Mail Archives - Ius Mentis

Mag een mail gateway iemands mail weggooien zonder dit te melden?

Geplaatst op 8 maart 20186 maart 2018 in Privacy, 10 reacties

Een lezer vroeg me:

Ons bedrijf is overgestapt naar een externe maildienst die een mail gatewaydienst aanbiedt (scannen op malware, virussen en andere bedreigingen). Nu blijkt dat deze mails met dergelijke bedreigingen gewoon stilletjes weggooit. Mag dat zomaar?

Het doet nogal raar aan dat een bedrijf dit zou doen, maar ik denk dat het wel mag, juridisch gezien.

In beginsel zijn bedrijven onderling vrij om hun dienstverlening in te richten zoals hen goeddunkt. Het filteren of controleren van e-mail is voor de wet gewoon een dienst als alle andere, en als de klant het goed vindt dat de dienstverlener verdachte zaken direct weggooit zonder te melden, dan is dat een zakelijke keuze.

Natuurlijk heeft de andere partij (bijvoorbeeld de externe afzender van een mail) hier last van. Diens mails komen niet aan maar hij krijgt dat niet te horen. Hij kan dus weinig doen dan namailen of op zeker moment gaan bellen. Dat is hinderlijk en kan de relatie schaden tussen hem en het bedrijf dat de gatewaydienstverlener ingeschakeld heeft. Maar volgens mij is het niet verboden.

In theorie zou je nog op de AVG kunnen wijzen: de mail gateway verwerkt immers persoonsgegevens door de mail te scannen en door te sturen dan wel weg te gooien. Daarmee geldt er een informatieplicht voor het bedrijf dat de gateway inzet, en de afzender heeft dan een basis voor een claim dat zijn persoonsgegevens ongewenst zijn verwerkt.

Ik denk dat dat in de praktijk niet gaat vliegen. Het scannen van mail en het weggooien van verdachte mail is een relatief bekende praktijk. Daarnaast kan het (zo weet iedereen) altijd gebeuren dat mails spontaan kwijtraken. Je moet er dus sowieso altijd rekening mee houden dat een mail niet aankomt of niet gelezen wordt. Eisen dat de ontvanger je informeert over een blokkade, kan ik dus ook onder de AVG niet hard krijgen.

Arnoud

Wat moet ik doen met mail naar een gekocht domein?

Geplaatst op 9 februari 20172 februari 2017 in Intellectuele rechten, Privacy, 7 reacties

Een lezer vroeg me:

nlangs heb ik een domeinnaam overgenomen van een bedrijf. Kennelijk heeft de verkopende partij de domeinnaam overgedragen terwijl deze nog actief gebruikt werd voor e-mailaccounts. Op basis van een catch all komt er allerlei mail binnen. Moet ik deze doorsturen, bewaren of terugzenden (bouncen)? Wat zijn mijn wettelijke plichten in deze?

Het verstandigste (maar dat is nu wat laat) is om in het domeinverkoopcontract een afspraak te maken over mail en dergelijke. Je kunt bijvoorbeeld vastleggen dat berichten nog een maand worden doorgestuurd, of juist dat ze moeten worden teruggestuurd met een expliciete foutmelding.

De wet zegt niets over wat je moet doen hier. De enige redding die we hebben, is de heel algemene regel van redelijkheid en billijkheid: een overeenkomst wordt aangevuld door wat uit die redelijkheid vloeit (plus wat de gewoonte is in de branche).

Een gewoonterecht bestaat hier niet volgens mij, iedereen doet maar wat. Maar wat is redelijk?

Mijn eerste gedachte is: terugsturen al die mails (bouncen), zodat de afzenders merken dat dit adres niet meer werkt. Dat is relatief eenvoudig in te stellen in de mailserver, en voorkomt dat je gedoe krijgt over dat je mail zou lezen of dat een door jou doorgestuurde mail niet aankomt waarna jij daarop aangekeken wordt. Want dat risico krijg je, als jij onverplicht iets doorstuurt dan neem je er een stukje verantwoordelijkheid voor.

Wat zouden jullie doen?

Arnoud

In ons bedrijfshandboek staat dat e-mail als bedrijfspost geldt!

Geplaatst op 23 januari 201720 januari 2017 in Ondernemingsvrijheid, Privacy, 24 reacties

Een lezer vroeg me:

In het bedrijfshandboek van mijn kantoor staat dat e-mail dient te worden beschouwd als het elektronisch equivalent van zakelijke post, en dat de directie derhalve zich het recht voorbehoudt e-mail te lezen als zij daar aanleiding toe ziet. Oftewel, ze mogen je mail lezen als ze willen. Kan dat zomaar?

Dat bedrijfshandboek gaat wat kort door de bocht. E-mail is wezenlijk anders dan gewone post. Waar je bij post nog kunt zeggen, dat zal 99% zeker weten zakelijk zijn, is dat bij e-mail echt heel anders. Mensen zien dat als persoonlijker, informeler en daarmee moet je dan rekening houden als werkgever.

Verder is het zo dat een werknemer ook op het werk gewoon recht heeft op (enige) privacy. Niet zo veel als thuis, maar ook niet nul. Daarom mag je als werkgever niet zomaar in de e-mail kijken.

Het eerste dat je nodig hebt om werknemersmails te lezen is een reglement dat uitlegt wanneer en waarom dat gebeurt. “Altijd en als wij zin hebben” is daarbij niet genoeg, dat houdt namelijk geen rekening met de privacy van de werknemers. Geef maar criteria: collega’s als die waarnemen bij ziekte, de ICT-er bij technische problemen of virussen, de directie bij wanfunctioneren of vermoeden van diefstal, et cetera.

Daarnaast moet de reden wel sterk genoeg zijn om het lezen te kunnen rechtvaardigen. De voorbeelden uit de vorige alinea zijn vrij standaard, maar ik zie ook wel bedrijven die zeggen “als je output op een dag onder de X zakt” of “als je meer dan X mails naar externe partijen stuurt”. Dat gaat een beetje ver natuurlijk.

Je mag ook niet méér lezen dan nodig is voor het doel. Die ICT-er mag bijvoorbeeld een virusscanner loslaten op je mailbox en de mails bekijken waar deze op afgaat, maar niet handmatig alles lezen of je wellicht rare dingen binnenkrijgt. Een twijfelaar is voor mij alle berichten met bijlage openen om te zien of de extensie iets van .jpg.exe is.

Een handboek gaat hier niets aan veranderen. Privacy is een grondrecht, en daar doorheen gaan vereist sterke rechtvaardigingen. Die kun je niet op voorhand met standaardzinnen claimen. Het handboek is wel nódig, want zonder uitgewerkte regeling mag er niets. Maar de regeling moet binnen de wet passen.

Ik blijf het vragen: wat is dat toch met e-mail en ICT, dat mensen meteen “ik kan alles, dus ik mag alles” denken?

Arnoud

Mag de helpdesk me complimenteren met mijn sportprestaties?

Geplaatst op 12 mei 20168 mei 2016 in Privacy, 28 reacties

je-hoeft-niet-gek-te-zijn-om-hier-te-werken-maar-het-helpt-wel.jpg Een lezer vroeg me:

Laatst had ik op mijn werk een probleem met de mail. De helpdesk gebeld, en het lag aan een mail met gigantische bijlage van een collega. Tijdens het uitzoeken zei de helpdeskmedewerker echter spontaan: “Goh wat leuk, heb je ook de halve marathon in Hengelo gedaan, ik ook!”. Dit haalde hij uit de subject van een andere mail in die map. Mogen ze dat?

Heel strikt gesproken mag dat niet, maar als we dát gaan handhaven dan wordt de Wbp net zo populair als de Auteurswet.

Een mailbox bevat persoonsgegevens, en het bedrijf moet zorgen voor een zorgvuldige omgang daarmee. Deel daarvan is dat er geen persoonsgegevens worden verwerkt die niet noodzakelijk zijn voor het doel van waar je mee bezig bent. Gaat een mailbox stuk, dan is het logisch dat je in het mailoverzicht kijkt naar bijvoorbeeld grote bijlagen, gecorrumpeerde headerregels of virusbijlagen. Mails lezen hoort daar bijvoorbeeld dus eigenlijk al niet bij, inhoud raadpleeg je pas als de metadata niet helpt.

Hier zat de privéinformatie in de header. Op zich dus iets dat je gewoon tegen kunt komen als medewerker. Eigenlijk mag je dat niet verwerken want het is privé. Maar de verwerking is onvermijdelijk gezien waar het staat en het doel van waar hij mee bezig is. Dus dan mag het. Maar de verwerking moet dan beperkt blijven tot “oké, niet relevant bericht” en drukken op de Next-knop. De informatie hoort dan eigenlijk het andere oog weer uit te gaan.

Het lijkt me vooral een stukje professionaliteit. Als helpdeskmedewerker moet je weten dat je bij het openen van mail privédingen kunt zien. En even los van de discussie of dat mag, privédingen in werkmail, dan wel of het handig is: daar blijf je dan gewoon vanaf tenzij het probleem ermee te maken lijkt te hebben. Net zo goed als de automonteur bij de zakelijke leaseauto niet in het handschoenenkastje kijkt tenzij hij daar moet zijn voor bepaalde kabeltjes of zo. Dat doe je gewoon niet.

Alleen: als je iemand treft die dat wél normaal vindt (“gewoon een praatje met de klant, je ziet toch soms ook een foto op het bureau of een poster aan de muur” of het nog dodelijker “ah joh doe niet zo ongezellig”), hoe reageer je dán?

Arnoud

Mag een internetprovider je afsluiten bij spam?

Geplaatst op 1 maart 201626 februari 2016 in Privacy, 39 reacties

Een lezer (dank!) wees me op deze Tweakersdiscussie waarin iemand schrijft:

Gisteren had ik opeens geen internet meer. De lan lampjes van de modem bleven ook allen uit. “Vast een storing” en ik ging naar mijn werk. Tot mijn vader mij belde dat hij de Ziggo helpdesk had gebeld en we worden beschuldigd van het versturen van SPAM mail.

Na enige frustrerende belrondjes kwam er dan toch uiteindelijk een logbestand boven water: “Mail amount : 650”. Oftewel, vanwege 650 uitgaande mailberichten in een tijdsperiode van drie kwartier (07:46:04 tot 08:31:20) werd een automatische blokkade opgeworpen – computer says spam. Mag dat nu zomaar?

Het lijkt logisch dat een internetprovider mag ingrijpen bij geconstateerd kennelijk misbruik, en uitgaande spam is nu eenmaal een groot probleem bij consumentencomputers. Er is dan ook weinig op tegen (als het in de voorwaarden toegelicht staat), afgezien dan van netneutraliteit.

Art. 7.4a Telecomwet bepaalt dat een telecomprovider zoals Ziggo geen internetverkeer mag beperken of blokkeren, behalve in vier genoemde gevallen. Eentje daarvan gaat over spam:

om de doorgifte van ongevraagde communicatie als bedoeld in artikel 11.7, eerste lid, aan een eindgebruiker te beperken, mits de eindgebruiker daarvoor voorafgaand toestemming heeft verleend,

Maar dat gaat over het filteren van inkomende spam bij de provider. Dan is de enige relevante optie nog deze:

ten behoeve van de integriteit en de veiligheid van het netwerk en de dienst van de betrokken aanbieder of het randapparaat van de eindgebruiker;

Uitgaande spam vanaf een consumentklantcomputer wijst er gewoonlijk op dat de computer geïnfecteerd is met een spamversturend virus of andere rommel, en daar ligt dan een schone taak voor de provider. Echter, in dat geval geldt nog een aanvullende eis:

[Als het probleem] wordt veroorzaakt door verkeer afkomstig van een randapparaat van een eindgebruiker, doet de aanbieder voorafgaand aan het nemen van een maatregel waarmee het verkeer wordt belemmerd of vertraagd, melding aan de betrokken eindgebruiker, zodat de eindgebruiker de gelegenheid heeft de inbreuk te staken. Wanneer dit wegens de vereiste spoed niet voorafgaand aan het nemen van de maatregel mogelijk is, doet de aanbieder zo snel mogelijk melding van de maatregel.

Oftewel, eerst bellen en de consument het zelf laten fixen, pas daarna ingrijpen aan de providerkant. Daar lijkt het hier dus mis te gaan, nu er geen overleg is geweest en al helemaal niet voorafgaand aan de blokkade.

Of je zegt, Ziggo moest wel direct blokkeren anders komen hun IP-adressen op allerlei zwarte lijsten. Daar valt wat voor te zeggen, en dan is de vereiste spoed dus aangetoond. Maar dan nog moet er worden gemeld bij de consument dat dit is gebeurt.

Zou de gedachte dan zijn, ze merken het vanzelf en dan gaan ze wel bellen, dat is handiger? Of is er een mailtje verstuurd vanaf het abuse-adres dat vervolgens (oh ironie) in de spambox terechtgekomen is?

Arnou

Mogen persoonsgegevens per mail worden verstuurd?

Geplaatst op 5 december 20142 december 2014 in Privacy, Security, 11 reacties

email-e-mail-elektronische-post-envelop Een lezer vroeg me:

Is het toegestaan om persoonsgegevens zoals namen en adressen, maar ook bv. een kopie van je paspoort met BSN en foto, per mail te versturen? Dat is toch veel te onveilig!

De wet bescherming persoonsgegevens bepaalt dat wie persoonsgegevens verwerkt, een adequate beveiliging moet toepassen. En verwerken omvat zo ongeveer alles: inscannen, overtypen, versturen, opslaan, delen of zelfs verwijderen daarvan.

Wat is adequaat? De wet geeft daar geen antwoord op, en er is geen uitvoerende regeling die specifiek securitynormen voorschrijft of een toets waarmee je kunt bepalen of je gegarandeerd compliant bent met de wet.

De reden hiervoor is dat dat ‘adequaat’ geen absolute term is maar gemeten moet worden in de omstandigheden. Met een patiëntendossier van een ziekenhuis moet je zorgvuldiger omgaan dan een e-mailadres op een visitekaartje, zeg maar. Dus zou het raar zijn als de beveiligingseisen voor die twee sets persoonsgegevens hetzelfde zou zijn.

De vraag is dus hier in ieder geval eerst, hoe wordt er gemaild, naar wie en waarom. Dan zoek je de (redelijke) beveiligingsrisico’s en ga je na of die kunnen worden opgelost. En pas als je merkt dat dát niet kan, dan kom je bij de conclusie “misschien dan maar géén e-mail” of “laten we maar encryptie op de mail gaan zetten”.

Ik vraag me bij zulke vragen altijd wel af waarom niemand zich zorgen maakt bij eenzelfde communicatie per brief.

Arnoud

Mag een maildienst met encryptie onkraakbaar zijn?

Geplaatst op 24 november 201421 november 2014 in Privacy, Security, 24 reacties

pgp-bericht-encryptie-versleuteling Met de dienst Startmail kunnen mensen versleuteld met elkaar mailen, ook als ze geen eigen encryptiesoftware (PGP) hebben. Dat las ik bij Tweakers. Heel mooi, maar PGP is erg sterke encryptie dus ga je je afvragen, hoe zit dat met opsporingsdiensten? Wanneer mag Justitie bij versleutelde mail opgeslagen bij een provider?

Op grond van artikel 125k Strafvordering kan een officier van justitie bij opsporing het bevel geven dat zaken moeten worden ontsleuteld. Het moet wel gaan om een ernstig misdrijf (art. 67 Rechtsvordering).

Het bevel mag aan bijna iedereen worden gericht:

… degeen van wie redelijkerwijs kan worden vermoed dat hij kennis draagt van de wijze van beveiliging van een geautomatiseerd werk, het bevel worden gericht toegang te verschaffen tot de aanwezige geautomatiseerde werken of delen daarvan. Het bevel richt zich tot degeen van wie redelijkerwijs kan worden vermoed dat hij kennis draagt van de wijze van versleuteling van deze gegevens.

De enige uitzondering is – niet verrassend – de verdachte zelf. Deze is immers niet verplicht aan zijn eigen veroordeling mee te werken.

Een tussenpersoon als Startmail is zelf geen verdachte en moet dus meewerken aan een bevel als aan de voorwaarden uit de wet is voldaan. En in theorie kunnen ze dat, ik lees bij Tweakers dat Startmail berichten op de server versleutelt en dat daar de privésleutel van de gebruiker is opgeslagen. Het is voor mij juridisch simpel: kún je erbij dan móet je erbij als dat wordt bevolen.

Liever had ik gezien dat de dienst GPG of PGP op de clientside inzet, zodat ze geen sleutels om mee te ontsleutelen hebben. Maar Startmail meldt in haar whitepaper (p5 en 6) een aantal stevige redenen om wél serverside te versleutelen. Kort gezegd: dat moet je niet willen als de client side omgeving een browser met Javascript is. En daar zit ook weer wat in.

Arnoud

Mogen Google en Microsoft bij hen gehoste mailboxen doorzoeken?

Geplaatst op 2 april 20142 april 2014 in Privacy, Security, 19 reacties

Een lezer vroeg me:

Enige dagen geleden bleek Microsoft de hotmailaccount van een medewerker te hebben doorzocht omdat vermoed werd dat deze persoon betrokken was bij het lekken van bedrijfsgeheimen. Microsoft verdedigt zich met het argument dat zij deze mail van betrokken persoon wel mocht doorzoeken, omdat er geen gerechtelijke bevel voor nodig was. Apple en Google claimen nu het zelfde omdat de gebruiker de gebruiksvoorwaarden heeft geaccepteerd. Maar mag dit zomaar? Is dit niet in strijd met het briefgeheim?

Strijdig met het briefgeheim is dit niet, want het briefgeheim geldt helaas nog steeds niet voor elektronische communicatie. Al sinds 2000 zijn er plannen dit te veranderen, maar kunnen datagraaien is voor opsporingsdiensten zo’n zware wens dat het elke keer op stevige bezwaren uit die hoek stuit. Plus, de Grondwet zou moeten worden aangepast en dat is een hele procedure.

Microsoft beroept zich vooral op het feit dat de servers bij haar staan. En als eigenaar van een server mag je nu eenmaal in serieuze gevallen kijken welke data erop staat. Bij wijze van analogie: de verhuurder van een garagebox mag deze ook openmaken als hij een brandlucht ruikt, of klachten krijgt dat er xtc wordt gedeald vanuit die box.

Daarbij komt dat in de voorwaarden van Hotmail staat dat Microsoft in een mailbox mag kijken “[to] protect the rights or property of Microsoft or our customers, including the enforcement of our agreements or policies governing your use of the Service;”. Ik las dat zelf altijd als “als je mailbox overlast veroorzaakt dan mogen we daarin kijken”, bv. bij mailbommen of virussen, maar Microsoft leest het nu als “als onze rechten als bedrijf in gevaar komen dan mogen we kijken”. Er staat immers “including” oftewel “onder meer als”. (De voorwaarden van Apple en Google bevatten vergelijkbare clausules.)

Nu is het natuurlijk makkelijk zulke dingen op te schrijven, maar of het dan meteen rechtsgeldig is, blijft een goede vraag. Algemene voorwaarden mogen niet onredelijk bezwarend zijn, en dat betekent onder meer dat er een belangenafweging moet plaatsvinden tussen het belang van de provider om in de mailbox te mogen en het belang van de gebruiker bij zijn digitale privacy. Want hoewel je geen briefgeheim hebt online, heb je wél recht op privacy.

Het belang “uw mailbox is gecorrumpeerd waardoor onze systemen niet meer werken” lijkt me bijvoorbeeld wel goed genoeg om even iemands privacy te mogen schenden en zijn mailbox te repareren. Zeker als de systeembeheerder dan vertrouwelijkheid bewaart over wat hij ziet in die mailbox. Het belang “uw gezicht staat ons niet aan” is bij lange na niet groot genoeg.

Het bedrijfsbelang van Microsoft om haar geheimen te beschermen tegen een potentiële dief? Da’s een lastiger. Ik zeg niet meteen nee maar het riekt wel erg naar eigenrichting. Aan de andere kant, dat mag die garagebox-eigenaar ook als hij zelf een reële inschatting maakt dat er iets illegaals gebeurt in zijn box. En waarom hij wel maar de mailserver-eigenaar niet?

Arnoud

Mag je een failliet e-mailadres heractiveren?

Geplaatst op 14 september 2012 in Privacy, 13 reacties

Een lezer vroeg me:

Mijn provider is failliet gegaan, en iemand heeft het domein overgekocht waar ze ook mail mee kunnen ontvangen. Mag dat zomaar? Het is (was) toch mijn mailbox?

Een mailbox is een lastig iets om juridisch te duiden. Het is een verzameling data, en op zo’n verzameling kun je geen eigendomsrechten claimen. Zeggen dat je dus “jouw” mailbox terug wilt van de curator is onmogelijk, bijvoorbeeld.

Als de mailbox gekoppeld is aan een persoon, dan valt de mailbox wel onder de Wet bescherming persoonsgegevens want die koppeling maakt de mailbox een persoonsgegeven. Die mailbox (en het bijbehorende mailadres) mag dan niet zomaar worden gebruikt. Hoofdregel is toestemming, en als uitzondering is (naast de goede uitvoering van de overeenkomst) eigenlijk alleen de dringende eigen noodzaak beschikbaar.

Hoe dringend noodzakelijk is het om een e-mailadres van de vorige domeinnaameigenaar te activeren? Niet heel erg lijkt me. Ik vind dit toch wezenlijk iets anders dan de situatie waarin een ex-werkgever een werknemersmailadres actief houdt. Een ex-werkgever mag zo’n mailbox monitoren want daar kunnen voor de opvolger bestemde werkmails in komen.

Bij een overgenomen domeinnaam kan ik me moeilijk een belang voorstellen (oké, een legitiem belang) dat rechtvaardigt dat je de mails van “vroeger” opvangt. Behalve misschien als de domeinnaam overgenomen is in het kader van een boedelaankoop ten behoeve van voortzetting van het bedrijf. Jullie?

Arnoud

Mogen Facebook, LinkedIn en consorten mij uitnodigen via mijn vrienden?

Geplaatst op 20 juni 20128 september 2012 in Intellectuele rechten, Uitingsvrijheid, 8 reacties

Volgens het mailtje dat ik vanochtend kreeg, zitten er 93 mensen met smart te wachten op mijn terugkeer op LinkedIn. Hoe veel er op Plaxo zitten weet ik niet, maar ik word er regelmatig aan herinnerd dat dat nog bestaat. En op Facebook is het ook heel gezellig maar zou het toch leuker zijn met mij erop. Zo ongeveer de enige waar ik géén regelmatige mailtjes van krijg is Google+. Maar mag dat allemaal zomaar, al dat commerciële gemail om mij op die netwerken te krijgen?

In principe mag dat natuurlijk niet. Ongevraagde commerciële mail heet spam, en is voor Facebook of LinkedIn net zo hard verboden als voor de Aziatische v1agraspammers. Ook in de VS, waar die bedrijven gevestigd zijn. Maar de truc die ze daar hanteren, is dat degene die zijn adresboek openzet zodat de sociale netwerken iedereen daarin kunnen oogsten en mailen, in de voorwaarden moet garanderen dat hij van iedereen uit dat adresboek toestemming heeft om dit te mogen doen. En dan kan Facebook dus met een oprecht gezicht melden dat de mail opt-in is. Ehm, tsja.

In Nederland zie ik dat argument de giecheltoets niet doorstaan. Maar bij ons is er een andere escape, namelijk de tell a friend systemen waarvoor in 2008 een soort-van uitzondering is gemaakt door spamtoezichthouder OPTA en privacywaakhond Cbp.

Een tell-a-friendsysteem is een mailsysteem op een website waarbij je als bezoeker je eigen gegevens en die van een ontvanger (een vriend) kunt invullen, waarna de website daar een mail heen stuur. Het originele idee was dat je zo snel even een tipje of signalering kon versturen, maar zoals met zo ongeveer alle technologieën op internet wordt dat binnen de kortste keren tot op het bot uitgemolken om advertenties en andere meuk mee te versturen.

Een tell-a-friendsysteem is uitgezonderd van het spamverbod als aan vier eisen is voldaan:

De communicatie gebeurt volledig op eigen initiatief van de internetgebruiker (of afzender), de website stelt hier geen (kans op) beloning tegenover voor afzender of ontvanger.
Voor de ontvanger moet het duidelijk zijn wie de initiatiefnemer van de e-mail is, zodat hij diegene kan aanspreken als hij niet gediend is van dergelijke mails.
De afzender moet volledige inzage hebben in het bericht dat namens hem wordt verzonden, zodat hij de verantwoordelijkheid kan nemen voor de persoonlijke inhoud van het bericht.
De website in kwestie mag de e-mailadressen en andere persoonsgegevens niet gebruiken of bewaren voor andere doeleinden dan het eenmalig verzenden van een bericht namens de afzender. Daarnaast dient de website het systeem te beveiligen tegen misbruik, zoals het geautomatiseerd verzenden van spam.

Een uitnodiging om lid te worden van bijvoorbeeld Facebook kan voldoen aan deze eisen. In de praktijk gaat het meestal fout bij eisen 3 en 4. Zo krijg je vaak herinneringen, dus dan worden de gegevens bewaard voor meer dan een eenmalig verzenden. En ook krijg je lang niet altijd een preview van het bericht zoals dat verzonden gaat worden.

Wél fijn is dat sommige van die netwerken de optie bieden “stuur mij nooit meer uitnodigingen”. Die zwarte lijst is niet verplicht maar ik vind dat dat eigenlijk wel zou moeten.

Arnoud