Tag: Persoonsgegevens

About Persoonsgegevens

Subscribe Feeds

Monsterboard’s tell-a-friend: zo moet het dus niet

Geplaatst op in Ondernemingsvrijheid, Privacy, 5 reacties

monsterboard-thumb1.pngMarc Drees mocht naar New York. Dacht hij. Want op de site hadden ze niet alleen irritante muziek, maar ook algemene voorwaarden, en toen bleek het toch allemaal iets anders te liggen. Het ging om een wedstrijd waarbij je je naam en persoonsgegevens moest opgeven, plus nog wat anders:

Maar dan moet ik ineens ook persoonsgegevens van mijn vrienden invullen. Wacht even? Ik heb toch alleen toestemming gegeven tot het verzamelen en beschikbaar stellen van mijn eigen persoonsgegevens?

En ik zit nu de persoonsgegevens van anderen in te vullen die daar helemaal geen toestemming voor hebben gegeven. Maar dat is nu mijn probleem geworden? Netjes van Monsterboard.

Een perfect voorbeeld van hoe een tell-a-friend systeem niet moet. Zulke systemen zijn alleen onder voorwaarden legaal. Er zijn vier eisen:

  1. De communicatie gebeurt volledig op eigen initiatief van de internetgebruiker (of afzender), de website stelt hier geen (kans op) beloning tegenover voor afzender of ontvanger.
  2. Voor de ontvanger moet het duidelijk zijn wie de initiatiefnemer van de e-mail is, zodat hij diegene kan aanspreken als hij niet gediend is van dergelijke mails.
  3. De afzender moet volledige inzage hebben in het bericht dat namens hem wordt verzonden, zodat hij de verantwoordelijkheid kan nemen voor de persoonlijke inhoud van het bericht.
  4. De website in kwestie mag de e-mailadressen en andere persoonsgegevens niet gebruiken of bewaren voor andere doeleinden dan het eenmalig verzenden van een bericht namens de afzender. Daarnaast dient de website het systeem te beveiligen tegen misbruik, zoals het geautomatiseerd verzenden van spam.

Een reisje naar New York lijkt me toch wel een (kans op) beloning voor de afzender of ontvanger.

Het doel van Monsterboard bij het verzamelen van de adressen is om deze mensen vacatures te kunnen sturen. Je mag namelijk geen vrienden opgeven als er geen voor die vrienden passende vacatures bij Monsterboard bekend zijn! Je kunt dus maar beter een puntlasser in je vriendenkring hebben dan een lerares Frans geloof ik.

Hoe zouden jullie het vinden als je zo aan Monsterboard gegeven werd door een vriend?

Arnoud

Wanneer overlijdt Arnoud Engelfriet?

Geplaatst op in Privacy, 63 reacties

overlijdensbericht-sterfdatum-nl.pngBrr, wat een lugubere site. Op Sterfdatum.nl kun je je naam en wat gegevens zoals geboortedatum, links- dan wel rechtshandig zijn en geslacht invullen, en dan “berekent” de site wanneer je doodgaat. Ik in 2053 kennelijk.

Nou is zo’n lugubere grap tot daar aan toe, maar deze site doet meer: ze maken een publiek toegankelijke link die iedereen op kan vragen om te zien wanneer ik (volgens hen) zal komen te overlijden. En dankzij wat klassieke zoekmachineoptimalisatietrucjes scoort die link vervolgens lekker hoog in Google.

En nee, dat mag niet. Ook al is het als grap bedoeld, mensen die serieus hun gegevens invullen, onthullen daarmee persoonsgegevens over zichzelf. Bijzondere persoonsgegevens zelfs: het raakt hun gezondheid. En die mag je niet publcieren behalve met expliciete toestemming, die nergens wordt gevraagd.

Helemaal onderaan staat wel

* De ingevoerde gegevens worden toegevoegd aan onze database en gepubliceerd op deze website.
maar dat is bij lange na niet genoeg.

Ook leuk is deze disclaimer:

De ingevoerde gegevens worden alleen gepubliceerd op sterfdatum.nl en zijn niet te verwijderen.

Maar zo werkt dat niet: de Wet Bescherming Persoonsgegevens zegt duidelijk dat je het wettelijk recht hebt om je gegevens te laten verwijderen.

Dus dan denk je, daar gaan we ze over mailen. Maar dan lees je dit:

Dat je op deze pagina zit en boos wilt mailen geeft al aan dat je een beetje een zeikerd bent. Denk nog even goed na voor je het formulier verstuurd.

wat mij niet veel vertrouwen geeft over de naleving van de WBP.

Of ben ik nu veel te serieus over een luguber bedoeld “grapje”?

Arnoud

Notice and takedown gedragscode ingevoerd

Geplaatst op in Ondernemingsvrijheid, 14 reacties

printer-aangeklaagd-dmca.jpgAfgelopen donderdag is de ‘Notice-and-takedown’-gedragscode na meer dan een jaar steggelen afgekomen en uitgereikt aan staatssecretaris Heemskerk van Economische Zaken. In deze gedragscode staan procedures uitgewerkt voor webhosters en andere internetdienstverleners over hoe om te gaan met klachten en claims over materiaal dat hun klanten aanbieden. Internetbedrijven zijn aansprakelijk voor wat hun klanten aanbieden, als ze dit niet na een terechte klacht weghalen. Dat staat in de wet (art. 6:196c BW). Maar hoe een dienstverlener moet bepalen of een klacht terecht is, en welke stappen je het beste kunt nemen bij de afhandeling, was altijd onduidelijk. De gedragscode helpt daarbij.

Heel in het kort zou de procedure als volgt moeten gaan:

  1. Een provider publiceert details over zijn procedure, inclusief contactgegevens en beleid over bepaalde soorten inhoud. Bijvoorbeeld wat er wel en niet mag in e-mail, op websites of via andere diensten.
  2. Een klager dient via dat contactadres een klacht in, en verschaft daarbij in ieder geval zijn contactgegevens, de URL of andere vindplaats van het materiaal en een motivatie waarom dit materiaal in strijd is met de wet of het beleid van de provider. De provider kan een vrijwaring eisen dat de klager een terechte klacht indient – en opdraait voor de schade als dat niet zo is.
  3. De provider controleert de klacht en maakt een inschatting of de klacht onmiskenbaar juist is. Als hij dat zonder problemen kan, meldt hij zijn bevindingen aan de klager en sluit hij bij een juiste klacht het materiaal af.
  4. Als de provider niet kan inschatten of de klacht onmiskenbaar juist is (bv. bij klachten over smaad), geeft hij de klacht door aan de klant met het verzoek het materiaal weg te halen of met de klager in contact te treden om het samen op te lossen.
  5. Lukt dat laatste niet, en haalt de klant het materiaal ook niet weg, dan “moet de melder bij voorkeur in staat worden gesteld zijn geschil met de [klant] voor de rechter te brengen.”

Een belangrijk gemis in de NTD gedragscode is hoe om te gaan met afgifte van persoonsgegevens van klanten. De wet zegt hier niets over. In de jurisprudentie (vooral het Lycos/Pessers-arrest) is uitgemaakt dat een provider onder omstandigheden verplicht kan zijn deze gegevens toch af te geven. Het moet voldoende duidelijk zijn dat de klant onrechtmatig bezig is, de eiser moet een reëel belang hebben en er mag geen geen minder ingrijpende mogelijkheid zijn om aan de NAW-gegevens van de klant te komen. Helaas zegt de gedragscode alleen maar dat “de tussenpersoon [kan] overgaan tot het verstrekken van NAW-gegevens”.

In de praktijk blijkt die afgifte redelijk makkelijk te gaan, zeker als het gaat om inbreuken op auteursrecht. De criteria uit de jurisprudentie zijn echter niet eenduidig. Schreef Lycos/Pessers (van de Hoge Raad) nog een vierstappentoets voor, bij de Brein/UPC en Brein/KPN zaken werd heel wat makkelijker geoordeeld dat deze gegevens moesten worden overgedragen. Bij Webwereld laat stichting Brein dan ook weten

“Wij kunnen en zullen echter niet aanvaarden dat er op een melding van Brein geen NAW wordt afgegeven”, aldus een strijdbare Kuik. “Er is geen plaats voor anoniem zaken doen op Internet. Dat is niet anders dan offline. Wat offline geldt moet ook online gelden. Dat is de regel die de overheid heeft gesteld en die moet gelding krijgen.”

Dat laatste is natuurlijk kletspraat – anoniem zakendoen gebeurt elke dag offline, en dient dus ook online te kunnen gebeuren. Los daarvan is het een veel te conservatief principe dat “wat offline geldt, ook online moet gelden” want online kunnen er dingen die offline niet mogelijk zijn, en wat moet daar dan voor gelden?

Het is jammer dat de gedragscode niet uitwerkt hoe deze afgifte in zijn werk zou moeten gaan. Er zijn diverse voorstellen gedaan hoe een klager toch kan discussiëren met een anonieme klant en hem zelfs anoniem voor de rechter kan slepen. Een dergelijke procedure zou een wezenlijke verbetering zijn ten opzichte van de huidige situatie. En daarmee zou de gedragscode een hele stap vooruit geweest zijn, in plaats van de formalisatie van de wet die ze nu is.

Arnoud<br/> (PS: check die schoenen!)

Afgifte persoonsgegevens achter Gmail-account verplicht

Geplaatst op in Privacy, 6 reacties

Ruzie met je mede-directeur, in echtscheiding liggen en er dan ook achterkomen dat allebei die wederpartijen weten wat je mailt. Daar zou ik ook boos om worden. De directeur van een bedrijf had ruzie met een compagnon, en lag ook nog eens in een zo te lezen niet prettig verlopende echtscheidingsprocedure. Tijdens de afwikkeling bleek dat zowel die compagnon als zijn vrouw kennis hadden van dingen die alleen in e-mails van en naar anderen stonden, zo wisten Zibb en de Telegraaf te vertellen. Enig onderzoek door een ingehuurde systeembeheerder bracht een stiekem ingestelde forwarding regel aan het licht, die alle mail kopieerde naar een Gmail-mailbox.

Het lag redelijk voor de hand dat die compagnon die regel had ingesteld, omdat hij als enige de gelegenheid en vakkennis had om dit te kunnen doen. Maar om dat te bewijzen, valt nog niet mee. Vandaar dat deze directeur Google voor de rechter sleepte en eiste dat het bedrijf de persoonsgegevens zou afgeven van de eigenaar van de mailbox.

De rechtbank toetst het verzoek aan het Lycos/Pessers-arrest, en herformuleert de eisen die daarin gesteld zijn in het vonnis als volgt:

  1. Het moet voldoende aannemelijk zijn dat sprake is van onrechtmatig handelen van de desbetreffende gebruiker.
  2. Het dient buiten redelijke twijfel te zijn dat degene van wie de gevraagde persoonlijke gegevens ter beschikking dienen te worden gesteld ook daadwerkelijk degene is die zich aan dit handelen schuldig zou hebben gemaakt.

Als hieraan is voldaan, moet de rechter nog een afweging maken tussen de privacybelangen van de betrokkenen bij het geheim houden van hun gegevens en het belang van de eiser om tegen het onrechtmatig handelen op te treden. Met andere woorden, wat is erger, de privacyschending door te onthullen wie er achter zit, of de onrechtmatige daad gepleegd door die persoon?

In deze zaak had de rechter er geen moeite mee om de afweging in het voordeel van de eiser uit te laten vallen. De belangrijkste overweging:

4.8. Zoals onder 4.5 overwogen is aannemelijk dat het Gmail-adres ook is gebruikt om de inhoud van aan [bestuurder] gerichte e-mails aan derden te overhandigen. Dit levert misbruik jegens [eiseres c.s.] op. De ernst van dit misbruik van het Gmail-adres en de gevolgen daarvan voor [eiseres c.s.] leveren een zo zwaarwegend belang van [eiseres c.s.] op dat het belang van Google bij de bescherming van de privacygevoelige informatie van haar gebruikers in dit geval dient te wijken.

Google moest dan ook de IP-adressen achter het account afgeven, plus het secundaire (backup) e-mailadres dat daaraan gekoppeld was.

Via Boek9.nl.

Arnoud

WBP gebruikt tegen publicatie op website

Geplaatst op in Uitingsvrijheid, 4 reacties

Voor zover mij bekend de eerste keer dat iemand met succes de Richtsnoeren persoonsgegevens op internet weet in te zetten om zijn naam van internet te krijgen. Op NJBlog bespreekt Folkert Jensma een in juli gewezen vonnis over de grenzen van de meningsuiting. De website Kleintje Muurkrant had in een bericht de naam van een zakenman genoemd en in herinnering gebracht dat hij ooit gehoord was in een strafrechtelijk onderzoek naar Johan de V. alias ‘de Hakkelaar’. De man begon een rechtszaak omdat daarmee zijn persoonsgegevens onterecht op internet terechtkwamen en bovendien zijn privacy geschonden was.

Voor deze verwerking was geen toestemming, en dus moet de site laten zien dat er een noodzaak was om de gegevens te publiceren. Maar dat lukt ze niet. De connectie die men rapporteerde, was gedateerd en weinig relevant, zo staat in het vonnis. Een opmerkelijke motivatie volgt:

Het zou te dol voor woorden zijn als iedereen die ooit in een strafrechtelijk onderzoek is gehoord maar nooit is vervolgd, dat nog decennia later in besmuikte zin op internet tegengeworpen krijgt.

De rechter benoemt de publicatie als een “hetze” en wijst de vordering toe. Al in juli meldde Peter Olsthoorn hierover:

Hiermee gaat de rechter ver in de journalistieke beoordeling. Je kunt je afvragen of die niet te ver gaat. In elk geval is het een vonnis om goed rekening mee te houden. Zeker voor Kleintje Muurkrant. Moet dat voortaan meer bronnen gaan noemen en/of om wederhoor gaan vragen?

Wat ik persoonlijk zorgelijker vind, is de grondslag van dit vonnis. De Wet Bescherming Persoonsgegevens gaat niet over dit soort dingen. Een publicatie waarin iemand besmaad wordt, behoort niet als verwerking van persoonsgegevens gezien te worden. Het is smaad, belediging, laster, aantasting van iemands goede naam, wat dan ook, maar het heeft niets te maken met iemands naam in een kaartenbak stoppen.

De WBP stelt (te) strenge eisen aan verwerkingen op internet, en al helemaal wanneer het gaat om publicaties in journalistieke context.

Arnoud

Aansprakelijk voor kwaadaardige gadgets op Hyves?

Geplaatst op in Privacy, 4 reacties

aapje-api.pngCollega-jurist Danny Mekic’ kwam onlangs met de interessante observatie: hoe zit het met vertrouwen van gadgets op sociale netwerksites zoals Hyves?

Gadgets of widgets zijn kleine applicaties die je op een webpagina, blog of iets dergelijks kunt opnemen. Daarmee kun je bijvoorbeeld laten zien of je online bent op MSN, spelletjes toevoegen, het weerbericht in jouw stad laten zien of andere al dan niet nuttige dingen voor je bezoekers doen. Maar die applicaties kunnen ook allerlei persoonsgegevens verzamelen en daarmee enge dingen doen.

Vrij weinig mensen staan daarbij stil. Mensen vertrouwen Hyves, schrijft Danny terecht. Hyves heeft toch een privacypolicy? Dus dan zal het wel goed zitten met die privacyaspecten.

In de Hyves privacy policy staat echter:

Verder is het zo dat Hyves derden de mogelijkheid geeft om applicaties te ontwikkelen op basis van de Hyves API te ontwikkelen. Dit zijn, kort gezegd, applicaties die gebruik maken van Hyves. Deze applicaties worden gemaakt door derde partijen die niet aan Hyves gelieerd zijn. Ze worden dus niet door, voor of namens Hyves gemaakt. Hyves heeft geen invloed op de werking van deze applicaties of wat er met jouw gegevens gebeurt, als je gebruik maakt van een dergelijke applicatie. Als je een applicatie toestemming geeft voor het gebruik van jouw (persoons)gegevens, valt dit dan ook buiten de verantwoordelijkheid van Hyves. Je kunt je gegeven toestemming altijd zelf weer intrekken.

Kortom, Hyves stelt zich niet aansprakelijk voor privacyschendingen door gadgets of widgets.

Bij de zin “wij stellen ons niet aansprakelijk” zou u nu moeten denken “dat hoeft ook niet, dat doe ik wel”. Maar gaat dat hier op? Ik denk van niet.

De Hyves API is een generieke omgeving waarbinnen elke mogelijke applicatie ontwikkeld kan worden. Hyves heeft daar weinig tot geen invloed op. Tenzij men allerlei speciale maatregelen gaat nemen. Hyves zou bijvoorbeeld het systeem zo kunnen bouwen dat alleen gecertificeerde applicaties kunnen werken. Aan certificatie kunnen dan eisen worden gesteld, zoals het zich houden aan de privacywetgeving.

Maar daarmee halen ze zich een gigantische berg werk op de hals. Plus: is het wel realistisch om te verwachten dat men kan controleren op mogelijke privacyschendingen? Ik denk het niet. Microsoft probeerde dit al eerder met gesigneerde ActiveX controls maar echt lekker werken doet dat niet. Waarom zou het voor Hyves anders zijn?

Het enige wat ik nog kan bedenken, is dat Hyves bij installatie van een widget een waarschuwing toont dat zij niet aansprakelijk zijn. Maar goed, dat wordt dan toch blindelings weggeklikt. Dus meer dan dit kan Hyves niet doen, denk ik.

Arnoud<br/> PS excuses voor de flauwe grap in het plaatje, maar ik wist niks beters ter illustratie van een API(E).

Mag een schoolfoto op de website?

Geplaatst op in Privacy, 7 reacties

groepsfoto-klassenfoto.jpgEen lezer mailde me met deze vraag:

Wij zijn een openbare basisschool en hebben net een nieuwe website op het internet staan. Nu hebben wij de groepslijsten met de namen van de kinderen geplaatst en tevens de groepsfoto’s. Onze vraag is of dit niet in strijd is met de privacy van de kinderen?

Namen en foto’s waar personen herkenbaar op staan, zijn persoonsgegevens. Het publiceren van zulke informatie is een verwerking van persoonsgegevens die onder de Wet Bescherming Persoonsgegevens valt. Dat betekent dat je als school in principe toestemming moet hebben van de betrokkenen. In dit geval de ouders, omdat de betrokkenen (de kinderen) natuurlijk minderjarig zijn.

Een paar jaar geleden hoorde ik van een kind wiens naam en foto ook op een schoolsite waren gezet, zonder dat ze dat zelfs maar was gemeld. Dat pakte bijzonder pijnlijk uit – het kind en zijn moeder waren ondergedoken voor de stalkende vader. Via Google had deze ze man ze snel weer gelokaliseerd. Nou is dat een extreem geval, maar het geeft wel aan waar je tegenaan kunt lopen bij publicatie.

Het beste is dus om de ouders expliciet om akkoord te vragen dat deze informatie van hun kinderen op internet te vinden is. Nu kan dat bij een grote basisschool lastig zijn. Denk bijvoorbeeld aan een groepsfoto waarbij één ouder publicatie niet wil en de overige 35 wel. Een kind ‘uitpixelen’ of van zwart balkje voorzien is ook zo wat, dus in zo’n geval zou je kunnen kiezen voor publicatie op een semi-besloten deel van de site. Met een Robots.txt bestand kun je zoekmachines weghouden van zo’n pagina. Daarmee zijn veel van de bezwaren weggenomen lijkt me.

Arnoud

Opheffen van meerdere accounts, wanneer moet dat?

Geplaatst op in Informatiemaatschappij, Privacy, 17 reacties

Een meelezende forumbeheerder mailde me:

Wij hebben geconstateerd dat een gebruiker meerdere gebruikersnamen in gebruik bleek te hebben (laten we zeggen: A, B en C). Dat is in strijd met ons forumreglement. Ik heb gebruiker A daarom aangeschreven. A heeft gereageerd en ontkende B en C in gebruik te hebben. Nu eist A in een e-mail verwijdering van zijn gebruikersnaam en al zijn berichten. Ook eist hij hetzelfde voor B en C.

Iemand die zijn account op een website of forum wil opheffen, kan opheffing eisen bij de beheerders. Dat blijkt uit de privacy-richtsnoeren van het College Bescherming Persoonsgegevens. Berichten van die persoon moet je dan ook verwijderen, tenzij dat de structuur en begrijpelijkheid van de discussie zou verstoren. In dat geval moet je ze zo veel mogelijk anonimiseren.

Hier is het lastige dat persoon A eerst ontkent eigenaar te zijn van accounts B en C, en vervolgens eist dat ze opgeheven worden. Als het beheer zelf overtuigd is dat B en C inderdaad door dezelfde persoon gebruikt worden (bijvoorbeeld omdat ze op hetzelfde moment vanaf hetzelfde IP-adres gebruikt zijn), dan zou het verzoek geen probleem moeten zijn.

Wel moet je natuurlijk controleren dat het echt A is die de mail met het verzoek stuurt. Ik zou zeggen dat zo’n verzoek vanaf het gebruikersaccount moet komen dat moet worden opgeheven (via een privébericht naar beheer bijvoorbeeld). Niet vanaf een Hotmail- of Gmail-account. de beheerder mag er vanuit gaan dat iemand die het wachtwoord heeft van een account, de eigenaar ervan is.

Dat lost meteen het probleem op met B en C: als meneer A daar ook de eigenaar van is, kan hij probleemloos drie pb’s sturen vanaf elk van de accounts en dan is het beheer keurig ingedekt.

Arnoud

Verplichting tot verwijdering forumbericht uit Google Cache

Geplaatst op in Ondernemingsvrijheid, Privacy, Uitingsvrijheid, 9 reacties

Op het Rechtenforum vond ik een tijdje terug een erg interessante vraag over een verplichting tot verwijdering uit Google Cache. Een forumbeheerder kreeg een klacht over een vervelend bericht over een mevrouw X. Dat is verwijderd, maar nu vraagt mevrouw X ook:

Als u aan mijn verzoek hebt voldaan, dient u zo spoedig mogelijk de aanpassingen door te geven aan derden aan wie u mijn gegevens hebt verstrekt, dit is dus Google zodat hier ook mijn naam wordt verwijdert met betrekking tot de berichten die op jullie site zijn geplaatst.

Berichten die identificerende informatie over iemand bevatten, zijn persoonsgegevens. Op grond van de privacywetgeving kun je eisen dat zulke berichten over jouzelf worden verwijderd. Dit is door het College Bescherming Persoonsgegevens ook expliciet zo uitgewerkt in hun Richtsnoeren Privacy op Internet.

Artikel 36 van de Wet Bescherming Persoonsgegevens zegt dat je bij de ‘verwerker’ (het forumbeheer) een verzoek tot verwijdering kunt indienen. Die is dan verplicht de persoonsgegevens te verwijderen of het bericht te anonimiseren. Maar Google is niet de verwerker, en bovendien niet verbonden aan de verwerker. Kun je nu eisen dat het forumbeheer Google gaat verplichten iets weg te halen?

Artikel 38 WBP bepaalt dat iemand die op grond van artikel 36 iets heeft verwijderd (of aangepast) bij zijn eigen verwerking, verplicht is om derden die de persoonsgegevens hebben gekregen, hiervan op de hoogte te stellen. Het is dan aan die derden om iets te doen met de mededeling. De wet eist niet dat je Google moet dwingen de informatie te verwijderen, maar wel dat je je best doet om de informatie bij Google weg te krijgen.

Google heeft daarvoor de tool verwijderen van een URL. Deze biedt ook de mogelijkheid om aan te geven dat de eigenaar van de site de pagina gewijzigd heeft, zodat de pagina niet langer de informatie of afbeelding bevat die Google in haar cache heeft. Dan zal Google die pagina met voorrang opnieuw indexeren, of in ieder geval verwijderen.

Connie Breukhoven kreeg iets dergelijks vorig jaar voor elkaar bij de rechter: websites Witheet en ZIJonline moesten binnen vier dagen na het vonnis Google opdracht geven de berichten te verwijderen.

Arnoud

De privacyverwachting van Twitter

Geplaatst op in Privacy, 8 reacties

Via de comments een interessante vraag over Twitter en privacy:

Twitter, een microblog site, biedt een speciale functie waarbij je berichten afschermt voor mensen die je niet aan je contacten hebt toegevoegd. Wanneer je als ‘contact’ van diegene toch iets publiceert als quote, in hoeverre ben je dan strafbaar bezig? Gevoelsmatig zou ik een bewust van de openbare site afgeschermd bericht op Twitter gelijk stellen aan een prive gesprek via sms, msn of email aan een bekende of enkele bekenden. Is zoiets strafbaar in Nederland of de Verenigde Staten?

Standaard kan iedereen ‘follower’ worden van elke Twitterfeed. Je moet er als Twitteraar dus rekening mee houden dat een willekeurig iemand je Twitterberichten (tweets) zal lezen. In een dergelijke situatie mag je juridisch gezien weinig privacybescherming verwachten. Wat je twittert, is voor de hele wereld te lezen en mag dan ook door de hele wereld gelezen en doorgestuurd worden. Ook als je er ‘@’ voor zet om aan te geven dat je bericht voor één persoon bedoeld is. Of wanneer het dom was om te zeggen.

Twitter biedt echter de mogelijkheid van beschermde updates, in het Nederlands ook wel het “slotje”. Zulke berichten kun je alleen volgen als iemand je toegelaten heeft. In die situatie heb je een duidelijke keuze gemaakt om berichten te lezen die iemand als privé beschouwt. Je moet dan diens privacy respecteren en die berichten niet zomaar publiceren of doorgeven aan anderen.

Dit geldt des te meer nu vrijwel elk Twitterbericht te zien is als een persoonsgegeven. Dat zijn namelijk niet alleen naam- en adresgegevens. Alle soorten uitspraken over een persoon, inclusief meningen en oordelen, zijn te zien als persoonsgegeven. Inderdaad, dus ook elk antwoord op de vraag wat iemand nu aan het doen is. En dat is precies waar het bij Twitter om draait.

Een Tweet valt dan ook onder de Wet Bescherming Persoonsgegevens. Publiceert de persoon over wie het gaat, zelf dit bericht, dan is er verder niets aan de hand. Herpublicatie mag dan gewoon. Maar markeert hij het bericht als privé, dan is herpublicatie niet toegestaan.

Wat kun je daar nu tegen doen als het toch gebeurt? De politie zal hier niets doen. Schending van de privacy is geen strafbaar feit. Het is wel onrechtmatig, maar je moet zelf naar de rechter om je schade vergoed te krijgen. Daarbij moet je zelf aantonen wat je schade is (in geld).

En dat kan nog wel eens lastig worden. Zeker omdat de rechter de schadevergoeding kan matigen vanwege ‘eigen schuld‘: als de schade gedeeltelijk toe te rekenen is aan een eigen handeling van het slachtoffer, hoeft de dader deze niet volledig te vergoeden. Wie dus privéinformatie deelt met mensen die hij niet goed kent, zal dus zelf (gedeeltelijk) op moeten draaien voor de eventuele schade die hij daardoor lijdt.

Voor de fanatieke Twitteraars hier: wat voor informatie zou je zelf niet snel via Twitter delen?

Arnoud