Persoonsgegevens Archieven - Pagina 7 van 21

Is verlies van data ook een datalek?

Geplaatst op 23 maart 201618 maart 2016 in Privacy, 8 reacties

usb-stick-gegevens-geheugen Een lezer vroeg me:

Dat je verlies van persoonsgegevens moet melden onder de meldplicht datalekken begrijp ik. Maar waarom ben ik het ook verplicht te melden als er gegevens verloren gaan? Er kan toch per definitie geen identiteitsdiefstal of fraude plaatsvinden als gegevens wég zijn?

Voor veel mensen is het niet echt intuïtief dat verloren gaan (wissen) van gegevens telt als een datalek. Maar het is echt zo. Het is alleen even een puzzel in de Wet bescherming persoonsgegevens (Wbp).

De wet (art. 34a Wbp) bepaalt dat melding moet worden gedaan bij iedere “inbreuk op de beveiliging, bedoeld in artikel 13, die leidt tot de aanzienlijke kans op ernstige nadelige gevolgen dan wel ernstige nadelige gevolgen heeft voor de bescherming van persoonsgegevens.” En artikel 13 zegt dan weer dat het doel van de beveiliging moet zijn de gegevens te beschermen “tegen verlies of tegen enige vorm van onrechtmatige verwerking.”

Met ‘verlies’ wordt bedoeld het kwijtraken in de zin dat een ander ze te pakken kan krijgen. Een USB-stick met onbeveiligde persoonsgegevens in de trein verliezen dus. Maar “enige vorm van onrechtmatige verwerking” betekent in feite “iedere verwerking die geen grondslag heeft”. En verwerking is dan weer “elke handeling of elk geheel van handelingen met betrekking tot persoonsgegevens, waaronder in ieder geval … uitwissen of vernietigen van gegevens”. Vernietigen of wissen is dus ‘verwerken’.

Wie data laat wissen of vernietigen zonder toestemming of andere wettelijke grondslag, verwerkt ze onrechtmatig en schendt daarmee zijn beveiligingsplicht uit artikel 13. Daarmee kom je in het vizier van de datalekmeldplicht en moet je bepalen of dat wissen “ernstige nadelige gevolgen” heeft of kan hebben. Zo ja, dan moet het worden gemeld.

Wissen kan nadelig zijn, omdat de betrokken persoon daardoor vaak niet meer kan bewijzen waar hij aan toe is. Als alle betaalgegevens zijn gewist, zijn alle klanten ineens wanbetaler. Als de notitie is gewist dat ik recht heb op korting de volgende keer, krijg ik mijn korting niet. Sta ik op de lijst van geautoriseerde bezoekers die nu gedelete is, dan kan ik niet naar binnen. En er zijn zo nog meer voorbeelden. Als die ernstig genoeg zijn, dan moet het wissen worden gemeld.

In de beleidsregels meldplicht datalekken wordt daarover nog opgemerkt dat wanneer je een backup hebt, er geen sprake is van ernstige nadelige gevolgen. Je kunt het wissen dan immers meteen ongedaan maken.

Arnoud

Mag GHTorrent openbare data van Github aggregeren als onderzoeksdataset?

Geplaatst op 29 februari 201628 februari 2016 in Intellectuele rechten, Privacy, 25 reacties

ghtorrent-data-structure Mag je eisen dat je e-mailadres verwijderd wordt uit de GHTorrent dataset? Een veel voorkomende klacht bij dit project. GHTorrent is een onderzoeksproject dat Github-softwareprojecten indexeert en gemakkelijk doorzoekbaar maakt. Hierbij worden ook de e-mailadressen van ontwikkelaars geïndexeerd, waardoor je allerlei koppelingen kunt leggen. Maar mag dat eigenlijk wel?

Github is een van de grootste platforms voor gedistribueerde softwareontwikkeling, met name voor open source. De activiteit op het platform maakt het ook interessant voor wetenschappelijk onderzoek naar gedrag en handelen bij softwareontwikkeling. Zo las ik dat bijdragen van vrouwen eerder opgenomen worden in softwareprojecten dan die van mannen.

Dit onderzoeken betekent dat je honderdduizenden projecten moet doorlopen, iets dat handmatig vrijwel onmogelijk is. Vandaar GHTorrent: plat gezegd een offline mirror van alle Github metadata, zodat je niet per onderzoeksvraag de hele site af hoeft te struinen.

Niet iedereen is daar blij mee. Met name niet omdat ook het e-mailadres van ontwikkelaars opgenomen is. Je kunt dat e-mailadres dan als identifier gebruiken (het man/vrouw onderzoek werkte zo: via het e-mailadres kon je het Google+ profiel vinden en daar het geslacht van de ontwikkelaar achterhalen). En je kunt er natuurlijk ook mail heen sturen, waar de klachten over begonnen. Continu vragen krijgen om mee te doen aan allerlei onderzoek is niet prettig.

De data is publiek. E-mailadressen zijn gewoon zichtbaar, dus iedereen die wil kan dezelfde dataset verkrijgen als GHTorrent. Is het dan slechts een kwestie van fatsoen dat je toch mailadressen blokkeert of van antispam-maatregelen voorziet? Nou, niet per se. In Europa – waar het project vandaan komt – gelden strenge privacyregels ten aanzien van persoonsgegevens, en die gelden ook als de gegevens uit openbare bron zijn verkregen.

Een e-mailadres is een persoonsgegeven onder de Europese regels, omdat het naar een persoon (de ontwikkelaar) te herleiden is. Wie dergelijke gegevens bij elkaar brengt en ontsluit, is daar verantwoordelijk voor. Deze verantwoordelijke moet een grondslag in de wet hebben om dit te mogen doen, en moet zich houden aan de informatieplichten en het recht van inzage, correctie en verwijdering dat alle betrokken personen hebben.

Ook als de data publiek is. Dat ondervond Google in 2014 met het vergeetrecht-arrest: hoewel Google-zoekresultaten afgeleid zijn van openbare bronnen, heeft Google een eigen verantwoordelijkheid bij hoe zij die resultaten rangschikt en presenteert. Zij is dus zelf onderworpen aan het vergeetrecht (en de andere wettelijke plichten voor verantwoordelijken), los van de bronnen waar zij zich op baseert.

Hetzelfde geldt voor GHTorrent. Zij brengt openbare data bij elkaar, maar die data bevat persoonsgegevens. En daarom is de beheerder van GHTorrent de verantwoordelijke en verplicht om te informeren en om correctie en verwijdering toe te staan.

Verwijdering hoeft echter niet altijd. De vraag is of de data irrelevant is voor het doel waarvoor deze is verzameld. In het geval van Google: wanneer de zoekresultaten achterhaald of anderszins niet meer relevant zijn voor de persoon op wie je zocht, bij een zoekopdracht naar een persoon. Bij GHTorrent geldt hetzelfde, maar dat vertaalt zich lastiger naar de praktijk. Immers, ook oude gegevens van een ontwikkelaar zijn relevant voor wetenschappelijk onderzoek, dus het Google-criterium gaat hier niet op. Welk criterium dan wel, dat weet ik zo even niet.

Maar misschien is er een simpeler oplossing. Er moet immers sowieso een wettelijke grondslag zijn voor je gebruik van de gegevens. Enkel “ze komen uit openbare bron” is niet genoeg als grondslag, net zo min als “wij doen wetenschappelijk onderzoek”. Toestemming is er niet, een contract met GHTorrent ook niet, dus dan val je terug op de eigen dringende noodzaak: er is een legitiem belang (wetenschappelijk onderzoek), de gegevens zijn daar écht voor nodig (die zie ik wel) en alles is in het werk gezet om de privacy zo veel mogelijk te beschermen.

En bij dat laatste gaat het mis, want in principe is dan een opt-out vereist. Niet perse, andere maatregelen mogen ook. Zo kun je bijvoorbeeld de e-mailadressen hashen, zodat je er wel op kunt matchen maar ze niet kunt gebruiken om te mailen. Of je laat ze weg uit de publieke dataset en verstrekt ze alleen als mensen apart akkoord gaan met geheimhouding van die set. Maar opt-out lijkt mij het makkelijkste.

GHTorrent lijkt me dus legaal, maar ze moeten zich wel houden aan de Europese regels over persoonsgegevens. En in de praktijk betekent dat dus wel degelijk dat er een opt-out moet zijn.

Arnoud

Wat is het verschil tussen portretrecht en de Wet bescherming persoonsgegevens?

Geplaatst op 12 februari 201610 februari 2016 in Privacy, 15 reacties

Een lezer vroeg me:

Afgelopen maandag blogde je over de regels over cameratoezicht. Het viel me op dat het daar nergens ging over je portretrecht wanneer je met een camera wordt gefilmd. Maar het gaat toch allebei over hetzelfde, dat je zeggenschap hebt over je portret?

De regels over cameratoezicht die de Autoriteit Persoonsgegevens recent stelde, zijn allemaal geschreven vanuit het perspectief van de Wet bescherming persoonsgegevens, de privacywet. Een foto of filmopname waar je herkenbaar op staat, is een persoonsgegeven omdat deze tot jou te herleiden is. Op grond van de wet mag dat gegeven niet zomaar worden verwerkt, daar moet toestemming of een andere grondslag (zoals een eigen dringende noodzaak) voor zijn.

Het portretrecht is ouder dan de Wbp en staat om historische redenen in de Auteurswet, waar het verder niets mee te maken heeft. Portretrecht gaat ook over zeggenschap over je portret, maar de benadering is iets anders. Allereerst is er het onderscheid tussen portretten in opdracht en anderen portretten. Bij de eerste categorie mag de fotograaf niets met de foto zonder toestemming van de geportretteerde(n). Dat is dus strenger dan de Wbp, die uitzonderingsgronden biedt zoals die eigen dringende noodzaak of de goede uitvoering van een contract.

Bij een portret “anders dan in opdracht” ligt het subtieler. De wet zegt dat publicatie mag, tenzij de geportretteerde een redelijk belang tégen publicatie heeft. Dat belang kan een privacybelang zijn, maar ook een ander belang – het financiële of het commerciële portretrecht. Zo kun je op grond van je portretrecht optreden tegen je gezicht in reclame, zeker als bekende persoonlijkheid met een verzilverbare bekendheid zoals dat heet. Dit vereist een belangenafweging, hoe groot is het belang bij publicatie en hoe weegt dat op tegen de privacy. Die afweging lijkt sterk op de afweging voor de eigen dringende noodzaak onder de Wbp.

En daarmee heb je nog een ander onderscheid te pakken: portretrecht gaat over publicatie van foto’s en filmbeelden, de Wbp over het verwerken van dergelijk beeld en dat is veel breder. Op grond van je portretrecht kun je niets doen tegen een verborgen beveiligingscamera die je filmt, tenzij de beelden zeg maar op Youtube komen. Maar de Wbp stelt hele hoge eisen aan verborgencameratoezicht.

Portretrecht loopt overigens ook nog langer door dan de bescherming van persoonsgegevens: tot tien jaar na het overlijden, in plaats van direct na overlijden. Een cru voorbeeld: het is legaal gegevens van recent overledenen van hun grafzerk over te typen en te publiceren, maar niet om de daaronder hangende portretfoto erbij te reproduceren. (En ja, hier krijg ik ook vaak vragen over.)

In de praktijk zal er vaak overlap zijn. Wie structureel foto’s of films van personen maakt en die op een of andere wijze publiceert, loopt zowel tegen portretrecht als Wbp aan. De juridische analyses verschillen maar het komt uiteindelijk meestal op grofweg hetzelfde neer: welk belang is er voor publicatie en welk belang is daartegen. Bij een publicatie in de pers is traditioneel het portretrecht de aangewezen route, bij cameratoezicht zou de Wbp de logische insteek zijn. Maar volgens mij is dat meer historisch zo gegroeid dan perse juridisch de enige manier.

Arnoud

VTech wil dat gebruikers erkennen dat gegevens bij zijn dienst onveilig zijn

Geplaatst op 11 februari 201613 februari 2016 in Ondernemingsvrijheid, 24 reacties

verbod In de categorie ergernissen waar je ’s ochtends van gaat bloggen: VTech, de maker van elektronisch speelgoed, heeft in zijn algemene voorwaarden opgenomen dat gebruikers erkennen dat informatie die ze via de Learning Lodge-portaal sturen onderschept kan worden. Dat las ik bij Tweakers gisteren. Om scheve jeuk van te krijgen. Ja, het is een standaardzin die ongetwijfeld bij meer bedrijven voorkomt en nee het heeft nul waarde. Maar waarom laten we bedrijven er steeds mee wegkomen?

VTech maakt onder meer elektronisch speelgoed en kwam negatief in het nieuws toen gegevens van meer dan 11 miljoen mensen, waaronder 6,4 miljoen kinderen, lekten door brakke beveiliging van het bedrijf. En wat doe je dan als bedrijf? “These Terms and Conditions have been updated as of December 24, 2015” op je site zeggen met dus

YOU ACKNOWLEDGE AND AGREE THAT ANY INFORMATION YOU SEND OR RECEIVE DURING YOUR USE OF THE SITE MAY NOT BE SECURE AND MAY BE INTERCEPTED OR LATER ACQUIRED BY UNAUTHORIZED PARTIES. YOU ACKNOWLEDGE AND AGREE THAT YOUR USE OF THE SITE AND ANY SOFTWARE OR FIRMWARE DOWNLOADED THEREFROM IS AT YOUR OWN RISK.

Ja, in hoofdletters ook nog. Nee, dat hoeft niet (het is geen exoneratie immers). En leuk en aardig om dat zo te moeten acknowledgen, maar dat heeft dus geen waarde. Privacybescherming verandert geen millimeter door welke disclaimer of andere zin in algemene voorwaarden. Zeker waar het gaat om beveiliging niet: het is gewoon niet toegestaan je beveiligingsplicht tot nul te reduceren. Zelfs niet als de consument expliciet zegt, doe het maar een kilootje minder met je security.

Maar waar ik dan dus écht jeuk van krijg, is de obligate vervolgzin:

Some jurisdictions do not allow the exclusion of certain warranties or the limitation or exclusion of liability for incidental or consequential damages. Accordingly, some of the above limitations may not apply to you.

Het zou écht verboden moeten worden om naar consumenten toe iets van deze strekking te mogen zeggen. Wat er staat: wij zijn niet aansprakelijk, tenzij de wet zegt van wel. Maar iedereen weet dat consumenten weinig begrip van de wet hebben. Daarom vereisen we heldere, duidelijke en complete informatie van verkopers – en wat mij betreft vallen daar de algemene voorwaarden ook onder. Ik vind dus dat je gewoon enkel en alleen positief geformuleerde dingen mag zeggen over je aansprakelijkheid, en dat “may not apply” of “dit doet geen afbreuk aan uw wettelijke rechten” op een zwarte lijst moeten komen. Ga als bedrijf maar gewoon uitzoeken wat de rechten zijn van je consument-klanten en schrijf dat op, het is schandalig dat je dat werk bij je klant legt.

Dus nee. Onzinnig, inhoudsloos en de betreffende jurist mag zich gaan schamen. Maar de eerstvolgende keer dat er iets misgaat bij VTech, weet je al wat de persvoorlichter gaat zeggen en ik heb géén idee hoe het bedrijf te bewegen dit aan te passen. Ergerlijk. En ja, ik ga nu mijn ochtendkoffie halen.

Arnoud

Is videosolliciteren bij wet verboden?

Geplaatst op 3 februari 201631 januari 2016 in Ondernemingsvrijheid, Privacy, 25 reacties

camera-laptop-video-chat-gesprek Videosolliciteren is in de wet bescherming persoonsgegevens verboden, meldde HRlog van Michel Rijnders onlangs. Bij deze opkomende trend in recruitmentland stuur je geen brief, maar presenteer je jezelf in een video. Een leuk idee, maar juridisch problematisch: foto’s en video’s van personen tellen als bijzondere persoonsgegevens en die mag je als recruterend bedrijf niet verwerken van je sollicitanten. De praktijk is echter anders.

Videosolliciteren houdt in dat je jezelf presenteert in een video in plaats van in een sollicitatiebrief. Sinds de opkomst van de webcam duikt het onderwerp op gezette tijden op in de media, meldt Intermediair enigszins cynisch. Voordelen zijn dat je jezelf kunt presenteren op een manier die in tekst niet kan, en dat eigenschappen als spontaniteit, representativiteit en uitstraling beter uit de verf komen. Bovendien, is een brief kunnen schrijven echt wel een relevante kwaliteit bij veel banen vandaag de dag?

Het juridische punt bij video’s is echter dat portretten bijzondere persoonsgegevens zijn. Je kunt er immers gevoelige informatie uit halen, zoals iemands ras of etnische afkomst, of een aandoening of ziekte. Denk aan littekens of aangeboren afwijkingen, of bij video’s de aanwezigheid van Parkinson. En dergelijke gegevens mogen onder de privacywet eenvoudig niet worden ‘verwerkt’ – een term waar ook het ontvangen en afspelen van een video onder valt, zelfs als die video vervolgens niet in een dossier terecht komt.

Exit videosolliciteren dus. Maar nee, toch niet: Rijnders meldt dat de Autoriteit Persoonsgegevens camerabeelden van een persoon “om opportuniteitsredenen” niet als bijzondere persoonsgegevens beschouwt als aan een aantal voorwaarden is voldaan. Kort gezegd: het was niet je bedoeling die bijzondere gegevens te verkrijgen, maar de ontvangst is onvermijdelijk, en je doet er vervolgens niets mee. In het bijzonder: je laat het niet meewegen in je beslissing. Onvermijdelijke bijvangst waar we heel professioneel niet naar kijken vervolgens.

Oh nee, toch wel: Merel Eilander, woordvoerder Autoriteit Persoonsgegevens, meldt dat deze voorwaarden niet opgaan bij videosolliciteren:

Bij videosollicitaties is het wél voorzienbaar dat de verwerking zal leiden tot het maken van onderscheid op basis van rasgegevens. Videosollicitaties zijn wel toegestaan als iemand er daadwerkelijk vrij voor kan kiezen, bijvoorbeeld als er ook de mogelijkheid is om per brief te solliciteren.

Het achterliggende argument is denk ik hetzelfde als Hans versus Mohammed op je cv: je kunt mensen te makkelijk meteen afkeuren op oneigenlijke (en verboden) gronden. Natuurlijk kun je die ook in een gesprek ontdekken (bijvoorbeeld, een aspirant-receptioniste die blijkt te stotteren) maar dan kun je er nog naar vragen in het gesprek.

De juridische conclusie is dus onontkoombaar: videosolliciteren mag alleen als vrijwillige keuze, een bedrijf mag sollicitanten niet verplichten per videobericht zichzelf aan te dragen.

De Wbp zou de Wbp niet zijn als zij niet massaal genegeerd werd, en dat zie je ook hier weer. Vrijwel alle bedrijven die videosollicitatie inzetten, doen dat in verplichte vorm. Logisch, want dat werkt het efficiëntst, en je kunt ook lastiger twee kandidaten vergelijken als de een een keurige brief op geschept papier aandraagt en de andere een hippe video. Maar het mag niet.

Zolang er niemand een probleem van maakt zal het geen probleem zijn, concludeert Rijnders. En afgaande op de observatie van Intermediair kan het inderdaad best meevallen – die videosollicitatieapps zijn nu even hot maar over drie maanden is er vast weer wat anders. Aan de andere kant, als het deze keer wél aanslaat, dan zitten we dus wel met een levensgroot wettelijk privacyprobleem. Er staan in theorie hoge boetes op dit soort onrechtmatige verwerking, maar dan moeten mensen dit wel als een probleem ervaren.

Arnoud

Is whatsappen nu ook al een datalek?

Geplaatst op 1 februari 20161 februari 2016 in Innovatie, Privacy, 24 reacties

De datalekken vliegen je om de oren de laatste tijd. En om een of andere reden zit WhatsApp daar hoog in de buzz. Je communiceert dan immers over een kanaal beheerd door een derde, en niet zomaar een derde maar een perfide Amerikaanse imperialist met allerlei snode aftap- en profilingplannen. Dat moet toch haast wel een datalek zijn?

Voor een datalek dat moet worden gemeld gelden vier eisen (eisen 3 en 4 bepalen of gemeld moet worden):

Er is sprake van een inbreuk op de beveiliging. Dat kan gaan om een inbreuk op techniek (een inbraak, een geraden wachtwoord) of een organisatorisch falen (zonder kaartje naar binnen kunnen, geen toezicht op een dossierkast) maar er moet iets van een beveiliging zijn en die moet geschonden worden.
Het moet gaan om persoonsgegevens. Andere gegevens, hoe waardevol ook, kunnen geen datalek in de zin van de wet opleveren.
Er moet een aanmerkelijke kans zijn dat de persoonsgegevens misbruikt worden. Is misbruik slechts een theoretisch risico, dan is het lek geen datalek.
Betrokken personen moeten er nadeel van (kunnen) ondervinden. Die lat ligt niet hoog, maar hij is hoger dan nul. Nadeel kan zijn reputatieschade, oplichting en dergelijke maar ook dingen als moeten ruziën over dat je had betaald (de betalingsbewijzen waren gewist, ook een datalek).

Een conversatie voeren via WhatsApp zie ik op zich niet als een datalek. Als beide partijen ervoor kiezen hun eigen gegevens via dit kanaal te verstrekken, dan zie ik dat niet als een inbreuk op de beveiliging. Ze aanvaarden dan beiden de kans dat er iets mis kan gaan, en zien dat kennelijk als acceptabel.

Kiezen ze ervoor om andermans gegevens te verspreiden, zoals artsen wel deden, dan wordt het iets schemeriger. Die ander heeft niet gekozen voor het kanaal. Bovendien haal je je in die situatie nog een extra verplichting op de hals: je besteedt dan een stukje verwerking van andermans persoonsgegevens uit bij WhatsApp Inc, en de wet eist dat je dan een bewerkersovereenkomst sluit waarin je rechten en plichten vastlegt. Volgens mij kán dat niet eens met WhatsApp.

Toevallig kwam ik dit Linkedin-bericht tegen waarin Gjerryt Leuverink beschrijft hoe zorginstelling ’s Heeren Loo Zorggroep graag dichtbij en gastvrij wil zijn; ook digitaal. Daarom gebruikt men WhatsApp als communicatiemiddel. Dat leverde de nodige kritiek op, maar zoals Leuverink reageert:

Waar het om gaat is dat iemand die een appje stuurt aan een ander daarmee indirect toestemming geeft aan WhatsApp om ‘iets’ met dat berichtje en de twee betrokken 06-nummers te doen. Als je dat niet wilt, moet je niet WhatsAppen. Als je dat wel wilt, moet je bewust de app installeren, bewust je nummer koppelen en de voorwaarden accepteren, bewust een nummer toevoegen aan je contacten daar dan bewust een berichtje naartoe sturen.

Maar ik kan als jurist niet ontkennen dat er toch stevige juridische bezwaren te verzinnen zijn. Die bewerkersovereenkomst is nu eenmaal echt een ding, en zeker als je gegevens van anderen (zoals die artsen) gaat versturen dan zit je met een levensgroot toestemmingsprobleem. Alleen: is dat erg?

We komen dan weer terug bij de al vaker gevoerde discussie: mag de privacywet innovatie in de weg staan, of andersom mag innovatie zomaar over privacy heen denderen? Want als we de privacywet hard inzetten, dan moet je stoppen met WhatsApp. Dan kun je de Amerikaanse cloud gelijk uit en houden er ook een heleboel andere dingen op. Maar ga je mee in elke nieuwe hippe innovatie, dan kunnen we privacy wel afschrijven want wat dóen al die startups met persoonsgegevens en hoezo is het normaal dat een Amerikaans-wollig document dat “Privacy Policy” heet genoeg is om onze mooie wetgeving opzij te zetten? Ik ben er nog steeds niet uit wat nu de beste insteek is.

Arnoud

Mag je camerabeelden van een misdrijf aan het slachtoffer geven?

Geplaatst op 2 oktober 201530 september 2015 in Privacy, 32 reacties

Een lezer vroeg me:

Is het nu toegestaan of niet om beveiligingscamerabeelden van een misdrijf (zoals diefstal) aan het slachtoffer te geven? In ons café wordt nog wel eens wat gestolen, en wij zouden liever zien dat mensen dan zelf aangifte doen (met door ons beschikbaar gestelde beelden) dan dat wij daar aangifte van moeten doen. Maar van de privacywet schijnt dat niet te mogen, camerabeelden aan mensen afgeven.

Er zijn heel veel mythes over beveiligingscamerabeelden in omloop, en dit is er eentje van. Camerabeelden zou je alleen aan Justitie mogen geven en nooit aan anderen. Zo hard staat het helemaal niet in de wet. Maar ik vermoed dat het komt omdat de afweging die de wet voorschrijft, hier een ingewikkelde is. (En omdat de wet uit een tijd komt dat privacy nog gerespecteerd werd.)

Het gaat hier (natuurlijk) om de Wet bescherming persoonsgegevens. Die zegt dat persoonsgegevens, zoals camerabeelden, alleen mogen worden ‘verwerkt’ als aan een van de gronden uit die wet is voldaan. Onder ‘verwerken’ verstaat men eigenlijk alles: maken, verkrijgen, doorgeven en zelfs vernietigen.

Toestemming is de bekendste grond, maar bij beveiligingscamerabeelden werkt dat niet echt. Ook de uitvoering van een overeenkomst gaat hem niet worden. Je komt dan al heel snel uit bij het eigen dringende belang: ik mag dit want mijn recht om dit te doen weegt zwaarder dan de privacy van de betrokken persoon.

Laten we die belangenafweging eens formeel aflopen. De wet zegt:

[Afgifte mag als] de gegevensverwerking noodzakelijk is voor de behartiging van het gerechtvaardigde belang van de verantwoordelijke of van een derde aan wie de gegevens worden verstrekt, tenzij het belang of de fundamentele rechten en vrijheden van de betrokkene, in het bijzonder het recht op bescherming van de persoonlijke levenssfeer, prevaleert.

Er moet dus een gerechtvaardigd (legitiem) belang zijn en de afgifte moet noodzakelijk zijn (niet alleen maar wenselijk) voor dat belang. Het belang van de derde is dat deze aangifte wil doen van een misdrijf, waarbij de beelden bewijs vormen. Dat lijkt me legitiem.

Maar is de afgifte noodzakelijk? Je kunt immers ook zeggen, ga aangifte doen, zeg wie de beelden heeft en dan komt Justitie wel langs. Dat komt op hetzelfde neer, maar de bewijsketen is dan korter, en we weten ook nog eens zeker dat je de beelden niet gemanipuleerd hebt. Plus, je zou de beelden op internet kunnen slingeren en of dát een legitiem belang is, valt te betwijfelen.

Verder zit je met die ’tenzij’. Je moet een belangenafweging doen: hoe belangrijk is de privacy van de persoon die in beeld is. Een crimineel heeft geen privacy te verwachten, plus bij afgifte aan Justitie kun je sowieso niet echt van een privacyschending spreken. Dus daar kom je wel uit, denk ik.

Goed, houd ik dus over: is het echt nodig dat het slachtoffer zelf die beelden krijgt? Zijn er geen andere routes die hetzelfde effect bereiken en minder risico’s met zich meebrengen? En dan ben ik toch wel gevoelig voor het argument dat het slachtoffer andere, minder legitieme dingen kan gaan doen met de beelden. Ze op internet zetten met “wie kent deze dief van mijn iPhone” is voor de wet geen legitiem belang.

Arnoud

Mag je met een Kruidvat-GPS-tracker je kind in de gaten houden?

Geplaatst op 29 september 201529 september 2015 in Privacy, 24 reacties

Weet altijd precies waar je kind is en maak contact in geval van nood, met de Spotter. Met die tekst adverteert de Kruidvat haar nieuwste product: een GPS-tracker die verbindt met een app op de telefoon van de ouders, zodat je altijd weet waar je kind is. Of je bagage (“Ideaal voor op vakantie!”), maar primair toch je kind als ik de advertentie goed lees. Dus u voelt hem al aankomen: eh, mag dat, met zo’n GPS-tracker je kind in de gaten houden?

Ook kinderen hebben recht op privacy, maar je zit dan wel meteen in een spanningsveld: als ouders heb je de plicht je kind op te voeden, en opletten hoe het gaat met je kind en waar die zoal uithangt, is deel daarvan. Die informatie botst met de privacy van het kind, en er is geen algemene regel die zegt dat het dan dús mag of dús niet.

In de gastblog van Noortje Mulder van afgelopen zomer ging het om meekijksoftware: chats en mails van je kind scannen. Hier gaat het om een minstens zo vergaande inbreuk: live zien waar je kind zich bevindt. Zoals Noortje het formuleerde:

[W]anneer gaat ouderlijk toezicht nu te ver? Deze vraag is lastig te beantwoorden, gelet op de dubbele rol die ouders hebben ten aanzien van de privacy van het kind. Enerzijds dienen zij het kind te beschermen, waardoor zij de privacy van het kind mogen beperken. In de meeste gevallen zal het beschermingsbelang van het kind een beperking van diens recht op privacy door de ouders rechtvaardigen. Anderzijds dienen zij zich niet onnodig te mengen in het privéleven van hun kind, laat staan bewust inbreuken daarop te maken.

Het belangrijkste is: opvoeden dient als doel te hebben het kind zelfstandig te laten worden. Je moet dus het GPS-volgen binnen dat kader kunnen verantwoorden. Waarom is dat nodig, en hoe wordt het kind er later beter van?

Bij een heel jong kind zou je kunnen zeggen, ik wil zien waar hij/zij is zodat ik bij verdwalen snel kan ingrijpen en het kind kan ophalen. Het kind leert dan zelfstandigheid (vrij rondlopen of -fietsen) maar er is een vangnet. Bij een wat ouder kind zal het minder snel gaan om verdwalen maar eerder om gaan naar ongewenste plekken of personen (“is mijn dochter nu alweer bij die rare gast die vier jaar ouder is”). Daar is ook wel een haakje naar zelfstandigheid te verzinnen, maar het wordt wel lastiger vind ik. Hoort bij zelfstandig worden niet ook een stuk je neus botsen en daarvan leren?

Dus nee, er is geen pasklaar antwoord of dit mag of niet. Het gaat om waarom je het doet, hoe oud je kind is en wat je wilt bereiken.

Hoe zouden jullie als kind (kies zelf je leeftijd) hebben gereageerd als je zo’n tracker in je tas had gevonden? En niet “wauw wat gaaf, die bestonden niet toen ik 9 was dus dan ging ik het gauw patenteren” maar het privacystuk dus 😉

Arnoud

Hoe ver reiken de tengels van de Wet bescherming persoonsgegevens?

Geplaatst op 18 september 201516 september 2015 in Privacy, 20 reacties

wbp-west-bengal-police Mijn blog van vorige week over de RET-tweet maakte nogal wat los – op het stukje “je mag sollicitanten niet zomaar googelen want dat valt onder de Wet bescherming persoonsgegevens”. In de comments bleek het nog erger: je mag geen Twitterberichten lezen zonder het apart te vragen, “hoi Wim” op een blog is een overtreding en zonder dringende noodzaak mag je personen niet googelen.

De Wbp is gemaakt als een algemene wet, die in principe alle vormen van gebruik van persoonsgegevens wil reguleren zodat personen de controle over hun gegevens kunnen uitoefenen. Een beetje zoals de Auteurswet rechthebbenden macht wil geven door iedere kopie en iedere publicatie onder de wet te reguleren. Vanuit dat perspectief is het dus niet gek dat de Wbp altijd geldt, dat is een feature.

Vaak wordt gedacht dat de Wbp alleen geldt bij grootschalige opslag of gebruik in bestanden of databases. Dat klopt half: als je op papier persoonsgegevens verwerkt, dan geldt de wet pas als je dat in een bestand doet. Verwerk je echter elektronisch, dan is het hebben van een database volstrekt irrelevant. Een grote dikke Big Data database is dus gedekt door de wet, maar ook de zinsnede “hoi Wim” in deze blog omdat dit over een persoon gaat. Zet ik die zin op een briefje, dan valt dat briefje buiten de Wbp.

De enige echte uitzondering die ik kan bedenken voor de internetsituatie, is die voor strikt persoonlijk gebruik. Je adresboek of privécloudbestand met gegevens van anderen valt dus buiten de Wbp. Een strikt afgesloten webdienst met persoonsgegevens die wederom alleen toegankelijk is voor familie en huisgenoten denk ik ook nog wel. Maar vereist hierbij is wel dat het écht een privésituatie betreft. Activiteiten op internet lijken niet snel een privésituatie te betreffen. Zie de Hof van Justitie-uitspraak over het verzamelen van camerabeelden en veel eerder het Lindqvist-arrest waarin “De vrijwilligersbijeenkomst gaat niet door want mevrouw Lindqvist heeft haar enkel verstuikt” op de homepage van een kerk een verwerking van persoonsgegevens werd geacht.

Er is ook een uitzondering voor journalistieke verwerkingen, maar die komt er eigenlijk op neer dat mensen geen inzage en correctie kunnen eisen in hun persoonsgegevens. Dit is dus waarom je eigenlijk geen verwijdering uit krantenarchieven zou moeten kunnen eisen. Bij Google wel – Google is geen journalist. Zie ook de discussie over Kleintje Muurkrant dat op grond van de Wbp werd aangepakt (maar het op inhoud won).

Maar allerlei verwerkingen zijn toch vrijgesteld? Ja, alleen betekent dat niet meer dan dat je niet tegen het Cbp hoeft te zeggen dat je die verwerkingen uitvoert. Je moet nog steeds een grondslag hebben.

Ai. De Wbp geldt dus altijd op internet. Mag je dan niet eens meer mensen begroeten op je blog zonder toestemming?

Nou, niet helemaal. De Wbp zegt dat er zes gronden zijn, waarvan de belangrijkste zijn:

Toestemming
Uitvoering van een overeenkomst
Een eigen dringende noodzaak

Toestemming is de hoofdregel, maar als je één van de andere gronden kunt onderbouwen dan is dat ook goed. Een webwinkel hoeft écht geen toestemming te vragen om je naam en adres naar een leverancier te mailen zodat jij het bestelde pakketje geleverd krijgt. Dat is gewoon nodig om de koopovereenkomst na te komen. Ik zie daar wel de nodige analogieën voor op internet: wie zijn naam in het reactieformulier hieronder invult, krijgt zijn naam op internet gepubliceerd. Dat is gewoon nodig om je reactie te publiceren. En ja, ‘gewoon’ is voor discussie vatbaar – zie ook Privacy en een goede uitvoering van de overeenkomst.

Als restcategorie is er dan nog de eigen dringende noodzaak. Als toestemming eigenlijk niet haalbaar is en jij een legitiem belang hebt dat zwaarder weegt dan de privacy van de persoon wiens gegevens je gebruikt, dan mag het – mits je maar alles doet om die privacy zo veel mogelijk te waarborgen. Om die reden mag ik IP-adressen loggen om hackpogingen te detecteren. Ik hoef geen toestemming te vragen, maar ik mag die gegevens niet zomaar publiceren of gebruiken voor andere doelen. Google Analytics valt ook onder dit legitiem belang, mits je een paar maatregelen neemt vanuit die privacywaarborg.

Valt “hoi Wim” daar nu ook onder? Is het nódig dat ik dat zeg? Ik meen van wel: vrijheid van meningsuiting is een grondrecht en dús een legitiem belang. Ik mag zeggen wat ik wil, en ik hoef daar geen belang voor aan te dragen. Maar ja, dan krijg je een botsing met de privacywet die zegt dat je niet zomaar iemands gegevens mag verwerken. En dát is waar de pijn in de Wbp zit. Je moet dan kort gezegd aantonen dat jouw publicatie belangrijker is dan de privacy van de persoon over wie je schrijft. Toch een belangenafweging dus.

In de praktijk komt die belangenafweging denk ik gewoon neer op de vraag “Is het rechtmatig om dit te publiceren”. Dat bepaalde het Hof Den Bosch een paar jaar terug, en dat is wel een werkbaar compromis. Er is geen aparte route via de Wbp – als je het mag zeggen, vindt de Wbp het ook goed, en als je het niet mocht zeggen, dan wordt de Wbp ook boos.

Dus ja, de Wbp geldt altijd. Maar toestemming hoef je niet altijd te hebben.

Arnoud

Mag een bedrijf een datalek-publicatie offline halen?

Geplaatst op 1 september 201525 augustus 2015 in Ondernemingsvrijheid, Privacy, 3 reacties

persoon-persoonsgegeven-veilig-hek-beschermd-lek-data Een lezer vroeg me:

Kan een bedrijf als Ashley Madison iedere website offline halen die hun gelekte data publiceert? Ik snap dat ze bepaalde rechten hebben op die data, maar er is toch ook zoiets als het algemeen belang, kunnen weten of je getroffen bent door deze datalek?

Vorige maand werden bij de datingsite data gestolen van 32 miljoen gebruikers, inclusief namen, adressen en creditcardtransacties. Kort daarna verschenen diverse sites waar deze data op gepubliceerd werd, zoals https://ashleymadisonleakeddata.com/

Wie nu op die site kijkt, ziet echter “I received a takedown notice from Avid Dating Life Media, Inc. so I’m forced to shut down this site”. De datingdienst heeft onder de Digital Millennium Copyright Act een bezwaar gestuurd: deze publicatie schendt ons auteursrecht en moet onmiddellijk offline. Onder het Amerikaans auteursrecht moet een hoster daar gehoor aan geven, en pas daarna gaan we eens uitzoeken hoe het zit.

Althans, áls er een geldig auteursrecht wordt geschonden. En dat kun je je ten zeerste afvragen. Voor auteursrecht is vereist dat de maker enige creativiteit in het werk stopte. Enkel veel data verzamelen of hard werken om het werk te maken, is gewoonweg niet genoeg. Niet bij ons en niet in de VS.

Ik zou werkelijk niet weten welke creativiteit er zit in een klantenbestand. In Europa bestaat er nog het databankrecht, waarmee je als producent van een dataverzameling rechten kunt claimen. Maar dat recht kennen ze niet in de VS.

Natuurlijk kun je zo’n bestand je “intellectual property” noemen, maar dat is een term zonder juridische betekenis. Data is geen eigendom, en “intellectueel eigendom” is jargon voor auteursrecht, octrooien en dergelijke. Meer niet. Je kunt je dus bij de rechter niet op je IP beroepen als je geen auteursrecht (of dergelijk recht) kunt aanwijzen.

Dus nee, ik heb geen idee op welke grond Ashley Madison meent dat zij een takedown mogen doen van die data.

Daar staat wel tegenover dat publicatie van die data de privacy schendt van de getroffen gebruikers. Daarmee zou je dus wel tegen de wet handelen. Alleen is dat niet iets waar het bedrijf iets tegen kan doen: een privacyschending is het probleem van de getroffen burger, niet van het bedrijf.

Bovendien geldt in de VS dan nog de specifieke regel dat je als hoster nóóit gehouden bent data te verwijderen op welke grond dan ook (zelfs als de inhoud strafbaar is), behalve bij auteursrechtinbreuk. Bij ons is dat breder: je moet als hoster optreden bij iedere evidente overtreding van de wet, dus ook bij privacyzaken. In Europa zou een getroffen persoon dus kunnen eisen dat zijn data offline gaat.

Arnoud