Tag: Privacy

About Privacy

Subscribe Feeds

Agenten misbruiken politieinformatiesystemen voor privédoeleinden

Geplaatst op in Privacy, Regulering, Security, 12 reacties

Politieagenten in Nederland maken massaal gebruik (misbruik) van de politie informatiesystemen voor privédoeleinden, schrijft CorCom Security Analysing. Dit zou een “geaccepteerd verschijnsel” of zelfs een “beroepsvoordeel” zijn voor agenten:

Politieagenten zien het gebruik van de informatie als een beroepsvoordeeltje. Het mag eigenlijk niet, maar elke politieambtenaar doet het wel eens. Het is een grijs gebied. Het gebruik van de politiecomputer om kentekens na te trekken voor privé doeleinden is zelfs min of meer een vast praktijk bijvoorbeeld geworden bij het kopen van een tweedehands auto of om te checken of er criminelen in een bepaalde wijk wonen. Officieel mag dat niet, maar het wordt beschouwd als een onschuldig vergrijp zolang het voor eigen gebruik is. Er wordt immers niemand door benadeeld zegt men. Maar deze politie uitspraken kloppen niet. Regelmatig worden medewerkers van de politie met onmiddellijke ingang ontslagen, omdat deze zich schuldiggemaakt hebben aan contact met criminelen en het lekken van politie informatie. Dit geld zowel voor de recherche als de geuniformde dienst.

Lees verder in Agenten misbruiken massaal politie informatiesystemen voor privé doeleinden bij CorCom Security Analysing.

Arnoud

Mag de werkgever privébestanden op een bedrijfspc doorzoeken?

Geplaatst op in Privacy, Security, 40 reacties

Een lezer vroeg zich af:

Stel op een bedrijfspc staan bestanden die het privé-eigendom zijn van een medewerker. Nu wil de werkgever op die pc bepaalde werkgerelateerde documenten opvragen, maar hij weet niet precies waar die staan. Vanwege een arbeidsconflict wil de werknemer niet meewerken. Mag de werkgever nu de pc doorzoeken, of moet hij vanwege het risico van privacyschending toch de werknemer dit laten doen?

Ook op het werk heb je privacy. Een werkgever mag niet zomaar monitoren wat mensen doen op de bedrijfspc. Hij moet daar een reglement voor opstellen waarin staat wat er wanneer gemonitord wordt en voor welk doel. En zelfs met een reglement mag niet zomaar alles: er moet altijd een redelijke aanleiding zijn om te gaan monitoren. Een vermoeden van fraude of illegale activiteiten, maar ook disproportioneel veel dataverkeer kan zo’n aanleiding zijn.

Hier ligt het iets lastiger: de werkgever heeft een legitieme reden om op die pc te gaan zoeken, maar kan daarbij (bedoeld of onbedoeld) een blik werpen in privé-bestanden. Hij zou bijvoorbeeld een zoekopdracht kunnen geven voor alle documenten met een bepaalde tekst. Als die ook in een privé-document staat, krijgt hij vervolgens daar de inhoud van te zien. En bij bijvoorbeeld afbeeldingen laat Windows heel behulpzaam een thumbnail zien met de inhoud.

Als je het de werknemer niet kunt laten doen, dan wordt het lastig. Het beste zou zijn om dan een onafhankelijk iemand de doorzoeking te laten doen. Grote bedrijven hebben vaak een speciaal iemand, een vertrouwenspersoon of compliance officer wiens taak het is om toe te zien op de naleving van de ethische regels binnen een bedrijf. Bij een vermoeden van bedrijfsmatige fraude kun je dan als werknemer die persoon inschakelen. Deze zou dan ook in dit geval kunnen helpen.

Natuurlijk is het niet de bedoeling dat mensen privé-bestanden op een bedrijfspc zetten. Maar zolang die bestanden geen schade aanrichten, kan een werkgever daar weinig tegen doen. De grens is soms ook lastig te trekken. Ik doe een cursus voor mijn werk; is de uitwerking van een cursusopgave nu een werkgerelateerd document? En de routebeschrijving om bij die lokatie te komen? En de lijst met goeie restaurantjes in de buurt? En de e-mail naar een vriendin met een uitnodiging om dan samen te gaan eten omdat zij vlakbij de cursuslokatie woont?

Arnoud

Opgenomen gesprekken publiceren

Geplaatst op in Privacy, Security, 5 reacties

Via mijn referer log vond ik deze vraag op een forum over bijstand, onder het kopje Onterecht beschuldigd van agressie!! De vraagsteller had telefonisch geklaagd over een “bitse reactie” van een medewerkster van de Sociale Dienst, en de persoon aan de andere kant had dit verstaan als “die bitch z’n reactie”. Wat aanleiding was om maatregelen tegen de vraagsteller te nemen. Die schrijft:

Ik heb een opname van het gesprek (en ja ik heb uitgezocht dat het legaal is om je eigen gesprekken op te nemen), mag ik dit als bewijs invoeren bij dat gesprek om aan te tonen dat het gaat om een misinterpretatie van het gezegde? Of moet ik een officieel bezwaarschrift indienen?

Inderdaad mag je je eigen telefoongesprekken opnemen. Het is pas strafbaar als je een gesprek opneemt waar je geen deelnemer aan bent. Je hebt dus geen toestemming nodig om je eigen gesprekken op te nemen, en je hoeft het zelfs niet te melden (al is dat wel netjes).

Maar, zoals verderop in de discussie naar voren kwam, je mag niet zomaar gesprekken publiceren zonder toestemming van je partner. Die verwacht dat zo’n telefoongesprek vertrouwelijk is, en publicatie zal dus al snel schending van zijn of haar privacy opleveren.

Of dat hier ook opgaat? Ik denk het niet. De medewerker van de sociale dienst heeft zelf de inhoud van het gesprek doorgegeven om te klagen over het taalgebruiker van de beller. Zij kan er dan moeilijk bezwaar tegen maken als de beller laat horen wat er werkelijk gezegd is.

Arnoud

Wanneer mag je iemands berichten van je forum verwijderen?

Geplaatst op in Informatiemaatschappij, Privacy, 27 reacties

De beheerder van een forum mailde mij:

Een van onze leden heeft gigantische ruzie gemaakt met zo ongeveer iedereen en daarbij onze huisregels zwaar overtreden. Wij hebben hem dan ook geband (verbannen). Maar de berichten hebben we laten staan, want mensen moeten kunnen lezen wat er is gebeurd. Hij eist nu dat wij alle berichten van en over hem verwijderen. Kan hij dat?

Uit de privacy-richtsnoeren blijkt dat de privacywet hier mogelijkheden biedt voor het met ruzie vertrokken ex-lid.

Elk bericht dat hij plaatste, is namelijk een “persoonsgegeven” omdat het te herleiden is tot deze specifieke persoon. Hij heeft dus het recht te beslissen wat er met dat bericht mag gebeuren.

Door het bericht te plaatsen, gaf het forumlid toestemming voor deze “verwerking” van persoonsgegevens. Anderen mochten het bericht, het persoonsgegeven dus, lezen en in hun reacties verwerken. Tot zover geen probleem.

Die toestemming kan echter op elk moment worden ingetrokken, en dat betekent dat men met de verwerking moet stoppen. Je kunt niet in het huisreglement iemand verbieden deze toestemming in te trekken. De door het ex-lid geplaatste berichten moeten dus in principe worden verwijderd als hij daarom vraagt. De enige reden om het te mogen laten staan, is als er een “eigen gerechtvaardigd publicatiebelang” is.

Zo’n belang kan bijvoorbeeld zijn dat door de verwijdering de discussie onbegrijpelijk wordt. In dat geval, zo zeggen de richtlijnen, kun je volstaan met de naam van de plaatser vervangen door [VERWIJDERD] of iets dergelijks. Tenzij de inhoud van het bericht zelf nog informatie over de plaatser bevat, dan zou die informatie moeten worden geschrapt.

Een advertentie op b.v. Marktplaats zou dus door het bedrijf verwijderd moeten worden als de plaatser daarom vraagt. Iemands recensie van een film op een forum voor filmliefhebbers ook. Zulke berichten kun je verwijderen zonder dat andere berichten daardoor onbegrijpelijk worden, en als dat kan, dan moet het ook.

Informatie verwijderen die in andermans berichten verwerkt is, is heel erg lastig. Deze verwerking was in het kader van een vrije meningsuiting. Verwijderen mag dan alleen als het echt absoluut de enige manier is om de inbreuk op de privacy van de originele poster (het ex-lid dus) te beëindigen. En dat zal vrijwel nooit het geval zijn.

Arnoud

Deze e-mail is [wel/niet/misschien] voor blogpublicatie bestemd

Geplaatst op in Privacy, 5 reacties

U kent ze ongetwijfeld ook: de vaak ellenlange disclaimers op e-mail. Vaak vanuit de gedachte “baat het niet, dan schaadt het niet”, en ook wel omdat het wel heel formeel en juridisch staat natuurlijk.

Maar wat vindt u van deze?

This email is: [ ] bloggable / [ ] private / [X] (ask first)

Dat zou een hoop onduidelijkheden wegnemen over hoe een e-mailtje nu bedoeld is. Wil de afzender nu genoemd worden bij zijn linktip, of liever niet? En was die vraag nu voor publicatie bestemd?

De juridische status van e-mail is nog steeds niet duidelijk.

Overigens vind ik proclaimers beter dan disclaimers. Zeg wat je biedt en wat er wel mag, in plaats van wat je allemaal niet doet en wat er eigenlijk niet mag met je werk.

Arnoud

Privacy International: “Nederland neigt naar politiestaat”

Geplaatst op in Privacy, 3 reacties

Nederland: consequente privacyschenderGelukkig nieuwjaar, maar niet heel gelukkig werd ik van het onderzoek van Privacy International, dat concludeerde dat Nederland net zo slecht de privacy van burgers bewaakt als Rusland en China.

Vooral de identificatieplicht, plannen voor het kinddossier, verzamelen van DNA gegevens van mensen die wegens ernstige misdrijven veroordeeld zijn en het verstrekken van klantgegevens van internetproviders aan stichting BREIN zorgden voor een negatieve beoordeling. Hoewel België in 2006 nog een stuk privacy-vriendelijker was dan dit jaar, doet het het altijd nog veel beter dan Nederland.

Via Security.NL.

Arnoud

Privé-internetten op het werk

Geplaatst op in Informatiemaatschappij, Privacy, 1 reacties

Het privé onder werktijd mailen, surfen en bellen is het afgelopen jaar enorm toegenomen, meldt NU.nl op basis van (het persbericht bij) de ICT Barometer van Ernst & Young.

Bas van de Haterd is duidelijk:

[Ik zie] het in zijn geheel niet als een probleem, zolang je het maar bespreekbaar maakt. En ja, als een werknemer gaat zeuren als je hem of haar een keer thuis belt, dan heb je ook het volste recht om 100% aandacht op het werk te eisen. Maar eigenlijk moeten we eens van die uren keer bedragen paradigma’s af. Beoordeel mensen op hun kwaliteit en hun geleverde werk, niet op de uren die ze erin gestoken hebben. Hoewel, dat zullen veel mensen wel heel erg eng vinden, want dan moeten ze ineens presteren…

En zo is het maar net. De grenzen tussen privé en zakelijk vervagen steeds meer. Werkgevers moeten accepteren dat werknemers privé-zaken regelen en hun persoonlijke netwerk onderhouden onder werktijd. Net zo goed als werknemers moeten accepteren dat het werk niet altijd om vijf uur klaar is. Dit betekent dat een werkgever niet zomaar privé-gebruik van internet volledig kan verbieden.

Ook juridisch mag een werkgever niet zomaar privé-internetten verbieden, laat staan controleren op naleving van zo’n verbod. Het is natuurlijk niet de bedoeling dat je bedrijfsmiddelen, zoals computers of netwerkverbindingen, gebruikt voor privé-doeleinden. Aan de andere kant mag een werkgever niet zonder goede reden tot in detail in de gaten gaan houden wat werknemers doen met die bedrijfsmiddelen. Om te monitoren of te loggen moet hij persoonsgegevens bijhouden, en dat mag niet zomaar. Dat bleek uit het Copland-arrest van het Europese Hof voor de Rechten van de Mens van begin dit jaar.

Uitgebreide discussie bij Tweakers.

Arnoud

Amerikaanse verdachte hoeft PGP-decryptiesleutel niet af te geven aan politie

Geplaatst op in Privacy, Regulering, Security, 2 reacties

Een verdachte mag niet worden bevolen zijn PGP-decryptiesleutel of wachtwoord af te geven, bepaalde een een Amerikaanse magistrate judge eind november. Zo’n bevel is in strijd met de Amerikaanse Grondwet. Dat meldt onder andere Planet. In Engeland moesten diezelfde maand een groep Britse dierenactivisten nog hun decryptiesleutels afgeven. En hoe zit dat in Nederland?

Je hoeft niet mee te werken aan je eigen veroordeling. Dat heet het nemo tenetur-beginsel. Dat staat niet expliciet in onze wet, maar wordt wel erkend op grond van artikel 6 EVRM. Op grond van het Saunders-arrest van het Europese Hof geldt dat de verdachte geen verklaringen hoeft af te leggen, maar wel materiaal moet uitleveren dat onafhankelijk van zijn wil bestaat, zoals documenten en bloedmonsters. Als de verdachte in zijn dagboek een bekentenis had geschreven, en de politie vindt deze bij een huiszoeking, dan mag die gewoon worden gebruikt. Ook als het op de PC staat. Maar als de politie het dagboek niet kan vinden, mag de verdachte niet worden bevolen te vertellen waar het ligt.

Een wachtwoord zit ook in je hoofd, en het moeten vertellen is dus een “verklaring afleggen”. Vandaar dat zo’n bevel bij ons niet gegeven mag worden. Dit is expliciet vastgelegd in artikel 125k Wetboek van Strafvordering. Voor getuigen, maar ook voor andere betrokkenen (zoals een systeembeheerder) geldt deze verplichting wel – uiteraard voorzover ze het wachtwoord ook weten.

Kortom, nee, bij ons mag dit niet. Of het in de VS nu echt niet mag, is nog een open vraag. Dit is een beslissing van een magistrate judge, zeg maar een rechter-commissaris. Nog lang geen Supreme Court-arrest dus.

Zeer uitgebreid over nemo tenetur versus afgeven van sleutels is Bert-Jaap Koops, de expert op dit gebied, in Verdachte en ontsleutelplicht: hoe ver reikt nemo tenetur? (PDF). Bij de behandeling in de Tweede Kamer van het wetsvoorstel Computercriminaliteit II verklaarde de minister trouwens expliciet (RTF) dat het nemo tenetur-beginsel verbood om verdachten te bevelen hun wachtwoord af te geven.

Verder nog een heleboel discussie op Bij Tweakers en Slashdot.

Vraagje voor de toekomst: als ik nou geen wachtwoord gebruik maar een biometrische beveiliging op mijn gegevens heb, kan ik dan verplicht worden mijn vinger op de sensor te leggen? Het nemen van een vingerafdruk is namelijk geen inbreuk op nemo tenetur, maar het effect is wel hetzelfde als bevolen worden een wachtwoord af te geven. Aan de andere kant mag de politie ook de sleutelbos uit mijn broekzak halen en daarmee mijn brandkast openmaken.

Arnoud

Hoe krijg je gestolen informatie van internet?

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, Uitingsvrijheid, nog geen reacties

Verspreiden gestolen computerinformatie wordt strafbaar, meldde NU.nl donderdag. Het is nu verboden om in te breken in computersystemen en gegevens daaruit over te nemen, maar nergens staat dat anderen die die gegevens verder verspreiden, ook strafbaar zijn. Virtuele heling is dus legaal, en minister Hirsch Ballin wil nu verandering in brengen.

In zijn brief aan de Tweede Kamer legt de minister verder uit wat je nu al kunt doen aan gestolen informatie die mensen op internet verspreiden. Laat ik eens een poging wagen dit in minder ambtelijke taal te vertalen.

Ten eerste heb je meestal auteursrecht op de gegevens. Een tekst of foto is auteursrechtelijk beschermd, en kopiëren mag dan niet zonder jouw toestemming.

Mensen kunnen trouwens niet wegkomen met “ja maar ik citeer alleen maar uit de tekst”. Je mag namelijk alleen citeren uit rechtmatig gepubliceerd werk, en dus niet uit gestolen teksten.

Ten tweede heb je bij foto’s en films portretrecht. Ook hier weer: het gaat om materiaal dat je niet zelf gepubliceerd hebt, privéfoto’s dus. Zonder toestemming mogen zulke foto’s niet worden gepubliceerd.

De PriveEen voorbeeld: in 2005 werd de digitale camera van prinses Maxima gestolen. De foto’s daaruit doken op in de Telegraaf en de Privé. Dat werd verboden met een beroep op het portretrecht. Een beroep op de vrije nieuwsgaring werd afgewezen; zulke privéfoto’s hebben zelden tot nooit nieuwswaarde. En om het nieuwsfeit te melden dat de camera gestolen was (jaja, slim bedacht) hoef je de foto’s zelf niet te laten zien natuurlijk.

Daar kun je zowel de plaatser van de gegevens als diens provider op aanspreken. Ook kun je aangifte doen bij de politie, want opzettelijke inbreuk op auteursrecht of portretrecht is een misdrijf.

Als het gaat om bedrijfsgegevens, dan is er nog een derde optie. Het onthullen van bedrijfsgeheimen is namelijk strafbaar. En Hirsch Ballin wil dus een vergelijkbare bepaling voor privégegevens van natuurlijke personen invoeren.

Wat ik nog miste in het antwoord, is een beroep op de Wet Bescherming Persoonsgegevens. Gestolen foto’s, maar ook tekstuele informatie met daarin gegevens over jezelf zijn persoonsgegevens en mogen alleen met toestemming worden verwerkt. En die is er natuurlijk niet. Een “aantoonbare noodzaak” is dan het enige toegelaten alternatief, maar dat zal er ook niet snel zijn bij publiceren van gestolen informatie.

Mede via Volledig bericht, pardon Boek 9.

Arnoud

CBP: regels privacy en persoonsgegevens op internet, nu definitief

Geplaatst op in Privacy, 5 reacties

Een verjaardagskadootje dat me niet eens was opgevallen. Op 11 december publiceerde College bescherming persoonsgegevens (CBP) de definitieve tekst van de Richtsnoeren ‘Publicatie van persoonsgegevens op internet’ (PDF). Deze Richtsnoeren leggen uit hoe het CBP vindt dat de Wet Bescherming Persoonsgegevens toegepast zou moeten worden op internet, met name bij websites en forums.

Veel kritiek, pardon feedback over het omgaan met persoonsgegevens van minderjarigen. Je mag geen stamboom met daarin de naam van je kind publiceren, om eens wat te noemen. Maar, iets belangrijker, sites zoals Hyves, Sugababes en CU2 zijn illegaal bezig omdat ze kinderen profielen laten aanmaken zonder expliciet toestemming aan de ouders te vragen. Deze regel zal grote problemen op gaan leveren voor veel sites, nu meer dan 90 procent van alle jongeren regelmatig online bezig is en 58% vaak gebruik maakt van zulke sites. Toch vindt het Cbp het door haar gepropageerde strenge regime belangrijk:

Bij publicatie op internet moet echter rekening worden gehouden met het feit dat de gevolgen pas jaren later merkbaar kunnen worden, door koppeling van gegevens over een persoon door de tijd heen, of omdat een jongere zich in een nieuwe omgeving (bijvoorbeeld bij wisseling van school) op een andere manier wil kunnen ontwikkelen dan voorheen.

Ook handhaaft het Cbp de opvatting dat een IP-adres een persoonsgegeven is (in combinatie met een datum en tijdstip). Hierop was de nodige kritiek gekomen, omdat IP-adressen eigenlijk bij elke communicatie via internet nodig zijn en de Wbp zo wel heel ruim uitgelegd wordt. Maar deze brede uitleg past binnen de wet en de Europese privacyrichtlijn.

Als laatste bleek er veel verwarring te zijn over de verschillende begrippen, en met name wat de bijbehorende consequenties zijn. Zo gaat het vaak over de “verantwoordelijke” voor een verwerking van persoonsgegevens. Deze term lijkt te suggereren dat je die persoon dan dus aan kunt spreken op de gevolgen. Verantwoordelijkheid op grond van de Wbp is echter iets anders dan aansprakelijkheid. Je kunt verantwoordelijk zijn voor een verwerking zonder aansprakelijk te zijn voor de gevolgen. Zo is Youtube niet aansprakelijk voor schade door een daar gepubliceerd filmpje waar iemand herkenbaar op te zien is. Pas als Youtube getipt wordt, en men het filmpje dan niet weghaalt, kan dat anders worden.

De beheerder van een discussieforum is daarentegen wel verantwoordelijk én aansprakelijk voor persoonsgegevens die op zijn forum geplaatst worden. Een goed moderator-team is dus erg belangrijk. Het Cbp gaat nog een stapje verder:

Houders van websites of forums zijn onder de Wbp ook verantwoordelijk voor onjuiste of onnodige vermeldingen van persoonsgegevens door de bezoekers van hun publicatie. De verantwoordelijke moet daarom actief modereren om aperte onrechtmatigheden te voorkomen, zeker als het gaat om bijzondere gegevens, zoals strafrechtelijke of gezondheidsgegevens (zie hoofdstuk I paragraaf 8). Om onrechtmatigheid van de publicatie te voorkomen, dienen verantwoordelijken ervoor te zorgen dat bijdragen alleen gepubliceerd kunnen worden op tijdstippen dat er moderatie aanwezig is.

Dat wil niet zeggen dat het dus verplicht is om alleen publicaties na moderatie te laten verschijnen. Wie die strenge regel hanteert, zit goed volgens het Cbp. Wie dat niet doet, loopt het risico dat er een bijdrage op het forum komt die achteraf gezien iemands privacy schendt. Maar als dat niet gebeurt, is er geen juridisch probleem.

De regels zijn officieel gepubliceerd in de Staatscourant 2007, 240, pag. 27.

Eerste commentaar bij Netkwesties.

Arnoud