Privacy Archieven - Pagina 15 van 30

Valt een nieuwe auto onder de Wet Koop op Afstand?

Geplaatst op 19 januari 20118 september 2012 in Ondernemingsvrijheid, 57 reacties

Een lezer wees me op Auto.nl waar je goedkoop nieuwe auto’s kunt kopen. (Ik reis altijd per OV, vandaar dat ik ’t niet zelf gezien had.) Origineel concept: een nieuwe auto via internet. En dan komt de juridische vraag: valt dat dan onder de Wet Koop op Afstand? Oftewel, mag je die auto dan binnen zeven werkdagen na ontvangst terugsturen (terugrijden?) naar de webwinkel?

Ik zou zeggen van wel. Een auto is een product als ieder ander, en bij de koop van een (nieuwe) auto gelden geen bijzondere wettelijke regels (behalve dan rond het kentekenbewijs maar dat is hier niet relevant). En het artikel over het recht van retour (art. 7:46d BW) noemt wel een aantal uitzonderingen, maar geen die over auto’s gaan.

De enige die relevant kan zijn, is de “maatwerk-exceptie”: zaken die “zijn tot stand gebracht overeenkomstig specificaties van de koper”. Bij een nieuwe auto is het gebruikelijk dat je bepaalde opties kunt afnemen. Wanneer die opties wijzigingen aan de auto impliceren (lichtmetalen velgen, een ingebouwde GPS-navigatieunit, stoelen in bepaalde kleur) dan is de auto daarmee maatwerk geworden en mag de aankoop niet meer worden geannuleerd. Een auto die compleet standaard is, is echter geen maatwerk. Ook niet als hij speciaal besteld wordt bij de importeur.

Een twijfelgeval treedt op bij de kleur. Dat is ook iets dat bij meubels speelt: als je mag kiezen uit tien voorgedefinieerde kleuren, dan lijkt me er geen sprake van maatwerk. Dat meubel of die auto wordt dan niet gemaakt op jouw kleur. Maar als je een kleur zelf opgeeft (“PMS kleur 282 alstublieft”), dan is sprake van jouw specificatie en dus een maatwerk-bank of -auto. Ik ben er nog niet uit wat er gebeurt als men niet tien maar tienduizend kleuren voordefinieert (bv. een kleurenwaaier of colorpicker). Is dan sprake van maatwerk?

Arnoud

Mag een bedrijf de gsms van werknemers tappen?

Geplaatst op 13 januari 20118 september 2012 in Privacy, Security, 12 reacties

Een lezer vroeg me:

Recent kwam in het nieuws dat de beveiliging op GSM-communicatie eenvoudig te kraken is. Nu vroeg ik me af, als deze techniek gemeengoed wordt, zou je daarmee dan ook als bedrijf je werknemers mogen aftappen om bv. te controleren op verboden privégebruik van hun mobiele telefoon?

Het opvangen van vrije signalen uit de ether is toegestaan, maar je mag daarbij geen bijzondere maatregelen nemen (zoals kraken van een encryptie). Zie artikel 139c Strafrecht. De beschikbaarheid van deze kraak verandert daar niets aan denk ik: het blijft een “bijzondere” maatregel om GSM-verkeer te kraken.

Verder staat in datzelfde wetsartikel dat het opnemen van andermans telefoongesprekken strafbaar, is maar met een uitzondering voor wanneer de eigenaar van de randapparatuur de tap uitvoert. Zie lid 2 sub 2: “door of in opdracht van de gerechtigde tot een voor de telecommunicatie gebezigde aansluiting, behoudens in geval van kennelijk misbruik”.

Dit wil echter niet zeggen dat sniffen zomaar mag omdat men eigenaar is van het apparaat. Het arbeidsreglement dient te vermelden dat men telefonie mag aftappen wanneer er een vermoeden is van misbruik van de faciliteiten of overtreding van de bedrijfsregels. Sniffen zonder dat de medewerker dit kan weten is m.i. per definitie onrechtmatig. En de OR dient in te stemmen met dit reglement (art. 27 lid 1 Wet OR). Sniffen is verwerken van persoonsgegevens immers.

Arnoud

Ik wil niet in het smoelenboek!

Geplaatst op 27 december 20102 april 2013 in Ondernemingsvrijheid, Privacy, 23 reacties

Vrijwel ieder bedrijf krijgt het op zeker moment: een smoelenboek op intranet. Handig om je collega’s te kunnen herkennen. Maar niet iedereen wil graag met naam en vooral met foto in dat smoelenboek. Zo’n publicatie kan voelen als een privacyschending. Maar is het dat ook?

Het College Bescherming Persoonsgegevens is duidelijk: een werkgever mag alleen foto’s in een smoelenboek zetten als daar toestemming van de geportretteerde voor is. Dat is inderdaad de hoofdregel uit de wet (artikel 8 Wet bescherming persoonsgegevens). Maar er is een uitzondering: als de werkgever een aantoonbare noodzaak heeft die zwaarder weegt dan je privacy, dan mag de werkgever zonder je toestemming die foto gebruiken.

Nu lijkt het me wenselijk en belangrijk dat collega’s elkaar leren kennen, en of ze dat nu bij het koffieapparaat doen of via intranet, maakt voor mij niet uit. Maar of dat genoeg is om de privacy opzij te zetten? Ik weet het niet.

Een smoelenboek op intERnet vereist eigenlijk altijd toestemming. Het “zwaarwegend belang” zal hier maar zelden bestaan, behalve misschien bij mensen met een zeer publieke functie heeft waarbij de herkenbaarheid voor het publiek essentieel is voor het bedrijf. Denk aan een management- of een public-relationsfunctie.

Een complicatie bij smoelenboeken dat foto’s als gevoelige persoonsgegevens gezien kunnen worden: je kunt erop zien van welk ras iemand is, en vaak ook of hij een bepaalde ziekte of medische beperking heeft. Dergelijke gegevens mag je als bedrijf helemaal niet verwerken, tenzij “met het oog op de identificatie van de betrokkene” (dus een pasfoto op de toegangspas mag wel), dit geschiedt met uitdrukkelijke toestemming of de betrokkene zelf de gegevens “duidelijk openbaar” heeft gemaakt.

Alles bij elkaar denk ik dat je als bedrijf dus maar beter te allen tijde toestemming kunt vragen van de medewerkers voordat je hun foto op intranet (laat staan internet) kunt zetten.

Hebben jullie een smoelenboek op intra- dan wel internet? En hoe is dat gegaan met toestemming?

Arnoud

Mag een serveradmin alle berichten van klanten lezen?

Geplaatst op 29 november 20108 september 2012 in Privacy, Security, 7 reacties

Een lezer vroeg me:

Mag een server-admin/eigenaar de mail van klanten op zijn server lezen? Aan de ene kant lijkt het logisch van wel: het is zijn apparatuur dus hij bepaalt wat er mag en wat er gebeurt. Aan de andere kant hebben de klanten toch recht op privacy, dus zomaar meelezen met chats of mails lijkt me dan niet de bedoeling.

Inderdaad, het is zijn apparatuur, maar dat wil nog niet zeggen dat hij dan maar alles mag met wat klanten opslaan op of verzenden met die apparatuur. Zodra je anderen toelaat op je systemen, heb je ook rekening te houden met hun belangen. Je mag niet zomaar mensen eraf gooien of zomaar meelezen met privécommunicatie.

Medewerkers van bedrijven die een telecommunicatiedienst (”dienst die geheel of gedeeltelijk bestaat in het overbrengen van signalen via een elektronisch communicatienetwerk”) aanbieden, zijn strafbaar als ze kennisnemen van de inhoud van die overgebrachte communicatie. artikel 273d Wetboek van Strafrecht. Afhankelijk van hoe je de definities leest is het verdedigbaar dat de beheerder van een forum daar ook onder valt. Het CBP vond dat in ieder geval begin vorig jaar.

Maar ook als die strafwet niet geldt, heb je als gebruiker van een systeem nog steeds enige aanspraak op privacy. Als het beheer je een faciliteit biedt die “privéberichten” heet, of e-mail waarvan iedereen die min of meer privé beschouwt, dan hoort daar de gerechtvaardigde verwachting bij dat het beheer die niet zomaar gaat lezen.

Natuurlijk kunnen er redenen zijn (spam, virussen, klachten) waarom het beheer dat wel gaat doen. Maar ze moeten er wel terughoudend mee zijn – en geheim houden wat ze lezen als ze vanwege zo’n reden gaan spitten in privéberichten.

Arnoud

Waar vind ik een standaard privacyreglement?

Geplaatst op 26 november 20106 maart 2013 in Privacy, 7 reacties

Een lezer vroeg me:

Voor mijn bedrijfswebsite was ik op zoek naar een standaard privacyreglement. Er zijn er natuurlijk tientallen te vinden, en veel lijkt ook op elkaar, maar ik kan nergens een model vinden dat gewoon voor elke site geschikt is. Zeg maar zoals de model-algemene voorwaarden van de KVK of jullie disclaimergenerator. Waar vind ik een standaard privacyreglement?

Standaardtekstjes hebben als groot nadeel dat ze erg generiek zijn. Voor een disclaimer niet zo’n ramp: die zijn toch maar beperkt rechtsgeldig. En er zijn ook maar een paar manieren om te zeggen “Wij zijn zo min mogelijk aansprakelijk” of “Het kan zijn dat deze site het niet doet, dan heeft u pech”.

Standaardvoorwaarden en standaardprivacystatements zijn lastiger. Die documenten moeten eigenlijk veel meer afgestemd worden op de gebruiker. Die modellen van de KVK bijvoorbeeld gaan niet erg diep: ze komen neer op “ik ga mijn professionele best doen, u moet wel betalen en ik ben zo min mogelijk aansprakelijk”. Standaardvoorwaarden hebben m.i. pas zin als ze toegesneden zijn op een specifieke branche, bv. de Thuiswinkel-voorwaarden voor webwinkels of ICT~Office voor leveranciers (dat ICT~Office erg eenzijdig is, is vers 2).

Voor privacystatements ligt het nog iets moeilijker. Je moet namelijk toelichten wat jíj doet met privacy en persoonsgegevens, en zo’n standaardtekst doet dat niet. Daar staat bv. in “wij gaan zorgvuldig om met uw privacy en verstrekken gegevens alleen in gerechtvaardigde gevallen” maar zo’n zin zegt helemaal niets. Aan wie? Welke gegevens? Wat vind jij “gerechtvaardigd”? Dat moet echt letterlijk zo worden uitgelegd.

Ook is voor veel privacy-aspecten aparte toestemming nodig. Mensen op een nieuwsbrief zetten bijvoorbeeld mag alleen met hun expliciete toestemming. Een standaardzin in een privacystatement verandert daar niets aan. Wel moet er in die statement een zin over de nieuwsbrief: dat die er is, wanneer je erop komt en hoe je er vanaf komt. Maar zo’n zin vereist dus nader onderzoek want er is niet één standaardmanier om op een nieuwsbrief te komen.

Een privacystatementgenerator is ~~wel de volgende applicatie op mijn lijstje. Suggesties welkom!~~ondertussen neergezet bij ICTRecht, dus genereer je raak!

Arnoud

Recht van verzet tegen de bewoners van dit pand

Geplaatst op 17 november 201018 september 2012 in Privacy, 32 reacties

Ik wil uit uw bestand en u mag me ook nooit meer post sturen. Die toch enigszins tegenstrijdige vordering stelde een man uit Haarlem in tegen de Nationale Postcodeloterij in een als een redelijke soap lezende briefverwikkeling. Maar het vonnis is wel opmerkelijk: de NPL mag de man nooit meer post sturen, ook niet naar “de bewoners van dit pand”. Zelfs niet als daar een onderhuurder woont die wellicht wél die post wil.

We krijgen allemaal die irritante brieven van de NPL, maar kennelijk wordt er te weinig over geklaagd want ze blijven ze sturen. Hoe dan ook, als je klaagt dan gaat je adres op een blokkade. Alleen blijkt dat men die na drie jaar weer opheft (eh, wat?). De eiser in deze zaak was het zo zat, dat hij daarna naar de rechter stapt. Dat werd geschikt: meneer zou nooit meer post krijgen.

U voelt hem al aankomen: enige tijd later kreeg hij tóch post, alleen ditmaal voor “de bewoners van dit pand”. En toen stapte de man wederom naar de rechter, want nu moest en zou hij toch uit elk bestand van de gokclub. Ja, óók het blokkadebestand. Maar dat is toch een beetje lastig: als je niet meer op de zwarte lijst staat, dan kan men ook niet voorkomen dat men je post stuurt.

De Wet Bescherming Persoonsgegevens geeft je (artikel 41) het absolute recht om verwijdering uit bestanden te eisen die “met het oog op werving voor commerciële of charitatieve doelen” zijn. Op grond van dit artikel kan de man dus eisen geen post van de NPL meer te krijgen, want ook hun postbestand valt hieronder.

Maar verwijdering uit het postweigeraarsbestand gaat niet lukken; dat dient immers een ander doel dan werving. Bovendien is de combinatie van “verwijdering uit postweigeraarsbestand” en “geen post meer krijgen” innerlijk tegenstrijdig, zoals de rechter terecht opmerkt. (Update 11 mei: bevestigd in hoger beroep.)

Wel krijgt hij gelijk dat de NPL óók geen post meer naar zijn huisadres mag studeren als die “aan de bewoners van dit pand” is geadresseerd. Hij valt immers ook onder “de bewoner(s) van” dat adres. En de wet zou wel erg makkelijk te omzeilen zijn als mensen na een beroep op artikel 41 Wbp gewoon doorgepapierenspamd zouden worden met zo’n anonieme aanduiding.

NPL mag op straffe van een dwangsom meneer dan ook geen post meer sturen. (Ben ik nu cynisch als ik me afvraag wat hij gaat doen als zijn straat de postcodeloterij wint?)

Arnoud

Gefilmd in het restaurant

Geplaatst op 15 november 20108 september 2012 in Privacy, Uitingsvrijheid, 11 reacties

Een lezer vroeg me:

Het is een normale doordeweeksedag, het restaurant is open voor publiek. Een gezin zit te eten in een restaurant en plotseling komt er een filmploegje het restaurant binnen. Men bleek opnames te maken voor een of andere show van een regionale omroep, waarbij een andere bezoeker de hele week werd gevolgd. Mag men nu zomaar ook het gezin filmen in deze besloten omgeving?

De regels voor filmen op de openbare weg gelden niet automatisch ook in een gebouw als een restaurant. Het is echter ook weer niet dat in andermans eigendom nooit gefilmd mag worden zonder toestemming.

Ik denk dat in het algemeen men wel privacy mag verwachten in een restaurant, tenzij buiten duidelijk is aangekondigd dat er gefilmd wordt voor een of ander programma. En als je mag verwachten dat je privacy krijgt, dan mag je niet zomaar gefilmd worden. Maar dat is zeker geen wet van Meden en Perzen.

Er is eigenlijk nooit een harde regel die meteen de wijzers de ene of andere kant uit doet slaan. Inderdaad, een restaurant is een besloten plaats en privéterrein, maar ook op privéterrein mag onder omstandigheden worden gefilmd. Als de huisregels zeggen van niet, dan moet de eigenaar optreden – een willekeurige gast kan zich niet jegens een andere gast op de huisregels beroepen.

Ook zal altijd de nieuwswaarde van de beelden meespelen. Hoe bekend/belangrijk is deze persoon, en hoe relevant was dit etentje? Dat ander etend publiek toevallig in beeld komt, is dan min of meer onvermijdelijk en daarmee geen privacyschending.

Ik vind het een lastige. Het is me zelf ook wel eens overkomen dat ik op de trein stond te wachten en iemand het nodig vond om filmopnamen te gaan maken van een binnenkomende trein. Dreigen met juridische stappen bleek minder effectief dan je paraplu openklappen en precies voor de lens te gaan staan.

Arnoud

Doorzoeken van een privélaptop mag ook niet zomaar

Geplaatst op 10 november 201018 september 2012 in Privacy, Security, 17 reacties

Een curator mag niet zonder meer privélaptops onderzoeken, ondanks dat er mogelijk bewijs van faillissementsfraude op te vinden is. Dat las ik gisteren op Webwereld naar aanleiding van een arrest uit Den Bosch. In deze zaak wilde de curator toegang tot gegevens op de privélaptop van de bedrijfsjurist van een failliet bedrijf, omdat hij vermoedens had van fraude.

In het originele vonnis vond de rechter het toegelaten dat de curator toegang mocht krijgen tot de laptop, maar in dit hoger beroep wordt dat echter teruggedraaid. De laptop was geen eigendom van het failliete bedrijf, dus kan de curator die niet zomaar opeisen. Wél heeft hij recht op inzage in de bedrijfsgegevens op die laptop. Hij mag een kopie van de data laten maken en deponeren bij een notaris om deze zo veilig te stellen.

Vervolgens is de vraag of de curator er ook iets mee mag doen. Mag hij de gegevens doorzoeken, of mag hij forensisch onderzoeksbedrijf IRS aan het werk zetten? Omdat het hier gaat om privacy, geeft het Hof geen algemene rechtsregel. Bij inbreuken op de privacy is het altijd afhankelijk van alle omstandigheden van het geval of het mag. Het Hof weegt dan ook de privacy van de jurist en het bedrijfsbelang van de curator tegen elkaar af. Wegen jullie mee?

In het voordeel van de jurist:

het betreft een laptop in privé-eigendom;
de privélaptop bevat ook “privacygevoelige privacybestanden”;
de bedrijfsjurist werkte voor zakelijke doeleinden altijd via het zakelijke netwerk, zodat de betreffende gegevens ook via dat netwerk te vinden (zouden moeten) zijn.

In het voordeel van de curator:

de curator heeft recht op de aan de failliet toebehorende informatie over haar administratie;
de curator heeft belang heeft bij onderzoek daarvan;
de bedrijfsjurist werkte dagelijks op deze laptop in het kader van zijn werk;
de bedrijfsjurist was lid van het managementteam en dicht bij het bestuur werkzaam;
de laptop is zowel zakelijk als privé gebruikt, zodat de bedrijfsjurist daarmee zelf heeft bewerkstelligd dat de gegevens vermengd zijn geraakt;
niet is uit te sluiten dat zakelijke bestanden uitsluitend op de harde schijf van de laptop zijn opgeslagen.

De curator had aangeboden dat de jurist er de hele tijd bij mocht blijven, zodat hij kon piepen als er sprake zou zijn van privégegevens. Maar dat vond het Hof niet genoeg. De curator had namelijk te weinig instrumenten om toezicht op IRS te houden, bv. een contract waarin stond hoe IRS met de gegevens om zou gaan.

Collega Wouter Dammers van Solv advocaten maakt me nieuwsgierig met zijn opmerking dat de curator “op andere wijze(n) inzicht kunnen krijgen in de betreffende zakelijke gegevens, zonder een inbreuk te maken op de bescherming van de persoonlijke levenssfeer van de bedrijfsjurist.”

Ik ben heel benieuwd hoe dan. Dit is namelijk écht een lastig probleem. Je ontkomt er niet aan dat je als onderzoeker privégegevens tegenkomt als je gaat zoeken. Afgaan op wat de jurist in dit geval zegt, gaat niet: hij zou natuurlijk te kwader trouw belastende gegevens zogenaamd als privédata kunnen aanmerken zodat je daar niet kijkt.

Oftewel: hoe doorzoek je een privélaptop naar zakelijke gegevens zonder kennis te nemen van privégegevens?

(Ook het doorzoeken van een bedrijfspc mag niet zomaar trouwens.)

Arnoud

Mijn stiefmoeder leest mijn mail!

Geplaatst op 1 november 20108 september 2012 in Privacy, 26 reacties

Een lezer schreef me:

Ik ben 16 jaar en woon nog thuis. Wij delen één computer met z’n allen. Nu kwam ik erachter dat mijn stiefmoeder mijn mail leest. Ik ben daar totaal niet van gediend, maar zij zegt dat zolang ik daar woon, haar regels gelden en zij dus alles met de PC mag doen wat ze wil.

Dit lijkt me niet bepaald de bedoeling. Hoewel ouders (en ook stiefouders) een zorgplicht hebben voor inwonende kinderen, dienen ze daarbij ook rekening te houden met de privacy van die kinderen. Ook kinderen hebben recht op privacy en als ouder zomaar alles gaan bijhouden en bekijken vind ik een ernstige schending van dat recht.

Ik krijg wel vaker vragen over het volgen van internetgedrag van kinderen. Wat me opvalt is dat er vaak niet of nauwelijks wordt gecommuniceerd over het hoe of waarom. Ik denk dat daar het probleem zit: ik snap best dat je je kind wil beschermen tegen nare dingen op internet, maar dat is toch een jongen van zestien wel uit te leggen?

Juridisch gezien is het wel erg lastig om hier wat aan te doen. Je (stief)ouders aanklagen is bepaald geen sinecure, en om nu op kamers te gaan vanwege dit lijkt me ook erg ver gaan.

Praktisch gezien is gebruik van een USB-stick met portable apps waarschijnlijk het eenvoudigste: niet duur en niets meer om te snuffelen als je hem eruit trekt en om je nek hangt.

Arnoud

Het cc-veld bij e-mail als privacyschending

Geplaatst op 18 oktober 20108 september 2012 in Privacy, 18 reacties

Een lezer vroeg me:

Bij onze vereniging heeft laatst het bestuur iedereen een mail gestuurd met ieders e-mailadres zichtbaar in het cc-veld. Nu weet ieder lid mijn e-mailadres! Is dat strafbaar? Wat kan ik hieraan doen?

E-mailadressen in het kopieveld (cc) in plaats van het blindekopieveld (bcc) zetten, het kan iedereen gebeuren. Netjes is het niet, en het leidt ook vaak tot een storm van reacties (en daar weer reacties op dat iedereen moet ophouden met reply-to-all en dan daar weer reacties op, afijn..). Er is eigenlijk geen enkele reden waarom je grote hoeveelheden ontvangers zo zou moeten mailen, en het zou goed zijn als mailprogramma’s weigeren mails te versturen met meer dan zeg tien ontvangers in To of Cc velden.

Maar goed, dit is geen feedbackforum voor Thunderbird of Gmail maar een juridische blog: kun je nu juridisch gezien iets doen tegen een actie als deze?

De enige optie die ik kan verzinnen, is het over de boeg van de verwerking van persoonsgegevens te gooien. Het idee is dat je je dan beroept op artikel 13 Wet Bescherming Persoonsgegevens: je moet “passende technische en organisatorische maatregelen” nemen om persoonsgegevens (zoals e-mailadressen) te beschermen tegen “verlies of tegen enige vorm van onrechtmatige verwerking”.

De constructie wordt dan: je hebt mijn e-mailadres niet afdoende beschermd tegen onrechtmatige verwerking, want die ontvangers kunnen er zomaar mee aan de haal gaan. Het doet me wat gezocht aan, en ik twijfel of het de giecheltoets zal overleven. Maar uitsluiten dat het werkt, kan ik niet.

Arnoud