Privacy Archieven - Pagina 5 van 30

Mag een bedrijf een datalek-publicatie offline halen?

Geplaatst op 1 september 201525 augustus 2015 in Ondernemingsvrijheid, Privacy, 3 reacties

persoon-persoonsgegeven-veilig-hek-beschermd-lek-data Een lezer vroeg me:

Kan een bedrijf als Ashley Madison iedere website offline halen die hun gelekte data publiceert? Ik snap dat ze bepaalde rechten hebben op die data, maar er is toch ook zoiets als het algemeen belang, kunnen weten of je getroffen bent door deze datalek?

Vorige maand werden bij de datingsite data gestolen van 32 miljoen gebruikers, inclusief namen, adressen en creditcardtransacties. Kort daarna verschenen diverse sites waar deze data op gepubliceerd werd, zoals https://ashleymadisonleakeddata.com/

Wie nu op die site kijkt, ziet echter “I received a takedown notice from Avid Dating Life Media, Inc. so I’m forced to shut down this site”. De datingdienst heeft onder de Digital Millennium Copyright Act een bezwaar gestuurd: deze publicatie schendt ons auteursrecht en moet onmiddellijk offline. Onder het Amerikaans auteursrecht moet een hoster daar gehoor aan geven, en pas daarna gaan we eens uitzoeken hoe het zit.

Althans, áls er een geldig auteursrecht wordt geschonden. En dat kun je je ten zeerste afvragen. Voor auteursrecht is vereist dat de maker enige creativiteit in het werk stopte. Enkel veel data verzamelen of hard werken om het werk te maken, is gewoonweg niet genoeg. Niet bij ons en niet in de VS.

Ik zou werkelijk niet weten welke creativiteit er zit in een klantenbestand. In Europa bestaat er nog het databankrecht, waarmee je als producent van een dataverzameling rechten kunt claimen. Maar dat recht kennen ze niet in de VS.

Natuurlijk kun je zo’n bestand je “intellectual property” noemen, maar dat is een term zonder juridische betekenis. Data is geen eigendom, en “intellectueel eigendom” is jargon voor auteursrecht, octrooien en dergelijke. Meer niet. Je kunt je dus bij de rechter niet op je IP beroepen als je geen auteursrecht (of dergelijk recht) kunt aanwijzen.

Dus nee, ik heb geen idee op welke grond Ashley Madison meent dat zij een takedown mogen doen van die data.

Daar staat wel tegenover dat publicatie van die data de privacy schendt van de getroffen gebruikers. Daarmee zou je dus wel tegen de wet handelen. Alleen is dat niet iets waar het bedrijf iets tegen kan doen: een privacyschending is het probleem van de getroffen burger, niet van het bedrijf.

Bovendien geldt in de VS dan nog de specifieke regel dat je als hoster nóóit gehouden bent data te verwijderen op welke grond dan ook (zelfs als de inhoud strafbaar is), behalve bij auteursrechtinbreuk. Bij ons is dat breder: je moet als hoster optreden bij iedere evidente overtreding van de wet, dus ook bij privacyzaken. In Europa zou een getroffen persoon dus kunnen eisen dat zijn data offline gaat.

Arnoud

Gastblog: Gebruik van modelcontractbepaling vergt extra justificatie. Omgekeerde wereld?

Geplaatst op 19 augustus 201527 juli 2015 in Privacy, 10 reacties

Omdat ik met vakantie ben vandaag een gastbijdrage. Vandaag: Marc Steenbergen over de Europese modelbepalingen voor export van persoonsgegevens.

De Data Protection Directive (officieel “Directive 95/46/EC on the protection of individuals with regard to the processing of personal data and on the free movement of such data”) is de richtlijn binnen de Europese Unie met betrekking tot het verwerken van persoonlijke data. Sinds 1995 is dit een belangrijke onderdeel van Europese wetgeving over privacy en mensenrechten. In Nederland is de richtlijn omgezet in de Wet bescherming persoonsgegevens. In België geldt de Privacywet.

De huidige EU Data Protection Directive 95/46/EC houdt geen rekening met belangrijek aspecten zoals globalisatie en technologsiche ontwikkelingen zoals social networks, cloud computing, etc. De Europese Commissie heeft daarom bepaald dat een nieuwe richtlijn noodzakelijk is, die tevens een belangrijke rol kan spoelen in het bereiken van een “single digital market” binnen de EU. De verwachting is dat er in de loop van 2016 een definitief akkoord zal zijn over de nieuwe General Data Protection Regulation, die vanaf dat moment voor alle landen in de Europese Unie zal gelden.

Om gegevensuitwisseling tussen de Verenigde Staten (VS) en Europa mogelijk te maken waarbij door Amerikaanse bedrijven voldaan wordt aan de EU Data Protection Directive 95/46/EC is het VS-EU Safe Harbour mechanisme in het leven geroepen. Amerikaanse bedrijven die voldoen aan het Safe Harbour framework zijn daarmee compliant met de EU Data Protection Directive 95/46/EC. Amerikaanse organsiaties die gebruik willen maken van het Safe Harbour mechanisme moeten onder regulering staan van de Federal Trade Commission of het Department of Transportation, waardoor bv. financiele instellingen en non-profit organisaties er geen gebruik van kunnen maken. En het bepalen of een Amerikaans bedrijf voldoet aan de Safe Harbour vereisten is iets wat dat bedrijf zelf mag doen (“self certification”). Met andere woorden: de slager keurt zijn eigen vlees. Dat is voor veel Europese bedrijven geen situatie waardoor men de vereiste zekerheden verkrijgt. Zo heeft de Duitse data protectie autoriteit recent verkaard dat zij er geen voorstander van zijn om data overdracht op basis van Safe Harbor goed te keuren. En de Europese Commissie heeft zich uitgesproken voor een update van de Safe Harbor afspraken.

Naast het Safe Harbor mechanisme zijn er nog twee andere mechanismen om veilige gegevensoverdracht te waardborgen: EU Model Clauses en Binding Corporate Rules.

Binding Corporate Rules zijn gedragsregels, gedefinieerd en gecontroleerd door nationale Europese autoriteiten, die door multi-nationale bedrijven geïmplementeerd dienen te worden om al het interne grensoverschrijdende dataverkeer in vereenstemming te laten zijn met de Europese wetgeving. De EU Model Clauses zijn standaard contracten voor de overdracht van data tussen EU en niet-EU landen. De Europese Raad en het Europees Parlement hebben de Europese Commissie begin van deze eeuw de bevoegdheid gegeven om te beslissen op grond van artikel 26 van Richtlijn 95/46/EG dat bepaalde modelcontractbepalingen voldoende waarborgen bieden met betrekking tot de bescherming van de privacy en de fundamentele rechten en vrijheden van personen, alsmede ten aanzien van de uitoefening van de bijbehorende rechten. De Europese Commissie heeft tot nu toe twee sets van modelcontractbepalingen vastgesteld: een set voor de overdracht van data controllers (“verantwoordelijken”) binnen de EU naar data controllers buiten de EU en een set voor de overdracht van data controller binnen de EU naar buiten de EU gevestigde data processors (“verwerkers”).

De afgelopen periode is het nodige te doen geweest rondom deze EU Model Clause. Sommige bedrijven gebruiken de EU Model Clauses al sinds ze beschikbaar gesteld zijn, in 2001. Andere partijen deden dat tot kort geleden niet, maar hebben recentelijk de terms & conditions van de EU Model Clauses geincorporeerd in eigen (cloud) contracten. Vervolgens hebben ze de Europese autoriteiten voor gegevensbescherming gevraagd om deze contracten goed te keuren. Nadat deze goedkeuring verkregen was, konden deze bedrijven het niet laten om luid van de kanseel te schreeuwen dat ze goedkeuring hadden gehad van de Europese Unie, met statements als “It is the only enterprise cloud that meets EU privacy law standards and be approved by the EU’s data protection authorities.” Dit heeft geleid tot verwarring in de markt omdat sommige eindgebruikers de perceptie kregen, of de perceptie werd aangepraat, dat alleen deze bedrijven compliant zouden zijn met de Europese wetgeving. Terwijl deze bedrijven in feite een probleem hebben opgelost wat ze jarenlang gehad hebben, daar waar andere bedrijven al die jaren lang al compliant waren aan de vereiste Europese wetgeving.

Navraag bij de EU 29 Working Group door partijen die sinds 2001 al exact de door de EU vastgelegde modelcontracten gebruiken, heeft (natuurlijk!) geresulteerd in de schriftelijke bevestiging dat zij compliant zijn met de Europese wetgeving. Wat logisch is, want dat is nou juist het principe van die model clausules!. En dergelijke schriftelijke bevestigingen worden dan weer gebruikt om eindgebruikersorganisaties duidelijk te maken dat de standaard EU Model Clause, “used ever since 2001”, toch echt voldoende is.

Eigenlijk vind ik dit best raar: er is een standaard. Een bedrijf heeft zich jarenlang niets gelegen laten liggen aan de EU Model Clause, besluit haar leven te beteren, incorporeert de EU Model Clause in haar contracten, vraagt confirmatie dat dit okee is, krijgt deze ook, en gebruikt dit voor tendentieuze marketingcommunicatie. Waardoor vervolgens partijen die vanaf dag 1 de standaard Eu Model Clause gebruikten gedwongen worden nog eens additioneel gaan uitleggen aan het publiek dat zij de standaard al sinds 2001 gebruiken, en dat de Europese autoriteiten dit nog eens expliciet hebben bevestigd dat dit die standaard goed is. Maar ja, het onderwerp data privacy is een uiterst gevoelig onderwerp, en terecht. Laten we daarom vooral goed en duidelijk, en feitelijk, blijven communiceren over de daartoe in het leven geroepen wetgeving. Want zoals Jim Barksdale, ex-CEO van Netscape ooit zei: “If we have facts ,let´s look at the facts. If we have opinions, let´s go with mine”.

Marc is Business Development Executive bij IBM. Dit artikel representeert zijn eigen mening en staat los van de opinie van zijn werkgever.

“Ik wil niet worden gefilmd”, is dat rechtsgeldig?

Geplaatst op 15 juli 201510 juli 2015 in Privacy, 27 reacties

Vele lezers vroeg me:

Je hebt vast dit filmpje gezien over een terrasruzie. Die ruziemakende dames willen niet gefilmd worden, en zeggen dat ook heel duidelijk. Hoe zit dat juridisch, moet je dan stoppen met filmen?

Aan de openbare weg heb je in principe niets te zeggen over gefilmd worden. Alleen als je in een heel duidelijke privésituatie zit waar de cameraman doorheen breekt (hij loopt achter je aan de bosjes in waar je nodig moet plassen) zou dat anders zijn. Nee, ook niet op grond van portretrecht: dat gaat over het publiceren van beelden. Dáár zit een belangenafweging in, die kort gezegd neerkomt op de vraag of de publicatiewaarde hoger is dan de privacy van de gefilmde personen.

Een terras is openbare weg, en behoorlijk openbaar ook. Iedereen kan daar zitten en iedereen kan je zien zitten. Net als in de bus of op het plein. Sommige terreinen zijn iets minder openbaar: een afgezonderd plekje achter een boom in het park, een douchehokje aan het strand. Dat is technisch misschien wel ‘openbaar’ maar daar gaan filmen vind ik toch wel dubieus.

Wat nu als je zegt dat je niet gefilmd wil worden? Dat is niet doorslaggevend. Toestemming is een factor bij die belangenafweging: wie nee zegt, hecht meer waarde aan zijn privacy dus dan moet er een hoger belang tegenover staan. Maar het is niet doorslaggevend. Als het nieuws is, dan is het nieuws ook als het object van het nieuws niet in beeld wil.

Is er in dit geval sprake van iets belangwekkends? Drie mensen krijgen ruzie op een terras: hoe hard loop je naast je schoenen als je eten terugstuurt omdat er een haar in zit, of waar bemoei je je mee als andere mensen een discussie met de ober hebben? En dan nog iets over Amsterdam versus Hengelo. Weinig verheffend allemaal, maar is dit nu nieuws, moet dit worden gemeld?

Heel belangrijk lijkt het me niet, en ruzie maken voelt ergens wel als een privékwestie. Aan de andere kant: je kúnt bij een ruzie ervoor kiezen even uit de openbare ruimte weg te lopen, dus vanuit dat perspectief is het een vrije keuze dat je blijft zitten op een openbare plek. Of niet? Als je aangevallen wordt, wordt je ineens gedwongen om jezelf te verdedigen en dan zou je ook nog eens weg moeten gaan van je terrasplekje? Dat voelt ook weer unfair.

Arnoud

Schoolcomputer slaat alarm bij zoekopdracht ‘jihad’

Geplaatst op 22 juni 201518 juni 2015 in Privacy, 21 reacties

keyboard Leerlingen die via de schoolcomputer zoeken naar of spreken over de jihad, kunnen in de toekomst een bezoekje verwachten van de vertrouwenspersoon. Dat las ik bij het AD gisteren. De krant typte een persbericht over van stichting Importunus dat software maakt die netwerkverkeer op ongewenste trefwoorden (“stomme school, ik ga naar Syrie meevechten in de jihad #yodo”) scant en dan een screenshot doorgeeft. Men wil daar een trefwoordenbestand maken dat over de jihad gaat, in plaats van alleen pest-trefwoorden of gescheld denk ik dan. Maar het roept bij mij meteen de vraag op: eh, wacht, wàt?

Systemen die op school netwerkverkeer of computers scannen op ongewenste dingen, bestaan al veel langer. Op zich is het niet raar dat een school pestgedrag en ander ongewenst gedrag wil monitoren, net zoals men wil monitoren wat de kinderen uitvreten op het schoolplein of achter het fietsenhok. Maar er zit natuurlijk wel een verschil tussen een leraar die even zijn hoofd naar buiten steekt en een stuk software dat elke conversatie checkt en bij een match op ‘poep’ een vertrouwenspersoon mailt.

Het is dan ook niet verwonderlijk dat het Cbp hier wat van vindt (bij BNR):

Als uiteindelijk het idee is voor een soort massaal volgsysteem voor kinderen – scholieren, onschuldige kinderen – dan gaat het om een zo massale inbreuk op de persoonlijke levenssfeer als ik het zwaar mag zeggen (…). Dan moet echt de allereerste vraag zijn: is dit, in dit verband en in deze context, nu echt nodig en kan dat nou niet anders?

(Meelezende juristen herkennen hier de wettelijke criteria ‘proportionaliteit’ en ‘subsidiariteit’.) Wat me dan gelijk verbaast, is dat de hier geciteerde Cbp-vicevoorzitter klinkt alsof dit de eerste keer is dat netwerkverkeer van leerlingen wordt gemonitord. Dit is echt niet nieuw, menig school doet dit al jaren. Stukje zorgplicht naar de ouders toe, zeg maar. Dus waarom is dit nu zo’n hype, dat je ‘yodo’ en ‘jihad’ kunt toevoegen aan die woordenlijst?

Meer algemeen: waarom is het géén hype dat leerlingen massaal worden gevolgd en gemonitord bij hun computergebruik?

Arnoud

Mag de werkgever met opt-out werken bij uitdiensttreding?

Geplaatst op 11 juni 20159 juni 2015 in Ondernemingsvrijheid, Privacy, 10 reacties

email-e-mail-elektronische-post-envelop Een lezer vroeg me:

Bij ons bedrijf krijg je in je laatste week een bericht dat een collega toegang krijgt tot je mailbox, en je kunt dan bezwaar maken als je het daar niet mee eens bent. Is dat wel rechtsgeldig? Bij privacydingen geldt toch een opt-in en niet een opt-out?

Er is geen algemene regel die zegt dat je bij alles omtrent privacy toestemming nodig hebt van de betrokken persoon. Dat zou immers onwerkbaar zijn als iemand overal nee op blijft zeggen, hoe onredelijk die nee ook zou zijn.

Opt-in is de hoofdregel, maar er zijn uitzonderingen mogelijk. Een uitzondering is het mogen verwerken van iemands persoonsgegevens omdat dat nodig is voor het uitvoeren van een contract. Een arbeidscontract is ook een contract, en een werkgever kan zich dus hierop beroepen mits hij kan aantonen dát het nodig is.

Ook is er een uitzondering ten behoeve van een dringend belang van de andere partij. Wie niet anders kan, hoeft geen toestemming te vragen. Natuurlijk ligt de bewijslast hierbij wel hoog, maar het kan. Denk aan het schrijven van een onthullend artikel over iemand: een privacyschending maar als de onthulling belangrijk is, dan toch gerechtvaardigd.

Bij deze vraag komt het eigenlijk altijd op hetzelfde neer: is het echt nodig dat die collega in de mailbox gaat kijken na uitdiensttreding, of is er een andere oplossing mogelijk? Alternatieven kunnen zijn dat je je mailbox zelf opschoont (maar doen mensen dat echt?), dat de collega alleen in de inbox kan en niet in mapjes, of dat er niet één maar twee mensen tegelijk kijken om onnodig snuffelen te voorkomen. Niet ideaal, maar werkbaar.

Arnoud

Trajectcontrole A2 schendt de privacy van automobilisten niet

Geplaatst op 13 mei 201512 mei 2015 in Privacy, 27 reacties

a2-trajectcontrole-privacy Het trajectcontrolesysteem op de A2 is rechtmatig en schendt de privacy van automobilisten niet, las ik bij NRC. Iets preciezer: de eventuele inbreuk op de privacy van gebruikers is dusdanig gering dat het belang van de overheid het mag winnen. Dat besliste de rechtbank Utrecht gisteren in een zaak aangespannen door stichting Privacy First.

De voorzitter van de stichting had een boete gekregen voor 8km te hard rijden op de A2 binnen het trajectcontrolegebied. Hij ging in beroep bij de rechtbank, omdat deze trajectcontrole impliceert dat men alle kentekens van alle passerende auto’s fotografeert en daarmee de privacy van alle automobilisten schendt.

Daarvoor had hij een belangrijk argument: er moet ergens een wetsartikel zijn dat zegt dát men persoonsgegevens (kentekens) mag verzamelen. Een specifiek wetsartikel is er niet, sterker nog dat wordt nu gemáákt vanuit de behoefte dingen te kunnen doen met deze trajectinformatie.

Echter, de rechter ziet die basis in artikel 3 Politiewet, de algemene grondslag voor de politie om haar werk te doen (“daadwerkelijke handhaving van de rechtsorde”). Dat artikel staat inderdaad in principe alles toe, maar vereist echter wel dat er bij het handhaven geen schending van grondrechten plaatsvindt. En dat is volgens de rechter hier niet het geval:

Daarbij neemt de kantonrechter uitdrukkelijk in overweging dat er naar zijn oordeel sprake is van een geringe mate van inbreuk, dat de registratie bij niet-overtreders binnen 72 uur wordt gewist en dat weggebruikers door bebording op de hoogte worden gesteld van het bestaan van de controle en zich daarmee bewust kunnen zijn van de plaatsvindende registratie.

Ook het argument dat onschuldige, keurig-zich-aan-de-snelheid-houdende burgers ook worden aangetast in hun privacy mocht niet baten. Dat is immers niet erg, want de computer werkt nu eenmaal zo:

Het is immers inherent aan het succesvol kunnen inzetten van het gebruikte systeem dat alle kentekens bij binnenkomst van het traject en bij het verlaten ervan worden geregistreerd. Dat daarbij, voor zolang als nodig voor de uitvoering van deze taak, gegevens van niet overtreders worden opgeslagen, is dan ook onontkoombaar en maakt bedoelde koppeling niet onjuist.

Wàt. Echt wàt. Omdat het nodig is voor het systeem, is het geen inbreuk op grondrechten?

Oh ja, en een trajectcontrole is minder erg dan een flitspaal omdat bij trajectcontroles je per auto (aan de hand van RDW-gegevens) kunt vaststellen wat zijn maximumsnelheid is en op die basis gericht kunt beboeten. Dus een auto met aanhanger zou een boete krijgen bij 100 rijden, en een motorfiets niet. Handig, maar hoe dat relevant is voor de privacy van de burger ontgaat me.

Het voelt voor mij als een gevalletje “leuk bedacht, bijdehante bezwaarmaker, maar dit gaan we echt niet doen”. Misschien als gevolg van het feit dat half Nederland de hobby heeft om geautomatiseerd bezwaar te maken tegen verkeersboetes met de vreemdste argumenten. Ook hier gaat dan gelden: je krijgt de schijn tegen. En ik ben bang dat dat nu Nederland z’n autorijdende privacy heeft gekost.

Arnoud

Bij een vechtscheiding mag je geen foto’s van je kinderen twitteren, ook niet als BN-er

Geplaatst op 13 februari 201510 februari 2015 in Privacy, 5 reacties

Wie in een echtscheiding bij de rechter zit, mag zich niet ondertussen op sociale media (of in roddelbladen of kranten) uitlaten over wat daar zoal gebeurt. Dat blijkt uit een arrest (via) van het Hof Amsterdam over de langlopende vechtscheiding van een Bekende Nederlander.

Ik aarzel of ik moet zeggen dat het om Emile Ratelband gaat, maar goed: de man was verwikkeld in een echtscheiding en diverse roddelbladen gaven daar aandacht aan. Hij werkte daaraan mee, onder meer door interviews te geven en op Twitter foto’s van hemzelf en de kinderen te plaatsen en teksten over zijn vrouw te plaatsen.

De rechter had in eerste instantie een verbod uitgesproken over het doen van mededelingen over zaken die te maken hadden met de echtscheiding, waaronder ook de kinderen worden gerekend. Dat kan, omdat de wet een expliciete geheimhoudingsplicht kent bij dergelijke procedures die met gesloten deuren worden gevoerd(art. 29 Rechtsvordering):

Het is aan partijen verboden aan derden mededelingen te doen omtrent: het verhandelde op een terechtzitting met gesloten deuren of een terechtzitting waarbij slechts bepaalde personen zijn toegelaten; (…).

Daartegen was hoger beroep aangespannen. Praten over je kinderen en wat je vrouw doet met de alimentatie is toch niet hetzelfde als lekken over de processtukken? Het Hof vindt echter van wel:

De uitingen zoals hiervoor weergegeven hebben grotendeels betrekking op juist de kern van het debat in de echtscheidingsprocedure, namelijk de omgangsregeling met de kinderen en de alimentatie. [appellant] handelt aldus wel degelijk in strijd met het verbod van artikel 29 Rv. Daaraan doet op zichzelf genomen niet af indien de uitingen ook in een ander verband dan ter terechtzitting zijn gedaan.

Het doet er daarbij niet toe dat hij geen smadelijke of onjuiste opmerkingen heeft gemaakt. De wet zegt dat je gewoon niets mag zeggen over de onderwerpen van zo’n zitting, ook niet als je het netjes houdt. Dat is nogal bot, maar gezien de gevoelige situatie bij zo’n rechtszaak wel te begrijpen. Tegelijk kan ik me ook ergens wel voorstellen dat je je behoorlijk gefrustreerd voelt als zoiets je gebeurt, en dat dan “je moet je mond houden” wel érg vervelend en gevoelloos overkomt.

Er waren ook foto’s van de kinderen op sociale media gezet. Dat heeft niet echt veel meer met de rechtszaak te maken, maar er was wel een geschil over: de moeder wilde het niet, de vader wilde het wel. Op zich beslissen de ouders over wat er gebeurt met de privacy (en persoonsgegevens) van hun kinderen. Maar omdat men daar hier niet uitkwam, beslist de rechter dan (art. 1:253a BW):

Het hof is van oordeel dat het plaatsen van beeldmateriaal van de kinderen in de (sociale) media in dit geval dermate ingrijpend is voor het leven van de kinderen dat, bij onenigheid daarover tussen de ouders die gezamenlijk met het gezag over de kinderen zijn belast, een gezagsvoorziening als bedoeld in artikel 1:253a BW getroffen dient te worden.

Er was al een “dringend advies” van de Raad voor de Kinderbescherming uitgebracht waaruit bleek

dat het uitermate schadelijk en stigmatiserend is voor de kinderen wanneer zij geconfronteerd worden met informatie uit de media aangaande de problematiek van partijen.

en dat lijkt me niet meer dan logisch. Het Gerechtshof volgt dat advies dan ook terecht. Het vonnis blijft in stand en hij mag niet meer twitteren over de echtscheiding, of interviews daarover geven, of foto’s van de kinderen delen op sociale media.

Maar de vrijheid van meningsuiting dan? Dat was in feite de kern van de klacht in hoger beroep. Die is niet onbeperkt: als er een wettelijke grondslag is voor een inperking daarvan, en die wet dient een legitiem doel én er is in feite geen andere keuze dan die inperking voor dat doel, dan mag het. Die wettelijke grondslag is er (art. 29 Rechtsvordering en 1:253a BW), en het legitieme doel is het beschermen van de wederpartij (en de kinderen) bij de scheiding is er ook. En dat dit verbod noodzakelijk is, vind ik eigenlijk vanzelfsprekend, hoe pijnlijk het ook is als je je mond moet houden over zo’n vervelende situatie.

Arnoud

Heb je van beide ouders toestemming nodig om een kinderfoto op Facebook te zetten?

Geplaatst op 11 november 201410 november 2014 in Privacy, 22 reacties

Een lezer vroeg me:

Bij het verjaardagsfeestje van mijn zoon heb ik alle ouders gevraagd om toestemming om wat foto’s op Facebook te zetten. Die kreeg ik, maar achteraf kreeg ik van een (niet bij het feest) aanwezige vader een licht verbaasde mail waarom ik dat zo deed. Na uitleg dat zijn vrouw dit goedgekeurd had, vond hij het ook goed, maar ik vroeg me toen af: had hij het kunnen verbieden, oftewel was mijn toestemmingsvraag wel juridisch in orde?

Voor privacygerelateerde zaken van kinderen (personen onder de zestien) is inderdaad in beginsel toestemming van de ouders nodig. Dat staat in de Wet bescherming persoonsgegevens (Wbp). Er zijn wel uitzonderingen maar die zijn erg beperkt en volgens mij niet relevant bij een verjaardagsfoto. De vraagsteller heeft het dus correct aangepakt.

Wanneer beide ouders het gezag hebben over het kind, moeten ze eigenlijk allebei toestemming geven. (Overigens moeten ze daarbij ook het belang van het kind in het oog houden.) Dit zou echter een lastige situatie geven voor personen als de vraagsteller; heb je net een duidelijk ‘ja’ gekregen van de moeder, komt de vader een dag later met ‘ho ho nee nee’. Wat moet je dan?

De Wbp regelt dit niet expliciet, dus je moet dan terugvallen op de algemene regels uit het recht. En die bieden gelukkig een regel voor dit soort situaties. Art. 3:35 BW bepaalt dat als je redelijkerwijs mag vertrouwen op iemands mededeling dan is die persoon eraan gebonden. En art. 3:61 BW zegt dat als je erop mag vertrouwen dat een persoon namens een ander mag spreken, dat dan die ander eraan is gebonden.

De vraag is natuurlijk altijd wanneer je van redelijkerwijs gegeven vertrouwen mag spreken, maar specifiek bij de situatie dat een ouder een mededeling doet over wat er wel of niet mag met een kinderportret zou ik dat eigenlijk altijd wel willen aannemen. Het is volstrekt irreëel om van de wederpartij te verwachten dat die na zo’n toezegging nog de vader zou moeten benaderen om een bevestiging te krijgen.

Wel is het zo dat toestemming gegeven onder de Wbp te allen tijde kan worden ingetrokken (art. 5 Wbp). Dus zelfs als je onder bovenstaande redenering echt bindende toestemming hebt verkregen van moeder én vader, dan moet je na intrekking (wat die vader dan kan doen) de foto alsnog verwijderen of het betreffende kind uitblurren.

Je zou natuurlijk tegen de intrekking kunnen inbrengen dat je dáár twijfels hebt over de bevoegdheid mede namens de moeder te spreken. In gewone taal “sorry willen jullie dit eerst even onderling afstemmen en dán zeggen wat je wilt” reageren dus.

Arnoud

Mag mijn werkgever structureel chatberichten monitoren?

Geplaatst op 25 september 201424 september 2014 in Ondernemingsvrijheid, Privacy, 13 reacties

lync-chat-scherm Een lezer vroeg me:

Op mijn werk gaat het hardnekkige gerucht dat het management monitort wat we met elkaar bespreken via Lync, het chatprogramma dat onderdeel is van Microsoft Office. Stel dat dit waar is, wat kunnen we daaraan doen?

In theorie zou het gerucht eenvoudig te verifiëren moeten zijn. Om ICT-handelingen van werknemers te mogen monitoren, is een ICT-reglement waar dat in uitgelegd staat verplicht. Je kunt dus het reglement erbij pakken en nagaan of erin staat dat men Lync (of in het algemeen, chatdiensten etc) mag monitoren.

Natuurlijk kan men dingen doen zonder dat gedocumenteerd te hebben maar dat is toch echt tegen de wet. Een werkgever mag geen privacy van werknemers schenden zonder een duidelijke gedocumenteerde basis. Doen ze dat toch, dan kan de werknemer een schadeclaim indienen mits hij kan onderbouwen welke financiële schade hij heeft.

Daarnaast is er altijd de eis dat de schending gerechtvaardigd wordt door een dringende noodzaak én dat de maatregel proportioneel en subsidiair is: het kon niet anders dan op deze manier.

Bij gericht monitoren van een medewerker die al is aangesproken op bv. ongepast taalgebruik of overmatig chatten kan ik me daar wat bij voorstellen. Maar bij het algemeen loggen en monitoren van iedereen zijn of haar chats eigenlijk niet. Het is haast per definitie niet proportioneel om alles te loggen of met alles mee te luisteren.

Het verbaast me wel eens dat dit soort dingen binnen een ICT context normaal lijken te zijn. Terwijl als je het vertaalt naar een analoge context het snel bizar wordt: welke directie gaat onder elk bureau een verborgen microfoon ophangen of met richtmicrofoons de kantine afluisteren?

Arnoud

Is Googles Eemshavens datacenter nou privacytechnisch spannend?

Geplaatst op 24 september 201423 september 2014 in Informatiemaatschappij, Privacy, 9 reacties

Google gaat in de Eemshaven in Groningen een enorm datacenter bouwen., las ik bij NRCQ. Het datacenter zal zo’n 150 banen in Nederland opleveren en vertegenwoordigt een investering van minstens 600 miljoen euro. Waarop iedereen dacht: ja maar wacht eens, valt dat datacentrum niet onder Amerikaanse (privacy- en andere) jurisdictie? Althans, als ik mijn inbox mag geloven.

Eh, nee. Als je in Nederland iets bouwt, dan valt dat iets onder Nederlands recht. Of het nu een datacentrum is, een chemische fabriek of een ambassade. Want nee, een ambassade is géén grondgebied van de gast maar gewoon van het gastland (bij ons Nederland dus). Het Verdrag van Wenen bepaalt dat diplomaten en diplomatieke vertegenwoordigingen immuniteit of onschendbaarheid genieten in de landen waar ze te gast zijn (artikel 22) en dat niemand een ambassade mag betreden zonder toestemming van de ambassadeur.

Verder maakt het specifiek voor de privacy totaal niet uit of het datacentrum onder Nederlands of Amerikaans recht zou vallen. De privacywet kijkt niet naar waar de data staat, maar om wiens data het gaat. En is dat data van Nederlanders, dan geldt daarop de Nederlandse privacywet (die afgeleid is van de Europese).

De privacywet bepaalt dat persoonsgegevens niet mogen worden verwerkt in landen waar geen adequaat beschermingsniveau geldt voor zulke gegevens. De VS is het schoolvoorbeeld van zo’n land – ze hebben daar niet eens een wet die iets zegt over persoonsgegevens.

Google mag dus best hier een datacentrum neerzetten en daar gegevens van Nederlanders in opslaan. Ze moet er alleen voor zorgen dat die gegevens binnen Nederland, althans binnen Europa, blijven en met name dat Amerikaanse overheden daar niet bij kunnen.

En dat wordt nog een lastige voor het Amerikaanse bedrijf, tenzij concurrent Microsoft haar hoger beroep wint over het moeten afgeven van data uit haar dochterondernemingsdatacentrum in Iederland. Of Google moet het datacentrum alleen gebruiken voor niet-persoonsgegevens. Maar dat lijkt me sterk.

Arnoud