaar doorgeslagen GDPR handhaving door schimmige stichtingen waar innovatie en AI vrijwel onmogelijk is geworden? Welkom in 2k38.

Een tijd geleden zag ik een uitnodiging van het Instituut voor Informatierecht om mee te doen aan een science fiction writing competition. Dat leek me wel wat in het kader van “zoek eens een hobby, man”. Dus ik heb me opgegeven en na het nodige brainstormen kwam ik uit bij een plot waarin die private handhaving van de AVG nog eens heel groot werd, en Buma/Stemra achtige organisaties overal inspraak en geld eisen als je ook maar iets wilt doen met persoonsgegevens. Dat was de doodsteek voor AI en social media, totdat mijn hoofdpersoon een gat in de markt zag en met een AI app Europa veroverde. En wat er toen gebeurde – oké, nee ik zou geen Buzzfeed slogans meer doen.

Als echte nerd ga ik natuurlijk geen verhaal schrijven zonder tijdlijn en dergelijke. Dat liep een tikje uit de hand, daarom heb ik er een site van gebouwd. Hier staan ook wat andere verhalen en aanvullende informatie. Ik hoop daar in de toekomst mee te kunnen blijven schrijven. Wie suggesties of inspiratie heeft, ik hoor graag van je!

Welcome to the world of 2K38

(De uitslag van die competitie is vanavond, ik ben een van de drie finalisten. Wie in de buurt van Amsterdam is, er is nog plek)

Arnoud

Mag een sportschool ’s nachts mensen met gezichtsherkenning binnenlaten?

Geplaatst op in Ondernemingsvrijheid, Privacy, 18 reacties

Het hoeft niet, maar het kán: midden in de nacht fitnessen. Dat meldde BN De Stem onlangs. Een nieuwe fitness-zaak in Etten-Leur gaat gezichtsherkenning inzetten bij klanten, vanwege haar mogelijkheid tot 24 uur toegang. Mensen krijgen een eigen tag waarmee ze binnen kunnen. We werken met camera’s met gezichtsherkenning, die aanslaan wanneer er iemand binnenkomt die niet herkend wordt, zo staat in het artikel. Er is dan geen personeel maar je kunt hulp inroepen via een keycord.

Zakelijk vast een gat in de markt, maar was er niet iets met gezichtsherkenning en camera’s onder de AVG? Ja inderdaad. Wanneer je gezichten gaat fotograferen met als doel mensen herkennen, dan spreken we van verwerking van biometrische persoonsgegevens en dat valt onder de strenge regels van de bijzondere persoonsgegevens. Heel kort: afblijven tenzij in de AVG specifiek staat dat het mag.

In principe is het idee daarmee van tafel, want de AVG kent geen ontheffing voor het gebruik van bijzondere persoonsgegevens voor herkenning. Maar dat komt omdat de lidstaten het niet eens konden worden over hoe ver die regels dan mochten gaan. Artikel 9 lid 4 zegt dan ook dat de lidstaten zelf regels mogen maken over biometrie.

Nederland heeft dat gedaan in artikel 29 Uitvoeringswet AVG, en vrij breed ook:

[het verbod is] niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.

Het mag dus, als er maar een duidelijk belang daarvoor is én eigenlijk geen andere optie hebt ter authenticatie of voor de beveiliging. Je moet dit onderbouwen en die onderbouwing moet in je verwerkingsregister zitten.

Bij toegangscontrole wanneer er geen personeel aanwezig is, is biometrie een op zich redelijk betrouwbare keuze volgens mij. Natuurlijk kun je zeggen, zet een nachtportier neer of ga gewoon niet open. Maar dat vind ik geen reële alternatieven: ze zijn duur en niet perse betrouwbaarder – en gewoon dicht zijn is zakelijk natuurlijk onwerkbaar. Ik denk dan ook dat aan die noodzaak wel is voldaan.

Arnoud

Wat kun je doen om na de Brexit Engelse bedrijven data te laten verwerken?

Geplaatst op in Privacy, 15 reacties

Ook het laatste voorstel vanuit het Verenigd Koninkrijk om tot een ordelijke Brexit te komen lijkt te zijn mislukt, las ik in diverse media. Daarmee wordt de kans reëel dat men op 29 maart geen overeenstemming heeft bereikt met de Europese Unie over het vertrek van het land. Dat riep bij diverse lezers de zenuwachtige vraag op, mag ik dan nog wel persoonsgegevens bij Engelse (of Schotse of Welshe) bedrijven laten verwerken? Immers, zonder regeling is het VK straks gewoon een “derde land” en daar mag je eigenlijk geen persoonsgegevens stallen.

Onder de AVG zijn de regels voor opslag van persoonsgegevens buiten de Europese Economische Ruimte (de EU plus Liechtenstein, Noorwegen en IJsland) erg streng. Het onderliggende argument is dat deze landen geen fatsoenlijke wetgeving rondom persoonsgegevens hebben, en daarom die gegevens van Europese burgers gewoon niet moeten krijgen. Uitzonderingen daargelaten: twaalf landen zijn erkend als adequaat op dit gebied, en Japan is vlakbij erkenning. Met die landen kun je dus gewoon zaken doen rondom persoonsgegevens.

Voor andere landen ligt het ingewikkelder. Hoofdstuk V van de AVG noemt vele opties, maar de eisen zijn behoorlijk streng. Praktisch gezien zijn er twee werkbare opties: de uitdrukkelijke specifieke toestemming van de betrokken personen, en de zogeheten modelclausules als basis voor een overeenkomst met je Engelse bedrijf.

Toestemming. Artikel 49 AVG biedt deze optie, maar kleedt ‘m zo zwaar in dat het eigenlijk niets oplevert:

a) de betrokkene heeft uitdrukkelijk met de voorgestelde doorgifte ingestemd, na te zijn ingelicht over de risico’s die dergelijke doorgiften voor hem kunnen inhouden bij ontstentenis van een adequaatheidsbesluit en van passende waarborgen;

Even voor de duidelijkheid: hier staat niet dat je mag werken met een popup met vinkje “Ik ben akkoord met opslag van mijn gegevens in Londen”. Je moet een uitdrukkelijke handeling of verklaring halen en je moet kunnen bewijzen dat je mensen in eenvoudige en duidelijke taal (taalniveau B2, de folder bij de apotheek) hebt uitgelegd wat de risico’s zijn als hun gegevens in Engeland opslaat of een Engelse verwerker er mee aan de slag laat gaan.

Het zou flauw zijn om nu te zeggen, leg zelf maar eens uit wat die risico’s zijn. Maar ingewikkeld is het wel. In de kern komt het erop neer dat je niet kunt voorkomen dat die Engelse bedrijven die je erbij betrekt, andere dingen doen dan van de AVG/GDPR mogen. En dan heb ik het niet alleen over stiekeme toegang door overheidsdiensten zoals MI5 of Special Branch, maar ook over datahandel door die bedrijven zelf. Er is geen fatsoenlijke privacywet daar, dus je weet gewoon niet wat die bedrijven vinden dat legaal is.

Natuurlijk kun je dan zeggen, ik ga een contract met ze maken waarin ik dat gewoon keihard verbied. Dat is juridisch alleen niet genoeg binnen deze optie, je moet nog steeds die voorlichting bieden. En vooral – mijn grootste bezwaar – tegen deze optie: mensen kunnen hun toestemming te allen tijde intrekken. Dat maakt werken op deze basis erg wankel.

Werken met de zogeheten Model Clauses is dan ook volgens mij de enige reële optie. Je maakt dan een speciaal contract waarin in strenge taal (door de EU opgesteld en goedgekeurd) de Engelse partij allerlei plichten opgelegd krijgt over hoe om te gaan met persoonsgegevens, hoe te borgen dat jouw personeel of klanten hun rechten kunnen halen en hoe jij toezicht houdt op wat die Engelsen gaan doen.

Dit voelt als een redelijk papieren exercitie en dat is het natuurlijk ook. Maar het is wel iets om op papier mee verder te kunnen totdat de EU en het VK er werkelijk uit zijn. En dan hopen we maar dat dat binnen een jaar of twee bekeken is, want tegen die tijd zullen de model clauses sneuvelen vermoed ik gezien een rechtszaak van de onvermoeibare Max Schrems die tegen dit soort papieren tijgers ten strijde trekt.

De meer cynisch georiënteerde jurist zal dus zijn klanten eerder een vertrek uit het VK aanraden. Gebruik de model clauses als lapmiddel totdat je de migratie compleet hebt, maar heb een plan om weg te gaan op de kortst mogelijke termijn.

Arnoud

Je kunt als zzp’er eindelijk je btw nummer (oftewel je bsn) van je site halen

Geplaatst op in Ondernemingsvrijheid, Regulering, 21 reacties

De Autoriteit Persoonsgegevens heeft de minister van Financiën een verbod opgelegd waardoor de Belastingdienst vanaf 1 januari 2020 niet langer het burgerservicenummer mag gebruiken in het btw-identificatienummer van zzp’ers. Dat meldde Tweakers onlangs. De eis was vele zelfstandig ondernemers een doorn in het oog, omdat het btw-nummer verplicht vermeld moet worden op facturen – maar ook op je webshop en andere verkoopkanalen. Daarmee komt je bsn wel érg bloot te liggen. Waarom dit jarenlang desondanks zo werd vastgehouden door de Belastingdienst, is me altijd een raadsel gebleken. Maar het zou nu eindelijk opgelost moeten zijn.

Het burgerservicenummer of bsn is door de overheid ingevoerd om administratie (met name fiscale zaken) rond burgers te kunnen regelen. Omdat dit nummer zo belangrijk is, zijn er strenge regels over gebruik van dat nummer gesteld, die kort samen te vatten zijn als “je mag er niets mee, tenzij een wet specifiek en uitdrukkelijk zegt van wel”. Dit was eigenlijk altijd al zo onder de Wbp, en is nu onder de AVG precies hetzelfde gehandhaafd.

Al diezelfde tijd heeft de Belastingdienst zzp’ers een btw nummer gegeven dat bestond uit hun bsn gevolgd door ‘B01’. Dat was denk ik handig voor ze, omdat dan alle zakelijke inkomsten die via btw-aanslagen binnen kwamen, gekoppeld kon worden aan hun privé aangifte die onder het bsn bekend staat. Of zoiets. Ik heb eigenlijk nooit een officiële reden kunnen vinden. En nee, “zo werkt de ICT bij ons” is natuurlijk geen reden.

Dit was een probleem omdat andere wetgeving zzp’ers verplicht tot publicatie van hun btw nummer (en dus hun bsn), onder meer op hun website. Het btw nummer van de ondernemer is in veel situaties verplicht bekend te maken informatie bij aanbod van producten of diensten op afstand. Kort gezegd, tenzij je site alleen een reclamefolder is met een contactformulier moest je btw nummer in het colofon staan. Bepaald niet handig dus.

Eindelijk heeft de AP hier een eind aan gemaakt: er is geen fatsoenlijke reden om deze koppeling te hanteren, dus de Belastingdienst moet zzp’ers nu gewoon een nieuw btw nummer geven waar hun bsn niet in zit. Om technische redenen (“zo werkt de ICT bij ons”, kuch kuch) kan dit pas in 2020 van kracht worden. Wie het kan uitleggen, ik hoor het graag.

Diverse mensen mailden me met de vraag of ze nu toch nog een jaar dat bsn online moeten houden. Ik aarzel daarover. Eigenlijk vind ik het te gek voor woorden dat deze verplichting nog blijft gelden terwijl zo evident vaststaat dat daarmee de wet wordt overtreden. Het zou werkelijk idioot zijn als een webwinkelier of online dienstverlener een boete krijgt omdat hij zijn btw nummer niet vermeldt omdat zijn bsn daarin zit, gezien deze uitspraak van de Autoriteit Persoonsgegevens.

Maar theoretisch gezien overtreed je de wet, want de wetgeving die het btw nummer eist, houdt geen rekening met deze situatie. Dus het kan in theorie leiden tot boetes. Ik ken uit het verleden echter geen boetebesluiten van bv. de ACM over enkel het niet vermelden van je btw nummer op je site. Ik zou dus zelf geneigd zijn te zeggen: doe het niet als je je er niet prettig bij voelt, en trek hard aan de bel als je van wie dan ook te horen krijgt dat je de wet overtreedt.

Arnoud