Mag PostNL het nummer van mijn identiteitsbewijs overnemen bij een afhaling?

| AE 11502 | Privacy | 16 reacties

Via Twitter:

Als ik een pakketje ophaal, moet ik me legitimeren. Logisch. Maar waarom moet het @PostNL-punt mijn documentnummer dan intypen en opslaan? Dat is behoorlijk gevoelige informatie die ik helemaal niet af wil geven.

Waarop PostNL reageert: “Dit doen we op verzoek van de afzender om bij claims en navragen te kunnen controleren aan wie de zending is uitgereikt. Het is wettelijk toegestaan om het documentnummer over te nemen. Deze gegevens worden 90 dagen bewaard.” Wat een tikje gek klinkt, want als ik pakketjes verzend wordt me nooit gevraagd of ik van de ontvanger het documentnummer wil. Sterker nog, bij mijn PostNL punt werd me net verteld dat ik vanwege de privacy dat nummer niet mag hebben. (“Ja meneer de AVG he, heeft u misschien van gehoord.”)

Dat gezegd hebbende, heeft PostNL wel een punt (haha). Want “wettelijk toegestaan” is een tikkeltje kortaf geformuleerd, maar het klopt denk ik wel. Bij pakketjes is het redelijkerwijs noodzakelijk dat je de ontvanger identificeert, om te voorkomen dat zendingen aan de verkeerde persoon meegegeven worden. Daarmee samen hangt het punt dat je achteraf wilt kunnen nagaan hoe die identificatie is verlopen (logging) en dat je bij problemen (zoals een vermist pakketje) genoeg informatie hebt om bijvoorbeeld aangifte te doen.

De meest logische manier is om na een identificatie het nummer van de identificatiekaart te registreren. Dat nummer kun je eigenlijk alleen weten als je die kaart net gezien hebt, en de medewerker zal het pas opschrijven als de persoon genoeg lijkt op de foto op de kaart. Daarmee heb je een stevige verslaglegging (logging) van het proces, en kun je eenvoudig het documentnummer aan politie of andere instanties verschaffen.

Omdat het documentnummer an sich nergens voor te gebruiken is (het is geen bsn), lijkt het risico me zeer laag als dat nummer lekt. Ik zie dan ook geen reden om alternatieven te overwegen. Je zou bijvoorbeeld kunnen zeggen, noteer slechts de laatste drie cijfers van dat nummer en/of de geboortedatum. Dan zijn mensen ook redelijk uniek vastgelegd, zodat de politie met die gegevens alsnog de persoon kan vinden. Maar dat is foutgevoeliger want twee achternaamgenoten kúnnen dezelfde geboortedatum hebben of zelfs dezelfde drie tegens van het documentnummer.

Belangrijker voor mij is dat een heel documentnummer verzinnen (om een persoon zonder identificatiekaart toch het pakket te geven) iets lastiger is dan drie cijfertjes intypen. Je moet dan het goede formaat weten, en elke keer net wat anders bedenken zodat het niet te snel opvalt. (Er zit geen elfproef of iets dergelijks in die nummers, dat maakt dit argument iets zwakker.) Daarom vooral zie ik geen echt alternatief dan dat nummer noteren.

Arnoud

Mogen wij een appartementsnetwerk zonder identificatie opzetten?

| AE 9132 | Ondernemingsvrijheid | 9 reacties

netwerk-verkennen-kijkenEen lezer vroeg me:

Wij (een groep netwerk engineers in een appartementencomplex) hebben een eigen netwerk gebouwd en gekoppeld aan internet via één provider. De kosten worden omgeslagen en via de VvE geïncasseerd. We loggen echter niets in verband met privacy. Nu krijgen wij wel eens abusemeldingen maar we weten dus niet om wie het gaat. Moeten we hier nu meer in doen?

Een internettoegangsprovider is in beginsel niet aansprakelijk voor wat er over zijn lijn gaat, ook niet na een abusemelding. De wet (art. 6:196c lid 1 BW) zegt dat je categorisch niet aansprakelijk bent wanneer je als passief doorgeefluik fungeert, dus niet zelf het initiatief neemt voor de informatielevering, niet kiest naar wie het moet en niet selecteert of wijzigt wat er doorgegeven wordt.

Een abusemelding is dus leuk en aardig maar wettelijk ben je als ISP niet verplicht daaraan gehoor te geven. Het is vaak wel handig omdat je anders op allerlei zwarte lijsten komt, maar dat is geen juridisch argument.

Het hiervoor bepaalde staat niet in de weg aan het verkrijgen van een rechterlijk verbod of bevel, zo staat in lid 6 van dat wetsartikel. Een rechter (of toezichthouder) kan dus bepalen dat bepaalde abuse wél moet stoppen. Zo heeft de rechter ooit toegang tot The Pirate Bay verboden (hoewel dat werd teruggedraaid in hoger beroep) en zou de toezichthouder (de ACM) ook bepaalde blokkadebevelen kunnen geven.

Dat laatste geldt dan weer niet voor het soort netwerk als hierboven, want de ACM is alleen bevoegd op te treden bij aanbieders van openbaar internet, zoals Ziggo of Vodafone. Een netwerk waar alleen een beperkte categorie gebruikers bij kan, valt niet onder die definitie. Dat scheelt, want dan geldt ook niet de plicht het netwerk stevig te beveiligen (art. 11.3 Telecomwet) en de vertrouwelijkheid van de communicatie te borgen (art. 11.2 en 11.2a).

Recent bepaalde het Hof van Justitie echter dat ook niet-openbare aanbieders soms wel in beweging moeten komen. In die zaak ging het om een auteursrechtclaim vanwege een download door een bezoeker van een winkel via het winkelwifinetwerk. Het Hof bepaalde dat de winkel niet aansprakelijk was voor die download, omdat de winkel slechts een platform was.

Op grond van dat lid 6 mag een rechter dus een verbod of bevel uitspreken om aan een abuse-situatie een einde te maken. En concreet waar het ging om auteursrechtinbreuk, bepaalde het Hof dat het opnemen van een wachtwoord en het identificeren van ontvangers daarvan een legitiem bevel kan zijn. Op die manier kun je inbreukmakende klanten identificeren (en dat aan eisende rechthebbenden geven) zonder dat je gelijk je hele netwerk zou moeten opheffen of moeilijk moet doen met voorwaarden en zo.

Het is nog niet duidelijk hoe ver die identificatieplicht moet gaan. Maar in de situatie van zo’n appartementencomplex denk ik dat je toch al snel uitkomt bij een koppeling van de NAT-vertaling aan het appartementsnummer. Dat adres zou genoeg moeten zijn voor een rechthebbende om dan een dagvaarding uit te brengen.

Hoe het zit met andere abuse-situaties (bijvoorbeeld een privacyschending of participatie in een ddos-aanval) is nog niet bepaald. Ik denk dat je daar ook al snel bij identificatie van de gebruiker uitkomt, dat is immers het meest geëigende middel om aan die abuse-situatie een einde te maken. Maar wie een andere effectieve oplossing heeft, mag dat ook doen.

Arnoud