‘Apple iCloud schendt Noorse en Europese wet’

Apple verschaft zichzelf het recht de voorwaarden van clouddienst iCloud te allen tijde aan te passen, in strijd met de Noorse en Europese wet. Dat las ik bij Nu.nl. Waarop ik denk? Welke wet dan? Want een wet op de cloudvoorwaarden lijkt me een goed idee, maar die is er bij mijn weten nog lang niet.

Het blijkt te gaan om een klacht van de Noorse Consumer Council, volgens mij het equivalent van onze Autoriteit Consument en Markt (maar al bestaand sinds 1953). Zij hebben een klacht neergelegd bij Apple omdat deze de Noorse en Europese wet zou schenden door het recht te bedingen in de gebruiksvoorwaarden om eenzijdig het contract aan te mogen passen.

Uit de tekst van de klacht (pdf) blijkt dat het gaat om de algemene Noorse regel dat algemene voorwaarden niet onredelijk bezwarend mogen zijn. Die regel hebben wij ook. Naast de grijze en zwarte lijsten geldt er ook een open norm: als iemand kan hardmaken dat een voorwaarde onredelijk bezwarend is, dan moet deze van tafel. De bewijslast is daarbij niet altijd eenvoudig.

De Noren hebben echter nóg een lijst gevonden, de zogeheten blauwe lijst uit Richtlijn 93/13/EEG met daarop nog een setje oneerlijke bedingen. En wat staat er in artikel 3 van die Richtlijn?

Een beding in een overeenkomst waarover niet afzonderlijk is onderhandeld, wordt als oneerlijk beschouwd indien het, in strijd met de goede trouw, het evenwicht tussen de uit de overeenkomst voortvloeiende rechten en verplichtingen van de partijen ten nadele van de consument aanzienlijk verstoort.

Het lijkt me evident dat een voorwaarde die zegt “wij mogen het contract op ieder moment aanpassen en u moet maar hopen dat dat acceptabel is, anders moet u weg” het evenwicht tussen de partijen nogal verstoort. Sterker nog, wélk evenwicht?

In een bijlage bij dit artikel zijn bedingen opgenomen die als oneerlijk kunnen worden aangemerkt. Een soort grijsblauwe lijst dus: de gebruiker van zo’n voorwaarde zal moeten bewijzen dat deze wél eerlijk is. En lid j van die bijlage noemt bedingen die:

de verkoper te machtigen zonder geldige, in de overeenkomst vermelde reden eenzijdig de voorwaarden van de overeenkomst te wijzigen;

Helaas staat er verderop dan weer wel een uitzondering:

Punt j) staat evenmin in de weg aan bedingen waarbij de verkoper zich het recht voorbehoudt de voorwaarden van een overeenkomst voor onbepaalde tijd eenzijdig te wijzigen, mits hij verplicht is de consument daarvan redelijke tijd vooraf in kennis te stellen en het de laatste vrijstaat de overeenkomst te ontbinden.

Dat was in 1993 wellicht redelijk bij de toen gebruikelijke duurovereenkomsten: levering van kranten, vuilophaaldiensten en dergelijke. Daar wil je vanaf kunnen als ze ineens de voorwaarden aanpassen. Maar bij een clouddienst is het zeer zeker niet redelijk om te zeggen “je mag weg als het je niet bevalt” want dat is al snel zo veel gedoe dat menig consument het niet eens zal proberen. Welke Apple-gebruiker zal overstappen naar Dropbox als er weer 8000 woorden nieuwe voorwaarden langskomen?

En dat is juist wat het zo oneerlijk maakt. Je weet dat mensen dat niet lezen. Je weet dat mensen er noodgedwongen maar op vertrouwen dat er geen gekke dingen in je voorwaarden staan. En dat vertrouwen tast je in de basis aan door zo’n eenzijdig-wijzigingsbeding. De hoogste tijd dus voor een nieuwe cloudblauwe lijst.

Arnoud

Ik wil niet in Apples adresboekcloud!

adresboek-apple-icloudBij ict7 las ik over de nieuwe manier van adresboekbeheer van Apple in hun OS Mavericks:

[Het oude adresboek] was veilig, daar kwam geen ander tussen. Maar het nieuwe OS Mavericks heeft die mogelijkheid geschrapt. Nu kunnen adresgegevens en dergelijke alleen nog via iCloud naar een ander apparaat worden overgezet. Dat is natuurlijk niet zonder reden. Technisch was het geen enkel probleem geweest de ‘kabelmogelijkheid’ te handhaven. Dat Apple nu alleen nog maar de mogelijkheid biedt om dergelijke privédata via de servers van Apple over te zetten geeft te denken.

En dan dus de hamvraag: mag dat?

Een digitaal adresboek is hoe je het wendt of keert een verwerking van persoonsgegevens, en eentje die via de privacyschendende VS loopt ook nog. Dus daar heb je eigenlijk best wel een probleem.

Er is echter in de Wet bescherming persoonsgegevens een uitzondering die ik altijd de adresboekuitzondering noem, om precies deze reden:

Deze wet is niet van toepassing op verwerking van persoonsgegevens… ten behoeve van activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden.

Het argument is dan dat een privéadresboek een “uitsluitend persoonlijk of huishoudelijk doel” dient, immers het is voor jou om je adressen bij te houden. Niemand anders leest het (de NSA daargelaten) en dan is het dus alleen voor jezelf. En daarmee ben je van álle regels uit de Wbp af. Je hoeft mensen neit te vertellen dat ze in je adresboek staan, en zelfs het enge exporteren naar de VS is geen probleem.

Bij een zakelijk adresboek gaat dit echter vrijwel meteen mank: ís dat wel “persoonlijk of huishoudelijk”? Een bedrijf is geen persoon en geen huishouden.

Als je dat zegt, dan mag een bedrijf dus niet haar klantenbestand in de iCloud stoppen. Maar óók niet zomaar in een eigenbeheeradresboek. Dat moeten ze dan rechtvaardigen bínnen de kaders van de Wbp. Dus: toestemming, uitvoering overeenkomst of dringende noodzaak als grondslag; informeren via een privacyverklaring of iets dergelijks dat men een adresboek heeft; inzage- en correctierecht op de adresgegevens en niet te vergeten een bewerkersovereenkomst met Apple sluiten zodat juridisch geregeld is dat zij netjes met je gegevens omgaan.

En nee dat werkt voor geen meter maar daarom wordt het dus de hoogste tijd voor een nieuwe privacywet. Helaas is de Privacyverordening een eindje uitgesteld, werking op zijn vroegst in 2016.

Arnoud