Tag: Privacy

About Privacy

Subscribe Feeds

Overspel anoniem melden conform de algemene voorwaarden

Geplaatst op in Privacy, 18 reacties

onthul-overspel.pngDe site onthul-overspel.nl roept bezoekers op de liefde ‘recht’ te doen door vreemdgangers te ontmaskeren, las ik bij Nu.nl. De site is heel eenvoudig: je voert het emailadres van de bedrogen partner in op de site en hij of zij ontvangt een anonieme mail met daarin de door jou aangegeven omstandigheden plus de eventuele identiteit van de minnaar (m/v).

Normaal stel ik nu de vraag “mag dat”, maar in dit geval lijkt het antwoord me wel duidelijk. Ik werd echter geïntrigeerd door het AD-artikel, dat meldde

Of de persoon in kwestie inderdaad een geheime relatie heeft wordt niet gecontroleerd. Sterker nog: onthul-overspel.nl stelt in zijn algemene voorwaarden expliciet dat het niet verantwoordelijk is voor ‘negatieve consequenties in het leven van de betrokken partijen’

De voorwaarden er maar even bij gepakt. Ik moest héél hard lachen om deze passage tussen de gecopypaste standaardonzin:

Uw persoonlijke gegevens zijn veilig bij Onthul-overspel.nl Wij waarderen het vertrouwen dat u in ons stelt en wij zullen daarom uiterst zorgvuldig met uw gegevens omgaan.

Artikel 5 lijkt de kern te zijn van waar het om gaat:

  • Gebruikers (onthullers) van de diensten van Onthul-overspel.nl dienen aan de gangbare ethiek te voldoen met betrekking tot het respecteren van de rechten van derden en de rechten van de wet.
  • De informatie die de onthuller verstrekt dient exact en waarheidsgetrouw te zijn. De onthuller is volledig verantwoordelijk voor de mogelijke consequenties van het openbaren van de betreffende informatie op zijn leven of op het leven van andere internetgebruikers. De gebruiker erkent dat Onthul-overspel.nl op geen enkele wijze aansprakelijk kan worden gesteld, met name niet over uw auteursrecht, uw eer, de intimiteit van uw privéleven, die resulteren uit het verspreiden of bekendmaken van informatie over enige partij.
  • De onthuller wordt geacht in staat te zijn op ieder mogelijk moment bewijzen betreffende zijn onthulling aan te dragen. Op het moment van de door hem gedane onthulling accepteert de onthuller de volledige verantwoordelijkheid van de onthulling en van mogelijke foutieve informatie die door hem verstrekt is. Onthul-overspel.nl kan niet verantwoordelijk worden gehouden voor de juistheid of onjuistheid van de informatie en content die door gebruikers van de website of diensten van Onthul-overspel.nl worden verstrekt.
  • In het geval dat een partij Onthul-overspel.nl verantwoordelijk probeert te houden naar aanleiding van gedragingen van een gebruiker die niet conform zijn met de huidige Algemene Voorwaarden of de wet, biedt de betreffende gebruiker garantie aan Onthul-overspel.nl. Deze garantie houdt in dat de gebruiker alle mogelijke onkosten en honoraria van advocaten voor zijn rekening neemt.
  • Onthul-overspel.nl kan niet verantwoordelijk worden gehouden voor een foutieve bekendmaking van overspel of overdrijving van het overspel, zelfs als deze verifieerbaar, tastbaar en bewijsbaar is. Onthul-overspel.nl kan niet verantwoordelijk worden gehouden voor directe of indirecte negatieve consequenties in het leven van de betrokken partijen (personen) van de onthulling van het overspel.

Op zich zou ik hier graag een juridische analyse op doen, maar waar te beginnen? In feite komt het neer op “U mag mensen tippen over overspel met onze dienst, wij houden u anoniem maar u garandeert dat alle mails correct en juist zijn”. Dat lijkt me een nauwelijks nog realistisch te noemen garantie. Ik ben in ieder geval héél benieuwd hoe de exploitant de verzender van zo’n mail gaat gebruiken als de ontvanger de site aansprakelijk stelt voor een schadeclaim wegens bv. privacyschending of smaad.

Nu.nl meldt nog dat de site zich het recht toe-eigent de ingevoerde e-mailadressen voor onder meer commerciële activiteiten te gebruiken. Ik kan niet achterhalen waar dat staat, wie helpt? Ik zie alleen dit:

Zodra u Onthul-overspel.nl via diens site informatie verstrekt over personen die overspel plegen, gaat u ermee akkoord dat de betreffende informatie aan andere internetgebruikers zal worden verstrekt door Onthul-overspel.nl in het kader van de door Onthul-overspel.nl aangeboden diensten.

maar dat wordt gevolgd door “Dit betekent dat u ermee akkoord gaat dat de betreffende informatie aan het slachtoffer van het overspel zal worden verstrekt.” en sluit dus iedere andere verstrekking of gebruik van gegevens uit.

Ik heb het ook even getest: je krijgt een mail met daarin de zakelijke tekst

Helaas hebben we slecht nieuws voor u.

Een bekende van u heeft ons zojuist geïnformeerd dat uw partner vreemdgaat. Deze bekende wenst anoniem te blijven, maar wil u graag op de hoogte stellen van de omstandigheden van het overspel.

De onthuller heeft de omstandigheden beschreven en/of de naam van de minnaar/minnares vrijgegeven. Klik hier om meer te weten.

Als u gebruik maakt van de service van Onthuloverspel.nl, gaat u automatisch akkoord met de algemene voorwaarden die u kunt lezen op http://www.onthuloverspel.nl/algemene-voorwaarden

Wij hopen dat u dankzij de verstrekte informatie de waarheid zult ontdekken.

Ik zie daar verder geen reclame in. Ook als je klikt op de link, krijg je geen reclame. We wachten nog even af tot er ongevraagde commerciële mail in de inbox komt, en dan kan die meteen door naar Spamklacht.nl.

Arnoud

Linkedin gebruikt profielfoto’s in advertenties, mag dat?

Geplaatst op in Privacy, 19 reacties

LinkedIn plaatst content van leden bij ads van derden. Het zakelijke sociale netwerk heeft zichzelf het recht gegeven om content van gebruikers te plaatsen bij advertenties, meldde Webwereld gisteren. Het gaat zo te zien met name om profielfoto’s en -teksten, zoals in dit plaatje dat Marketaire vond:

linkedin-new-job.png

Voor het gemak staat het aanvinkvakje onder Settings > Account > Manage Social Advertising alvast maar aangevinkt. (Ik wacht wel even tot u het uitgezet heeft.)

Mag Linkedin dat zomaar doen? Van hun eigen voorwaarden mag het sinds kort wel:

Create and distribute advertising relevant to your or your network’s LinkedIn experience. If you share your interactions on LinkedIn, for example, when you recommend a product, follow a company, establish or update your profile, join a Group, etc., LinkedIn may use these actions to create social ads for your network on LinkedIn using your profile photo and name. You can control whether LinkedIn uses your name and picture in social ads here.

en hier heeft u stilzwijgend mee ingestemd toen u de site na 10 juni bleef gebruiken. Ja, ik ook. Kennelijk.

Naar Nederlands recht lijkt me dit toch moeizaam te verdedigen. Voor gebruik van persoonsgegevens is normaliter ondubbelzinnige toestemming nodig – denk maar aan de cookiediscussie. Er zijn uitzonderingen: je hoeft niet te vragen om toestemming wanneer het gebruik noodzakelijk is voor het leveren van de dienst, of wanneer je een zwaarwegende reden hebt die boven de privacy gaat (bv. een nieuwsbelang). Maar die lijken me hier niet op te gaan.

Ik zou dus zeggen dat Linkedin apart toestemming moet vragen voor dit gebruik, en dat ze niet kan volstaan met een zinnetje in de privacypolicy. En tot die aparte toestemming er is, dient dit gebruik uit te staan. En ja, ik weet dat gratis diensten advertenties nodig hebben en dat sociale ads hoger scoren maar dit krijg je ervan als je toestemming als hoofdregel in de privacywet zet.

Arnoud

Mogen foto’s van een festival gepubliceerd worden?

Geplaatst op in Privacy, 38 reacties

Een lezer wees me op de dienst Oypo waar fotografen foto’s kunnen verkopen die ze op festivals gemaakt hebben. Het idee is heel simpel: neem fotografen het gedoe met verkopen/leveren van foto’s uit handen. Ze maken foto’s, geven mensen een kaartje waar Oypo op staat, en daar kan dan worden besteld. Oypo regelt het aanleveren, betalen en de vergoeding voor de fotograaf. Mooi, alleen: mag dat wel van het portretrecht?

Het portretrecht maakt onderscheid tussen twee situaties. Wanneer geposeerd is voor de foto, en deze dus in opdracht is gemaakt, is toestemming nodig voor verhandelen of publiceren van de foto. Zo’n foto mag dus via Oypo alleen worden verkocht aan de persoon die er op staat.

De meeste festivalfoto’s zullen eerder spontane situaties betreffen. Dergelijke foto’s mogen worden verhandeld zonder aparte toestemming, tenzij er een privacybelang van de geportretteerde is dat zwaarder zou wegen. Dat hangt dus van de foto af: een gewoon dansend iemand kan eigenlijk geen bezwaar maken, maar iemand die ziek in een hoekje zit of zich met de partner (m/v) terugtrekt voor een intiem moment kan wel degelijk protesteren tegen het publiceren of verhandelen van deze foto’s.

Bij minderjarigen zou ik terughoudender zijn: hun privacybelang wordt eerder erkend dan voor volwassenen. De ouders kunnen in principe altijd eisen dat de foto wordt verwijderd met een beroep op de privacy van hun kind.

Het valt me nog op dat de voorwaarden van Oypo vermelden

2.3.1.Bij acceptatie van de Algemene Voorwaarden erkent Gebruiker dat Aanbieder niet verantwoordelijk kan worden gehouden voor openbaar gemaakt materiaal van Gebruikers en dat Aanbieder niet het materiaal controleert dat door Gebruikers via Oypo wordt geopenbaard.

maar ik denk dat dat alleen gaat over de dienst van Oypo zelf en niet het portretrecht op de geplaatste foto’s. Artikel 7.6 biedt een mogelijkheid om te eisen dat je persoonsgegevens – dus ook je foto – verwijderd worden van de site. Update (3/8) Oypo bevestigt dit in de comments, en legt tevens uit hoe zij handelt bij klachten.

Arnoud

Mag Track en Protect op een gestolen iPhone als bewijs worden gebruikt?

Geplaatst op in Privacy, Security, 25 reacties

track-protect.pngEen lezer vroeg me:

Ik wil proberen de gestolen iPhone van een vriend terug te halen. De iPhone is voorzien van het programma Track and Protect. Hiermee kan je je telefoon volgen op internet. Het programmaatje zal kennelijk de aanwezige gps gebruiken of de zendmasten in de omgeving om aan te geven waar de telefoon verblijft. Ook zie je onder meer het nieuwe telefoonnummer wat wordt gebruikt, het imsi nummer en de naam van de provider.

Nu vroeg ik me af, stel ik weet hiermee informatie over de dief te achterhalen. Mag ik dat dan aan de politie geven en is dat bruikbaar als bewijs?

Ja, die informatie is bruikbaar als bewijs. In Nederland bestaat het concept van ‘illegaal verkregen bewijs’ niet wanneer het gaat om wat burgers aandragen. Zolang je dus niet in opdracht van Justitie deze acties uitvoert, is het gevonden bewijs bruikbaar in een straf- of civiele procedure.

De Hoge Raad heeft herhaaldelijk uitgemaakt dat bewijs dat burgers verkrijgen langs illegale weg niet zonder meer tot uitsluiting van dat bewijs zal leiden. In 2003 werd dit nog expliciet gesteld door de Hoge Raad. Zolang het OM geen wetenschap of bemoeienis had van dit bewijsverkrijgen, dan is niet-ontvankelijkheid niet aan de orde.

Wanneer je dus bijvoorbeeld in strijd met de wet een verborgen camera hanteert, wil dat nog niet zeggen dat de politie de beelden niet mag gebruiken. Uit een andere zaak:

ook indien [verweerster] aldus een inbreuk op het privé leven van [eiseres] zou hebben gemaakt, dit nog niet betekent dat dit bewijsmateriaal in een procedure als de onderhavige niet mag worden gebruikt.

De advocaat-generaal had daarbij nog het argument dat een ander oordeel er op neer zou komen “dat de weg wordt vrijgemaakt voor daden die achterwege behoren te blijven.” Het Hof Den Bosch oordeelde in 2003 hetzelfde.

In 2005 oordeelde de HR dat het fouilleren door een beveiliger van een winkeldief (na diens aanhouding door de beveiliger) onrechtmatig was. Een beveiliger mag alleen aanhouden bij betrapping op staande voet, maar niet zelf gaan fouilleren. Nu dat toch was gebeurd, had dat wellicht kunnen leiden tot strafvermindering bij wijze van compensatie voor de privacyschending. Er was alleen geen bewijs dat er hier daadwerkelijk nadeel was geleden door de verdachte.

Update (25 maart 2012) in dit arrest vond de HR het geen bezwaar dat een private beveiliger iemand fouilleerde en daarbij softdrugs had gevonden. De arrestatie en het bewijs waren rechtmatig.

De enkele grond dat die particuliere beveiliger de BH van de verdachte heeft opgelicht en aan de binnenzijde heeft bevoeld, tot welke handelingen de gegeven toestemming zich volgens de verdachte niet zou hebben uitgestrekt, kan niet leiden tot bewijsuitsluiting van het resultaat van deze fouillering. Immers, de in het Wetboek van Strafvordering vervatte normering met betrekking tot onderzoek aan de kleding en het lichaam richt zich niet tegen de particuliere beveiliger die een burger aan de kleding onderzoekt.

Ik kan geen uitspraken vinden die specifiek over volgen en bewijs vergaren per computer gaan, maar ik houd me aanbevolen. Ik kan me alleen moeilijk voorstellen dat daar een andere lijn zou worden gevolgd. Update (13:10) 10a van der Linden verwijst in de comments naar een arrest over een particulier die het netwerk van Zeelandnet afzocht en een computer met shared disk met kinderporno aantrof, waarna hij aangifte deed. Het Hof:

Het door een particulier naar aanleiding van een verzoek van de politie vrijwillig aan deze verstrekken van een IP-adres van een computer waarmee men verbinding heeft, is op zich niet onrechtmatig. De instructie van de getuige door de politie over de wijze waarop hij het IP-adres van de computer waarmee hij in verbinding stond op zijn scherm kon krijgen, betreft een eenvoudige reeks van handelingen die bij uitvoering op zichzelf geen bijzondere inbreuk met zich brengt op de privacy van een ander.

Update (11 juli): via ITenRecht vond ik nog een arrest waarin

ook indien het er voor zou moeten worden gehouden dat het door ASR registreren van de aankomst- en vertrektijden van haar werknemers, waaronder [appellant], in strijd is met de Wbp en/of de WOR en dat ASR daarmee onrechtmatig jegens [appellant] heeft gehandeld” zulks nog niet betekent dat Nova Dia onrechtmatig jegens [appellant] heeft gehandeld door de betreffende gegevens in de onderhavige procedure aan haar vordering ten grondslag te leggen.

De vraag zal eerder zijn hoe het bewijs moet worden gewaardeerd. Hoe weten we dat de T&P informatie bruikbaar genoeg is?

Arnoud

Wat mag een provider nog als netneutraliteit wet wordt?

Geplaatst op in Ondernemingsvrijheid, Privacy, 35 reacties

dpi-deep-packet-inspectionRecent is netneutraliteit expliciet wettelijk vastgelegd. De Eerste Kamer moet er nog over stemmen, maar dat lijkt slechts een hamerstuk te gaan worden. Vorige week blogde ik over het gepuzzel met de cookiewet, die in hetzelfde wetsvoorstel is overgenomen. Puzzelen over de regels rond netneutraliteit hoeft niet meer, want het wetsvoorstel zoals aangeboden aan de Eerste Kamer is nu gewoon beschikbaar. Welke regels gelden er nu voor internetproviders?

Het belangrijkste artikel over netneutraliteit is artikel 7.4a geworden. Dit stelt in klare taal (nou ja, voor juristen dan): aanbieders van openbare elektronische communicatienetwerken waarover internettoegangsdiensten worden geleverd en aanbieders van internettoegangsdiensten belemmeren of vertragen geen diensten of toepassingen op het internet. Het gaat dus specifiek en alleen over internettoegang, voor andere diensten (bijvoorbeeld telefonie of televisie) geldt dus geen netneutraliteit. (Opmerkelijk genoeg bevat het wetsvoorstel geen definitie van ‘internet’, terwijl de Telecommunicatiewet zo ongeveer elk woord definieert dat erin voorkomt.)

Natuurlijk zijn er uitzonderingen op deze algemene regel. Deze zijn beperkt geformuleerd:

  1. om de gevolgen van congestie te beperken, waarbij gelijke soorten verkeer gelijk worden behandeld;
  2. ten behoeve van de integriteit en de veiligheid van het netwerk en de dienst van de betrokken aanbieder of het randapparaat van de eindgebruiker;
  3. om de doorgifte van ongevraagde communicatie als bedoeld in artikel 11.7, eerste lid, aan een eindgebruiker te beperken, mits de eindgebruiker daarvoor voorafgaand toestemming heeft verleend;
  4. ter uitvoering van een wettelijk voorschrift of rechterlijk bevel.

(In de wetstekst staat nog een item e. Dat is het SGP-amendement over filters met ideologische motieven, maar dat is ondertussen via een lompe hack er weer uit gehaald.)

Item a roept natuurlijk de vraag op wat “gelijke soorten verkeer” dan wel zijn. Skype is niet gelijksoortig met e-mail, en Youtube niet met Nu.nl. Het afknijpen van bijvoorbeeld streaming video via internet is dan ook toegestaan bij congestieproblemen, mits maar alle streamingvideodiensten worden afgeknepen en niet alleen die van de concurrentie. Ook toegestaan is bijvoorbeeld de snelheid van internet in het algemeen te beperken op drukke momenten, of om de capaciteit op de lijn met prioriteit in te zetten voor de eigen video-on-demanddienst die buiten internet om loopt. Tevens mag de provider premiumabonnementen invoeren waarvan het verkeer voorrang krijgt.

Item b gaat erg belangrijk worden voor providers die maatregelen willen nemen tegen malware en inkomende of uitgaande hackpogingen. Het categorisch blokkeren van bijvoorbeeld poort 139 (Samba) omdat daar vaak misbruik van wordt gemaakt, of een PC in quarantaine gooien zodra er spam of malware uit komt, is een probleem. De wet eist namelijk dat wanneer het gaat om verkeer afkomstig van een eindgebruiker, de provider deze eerst moet contacteren en gelegenheid moet geven de inbreuk te staken. Dat moet dus vóór het afsluiten gebeuren.

Pas als “wegens de vereiste spoed” dit niet haalbaar is, mag er eerst gehandeld en dan gemeld worden. Maar ik denk niet dat je mag zeggen “malware is vervelend dus er is vereiste spoed”. Spoedgevallen lijken me eerder zalen als ddos-aanvallen waar de klant aan meedoet, dat richt nú grote schade aan en moet dus nú gestaakt worden. Een grote spamrun is misschien ook wel spoedhandelwaardig.

Item c stelt kort gezegd dat een spamfilter alleen nog mag als de klant daar expliciet mee ingestemd heeft. Wat mij betreft had dat niet gehoeven; spam is categorisch verboden in artikel 11.7 Telecommunicatiewet, en het lijkt me geen probleem om toe te staan dat verboden ongevraagde communicatie sowieso geblokkeerd mag worden. Maar het is wel netjes en principieel juist natuurlijk. Al snap ik niet waarom spam wel en malware niet deze uitzonderingspositie krijgt.

Ook erg belangrijk is lid 3 van dit wetsartikel:

Aanbieders van internettoegangsdiensten stellen de hoogte van tarieven voor internettoegangsdiensten niet afhankelijk van de diensten en toepassingen die via deze diensten worden aangeboden of gebruikt.

Effectief mag een aanbieder dus alleen nog op de hoeveelheid dataverkeer afrekenen. Een “onbeperkt / fair use”-constructie kan denk ik ook nog wel, hoewel ik erbij blijf dat deze snel een oneerlijke handelspraktijk oplevert. Andere afrekenmodellen voor internetproviders kan ik niet echt bedenken. Ja, hij mag de up- en/of downloadsnelheid in het algemeen differentiëren (een supersneldownloadpakket of een goedkoop pakket voor mailende moeders – hoi mam!). Maar iets anders kan ik niet bedenken; wie het weet mag het zeggen!

Aanverwant is het nieuwe artikel 7.6a, dat beperkingen oplegt aan de gronden voor opzeggen van een internetabonnement door de provider. Kort gezegd mag dat alleen nog

  1. op verzoek van de abonnee;
  2. bij een tekortkoming in de nakoming van de betalingsverplichting door de abonnee of faillissement van de abonnee;
  3. bij bedrog in de zin van artikel 3:44 van het Burgerlijk Wetboek door de abonnee;
  4. wanneer de looptijd van de overeenkomst van bepaalde duur tot levering van de internettoegangsdienst afloopt en de overeenkomst met instemming van de abonnee niet wordt verlengd of vernieuwd;
  5. ter uitvoering van een wettelijk voorschrift of rechterlijk bevel; en
  6. bij overmacht en onvoorziene omstandigheden in de zin van artikel 6:258 van het Burgerlijk Wetboek.

Dit artikel is bedoeld om “lichtvaardig afsluiten” van klanten te kunnen blokkeren. Een internetprovider kan dus niet meer eigen regels verzinnen in de algemene voorwaarden en mensen op grond daarvan afsluiten. En ook is het hiermee onmogelijk geworden om mensen af te sluiten die auteursrechten schenden, tenzij een rechter oordeelt dat dit een gepaste sanctie is.

In het geval van bedrog (bijvoorbeeld een vals adres opgeven) heeft de provider de bewijslast: hij moet schriftelijk de klant informeren en hem een redelijke termijn gunnen om te reageren. Pas als daar niets uit komt, mag de provider tot afsluiting overgaan.

Bij het niet-betalen geldt overigens dat de provider nog steeds niet meteen mag afsluiten. De gewone regels van niet-nakoming gelden ook hier. De abonnee moet eerst in gebreke zijn gesteld en krijgt hij de gelegenheid het gebrek te herstellen en alsnog aan zijn betalingsverplichting te voldoen. (Waarom er dan niet gewoon gezegd is “de abonnee in verzuim is met zijn betalingsverplichting” in plaats van het generieke woord “tekortkoming”, weet ik niet. Voer voor iemands afstudeerscriptie.)

De regels over netneutraliteit treden niet meteen in werking. Ze gaan pas gelden voor abonnementen die een jaar na inwerkingtreding van de wet actief zijn. Ik ben benieuwd of KPN en collega’s dan ook tot die tijd gaan wachten met de aangekondigde prijsverhogingen. Vodafone in ieder geval niet.

Heel veel stof tot lezen dit, en de exacte implicaties zullen nog heel wat discussie geven. Misschien moest ik er maar eens een studiemiddag of workshop over organiseren. Zouden jullie daarbij willen zijn? En welke concrete vragen moeten we dan behandelen?

Arnoud

Puzzelen met de cookiewet: wat is het nou geworden?

Geplaatst op in Privacy, 67 reacties

Wat mag er nu wel en niet onder de nieuwe cookiewet? Die vraag kreeg ik vele malen de afgelopen week. Het was ook een onoverzichtelijk zootje, de procedure rond de aanpassing van de Telecommunicatiewet. En er is nog geen geconsolideerde tekst beschikbaar met de definitieve versie van dit wetsartikel. Je moet echt het dossier door en dat naast de apart gepubliceerde stemmingsuitslagen leggen om te zien wat nu concreet het wetsvoorstel wordt.

Het cookieartikel in de Telecommunicatiewet heeft als nummer 11.7a gekregen, en komt daarmee direct na het spamverbod. Volgens mijn reconstructie gaat het er dan als volgt uitzien (met onderstreept en doorgehaald de wijzigingen):

Artikel 11.7a

1. Onverminderd de Wet bescherming persoonsgegevens dient een ieder die door middel van elektronische communicatienetwerken toegang wenst te verkrijgen tot gegevens die zijn opgeslagen in de randapparatuur van een gebruiker dan wel gegevens wenst op te slaan in de randapparatuur van de gebruiker:

a. de gebruiker duidelijke en volledige informatie te verstrekken overeenkomstig de Wet bescherming persoonsgegevens, en in ieder geval omtrent de doeleinden waarvoor men toegang wenst te verkrijgen tot de desbetreffende gegevens dan wel waarvoor men gegevens wenst op te slaan, en
b. van de gebruiker ondubbelzinnige toestemming te hebben verkregen voor de desbetreffende handeling.

Een handeling als bedoeld in de aanhef, die tot doel heeft gegevens over het gebruik van verschillende diensten van de informatiemaatschappij door de gebruiker of de abonnee te verzamelen, combineren of analyseren voor commerciële, charitatieve of ideële doeleinden, wordt vermoed een verwerking van persoonsgegevens te zijn, als bedoeld in artikel 1, onderdeel b, van de Wet bescherming persoonsgegevens.

2. De in het eerste lid, onder a en b, genoemde vereisten zijn ook van toepassing in het geval op een andere wijze dan door middel van een elektronisch communicatienetwerk wordt bewerkstelligd dat via een elektronisch communicatienetwerk gegevens worden opgeslagen of toegang wordt verleend tot op het randapparaat opgeslagen gegevens.

3. Het bepaalde in het eerste en tweede lid is niet van toepassing, voor zover het de technische opslag of toegang tot gegevens betreft met als uitsluitend doel:

a. de communicatie over een elektronisch communicatienetwerk uit te voeren, of
b. de door de abonnee of gebruiker gevraagde dienst van de informatiemaatschappij te leveren en de opslag of toegang tot gegevens daarvoor strikt noodzakelijk is.

4. Bij algemene maatregel van bestuur kunnen in overeenstemming met Onze Minister van Veiligheid en Justitie nadere regels worden gegeven met betrekking tot de in het eerste lid, onder a en b, genoemde vereisten. Het College bescherming persoonsgegevens wordt om advies gevraagd over een ontwerp van bedoelde algemene maatregel van bestuur.

Het stuk over ondubbelzinnige toestemming was de kern van de zaak. Punt was hier dat de Europese richtlijn spreekt van ’toestemming’ maar de ministerraad in eerste instantie koos voor “ondubbelzinnige” toestemming. Dat leverde felle protesten op, waarna het wetsvoorstel formeel werd ingediend met alleen “toestemming”.

Uiteindelijk is de wet toch aangenomen met een expliciet toestemmingsvereiste, maar dan indirect vastgelegd. De crux zit hem in het feit dat artikel 11.1(g) Telecommunicatiewet bepaalt dat onder «toestemming» in de Telecommunicatiewet moet worden verstaan «toestemming» als bedoeld in de Wet bescherming persoonsgegevens. Oftewel:

elke vrije, specifieke en op informatie berustende wilsuiting waarmee de betrokkene aanvaardt dat hem betreffende persoonsgegevens worden verwerkt;

Dat biedt iets meer ruimte dan de originele tekst die expliciet ondubbelzinnig toestemming wilde hebben. Echter, er zal wel degelijk nog iets gevraagd moeten worden. De cookieinstellingen van huidige browsers voldoen niet, zo verklaarde de minister eerder. Met name omdat ze standaard alle cookies accepteren, maar ook omdat je vaak alleen grofmazig wel/geen cookies kunt accepteren of alleen heel moeilijk de cookies van zeg DoubleClick of Facebook kunt weren. (En Flashcookies vaak al helemaal niet.)

cookie-icoon.pngEen sprankje hoop voor de marketingbranche:

De toestemming hoeft slechts eenmalig verkregen te worden en dus niet bij elke handeling opnieuw. De aanbieder kan die toestemming zelfstandig verkrijgen van de gebruiker, maar ook collectief. Dat laatste vergt voor de gebruiker slechts een enkele handeling, waarna ongestoord gebruik kan worden gemaakt van het internet en andere diensten. Het is aan de sector zelf om dit slim te organiseren. Essentieel is dat de toestemming ondubbelzinnig is, zoals bedoeld in de Wet bescherming persoonsgegevens.

Er mag dus niet worden gewerkt met een puur passief systeem waarbij de gebruiker zelf maar moet ontdekken of er wellicht cookies op zijn PC staan en wat daarmee gebeurt. Maar een actief systeem van informeren zodra het gebeurt in combinatie met een knop “hou daarmee op” zou er denk ik wel onder kunnen vallen.

De zinsnede “onverminderd de Wet bescherming persoonsgegevens” komt uit amendement 39 (aangenomen 21 juni) en

voorkomt dat de indruk ontstaat dat met het verkrijgen van toestemming voor het plaatsen of lezen van een cookie op grond van artikel 11.7a Tw ook een grond voor verwerking van de met deze cookie verzamelde persoonsgegevens in de zin van de Wbp ontstaat. Dat is uitdrukkelijk niet het geval.

Er moet dus naast het plaatsen van cookies apart (uitdrukkelijke) toestemming worden gevraagd voor het aanmaken van profielen en dergelijke waarmee persoonsgegevens van gebruikers kunnen worden vergaard. Het onderstreepte blok tekst (uit datzelfde amendement) legt daarbij de bewijslast ook nog eens bij de site, die moet bewijzen dat het cookie níet wordt ingezet om persoonsgegevens te verwerken. Kan hij dat bewijs niet rondkrijgen, dan wordt zijn cookie geacht wél een privacyschending op te leveren.

Uitgezonderd van dit alles zijn de cookies die vallen onder lid 3, oftewel de cookies met als doel communicatie mogelijk te maken of die noodzakelijk zijn om een dienst te leveren. Daaronder vallen volgens de minister onder meer cookies die instellingen onthouden:

Deze functie zorgt er bijvoorbeeld voor dat de door de gebruiker zelf gekozen persoonlijke instellingen en voorkeuren van een site (zoals de taal) worden «onthouden» bij het browsen binnen het bezochte internetdomein en bij herhaald bezoek aan dit domein. … zonder deze technische opslag of toegang tot gegevens, is communicatie met gebruik van voorkeuren en instellingen niet mogelijk dan wel uitermate moeilijk.

Hetzelfde geldt voor cookies die de bekende virtuele winkelwagentjes en bijbehorende transacties mogelijk maken of die onthouden dat je echt niet mee wilt doen aan die enquête over die website. Zolang deze cookies nergens anders voor worden gebruikt, vallen ze onder lid 3 en is er dus geen aparte toestemming voor nodig.

Overigens geldt de eis van toestemming niet alleen voor cookies. De minister noemde:

(flash)cookies, Java-scripts (sic), webtaps, spionagesoftware of soortgelijke programmatuur (waaronder zogeheten dialerpprogramma’s en inbelprogramma’s)

Met name de Javascripts fascineren me. Ik zie even niet hoe je met een Javascript meer kunt doen dan een dienst mogelijk maken. Worden er daadwerkelijk JS-applicaties gebruikt om gebruikers te tracken, of om überhaupt iets meer te doen dan alleen functionaliteit van de site mogelijk te maken?

Arnoud

Mag een bedrijf nou wel of niet gesprekken opnemen?

Geplaatst op in Privacy, 43 reacties

opnemen-gesprek-voicelogEen lezer vroeg me

Op je site schrijf je dat wanneer je zelf deelneemt aan het gesprek, je niet hoeft te melden dat je het opneemt. Echter, ik las bij ConsuWijzer iets tegenstrijdigs, namelijk dat een bedrijf het altijd moet melden wanneer zij het gesprek opneemt. Wie heeft er nu gelijk?

We hebben allebei gelijk. 🙂 Het opnemen is op zichzelf eigenlijk altijd toegestaan als je gesprekspartner bent. Je hoeft het dan niet te melden. Echter, als je structureel gesprekken opneemt en deze uitwerkt en archiveert in het kader van bedrijfsvoering dan valt dit onder het kopje “verwerking van persoonsgegevens”.

Een geluidsopname die wordt gearchiveerd in combinatie met identificerende gegevens van een klant, is namelijk een persoonsgegeven. Door ze structureel op te slaan, maak je een bestand met persoonsgegevens in de zin van de Wet bescherming persoonsgegevens. En dan is het inderdaad verplicht de betrokken wederpartij te melden dat je dit doet, en mensen inzagerecht geven in wat er over hen opgeslagen wordt.

Een bedrijf is verplicht een kopie van haar voicelogs te geven aan de klant als ze deze structureel verzamelt (art. 35 Wet Bescherming Persoonsgegevens. De Hoge Raad bepaalde in 2007 dat het recht op inzage tevens omvatte het recht op transcripties van opgenomen telefoongesprekken omvatte. Ook als het bedrijf dan kosten moet maken:

Het feit dat Dexia kosten moet maken om aan [verweerder] kopieen en transcripties te kunnen verstrekken, en het feit dat er enige tijd gemoeid is met het traceren van de telefoongesprekken met [verweerder], leveren geen bijzondere omstandigheden op als hier bedoeld.

Met de ‘hier’ doelt men op artikel 43, dat bepaalt dat het recht van inzage niet geldt bij bepaalde bijzondere omstandigheden, waaronder onder meer valt dat de inspanning niet redelijkerwijs van je gevergd kan worden.

In een rechtszaak uit 2008 bepaalde de rechter dat een opname van een telefoongesprek niet zomaar als bewijs gebruikt kon worden. Deze zou te eenvoudig te manipuleren zijn. In andere zaken werd een voicelog wel als bewijs aanvaard, hoewel aan de bruikbaarheid nog wel eens getwijfeld kan worden.

Arnoud

Mag het printgebruik op kantoor gemonitord worden?

Geplaatst op in Privacy, 33 reacties

Een lezer vroeg me:

Bij ons op de afdeling hebben we gedeelde printers, waar je je printjobs kunt uitdraaien na aanmelden met je badge. Nu kwam ik erachter dat de IT-afdeling daarmee precies bijhoudt wie wat print, en daar maandelijks rapportjes van rondstuurt naar de afdelingsmanagers. Dit omdat de kosten van printen aan elke afdeling intern doorbelast wordt. Maar mijn manager kan dus precies zien hoe veel ik print! Mag dat zomaar?

Voor het bijhouden van printgedrag geldt hetzelfde als alle andere privacygevoelige logging- en monitoractiviteiten op het werk. Dit dient in principe geanonimiseerd te gebeuren, tenzij er een gegronde reden is om een specifieke persoon onder de loep te nemen. En als men dat wil doen, moet in een privacyreglement (IT-reglement) een clausule over dergelijk monitoren opgenomen zijn. En dat reglement moet dan weer door de ondernemingsraad goedgekeurd zijn.

Persoonlijk zou ik niet weten waarom een manager per persoon zou willen weten wat er is geprint, zeker niet als de rapportage puur over de kosten gaat. Dan is alleen van belang hoe veel er totaal is geprint en wat dat kost. Het lijkt me dat de IT-afdeling vrij eenvoudig de rapporten moet kunnen aggregeren tot afdelingsniveau en dat rondsturen in plaats van de individuele rapportages.

Natuurlijk zijn er mensen die de bedrijfsprinters gebruiken om privéprintjes te maken. Dat kost dan hier aantoonbaar geld, en daar kun je mensen op aanspreken. Als er dus een IT-reglement is dat de bevoegdheid biedt om bij een vermoeden van misbruik individuele gegevens op te vragen, dan kan daarmee de veelprivéprinter worden opgespoord en aangesproken. Maar wederom: dat mag niet structureel en vooraf (“eens zien wat Jan deze week allemaal print”), het mag echt pas achteraf bij een vermoeden van misbruik (“waar komt die piek op vrijdag vandaan”).

Ongetwijfeld zitten er nu managers mee te lezen die koken van woede: mensen gaan onder het mom van privacy nu gratis privé printen op het werk en dat mag je niet detecteren. Maar a) hoe duur is dat nu écht en b) kost het je niet veel meer om dat allemaal op te sporen en aan te pakken? Nog even afgezien van de werksfeer die je dan totaal verpest.

Arnoud

Spitsnieuws mag ex-kamerlid niet langer pornobaron noemen

Geplaatst op in Privacy, Uitingsvrijheid, 19 reacties

pornobaron-spitsnieuws.pngSpitsnieuws mag een ex-Tweede Kamerlid van de PVV niet langer ‘pornobaron’ noemen. Dat bepaalde de rechtbank in kort geding vorige week. De man werkte bij een internetbedrijf dat diensten leverde voor adult service providers, maar was niet zelf betrokken bij de inhoud. Daarom is die titel tendentieus en nodeloos kwetsend, en moeten de berichten uit het online archief van Spitsnieuws gehaald.

In berichten bij Spitsnieuws en enkele andere media werd de man consequent als ‘pornobaron’ aangemerkt omdat de bedrijven waar hij werkte, veel pornosites hostten en ook infrastructuur (inclusief billing) voor sekslijnen aanboden. Dat was niet genoeg voor deze conclusie, oordeelt de rechtbank. Men leunt daarbij zwaar op een uitspraak van de Raad voor de Journalistiek die in januari oordeelde dat de grenzen overschreden waren van hetgeen, gelet op de eisen van journalistieke verantwoordelijkheid, maatschappelijk aanvaardbaar is.

Ook lijkt uit te maken dat de diensten die deze bedrijven aanboden, “eerder erotisch dan pornografisch” zijn. Het verschil ontgaat me. En bovendien: spreek je dan niet eerder van softporno dan van erotiek?

Hoe dan ook, er zijn te weinig feiten om te mogen zeggen -zelfs bij wijze van ironische overdrijving- dat meneer een pornobaron of ‘koning van de online porno’ is. En omdat hij naar verwachting last zal hebben van het archief van Spitsnieuws wanneer mensen hem googelen, vindt de rechtbank het gepast dat Spitsnieuws haar archief opschoont.

4.11. [eiser] heeft er het meeste belang bij ” en dit belang is tevens spoedeisend ” dat hij in de toekomst niet langer als “pornobaron” en “koning van de online porno” wordt aangeduid en dat hij niet in samenhang met deze termen ‘naar boven komt” indien bezoekers van het internet naar hem op zoek zijn in het digitale archief van Spitsnieuws.

Wel wordt de vordering beperkt tot berichten waarin zijn naam wordt genoemd en een term wordt gebruikt waarin ‘porno’ opgenomen is. De rechtbank vindt niet dat hiermee sprake is van censuur, want als er nieuwe feiten opduiken die dergelijke termen wél rechtvaardigen, dan mag Spitsnieuws daar alsnog over rapporteren. Ook mag men melden dat de ex-politicus ooit in verband is gebracht met porno, alleen mogen daarbij de termen “pornobaron”, “koning van de online porno” en dergelijke niet vallen.

Een rectificatie vindt de rechtbank te erg:

Een rectificatie zoals gevorderd onder II wordt in de gegeven omstandigheden niet proportioneel geacht, mede gezien de relatief geringe omvang van de gewraakte artikelen en gezien de min of meer terloopse wijze waarop de termen “pornobaron” en “koning van de online porno” in die artikelen zijn opgenomen.

Spitsnieuws zelf ziet het als gelijkspel omdat ze niet hoeven te rectificeren maar wel moeten weghalen.

Ik moet zeggen, ik vind zelf rectificeren een beter middel dan weghalen. Het uitpoetsen van uitingen gaat véél verder dan er een kadertje boven zetten “Dit bericht is onrechtmatig, zie vonnis Rb. Amsterdam”. Al was het maar omdat je bij een gerectificeerd artikel de bron nog hebt, en erop terug kunt komen als die nieuwe feiten er blijken te zijn. Wordt het artikel weggepoetst, hoe kun je er dan ooit nog op voortbouwen?

Update (22 december) van het Hof mag het wel. Sharpe is een persoon die “de publieke/politieke arena heeft betreden” en dat mogelijk weer gaat doen, en daar mag je dan opmerkelijke feiten over melden.

Basismedia c.s. wijzen er in dit verband terecht op dat waar het de achtergronden/loopbaan van een politicus (in spe) betreft het belang van de pers om hierover vrijelijk te kunnen rapporteren zwaar weegt, alsmede dat de betrokkene, zeker waar het uitingen betreft omtrent zijn persoon die aan het publieke debatkunnen bijdragen, over het algemeen meer heeft te dulden dan de doorsnee burger. Aangenomen moet worden dat daarbij enige overdrijving is toegestaan.

Ik ben benieuwd of de Spitsnieuwsarchieven nu weer in ere hersteld gaan worden.

Arnoud

KPN inspecteert dataverkeer diep, mag dat?

Geplaatst op in Ondernemingsvrijheid, Privacy, 108 reacties

deep-packet-inspection.pngOMGWTFBBQ DPI. KPN heeft in een sessie met investeerders toegegeven dat het al maandenlang de omstreden deep packet inspection-technologie heeft gebruikt op zijn mobiele netwerk, meldde Tweakers gisteren. Doel is voip-verkeer op het mobiele netwerk te herkennen en apart te factureren. In damage control modus meldt KPN geen DPI op de inhoud te doen, maar alleen het soort dataverkeer te analyseren. Is ze daarmee toch strafbaar?

Wat KPN met de DPI technologie doet, is volgens eigen zeggen het analyseren van het soort dataverkeer om vast te stellen welke diensten mensen gebruiken. Er worden geen gesprekken inhoudelijk geanalyseerd. In het kader van de discussie over netpartijdigheid is het duidelijk dat het doel hiervan is om abonnees apart te kunnen factureren voor diverse types gesprekken.

Nu heeft de strafwet diverse artikelen over het aftappen van dataverkeer. Het is inderdaad strafbaar om gesprekken af te luisteren (art. 139a lid 1 Strafrecht) als je daar geen deelnemer aan bent. Maar ook als je niet de inhoud van gesprekken beluistert, kun je strafbaar bezig zijn. Het meer algemene artikel 139c lid 1 Strafrecht verbiedt namelijk

opzettelijk en wederrechtelijk met een technisch hulpmiddel gegevens aftappen of opnemen die niet voor hem bestemd zijn en die worden verwerkt of overgedragen door middel van telecommunicatie of door middel van een geautomatiseerd werk.

Hier val je ook onder als je niet de gesprekken reconstrueert en leest maar alleen op netwerkniveau naar de pakketten kijkt. Dit artikel heeft als doel “een zo volledig mogelijke bescherming van de persoonlijke levenssfeer bij gegevensoverdracht” te realiseren. Het gaat dus nadrukkelijk niet om alleen het afluisteren van inhoud maar ook om analyses van de gegevensoverdracht zelf.

Onder technische middelen zijn alle hulpmiddelen begrepen die deze gegevenstromen zichtbaar kunnen maken en de inhoud ervan ter beschikking van de handelende persoon brengen, dus bij voorbeeld ook het waarnemen van de zogenaamde residustraling bij beeldschermen of de analyse van chips met behulp van infrarood-apparatuur.

Wel moet het natuurlijk gaan om het ‘wederrechtelijk’ aftappen. Een escape voor KPN kan bijvoorbeeld nog zijn lid 2 sub 3 van dit wetsartikel:

[Het verbod] is niet van toepassing op het aftappen of opnemen … ten behoeve van de goede werking van een openbaar telecommunicatienetwerk.

Deze uitzondering is echter vooral bedoeld voor onderhoud en reparatie van het netwerk, en niet om de bedrijfsvoering van de telecommunicatie-aanbieder te kunnen verbeteren. Een andere uitzondering zou nog kunnen zijn de algemene voorwaarden van KPN, maar daar zie ik nergens een bepaling die maar in de buurt komt van “wij mogen uw pakketten analyseren om te kijken welke applicaties u gebruikt”.

Bits of Freedom heeft een handige gids over hoe je aangifte kunt doen. Nu ben ik zelf ook KPN abonnee, dus we gaan eens kijken wat oom agent in Eindhoven hiervan vindt.

Update (4 augustus) Nu.nl meldt dat iuit oriënterend onderzoek door het Openbaar Ministerie (OM) blijkt dat KPN haar klanten niet heeft afgeluisterd. De DPI was daarvoor niet diep genoeg. Eind juni oordeelde de Opta dat de bedrijven mogelijk de wet hebben overtreden bij het gebruik van DPI. Ook loopt er nog een onderzoek door het Cbp.

Arnoud