Mag je als sociale bezorgdienst een ID verlangen van klanten?

| AE 11210 | Ondernemingsvrijheid | 18 reacties

Een lezer (hoi Wim) wees me op sociale bezorgdienst Homerr dat zichzelf als de “toekomst van pakketbezorging” afficheert. Kern van het concept is dat iedereen, zowel particulier als bedrijf, zich kan aanmelden als pakketontvanger binnen zelfgekozen tijden. Je krijgt dan pakketjes van de logistieke dienst, waarna de werkelijke ontvangers -die in jouw buurt wonen natuurlijk- deze dan kunnen afhalen. En per pakketje krijg je betaald. Daarbij moeten die mensen zich identificeren, wat natuurlijk vragen oproept omtrent privacywetgeving. Mag dat eigenlijk wel, als pakketdienst eisen dat je een ID te zien krijgt? Of dat je daar een kopie van maakt?

Het concept is op zich best slim. Lang niet iedereen kan de hele dag thuis zijn, maar af en toe thuis zijn en dan een pakketje aannemen – tegen betaling, overigens – is voor veel mensen wel te doen. Omgekeerd heb je als webwinkelshopper zo ineens veel meer ruimte om een pakketje ergens te laten bezorgen dat op loopafstand is en open is wanneer jij daar tijd voor hebt, wat zeker in een buitenwijk erg fijn kan zijn.

Natuurlijk wil je niet dat mensen pakketjes aan de verkeerde meegeven. Ik zie dan ook geen bezwaar tegen het verlangen van het tonen van een identiteitsbewijs zodat de pakketontvanger naam en foto kan vergelijken met de persoon voor hem, en met het pakketje. Ik zou AVG-technisch dat gewoon een logische invulling noemen van de grondslag “uitvoering overeenkomst”.

Kopietjes maken van die identiteitsbewijzen ligt natuurlijk anders. Dan kom je in een mijnenveld terecht: er staan allerlei gegevens op die jij als pakketjesuitleveraar helemaal niet nodig hebt, zoals een pasfoto of een burgerservicenummer. Of een geboortedatum. Of een woonplaats. Of een, ja noem maar op. Want eigenlijk is de vraag algemener: waarom máák je überhaupt dat kopietje, wat wil je daarmee doen?

De enige reden die ik kan bedenken (naast de beperkte en niet niet van toepassing zijnde wettelijke plichten over kopietjes bewaren) is dat je bewijs wilt bewaren dat je het identiteitsbewijs hebt gezien. Een kopie van iets hebben bewijst immers onomstotelijk dat je het origineel hebt gezien.

Maar is het nódig? Als jij een proces hebt waarbij je identiteitsbewijzen ziet en daarna het nummer noteert, dan lijkt me dat bewijstechnisch prima in orde. Dat is ook de procedure die Homerr hanteert overigens. Prima in orde dus, wat mij betreft.

Zullen we gewoon afspreken dat we stoppen met kopietjes van identiteitsbewijzen maken? Gewoon, iedereen (behalve werkgevers en banken/verzekeraars want die moeten het). Dus ook hotels, autoverhuurders en anderen wiens werkprocessen dit voorschrijven of die denken dat een ISO-gedocumenteerd proces met deze stap erin het een wettelijke plicht maken?

Arnoud

Mag een bedrijf vragen om een kopie van je ID bij een inzageverzoek?

| AE 9803 | Privacy, Security | 23 reacties

Een lezer vroeg me:

Wanneer je je wettelijk recht op inzage of verwijdering van je persoonsgegevens wilt uitoefenen, wordt steeds vaker gevraagd of je een kopie van je identiteitsbewijs wilt opsturen. Is dat eigenlijk wel toegestaan?

Onder de Wet bescherming persoonsgegevens, en straks de Algemene Verordening Gegevensbescherming (AVG of GDPR) heb je het recht om inzage te krijgen in alle persoonsgegevens die een bedrijf of instantie over je heeft, en ook het recht om daarin correcties aan te brengen of deze te laten verwijderen (mits niet meer relevant).

Dat laatste recht heet onder de AVG ook wel het recht te worden vergeten, maar dat is meer een marketingterm dan iets anders. Het gaat gewoon om het recht om irrelevante of verouderde gegevens te laten verwijderen uit bestanden.

Het recht van inzage wordt onder de AVG verder nog uitgebreid: je hebt dan recht op een elektronische kopie in een gebruikelijk bestandsformaat, zodat je de data elders kunt hergebruiken. (Wel met de beperking dat de data dan wordt verwerkt met jouw toestemming of krachtens een overeenkomst.)

Organisaties moeten binnen vier weken reageren op het verzoek. Natuurlijk moeten ze daarbij zorgvuldig omgaan met je gegevens, en onderdeel daarvan is verifiëren of jij wel echt de persoon bent om wie het gaat. Dit met een identiteitsbewijs nagaan is dus een logische manier.

In principe mag een bedrijf dus vragen om een kopie ID, hoewel men dan wel natuurlijk zorgvuldig om moet gaan met die kopie. Je zou voor de grap eens kunnen informeren welke beveiligingsmaatregelen men daarbij neemt, want ook dat is deel van je inzagerecht (informatierecht).

Natuurlijk is het altijd verstandig om op zo’n kopie je foto en BurgerServiceNummer door te strepen en over de kopie de naam te schrijven van het bedrijf waar je deze heen stuurt. Dat voorkomt identiteitsfraude en beperkt de impact van datalekken.

Arnoud

Europese Hof: overheid mag vingerafdruk in paspoort verplichten

| AE 6045 | Privacy | 72 reacties

pixelated-fingerprint-gepixeld.pngDe overheid mag burgers verplichten hun vingerafdruk af te geven bij het aanvragen van een identiteitskaart, las ik bij Tweakers. Een Duitse burger had bezwaar gemaakt tegen deze eis, en de Duitse rechter vroeg daarop aan het Europese Hof hoe dat nu eigenlijk zit met vingerafdrukken binnen het Europese privacyrecht. Het Hof bepaalt nu dat dit in principe mag, mits uitsluitend voor het doel van paspoortcontroles.

In Nederlandse paspoorten zitten sinds een tijd vingerafdrukken in een chip (en nee, die mag je niet frituren). De vingerafdrukken staan ook alléén in die chip. Het onzalige plan om ze allemaal centraal op te slaan is gelukkig niet doorgegaan. En wie wil reizen zonder vingerafdruk, kan dat met het identiteitsbewijs maar is dan wel beperkt in het aantal landen.

Het opslaan van vingerafdrukken valt onder de Wet bescherming persoonsgegevens, en dat is Europese regelgeving. Het Hof van Justitie heeft daarover het laatste woord. Wanneer nationale rechters niet zeker weten hoe het zit met Europese regelgeving, kunnen ze “prejudiciële vragen” stellen aan dit Hof. De uitleg is dan bindend voor die rechter maar uiteindelijk ook voor alle andere Europese rechters. (Dit Hof is dus alleen een vraagbaak en geen hoger beroep boven bv. de Hoge Raad.)

In deze uitspraak (C-291/12) ging het niet om zomaar een uitleg maar om de vraag of de Europese Verordening over vingerafdrukken überhaupt wel rechtsgeldig was. Mág de EU wel bepalen dat de privacy van alle burgers geschonden moet worden door vingerafdrukken in het paspoort?

Ja dat mag, zegt het Hof, mits onder strenge voorwaarden: er moet een legitiem doel zijn en de maatregel moet passen bij dat doel en zo beperkt mogelijk zijn. Het legitieme doel wordt hier gevonden in het verifiëren van de echtheid van paspoorten, en indirect daarmee samenhangend het tegenhouden van illegale bezoekers van een land. Dat de maatregel niet 100% perfect werkt, is geen argument: zolang het ‘aanzienlijk’ beter werkt dan de oude methode, is het in principe legitiem.

Maar gaat het niet te ver? Is het middel wel proportioneel, is er geen andere minder ernstige oplossing voor dit probleem? Volgens het Hof is er geen reëel alternatief: een irisscan is complexer en duurder, en iets anders wist geen van de partijen te verzinnen.

Wel stelt het Hof de harde grens dat de vingerafdruk alléén in de chip mag zitten (dus niet ook nog ergens centraal) en alléén mag worden gebruikt om na te verifiëren of de houder van het paspoort werkelijk de persoon is die daarin vermeld staat (overweging 56). Een identiteitscontrole uitvoeren en dan meteen even de vingerafdruk matchen met de Nationale Opsporingslijst (onze FBI Most Wanted) is dus niet toegestaan.

Bij Webwereld wijzen ze er nog op dat nu onze aankomende Paspoortwet stuk is: artikel 4b daarvan voorziet in de oprichting van een centrale reisdocumentenadministratie met vingerafdrukregister. Dat register is dus nu in strijd met de Europese wetgeving. De vraag is dus: herkent de minister zich niet in deze uitspraak of gaan we een stukje window dressing toevoegen om ons centrale register toch legaal te krijgen?

Arnoud

Mag See Tickets bij Kraftwerkconcertkaartjes wel vragen om het nummer van je identiteitsbewijs?

| AE 5762 | Privacy, Security | 24 reacties

We hadden het er vorige week al over: wie naar het Kraftwerkconcert in Eindhoven wil, moet zijn BSN afgeven. Dat gaf de nodige commotie, dus nu is dat het ‘identificatiebewijsnummer’ geworden want “wat een hoop idioten niet weten, is dat dat allemaal precies hetzelfde nummer is”, aldus de organisatie. Eh. Juist. Nee, natuurlijk is het… Lees verder