Facebook mag pagina’s offline halen die in strijd zijn met haar eigen COVID-19 beleid.

| AE 12274 | Uitingsvrijheid | 17 reacties

Facebook mag pagina’s offline halen die in strijd zijn met haar eigen COVID-19 beleid, las ik bij Rechtspraak.nl. Dat is gek, want Youtube mocht laatst juist niet bepaalde video’s offline halen omdat ze in strijd waren met haar eigen regels.

De betreffende Facebook-regels dateren uit januari. Sinds die tijd “werkt Facebook samen met wereldwijde organisaties zoals de Wereldgezondheidsorganisatie (WHO) en UNICEF om hen te helpen bij de bestrijding van verspreiding van informatie over COVID-19 die schadelijk zou kunnen zijn voor de volksgezondheid”, lees ik in het vonnis. Dat komt zo terug in de voorwaarden:

Nu mensen over de hele wereld worden geconfronteerd met deze ongekende noodsituatie voor de volksgezondheid, willen we er zeker van zijn dat onze richtlijnen voor de community mensen beschermt tegen schadelijke inhoud en nieuwe typen misbruik die zijn gerelateerd aan COVID-19. We werken eraan inhoud te verwijderen die mogelijk schade in de echte wereld kan toebrengen, zoals door ons beleid voor het verbod op de coördinatie van schade, verkoop van medische maskers en gerelateerde goederen, haatdragend taalgebruik, pesten en intimidatie en desinformatie die bijdraagt aan het risico op dreigend geweld of fysieke schade.
In juli dit jaar ontdekte horeca-belangenorganisatie Smart Exit dat haar Facebookpagina “Nee tegen 1,5 meter” was verwijderd, en bij navraag werd gemeld dat dat was vanwege overtreding van dit beleid. Ook de organisatie Viruswaanzin overkwam iets dergelijks, al blijkt vervolgens onduidelijk wat er nu precies bij wie verwijderd was. De rechtbank wijst de eis niet af vanwege deze onduidelijkheid, omdat het gaat om een algemene vraag: mag Facebook eigen beleid voeren over wat je wel  en niet mag zeggen over COVID-19?

Die discussie is terug te voeren op wat juristen noemen de horizontale werking van de vrijheid van meningsuiting. Die vrijheid geldt namelijk in principe tegen de overheid (“verticale werking”): die mag jou niet verbieden je mening te uiten, behalve voor zover noodzakelijk én wettelijk geregeld. Andere burgers (of bedrijven) zijn niet zo hard gebonden aan dat verbod. Die hoeven niet mee te werken en mogen je zelfs hinderen.

Pas als de vrijheid van meningsuiting als geheel in gevaar komt, dan kan dat anders komen te liggen. Dat is precies waar het Appleby-arrest over gaat (dat vanwege de AVG kennelijk nu het [partij]/Verenigd Koninkrijk-arrest heet):

Where, however, the bar on access to property has the effect of preventing any effective exercise of freedom of expression or it can be said that the essence of the right has been destroyed, the Court would not exclude that a positive obligation could arise for the State to protect the enjoyment of the Convention rights by regulating property rights.
Facebook heeft weliswaar een enorm bereik met haar platform, maar dat is op zichzelf nog geen argument dat zij dus maar iedere mening toe moet staan. Sterker nog: als je dat citaat hierboven goed leest, dan staat er dat in zo’n situatie de overheid iets moet doen, namelijk een wet maken om Facebook op dit punt te reguleren. Niet dat Facebook dan automatisch alles toe moet laten.

Indirect heeft de vrijheid van meningsuiting wel effect op relaties tussen burgers onderling. In juridische taal, deze werkt door in bijvoorbeeld de redelijkheid en billijkheid of de maatschappelijke betamelijkheid. Ook dan is het geen automatisme dat je dus alles moet mogen zeggen, een toetsing blijft vereist. En in dit geval valt die uit in het voordeel van Facebook:

In het licht hiervan wordt wel het volgende overwogen. Facebook handelt door haar COVID-19 beleid te hanteren voorshands niet in algemene zin in strijd met hetgeen – naar huidige opvattingen – maatschappelijk betamelijk is. Zij heeft een maatschappelijke plicht om zich te houden aan overheidsrichtlijnen, tenzij die evident onjuist zijn. Dat is voorshands niet het geval. Het wetenschappelijk en maatschappelijk debat over COVID-19 en wat passende en doeltreffende maatregelen zijn, is nog gaande.
En dan gaat de rechtbank nog een stapje verder. Want Facebook volgt de Europese aanbevelingen van de overheid, en die aanbevelingen moet je dan juist zien als een (softe) regulering van het spanningsveld tussen de uitingsvrijheid, de volksgezondheid en de belangen van Facebook en haar gebruikers. Daarmee doet Facebook dus eigenlijk al precies

En wat is nu het verschil met Youtube? Daar werd vooral gezegd dat in het algemeen kritische uitingen op overheidsbeleid en wetenschappelijke bevindingen niet zomaar tegengehouden mag worden, maar wel gevaarlijke uitingen afkomstig van een huisarts: die nemen mensen eerder serieus. Dus dat voelt als een specifieker geval dan deze uitspraak.

Arnoud

Studenten protesteren tegen tentamensoftware die beelden van hun huiskamer opslaat

| AE 11897 | Informatiemaatschappij, Privacy | 25 reacties

Kijk. Dit is dus wat ik gisteren bedoelde. “Studenten ervaren software voor online tentamens als een inbreuk op hun privacy”, meldde de Volkskrant onlangs. Schandalig, je moet tijdens tentamens iemand mee laten kijken via je webcam (én je mobiel die je op 3 meter afstand op je werkplek moet richten) zodat ze kunnen nagaan of je niet fraudeert. Dat is dus geen sterk verhaal, ondanks dat je de AVG erbij kunt halen want er zitten vast ergens bijzondere persoonsgegevens in beeld (niet gniffelen daar achterin) en oh ja er kijken algoritmes mee. Nee, hier is iets anders mis.

Sinds de coronacrisis zoekt iedereen naar manieren om op afstand te kunnen werken. Dat betekent vaak vanuit huis aan de slag, en communicatie gaat dan vaak met video want dat voelt handiger (of zo, ik ben zelf te ouderwets daarvoor). Ook bij studie of school, en dan wordt het gelijk ingewikkelder want daar moet getentamineerd of getoetst worden en daarbij ligt fraude op de loer.

De oplossing waar dan naar gegrepen wordt, is toezicht. Net als in de tentamenzaal immers. Dus je webcam aan, en om te voorkomen dat het hulpje dan achter je scherm gaat zitten (of er voor? in ieder geval, waar de webcam het niet ziet) moet er dan ook nog een opstelling met je telefoon gemaakt die dan een overzichtsbeeld geeft. En algoritmes analyseren dan de beelden op fraude-achtige signalen (iemand die door het beeld loopt, met name, of dat je opstaat) waarna je in aanmerking komt voor een extra onderzoek. Nee, word ik ook niet vrolijk van als ik mijn eigen studietijd met zulke tooling zou voorstellen.

Maar is het dan echt de beste koers om over je privacy te beginnen? Dat is dus precies wat ik gisteren bedoelde, waar het mis mee gaat met dat argument. Als je tentamen doet, moet je privacy maar even wijken, is het gemakkelijke tegenargument. In de tentamenzaal mag ook je boek geïnspecteerd en in de tas kijken bij enig vermoeden, daar moet je ook maar mee leren leven. Je wilt toch dat vak halen? Nou dan.

Het is vooral: die discussie leidt af van het werkelijke punt, dat de Volkskrant in een ander artikel aanstipte: het kan zo veel beter bij afstandsonderwijs:

Denk aan een toets waarbij een studieboek gebruikt mag worden (een openboektentamen), essays, mondelinge presentaties en ‘take home examens’, een test waarbij studenten enkele uren of dagen de tijd krijgen om een opdracht thuis uit te werken. … Geluk bij een ongeluk: dit zijn stuk voor stuk toetsen die zich lenen voor een ‘formatieve beoordeling’, waarbij het er niet om gaat of je slaagt of faalt voor een opdracht, maar je duidelijk wordt gemaakt waaraan je moet werken.

Cru gezegd: een universiteit die kiest voor digital proctoring, is lui en niet geïnteresseerd in zich aanpassen aan afstandsonderwijs. Als het onderwijs anders gaat, hoort ook de toetsing dat te worden. En dat de student dan op afstand allerlei hulpbronnen in kan zetten die hij in het zaaltje niet kan, dat is dan een gegeven waarmee je vertrekt bij je beoordelingsmethodologie. Dát zou de discussie moeten zijn, en niet hoe je toestemming voor proctoring vraagt of hoe je het beste iemands laptop inspecteert op overlegsoftware.

Arnoud

Wat gaan we doen met die corona-app van de overheid?

| AE 11876 | Privacy, Regulering | 30 reacties

De Nederlandse overheid is van plan om twee apps te gebruiken om besmettingen met het coronavirus te traceren. Dat meldde Tweakers eergisteravond. De eerste app “vertelt je of je in de buurt bent geweest van een andere gebruiker, die besmet blijkt te zijn. Je krijgt dan het advies om binnen te blijven en het verzoek om een tweede app te gebruiken”, aldus de minister. Die tweede app is bedoeld om makkelijk contact te houden met een dokter in de buurt. Het roept natuurlijk de nodige privacyvragen op, inclusief de onvermijdelijke dooddoener dat privacy zou moeten wijken voor volksgezondheid. Helaas is er nog veel onduidelijk hoe het werkt, zodat het lastig is precies te zeggen of dit nu goed gaat of niet.

Een oud gezegde in de IT luidt: ongeacht het probleem is de oplossing een database. Dat zou hier ook vrij voor de hand liggen, zeker als er met haast aan een app wordt gebouwd. De app stuurt door waar je bent geweest, dat wordt centraal opgeslagen en zodra bekend is dat persoon X besmet is, kijk je in die database welke personen bij hemhaar in de buurt waren en stuur je iedereen een quaraintaineverzoek.

Nadeel: dan heb je dus een database waar van iedere Nederlander in staat waar ie is geweest, en dat zal onvermijdelijk leiden tot feature creep en ander ongewenst gebruik. Want niets zo permanent als een noodoplossing (de noodgebouwen van mijn vwo-school stonden al 10 jaar toen ik brugwup was, en werden vijf jaar geleden gesloopt). En ik hoop dat ook de “privacy moet even wijken voor de volksgezondheid/ de economie”-mensen het met me eens zijn dat dit geen handige oplossing is.

Hoe moet het dan wel? Nou ja, uit gaan van het minimale, beginnen met privacy en dan kijken waar je aan moet knabbelen. Bijvoorbeeld heel simpel, de app houdt lokaal bij wie hij heeft gezien, en pas bij een besmetting wordt er -op peertopeer wijze- informatie uitgewisseld tussen telefoons. Ik hoef niet te weten wie er in Groningen besmet is als ik in Amsterdam thuis blijf, dus er hoeft geen database te zijn waarin mijn locatie en die van die Groningse opgeslagen is.

Is er een besmetting, dan wordt een unieke code voor het slachtoffer verspreid onder appgebruikers (zeg maar een pushbericht) en je telefoon kan dan nagaan of je die persoon in de buurt hebt gehad. Hier gaan techneuten dan los met hashing en zero knowledge proofs; ik vat dat even samen met dat je dan niet meer weet dan “je was in de buurt van een besmet iemand” en dat kan zodanig dat je niet eens een persoonsgegeven hebt in de vorm van iemands serienummer. Een uitwerking hiervan is al beschikbaar ook: Pan-European Privacy-Preserving Proximity Tracing.

Op Twitter las ik het voorstel voor, ahem, ‘Covimon Go‘ van André Koot. Die zet de toegang tot informatie voorop, wie mag erbij en waarom. Dergelijke systemen zijn bekend bij onder meer Pokemon Go, vandaar de naam. Je hebt dan niet meer nodig dan “Op deze geo heeft het afgelopen uur iemand met de status ‘besmet’ rondgehangen.” in de centrale database, en die informatie kan dan worden ontvangen door iedereen die daar ook recent geweest is. Je hebt dan niet eens een login of zelfs maar een identifier nodig.

Probleem blijft natuurlijk: hoe weten we dat iemand de status ‘besmet’ heeft? Met weinig testen is dat heel ingewikkeld, en dan heb je ook nog eens de vals positieven zoals de automobilist die naast een besmette fietser stond bij het stoplicht of bij de buren in de flat met dikke muur er tussen.

Verder werkt dit natuurlijk alleen als genoeg mensen (ik zou zeggen 80% van de bevolking) meedoen met deze app. Dat zal een heel eind lukken op vrijwillige basis, genoeg mensen willen immers weten of ze op een onveilige plek zijn geweest – en misschien kan de app zelfs zeggen, blijf even weg van locatie X want daar is net een besmetting gemeld.

Het verplicht stellen vanuit de overheid lijkt me een heel ander verhaal. Dat kan onder de AVG alleen onder de voorwaarde van artikel 6 lid 1 sub e AVG:

De verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;

Onder “algemeen belang” kun je ook de volksgezondheid rekenen, dus dat gaat op papier goed. Vervolgens krijg je de eis (lid 3) dat een en ander in een wet moet zijn uitgewerkt die ook nog eens de nodige waarborgen kent en de vereiste details uit de AVG (zoals bewaartermijn) uitwerkt. Vereist is ook dat de maatregel (dus het verplichte karakter) evenredig is met het belang dat de wet wil dienen.

Het komt dus neer op de vraag: moet je dit echt van iedereen eisen (de mensen zonder smartphone even uitgezonderd natuurlijk). Wat levert het op dat we niet op andere wijze kunnen bereiken, bijvoorbeeld door te zeggen: blijf gewoon binnen, zoals we nu al doen. Ik moet zeggen dat ik dat echt niet weet.

Arnoud

Volgens mij bestaat “echt geanonimiseerde data” helemaal niet bij locatiedata, maar goed

| AE 11846 | Privacy, Regulering | 12 reacties

De Algemene verordening gegevensbescherming (AVG) is niet van toepassing op echt geanonimiseerde data, las ik bij Security.nl. Deze citeert de Europese privacytoezichthouder (EDPS) die daarmee reageert op plannen van de Europese Commissie om mobiele locatiegegevens in de strijd tegen het coronavirus te gebruiken. Het punt is namelijk dat locatiedata van mensen geldt als persoonsgegevens, maar… Lees verder

Mijn werkgever eist dat ik naar de fabriek kom maar ik kan prima thuiswerken, wat nu?

| AE 11839 | Ondernemingsvrijheid | 28 reacties

Een lezer vroeg me: Ik ben systeembeheerder bij een productiebedrijf, en ik houd onder meer toezicht op essentiële processen. Dat is vergaand geautomatiseerd en ik kan dan ook prima vanuit huis werken, in het verleden ook wel gedaan zonder enige klachten. Nu zegt mijn werkgever echter dat ik op het werk moet komen, maar gezien… Lees verder

Kan ik me op overmacht beroepen vanwege het coronavirus?

| AE 11837 | Ondernemingsvrijheid | 10 reacties

Menig ondernemer worstelt hoe verder te werken nu het coronavirus de hele maatschappij opschudt. Thuiswerken is het devies, maar lang niet bij alle vormen van ict-dienstverlening is dat een werkbare oplossing. Daardoor komen deadlines in gevaar, komen projecten niet af zoals gewenst of wordt bestelde apparatuur niet geleverd. En dan gaan mensen, alle verhalen over… Lees verder

Oke mag ik dan wél thuiswerken (of e-lesgeven) van de AVG vanwege het coronavirus?

| AE 11831 | Ondernemingsvrijheid, Privacy | 7 reacties

Nederland is koploper thuiswerken, las ik op diverse plekken. Bestrijding van het coronavirus vereist dat we onszelf zo veel mogelijk isoleren, en thuiswerken is dan ook een logische maatregel (en ja, mijn kantoor is natuurlijk ook dicht nu). Ook het onderwijs is dicht, en daar wordt nu ook breed gegrepen naar elearning en video-oplossingen. En… Lees verder

En nee, ook los van de AVG mag je werknemers (of klanten) niet temperaturen natuurlijk

| AE 11822 | Ondernemingsvrijheid, Privacy | 64 reacties

Ja, dat coronavirus blijft me zakelijk bezighouden. Kennelijk hebben een hoop mensen het in hun hoofd gekregen dat het temperaturen van bezoekers van je pand (dus personeel, maar ook zzp’ers en klanten) een nuttig idee is vanuit preventie. Ik kreeg dan ook menig journalist en werknemer in de mail met de vraag: mag je van… Lees verder