Identity management: This Is Me (op Security.NL)

Intrigerende column van Peter Rietveld bij Security.NL:

Naymz.com is een ‘sociale netwerksite’ voor Reputation Management for Professionals. Een soort LinkedIn dus. Maar met een interessant verschil: voor een heleboel mensen is er alvast een profiel aangemaakt. Ben je één van die gelukkigen en tref je je eigen naam aan, dan kun je zeggen “This Is Me”. Vervolgens kun je een wachtwoord kiezen en je profiel verder aanvullen en in gebruik nemen. Volgens de Terms of Use mag je je niet voor een ander uitgegeven. De rest van de Terms of Use gaan over vunzige content, de belangen van de aanbieder – kortom het feit dat je volledig aan de wolven bent overgeleverd als er iets misgaat. En als iemand anders je naam en profiel inpikt, ben je gebonden aan Terms of Use die je nooit gezien hebt… Op Naymz.com heb ik lekker zitten rondklikken en nu ben ik een heleboel verschillende mensen.

Dergelijk misbruik kan – hoewel iets minder eenvoudig – op alle sociale netwerksites. De feitelijke identificatie is namelijk meestal het e-mail adres. Ik kan een profiel aanmaken dat verdacht écht overkomt, zeker als ik het échte CV van iemand heb. Een leuke query op google met CV en filetype:doc levert genoeg kandidaten op om vrolijk te gaan klieren.

Lees verder in This Is Me door Peter Rietveld.

Arnoud

Briefgeheim voor privéberichten bij forums

De meeste forumsoftware heeft de mogelijkheid ingebouwd om deelnemers elkaar privéberichten (pb’s) te laten sturen. Alleen de ontvanger kan die dan lezen – en de beheerder natuurlijk, want de beheerder kan alles. Maar mag dat wel, zo vroeg een lezer van deze blog me onlangs.

Ik zou zeggen van niet, tenzij de beheerder een dringende reden heeft die te maken heeft met de goede werking van het forum. Het heet niet voor niets privébericht: mensen verwachten dat de inhoud daarvan privé is en blijft. En dan hebben zij er recht op dat de beheerder uit het bericht blijft.

Een dringende reden kan bijvoorbeeld zijn dat iemands inbox verstopt is, dat de beheerder een bevel van justitie kreeg om de inhoud van een pb af te geven of dat de virusscanner aangaf dat er een probleem was met een bericht.

Er is geen briefgeheim voor e-mail, en dus ook niet voor privéberichten op forums. Maar specifiek voor beheerders (administrators) zijn er wel regels over geheimhouding van privé communicatie van gebruikers.

Medewerkers van bedrijven die een telecommunicatiedienst (“dienst die geheel of gedeeltelijk bestaat in het overbrengen van signalen via een elektronisch communicatienetwerk”) aanbieden, zijn strafbaar als ze kennisnemen van de inhoud van die overgebrachte communicatie. artikel 273d Wetboek van Strafrecht. Afhankelijk van hoe je de definities leest is goed verdedigbaar dat de beheerder van een forum daar ook onder valt.

Je zou als beheerder in je forumreglement kunnen aangeven dat alle berichten, ook pb’s, gelezen worden. Dan wordt het een ander verhaal. Als je weet dat alles gelezen zal worden, heb je geen privacy. Maar dat moet dan wel heel expliciet vermeld worden, ik zou zelfs zeggen bij het scherm waar je de pb’s schrijft.

Arnoud

Miljoenen kinderprofielen illegaal wegens schending privacywet

Alle profielen met persoonsgegevens van kinderen tot 16 jaar op sites als Sugababes/Superdudes, Hyves en Cu2 zijn in feite illegaal, meldt Planet naar aanleiding van een symposium over sociale netten, tieners en privacy gisteren. Inderdaad.

<BR/>Privacy
Planet citeert artikel 37 van de Wet Bescherming Persoonsgegevens, maar veel relevanter is en ook het hoofdartikel artikel 5. Dit artikel bepaalt dat de voor verwerking noodzakelijke toestemming door de ouders gegeven moet worden als de persoon in kwestie nog geen zestien jaar is. Artikel 37 gaat alleen over verzoeken tot verwijderen of corrigeren van gegevens.

Hyves, Habbo en al die anderen schenden dus de privacywet omdat ze de ouders niet om toestemming vragen om profielen van minderjarige deelnemers aan te maken en te publiceren.

In Nederland is het namelijk alleen toegestaan om iets te doen met persoonsgegevens als er toestemming is van de betrokkene, de persoon om wiens persoonsgegevens het gaat. Zonder toestemming persoonsgegevens verwerken mag alleen onder strenge voorwaarden en in hele specifieke gevallen. Een krant mag bijvoorbeeld iemands naam publiceren als dat relevant is voor een verhaal. Een site mag persoonsgegevens verwerken in het kader van beveiliging, bijvoorbeeld door IP-adressen en gebruikersnamen te loggen.

Als de betrokkene dus nog geen zestien is, moeten de ouders die toestemming geven. Zoals Sjaak Nouwt van de Universiteit van Tilburg al uitlegde, zijn de regels hier strenger dan bij kinderen die iets kopen in de winkel. Ook daarvoor is formeel toestemming van de ouders nodig, maar die wordt geacht te zijn gegeven als de aankoop “normaal” is voor een kind van die leeftijd. Bij de privacywet moeten ouders echt elke keer expliciet die toestemming geven, en mag de site niet aannemen dat deze gegeven is omdat vrijwel alle kinderen online zitten.

Arnoud

Forumlid worden als minderjarige vereist toestemming ouders

“Ik stem toe met de voorwaarden en ben ouder dan 13 jaar.” Wie zich op een Nederlandstalig forum registreert dat phpBB gebruikt, moet op deze zin klikken om de registratie te voltooien. Die zin is rechtstreeks afkomstig uit de Amerikaanse versie, waar de Children’s Online Privacy Protection Act eist dat forumbeheerders uitdrukkelijke toestemming van de ouders moeten vragen voordat ze personen onder de 13 jaar lid mogen laten worden van het forum.

De Nederlandse wet is veel strenger. Voor personen onder de zestien jaar is toestemming van diens ouders of verzorgers nodig.

Minderjarigen (personen onder de achttien) kunnen alleen overeenkomsten sluiten als zij daarvoor toestemming hebben van hun ouders of verzorgers. Een overeenkomst zonder toestemming kan altijd door de ouders worden teruggedraaid. De wederpartij heeft dan pech; hij kan zich niet beroepen op bijvoorbeeld het feit dat hij dacht dat de koper meerderjarig was. Registratie bij (lid worden van) een forum is ook een overeenkomst en valt dus ook onder deze regel.

De toestemming wordt verondersteld te zijn gegeven als de overeenkomst voor personen van diezelfde leeftijd gebruikelijk is. Een twaalfjarige kan dus rechtsgeldig een blikje cola kopen op het station. Een zeventienjarige kan een mountainbike kopen. De ouders van deze twee kunnen daar niets tegen beginnen.

Internet is natuurlijk erg populair onder jongeren, dus je kunt goed verdedigen dat lid worden van een internetforum gebruikelijk is. Daarmee is het voor jongeren toegestaan om zich zonder expliciete toestemming van hun ouders op te geven. Zou je denken.

De spelbreker hier is namelijk de artikel 5 van de Wet Bescherming Persoonsgegevens. Bij registratie op een forum geef je namelijk persoonsgegevens aan de site. Daarvoor is toestemming van de ouders nodig als de minderjarige de leeftijd van zestien jaren nog niet heeft bereikt.

En die toestemming moet altijd expliciet worden gegeven. De regel hierboven van “verondersteld te zijn gegeven” geldt hier niet.

Het “ik ben ouder dan dertien” moet in Nederland dus “ik ben minimaal zestien” worden.

En dat realiseren zich maar weinig sites. Habbo Hotel: “wanneer je jonger bent dan 12 jaar”). Myspace “verklaart en garandeert u dat … u 14 jaar of ouder bent”. Sugababes en Superdudes: “Je moet minimaal 13 jaar zijn om lid te mogen worden”. Hyves: stelt geen eisen. TMF: idem. De Nederlandse vertalers van phpBB bevelen zelfs aan de hele controle te verwijderen.

De Richtsnoeren persoonsgegevens op internet van het College Bescherming Persoonsgegevens leggen uit waarom:

De dagelijkse gang van zaken op internet is dat veel jongeren gedetailleerde informatie over zichzelf en hun vrienden en kennissen publiceren op internet, op een eigen website of in sociale netwerkomgevingen. Zo lang de betrokkenen geen hinder ondervinden van dergelijke publicaties, kan het wettelijk toestemmingsvereiste daarbij soms zinloos lijken. Bij publicatie op internet moet echter rekening worden gehouden met het feit dat de gevolgen pas jaren later merkbaar kunnen worden, door koppeling van gegevens over een persoon door de tijd heen, of omdat een jongere zich in een nieuwe omgeving (bijvoorbeeld bij wisseling van school) op een andere manier wil kunnen ontwikkelen dan voorheen.

Arnoud

Het bedrijfsleven als politieagent

Wat kocht je vorig weekend bij Albert Heijn? Waar was je gisteren toen je twintig minuten met je vriendin belde? Welke films huurde je? Wat is je banksaldo? Welke websites bezocht je? Hoe lang? En welke afbeeldingen heb je gedownload?

Zo begint een mooi overzichtsartikel in Intermediair getiteld Bedrijven moeten steeds meer gegevens verzamelen.

Sinds 1 januari vorig jaar kan de overheid al deze informatie opvragen door de invoering van de Wet Vorderen Gegevens. Straks, vermoedelijk eind dit jaar, kan de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) al deze bestanden aan elkaar koppelen en met slimme software doorzoeken op verdachte verbanden.

En niet alleen de AIVD. Ook de politie kan steeds meer gegevens over steeds meer handelingen van de burger opvragen. Bij de bank. Bij de Albert Heijn. Bij de videotheek. Bij de mobiele telefoonoperator. Wat blijft er zo nog over van de online privacy?

Ik heb niets te verbergen, denkt u misschien. Maar vergeet niet, we hebben privacy-regels om dezelfde reden dat de politie een afdeling Interne Zaken heeft. Mooi voorbeeld uit 2005: meer dan tweehonderd agenten gluren in het dossier van voetballer Van Persie na diens arrestatie. Ik snap best dat ze dat willen, maar dat moet niet kunnen.

Via Opinieweblog.

Arnoud

VisitorVille toont bezoekers websites in game-layout

Dit is wel een hele mooie manier om te laten zien dat IP-adressen persoonsgegevens zijn: een visualisatie in Simcity-stijl van de logfile van je website. Door VisitorVille.

Via Digitaal Inlichtingenwerk Zeeuwse Bibliotheek, dat nog uitlegt:

Er verschijnt een voorstelling van een stad als in Sim City, waarbij de gebouwen alle afzonderlijke pagina’s vertegenwoordigen, de rondrijdende bussen de zoekmachines en alle avatars de bezoekers van dat moment.

De Google-bus is wel een hele grote dan.

Arnoud

Publiceren IP-adres van gebruikers forum

Nog maar eens een lezersvraag:

Bij een forum waar ik regelmatig post, wordt het IP-adres van elk bericht bij dat bericht getoond. Nou snap ik dat ze IP-adressen bijhouden in verband met mogelijk misbruik, maar mogen ze het adres zo aan iedere andere bezoeker laten zien?

Een IP-adres is, samen met een datum en tijd van gebruik van dat adres, te herleiden tot een persoon. Je hebt daar de hulp van een provider bij nodig, maar het kan. Daarom is een IP-adres een persoonsgegeven.

Forumbeheerders houden wel vaker bij elk bericht bij vanaf welk IP-adres het geplaatst is, en natuurlijk ook wanneer. Dat is volgens de Wet Bescherming Persoonsgegevens een verwerking van persoonsgegevens. En verwerking mag alleen als je dit vooraf aanmeldt bij het College Bescherming Persoonsgegevens.

Specifiek voor dit soort verwerkingen is er een vrijstelling: de controle op en het beveiligen van de computersystemen of computerprogramma’s, en ook verwerking voor het beheer van de systemen of programma’s” hoeft niet te worden aangemeld. Forums hoeven hun logfiles dus niet aan te melden bij het CBP.

Publicatie van het IP-adres is ook een verwerking. Die mag alleen als “de betrokkene zijn ondubbelzinnige toestemming heeft verleend voor de gegevensverwerking”. Het zal dus expliciet in het reglement moeten staan, en liefst ook nog een keertje apart bij het formulier waar je je reactie kunt typen.

Waar heel veel forums (en Wikipedia trouwens ook) de fout in gaan, is dat de wet eist dat je de gegevens na zes maanden verwijdert. Ik ken geen forum waar IP-adressen na zes maanden onzichtbaar worden.

Arnoud

Privacy voor de Hyves-generatie

Het privacy project, een mooi nieuw initiatief over privacy voor de Hyves-generatie. Zoals Opiniewebloguitlegt:

Documentaires over privacy zijn vrijwel altijd gemaakt vanuit het standpunt van mensen van boven de vijfendertig. De Web 2.0 generatie, die met internet, webcams en mobiele telefoons met ingebouwde camera is opgegroeid, komt er nauwelijks aan te pas. Terwijl juist zij er door het gebruik van nieuwe media en technieken een heel andere beleving van privacy op nahoudt. Vertrouwden jongeren vroeger hun diepste geheimen hooguit aan een dagboek toe, met de komst van Hyves, Flickr, Facebook en YouTube zijn ze veel opener geworden. Geheimen lijken zij niet meer te kennen. Gedachten, ideeën, foto’s, filmpjes, alles wordt gedeeld, niet alleen met elkaar, maar met de hele wereld.

Privacyproject.nl is een initiatief van Holland Doc, het multimediale podium voor documentaires van de Publieke Omroep

Arnoud

Auteursrecht op foto’s bestaat niet, aldus privacy-waakhond

In een artikel van het CBP foto’s en ander beeldmateriaal op internet een bijzonder opmerkelijk stukje:

Uw foto kan worden gezien als een bijzonder persoonsgegeven omdat het iets zegt over uw ras. De houder van de website mag geen foto’s van u op zijn website plaatsen zonder dat hij u daarover heeft geïnformeerd en uw uitdrukkelijke toestemming heeft gevraagd. Als u de beelden zelf openbaar heeft gemaakt, bijvoorbeeld door ze op uw eigen website te plaatsen, dan is het niet verboden om de foto verder te publiceren.

Ik denk dat de fotograaf toch nog wel iets te zeggen heeft over het herpubliceren van zijn foto’s.

Via Planet, wier vergelijking van het CBP met “een aap [die kijkt] naar een verroest horloge: niet wetend wat te beginnen” ik absoluut hilarisch vond.

Arnoud