Ga wég met je optionele aanvinkvakjes bij installatie van software

Gisteren blogde ik op Cookierecht over het aanvinkvakje van Oracle’s Java-installer bij de Ask.com toolbar. Dat vinkje staat alvast aan, en wie de toolbar niet wil, moet het weghalen. Dat moet je maar net even zien. En nee, dat mag niet van de cookiewet. Maar het kan nóg erger: de installatiezin van AVG Toolbar waar ik gewoon juridisch jeuk van krijg.

Dit is hoe het pakket PowerISO de AVG toolbar presenteerde bij installeren:

powerisoavg

Ziet u hem? “Set, keep and protect AVG Secure Search as my homepage and default search provider.” Dus niet alleen “installeer dit” maar ook “neem alle mogelijke maatregelen die u goeddunkt om te verhinderen dat dit product ooit nog wordt gedeïnstalleerd of aangepast.” Wat zou “keep and protect… as my homepage” anders moeten betekenen?

Na klachten ging AVG dit aanpassen, als volgt:

avgcompliantscreen-v2

Dit is duidelijker dát er iets gaat gebeuren, maar de standaardkeuze staat nog steeds op “doe het” en dat kan ik geen opt-in noemen. Bovendien: die jeukzin staat er gewoon nog stééds. En alleen al daarom zou ik nooit zo’n pakket durven installeren.

Dan zijn er ook nog allerlei pakketten die de tekst omkeren: als u niet wilt dat deze toolbar niet uw default wordt, verwijder dan het vinkje waarbij staat “Installeer deze software niet”.

Wat is de gemeenste installatie-truc die jullie kennen?

Arnoud

Argh, wéér een popup – “D66 wil bijsluiter voor datagraaien in de cloud”

waarschuwing-webwereldHier krijg ik búitengewoon veel jeuk van. Aanbieders van clouddiensten die niet gevestigd zijn in Europa moeten verplicht en compleet duidelijk maken dat data toegankelijk kan zijn voor geheime diensten en onderworpen aan surveillance door buitenlandse autoriteiten, meldde Webwereld gisteren. NEE. Gewoon NIET. Het wérkt niet, mensen om toestemming vragen nadat je ze een door een jurist opgestelde tekst hebt geïnformeerd over de mogelijke risico’s.

Ja, de cloud is eng en de Amerikaanse al helemaal. De NSA tapt het hele internet, en de FBI kan met geheime gag orders en zonder gerechtelijk bevel een heel datacenter leegtrekken op het moment dat je derde voornaam twee letters gemeen heeft met iemand uit een terroristendatabank. Dus als je als politicus zegt, hier gaan we wat aan doen, dit kan zo niet langer: helemaal prima. (Of de angst reëel is, is een andere discussie.)

Maar als je zegt, de VS doen dingen met persoonsgegevens die in strijd zijn met de wetgeving rond persoonsgegevens en de fundamentele grondrechten die wij in de Europese Unie respecteren, dan moet je dus zeggen: blijf met je rotpoten van onze persoonsgegevens af. Oftewel dan verbied je Europese hosters/dienstverleners om met de Amerikaanse cloud te werken.

Vind je dat dat óók weer wat te ver gaat, dan ga je met de Amerikanen bakkeleien dat die hun wetten moeten aanpassen. Of je zegt, het gaat in de praktijk prima dus we draaien lekker totdat we horen dat het misgaan en dán gaan we de boel verbieden. En dat signaal kun je eventueel ook naar Washington sturen.

Wat je alleen vooral NIET moet gaan doen is op dat moment zeggen: weet je wat, we gaan de burger opvoeden dat ze moeten beseffen dat buitenlandse veiligheidsdiensten mogelijk meekijken en dat de FBI niet gebonden is aan onze Grondwet. En al helemáál niet met een popup. Want dat wérkt eenvoudig niet – zie de cookiewet.

Iets juridischer komt het erop neer dat ze in de Privacyverordening wil opnemen dat doorgifte aan een buitenlandse (lees: niet-EU) cloudprovider alleen mag met aparte toestemming van de betrokkene (argh, popup) en dan ook nog eens

after having been informed in clear, unambiguous and warning language through a separate and prominently visible reference to:
– the possibility of the personal data being subject to intelligence gathering or surveillance by third-country authorities; and
– the risk that the protection of personal data and fundamental rights provided by Union and Member State law cannot be guaranteed, despite the legal basis of the transfer

Het idee van “leg mensen uit hoe het juridisch zit en dan maken ze een geïnformeerde keuze” is een idealistisch maar buitengewoon irreëel denkbeeld als we het hebben over de gemiddelde internetter. Hoe kan ik nu vrijwillig en zinnig de afweging maken, ja, dat is prima dat de CIA en de NSA mij gaan profilen en de FBI mijn data besnuffelt? Wat betékent dat? Ga ik op de No Fly lijst als ik blogs als deze plaats op WordPress?

Ik snap hier wérkelijk helemaal niets van. Als er iets is dat de privacywetgeving en het concept “privacy is belangrijk” kapot maakt dan is het wel het idee “als we maar verplicht stellen dat iedereen het mensen maar uitlegt, dan komt het goed”. Nee. Mensen zijn niet bezig met privacy, wíllen daar niet mee bezig zijn; zij vertrouwen erop dat bedrijven zich netjes gedragen en dat anders de overheid optreedt.

In heel uitzonderlijke gevallen waarin een gemiddelde(!) burger redelijkerwijs zowel ja als nee zou kunnen zeggen, kan ik me nog iets voorstellen bij een aparte opt-in. Maar dat behoort echt een uitzondering te zijn en te blijven, en niet de hoofdregel die ie in de privacywetgeving is geworden. Net als bij cookies. Of je zegt, cookies en tracking zijn te eng voor woorden, verbieden die hap. Of je zegt, de technologie werkt maar er is ruimte voor misbruik – en dan verbied je het misbruik. Maar je gaat niet zeggen “dat misbruik is eigenlijk wel oké als mensen op ja klikken”.

“U gaat dood van deze sigaret” werkt al maar nauwelijks. Dus waarom zou “Mogelijk dat uw fundamentele rechten zoals gegarandeerd door het EU Handvest niet gewaarborgd worden ondanks dat de overdracht legaal is” dat dan wel zijn? (En ja dat gaat de tekst zijn, laat dat maar aan de nu-cookieverklaring-schrijvende juristen over.)

Argh. Echt.

Arnoud