Persoonsgegevens Archieven - Pagina 10 van 21

Kun je via de privacywet als ondernemer uit Google Maps en Streetview blijven?

Geplaatst op 16 mei 201413 mei 2014 in Privacy, 23 reacties

kaart-streetview-maps-sarphatistraat Een juridisch ondernemer stond met een stichting ingeschreven bij de KVK (ik gok een advocaat met een stichting derdengelden), waarbij zijn persoonsnaam in de stichtingnaam zat en hij zijn eigen huisadres als vestigingsadres had opgegeven. Toen zijn gegevens opdoken in Google Maps, en foto’s van zijn huis in Streetview, diende hij een klacht in. Deze leidde ertoe dat Google een en ander ging blurren, maar dat was niet genoeg voor de ondernemer. Die stapte naar de rechter met een beroep op de Wet bescherming persoonsgegevens: het ging immers om zijn naam in de stichtingnaam.

De rechtbank wees die eis af, met onder meer de opmerkelijke overweging dat een bedrijfsnaam met persoonsnaam geen persoonsgegeven is omdat het dan niet gaat om “een gegeven dat betrekking heeft op die natuurlijke persoon”. En als dat wel zo zou zijn, dan zou Googles grondrecht om een bedrijf te runnen het moeten winnen van het grondrecht van meneer op zijn privacy.

In hoger beroep (via) komt het Hof niet toe aan die gekke overweging. Ergens jammer, want even expliciet opmerken dat dat niet klopt, had ik wel op prijs gesteld. Het is namelijk wél een persoonsgegeven. En de beoordeling moet gaan over die belangenafweging, dat is hoe de Wbp in elkaar zit.

Het Hof constateert dat door het blurren en beperken van de informatie er uitsluitend nog informatie over het huis te vinden is. En dat identificeert niet de eigenaar, want weten hoe een huis eruit ziet zegt niets over de eigenaar daarvan. De informatie moet tot de persoon te herleiden zijn:

Aan dat vereiste is niet voldaan indien na het intypen van (enkel) een adres uitsluitend de locatie van het betreffende adres en wazig gemaakte fotografische afbeeldingen rondom dat adres – zonder dat daarop individuen staan afgebeeld – worden weergegeven, omdat in dat geval uitsluitend gegevens over een object, en geen persoonsgegevens over een individu, worden geopenbaard.

En dat klopt, hoewel het gek aanvoelt. Immers je adres lijkt me vrij evident een persoonsgegeven. Maar het klopt wel dat die link te leggen moet zijn. Enkel een adres zegt nog niets, er moet wel met een redelijke inspanning te achterhalen zijn wie daar woont of eigenaar van is. En dat is hier niet het geval.

Minstens zo gek is de bron van alles. Als je jezelf inschrijft als ondernemer bij de KVK (wat wettelijk verplicht is), dan verkoopt de KVK je gegevens aan allerhande partijen door. Ook aan Google, en die combineert dat handig in haar kaartendienst Maps. Hierbij werkt men nog steeds met een opt-out, en ik heb werkelijk geen idee waarom. Maar het feit dat meneer de opt-out had gebruikt, leidt ertoe dat zijn eis verder wordt afgewezen. Door die opt-out zal Google de gegevens niet meer opnemen.

Arnoud

Google heeft eigen verantwoordelijkheid bij persoonsgegevens in zoekresultaten

Geplaatst op 14 mei 201413 mei 2014 in Ondernemingsvrijheid, Privacy, 101 reacties

Google moet gevoelige informatie uit de zoekresultaten verwijderen als personen hierom vragen, meldde Het Parool gisteren. Dat is iets té kort door de bocht: Google mag niet meer eenvoudigweg doorverwijzen naar de bronnen van die informatie maar moet zelf een afweging maken tussen de privacy van de klager en de informatiewaarde van de publicaties.

De rechtszaak waar dit arrest uit voortkomt, ging over een publicatie uit 1998 die in 2010 opdook in Google-zoekresultaten via een krantenarchief. Het onderwerp van de publicatie wilde dit verwijderd, omdat het bericht achterhaald en irrelevant was geworden. (Hij had in 1998 een beslaglegging tegen zich gekregen maar dat was al lang weer opgelost.) De Spaanse rechter stelde vragen over uitleg van de privacwetgeving aan het Europese Hof, omdat het hier om een fundamentele kwestie ging.

Allereerst bepaalt het Hof dat zoekresultaten van een online zoekmachine onder de privacywet (Wbp) vallen. Er worden persoonsgegevens verwerkt op die manier, want het verzamelen, indexeren en (na zoekopdrachten) tonen daarvan valt onder de zeer brede definitie die de wet hanteert. Alle privacyjuristen roepen nu, “ja natuurlijk, Lindqivst” – want in die zaak werd ooit bepaald dat op internet zetten “De vrijwilligersmiddag gaat niet door want Wim heeft zijn enkel gekneusd” een verwerking van (bijzondere) persoonsgegevens opleverde.

Belangrijk is wel dat het Hof zegt dat dit óók geldt als je alleen maar informatie van elders plukt en die in je eigen volgorde et cetera vormgeeft. Dus ook als je niets verandert aan de informatie. Privacy vervalt niet wanneer de informatie al ergens openbaar is. En privacy stopt ook niet enkel omdat de informatie juist is. Iedere (her-)publiceerder moet zijn eigen rechtvaardiging hebben onder de privacywet om informatie te mogen publiceren of gebruiken.

Google is een ‘publiceerder’, juridisch gezegd een verantwoordelijke. Zij pakken informatie en maken die doorzoekbaar. Dat is ook een vorm van verwerking, en Google bepaalt hoe en waarom dat gebeurt. Dat is de definitie van “verantwoordelijke”.

Hoewel het waarom formeel geen rol speelt (je bent verantwoordelijk of niet), vindt het Hof het toch belangrijk aan te stippen dat Googles rol een hele grote is. Google is niet zomaar een kaartenbak, Google ontsluit het onmogelijk te doorkruisen internet:

Bovendien staat vast dat deze activiteit van zoekmachines een beslissende rol speelt bij de wereldwijde verspreiding van deze gegevens, doordat zij deze toegankelijk maakt voor elke internetgebruiker die op de naam van de betrokkene zoekt, daaronder begrepen de internetgebruikers die anders de webpagina waarop diezelfde gegevens zijn gepubliceerd niet hadden gevonden.

Dit is in zoverre belangrijk dat de privacy-inbreuk die via Google gepleegd kan worden, zeer ver kan gaan. Iedereen kan die informatie vinden en gebruiken. En vanwege die belangrijke rol die Google zichzelf zo aanneemt, is het wenselijk dat Google gewoon aan de privacywet gehouden wordt, zo bepaalt het Hof. De privacy online bestaat niet daadwerkelijk als Google buiten de Wbp zou vallen. Een stevige stelling.

Dat Google een opt-out hanteert (robots.txt en noindex tag) maakt daarbij niet uit. Google mag de keuze wat ze opneemt en wat ze toont, niet bij een ander laten. Zij heeft een eigen verantwoordelijkheid als verantwoordelijke onder de Wbp.

Verder wordt Google Spanje aansprakelijk gehouden (volgens mij naast Google Inc) omdat deze dochter de advertentieruimte verkoopt op de zoekresultaatpagina’s. Zonder de dienst van de Amerikaanse moeder kan Google Spanje niet bestaan, dus is ze er mede-verantwoordelijk voor. Wederom vanuit de achterliggende wens dat Google aan te pakken móet zijn omdat anders de Europese privacy door datagrabbelende Amerikaanse molochen waardeloos gemaakt wordt. (Oké die was tendentieus. Maar weerleg ‘m maar eens.)

Maar zoekmachines zijn toch niet aansprakelijk voor wat ze tonen? Dat argument komt hier niet naar voren. Mogelijk omdat de e-commercerichtlijn (waarin deze bescherming is geregeld) expliciet zegt dat deze niet van toepassing is op diensten die onder de privacyrichtlijn 95/46/EG vallen (zoals bij ons al eens in de Kleinkindonbereikbaar-zaak). Dus ook vanuit dat licht ontkom je niet aan verantwoordelijkheid onder de privacywet.

En dan komt de échte klap: Google (.com en .es) moet zélf zorgen voor een goede balans tussen de privacy van geïndexeerde mensen en de informatievrijheid. Ze mag niet verwijzen naar de bronsites, of volstaan met “zolang de rechter het niet verboden heeft, houden wij het doorzoekbaar”.

Dit kan dus leiden tot een situatie waarin de informatie wél op de bronsite mag staan maar niet via Google te vinden is, althans niet met een op de persoon gerichte zoekopdracht. Krantenarchieven hoeven dus niet te vrezen dat zij nu hun site ook ondoorzoekbaar moeten maken.

Ook betekent het niet dat Google nu direct na een klacht van alles moet blokkeren. De klacht moet wel terecht zijn. Zo zou een actueel en relevant journalistiek artikel over iemand niet uit een gerichte zoekopdracht over die persoon hoeven te worden verwijderd. Een verouderd en irrelevant artikel wel. En het Hof zegt daarbij dat “in beginsel” de privacy het wint van de informatievrijheid/meningsuiting – wat een opmerkelijke is, want de standaard is dat twee grondrechten gelijkwaardig zijn en de afweging per geval moet gebeuren. In het kader van privacy zegt het Hof dat enkel bij “bijzondere redenen, zoals de rol die deze persoon in het openbare leven speelt” de informatievrijheid het kan winnen.

Het fameuze “recht te worden vergeten” komt ook nog langs. Zoekresultaten uit oude bronnen kunnen vervelend zijn, die moet een zoekmachine op zeker moment maar eens vergeten te tonen. Of je scháde hebt, is daarbij irrelevant. Het gaat enkel om de afweging privacy versus informatievrijheid, wat weegt in dit geval het zwaarste. En bij dat zestien jaar oude artikel over een inmiddels volslagen irrelevante beslaglegging weegt de privacy het zwaarste. Eruit dus.

Oef. Dat is nogal wat. Privacy wint het van zoekresultaten, Google moet aan de Europese regels voldoen. En ik denk dat ze nu ook zélf een privacy-takedownteam moeten opzetten, want het Hof zegt toch echt dat het Google is die dat moet uitzoeken en niet de bronsite. Hoewel ze ook een paar keer opmerken dat de nationale rechter dat moet uitzoeken, wat een hint kan zijn dat Google mag wachten totdat de rechter haar veroordeelt tot opschonen. Dus ik gok dat dat de spin is die Google eraan gaat geven, en vervolgens overgaat tot de orde van de dag. Maar dit arrest gaat écht nog een staartje krijgen.

Arnoud

Kun je privéberichten opeisen bij een forum via de Wet bescherming persoonsgegevens?

Geplaatst op 30 april 201427 april 2014 in Privacy, 18 reacties

Een lezer vroeg me:

Recent ben ik verbannen van een forum. Hierdoor ben ik de toegang verloren tot al mijn privécommunicatie op dat forum. Deze wil ik nu opeisen via de Wet bescherming persoonsgegevens, de berichten betreffen immers mijzelf. Maar het forum wil me die niet geven, ze zeggen dat de Wbp niet geldt. Hoe zit het nu?

Het opeisen van persoonsgegevens kan in principe. Immers, als iemand persoonsgegevens verwerkt, heeft de betrokken persoon een recht van inzage (art. 35 Wbp). Hij mag vragen om:

een volledig overzicht [van de gegevens] in begrijpelijke vorm, een omschrijving van het doel of de doeleinden van de verwerking, de categorieën van gegevens waarop de verwerking betrekking heeft en de ontvangers of categorieën van ontvangers, alsmede de beschikbare informatie over de herkomst van de gegevens.

Zaken als logs over iemand zijn persoonsgegevens, en de persoon heeft dus recht op een kopie van die logregels met zijn IP-adres of zijn gebruikersnaam. (Mits ze er nog zijn, er is géén logplicht of bewaarplicht voor forums.)

Bij privéberichten ligt dit wat lastiger. Ook die zijn als persoonsgegevens te zien, al is het maar omdat de persoon er als afzender of ontvanger aan gekoppeld is. Maar of die op te eisen zijn, betwijfel ik. Allereerst kun je je afvragen of de forumbeheerder wel de ‘verantwoordelijke’ is in de zin van de wet – hij koos er niet voor dat die gegevens in die berichten terecht kwamen, immers. Dat was de afzender van het bericht. Dus díe is volgens mij de persoon die je om inzage moet verzoeken.

En ten tweede bepaalt de Wbp dat wanneer “een derde naar verwachting bedenkingen zal hebben”, je eerst die derde (de wederpartij bij de communicatie dus) moet vragen om zijn ‘zienswijze’ over het inzageverzoek. Gezien het feit dat het om privéberichten gaat lijkt het me logisch dat die zienswijze is “eh, nee, privébericht”. Hoewel het briefgeheim formeel niet geldt voor e-mail of privéberichten, zit er wel een zwaarwegend privacybelang op zulke berichten. En dat blokkeert dan het recht van inzage. Hoewel daar natuurlijk tegenover staat dat het bericht al eens gestuurd was door/naar de betrokken persoon, dus hij wéét al wat erin staat.

Als de berichten ondertussen al weg zijn (omdat het account is opgeheven), dan houdt het natuurlijk allemaal op.

Het verbaast me trouwens hogelijk dat geen van de bekende forumsoftwarepakketten een exportoptie lijkt te hebben voor privéberichten. Mis ik iets of vindt men dat massaal overbodig?

Arnoud

“Verwijderen van uw account kan alleen per brief”

Geplaatst op 24 april 201422 april 2014 in Privacy, 20 reacties

Een lezer vroeg me:

Ik heb een account bij een webwinkel, omdat dat moest toen ik wat wilde bestellen. Nu houd ik niet van rondslingerende oude accounts, dus heb ik gevraagd of ze deze weg willen halen. Als reactie kreeg ik dat ik dan een brief moet sturen met kopie paspoort naar een of andere postbus in Zevenaar. Dat zou conform het privacystatement en de Wet bescherming persoonsgegevens zijn. Klopt dat, mogen ze dat zo eisen?

Een account bij een website valt in principe onder de Wet bescherming persoonsgegevens (de privacywet). Het account is immers een bundel met gegevens die aan éen persoon – de accounthouder – te koppelen zijn. Volgens die wet heb je als betrokkene/eigenaar het recht van inzage, correctie en verwijdering. Je mag bij de dienstverlener opvragen wat ze van je weten, corrigeren wat daarin niet klopt en laten verwijderen wat achterhaald is.

Een eis bij zo’n inzageverzoek is dat de dienstverlener moet nagaan of de vrager echt de eigenaar is van het account. Een brief laten sturen met kopie identiteitsbewijs is een voldoende manier om hieraan te voldoen. Daarom, maar ook omdat een inzageverzoek gedoe is waar veel bedrijven eigenlijk geen zin in hebben, is het gebruikelijk om te eisen dat men een brief stuurt.

Echter, er is bij zulke accounts een nóg simpeler manier: wie kan inloggen op het account, is daar de eigenaar van. Het toevoegen van een “Opheffen account”-knop is dan ook genoeg om aan de wet te voldoen. Wilt u uw account opheffen, druk op de knop. Is het wachtwoord vergeten en het e-mailadres onbereikbaar voor resetmails, dan kan er alsnog gewerkt worden met de noodgreep van brief met identiteitsbewijs.

Persoonlijk zou ik echter zeggen, wie mailt vanaf het adres dat aan het account gekoppeld is, heeft zich ook adequaat geïdentificeerd. Bij het maken van het account vroeg je niet om identificatie, dus waarom zou dat nu bij opheffen ineens wél moeten? In mijn cynische buien denk ik dan wel eens, het opheffen van accounts wil men eigenlijk niet want veel accounts hebben staat goed in je persberichten. Maar dat terzijde.

Specifiek bij forums speelt hierbij een aanverwant probleem: verwijderen van een account kan ook leiden tot verwijderen van de geplaatste berichten. Of dat laatste ook moet, is een lastige.

Arnoud

Kabinet zwakt wetsvoorstel meldplicht datalekken af

Geplaatst op 22 april 201418 april 2014 in Ondernemingsvrijheid, Privacy, 21 reacties

persoon-persoonsgegeven-veilig-hek-beschermd-lek-data Het kabinet gaat de voorgestelde meldplicht voor datalekken beperken, las ik bij Tweakers. Bedrijven en organisaties zijn volgens de nieuwe voorstellen alleen verplicht melding te maken van datalekken als deze als ‘ernstig’ zijn te kwalificeren in plaats van zodra er een “aanmerkelijke kans” is dat er verlies of misbruik kan ontstaan, zo staat in de nota van wijziging.

Tsja. Het is subtiel woordenspel; in beide situaties moet de melder interpreteren of een diefstal of lek onder de wet valt. Ik weet niet of we daar heel gelukkig van worden. Ik denk dat met alle formuleringen die we gaan verzinnen, een melder of zijn slimme ICT-jurist een interpretatie weet te verzinnen waarom zijn lek er niet onder valt. “Nee sorry Heartbleed is geen ernstig datalek want er is geen aanwijzing in onze logs dat iemand het servergeheugen heeft leeggetrokken.”

Nee weet je: eigenlijk ben ik gewoon tégen een meldplicht. Mensen worden daar melddoof van – zie de cookiewet. Als je mensen om de haverklap vertelt dat er iets is, dan gaan ze dat negeren. Er is iets ernstig mis met je systeem als je denkt dat de oplossing is om mensen te waarschuwen. (Of je bent erg lui.)

Bovendien, specifiek bij datalekken, wat kún je doen? Stel mijn naam en huisadres worden gelekt. Wat moet ik dan? Verhuizen? Dat gaat toch niet? Ja oké bij een mailadres kan dat wel maar moet ik dan een ander mailadres nemen omdat een of andere nieuwsbriefbeheerder zo dom is een lekke database te hebben?

Nee. De vervuiler betaalt. Als jij zo dom bent, dan mag jij mij een vergoeding betalen als er overlast betaalt. In juridische termen: dan gaan we de directie eens aansprakelijk stellen voor verlies of diefstal van persoonsgegevens. En ja ik weet dat die schade moeilijk te kwantificeren is, dus daarom moet er in de wet komen te staan dat persoonsgegevens een vast bedrag waard zijn, zeg €150. En vervolgens moet de beheerder dus bij een datalek aan alle nieuwsbrieflezers €150 de man betalen.

Wedden dat bedrijven dan wél serieus gaan investeren in dichttimmeren van hun persoonsgegevendatabanken?

Arnoud

Wifi-tracking: winkels volgen je voetsporen

Geplaatst op 24 januari 201423 januari 2014 in Innovatie, Privacy, 68 reacties

Steeds meer Nederlandse winkels volgen klanten via unieke signalen uit hun smartphone, meldde Nu.nl gisteren. Dit op basis van een mooie longread bij Tweakers over het onderwerp: “Winkels die dat willen, kunnen precies zien waar je loopt en hoe lang je stilstaat. Het wordt mogelijk gemaakt door een technologie die sinds de afgelopen anderhalf à twee jaar aan populariteit wint: het tracken van telefoons.” Maar, eh, ja, mág dat dan?

Elke telefoon zendt signalen uit: in ieder geval gsm (om bereikbaar te blijven voor telefoontjes), meestal ook wifi (op zoek naar een netwerk, of communicerend daarmee) en ook Bluetooth hoewel dat niet vaak aanstaat. Met name wifi is interessant: wanneer een telefoon een wifi netwerk zoekt, stuurt hij onversleuteld zijn mac adres mee in de hoop dat een netwerk zegt “kom erbij, hier is een ip-adres”.

Het opvangen van die signalen is op zich niet verboden. Het opvangen van vrije signalen uit de ether is een grondrecht, deel van de informatievrijheid waar ook de vrijheid van meningsuiting onder valt (art. 10 EVRM). Je mag informatie en ideeën verzamelen en verspreiden. Ook in het strafrechtartikel dat aftappen van datacommunicatie verbiedt (art. 139c Strafrecht), staat dit als uitzondering genoemd.

Mac-adressen zijn persoonsgegevens. Ze zijn te herleiden tot een mobiele telefoon (in deze context) en mobieltjes hebben vrijwel altijd een 1-op-1 relatie tot een persoon, hun eigenaar. Alle gegevens die worden verkregen in combinatie met een mac-adres zijn dan ook persoonsgegevens, en deze gegevens mogen dan alleen worden verwerkt (binnengehaald, opgeslagen, aangepast, geanalyseerd of wat je maar wilt doen) binnen de context van de Wet bescherming persoonsgegevens.

Ik lees bij Retecool dat het mac-adres gehasht wordt, maar of dat de boel verandert? Ook het gehashte nummer is uniek voor de telefoon. En zodra een nummer uniek is voor een persoon, is het een persoonsgegeven.

Hoofdregel uit de Wbp is dat je toestemming nodig hebt van de telefooneigenaar. Dat gebeurt hier niet, en ik zou ook niet weten hoe je dat werkbaar kunt maken. Je kunt immers moeilijk een popup tonen op een telefoon wanneer je iemands mac-adres uit een bak wifi-signalen vangt.

Als exploitant van zo’n dienst* heb je dus maar één manier om dit privacytechnisch legaal te kletsen: de eigen dringende noodzaak. Wanneer toestemming vragen niet kan, de gegevens noodzakelijk zijn voor jouw belang én je de privacy van de betrokkenen maximaal beschermt, dan handel je legaal ook zonder toestemming.

*Let wel: dat is de wínkel die het apparaatje aanzet. Tenzij de apparaatjesleverancier zelf de gegevens verzamelt en exploiteert.

We weten uit de Google Streetview-zaak dat het sniffen van wifi netwerken en daar persoonsgegevens uit halen in principe mag, mits je maar een opt-out aanbiedt en duidelijk aankondigt dat je dit doet. Een winkel (de exploitant) moet dus een bordje ophangen en moet eigenlijk ook nog eens zorgen dat geen wifi signalen van buiten het pand worden opgevangen. En er moet een opt-out worden aangeboden, oftewel een plek waar je je mac-adres mag invullen zodat je niet meer gevolgd wordt.

Bij die Streetview-zaak herinner ik me veel opmerkingen in de trant van “je zendt je SSID toch al uit, wat is het probleem”. Hoewel het hier technisch-juridisch hetzelfde is volgens mij, krijg ik hier toch een heel ander gevoel bij. Zit hem dat in het gevolgd worden ipv een statisch access point? In dat een telefoon persoonlijker voelt dan een router? In dat je de Streetview-auto nooit ziet maar de Albert Heijn niet te vermijden is?

Arnoud

Wat kan een thuiszorger doen tegen een filmende cliënt?

Geplaatst op 6 december 20131 december 2013 in Privacy, 15 reacties

Een lezer vroeg me:

Het komt steeds vaker voor dat mijn collega’s of ik als thuiszorg bij een cliënt thuis worden gefilmd met een webcam. Zij hebben geen idee wat er met die beelden gebeurt. Soms zit familie op afstand mee te kijken, maar soms wordt ’t ook gewoon opgenomen, zonder dat bekend is wat er verder met deze beelden gebeurt. Wij voelen ons hierdoor soms erg bezwaard. Wat kunnen wij hiertegen doen?

Antwoord: Het filmen van personen in een niet-openbare ruimte zoals een huis is verboden, tenzij je dit duidelijk aankondigt en een zwaarwegende reden hebt om om deze manier mensen te filmen (art. 139f Strafrecht). Natuurlijk zijn er redenen genoeg om in je huis te willen filmen, maar de wetgever vindt de privacy van je (legale) bezoekers óók belangrijk en eist daarom dat je een belangenafweging doet.

Aankondigen dát je met cameratoezicht werkt, is daarbij eigenlijk ook verplicht. In zeer uitzonderlijke situaties kun je wegkomen met verborgen camera’s, maar dan moet het echt gaan om een allerlaatste redmiddel nadat bewezen alle andere opties zijn uitgeput en niets hebben opgeleverd.

Het idee van dat aankondigen is dat de bezoeker dan kan besluiten toch maar niet naar binnen te gaan. Maar bij de vraagsteller is dat lastiger: die móet naar binnen, het is zijn of haar werk om in dat huis de bewoner te verzorgen of te helpen. Daar wordt het filmen dus opgedrongen, en dat is juridisch twijfelachtig. Dan moet je belang wel een stuk groter zijn.

Om problemen te voorkomen, lijkt het me het beste om dit in de zorgovereenkomst af te spreken. In goed overleg zijn er vast regels te verzinnen over waar wel en waar geen camera, wie bij de beelden mag en wat daarmee kan gebeuren. De modellen daarvoor die ik kon vinden hebben hier helaas geen clausules voor.

Het is een lastig dilemma. Enerzijds is het héél benauwend om continu gefilmd te worden als je gewoon je werk gaat doen (zeker bij persoonlijke dienstverlening). Anderzijds gaan er met enige regelmaat helaas dingen mis bij thuiszorg, dus vanuit preventie-oogpunt een camera snap ik dan wel weer. Plus, die camera hangt er misschien niet eens vanwege wantrouwen naar de thuiszorg maar vanuit een zorg over de grootouders die wellicht zomaar onwel kunnen worden. Maar poe zeg, als ik 80 ben en fysiek slecht gesteld zou ik toch nog steeds niet willen dat ik de hele dag bekeken word.

Arnoud

Privacyvoorwaarden Google in strijd met de wet

Geplaatst op 2 december 20131 december 2013 in Ondernemingsvrijheid, Privacy, 33 reacties

Het combineren van persoonsgegevens door Google sinds de invoering van hun herziene privacyvoorwaarden is in strijd met de Nederlandse privacywet, de Wbp. Dat concludeerde privacytoezichthouder Cbp vorige week. Google koppelt persoonsgegevens van internetgebruikers die via allerlei verschillende Google-diensten worden verkregen, zonder de gebruikers daarover vooraf goed te informeren en zonder daarvoor vervolgens toestemming te vragen. En nee, in je privacyverklaring zeggen dat je iets doet is niet hetzelfde als “informeren en toestemming vragen”.

Het grote probleem met de sinds juni 2012 samengevoegde privacyverklaring is dat ‘ie veel te vaag is. Dat hebben alle sites, en het is ergens ook logisch want je kunt moeilijk tot in detail uitleggen wat je allemaal precies doet. Laat staan op een manier die iedereen begrijpt en op een moment dat het niemand ook maar één iota interesseert wat je allemaal doet. Het fundamentele probleem met de privacywet is dan ook de gedachte “leg het mensen uit en dan kunnen ze een geïnformeerde vrijwillige toestemming geven of weigeren, waarmee er geen probleem meer kan zijn”.

Bijzonder puntje bij Google is dat in hun privacyverklaring heel vaak het woord ‘kan’ valt. Ze zeggen daarover zelf:

Dat Google vaak woorden gebruikt als ‘kan’ is onvermijdelijk, omdat daadwerkelijke verwerking afhankelijk is van meerdere factoren, zoals of de gebruiker een bepaalde Google-dienst gebruikt.

Dat geloof ik graag maar het kán (haha) natuurlijk ook betekenen dat Google diverse varianten en invullingen gaat geven die heel anders kunnen (haha) werken of uitpakken dan de gebruiker verwacht. En dat is nou net niet de bedoeling van de Wbp: je moet niet zeggen wat er kán gebeuren maar wat er zál gebeuren. Specifiek, en in voldoende detail om mijn moeder te laten begrijpen wat dat inhoudt. En wat je niet uitlegt dat mag je niet doen. Nee, dat doet niemand en mijn moeder wíl dat ook helemaal niet lezen. Die wil gewoon dat Google zich netjes gedraagt.

Ook het verweer van Google dat zij geen persoonsgegevens verzamelen, wordt afgewezen. Google maakt profielen en voegt informatie samen. Zodra je genoeg informatie in een profiel hebt om één persoon uniek te onderscheiden van andere personen, is dat profiel een persoonsgegeven. Het doet er niet toe of ze weten hoe je heet, waar je woont of wat je e-mailadres is. Oh wacht:

We don’t need you to type at all. We know where you are. We know where you’ve been. We can more or less know what you’re thinking about.

Een quote van Google-directeur Schmidt, met ambtelijk sarcasme geciteerd in het Cbp rapport. Google weet alles van ons, zo zeggen ze zelf. Dús weten ze onze persoonsgegevens.

Ja mooi. Maar eh je geeft toch toestemming voor al dat verwerken door Google te gebruiken? Dat staat overal in de privacyvoorwaarden en in van die handige wegklikbalkjes. Maar nee, dat is niet het soort toestemming dat de privacywet op het oog heeft. Je moet het apart vragen en je moet op antwoord wachten. En eigenlijk ook een ‘nee’ als antwoord accepteren, als ik dit goed lees:

Weliswaar kan ondubbelzinnige toestemming ook verkregen worden uit een actieve handeling, maar alleen als de gebruiker een (vrije, specifieke en geïnformeerde) keuze heeft kunnen maken om in te stemmen of te weigeren, en dat is niet het geval. Google verkrijgt evenmin ondubbelzinnige toestemming via aanvaarding van haar servicevoorwaarden of het gebruik blijven maken van haar open diensten.

“Hoi wij gaan cookies zetten en u tracken, dat vindt u goed anders moet u deze site maar verlaten” en een ok-knop is dus géén toestemming. Dat wordt dus een leuke bij dat cookiewetswijzigingsvoorstel.

Sluit je dan misschien een contract met Google door hun site te gebruiken? Immers je mag persoonsgegevens gebruiken voor een goede uitvoering daarvan. Nou, niet voor mensen die gewoon langssurfen en de zoekmachine gebruiken. Die wéten niet eens dat ze een overeenkomst sluiten, laat staan onder de Servicevoorwaarden. Dus nee, een linkje onderaan met je algemene voorwaarden (of disclaimer, for that matter) gaat je dus niet helpen.

Plus, zelfs al bouw je een constructie waarbij je wél mensen bindt aan een overeenkomst en rechtsgeldig de voorwaarden elektronisch ter hand stelt, dan nog mag je die persoonsgegevens alleen gebruiken als dat noodzakelijk is voor die overeenkomst. Dus daarmee krijg je echt niet al dat geprofileer en getarget gerechtvaardigd.

De eigen dringende noodzaak gaat hem ook niet worden: waar dat bij Street View nog de escape, hier niet want alles werkt met cookies en daar had je nou eenmaal toestemming voor nodig.

Maar stel ze gaan naar een cookieloos Google, dan nog: je moet dan wel, ahem, een dringende noodzaak hebben. En wat is die noodzaak dan om Youtube en Google en al die andere diensten te bundelen en één profiel op te bouwen? Ja, dat je gericht kunt adverteren maar daarbij zul je echt meer rekening moeten houden met de privacy. En dat is dan niet alleen een opt-out per dienst of het aanreiken van tools, maar een eigen afweging of het nou echt wel nodig is om zo diep inbreuk te maken op de privacy van zoekers, Mappers en andere Googledienstgebruikers.

Uiteraard herkent Google zich niet in de kritiek en wordt een stofwolk aan marketingpraat (verwijzen naar vage Europese regels, spreken van gebruikerservaring, het woord ‘engageren’) gebruikt om om het punt heen te dansen. En het zal bij dansen blijven: ik zie niet hoe het Cbp effectief een maatregel kan opleggen die erg genoeg is om Google fundamenteel anders te laten werken. Wat jammer is, want dit is een van de stevigste rapporten die ons Cbp in lange tijd heeft opgesteld.

Arnoud

‘LG Smart TV speelt privacygevoelige data door’

Geplaatst op 25 november 201325 november 2013 in Privacy, 30 reacties

option Het Smart TV-platform op LG-televisies zou onder andere bestandsnamen op usb-opslagmedia en gekozen televisiezenders doorspelen aan servers van LG, zelfs als deze optie is uitgeschakeld. Daarbij wordt de privacygevoelige data bovendien onversleuteld doorgestuurd. Dat meldde Tweakers vorige week op basis van een slimme blog van een Nieuwzeelandse meneer. Zijn data-analyse liet zien dat allerlei privacygevoelige data werd doorgestuurd naar LG, zelfs als deze optie expliciet uitgezet was (zie plaatje). Volgens LG had hij de algemene voorwaarden maar moeten lezen.

Ja, dat was een lompe opmerking maar ze zeiden het echt, en op de lafste manier die ik in tijden heb gezien:

The advice we have been given is that unfortunately as you accepted the Terms and Conditions on your TV, your concerns would be best directed to the retailer.

En, ehm, nee. Gewoon nee. Toestemming voor privacygevoelige dingen kán niet in algemene voorwaarden (en ook niet in een privacyverklaring). En bovendien, als je een optie “doe dit niet” in je tv stopt, dan gaat het aanvinken van die optie bóven whatever je een dure jurist (of goedkope generator) in kleine lettertjes laat opschrijven.

Plus zelfs áls je dit soort ongein in algemene voorwaarden meent te kunnen verkopen dan kun je niet volstaan met “See Terms & Conditions and stores for full details” op je site. Die voorwaarden moeten bij de verkooptransactie worden overhandigd dan, en ik geloof er geen bal van dat LG dat netjes vooraf doorspreekt met die winkel. Want hoe gaat dat gewoonlijk: die winkel verkoopt een dichtgesealede doos zonder ook maar één opmerking over algemene voorwaarden van LG te maken, en hooguit bij het eerste aanzetten van de TV komen er wellicht voorwaarden in beeld. (Wat dus ook niet rechtsgeldig is, je moet ze overhandigen.)

Meer algemeen: wat was u dénkende toen u bedacht, laten we bestandsnamen van de externe usb harddisk en kanaal-informatie van de tv terugsturen naar ons? (Helemaal gezien het feit dat het wordt teruggestuurd naar een server die 404 Not Found terugzegt.) En toen u een optiesveld inbouwde dat gewoon niets doet. Oké ja ik ben alweer rustig.

Even positief kijkend: hoe zou dit wél moeten? Formeel moet de winkel dit dus uitleggen en bij de koop vragen om toestemming. Want toestemming moet ‘vrij’ gegeven worden, en wie de tv gekocht heeft en een popup langs ziet komen, kiest niet vrijelijk voor “ja”. Die wordt gedwongen ja te zeggen of zijn tv terug te brengen naar de winkel, dat is geen keuze. Nou ja, tenzij de popup ook een prominente “maar dat hoeft niet” optie biedt natuurlijk maar dat zal de marketingafdeling niet zo handig vinden. Dus wettelijk verplichten dat Marketing dan maar pech heeft?

Verplicht stellen dat dit op de doos staat, dat zou ook nog kunnen. Dan zeg je dus: je had de doos maar moeten lezen voor je ermee de winkel uit sjouwde. Maar regelmatig krijg je die doos niet te zien, je koopt op basis van het showroommodel en een bezorgbedrijf zet later de doos voor je deur.

Mogen verwijzen naar de website en zeggen, de consument heeft een onderzoeksplicht. Dat voelt ergens wel reëel, alleen je wéét dat geen hond dat gaat doen. En om nou een wet te maken die gegarandeerd compleet genegeerd gaat worden, dat is ook zo wat. Oh sorry, cookiewet.

Maar goed, wat dan? Categorisch verbieden dat televisies persoonsgegevens verzamelen? Iedereen verplicht op een cursus persoonsgegevens doen? De Wbp verplichte lesstof in de brugklas?

Update (11:22) ik lees dat LG ontkent dat de data wordt ingezet voor advertentiedoeleinden of dat men dit in het verleden zou hebben gedaan. Cynische ikke mist dan het “en zal dit ook in de toekomst niet doen”. Wel komt er een firmwarefix om het probleem met de genegeerde “doe dit niet”-optie te verhelpen. En men produceert de standaardreutel over privacy in vaandels hebben et cetera.

Arnoud

Ik wil niet in Apples adresboekcloud!

Geplaatst op 15 november 201312 november 2013 in Privacy, Security, 18 reacties

adresboek-apple-icloud Bij ict7 las ik over de nieuwe manier van adresboekbeheer van Apple in hun OS Mavericks:

[Het oude adresboek] was veilig, daar kwam geen ander tussen. Maar het nieuwe OS Mavericks heeft die mogelijkheid geschrapt. Nu kunnen adresgegevens en dergelijke alleen nog via iCloud naar een ander apparaat worden overgezet. Dat is natuurlijk niet zonder reden. Technisch was het geen enkel probleem geweest de ‘kabelmogelijkheid’ te handhaven. Dat Apple nu alleen nog maar de mogelijkheid biedt om dergelijke privédata via de servers van Apple over te zetten geeft te denken.

En dan dus de hamvraag: mag dat?

Een digitaal adresboek is hoe je het wendt of keert een verwerking van persoonsgegevens, en eentje die via de privacyschendende VS loopt ook nog. Dus daar heb je eigenlijk best wel een probleem.

Er is echter in de Wet bescherming persoonsgegevens een uitzondering die ik altijd de adresboekuitzondering noem, om precies deze reden:

Deze wet is niet van toepassing op verwerking van persoonsgegevens… ten behoeve van activiteiten met uitsluitend persoonlijke of huishoudelijke doeleinden.

Het argument is dan dat een privéadresboek een “uitsluitend persoonlijk of huishoudelijk doel” dient, immers het is voor jou om je adressen bij te houden. Niemand anders leest het (de NSA daargelaten) en dan is het dus alleen voor jezelf. En daarmee ben je van álle regels uit de Wbp af. Je hoeft mensen neit te vertellen dat ze in je adresboek staan, en zelfs het enge exporteren naar de VS is geen probleem.

Bij een zakelijk adresboek gaat dit echter vrijwel meteen mank: ís dat wel “persoonlijk of huishoudelijk”? Een bedrijf is geen persoon en geen huishouden.

Als je dat zegt, dan mag een bedrijf dus niet haar klantenbestand in de iCloud stoppen. Maar óók niet zomaar in een eigenbeheeradresboek. Dat moeten ze dan rechtvaardigen bínnen de kaders van de Wbp. Dus: toestemming, uitvoering overeenkomst of dringende noodzaak als grondslag; informeren via een privacyverklaring of iets dergelijks dat men een adresboek heeft; inzage- en correctierecht op de adresgegevens en niet te vergeten een bewerkersovereenkomst met Apple sluiten zodat juridisch geregeld is dat zij netjes met je gegevens omgaan.

En nee dat werkt voor geen meter maar daarom wordt het dus de hoogste tijd voor een nieuwe privacywet. Helaas is de Privacyverordening een eindje uitgesteld, werking op zijn vroegst in 2016.

Arnoud