Tag: avg

About avg

Subscribe Feeds

Mogen mensen je kind buiten fotograferen en op Facebook zetten?

Geplaatst op in Informatiemaatschappij, Privacy, Uitingsvrijheid, 8 reacties

Een lezer tipte me over deze Viva-forumdiscussie:

Vorige week werd ik getagged op Facebook in een bericht van een winkelcentrum in de buurt. Hierop staat mijn kind in het midden met verder alleen een ander persoon die je alleen van De achterkant ziet weglopen. Mijn kind zie je vanaf de zijkant en precies midden in de foto. Nu hebben ze de foto “bewerkt” en heeft mijn kind accessoires op zichzelf gefotoshopt gekregen van de fotograaf. Dit als onderdeel van het onderwerp van het Facebook bericht. Mag dit zomaar geplaatst worden zonder mijn toestemming?
De foto blijkt dus te zijn gemaakt door een fotograaf die ingeschakeld was door het winkelcentrum, en de accessoires zijn dingen die in het winkelcentrum te koop zijn. Daarmee werd niet geprobeerd het kind anoniem te maken, het lijkt veeleerder te zijn gegaan om de foto lekker grappig te maken.

Juridisch gezien is dit een typisch gevalletje “portretrecht niet in opdracht”, of onder de AVG een belangenafweging-legitiem-belang (u weet het, portretrecht bestaat niet meer sinds de AVG). Inhoudelijk komt het altijd op het zelfde neer: hoe groot was het belang van het winkelcentrum om deze foto zo te mogen tonen, en hoe groot is het privacybelang van het kind waar de ouders voor verantwoordelijk zijn?

Het gaat wat ver om te zeggen dat een winkelcentrum géén belang heeft. Ook een bedrijf heeft vrijheid van meningsuiting, maar hoe meer het naar zuiver commerciële reclame neigt hoe minder dat belang mee zal wegen. Zeker in situaties als deze waarin je makkelijk even kunt vragen aan geportretteerden wat ze ervan vinden, of lokale acteurs vragen, enzovoorts.

De privacy op de openbare weg is niet heel groot, maar zeker ook niet nul. Weliswaar mag iedereen je fotograferen op de openbare weg – en zo’n winkelcentrum is openbare weg ook al is ‘ie in privé eigendom – maar de publicatie daarvan moet nog steeds door die belangenafweging heen. En zeker bij kinderen mag je meer dan normaal verwachten dat ze met rust gelaten worden.

Een interessante zijsprong is nog of fotograferen in het winkelcentrum verboden is, zie de stickers bij de deur. Dan zou ik zeggen, dan heb je een hógere privacyverwachting. En dan maakt het niet uit dat de fotograaf voor het winkelcentrum werkte; je mag je onbefotografeerd wanen na zo’n sticker en het winkelcentrum moet dan meer dan normaal waarschuwen en opvolgen.

Alles bij elkaar neig ik naar: nee, deze publicatie moet eraf want er is niet even gevraagd of het kan.

Arnoud

Mag een tracking cookie van de AVG als je het “gerechtvaardigd belang” noemt?

Geplaatst op in Ondernemingsvrijheid, Privacy, 8 reacties

Een lezer vroeg me:

Sinds een tijdje valt het me op dat er steeds meer cookie-popups zijn die schermen met de term “gerechtvaardigd belang” als reden waarom ze cookies mogen plaatsen. Ook tracking cookies, terwijl dat toch gewoon onder toestemming valt volgens de AVG? Waar komt die term vandaan en hoezo is het niet misleidend om jouw commerciële belang op voorhand “gerechtvaardigd” te noemen?
Die term is inderdaad wat misleidend, zeker gezien hoe mensen de term nu gebruiken namelijk als schaamlap voor alles dat ze maar willen. Maar ‘gerechtvaardigd’ betekent niet dat jij het goed moet vinden, het betekent dat het binnen de wet past, van de wet te rechtvaardigen is.

In de kern komt het erop neer dat er situaties zijn waarin jij ook gewoon een belang hebt, bijvoorbeeld de bescherming van jouw eigendom (een grondrecht, immers). Dat belang moet je dan kunnen beschermen, zoals door cameratoezicht. De AVG zegt dan dat dat mag, mits je maar zo veel mogelijk de privacy van passanten beschermt.

Daar zit dan een hele belangenafweging in, inclusief zo mogelijk een opt-out op basis van persoonlijke omstandigheden. Maar in de kern zegt de AVG dus dat het mag, “in principe” zoals de AVG dat noemt.

Het lastige is natuurlijk wanneer een belang “gerechtvaardigd” is. De AVG gaat daar niet op in, en er is ook geen jurisprudentie hierover van het Hof van Justitie. Onze eigen Autoriteit Persoonsgegevens publiceerde in haar normuitleg hier wel een formulering over:

[Gerechtvaardigd] houdt in dat die belangen in (algemene) wetgeving of elders in het recht zijn benoemd als een rechtsbelang. Een belang dat ook in rechte beschermd wordt, dat beschermingswaardig wordt geacht en dat in beginsel gerespecteerd moet worden en ‘afgedwongen’ kan worden.
De insteek is dus dat een belang ergens te herleiden moet zijn tot de wet, zoals in mijn voorbeeld van het eigendomsrecht dat ik wil beschermen. Een ander belang zou kunnen zijn dat ik een rechtsvordering wil instellen tegen jou, omdat jij mijn schadeclaim niet betaalt. Daarvoor heb ik jouw persoonsgegevens nodig, en dat zou ik dan onder deze grondslag kunnen doen.

Bij al die cookiedingen wordt er geschermd met “direct marketing” als gerechtvaardigd belang, omdat de AVG dat expliciet noemt als een voorbeeld. Daar zet de AP tegenover:

Wat ook niet als een gerechtvaardigd belang kwalificeert, is bijvoorbeeld: het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten, etc
Over wat een “zuiver commercieel belang” is, heb ik het eerder gehad. Ik las dat als dat je “ik wil geld verdienen anders ga ik failliet” niet als belang mag opvoeren, maar de AP lijkt het te interpreteren als “iedere motivatie waarin ‘ik wil geld verdienen’ staat, is ongeldig”. Dat gaat wel héél ver, met name omdat grondrechten wél als gerechtvaardigd belang kunnen dienen en de vrijheid van ondernemerschap een grondrecht is. Net als de vrijheid van meningsuiting; als ik jouw privacy mag schenden door iets te publiceren, waarom dan niet door jou te tracken?

Specifiek bij cookies werkt dit trouwens bijna nooit. De Telecommunicatiewet eist toestemming voor ieder plaatsen of uitlezen van informatie, ongeacht wat de AVG eventueel zegt over de persoonsgegevens-aspecten van die informatie. Dus een cookie plaatsen of een remote software update uitvoeren mag alleen met toestemming.

De Nederlandse uitzondering daarop is dat cookies die geen of geringe privacy-inbreuk maken, géén toestemming nodig hebben. Daarmee kun je dus bijvoorbeeld third-party analytics inzetten, hoewel daar tracking cookies bij komen kijken. Als je dat goed dichttimmert, dan is dat legaal zonder toestemming – en dán kun je je dus op gerechtvaardigd belang beroepen. Ik zou dus zeggen vrijheid van informatiegaring – weten hoe je site bezocht wordt.

Arnoud

Massaclaim tegen Oracle en Salesforce wegens privacyschendingen

Geplaatst op in Privacy, 9 reacties

De Nederlandse claimstichting The Privacy Collective is een massaclaim tegen Oracle en Salesforce gestart omdat de bedrijven de persoonsgegevens van miljoenen Nederlanders zouden misbruiken. Dat meldde Security.nl onlangs. Oracle en Salesforce zijn beide zeer actief op de online advertentiemarkt en houden zich bezig met online advertentieveilingen, waarbij grootschalig in profieltoegang wordt gehandeld. Het is (na de Consumentenbond) de tweede massaclaim onder de AVG, en ik hoop natuurlijk dat er nog vele gaan volgen als dit een mooi uitgewerkt precedent gaat opleveren. Opmerkelijk voor sommigen is nog dat de claim wordt gefinancierd door het Britse Innsworth litigation funding, om zo het verbod op no cure no pay te omzeilen.

In de kern komt de achterliggende techniek erop neer dat wanneer je een site met advertenties bezoekt, allerlei bedrijven hun cookies op die pagina uitlezen om zo te achterhalen hoe interessant jij bent. Hoe meer informatie je dan kunt combineren, hoe beter je dat kunt. Vervolgens kun je een bod uitbrengen om een advertentie te mogen tonen, en het hoogste bod wint dan. Zoals Emerce het uitlegt:

Elke keer wanneer iemand een website bezoekt die gebruik maakt van RTB, worden er via een zogenoemd bid request persoonlijke gegevens gedeeld met tientallen zo niet honderden bedrijven. Die gegevens kunnen onder andere bestaan uit informatie over je exacte locatie, wat je online leest, luistert of kijkt, gevoelige informatie over je gezondheid of seksueel gedrag, en unieke codes waarmee op lange termijn een uniek profiel kan worden opgebouwd.
Twee van die bedrijven zijn dus Salesforce en Oracle. En nee, ik heb ook nooit informatie van ze gehad dat ik met cookies werd ge-rtb’d, laat staan dat mij duidelijk is gemaakt onder welke grondslag hier werd geopereerd. Dus ik zie de AVG overtredingen wel.

Het probleem is natuurlijk de schade: welk geldbedrag kun je zetten op het leed dat ik heb ondervonden door dit proces? Daar kom je niet uit, en welk bedrag het ook is, een beetje procesadvocaat komt daar zijn bed niet voor uit. (Niet arrogant bedoeld want weinig ondernemers zijn bereid om voor 500 euro opbrengst tienduizend euro kosten te maken.) Dus het moet wel massaal, claims bundelen om zo massa te creëren waardoor er genoeg geld binnenkomt.

Dan kun je dus no-cure-no-pay opereren als advocaat, maar dat mag niet in Nederland. Je krijgt dan als advocaat belang bij de uitkomst, bijvoorbeeld omdat je niet wil schikken (dat levert dan minder op) terwijl dat voor de klant de beste uitkomst zou zijn. En dat is dus waar Innsworth om de hoek komt kijken: die betalen de proceskosten, zodat de advocaat gewoon op uurtje-factuurtje werkt en naar de beste uitkomst kan streven.

Daar staat tegenover dat Innsworth een percentage van de opbrengst krijgt, als compensatie voor het risico. Dat geeft ophef; is dat niet zelf óók dan rijk worden van datahandel? Zeker met getallen als 30% die langsvliegen. Hoogleraar Joris van Hoboken (tevens bestuurslid van de stichting die deze rechtszaak aanspande) wijst erop dat het effectief maar om 11% gaat. En ik vind het argument sowieso wat ver gezocht, procedures als deze hebben geen kans van slagen als er niet iemand met een zak geld de boel voorfinanciert. En omdat deze partij risico loopt (bij verlies krijgen ze geen cent) snap ik de wens tot meeropbrengst wel.

Arnoud

 

Waarom zou je een videoconferentie of elearning mogen opnemen van de AVG?

Geplaatst op in Privacy, 6 reacties

Een lezer vroeg me:

Sinds de coronacrisis zitten we met z’n allen massaal in videovergaderingen, maar ook werkoverleg en online trainingen (elearning). Het valt me op dat de organisatoren dat vaak opnemen, en ik vroeg me af of dat wel in de haak is? Dat gebeurde bij ‘ouderwetse’ vergaderingen of trainingen ook lang niet altijd, dus echt nodig lijkt het niet. En toestemming wordt zelden gevraagd. Kun je hier je juridisch licht eens over laten schijnen?
Het gebruik van videotools voor overleg, kennisoverdracht en vergaderen is natuurlijk alomtegenwoordig, maar roept ook veel vragen op. Ik denk dat je in het algemeen wel kunt zeggen dat je daaraan moet meedoen, als het onderwerp van het overleg of de meeting sowieso al een verplicht nummer voor je was.

Het is al discutabel of je verplicht kunt worden je camera aan te zetten. Jezelf in beeld brengen is heel wat anders dan alleen maar meeluisteren. Ik zie daar niet meteen het nut van in, tenzij het bijvoorbeeld (in de context van een training) gaat om een oefening of presentatie. Dan wil je vaak ook zien hoe iemand het brengt of het doet, en dan is video dus essentieel.

Het opnemen van een overleg of training kan handig zijn, zeker bij elearning waarbij niet iedereen op hetzelfde tijdstip aanwezig kan of wil zijn. Dan kun je de opname achteraf terugkijken. Ik denk dat dát prima te rechtvaardigen is als een eigen belang (dat van de organisator en/of de deelnemers), mits je maar zorgt dat de opname dan ook echt alleen voor terugkijken wordt ingezet. Niet delen dus met derden, en wissen nadat de cursus is afgelopen.

Bij een vergadering vind ik dit iets minder logisch, is er werkelijk iemand die een vergadering wil terugkijken? Je zou zeggen dat notulen (of liever nog een actielijst) genoeg zijn om de essentie van de vergadering te achterhalen.

Dan heb je nog grapjassen die denken dat je onder de grondslag toestemming werkt, omdat je videoconferencingtool bovenin de uitzending zegt “Door deel te nemen geeft u toestemming voor opname”. (Ja ik kijk naar jou, Microsoft Teams.) Dat heeft natuurlijk nul betekenis die tekst, want dat is niet hoe toestemming onder de AVG werkt. Maar zelfs als er wél rechtsgeldig toestemming is: die kan de deelnemer op ieder moment intrekken, zonder gevolgen en zonder beperkingen (“nee sorry Jaap, je intrekking kan pas als hoofdstuk 3 klaar is”). Nogmaals, wie denkt op toestemming te kunnen varen, die schendt de AVG – of heeft een nieuwsbrief.

Arnoud

Moeten mensen bij een horecareservering hun contactgegevens opgeven?

Geplaatst op in Informatiemaatschappij, 24 reacties

Een lezer vroeg me:

Vanwege de coronacrisis is het bij restaurants, pretparken en dergelijke verplicht om je naam en/of adres op te geven. Geldt daarvoor ook de AVG en wat moeten ze je hierover informeren? En mogen die gegevens voor marketing worden gebruikt?

Als hygiënemaatregel geldt inderdaad sinds kort dat men verplicht is vooraf te reserveren (en dat een gezondheidscheck plaats moet vinden). Althans bij grotere zalen of ruimtes waar 100 man of meer kan zitten. Kleine cafés hoeven dus niet met reservering te werken.

De meeste bedrijven kiezen voor online reserveren, en de bouwers van zulke sites kiezen dan voor de standaard aanpak waarbij mensen naam en contactgegevens opgeven. Dat is immers hoe het altijd ging. Je zou ook per reservering een random getal kunnen genereren dat mensen kunnen noemen; mogelijk doet men dit niet omdat klanten die getallen kwijtraken.

Maar je valt inderdaad onder de AVG als je mensen laat reserveren. Dat het wettelijk verplicht is, maakt dat niet anders. Dat betekent alleen dat je in je privacyverklaring aangeeft dat je het vraagt omdát het wettelijk verplicht is.

Alleen: het ís niet verplicht om contactgegevens te vragen. De noodverordening eist alleen dat plekken op reservering worden uitgegeven, niet dat je weet hoe die personen heten of hoe je ze kunt benaderen. Ja, de minister wil die gegevens daarvoor gebruiken maar dat kan alleen met aparte toestemming.

Als je dus contactgegevens vraagt bij een reservering, dan moet je uitleggen waarom je die nodig hebt. Dus niet “om uw reservering te beheren” maar concreet, wat doe je met die naam en met dat mailadres? Bevestig je het daarmee (en gaat het mailadres dus daarna weg) of kan men daarmee inloggen en annuleren? Stuur je informatie naar het 06-nummer dat je vroeg? Hoe lang bewaar je die gegevens, hoe krijgt men inzage en wanneer gooi je ze weg?

Er mag veel, maar je moet het wel aangeven. Ook direct marketing op die gegevens is toegestaan, maar daar moet je wel een opt-out bij aanbieden (op het reserveringsformulier dus, niet in de privacyverklaring) en je moet in de privacyverklaring uitleggen wat je ermee doet.

Maar let wel: als je zegt dat het wettelijk verplicht is om die gegevens te verstrekken, dan hang je. Dat is niet zo, en dan verwerk je ze onrechtmatig (want je gebruikt de verkeerde grondslag). En dan mag je niet zeggen “oh ja ik bedoelde uitvoering overeenkomst” of “het was stilzwijgende toestemming”.

Waarom werkt niemand eigenlijk met iets anders dan naam en contactgegevens bij reserveren?

Arnoud

Hoe problematisch is de CLOUD Act nu echt?

Geplaatst op in Ondernemingsvrijheid, 26 reacties

Een hoop ophef en vraagtekens vorige week over het einde van Privacy Shield. Een belangrijke zorg was weggelegd voor de Cloud Act, want daarmee zouden Amerikaanse overheden ook toegang tot Europese data alhier kunnen vorderen. Daarmee zou de standaard oplossing – blijf in een Europees datacenter bij een Europees bedrijf – ook gevaar lopen. Hoe ver reikt die wet nu eigenlijk?

De Cloud Act is er gekomen naar aanleiding van een rechtszaak tussen Microsoft en de FBI over afgifte van data bij een Europese dochter van het Office-cloudbedrijf. Kort en goed zegt die wet, niet zeuren maar doen. Afgeven die hap, ook als die in het buitenland staat. Letterlijk (paragraaf 2713):

Electronic communication service providers and remote computing service providers must comply with the obligations of [this Act] to preserve, backup, or disclose the contents of a wire or electronic communication and any record or other information pertaining to a customer or subscriber within such provider’s possession, custody, or control, regardless of whether such communication, record, or other information is located within or outside of the United States.

Zo’n bevel kan aan Microsoft in Redmond, Washington worden gegeven. Die zou dan haar Europese dochter kunnen opdragen die gegevens door te geven, aldus deze wet.

Maar dat kan eigenlijk niet, want binnen de regels voor concerns kán een moeder niet direct bevelen wat een dochterbedrijf moet doen. Aandelen geven wel zeggenschap, maar geen bestuursbevoegdheid. Je moet dus het bestuur overtuigen, en dat kan eigenlijk alleen door te zeggen dat je het bestuur eruit gooit als ze niet doen wat je zegt. Dat zou nogal opvallen, en als in de statuten van die dochter ook nog vervelende dingen staan dan wordt dit helemaal een heilloze route.

Bovendien is er artikel 48 AVG:

Elke rechterlijke uitspraak en elk besluit van een administratieve autoriteit van een derde land op grond waarvan een verwerkingsverantwoordelijke of een verwerker persoonsgegevens moet doorgeven of verstrekken, mag alleen op enigerlei wijze worden erkend of afdwingbaar zijn indien zij gebaseerd zijn op een internationale overeenkomst, zoals een verdrag inzake wederzijdse rechtsbijstand, tussen het verzoekende derde landen en de Unie of een lidstaat, onverminderd andere gronden voor doorgifte uit hoofde van dit hoofdstuk.

Een bevel onder de CLOUD Act voldoet niet aan de eisen van dit artikel. De Europese dochter moet dit dus naast zich neerleggen, op straffe van hoge boetes (in theorie 20 miljoen Euro, art. 48 jo. 83 lid 5 AVG).

En meer algemeen vraag ik me dus al tijden af, hoe gaat dit überhaupt werken, dat vanuit Amerika opvorderen van persoonsgegevens? Moet de Ierse dochter van Microsoft dan een achterdeur inbouwen, komt er een bevel tegen de Ierse directie en zo ja hoe gaan ze dat dan afdwingen? Er zijn immers geen verdragen over wederzijds erkennen van zulke inzagebevelen. Dat is waar we al heel lang rechtshulpverzoeken voor hebben immers.

Ik zie hoe er een risico is als je data in de VS hebt staan, want dan kan men erbij en dat mag dan dus. Maar als je data hier staat en de beherend entiteit is Europees (ook al is de moedermaatschappij Amerikaans) dan zie ik gewoon niet hoe in de praktijk die data naar de VS zou gaan als de FBI dat zou willen.

Arnoud

Consumentenbond wil dat Facebook gebruikers compenseert voor schenden privacy

Geplaatst op in Privacy, 15 reacties

De Consumentenbond en de Data Privacy Stichting hebben Facebook gedagvaard in een poging om het socialenetwerkbedrijf te dwingen gebruikers te compenseren voor het schenden van hun privacy. Dat meldde Tweakers dinsdag. Deelname is gratis, wel wordt 18% van de toe te kennen schadevergoeding aan een advocatenkantoor betaald dat op no-cure-no-pay basis (of nou ja, niet helemaal) de zaak doet. De exacte dagvaarding kan ik nog niet vinden maar de kern is natuurlijk geen toestemming (grondslag) en geen verplichte informatieverstrekking onder de AVG. Ik zeg #teamConsumentenbond.

De AVG is er natuurlijk al sinds 2018 maar de reden dat de Bond nu pas deze stap maakt, is dat het pas sinds kort mogelijk is om een massaclaim met schadevergoeding te brengen bij de Nederlandse rechter (art. 3:303a BW). Tot die tijd had de Bond alleen een verbod kunnen eisen, maar dat schiet niet zo op want dat zal Facebook niet echt pijn doen. Dan verzinnen ze weer wat nieuws. Een schadeclaim, en vooral heel veel vervolgclaims vanuit de rest van Europa, dát doet pijn.

Had dit nu niet beter via de toezichthouder kunnen gaan? Die is natuurlijk al naar Facebook aan het kijken en ik zie daar ook echt wel boetes vandaan komen. Alleen, het is voor de AP lastiger om een boete op te leggen dan voor de Consumentenbond om een schadeclaim te doen. Een boete vereist een heel bestuursrechtelijk traject: inspraak, reacties, concepten, toetsing aan boetekaders en richtlijnen, zorgvuldige besluitvorming et cetera. Dat duurt naar zijn aard twee jaar. (Plus AVG-gedoe over de competente leidende toezichthoudende autoriteit, juristen krijgen hoofdpijn van deze wetsartikelen, artsen staan versteld).

Terwijl een schadeclaim bij de burgerlijke rechter gewoon een jaartje is met een paar rondes verweerschriften en repliek/dupliek en dan een uitspraak. De onderbouwing kan makkelijker: een boete moet je gedetailleerd motiveren, de schadevergoeding kan -in theorie- zijn “wat uwedelachtbare billijk acht (artikel 6:97 BW)”. En ja, het grote probleem is natuurlijk dat de Bond geen harde getallen op de schade kan zetten. Wat is je schade doordat Facebook je profiel blootstelde aan rare advertenties of politieke manipulatie? Inderdaad, laat ik ook liever aan de dikke duim, pardon het rechtsgevoel van de rechter. Maar denk aan 50 tot 100 euro.

Per persoon ja. En we hebben in Nederland iets van 14 miljoen volwassenen die dus kwalificeren als consument. Ook Facebook vindt iets van 14 miljoen maal 50 euro, zeker als er een dwangsom achteraan komt én andere consumentenbonden deze zelfde claim btrengen vanuit hun land. (Dit is meer dan de 10,4 miljoen Nederlandse Facebookgebruikers want daar zitten ook minderjarigen tussen en bovendien volgt Facebook je ook als je geen lid bent.)

Het voornaamste voor mij is dat dit volgens mij is hoe de AVG moet werken. Toezichthouders zijn leuk en aardig maar naar hun aard te grofmazig en traag om elke overtreding aan te pakken. Massaal kleinschalig handhaven werkt veel beter (daarom was ik ook zo blij met die Belgen). Het kan natuurlijk uit de hand lopen – lees daarvoor mijn World of 2K38 of voorinteken voor de graphic novel.

Arnoud

BKR krijgt boete van 830.000 euro wegens geld vragen voor inzage dossier

Geplaatst op in Ondernemingsvrijheid, 15 reacties

Het Nederlandse Bureau Krediet Registratie krijgt een boete van 830.000 euro omdat het geld vroeg aan mensen om versneld hun eigen dossiers in te zien. Dat meldde Tweakers maandag. Voor gratis inzage moest je vier weken wachten en een kopie identiteitsbewijs opsturen. Wie betaalde, kreeg direct toegang en wel elektronisch. Dat laatste maakt natuurlijk het verhaal rond gratis vanaf het begin een gotspe: hoezo kun je niet gewoon gratis je elektronische dossiers ontsluiten? Helemaal omdat het mensen betreft die naar hun aard financiële problemen hebben?

De boete was dus voor het niet gratis elektronisch antwoorden op elektronisch gedane verzoeken. Het moest per post, of je moest een betaald abonnement nemen. BKR maakt daarvan in haar kletspersbericht dat “uit de AVG niet duidelijk blijkt of het überhaupt verplicht is om digitaal inzage te faciliteren”. Ik citeer de AVG, artikel 12: “Wanneer de betrokkene zijn verzoek elektronisch indient, wordt de informatie indien mogelijk elektronisch verstrekt, tenzij de betrokkene anderszins verzoekt.” Oh en overweging 59: “De verwerkingsverantwoordelijke dient ook middelen te verstrekken om verzoeken elektronisch in te dienen, vooral wanneer persoonsgegevens langs elektronische weg worden verwerkt. ” Ik kan daar weinig onduidelijkheid in vinden.

Oh ja, het BKR zegt dan ook “De wet stelt duidelijk dat inzage verschaffen binnen een maand verplicht is”. Dat staat er niet, de AVG zegt “onverwijld en in ieder geval binnen een maand”. Dat is dus min(onverwijld, een maand) en niet onverwijld OR maand.

Daarnaast bleek dat het BKR dus actief communiceert dat je eens per jaar, en daarna werd dat twee keer, je gegevens mocht inzien. ‘Op onze website stond dat een consument een keer per jaar gratis inzage kon aanvragen, omdat wij zijn uitgegaan van de frequentie waarmee consumenten normaliter inzage doen. In de praktijk zijn we daar natuurlijk ruimhartig mee omgegaan. Dus is er naar ons idee geen sprake geweest van een overtreding van de AVG.’ Fijn dat je ruimhartig tegen je eigen regels in gaat, maar het is natuurlijk wél een overtreding van de AVG als je begint met dat het maar twee keer mag. Dat is niet wat in de wet staat, daar staat “met regelmatige tussenpozen”. Niet hetzelfde.

Dit is het digitale equivalent van dat bordje “de directie stelt zich niet aansprakelijk” of de website-disclaimer. Het slaat juridisch helemaal nergens op, maar toch schrik je een hoop mensen af. En dan zeggen “ja maar je kunt toch een jurist vragen” of “als mensen piepen dan zijn we ruimhartig”. Waar het om gaat is dat mensen niet hóeven te piepen. Zeker niet de BKR-geregistreerden: die zitten meestal niet in de financiële problemen omdat ze zeer assertief zijn en een jurist kunnen raadplegen bij juridische twijfels. Daarom vind ik het zo ergerlijk.

En och arme: ‘Het liefst zou Stichting BKR consumenten laten inloggen met DigiD en hun unieke BSN om gegevens te registreren en op te vragen, maar dat mag wettelijk niet omdat BKR geen overheidsinstantie is’.

Als laatste: ja, sinds 2019 is men gestopt met deze praktijk. En dat is leuk en aardig maar dus een jaar te laat. Dáár gaat het uiteindelijk om.

Arnoud

Je eigen gesprekken opnemen is je goed recht en daarmee basta

Geplaatst op in Privacy, Uitingsvrijheid, 31 reacties

Via de onvolprezen Charlotte Meindersma op Twitter:

Als ik jullie goed advies mag geven: wees bij een belangrijk gesprek nooit zo fatsoenlijk om te vragen of je het op mag nemen, maar doe het gewoon. Als je zelf deelnemer bent aan het gesprek, is het niet strafbaar.

Dat gaf enige heftige reacties, van ongeloof (“mag dat echt zonder te vragen”) tot gefronste wenkbrauwen gevolgd door grote woorden over de AVG en zelfs de Grondwet. Dat schiet bij mij in het verkeerde keelgat, want het is gewoon juist wat ze zegt.

Het is inderdaad niet strafbaar om gesprekken op te nemen waar je deelnemer aan bent (art. 139a Strafrecht). Je hoeft het niet te melden aan je gesprekspartner, en komt het uit dan heeft zhij ook geen recht op een kopie. De gedachte van de strafwet is dat afluisteren van andermans privégesprekken kwalijk is, maar als je zelf in het gesprek zit, dan is er geen probleem op dat gebied.

Naast het strafrecht heb je natuurlijk de AVG. Die vindt inderdaad iets van het maken van gespreksopnamen, want dat zijn persoonsgegevens die je dan verwerkt. Alleen: wanneer je die opname maakt voor jezelf, omdat je bewijs wil van wat er is gezegd en dat bewijs hooguit inzet in juridische procedures, dan valt dat onder de exceptie voor huishoudelijke doeleinden.

Krijg je natuurlijk meteen het verwijt dat “huishoudelijke doeleinden” heel beperkt uitgelegd wordt. Daar ben ik dus even ingedoken, en dat valt reuze mee. Het is natuurlijk in zoverre beperkt, want het moet gaan om iets particuliers (dus niet met je zakelijke pet op, ook niet als eenmanszaak) en iets dat tot jouw huishoudelijke activiteiten beperkt is. Oftewel jij in je eentje doet de hele verwerking, het gaat om mensen die dichtbij je staan en alles gebeurt op kleine schaal.

Ik zie werkelijk niet hoe “ik neem mijn eigen gesprekken op en bewaar die voor het geval er een juridisch conflict is waarbij ik de opname nodig heb” conflicteert met bovenstaande.

Minstens zo belangrijk: het opnemen van je eigen gesprekken valt vrij evident onder de informatievrijheid, het recht feiten en inlichtingen te mogen verzamelen (artikel 10 EVRM, artikel 11 Handvest). Dat is een grondrecht, net zo goed als privacy (artikel 8 EVRM) en bescherming van persoonsgegevens (artikel 9 Handvest). Vanuit dat perspectief is het raar om te zeggen “moet dat nou, je kunt het toch even vragen”. Je hebt geen ‘moet’ nodig om een grondrecht uit te mogen oefenen. Dat mag je, punt.

Natuurlijk kan het ene grondrecht botsen bij het andere, en dat is wat hier dan gebeurt. Een opname is inderdaad een inperking op iemands bescherming van persoonsgegevens, en mogelijk ook een privacyschending (ik twijfel, want je was erbij tijdens het gesprek en waarom is het dan privé als de ander terug kan halen wat je zei). Je komt dan in een afweging van belangen terecht, waarbij uitgangspunt is dat beide grondrechten even zwaar wegen.

Voor mij geeft uiteindelijk de doorslag dat a) het gaat om opname ten behoeve van bewijs, dus géén publicatie b) welk bewijs je niet op andere wijze kunt krijgen en c) een gesprek van karakter verandert als je zegt dat je het opneemt. Je verliest dus je positie als je zegt wat je gaat doen, en de privacy- of persoonsgegevensinbreuk zie ik als minimaal omdat het gaat om dat beperkte doel als bewijs.

Praktische tip nog: als je dit doet, maak dan pas zo laat mogelijk bekend dat je een opname hebt. Het netste lijkt mij dat je eerst gewoon samenvat wat er is gezegd (bijvoorbeeld in je bezwaarschrift of dagvaarding), als daar over gepiept wordt dan reproduceer je wat er letterlijk is gezegd en pas als men dán nog ontkent dan laat je de opname horen.

En nog eentje: het is handig als je de opname ergens bewaart waar er een onafhankelijke timestamp op gezet wordt (wellicht een soundcloud of online cloudopslag) en liefst waar bewerken niet zomaar mogelijk is zonder dat dat sporen achterlaat. Dan weerleg je meteen het verwijt dat je de opname gemanipuleerd hebt.

(En voor de zekerheid: wie om welke reden dan ook die gesprekken publiceert anders dan in een gerechtelijke procedure die kan zich niet op bovenstaande beroepen.)

Arnoud

Mag je inzage in je emailarchief weigeren onder de AVG?

Geplaatst op in Privacy, 21 reacties

Wat moet je doen als iemand inzage eist in emails die jij in je archief hebt? Met die vraag zag de rechter zich recent geconfronteerd in een zaak tussen zo te lezen een student (of medewerker) en een universiteit. De eerste wilde inzage in emails over hem, de organisatie weigerde dat voor een groot deel.

Bij elke AVG cursus is het weer een verrassing: het inzagerecht onder de AVG kun je ook uitoefenen op emails en andere informele documenten waarin je persoonsgegevens staan. Dat recht (op een kopie en uitleg van je persoonsgegevens) is niet beperkt tot formele dossiers of gestructureerde bestanden. En ja, dan heb je een probleem als je je emails niet netjes archiveert. Gelukkig voor organisaties staat daar tegenover dat als iemand zegt “ik wil alles dat u heeft” je niet elke backuptape op een eventuele nog in de prullenbak zittende mail hoeft na te lopen.

Een lastiger probleem is dat emails natuurlijk meer bevatten dan enkel je persoonsgegevens. Of dat de persoonsgegevens niet zuiver feitelijk zijn maar bijvoorbeeld een beoordeling – denk aan de mail van je manager aan HR over een recent incident waar je bij betrokken was, of de Slack-chatdiscussie over je sollicitatie vanochtend. Dat zijn dan wel persoonsgegevens van jou – ze zeggen iets over jou – maar dat is ook een stukje privé van die manager of collega’s.

De AVG kent daar een oplossing voor: op grond van artikel 23 (lid 1 sub i) hoef je geen persoonsgegevens te verstrekken voor zover dat noodzakelijk en evenredig is ter waarborging van de rechten en vrijheden van anderen. Dat is geen vrijbrief om te weigeren: het komt neer op dat je moet witmaken (niet zoals het COA) of weglaten wat je echt niet kunt onthullen. En ja, dat is een afweging per geval, geen generieke “emails bevatten interne opvattingen en worden dus niet verstrekt”.

In deze zaak was een berg mails weggelaten:

De rechtbank verwijst onder meer naar de e-mails met de nummers 4, 9, 12, 15, 17, 24, 39, 42, 47, 48, 52, 54, 58, 63, 66-68, 73, en 91. De rechtbank noemt als voorbeeld de passages die beginnen met: ‘Een email van een [naam] , die (…)’ in document 9, ‘Officieel zou [eiser] moeten aanvragen maar, (…)’ en ‘Waarschijnlijk omdat [eiser] (…)’ in document 12, ‘De heer [eiser] is sinds begin dit jaar al (…)’ in document 15 en ‘De goedkeuring door [verweerder] heeft lang op zich laten wachten door moeizame communicatie (…)’ in document 24. Deze passages, en ook andere in de hiervoor genoemde e-mail nummers, bevatten naar het oordeel van de rechtbank feitelijke of waarderende gegevens over eigenschappen, opvattingen of gedragingen van eiser. Door deze passages in de e-mails niet in het verwerkingsoverzicht te vermelden dan wel van deze passages geen afschriften aan eiser te verstrekken, kan eiser niet controleren of verweerder zijn persoonsgegevens op juiste wijze heeft verwerkt.

Ook dergelijke mails moeten dus worden verstrekt, zij het dat je irrelevante passages (die dus niet over de persoon gaan) mag weglaten. Maar je moet dan wel een motivatie per passage hebben waaróm het irrelevant is. Enkel de algemene formule dat het “gaat om interne notities die persoonlijke gedachten van medewerkers van [verweerder] bevatten en uitsluitend voor intern overleg en beraad zijn bedoeld”, is daarbij niet genoeg. De universiteit mag dus terug naar de tekentafel en opnieuw per mailtje bedenken waarom ze niet mogen worden ingezien.

Arnoud