Beveiliging Archieven - Pagina 8 van 21

Mag een bedrijf de gsms van werknemers tappen?

Geplaatst op 13 januari 20118 september 2012 in Privacy, Security, 12 reacties

Een lezer vroeg me:

Recent kwam in het nieuws dat de beveiliging op GSM-communicatie eenvoudig te kraken is. Nu vroeg ik me af, als deze techniek gemeengoed wordt, zou je daarmee dan ook als bedrijf je werknemers mogen aftappen om bv. te controleren op verboden privégebruik van hun mobiele telefoon?

Het opvangen van vrije signalen uit de ether is toegestaan, maar je mag daarbij geen bijzondere maatregelen nemen (zoals kraken van een encryptie). Zie artikel 139c Strafrecht. De beschikbaarheid van deze kraak verandert daar niets aan denk ik: het blijft een “bijzondere” maatregel om GSM-verkeer te kraken.

Verder staat in datzelfde wetsartikel dat het opnemen van andermans telefoongesprekken strafbaar, is maar met een uitzondering voor wanneer de eigenaar van de randapparatuur de tap uitvoert. Zie lid 2 sub 2: “door of in opdracht van de gerechtigde tot een voor de telecommunicatie gebezigde aansluiting, behoudens in geval van kennelijk misbruik”.

Dit wil echter niet zeggen dat sniffen zomaar mag omdat men eigenaar is van het apparaat. Het arbeidsreglement dient te vermelden dat men telefonie mag aftappen wanneer er een vermoeden is van misbruik van de faciliteiten of overtreding van de bedrijfsregels. Sniffen zonder dat de medewerker dit kan weten is m.i. per definitie onrechtmatig. En de OR dient in te stemmen met dit reglement (art. 27 lid 1 Wet OR). Sniffen is verwerken van persoonsgegevens immers.

Arnoud

Mag een serveradmin alle berichten van klanten lezen?

Geplaatst op 29 november 20108 september 2012 in Privacy, Security, 7 reacties

Een lezer vroeg me:

Mag een server-admin/eigenaar de mail van klanten op zijn server lezen? Aan de ene kant lijkt het logisch van wel: het is zijn apparatuur dus hij bepaalt wat er mag en wat er gebeurt. Aan de andere kant hebben de klanten toch recht op privacy, dus zomaar meelezen met chats of mails lijkt me dan niet de bedoeling.

Inderdaad, het is zijn apparatuur, maar dat wil nog niet zeggen dat hij dan maar alles mag met wat klanten opslaan op of verzenden met die apparatuur. Zodra je anderen toelaat op je systemen, heb je ook rekening te houden met hun belangen. Je mag niet zomaar mensen eraf gooien of zomaar meelezen met privécommunicatie.

Medewerkers van bedrijven die een telecommunicatiedienst (”dienst die geheel of gedeeltelijk bestaat in het overbrengen van signalen via een elektronisch communicatienetwerk”) aanbieden, zijn strafbaar als ze kennisnemen van de inhoud van die overgebrachte communicatie. artikel 273d Wetboek van Strafrecht. Afhankelijk van hoe je de definities leest is het verdedigbaar dat de beheerder van een forum daar ook onder valt. Het CBP vond dat in ieder geval begin vorig jaar.

Maar ook als die strafwet niet geldt, heb je als gebruiker van een systeem nog steeds enige aanspraak op privacy. Als het beheer je een faciliteit biedt die “privéberichten” heet, of e-mail waarvan iedereen die min of meer privé beschouwt, dan hoort daar de gerechtvaardigde verwachting bij dat het beheer die niet zomaar gaat lezen.

Natuurlijk kunnen er redenen zijn (spam, virussen, klachten) waarom het beheer dat wel gaat doen. Maar ze moeten er wel terughoudend mee zijn – en geheim houden wat ze lezen als ze vanwege zo’n reden gaan spitten in privéberichten.

Arnoud

Doorzoeken van een privélaptop mag ook niet zomaar

Geplaatst op 10 november 201018 september 2012 in Privacy, Security, 17 reacties

Een curator mag niet zonder meer privélaptops onderzoeken, ondanks dat er mogelijk bewijs van faillissementsfraude op te vinden is. Dat las ik gisteren op Webwereld naar aanleiding van een arrest uit Den Bosch. In deze zaak wilde de curator toegang tot gegevens op de privélaptop van de bedrijfsjurist van een failliet bedrijf, omdat hij vermoedens had van fraude.

In het originele vonnis vond de rechter het toegelaten dat de curator toegang mocht krijgen tot de laptop, maar in dit hoger beroep wordt dat echter teruggedraaid. De laptop was geen eigendom van het failliete bedrijf, dus kan de curator die niet zomaar opeisen. Wél heeft hij recht op inzage in de bedrijfsgegevens op die laptop. Hij mag een kopie van de data laten maken en deponeren bij een notaris om deze zo veilig te stellen.

Vervolgens is de vraag of de curator er ook iets mee mag doen. Mag hij de gegevens doorzoeken, of mag hij forensisch onderzoeksbedrijf IRS aan het werk zetten? Omdat het hier gaat om privacy, geeft het Hof geen algemene rechtsregel. Bij inbreuken op de privacy is het altijd afhankelijk van alle omstandigheden van het geval of het mag. Het Hof weegt dan ook de privacy van de jurist en het bedrijfsbelang van de curator tegen elkaar af. Wegen jullie mee?

In het voordeel van de jurist:

het betreft een laptop in privé-eigendom;
de privélaptop bevat ook “privacygevoelige privacybestanden”;
de bedrijfsjurist werkte voor zakelijke doeleinden altijd via het zakelijke netwerk, zodat de betreffende gegevens ook via dat netwerk te vinden (zouden moeten) zijn.

In het voordeel van de curator:

de curator heeft recht op de aan de failliet toebehorende informatie over haar administratie;
de curator heeft belang heeft bij onderzoek daarvan;
de bedrijfsjurist werkte dagelijks op deze laptop in het kader van zijn werk;
de bedrijfsjurist was lid van het managementteam en dicht bij het bestuur werkzaam;
de laptop is zowel zakelijk als privé gebruikt, zodat de bedrijfsjurist daarmee zelf heeft bewerkstelligd dat de gegevens vermengd zijn geraakt;
niet is uit te sluiten dat zakelijke bestanden uitsluitend op de harde schijf van de laptop zijn opgeslagen.

De curator had aangeboden dat de jurist er de hele tijd bij mocht blijven, zodat hij kon piepen als er sprake zou zijn van privégegevens. Maar dat vond het Hof niet genoeg. De curator had namelijk te weinig instrumenten om toezicht op IRS te houden, bv. een contract waarin stond hoe IRS met de gegevens om zou gaan.

Collega Wouter Dammers van Solv advocaten maakt me nieuwsgierig met zijn opmerking dat de curator “op andere wijze(n) inzicht kunnen krijgen in de betreffende zakelijke gegevens, zonder een inbreuk te maken op de bescherming van de persoonlijke levenssfeer van de bedrijfsjurist.”

Ik ben heel benieuwd hoe dan. Dit is namelijk écht een lastig probleem. Je ontkomt er niet aan dat je als onderzoeker privégegevens tegenkomt als je gaat zoeken. Afgaan op wat de jurist in dit geval zegt, gaat niet: hij zou natuurlijk te kwader trouw belastende gegevens zogenaamd als privédata kunnen aanmerken zodat je daar niet kijkt.

Oftewel: hoe doorzoek je een privélaptop naar zakelijke gegevens zonder kennis te nemen van privégegevens?

(Ook het doorzoeken van een bedrijfspc mag niet zomaar trouwens.)

Arnoud

Juridische stappen met de OV-chipkaart

Geplaatst op 9 november 20108 september 2012 in Security, 57 reacties

Het kraken van de OV-chipkaart is een fluitje van een cent, meldde PC-Active een tijdje terug. Op OV-chipkaart.org is te lezen hoe men de kaart kan uitlezen en de inhoud kan backuppen. TLS, het bedrijf achter de veelgeplaagde kaart, stuurde daarop een blafbrief waarin wordt gemeld dat men de site nauwlettend in de gaten zal houden en “juridische stappen” zal ondernemen. Ik moest lachen: het bedrijf houdt immers de gangen van iedere OV-gebruiker al nauwlettend in de gaten met die kaart.

Het uitlezen van een kaart en het vastleggen van de data die je dan krijgt, kan ik met geen mogelijkheid als strafbaar zien. Ook niet als je het omineus getitelde Mifare Classic Offline Cracker daarvoor gebruikt (maar het kan altijd hernoemd worden naar Mifare Security Verifier of zo natuurlijk). Ga je de kaart manipuleren, dan kom je in een grijs gebied. En ga je reizen met een gemanipuleerde kaart, dan pleeg je zeker een strafbaar feit: het valselijk opmaken van betaalkaarten (art. 232 Strafrecht).

Dat weet TLS ook maar al te goed, want er wordt niets gesommeerd of geëist. De brief komt neer op “we houden je in de gaten mannetje” en dat is een beetje merkwaardige manier van blaffen. Net zo merkwaardig vind ik de reactie van TLS dat dit “oud nieuws” zou zijn, want “tot nu toe is er nauwelijks fraude gepleegd”. Het lijkt mij toch nieuws dat je nu voor een paar tientjes je kaart kunt manipuleren, precies zoals TNO in 2008 voorspelde in 2008.

In een vonnis uit 2008 werd onderzoek naar het kraken van de OV-chipkaart overigens legaal verklaard omdat dit evident in het algemeen belang is, en er geen sprake was van het actief maken van nepkaarten of promoten van reizen met een nepkaart.

Zucht. Waarom is de reactie van dit soort clubs toch altijd om eerst te gaan blaffen en te dreigen met juridische stappen en pas daarna om eens na te denken dat het misschien ook wel ligt aan je eigen product? Dat had die rechter uit 2008 ze nota bene met zo veel woorden verteld.

Arnoud

Wat kun je met een IP-adres?

Geplaatst op 3 november 20108 september 2012 in Security, 32 reacties

Internetters zijn lastig te identificeren. Namen en e-mailadressen zijn zo vervalst, en ook op andere gegevens kun je nauwelijks afgaan. Het IP-adres is zo ongeveer het enige gegeven dat niet (nou ja, moeilijk) te vervalsen is als je met iemand communiceert. Het opvragen van een IP-adres is dan ook vaak de eerste stap als je juridische maatregelen tegen iemand wilt nemen.

Maar hoe betrouwbaar is zo’n IP-gebaseerde identificatie nu eigenlijk? Voor die lastige technische vraag stonden de raadsheren van het Gerechtshof Den Bosch recent. In een fikse ruzie tussen twee partijen was aangifte gedaan van smaadschrift per e-mail, maar die aangifte was geseponeerd. De benadeelde partij stapte daarop naar het Gerechtshof, want je mag via de zogeheten artikel-12-procedure eisen dat men alsnog vervolging instelt.

De smaadmail was via het contactformulier van de website verstuurd, dus via de logs van de site was het IP-adres van de verzender snel achterhaald. En dat adres bleek op naam te staan van de partij tegen wie hij aangifte had gedaan. (Iedereen die nu over RIPE of IANA begint: ik vermoed dat daarmee wordt bedoeld dat bij een reverse DNS lookup de domeinnaam van de wederpartij boven kwam.) Als bewijs werd daarbij een logfile van websitebezoeken overlegd.

De wederpartij ontkende ten stelligste dat hij het formulier had ingevuld: hij had een open netwerk achter dat IP-adres draaien, waar ook zijn gezin, de buren en diverse vrienden zomaar op konden. Een open netwerk als bewijs van onschuld? Volgens het Hof wel, en niet alleen omdat de logfiles eerder ophielden dan het tijdstip waarop de mail was ontvangen.

Uit de beschikking:

[N]aar het oordeel van het hof onvoldoende wettig en overtuigend bewijs aanwezig dat beklaagde de bewuste e-mail heeft verstuurd, gelet op het aantal personen dat kennelijk toegang had tot zijn computer. Naar het oordeel van het hof mag niet verwacht worden dat verder onderzoek nader bewijs zal opleveren.

In technische zin is het wel terecht: meer dan “vanaf deze computer is het verstuurd” kan men niet concluderen uit een IP-adres. De lijn doortrekken naar een specifieke gebruiker zal verdere omstandigheden vereisen, zoals dat hij de enige is die het wachtwoord weet of dat de PC op een afgesloten kamer staat waarvan alleen hij de sleutel heeft. En die omstandigheden liggen hier nu juist niet.

Maar het voelt ergens wel onrechtvaardig: de smadelijke uiting is zodanig dat eigenlijk alleen de eigenaar van de PC deze gedaan zou kunnen hebben.

Arnoud

Crimineel computernetwerk ontmanteld, mag dat?

Geplaatst op 27 oktober 201016 mei 2013 in Regulering, Security, 51 reacties

Een speciaal team van de nationale recherche heeft maandag een crimineel computernetwerk platgelegd, meldde nu.nl. Na klachten over het Bredolab-botnet vorig jaar werd een onderzoek ingesteld, waarbij maar liefst 143 command-and-controlservers aangetroffen werden. Deze werden maandag offline gehaald door provider Leaseweb. Het brein achter het botnet zou ook zijn gearresteerd.

Bij Tweakers laat men weten dat men de komende tijd gebruikers wil gaan waarschuwen dat hun pc geïnfecteerd is. En daar is men al mee bezig: klik maar op het plaatje om te zien wat je dan in beeld krijgt (dank aan Com-connect). Je krijgt dus als slachtoffer van dit botnet een redirect naar de server van de nationale recherche, en bent daardoor min of meer verplicht om je PC te gaan opschonen.

Ik vraag me af of dit kan. Het lijkt me niet echt de bedoeling dat de politie bij mensen gaat inbreken immers. Tegelijkertijd lijkt het wel netjes dat de politie je waarschuwt als er iets mis is met je beveiliging en je daardoor slachtoffer van een misdadiger bent geworden. Vroegah kreeg je ook wel eens briefjes door de deur “Tijdens uw afwezigheid stond het keukenraam open” of “Er liggen waardevolle zaken in deze auto, doe dat nou niet”. Zou er daarmee een parallel te trekken zijn?

We kennen in het recht de figuur ‘zaakwaarneming‘. Je mag andermans problemen gaan oplossen als daar een goede reden voor is en die persoon dat niet zelf kan doen. Als je buren op vakantie zijn en de kat zit hongerig alleen thuis, dan mag je de deur forceren en het dier naar een dierenarts of asiel brengen. (En de rekening is dan voor je buren.) Dat is dan geen inbraak maar een gerechtvaardigd binnentreden op grond van zaakwaarneming. Het lijkt me dat als dat mag, je ook virtueel naar binnen mag om te zeggen “hoi u heeft een botnet, doe er wat aan”.

Wie trouwens kan uitleggen waarom dit botnet a) 143 servers had en b) al haar servers bij 1 resellertje had staan, mag het zeggen.

Arnoud

Hoe veilig moet een smartphone zijn?

Geplaatst op 21 oktober 20108 september 2012 in Intellectuele rechten, Security, 33 reacties

Een lezer vroeg me:

Al enige jaren verbaas ik mij over het gebrek aan beveiligingsupdates/patches bij embedded systemen. Zo heb ik zelf een op Linux gebaseerde Nokia smartphone. Nu weet ik dat er regelmatig stabiliteits- en veiligheidslekken in Linux en de applicaties daar bovenop worden ontdekt, maar Nokia lijkt zich daar weinig van aan te trekken. Ik krijg namelijk nauwelijks firmware updates. Is een bedrijf niet verplicht om dergelijke updates te backporten als onderdeel van de aankoop van het produkt? Je mag immers verwachten dat het produkt naar behoren en veilig functioneert.

Dat is een goeie vraag, waar ik me ook regelmatig over verbaas. Inderdaad, een product moet aan de overeenkomst beantwoorden, en daarbij geldt dat

de koper mag verwachten dat de zaak de eigenschappen bezit die voor een normaal gebruik daarvan nodig zijn en waarvan hij de aanwezigheid niet behoefde te betwijfelen, alsmede de eigenschappen die nodig zijn voor een bijzonder gebruik dat bij de overeenkomst is voorzien.

Veiligheid lijkt me bij (embedded) software vandaag de dag wel een eigenschap die voor normaal gebruik nodig is. Je mag niet verwachten dat software foutvrij is, want iedereen weet dat dat niet kan voor de prijs van een smartphone, maar je mag wel verwachten dat fouten van tijd tot tijd worden gerepareerd lijkt me zo.

Niet iedere update of fix voor de originele software is automatisch ook passend voor de embedded software. Deze kan specifiek zijn voor de PC-versie in plaats van het embedded platform, hij kan dingen instabiel maken of eenvoudigweg te groot of complex zijn voor de embedded variant. Ik denk dus niet dat je mag verwachten dat elke security-update doorgevoerd zal worden vanuit de originele software. Maar waar ligt de grens?

Arnoud

Hoe lang mag ik camerabeelden bewaren?

Geplaatst op 29 juni 20108 september 2012 in Privacy, Security, 21 reacties

camera-cameratoezicht-filmen-surveillance-toezicht Een lezer vroeg me:

Ons bedrijf gaat buiten camera’s ophangen omdat er regelmatig dingen gestolen worden uit de auto’s op het parkeerterrein. Er worden netjes borden opgehangen, maar er is nu discussie over hoe lang de beelden bewaard mogen worden. Ik had gehoord dat dat maar drie dagen mag zijn, maar collega’s hebben het over een week, 24 uur of zelfs drie maanden. Welke termijn geldt er nu?

De wet noemt geen expliciete termijn voor het bewaren van camerabeelden. Camerabeelden zijn persoonsgegevens, en het maken van camerabeelden valt dus onder de Wet Bescherming Persoonsgegevens. Artikel 10 lid 1 bepaalt dat je persoonsgegevens (en dus camerabeelden) niet langer … dan noodzakelijk” mag bewaren voor de doelen waarvoor je ze verzamelt.

Je mag dus op zich de beelden zo lang bewaren als je zelf nodig acht, mits je maar kunt uitleggen waarom die termijn absoluut noodzakelijk is. Zoek je bijvoorbeeld bewijs van stelselmatig gedrag dat alleen op zondag plaatsvindt (diefstal uit auto’s bij een kerk bijvoorbeeld), dan zul je beelden van meerdere zondagen moeten bewaren om ze te kunnen vergelijken.

Er is één plek waar een termijn wordt genoemd. De vrijstelling voor videocameratoezicht bepaalt dat

De persoonsgegevens moeten uiterlijk 24 uur nadat de opnamen zijn gemaakt, of na -afhandeling van de incidenten, worden verwijderd.

Dit betekent dus niet dat het verboden is beelden langer dan 24 uur te bewaren. Het betekent alleen dat je geen beroep op de vrijstelling kunt doen. Moet je beelden dus langer dan 24 uur bewaren, dan zul je een melding moeten doen bij het CBP van je videocamerabewakingssysteem, en daarbij moeten vertellen hoe lang je de beelden dan wel bewaart.

24 uur lijkt me trouwens wel heel erg kort, ik kan me niet voorstellen dat in de praktijk bedrijven echt elke dag de opnames bekijken. Het zou een goede zaak zijn als deze termijn naar een week wordt opgerekt, al was het maar omdat je dan legaal verklaart wat iedereen toch al doet.

Arnoud

Naaktfotodief krijgt in hoger beroep strafverlaging

Geplaatst op 10 mei 20108 september 2012 in Intellectuele rechten, Security, 13 reacties

Het publiceren van naaktfoto’s op internet is op zichzelf genomen geen belediging. Dat blijkt uit een arrest van het Hof Leeuwarden van vorige week. De zaak was het hoger beroep in de Manon-Thomaszaak van vorig jaar april, waarin de verspreiding van foto’s en filmpje van de presentatrice naast auteursrechtenschending ook een belediging jegens haar werd genoemd. De veroordeling vanwege de auteursrechten blijft in stand.

De insteek “belediging” bij de rechtbank was gebaseerd op het idee dat publicatie van naaktfoto’s een inbreuk opleveren op het grondrecht van onaantastbaarheid van het lichaam. Die inbreuk is een “aantasting van de eer en goede naam”. Diezelfde redenering werd gehanteerd in een smaadzaak uit 2008 waarbij verspreiding van naaktfoto’s via filesharing als smaadschrift werd gezien. Ook daar was het enkele feit dat het naaktfoto’s waren, genoeg om van smaad te kunnen spreken.

Het Hof acht hier de context juist van wezenlijk belang:

Het plaatsen van een (privé)filmpje waarop een persoon naakt te zien is, is als zodanig en op zichzelf niet te beschouwen als het beledigen bij afbeelding.

Goed, het gaat om belediging en niet om smaad maar de achterliggende gedachte is dezelfde. Uit de context moet blijken dat je de bedoeling had om iemands eer en goede naam aan te tasten. Dat blijkt niet uit het enkele feit dat je een naaktfoto online zet. (Ik kan geen legitieme andere reden bedenken om zonder overleg een naaktfoto online te zetten, maar goed.)

De schending van de auteursrechten blijft grond om de verdachte te veroordelen. Wel wordt de oorspronkelijke veroordeling wat genuanceerd. De foto’s waren namelijk in eerste instantie alleen gepubliceerd in gedeelde mappen op MSN van zes contactpersonen. Dat is volgens het Hof geen openbaarmaking in de zin van de Auteurswet. Het publiceren op Youtube is dat natuurlijk wel.

Naast auteursrecht werd ook nog het portretrecht opgevoerd: het openbaar maken van een portret zonder daartoe gerechtigd zijn is namelijk ook een strafbaar feit (artikel 30 Auteurswet, en ja ik moest dat ook even nazoeken). Opmerkelijk genoeg oordeelt het Hof dat wél sprake is van publicatie van een portret wanneer je die portretfoto in zo’n gedeelde map zet.

Opmerkelijk, maar begrijpelijk, want het Hof vindt schending van de privacy (waar het portretrecht over gaat) belangrijker dan de commerciële belangen van de fotograaf:

Het hof heeft hierbij in aanmerking genomen hetgeen met betrekking tot openbaarmaking in artikel 12 van de Auteurswet is opgenomen en de strekking van de Auteurswet die er op gericht is het commerciële belang van de auteursgerechtigde te beschermen.
[Bij de schending van het portretrecht] spelen niet alleen commerciële belangen een rol maar ook privacy-belangen van de geportretteerde.

De 180 uur werkstraf waartoe hij in eerste instantie werd veroordeeld, wordt verlaagd naar dertig uur. Ook wordt het smartengeld dat de man moet betalen verlaagd van 5.000 naar 3.000 euro. Wel is hij zijn computer kwijt – die is immers gebruikt om het misdrijf “schenden auteursrecht” te begaan.

Arnoud

Mijn kind wordt in de klas gefilmd, mag dat?

Geplaatst op 28 april 201013 mei 2013 in Privacy, Security, 28 reacties

Een lezer vroeg me:

Op de basisschool van mijn kind wil men voor de jongste groepen permanent enkele camera’s in de klas hangen. Ouders krijgen dan een wachtwoord waarmee ze op elk moment van de dag kunnen inloggen en zien hoe hun kind het doet in de klas. Maar ik wil dit eigenlijk niet, hoe kan ik hier bezwaar tegen maken?

Bij cameratoezicht op het werk geldt de regel dat de ondernemingsraad instemming moet geven. Cameratoezicht valt namelijk onder de Wet Bescherming Persoonsgegevens, en op grond van de Wet op de Ondernemingsraad heeft de OR daar instemmingsrecht voor.

Een sterk vergelijkbare regeling staat er in de Wet medezeggenschap op scholen, artikel 13 sub i:

Het bevoegd gezag van een school … behoeft de voorafgaande instemming van het deel van de medezeggenschapsraad dat uit en door de ouders of de leerlingen is gekozen, voor elk door het bevoegd gezag te nemen besluit met betrekking tot … vaststelling of wijziging van een regeling over het verwerken van en de bescherming van persoonsgegevens van ouders en leerlingen;

Wil een school dus cameratoezicht in de klas invoeren, dan moet ze dat in zo’n regeling (reglement) opnemen en vervolgens de medezeggenschapsraad / ouderraad daarover laten stemmen. Ik vraag me af of er veel scholen zijn die dit een goed idee vinden. Je kinderen in de gaten houden op school lijkt me zowel voor het kind als voor de docent nogal een belasting. Elk foutje dat je maakt, wordt meteen vastgelegd en kan op de ouderavond aan de orde komen.

Een andere aspect is dat zo’n livestream wel goed beveiligd moet worden. Die beelden gaan over internet en zijn alleen bestemd voor ouders. Gewoon een webpagina met een wachtwoord lijkt me zwaar onvoldoende. Op zijn minst zou de videostream zelf beschermd moeten zijn met encryptie, alleen zit je dan weer met het probleem dat veel ouders de benodigde software niet aan de gang zullen kunnen krijgen.

Trouwens, ik krijg dit soort vragen ook wel over kinderdagverblijven. Deze wet geldt alleen niet voor kdv’s, hoewel ze wel vaak ouderraden hebben. Weet iemand of dat gebaseerd is op een wettelijke regel, of zou dat gewoon vrijwillig ingesteld worden?

Arnoud