Tag: Privacy

About Privacy

Subscribe Feeds

Wijziging privacyverklaring zonder te informeren

Geplaatst op in Privacy, 10 reacties

privacy-statement.jpgRegelmatig zie ik in privacyverklaringen zinnen als deze: 

    <li>Bedrijf kan deze Privacyverklaring wijzigen. Wij adviseren u daarom regelmatig deze Privacyverklaring na te lezen op eventuele wijzigingen.</li>
<li>Bedrijf kan op elk gewenst moment de inhoud van deze privacyverklaring wijzigen indien wij bijvoorbeeld andere voorwaarden gaan hanteren.</li>
<li>Als wij deze Privacyverklaring wijzigen, zullen wij maatregelen treffen om u te informeren door een bericht hierover op de site te plaatsen en door de gewijzigde</li>
<li>Nu en dan kunnen wij deze On line Privacyverklaring wijzigen.</li>

En dan ga je je afvragen, kán dat eigenlijk wel?

De privacyverklaring is eigenlijk maar een raar beestje. Veel mensen denken dat als een site zo’n verklaring heeft, het wel goed zit met hun privacy. Maar dat is zeker geen automatisme. Een privacyverklaring legt uit wat je doet op het gebied van privacy en persoonsgegevens, en kan dus ook uitleggen dat je alle gegevens harvest die je kunt vinden en combineert tot een gedetailleerd profiel inclusief seksuele voorkeuren.

Tegelijkertijd stelt die verklaring niets voor omdat je niets mag doen als daar geen toestemming (of andere wettelijke grondslag) voor is. En die toestemming kun je niet bedingen in een privacyverklaring, ook niet als je daar akkoord op vraagt bij het inschrijven. De enige rol die de privacyverklaring kan spelen is mensen informeren over wat de toestemming gaat betekenen, maar je moet echt apart nog een keer die toestemming vragen.

In dat licht is het geen probleem dat een privacyverklaring zomaar te veranderen is. Wil je meer uitleggen of een tekst anders insteken, dan ga gerust je gang. Maar je krijgt er geen enkel aanvullend recht door. In je privacyverklaring zetten dat je vanaf nu Bonuskaartgegevens gaat gebruiken voor persoonsgebonden aanbiedingen is dus niet genoeg om dat ook werkelijk te moeten doen.

In 2009 werd het bedrijf Advance op de vingers getikt door het College bescherming persoonsgegevens, omdat ze geen uitdrukkelijke toestemming hadden gevraagd voor gebruik van diverse gegevens bij de dienst Je echte leeftijd. De zin “Je Echte Leeftijd behoudt zich het recht voor om wijzigingen aan te brengen in de privacyverklaring” hielp ze daar niets bij.

Ga je dus nieuwe dingen doen, dan zul je daar toestemming voor moeten verkrijgen én je privacyverklaring daarop moeten aanpassen. Alleen maar de tekst aanpassen is niet genoeg. En zelfs als je nieuwe dingen gaat doen die binnen een verkregen toestemming vallen, zul je meer moeten doen dan alleen die tekst aanpassen. Je zult echt mensen erop moeten wijzen dat je de tekst aangepast hebt, en wel zo dat zij afdoende geïnformeerd worden daardoor.

Arnoud

Mag je provider je telefoonnummer meesturen bij websitebezoek?

Geplaatst op in Privacy, 11 reacties

Een lezer wees me op een Deens artikel (extragratis privacyschendende vertaling) waarin werd gemeld dat de telecomoperator TDC de telefoonnummers van hun mobiele gebruikers beschikbaar stelt aan ‘geselecteerde’ websites. Het deed me denken aan X-ASID, maar het lijkt een andere technologie te zijn.

Waar ik me over verbaasde, is de opmerking op het einde:

“Het is net als bij het surfen vanaf een computer, en uw IP-adres wordt opgeslagen. Hier is het gewoon uw telefoonnummer “, zegt Rasmus Avnskjold.

Oftewel: we sturen uw telefoonnummer mee want als je op internet zit gaat ook je IP-adres mee en dat is eigenlijk hetzelfde. Eh, wat?

Natuurlijk is dit een volstrekt andere kwestie. Een IP-adres is nodig als deel van de communicatie via internet. Als de wederpartij je IP-adres niet weet, dan wordt het heel lastig IP pakketjes terug te sturen. Om die reden is er geen toestemming nodig om dit IP-adres te mogen ontvangen en gebruiken voor dit doel. (Formeel: het IP-adres wordt verwerkt op grond van “noodzakelijk bij de uitvoering van de overeenkomst tot aanlevering van een webpagina”.

Maar het telefoonnummer meesturen met een internetbrowsesessie lijkt me daar bepaald niet nodig bij. Ze gaan je echt niet bellen of de webpagina wel snel genoeg laadt of zo. De enige reden om het telefoonnummer mee te sturen, is om de bezoeker te kunnen identificeren. En dát mag niet zonder aparte toestemming van die bezoeker.

Oh, en morgen wordt plenair gestemd in de Eerste Kamer over de cookiewet. Spannend!

Arnoud

De privacy van de dader in beeld

Geplaatst op in Iusmentis, Privacy, Security, 18 reacties

Deeltje zoveel in de vraag: Mag je camerabeelden gebruiken als bewijs in een strafzaak? Hier is veel over te doen, omdat camerabeelden worden gezien als “bijzondere persoonsgegevens” en daarmee de privacywet in werking treedt. De wet kent dan ook extra waarborgen voordat de politie die gegevens mag gebruiken.

Eén zo’n waarborg is dat de politie niet zomaar mag vragen om camerabeelden. Zij moet de juiste wettelijke grondslag hebben om beelden te mogen vorderen, omdat die wettelijke grondslag ervoor zorgt dat de belangenafweging juist wordt uitgevoerd. Zomaar vragen verstoort die afweging. Zo kan een betrokkene zich verplicht voelen de beelden af te geven omdat een agent het vraagt, zonder te beseffen dat dat eigenlijk niet hoeft.

Maar wat nu als de beelden toch bij de politie terechtgekomen zijn zonder zo’n vordering? Kan de dader dan ongestraft vrijuit? Nou, zo makkelijk gaat dat ook weer niet. Want die regel die ik net uitlegde, is er om de cameraman te beschermen en niet om de dader te beschermen. Zoals de rechter hier de wetgever samenvat:

Degene die de politie informatie verschafte kon immers – voordat daarvoor een vordering vereist was – een probleem krijgen met de persoon wiens gegevens werden verstrekt.

Zijn de beelden al te makkelijk opgevraagd, dan kan de cameraman daar een probleem van maken, bijvoorbeeld een klacht bij de korpschef. Maar de verdachte kan niets met die situatie, want zijn belang hier is irrelevant.

Maar eh die privacywet dan? Die verdachte staat er toch op en daarmee vallen de beelden toch onder de Wet bescherming persoonsgegevens?

Nou nee, zegt de rechter: de verdachte kán niet in zijn privacy zijn aangetast – omdat hij immers ontkende überhaupt in de juwelierszaak te zijn geweest!

Arnoud

Adres van stichting met persoonsnaam telt niet als persoonsgegeven

Geplaatst op in Privacy, 13 reacties

google-streetview.jpgGoogle mag gegevens rechtspersonen openbaar maken, las ik bij Rechtspraak.nl. De rechtbank Amsterdam vonniste vorige week over een zaak waarbij je via Google Maps en Google Street View het vestigingsadres van een stichting kon vinden.

Nou is dat op zich geen privacyschending, want dat speelt pas bij adressen en dergelijke van natuurlijke personen en een stichting is dat niet. Maar in de naam van deze stichting komen de namen van twee natuurlijke personen voor die wonen op het vestigingsadres van de stichting. Daarmee is dus zowel de naam van de stichting als vestigingsadres stiekem toch een persoonsgegeven, en er was geen toestemming om die persoonsgegevens op internet te zetten, aldus deze bestuurders.

Inderdaad, die zeer letterlijke en daarmee zéér verstrekkende lezing van de Wbp die mij al tijden de keel uitkomt. Het kan niet waar zijn dat het zó makkelijk is om allerlei gegevens weg te krijgen omdat je er direct of indirect aan te herkennen zijn.

De kantonrechter is gelukkig verrassend nuchter:

Het enkel vermelden van een straatnaam en huisnummer met daarbij een niet erg gedetailleerde luchtfoto van het pand dat op die locatie staat, zonder vermelding van gegevens over de bewoner, kan naar het voorlopig oordeel van de voorzieningenrechter niet worden beschouwd als een gegeven dat naar zijn aard op een persoon betrekking heeft. De door Google verschafte informatie bevat geen faciliteit waarmee deze informatie aan een bepaalde persoon valt te koppelen.

Hiermee komt dus enige praktische redelijkheid terug in het privacyrecht. Niet “met die letters kun je mijn naam maken” is genoeg om van een privacyschending te kunnen spreken, er moet een duidelijke aanwijzing zijn dat men daadwerkelijk een persoon op het oog had.

Maar die stichtingsnaam dan, waar letterlijk hun achternamen in stonden? Nou,

De naam van een rechtspersoon waarin de naam van een natuurlijk persoon is verwerkt kan niet zonder meer beschouwd worden als een gegeven dat betrekking heeft op die natuurlijke persoon en daarmee onder de werkingsfeer van de Wbp worden gebracht. De band tussen een natuurlijk persoon en de rechtspersoon die zijn naam draagt kan immers zeer divers zijn.

Ook hier dus een “laten we wel wezen”-toets. Theoretisch gezien zijn hiermee allerlei privacygevaren denkbaar, maar in de praktijk zullen mensen achter deze vermelding niet meer zoeken dan “goh daar zit een stichting en die heet X”. Een dergelijk generiek stukje informatie kan niet en hoort niet onder de privacywet te vallen.

Dit soort conflicten gaan we vaker krijgen nu meer en meer data op internet ontsloten wordt en daarbij ook direct of indirect mensen hun naam of adres terug zien. Het gaat mij écht te ver om dat allemaal uit te kunnen poetsen met de privacywet, zeker als het gaat om archieven of diensten die een algemeen nut hebben (en ja ook Street View valt daaronder). Omgekeerd snap ik ook wel dat er situaties zijn die echt te ver gaan, maar waar je de lijn precies moet trekken daar ben ik nog niet uit. In ieder geval niet hier.

Wie heeft een suggestie, hoe krijg je een goede balans tussen het algemeen nut en de privacy?

Arnoud

Mag mijn ex-werkgever mijn oude mailbox aanhouden?

Geplaatst op in Ondernemingsvrijheid, Privacy, 19 reacties

-''/Een lezer vroeg me:

Mijn ex-werkgever, waarvan ik een jaar geleden afscheid heb genomen, heeft mijn oude mailaccount nog steeds niet opgeheven. Af en toe komen daar nog berichten op binnen, ook betreffende mijn huidige werkzaamheden. Kan ik daar nu tegen protesteren? Het staat gek voor mijn huidige klanten, en privéberichten hoort hij natuurlijk al helemaal niet te lezen.

De balans zoeken tussen privacy en het werk blijft een moeilijke, zeker bij mailboxen. Ik krijg haast wekelijks vragen hierover, variërend van “mijn baas leest mee” tot “kan ik een kopie van mijn zakelijke mailbox krijgen” en alle gradaties daartussen.

Hoofdregel is, de mailbox is beschikbaar gesteld als bedrijfsfaciliteit en de werkgever beslist dus hoe deze wordt ingezet. De werkgever kan de mailbox opheffen als hem dat zakelijk gezien beter lijkt, bijvoorbeeld. Wél moet hij respecteren dat er enig (niet-overlastgevend) privégebruik van gemaakt wordt. Wie in de lunchpauze even mailt met zijn partner of om half vier een loodgieter mailt voor een offerte, valt arbeidsrechtelijk niets te verwijten.

Na einde dienstverband mag de werkgever natuurlijk de mailbox opheffen. Maar zakelijk gezien is het soms beter dat niet te doen: klanten en relaties hebben dat adres en zullen daar nog enige tijd op blijven mailen. Als dat werkgerelateerd is, moeten die mails bij de opvolger terechtkomen anders worden de klanten boos, en dat is een zakelijk belang.

Als het gaat om privémails dan mag de werkgever die inderdaad niet zomaar lezen, maar in deze situatie lijkt me dat haast onvermijdelijk. Een relatie een jaar terug mailt met een nietszeggend onderwerp (“Fwd: Re: Betr: agenda”), wat moet je dan als collega? Weggooien omdat het mogelijk privé is? Lezen omdat het mogelijk werkgerelateerd is?

Ik vrees dan ook dat je eventuele privacyschendingen in deze situatie voor lief zult moeten nemen. Mocht je dienstverband eindigen, dan kun je zelf al je privérelaties erop wijzen dat ze je op je nieuwe adres moeten mailen. (Of je gebruikt sowieso niet je zakelijk adres voor privézaken als dat enigszins haalbaar is, en wie het web op kan, kan ook Hotmailen of Gmailen of webmailen bij zijn privéprovider.) En als de opvolger dan evidente privézaken meteen wegklikt en bij zakelijke mails zegt “Piet werkt hier niet meer” dan zou het verder goed moeten gaan.

Heeft jullie bedrijf iets geregeld over dit onderwerp in het ICT-reglement?

Arnoud

Privacyfittie: Google versus de Europese Commissie

Geplaatst op in Privacy, 21 reacties

google-privacy.pngDit gaat nog leuk worden: Google en de Europese Commissie kwamen ongeveer tegelijkertijd met nieuwe privacyregels, maar ze gaan elk compléét de andere kant op. De EC heeft een machtig wapen ingevoerd: boetes tot 5% van de jaaromzet voor wie de privacywet negeert. Maar Google heeft ook een machtig wapen: uitsluiting van alle Googlediensten als hun privacyregels je niet bevallen.

Google heeft nu ongeveer zestig verschillende privacybeleiden en wil daar vanaf. Loffelijk, want er rammelde nogal wat aan die teksten. Dus nu maken ze één geconsolideerde tekst. En die rammelt gewoon in z’n eentje.

Korte samenvatting: wij verkrijgen gegevens van u, van anderen en wij leiden gegevens af van wat u allemaal doet (en wat u gebruikt en waar u bent). Wij gebruiken die voor onze diensten (joh), met name om je advertenties op maat voor te schotelen. We mogen informatie combineren, dus als we uit Gmail je echte naam halen dan mogen we die aan je andere profielen plakken en dat heb je maar te accepteren. Oh, en we geven geen informatie aan derden tenzij die zorgvuldig geselecteerd zijn en die zich beloven te gedragen. Bevalt u dat niet (“People have different privacy concerns”), dan kunt u opt-outen. Niet van alles; u kunt “bepaalde” zaken uitzetten, niet meer. Maar u mag natuurlijk altijd naar Bing.

Ongetwijfeld volstrekt toevallig verscheen het officiële voorstel voor de nieuwe Privacyverordening. Geen gedoe meer met nationale wetten maar gewoon één wet die in één klap alles regelt, zonder mogelijkheid om daar van af te wijken of aanvullende regels te stellen. Het zal vast geen verrassing zijn dat die regels compleet de andere kant op gaan dan waar Google heen wil.

Hoofdregel is dat je zo beperkt mogelijk met persoonsgegevens moet omgaan. Je moet specifieke en welomschreven doelen hebben, en gegevens mag je dan alléén daarvoor gebruiken. Daarbij moet je eigenlijk altijd toestemming hebben. Er is en blijft een uitzondering voor een eigen noodzaak, als die zwaarder weegt dan de privacy.

Er komen strakke informatieplichten, nog strakker dan we al hadden. Je moet kunnen inzien wat men over je weet (en dat moet je elektronisch kunnen opvragen), en je moet expliciet te horen krijgen hoe je daar correcties of verwijdering van kunt realiseren. Dat recht van verwijdering hadden we al, maar wordt nu enigszins melodramatisch omgedoopt tot “recht te worden vergeten” – de partij die je gegevens opsloeg, moet alle redelijke stappen nemen om je gegevens te wissen, inclusief verzoeken bij derden die de gegevens hebben overgenomen. Ja, daarmee bedoelen ze Google en andere mirrors, zoekindexen en archieven.

In de praktijk zal dat recht geen bal veranderen ten opzichte van wat we hebben (en maar goed ook). Er is namelijk een uitzondering: je hoeft gegevens niet te verwijderen als je gebruik onder de vrije meningsuiting valt. En in 95% van de gevallen willen mensen hun gegevens namelijk niet uit een databank hebben maar uit een forum, nieuwsartikel of blogarchief omdat de daarin geuite feiten hen niet meer bevallen.

En zoals gezegd staan er forse boetebepalingen in die de Commissie kan inzetten als bedrijven de regels negeren. Expliciet zijn die ook bedoeld voor internationale (lees: Amerikaanse) bedrijven die menen dat zij niet onder Europees recht vallen. Dus dat gaat nog leuk worden, want ik zie Google écht niet zomaar omrollen omdat de EC meent dat privacy een groot goed is en targeted advertenties eigenlijk maar smoezelige dingen zijn. Omgekeerd gaat de EC ook niet snel zeggen “oh, jullie zitten in Californië, nee laat maar dan, wij gaan eerst achter Ilse aan”.

Eerlijk gezegd vind ik beide aanpakken best wel slecht. Googles “wij mogen alles en als u dat niet bevalt gaat u maar lekker Bingen” is natuurlijk zo generiek dat het niet leuk meer is. Afgezien van zalvende woorden en een paar optoutaanvinkvakjes ben je op die manier compleet aan de zoekmachine overgeleverd. Maar wat de EC van plan is, zie ik ook niet werken. Zó veel invloed en controle bij mensen neerleggen is onwerkbaar, nog afgezien van het punt dat driekwart van de mensen (en dan ben ik positief) niet snapt wat er nu eigenlijk gebeurt en dus op voorhand overal maar mee akkoord gaat “anders doet ie het niet”.

Ik blijf erbij dat het beter is om het zo te doen:

  1. Je moet altijd dat categorisch kunnen weigeren (en toch de dienst kunnen gebruiken, mits dan tegen betaling);
  2. Je moet volledig disclosen wat je doet en waarom;
  3. Mensen moeten inzage krijgen in de data die je hebt en hoe je daar conclusies uit trekt;
  4. Als het niet klopt, moet je elke benadeelde burger 150 euro per fout voor betalen.

Arnoud

Mag de Belastingdienst in mijn achtertuin kijken met Google Earth?

Geplaatst op in Privacy, 16 reacties

google-earth-eindhoven.jpgEen lezer vroeg me:

Het is wat vroeg, maar ik was al begonnen met mijn belastingaangifte. En nu vroeg ik me ineens af, stel dat ik een zakelijk gekocht tuinmeubel privé gebruik in mijn achtertuin. Dat mag natuurlijk niet van de Belastingdienst, maar er staat een hoog hek om mijn tuin dus knappe inspecteur die daar achter komt. Via Google Earth zou hij het wel kunnen zien, maar mag hij dat eigenlijk wel? Is dat geen onrechtmatig verkregen bewijs?

De Belastingdienst verbiedt op zich niet zo heel veel, alleen ongewenste praktijken kunnen leiden tot extra heffingen. Zo mag je best zo’n meubel privé gebruiken, alleen merkt de Belastingdienst het dan aan als loon in natura zodat je een forse naheffing krijgt.

Hoe dan ook, inderdaad moeten ze er wel eerst achter komen. En dat zal niet meevallen met een grote schutting. Maar inderdaad kijkt Google Earth daar overheen, en als de inspecteur dus de moeite neemt daar gebruik van te maken dan heb je echt een probleem. Roepen dat het onrechtmatig verkregen bewijs is, gaat je niet helpen.

Ook de politie mag in deze openbare bron kijken, zo blijkt uit een recent vonnis. In deze fiscale strafzaak werd de maat van een advocatenkantoor vervolgd wegens belastingontduiking en valsheid in geschrifte. Zo werden er facturen en orderbonnen vervalst, en zouden er producten zakelijk gekocht zijn om die vervolgens privé te gebruiken zonder dit aan te geven als loonuitkering.

Onder meer had men bonnen gevonden voor lichtgele Bubble Club fauteuils, en daarna Google Earth geraadpleegd om te constateren dat deze in de eigen achtertuin van deze maat stonden.

Geverbaliseerd is hoe via Google Earth het privéadres van verdachte is opgezocht en hoe vervolgens is ingezoomd op de tuin van verdachte, waarin verbalisante twee gele stoelen zag staan die volgens haar grote gelijkenis vertonen met de door verdachte gekochte stoelen.

Ik had dat proces-verbaal graag gelezen, want verbalisantentaal is een wonderlijk mengsel van taalgebruik, waarbij elke zin moet beginnen met “ik, verbalisante”. Dus je krijgt dan iets als “ik, verbalisante, dubbelklikte op het icoon van Google Earth, waarna ik het adres invulde dat mij bekend was als het privéadres van verdachte invoerde. Daarna constateerde ik, verbalisante, dat de applicatie een inzoomende animatie vertoonde naar Nederland en vervolgens een afbeelding liet zien welke mij, verbalisante, voorkwam als een bovenaanzicht van het privéadres van verdachte inclusief diens achtertuin. Daarna zag ik, verbalisante, in deze kennelijke achtertuin twee gele stoelen staan die volgens mij grote gelijkenis vertonen met de door verdachte gekochte stoelen.”

Hoe dan ook: mag deze agente dit doen en de uitdraai vervolgens als bewijs gebruiken?

Die vraag is serieuzer dan je zou denken, want de politie mag bij de opsporing in principe alleen de middelen gebruiken die in de wet zijn aangewezen als opsporingsmiddel. (Weet u nog, het gedoe om het IP-bevriezingsbevel tegen RIPE uit december?) Het via Google Earth inzoomen op een private plaats is geen in de wet genoemde opsporingsmethode, betoogde de verdachte dan ook. En iemands achtertuin is toch een privéplek, zodat je er niet met de generieke regel uit artikel 2 Politiewet komt. Die mag alleen worden gebruikt als dat slechts een ‘geringe’ inbreuk op de privacy oplevert.

De rechtbank gaat daar niet in mee. Het via Google Earth inzoomen op een of meer plaatsen kan niet worden aangemerkt als het gebruik van bijzondere technische opsporingsmiddelen, “nu iedere burger bij het gebruik van het internet, zulks kan doen.” Dat gaat mij wat snel; een burger kan ook een camera plaatsen of een afluisterapparaatje installeren, en toch is dat wel degelijk een bijzonder middel.

Maar in de memorie van toelichting bij de Wet Computercriminaliteit II had de minister expliciet gezegd:

Zoals de politie, al dan niet in burger, op straat mag surveilleren en rondkijken, zo mag een rechercheur vanachter zijn computer hetzelfde doen op Internet. Een uitdrukkelijke wettelijke grondslag is daarvoor niet nodig, mits dat optreden gerekend kan worden tot de uitvoering van de politietaak (zie artikel 2 Politiewet 1993).

De rechtbank vindt, met deze uitspraak in het achterhoofd, het een keertje kijken op Google Earth een geringe inbreuk op de privacy die moet kunnen zonder speciale bevoegdheid. Ik denk met mede de overweging dat als de agente een pootje had gekregen van een collega en zo over de schutting had gekeken, er ook geen sprake was geweest van onrechtmatig verkregen bewijs. (“Ik, verbalisante, ontving vervolgens een zogeheten ‘pootje’ van medeverbalisante en verhief mij aldus tot ongeveer een decimeter boven de schutting van het huis van verdachte, alzo ik constateerde…”).

De verdachte krijgt een geldboete van ” 17.000 en een taakstraf van 40 uur.

Arnoud

Die privacyverklaring van de Albert Heijn Bonuskaart

Geplaatst op in Privacy, 45 reacties

albert-heijn-bonuskaart.jpgIn het voorjaar van 2012 gaat Albert Heijn een grote groep Bonuskaartgebruikers extra waarderen en bedanken met aanbiedingen op maat, meldde de grootgrutter. Vertaling: op basis van je geregistreerde aankopen krijg je aanbiedingen op veel gekochte producten, gepersonaliseerde aanbiedingen dus. Hm, heb ik daar ooit toestemming gegeven, vroeg ik me af.

Het privacybeleid er dus even bijgepakt, en daar staat inderdaad letterlijk in dat men dit gaat doen:

Uw persoonsgegevens worden door AH verwerkt … voor het verstrekken van (eventueel op basis van uw aankopen) kortingen en voordelen;

en als ik dan bij het Cbp controleer (registratienummer 1062641, dieplinken niet mogelijk want daar is het nog 1998) zie ik keurig hetzelfde staan:

Doel(en) van verwerking: … De AH Bonus Kaarthouder (eventueel individueel op basis van zijn koopgedrag) informeren over de producten en diensten, die door of via Albert Heijn on- danwel offline worden aangeboden, alsmede voordelen en kortingen te kunnen verstrekken.

Iets zegt me alleen dat die tekst er vorige week nog niet stond. Dus eens zien hoe dat eerder zat. Gelukkig had het Internet Archive enkele oude teksten nog. In de oudste beschikbare versie (april 2010) vermeldde men héél wat anders:

Albert Heijn behandelt alle persoonsgegevens en uw spaar-, en boodschappengegevens strikt vertrouwelijk en gebruikt deze uitsluitend om u de voordelen te bieden die met de AH Bonuskaart verbonden zijn.

En ja, dat is ook hoe ik het me herinner uit 2006 of daaromtrent toen ik die kaart kreeg. De voordelen die je tóen kreeg waren korting op de Bonusaanbiedingen en een poging tot terugbezorgen van je verloren sleutelbos met bonuskaart eraan (en Justitie laten meekijken als dat gevorderd werd). Pas als je je apart registreerde bij de Mijn Voordeel dienst, kreeg je regelmatig persoonlijke kortingen, recepten en speciale acties.

Nu wordt dus in feite Mijn Voordeel over alle klanten uitgerold, als ik het goed zie. En dát is privacytechnisch iets nieuws. Toestemming is namelijk doelgebonden(*), oftewel dat je instemt met opslag in ruil voor toegang tot Bonusaanbiedingen, wil nog niet zeggen dat je instemt met profilering en gepersonaliseerde aanbiedingen.

Ik zie dus niet hoe de AH haar plan kan invoeren zonder apart aan bonuskaarthouders (pardon “houders van een AH Bonus Kaart®”) hiervoor toestemming te vragen. Dat zal niet zo moeilijk zijn natuurlijk gezien de worst (of andere voordeeltjes) die men de klant voorhoudt, maar het moet wel.

Arnoud<br/> Off-topic frustratie: mijn boek is ooit afgekeurd bij een universiteit als lesboek enkel omdat het hoofdstuk over privacy niet de term ‘doelbinding’ gebruikte.

“Volg-me-nietregister voldoet niet aan nieuwe privacywet”

Geplaatst op in Privacy, 9 reacties

Het cookieicoon is leuk, maar wie zich aan de nieuwe privacywet wil gaan houden heeft er niets aan. Dat is ongeveer de samenvatting van het advies dat de Europese privacytoezichthouders (pdf) vorige week uitbrachten.

Al een hele tijd wordt er gesteggeld over de nieuwe privacywet, met name op het gebied van cookies. Doel van de nieuwe privacyrichtlijn is namelijk onder meer het tracken en profilen van burgers aan banden te leggen. Daar is straks altijd toestemming voor nodig, ook (juist!) als dat langs indirecte weg gebeurt. Precies, via cookies dus.

Wie de privacyrichtlijn letterlijk leest – en zeker het Nederlandse wetsvoorstel dat erop gebaseerd is – ziet dat het er eigenlijk op neerkomt dat je voor elk cookie toestemming moet vragen als dat cookie ingezet wordt bij profiling of tracking. En dat gaat dus niet werken.

De marketingbranche heeft een alternatief ontwikkeld, en wel het icoon rechtsboven. Dit komt dan op of bij een advertentieblokje te staan. Wie zo’n advertentie ziet, kan op het icoon klikken en gaat dan naar Your Online Choices, waar hij kan zien welke cookies er al bezig zijn hem te tracken en welke firma’s dat allemaal (willen) doen. Tevens kan daar dan een einde aan worden gemaakt.

Volgens de privacytoezichthouders is dit echter absoluut onvoldoende. Ten eerste snapt op dit moment niemand wat dat icoon betekent, dus je wordt niet (zoals wettelijk vereist) adequaat geïnformeerd over wat er allemaal gebeurt. Ten tweede wordt alleen gesproken van “advertenties” terwijl er eigenlijk “gepersonaliseerde advertenties” zou moeten staan.

Maar, het allerbelangrijkste: zo’n icoon is natuurlijk een opt-out terwijl de wet een opt-in eist. Je bent al gedragsmatig geprofileerd tegen de tijd dat je dat icoon ziet, en daar heb je op dat moment nog geen toestemming voor gegeven.

Daar is natuurlijk wel een draai aan te geven: toon eerst alleen generieke advertenties, en bied het icoon als optie om expliciet het profileren/tracken aan te zetten zodat je alleen nog maar relevante advertenties kunt zien. Maar is “geen Libresseadvertenties meer voor mannen” genoeg incentive om naar zo’n site te gaan?

Nog even afgezien van het praktische punt dat de opt-out op die site niet adequaat blijkt te werken, en dat als ie dat wél doet mensen (net als bij het Bel-me-nietregister) massaal gaan opt-outen zonder aanziens des persoonsadvertentienetwerks zodat dan effectief het hele targeted advertising op z’n gat gaat.

Hebben jullie jezelf al ontvolgd op Your Online Choices? Of juist expliciet een volging aangezet?

Arnoud

Waarom verandert KLM steeds zijn prijzen bij mijn bezoeken?

Geplaatst op in Privacy, 9 reacties

klm-wereld-deal-aanbiedingen.jpgBij Luuk Koelman las ik over zijn frustratie met steeds wijzigende prijzen bij vervoersbedrijven:

Heb je bijvoorbeeld vijf keer dezelfde reis gecheckt, schotelt KLM je bij de zesde keer de dubbele prijs voor. Om vervolgens, bij de zevende keer weer de oude prijs te tonen. Een slimme manier om de twijfelde klant over de streep te trekken. Ik zie ze ertoe in staat, want de reisbranche is gek op ip-adressen.

Mag dat? Nou ja, in principe wel. Een bedrijf is niet verplicht om iedere klant dezelfde prijs te bieden, of zelfs maar dezelfde klant steeds dezelfde prijs. Formeel is een aanbod (zoals “vlieg naar New York voor 200 euro”) geldig totdat het is verworpen, en het afhaken bij het boekingsproces kun je zien als een “verwerping”. Je mag daarna dus een nieuw aanbod doen en dat mag gerust anders zijn.

Hier is het echter niet een verkoper zelf die ter plekke een mooie offerte in elkaar draait. Het is een geautomatiseerd proces, gebaseerd op onder meer je IP-adres, cookies die ze hebben achtergelaten en daaraan gekoppelde profielgegevens. En dan wordt het interessant, want dan kun je als bezoeker je op de Wet bescherming persoonsgegevens beroepen. Zo’n automatisch proces is immers een “verwerking van persoonsgegevens” en dan heb je allerlei rechten.

Je kunt dus KLM vragen wat ze van jou weten én hoe ze erbij komen dat de prijs soms ineens omhoog schiet. Ja, ook dat laatste. Immers, bij het inzagerecht onder de Wbp hoort ook

Desgevraagd doet de verantwoordelijke mededelingen omtrent de logica die ten grondslag ligt aan de geautomatiseerde verwerking van hem betreffende gegevens.

En die logica is nu net wat je hier wilt weten: wat is de logica achter vijf keer te horen dat het 100 euro kost, de zesde keer dat het 400 is en de zevende dat het weer 100 euro is?

Ik twijfel alleen of het antwoord – als je dat al krijgt – verder komt dan “op basis van uw profiel en overige relevante factoren bepalen we de best passende aanbieding”. Of, zoals Facebook deed, “dat mogen we niet zeggen op grond van de wet op de handelsgeheimen”.

Arnoud