Oke mag ik dan wél thuiswerken (of e-lesgeven) van de AVG vanwege het coronavirus?

| AE 11831 | Ondernemingsvrijheid, Privacy | 7 reacties

Nederland is koploper thuiswerken, las ik op diverse plekken. Bestrijding van het coronavirus vereist dat we onszelf zo veel mogelijk isoleren, en thuiswerken is dan ook een logische maatregel (en ja, mijn kantoor is natuurlijk ook dicht nu). Ook het onderwijs is dicht, en daar wordt nu ook breed gegrepen naar elearning en video-oplossingen. En ja, vorige week was ik ook al aan het zeuren over de AVG maar ik kom er toch nog eens op terug want ik zie toch veel misgaan bij de snelle keuze voor video, monitoring en onderwijs op afstand.

Natuurlijk snap ik dat het nu voor iedereen hoogst acuut is om toch even iéts te kunnen realiseren. Geen onderwijs of niet kunnen werken is erger dan kunnen werken met een suboptimale tool. Mijn zorg is alleen vooral dat als we over een aantal maanden, als dit virus weer onder controle is, we blijven werken met deze tools omdat het nu eenmaal lekker werkt. Toch even verder kijken en onderzoeken lijkt me dan ook wel verstandig.

Het probleem zit hem wat mij betreft vooral in het feit dat de snelst inzetbare thuiswerk- en elearningtools uit Amerika komen. De regels over privacy zitten daar, laten we zeggen, net even anders dan bij ons. De aanbieders van die tools beschouwen de gebruikers als de ruwe grondstof voor het verbeteren van hun dienstverlening, al dan niet gekoppeld aan advertentieverkoop of profileren. En dat mag prima in de VS, moet je de privacyverklaring maar lezen en/of de voorwaarden maar afwijzen als het je niet bevalt. En dat is natuurlijk een volkomen absurde fictie maar wel het geldend recht in Amerika.

Hier zouden we iets veiliger moeten zitten omdat de AVG rare voorwaarden verbiedt. Zo kun je niet in gebruiksvoorwaarden akkoord gaan met het monitoren van je elearning- of thuiswerkgedrag door de dienstverlener, of voor het analyseren daarvan voor het ahem “verbeteren van de dienstverlening”. Je zult heel expliciet (dus met een privacyverklaring in eenvoudige taal) moeten uitleggen wat dat precies inhoudt en hoezo die dienstverlener dat zelf gaat doen.

Daarnaast hebben thuiswerk- en elearning tools nog wel eens monitoring features waar we in Europa de wenkbrauwen juridisch van fronsen. Ik blogde al over die webcam die foto’s maakt om je werk te monitoren, maar ook bij studenten en scholieren blijkt er te kunnen worden meegekeken door docenten zonder dat dat gemeld is bij de ouders (of meerderjarige studenten zelf). Dat is natuurlijk heel erg niet de bedoeling.

In het onderwijs zou ik zo hard mogelijk willen benadrukken: kijk bij het privacy Convenant voor partijen waar je wél keurig onder de Europese regels kunt werken. Voor werkgevers is er niet direct zo’n site maar je kunt natuurlijk wel gewoon kiezen voor een Europese leverancier die zelf durft te zeggen dat hij GDPR compliant is terwijl er geen toestemmingsknopje in beeld komt bij de installatieprocedure. (Wie om toestemming vraagt, doet het fout onder de AVG.)

Arnoud

Nee, het coronavirus is geen ontheffing voor de AVG

| AE 11808 | Ondernemingsvrijheid, Privacy | 17 reacties

Mijn werkgever verplicht alle werknemers nu thuis te werken vanwege de corona uitbraak. Dat las ik bij Tweakers (dank, tipgever). So far so good, maar dan komt ‘ie: men moet timetrackingsoftware installeren en deze “doet echter op random intervallen screenshots maken en volgens de privacy voorwaarden van deze software ook een lijst bijhouden met alle urls die bezocht worden en verdere activiteit op het apparaat.” De werkgever komt niet veel verder dan dat timetracking hoort bij thuiswerken en weet kennelijk niet wat die software doet. Dat is dus een probleem onder de AVG, en nee daar kom je niet mee weg omdat het een noodsituatie is en/of thuiswerken de enige optie gezien de kennelijke pandemie die zich in Nederland voordoet.

Toevallig las ik gisteren over WorkSmart, Amerikaanse software die zogenaamd de productie monitort maar in feite mensen de ziektewet in helpt:

… even using the bathroom in his own home required speed and strategy: he started watching for the green light of his webcam to blink before dashing down the hall to the bathroom, hoping he could finish in time before WorkSmart snapped another picture.

Het bedrijf achter deze software zegt dat het slechts een hulpmiddel is en dat bedrijven zelf na moeten denken hoe ze deze in willen zetten. Want als de software zegt dat iemand niet productief is, dan is dat natuurlijk reden voor een goed gesprek en geen manager koppelt aan zo’n handige indicatie een betalingsinhouding of negatieve beoordeling. Precies, zou ik ook zeggen als ik dat bedrijf was.

Mag het? Nee, natuurlijk niet. Ik zie in de draad mensen suggereren dat het zou mogen omdat het thuiswerken is en je toch iets moet om de productiviteit van je mensen in de gaten te houden. Nieuwsflash: je mag mensen sowieso al niet in de gaten houden op het werk, of je moet een héél goede reden hebben én de privacy-impact van de werknemers daarin meegenomen hebben.

En dat is tien keer zo erg thuis. In principe mág je thuis niet eens kijken hoe mensen hun werkplek ingericht hebben (en ja ondertussen ben je wel aansprakelijk als die werkplek niet arbocompliant is en mensen daardoor klachten krijgen). Dus waarom zou dat wel mogen omdat het een ict-middel is? Oh ja wacht, het is met de computer en dat is anders he. Dat is gewoon software die mensen monitort. Nee natuurlijk niet. Misschien moeten we aan de AVG een artikel toevoegen dat zegt “als het raar is wanneer een mannetje met een notitieblok het live doet, dan mag software het ook niet”.

Want nee, het elke tien minuten fotograferen van je personeel terwijl dat aan het werk is, dat krijg je echt niet rond onder de AVG. Ook niet als je zegt dat je geen ander middel hebt om hun productiviteit te meten. Want dat heb je wel, al is het maar de output die er ligt op vrijdagmiddag. Dus definieer maar een betere output metric en ga daar op sturen, zo moeilijk moet dat niet zijn als mensen in staat zijn om thuis te werken.

Arnoud

Hoe verhoudt de AVG zich tot mijn huwelijkse gemeenschap van goederen?

| AE 11755 | Privacy, Security | 13 reacties

Ik ben voor deze posting even mevrouw van Dam. Gehuwd in gemeenschap van goederen. Zo opende een forumbericht bij Security.nl onlangs. Met daaraan gekoppeld de vraag: hoe zit dat dan met de AVG, stel dat je een bestelling van je vrouw wilt ophalen of van een account van je man een inzage- of correctieverzoek wil doen? En is het dan relevant of je in gemeenschap van goederen bent getrouwd? Of, iets pikanter -zoals de vraagsteller- kun je daarmee achterhalen of je man stiekeme accountjes heeft bij een niet-nader te noemen immorele datingdienst die aanzet tot echtbreuk maar toch van de RCC mag blijven adverteren?

Privacy en de bescherming van persoonsgegevens zijn grondrechten, en die zijn persoonlijk. Dus als partner in een huwelijk heb je daar in principe niets over te zeggen, het gaat jou niet aan hoe je partner daarmee omgaat. Althans, juridisch niet; natuurlijk mag je er best wat van vinden omdat je nu eenmaal getrouwd bent. Maar bij de rechter is dat niet afdwingbaar.

Uitzondering zou zijn als de gegevens ook die van jou betreffen, denk aan een gezamenlijke bestelling of hypotheek. Maar een bestelling is niet al gezamenlijk enkel omdat je in gemeenschap van goederen bent getrouwd, deze staat op naam van een van de partners en die is dan AVG-technisch de ‘betrokkene’. Dat je via het vermogensrecht als partner opdraait voor de kosten als je partner niet betaalt, staat daar los van.

Heel formeel zie ik dus onder de AVG geen grond om de persoonsgegevens van je partner op te vragen, ook niet als de aanwezigheid van die persoonsgegevens ergens in een systeem kunnen leiden tot financiële claims op jou. Of omdat je er sterker mee komt te staan in een echtscheidingsprocedure. Het zijn niet jouw gegevens.

Wellicht is er wel een uitweg als je zegt, in een huwelijk is het gebruikelijk dat je voor elkaar ook rechtshandelingen uitvoert. Ik bestel iets voor mijn vrouw omdat zij het druk heeft, iemand belt naar de apotheek voor een medicijn voor zijn man, je vrouw boekt een afspraak bij de kapper voor je, en ga zo maar door.

Juridisch gezien zeg je dan, ik ben gemachtigd om dit te doen althans de wederpartij mag veronderstellen dat ik dat mag. Daarmee zou je dan ook kunnen zeggen dat je onder de AVG inzageverzoeken (en correctie, verwijdering et cetera) mag doen. Dat zijn immers ook gewoon rechtshandelingen, en daar ben je dan toe gemachtigd. Wel zou de wederpartij dan bewijs kunnen vragen dát je gemachtigd bent, zeker als in hun systemen niet na te gaan is dat jullie getrouwd zijn. Tot nu toe heb ik zelf alleen maar knipperende ogen gehad als ik met zo’n stuk papier namens mijn vrouw me ergens meldt, maar het zal onwennigheid zijn.

Arnoud
PS en ja dat laatste is de premisse van mijn verhaal A New Intelligence, mocht je het nog niet gelezen hebben.

Moet je als hostingbedrijf AVG-verzoeken voor klanten honoreren?

| AE 11648 | Ondernemingsvrijheid, Privacy | 25 reacties

Een lezer vroeg me: Als hostingbedrijf krijgen wij steeds vaker klachten dat een website van een klant ten onrechte persoonsgegevens publiceert of anderszins de AVG overtreedt, bijvoorbeeld door verwijderingsverzoeken te negeren. Zijn wij verplicht hier gehoor aan te geven en zo ja welk niveau van inhoudelijke check moeten wij dan doen? Sinds de AVG zijn… Lees verder

Kandidaat zijn zonder dat je het weet, mag dat?

| AE 11253 | Informatiemaatschappij | 18 reacties

Voor het radiospel ‘De Uitverkorene’ stuurt Qmusic een privédetective af op onbekende Nederlanders. Dat meldde RTL maandag. Het concept: een Nederlander wordt door een privédetective gevolgd. Wie de gelukkige denkt te zijn en dat raadt, wint 10.000 euro. De kandidaat-zonder-wil wordt gekozen op basis van een “goede daad” die hij eerder verricht heeft, maar wel… Lees verder

Natuurlijk is die Facebook tracking pixel hartstikke illegaal onder de AVG (tenzij je toestemming vraagt)

| AE 10531 | Privacy | 22 reacties

Zorgverzekeraars die gegevens van hun websitebezoekers met behulp van een tracking-pixel naar Facebook verstuurden, overtraden mogelijk de wet. Dat zegt de Autoriteit Persoonsgegevens tegenover Nu.nl. Met deze pixel houdt het bedrijf bij welke pagina’s je zoal leest, om je dan op Facebook gerichte reclame te kunnen tonen. Dat ligt dan gevoelig als die pagina’s medische… Lees verder

Facebook overtreedt Belgische privacywet door volgen niet-gebruikers

| AE 10406 | Privacy | 22 reacties

Facebook overtreedt de Belgische privacywet door het internetgedrag te volgen van mensen die geen account bij het sociale netwerk hebben. Dat meldde Nu.nl zaterdag. De vind-ik-leuk knopjes die alomtegenwoordig zijn, zetten cookies en gebruiken andere trackingtechnieken om internetgedrag op te slaan. Ook bij mensen die geen klant (product?) zijn van het sociaal netwerk, en dat… Lees verder