Persoonsgegeven Archieven - Pagina 11 van 12

Mag het printgebruik op kantoor gemonitord worden?

Geplaatst op 3 juni 20118 september 2012 in Privacy, 33 reacties

Een lezer vroeg me:

Bij ons op de afdeling hebben we gedeelde printers, waar je je printjobs kunt uitdraaien na aanmelden met je badge. Nu kwam ik erachter dat de IT-afdeling daarmee precies bijhoudt wie wat print, en daar maandelijks rapportjes van rondstuurt naar de afdelingsmanagers. Dit omdat de kosten van printen aan elke afdeling intern doorbelast wordt. Maar mijn manager kan dus precies zien hoe veel ik print! Mag dat zomaar?

Voor het bijhouden van printgedrag geldt hetzelfde als alle andere privacygevoelige logging- en monitoractiviteiten op het werk. Dit dient in principe geanonimiseerd te gebeuren, tenzij er een gegronde reden is om een specifieke persoon onder de loep te nemen. En als men dat wil doen, moet in een privacyreglement (IT-reglement) een clausule over dergelijk monitoren opgenomen zijn. En dat reglement moet dan weer door de ondernemingsraad goedgekeurd zijn.

Persoonlijk zou ik niet weten waarom een manager per persoon zou willen weten wat er is geprint, zeker niet als de rapportage puur over de kosten gaat. Dan is alleen van belang hoe veel er totaal is geprint en wat dat kost. Het lijkt me dat de IT-afdeling vrij eenvoudig de rapporten moet kunnen aggregeren tot afdelingsniveau en dat rondsturen in plaats van de individuele rapportages.

Natuurlijk zijn er mensen die de bedrijfsprinters gebruiken om privéprintjes te maken. Dat kost dan hier aantoonbaar geld, en daar kun je mensen op aanspreken. Als er dus een IT-reglement is dat de bevoegdheid biedt om bij een vermoeden van misbruik individuele gegevens op te vragen, dan kan daarmee de veelprivéprinter worden opgespoord en aangesproken. Maar wederom: dat mag niet structureel en vooraf (“eens zien wat Jan deze week allemaal print”), het mag echt pas achteraf bij een vermoeden van misbruik (“waar komt die piek op vrijdag vandaan”).

Ongetwijfeld zitten er nu managers mee te lezen die koken van woede: mensen gaan onder het mom van privacy nu gratis privé printen op het werk en dat mag je niet detecteren. Maar a) hoe duur is dat nu écht en b) kost het je niet veel meer om dat allemaal op te sporen en aan te pakken? Nog even afgezien van de werksfeer die je dan totaal verpest.

Arnoud

Mag je bloggen over je kind?

Geplaatst op 1 maart 201118 september 2012 in Privacy, Uitingsvrijheid, 52 reacties

Mag je als vader zonder ouderlijk gezag op een blog schrijven over je kind, inclusief foto? Met die lastige vraag zag eind januari de rechtbank Arnhem zich geconfronteerd. Ik krijg daar zelf ook veel mail over (zie bv. de blog Je ex zet foto’s van je kind online) en elke keer blijkt het weer zó lastig te liggen dat een algemeen antwoord nauwelijks te geven is.

Dat concludeert nu ook de rechtbank: het gaat hier om een botsing tussen de vrije meningsuiting van de vader en de privacy van het kind. Die twee grondrechten zijn in beginsel gelijkwaardig, dus je kunt niet op voorhand zeggen dat één van de twee altijd moet winnen. De enige manier om te bepalen wat de doorslag behoort te geven, is door te kijken naar de concrete omstandigheden van het geval. Daarbij speelt een belangrijke rol de vraag of de uitlatingen die worden gedaan op waarheid berusten en de manier waarop die uitlatingen worden gedaan.

In dit geval ging het om de volgende inhoud:

Op de weblog staat één sterk verouderde foto van [naam minderjarige], waarvan onweersproken is gesteld dat de huidige [naam minderjarige] daarin niet kan worden herkend. De spaarzame andere foto’s op de weblog zijn van familieleden van [gedaagde]. De weblog is voornamelijk een korte opsomming van gebeurtenissen in het leven van [gedaagde] zelf, zoals het overlijden van zijn moeder en de geboorte van een neefje. …
Daarnaast vermeldt de weblog jaarlijks een felicitatie aan [naam minderjarige] op zijn verjaardag met de vermelding dat [naam minderjarige] nog altijd een rol speelt in het leven van [gedaagde]. [gedaagde] schrijft dus met name over zichzelf op de weblog en over zijn gevoelens voor [naam minderjarige]. Er staat feitelijk niets op de weblog over het leven van [naam minderjarige], behoudens dat hij een vader heeft die hem mist. …
Onbetwist is dat [gedaagde] vanaf 2003 geen enkel contact meer heeft met [naam minderjarige] en [eiseres] sindsdien ook geen enkele informatie over [naam minderjarige] aan [gedaagde] heeft gegeven, ondanks de aan [eiseres] opgelegde informatieplicht in de beschikking van 9 november 2005.

Een dergelijk verslag vindt de rechtbank niet onrechtmatig. Er wordt niets onbetamelijks of smadelijks gezegd, en onvoldoende onderbouwd is dat de privacy van het kind met deze publicatie geschonden zou worden. Het enkele noemen van de naam is kennelijk niet genoeg om een privacyschending te krijgen (vergelijk Persvrijheid versus Wet bescherming persoonsgegevens van 2 weken terug).

In 2009 echter vond de rechtbank Almelo nog dat het plaatsen van foto’s op een publieke (niet-afgeschermde) Hyvespagina inbreuk op de privacy opleverde. Heel veel verschil tussen namen en foto’s zie ik eigenlijk niet. Sterker nog ik zou zeggen dat een tekst met voor- en achternaam erger is dan een foto – namen zijn googelbaar, foto’s (nog) niet.

Arnoud

Persvrijheid versus Wet bescherming persoonsgegevens

Geplaatst op 16 februari 20118 april 2013 in Privacy, Uitingsvrijheid, 27 reacties

Ha, een juridische opsteker. De persvrijheid kan het wel degelijk winnen van de Wet bescherming persoonsgegevens (Wbp). Dat blijkt uit een recent arrest over de zaak-Kleintje Muurkrant. Hoewel de Wbp zeker door journalisten kan worden overtreden, maakt zo’n overtreding niet per se automatisch de publicatie onrechtmatig. Daarmee wordt het vonnis uit 2008 ongedaan gemaakt waarin de site Kleintje Muurkrant niet journalistiek genoeg geacht werd.

De website Kleintje Muurkrant had in een bericht de naam van een zakenman genoemd en in herinnering gebracht dat hij ooit gehoord was in een strafrechtelijk onderzoek naar Johan de V. alias “de Hakkelaar”. Deze man begon een procedure met als insteek de Wet bescherming persoonsgegevens: het noemen van zijn naam op een website was een verwerking van persoonsgegevens, en daarvoor was geen toestemming gegeven.

Het is me al geruime tijd een doorn in het oog dat de kaartenbakwet ingezet zou kunnen worden tegen journalistieke publicaties. Ja, de Wbp is breed bedoeld en ja ook een artikel op een website (zeker in een doorzoekbaar archief) valt onder de definitie van “verwerking” maar ik kan me werkelijk niet voorstellen dat het de bedoeling was om nieuwsvoorziening op dezelfde manier te behandelen als een klantenbestand.

Hoe dan ook, het Hof kiest hier een mooie middenweg: de Wbp kan wel gelden bij een journalistieke uiting, maar de vraag of deze wordt overtreden is niet altijd doorslaggevend. Een overtreding van de Wbp in een journalistieke context dient

te worden meegewogen bij beantwoording van de vraag of degene die verantwoordelijk is voor (handhaving van) publicatie van de beweringen hierdoor onrechtmatig handelt.

Het Hof maakt vervolgens eerst een algemene afweging en concludeert daaruit dat er geen onrechtmatige publicatie is geweest. Daarna wordt dat nog eens dunnetjes overgedaan vanuit het perspectief van de Wbp. In plaats van te spreken van “voldoende basis in de feiten” wordt. nu bijvoorbeeld gezegd dat er een aantoonbare noodzaak tot publicatie was die zwaarder weegt dan de privacy van de eiser (artikel 8 sub f Wbp).

Het beroep op de persexceptie (artikel 3 Wbp) wordt genegeerd. Dat doet er immers niet doe, merkt het Hof terecht op: de persexceptie zegt in feite alleen dat het College Bescherming Persoonsgegevens niets mag doen met klachten over privacyschendingen (art. 47 en 65 Wbp, lees maar na).

Op basis van zowel de Wbp als het algemene recht concludeert het Hof dat de artikelen niet onrechtmatig zijn. En datzelfde geldt dan ook voor het archief, waarover men nog opmerkt:

Bij de belangenafweging stelt het hof voorop dat een publicatie over een persoon op Internet waarvan de onrechtmatigheid niet aannemelijk is geworden of is komen vast te staan, in beginsel op Internet mag worden gearchiveerd. Degene die het artikel archiveert dient hierbij echter wel behoorlijk en zorgvuldig om te gaan met de belangen van de desbetreffende persoon, bijvoorbeeld door af te wegen voor welke doelgroep hij het archief openstelt en gedurende welke termijn.

Dat is dus in lijn met de vaste rechtspraak over archieven die zich de afgelopen jaren heeft ontwikkeld.

Een mooie uitspraak: de Wbp is géén apart kanaal om verwijdering te eisen als dat via de gewone regels van smaad en andere onrechtmatige publicaties niet lukt.

Update (8 april 2013) in een andere zaak wordt de Wbp erg makkelijk terzijde geschoven, grotendeels omdat de betrokkene dit niet goed onderbouwde. Maar de verwijzing naar de persexceptie rammelt gewoon.

Arnoud

Ziggo hoeft uploadende gebruiker toch niet te identificeren bij videosite

Geplaatst op 21 december 20108 september 2012 in Ondernemingsvrijheid, 34 reacties

Internetprovider Ziggo hoeft bij nader inzien de persoonsgegevens van een illegaal uploadende klant toch niet af te geven aan videosite 123video.nl. In hoger beroep heeft het Gerechtshof het vonnis van november vorig jaar waarin dat werd bepaald, vernietigd. De videosite (die ruzie heeft met Kim Holland over die filmpjes) had dit pas mogen eisen als er echt geen andere manier was om de naam- en adresgegevens van de uploader te achterhalen.

123video had internetprovider Ziggo gedaagd omdat zij zelf was aangeklaagd door Kim Holland vanwege illegaal geüploade filmpjes. Via het IP-adres had men achterhaald dat de uploader destijds van Ziggo gebruik had gemaakt. Men wilde van Ziggo weten wie deze persoon was, zodat men hem “in vrijwaring kon oproepen” oftewel op laten draaien voor die schadeclaim. Formeel biedt de wet geen grond voor zo’n identificatie, maar in het arrest Lycos/Pessers heeft de Hoge Raad toch een mogelijkheid gecreëerd.

De HR stelde daarbij wel een paar strenge eisen, met name dat “aannemelijk is dat er in het concrete geval geen minder ingrijpende mogelijkheid bestaat om de NAW-gegevens te achterhalen”. In latere rechtspraak (bijvoorbeeld de rechtbank in BREIN/UPC) werd die eis heel wat losser geformuleerd:

Ten eerste moet daarvoor voldoende aannemelijk zijn dat sprake is van inbreukmakend (onrechtmatig) handelen van de desbetreffende abonnees en ten tweede dient buiten redelijke twijfel te zijn dat degene(n) van wie de identificerende gegevens ter beschikking worden gesteld ook daadwerkelijk degenen zijn die zich aan dit handelen schuldig zouden hebben gemaakt.

Ook in het 123video-vonnis werd op deze manier geoordeeld (zie rechtsoverweging 4.3). Maar het Gerechtshof fluit de rechtbank nu expliciet terug – die afweging over alternatieve identificatiemogelijkheden is wel degelijk essentieel. Zowel het belang van 123video om te weten wie haar die schadeclaim bezorgde als het belang van Ziggo om de privacy van haar klanten te beschermen is belangrijk, en daarom moet er elke keer een nauwgezette afweging van alle betrokken belangen worden gemaakt.

In dit geval valt de afweging in het nadeel uit van 123video, omdat de site te weinig heeft gedaan om langs andere weg de identiteit van de uploader te achterhalen. Zo had 123video ook de provider van het opgegeven e-mailadres kunnen verzoeken om de gebruiker te identificeren (ja dat zeggen ze écht) en hadden ze ook uit de e-mails met de gebruiker zelf wellicht zijn naam en geboortedatum kunnen achterhalen. Daarmee had een beetje gerechtsdeurwaarder al kunnen vinden waar deze gebruiker woonde, zodat het niet nodig was Ziggo lastig te vallen met een identificatievraag op basis van IP-adres.

Een beetje gekke overweging wel. Is het écht zo veel logischer dat je afgaat op de gebruikersnaam, geboortedatum en e-mailadres bij registratie in plaats van op het IP-adres dat je logde tijdens de upload? En hoe foutgevoelig is het als je op die basis gaat dagvaarden via gespit in de gemeentelijke basisadministratie?

Ik waardeer het dat het Hof de privacy van de gebruiker zwaar laat wegen maar dit lijkt me toch een wat misplaatst moment. Ik had liever een uitspraak gehoord of het wel redelijk is dat je een consument-gebruiker in vrijwaring mag oproepen.

Arnoud

Recht van verzet tegen de bewoners van dit pand

Geplaatst op 17 november 201018 september 2012 in Privacy, 32 reacties

Ik wil uit uw bestand en u mag me ook nooit meer post sturen. Die toch enigszins tegenstrijdige vordering stelde een man uit Haarlem in tegen de Nationale Postcodeloterij in een als een redelijke soap lezende briefverwikkeling. Maar het vonnis is wel opmerkelijk: de NPL mag de man nooit meer post sturen, ook niet naar “de bewoners van dit pand”. Zelfs niet als daar een onderhuurder woont die wellicht wél die post wil.

We krijgen allemaal die irritante brieven van de NPL, maar kennelijk wordt er te weinig over geklaagd want ze blijven ze sturen. Hoe dan ook, als je klaagt dan gaat je adres op een blokkade. Alleen blijkt dat men die na drie jaar weer opheft (eh, wat?). De eiser in deze zaak was het zo zat, dat hij daarna naar de rechter stapt. Dat werd geschikt: meneer zou nooit meer post krijgen.

U voelt hem al aankomen: enige tijd later kreeg hij tóch post, alleen ditmaal voor “de bewoners van dit pand”. En toen stapte de man wederom naar de rechter, want nu moest en zou hij toch uit elk bestand van de gokclub. Ja, óók het blokkadebestand. Maar dat is toch een beetje lastig: als je niet meer op de zwarte lijst staat, dan kan men ook niet voorkomen dat men je post stuurt.

De Wet Bescherming Persoonsgegevens geeft je (artikel 41) het absolute recht om verwijdering uit bestanden te eisen die “met het oog op werving voor commerciële of charitatieve doelen” zijn. Op grond van dit artikel kan de man dus eisen geen post van de NPL meer te krijgen, want ook hun postbestand valt hieronder.

Maar verwijdering uit het postweigeraarsbestand gaat niet lukken; dat dient immers een ander doel dan werving. Bovendien is de combinatie van “verwijdering uit postweigeraarsbestand” en “geen post meer krijgen” innerlijk tegenstrijdig, zoals de rechter terecht opmerkt. (Update 11 mei: bevestigd in hoger beroep.)

Wel krijgt hij gelijk dat de NPL óók geen post meer naar zijn huisadres mag studeren als die “aan de bewoners van dit pand” is geadresseerd. Hij valt immers ook onder “de bewoner(s) van” dat adres. En de wet zou wel erg makkelijk te omzeilen zijn als mensen na een beroep op artikel 41 Wbp gewoon doorgepapierenspamd zouden worden met zo’n anonieme aanduiding.

NPL mag op straffe van een dwangsom meneer dan ook geen post meer sturen. (Ben ik nu cynisch als ik me afvraag wat hij gaat doen als zijn straat de postcodeloterij wint?)

Arnoud

Het cc-veld bij e-mail als privacyschending

Geplaatst op 18 oktober 20108 september 2012 in Privacy, 18 reacties

Een lezer vroeg me:

Bij onze vereniging heeft laatst het bestuur iedereen een mail gestuurd met ieders e-mailadres zichtbaar in het cc-veld. Nu weet ieder lid mijn e-mailadres! Is dat strafbaar? Wat kan ik hieraan doen?

E-mailadressen in het kopieveld (cc) in plaats van het blindekopieveld (bcc) zetten, het kan iedereen gebeuren. Netjes is het niet, en het leidt ook vaak tot een storm van reacties (en daar weer reacties op dat iedereen moet ophouden met reply-to-all en dan daar weer reacties op, afijn..). Er is eigenlijk geen enkele reden waarom je grote hoeveelheden ontvangers zo zou moeten mailen, en het zou goed zijn als mailprogramma’s weigeren mails te versturen met meer dan zeg tien ontvangers in To of Cc velden.

Maar goed, dit is geen feedbackforum voor Thunderbird of Gmail maar een juridische blog: kun je nu juridisch gezien iets doen tegen een actie als deze?

De enige optie die ik kan verzinnen, is het over de boeg van de verwerking van persoonsgegevens te gooien. Het idee is dat je je dan beroept op artikel 13 Wet Bescherming Persoonsgegevens: je moet “passende technische en organisatorische maatregelen” nemen om persoonsgegevens (zoals e-mailadressen) te beschermen tegen “verlies of tegen enige vorm van onrechtmatige verwerking”.

De constructie wordt dan: je hebt mijn e-mailadres niet afdoende beschermd tegen onrechtmatige verwerking, want die ontvangers kunnen er zomaar mee aan de haal gaan. Het doet me wat gezocht aan, en ik twijfel of het de giecheltoets zal overleven. Maar uitsluiten dat het werkt, kan ik niet.

Arnoud

Verwijdering eisen uit de banmanager van een forum

Geplaatst op 23 september 20108 september 2012 in Informatiemaatschappij, 13 reacties

Een lezer vroeg me:

Op een forum waar ik zit, gebruikt men een zogenaamde banmanager. In de banmanager slaat het beheer twijfelachtige posts op van leden die ze vervolgens van het forum zelf verwijderen. Tevens worden waarschuwingen en bans hierin opgeslagen. Tot slot worden ook ip-adressen en andere usernames (‘undercover’s’) hier aan een user verbonden. In hoeverre is het eigenlijk toegestaan om zomaar forumposts van users op te slaan in een database waarin users ze zelf niet meer kunnen zien, editten of verwijderen?

Het lijkt me op zich toegestaan om een database op te bouwen met bewijsmateriaal van uitgedeelde bans. Je hebt als forumbeheerder het recht om bewijs te verzamelen voor je acties. Dat moet je dan ook ergens bewaren, en zo’n database als hier wordt beschreven, lijkt me een prima manier om dat te doen.

Auteursrechtelijk kun je daar niets aan doen, dit valt binnen de licentie die je geeft wanneer je iets plaatst.

De wet bescherming persoonsgegevens zegt dat je het recht hebt om te vragen welke gegevens men van je bewaart (artikel 35 Wbp). Het beheer moet je dus desgevraagd toelichten wanneer je in de bandatabase komt, wat men dan opslaat en wat er met die gegevens gebeurt. Dat zou niet zo’n probleem moeten zijn voor het beheer.

Eisen tot wijzigen of verwijderen kan echter alleen als de gegevens niet meer “ter zake dienend zijn”. In dit geval dient de database als bewijs, en het is niet handig als jij het bewijs over jezelf kunt aanpassen. Die eis gaat dus niet op.

Arnoud

Krantenarchief belangrijker dan privacy betrokkene

Geplaatst op 22 september 20108 september 2012 in Privacy, Uitingsvrijheid, 10 reacties

Het opschonen van archieven vanwege de privacy, ik blijf het een lastige zaak vinden. Mag je eisen dat een online archief berichten over jou verwijdert omdat ze verouderd zijn? Omdat ze onrechtmatig zijn? En als je volledige archieven belangrijk vindt, zou je dan mogen eisen dat er een blokje “Dit bericht is verouderd/onrechtmatig” bij moet komen, of dat men Google buiten de deur moet houden?

Met dank aan 10a van der Linden kwam ik een recente uitspraak van de Raad van State tegen over het archief van de Universiteitskrant Groningen. Hier was een man geïnterviewd in 2003 over een conflict dat hij destijds had met de Informatie Beheer Groep. De publicatie was niet onrechtmatig, het ging echt om het principe: mijn naam staat erin, dat wil ik niet, weg met dat artikel.

Op zich kun je dat eisen op grond van de Wet Bescherming Persoonsgegevens. Die zegt immers dat verwerking van je persoonsgegevens alleen mag als je daar toestemming voor gegeven hebt. En die toestemming mag je intrekken. De enige echte uitzondering is als degene die je gegevens gebruikt, een eigen noodzaak kan aantonen die zwaarder weegt dan jouw privacy.

Deze wet geldt ook voor nieuwsberichten. Alleen bots je dan al heel snel met de vrijheid van meningsuiting, want op grond van dát grondrecht mag je over alles en iedereen schrijven wat je wilt. En noemen van iemands naam ligt nogal voor de hand bij een artikel over die iemand.

Dat recht geldt ook voor archieven, zo blijkt uit een recente uitspraak van het Europese Hof voor de Rechten van de Mens:

[the press] has a valuable secondary role in maintaining and making available to the public archives containing news which has previously been re- ported. … [however] the duty of the press to act in accordance with the principles of res- ponsible journalism by ensuring the accuracy of historical, rather than perishable, information published is likely to be more stringent in the absence of any urgency in pu- blishing the material.

Eerder hadden lagere Nederlandse rechters (en de juridisch minder relevante Raad voor de Journalistiek) al geen ~~been~~heil gezien in het opschonen van archieven omdat een daarin genoemd iemand dat niet leuk vond. En dat bevestigt nu de Raad van State. Het beheren van een archief met oud nieuws is in principe een “noodzaak” in de zin van de privacywet die de privacy van de betrokken persoon opzij zet.

Voor zover [appellant] heeft aangevoerd dat zijn recht op bescherming van zijn persoonsgegevens en zijn privéleven als gewaarborgd in artikel 8 vanhet EVRM, artikel 9 van de Privacyrichtlijn en artikel 8, onder f, van de Wbp, wordt geschonden, overweegt de Afdeling dat gezien de beperkte aard van de mededelingen die over [appellant] met zijn instemming in het betreffende artikel in de Universiteitskrant zijn gedaan, zijn belang niet zodanig zwaar weegt dat het zou moeten prevaleren boven de belangen van de vrijheid van meningsuiting en de betrouwbaarheid en representativiteit van het archief.

Er is dus geen reden om het archief op te schonen of af te schermen.

Een opmerkelijk aspect werd nog gesignaleerd bij ITenRecht.nl. We zitten namelijk bij de Raad van State omdat de universiteit werd gedagvaard in het kader van een bestuursrechtelijke procedure. Dat is gek, omdat er een aparte Stichting Universiteitsblad is die de krant en het archief beheert. De universiteit zelf levert de faciliteiten (hosting, domeinnaam) maar bemoeit zich niet met de inhoud. Ze benoemen een bestuur en een redactie maar die gaan vervolgens zelf en onafhankelijk nieuws maken en brengen.

Toch vindt de Raad dat de universiteit nu verantwoordelijk is voor de “verwerking van persoonsgegevens”. Dit op de formele grond dat de Wbp de ‘verantwoordelijke’ definieert als de persoon die “het doel en de middelen” bepaalt van de verwerking. En omdat de universiteit vond dat er een krant moest komen en ze daar ook nog een bestuur, redactie, domeinnaam en servertje voor beschikbaar stelt, is zij verantwoordelijk. Terecht zegt IT en Recht (haha, dat rijmt):

Betekent deze uitspraak nou ook dat bijvoorbeeld aandeelhouders van een besloten vennootschap die het bestuur kunnen aanstellen en ontslaan, verantwoordelijke zijn van de door de vennootschap verwerkte persoonsgegevens? Dat zou de privacy-wereld op zijn kop zetten!

Ik moet zeggen dat ik deze interpretatie ook hoogst merkwaardig vind. De onafhankelijkheid van de stichting en de redactie had ertoe moeten leiden dat de stichting de verantwoordelijke was.

Arnoud

Duitse privacywet wordt aangescherpt, en bij ons?

Geplaatst op 25 augustus 20108 september 2012 in Privacy, 13 reacties

demonstratie-privacy-not-crime-flickr-sunside-ccbync.jpg In Nederland was de insteek vooral dat profielen van sollicitanten doorzoeken verboden zou worden, bij Amerikaanse sites gaat het meer over het idee (nou já zeg) van privacy op de werkplek. Maar in ieder geval: in Duitsland wordt gewerkt aan een streng wetsvoorstel over hoe er met privacy en persoonsgegevens van werknemers en sollicitanten moet worden omgegaan.

Zo wordt het verboden om op als privé bedoelde netwerksites (Hyves, Facebook) te kijken wat sollicitanten allemaal uitspoken. Linkedin mag je wel bekijken, en Googelen van sollicitanten mag ook, mits je maar bij de resultaten mee laat wegen hoe oud de informatie is en in hoeverre de sollicitant controle heeft over de informatie zoals daar gepubliceerd. Ook worden er strengere regels over cameratoezicht en monitoren van internetgebruik ingevoerd.

Op zich verbazen de meeste voorgestelde regels niet. Privacy geldt ook op het werk, dat is vaste jurisprudentie van het Europese Hof voor de Rechten van de Mens. En we weten ook in Nederland dat het gebruik van persoonsgegevens aan strenge regels gebonden is, waardoor veel sociale-netwerksites een probleem hebben.

Het is dan weer wel typisch Duits om de regels tot in detail uit te gaan werken in wetgeving, maar goed. In Nederland lijken we meer de voorkeur te geven aan algemene wetten, die dan via richtsnoeren, convenanten en af en toe een rechtszaak ingevuld worden. Op zich lijkt me dat flexibeler, maar het duurt natuurlijk wel een stuk langer voordat je zeker weet of iets mag. Ik ben er nog niet helemaal uit wat ik nu prettiger vind.

Gekke voorbeelden van toezicht of indegatenhouden door werknemers zijn trouwens welkom, ik moet binnenkort weer een lezing geven over privacy op het werk en het verhaal van de camera in de kleedhokjes of in de toiletpot kennen ze al.

Arnoud<br/> Foto: Sunside @ Flickr, Creative Commons By-NC 2.0

Mag de ledenlijst van onze vereniging online?

Geplaatst op 15 april 20108 september 2012 in Privacy, 24 reacties

Een lezer vroeg me:

Onze vereniging publiceert elk jaar voor de leden een handig boekje met zaken als de statuten, het huishoudelijk reglement, besluiten uit het afgelopen jaar en handige tips voor de leden. Ook zetten we hier altijd een lijst met contactgegevens van alle leden in. Dit doen we al jaren, maar het aantal leden groeit gestaag dus nu is voorgesteld om dit boekje voortaan via de website te verspreiden. Maar hebben we dan geen privacyprobleem?

Ja, dan heb je een privacyprobleem. Het publiceren via internet van namen, adressen en dergelijke contactgegevens van je leden kan echt alleen met een expliciete toestemming van de leden. En die moet vooraf worden gevraagd.

Je zou voor nieuwe leden die toestemming in het inschrijvingsformulier kunnen vragen, maar je bestaande leden zul je toch apart om deze toestemming moeten vragen.

Verder vraag ik me af of het echt wel nodig is om deze informatie zo online te zetten. De kans op misbruik van zulke gegevens is aanwezig, en ik zie weinig redenen waarom de hele wereld moet weten wat het telefoonnummer van verenigingslid X is. Je zou volgens mij kunnen volstaan met de gegevens op een wachtwoordbeveiligd deel van de site te zetten, waarbij alleen leden het wachtwoord weten.

Of je dan kunt volstaan met één wachtwoord of dat elk lid zijn eigen wachtwoord moet hebben, is een andere vraag. Bij een kleine vereniging is één wachtwoord nog wel beheersbaar (“volgend jaar is ons wachtwoord ‘zebrapad’ “) maar met enkele honderden leden lijkt me een wachtwoord per lid wel echt verplicht.

Arnoud