Bewaren van persoonsgegevens: het mag niet maar het moet wel!

| AE 6082 | Privacy | 16 reacties

ddr-backup-cartridge.jpgEen lezer vroeg me:

Volgens de Wet bescherming persoonsgegevens moet ik persoonlijke gegevens wissen zodra ik ze niet meer nodig heb. Echter, van andere wetten moet ik die gegevens dan nog bewaren (bv. financiële gegevens voor de Belastingdienst). Tevens heb ik natuurlijk backups, en die opschonen op zulke individuele bestanden is een ramp. Hoe moet ik daarmee omgaan?

De Wet bescherming persoonsgegevens bepaalt (art. 10 Wbp) dat persoonsgegevens moeten gewist of geanonimiseerd als het hebben van deze gegevens niet langer

noodzakelijk is voor de verwerkelijking van de doeleinden waarvoor zij worden verzameld of vervolgens worden verwerkt.

Als je bijvoorbeeld klantgegevens verzamelt om als webwinkel een aankoop aan te nemen, dan zijn deze gegevens niet meer noodzakelijk voor het doel “leveren bestelling” zodra het product bij de klant over de drempel is. Eigenlijk moeten ze dus meteen daarna worden gewist.

Maar persoonsgegevens hangen vaak samen met meerdere doelen. Na levering van een product geldt bijvoorbeeld nog een retourperiode van zeven werkdagen, en de klant kan nog geruime tijd later terugkomen met een conformiteitsclaim. Om die af te handelen, zijn ook zijn gegevens nodig. En omdat er dan nog een doel is voor de persoonsgegevens, mag je ze alsnog bewaren.

De Belastingdienst eist dat je je financiële administratie zeven jaar bewaart (art. 52 Algemene wet inzake rijksbelastingen). Dat is een doel dat ook samenhangt met de afhandeling van de aankoop, want de factuur is deel van je administratie. Die moet je dus bewaren en die mág je dan ook bewaren.

In de praktijk moet je dus eigenlijk per document bepalen “waarom staan hier nog persoonsgegevens in” en dan eventueel besluiten te anonimiseren of weg te gooien. Je kunt bv. de factuur bewaren maar het klantrecord uit je bestellingen-database wissen.

Bij een backup is dit een lastige. Het is inderdaad een hele berg werk om in een backup van een jaar terug dat ene bestandje met bestelling van klant 481 te wissen. De Wbp zegt echter nergens “wissen hoeft niet als dat veel werk is”. En vanuit privacyoogpunt is “dan moet je je backupstrategie maar anders inrichten” een goed verdedigbaar standpunt.

Maar een lastige blijft het. Weten jullie een backupstrategie die zo privacyvriendelijk mogelijk is? Ik kom niet verder dan “maak geen incrementele backups want dan zit je met een hele oude full backup met data die krachtens Wbp weg moet”.

Arnoud

De harddisk van een op leeftijd zijnde powerbook

| AE 5002 | Ondernemingsvrijheid | 40 reacties

powerbookStel je werkt zes jaar op een laptop zónder backups te maken, en je gaat op een dag dan naar de winkel om ze te vragen je daarbij te helpen. Kun je ze dan aansprakelijk stellen als je data alsnog kwijt raakt? Dat was de vraag in een recent vonnis over een “op leeftijd zijnde powerbook”.

De klant was bezig met een boek, een vertaling van werk van Pffeier uit het Oud-duits. Dat deed hij dus op die Powerbook G4 uit 2004, welke je toch als “op leeftijd” mag betitelen inderdaad. In november 2010 besloot hij toch eens over backups na te denken, en hem werd aangeraden My Passport for Mac te nemen, een externe harde schijf. Dat deed hij, maar in februari 2011 ging hij terug want hij kreeg het niet aangesloten.

Terug in de winkel werd aangeboden dat men dit voor hem kon doen, en oh we kunnen meteen uw besturingssysteem upgraden van Tiger naar Leopard. Wordt u al zenuwachtig bij het idee van een OS upgrade zónder voorafgaande full backup? Deze klant in ieder geval wel, dus hij liet op het innamebewijs opnemen

Meneer wil graag Macosx Leopard geïnstalleerd hebben op de mac met behoud van de Data. Het is voor meneer belangrijk dat deze behouden blijft. Indien mogelijk ook een kopie van de data op de bijgeleverde externe hdd.

U voelt hem al aankomen: een maand later kon de laptop worden opgehaald, maar helaas was de harddisk gesneuveld en alle data kwijt. Onder verwijzing naar de disclaimer “[gedaagde] is niet verantwoordelijk voor eventueel verlies van data” werd de claim van €15.000 (de uren voor opnieuw de vertaling maken) van de klant afgewezen. Dus naar de rechter.

De rechter begint met vast te stellen dat die disclaimer hier niet relevant is. Dat is een waarschuwing voor de kans dat data per abuis verloren kan gaan – maar hier ging het niet om upgradewerk met enig kans op dataverlies, maar om een overeenkomst van opdracht die specifiek ging over het backuppen van data. En als dat specifiek je opdracht is, dan is “oeps, alles is weg” geen acceptabel antwoord.

Maar die powerbook was economisch al jaren afgeschreven, en ook technisch zo oud dat die harddisk spontaan de geest kan hebben gegeven, zult u wellicht tegenwerpen. Dat mag zo zijn, maar als je als winkel dan toch zo’n computer inneemt en een overeenkomst van opdracht aangaat, dan wordt die spontaniteit alsnog jouw risico. Je bent een professional, en die worden geacht hier vooraf over na te denken en desnoods de opdracht te weigeren.

Het was kennelijk in de visie van [gedaagde] nog zinvol om het besturingssysteem van de powerbook up te graden, ondanks de leeftijd van de powerbook en de daarin aanwezige harde schijf.

Men had bijvoorbeeld in de winkel kunnen aanbieden de klant te helpen het zelf te doen met een USB stick of de data laten mailen naar een snel even aangemaakt webmailaccount. In die situaties zou de klant zelf het risico van dataverlies hebben moeten dragen. Maar neem je de laptop in met de belofte “met behoud van de Data”, dan zit je daaraan vast.

Aansprakelijkheid van de winkel dus. Maar welk bedrag? Dat is bij consumentenzaken altijd een hele moeilijke, maar in dit geval had de klant een mooie vuistregel: al dat werk opnieuw doen zou hem 300 uur kosten, tegen een uurtarief van 50 euro, oftewel 15.000 euro plus nog 100 euro voor de kapotte harde schijf.

Het kapot gaan van die schijf is echter niet de fout van de winkel geweest, dus dat hoeven ze niet te vergoeden. Maar die 300 uur werk die nu opnieuw moet, dat is wél dankzij een tekortschieten van de winkel ontstaan. Betalen dus!

Oh nee, toch niet. Het recht kent het concept “eigen schuld”: wie zelf bijgedragen heeft aan (het groter worden van) schade die hij lijdt, moet die component eigen schuld zelf dragen ook als de oorzaak van de schade bij een ander lag.

Aan [eiser] kan namelijk worden toegerekend dat hij niet recenter en vaker een back-up van het boek heeft gemaakt. Hij had dit bijvoorbeeld kunnen doen door het boek op een cd-rom te branden, op een usb-stick te zetten of te mailen naar een web-mail account. Hij wist ook dat dit kon, aangezien hij – zoals in zijn conclusie van repliek is vermeld – al eens eerder een back up van het boek door zijn zoon heeft laten maken.

In hoeverre moet dit nu worden meegewogen? Ik zou ook geen flauw idee hebben, en de rechter houdt het dan ook maar bij een 50/50 verdeling. De winkel moet dus €7.500 plus wettelijke rente en iets van €1.200 aan proceskosten vergoeden.

Wat vinden jullie? Logisch bij zo’n toezegging over de dienst? Of gaat dit winkels alleen maar afschrikken om herstelwerk te doen bij bejaarde powerbooks?

Arnoud

Het faillissement van een online-backupdienstverlener

| AE 3058 | Security | 19 reacties

Een lezer vroeg me:

Ik wil graag weten hoe de volgende zaken bij een online backupdienst geregeld zijn. Stel dat de provider failliet gaat. Op welke wijze is de klant dan gegarandeerd dat hij zijn data nog kan benaderen en dat de data terugkomt en dat hij de tijd heeft om zijn data kan weghalen?

Dit is niet geregeld en je hebt dus een probleem als dit gebeurt.

Online dienstverlening is zo nieuw dat er maar bar weinig geregeld is, en al helemaal niet op het gebied van beschikbaarheid en continuïteit. Als je de wet erbij pakt, kom je niet verder dan algemene zinnen als dat de dienstverlener “de zorg van een goed opdrachtnemer in acht nemen” moet. Maar dat vertalen naar een harde SLA is echt onmogelijk; dat moet de markt zelf verzinnen, is de gedachte. En pas als dat niet blijkt te werken, komen er misschien wettelijke maatregelen.

Een contract kan nog zo veel mooie dingen beloven, maar bij faillissement houdt alles op. De curator is gerechtigd de stekker eruit te trekken, ook bij klanten die al vooruit betaald hadden en ook bij klanten tegen wie gegarandeerd was dat het systeem zou blijven draaien ook na faillissement. En ja, dat is natuurlijk contractbreuk maar een claim wegens contractbreuk mag u indienen bij de boedel en die wordt dan misschien betaald – als de Belastingdienst en de bank zijn betaald.

De enige echte manier om dit te regelen binnen de huidige wetgeving is een stichting continuïteit opzetten die met de provider van de cloudprovider regelt dat het systeem blijft doordraaien na het faillissement. De stichting betaalt dan de rekening. Op die manier kan iedereen nog even doorhobbelen. Ook heb ik wel constructies gezien waarbij de data onder beheer van een stichting kwam (bijvoorbeeld door een nachtelijke kopie af te geven) die vervolgens bij faillissement deze toegankelijk maakt in een open bestandsformaat. Kan, maar iedereen moet dat wel apart regelen.

Biedt het bedrijf niet zo’n regeling, dan heb je twee opties: 1) de dienst niet gebruiken of 2) elke nacht een kopie maken van de data. Wat eigenlijk ook weer neerkomt op niet gebruiken want je zet nou net dingen online in een backup zodat je het niet zelf hoeft te backuppen. Maar iets beters weet ik niet.

En oh ja, meer over dit soort problemen lees je in ons nieuwe boek Cloud: Deskundig en praktisch juridisch advies waarvan de voorintekening net is geopend.

Arnoud

Opeisen van een mailbox na ontslag

Nadat de algemeen directeur van een arbeidsbemiddeling/trainingsbedrijf ontslag had genomen, merkte het bedrijf dat diverse medewerkers naar hetzelfde nieuwe bedrijf waren overgestapt als deze ex-directeur. Een onderzoek door -niet verbazingwekkend- Hoffman bedrijfsrecherche(*) ontdekte dat uit de e-mail postbus van de ex-directeur zeer waarschijnlijk bedrijfsinformatie was verwijderd, en mogelijk ook was gelekt (geforward). Daarop stapte het… Lees verder

Laptop vervangen, maar data terug kost geld (2) (gastpost)

| AE 1264 | Informatiemaatschappij | 2 reacties

In ‘Laptop vervangen, maar data terug kost geld’ vroeg Arnoud zich af of de fabrikant ASUS aansprakelijk kon worden gesteld voor het verloren raken van gegevens bij de reparatie van een laptop. Volgens de fabrikant was reparatie niet mogelijk, maar de koper hoefde zich geen zorgen te maken: de laptop werd vervangen. Maar er zat… Lees verder