Tag: Privacy

About Privacy

Subscribe Feeds

Wanneer mag je je personeel filmen?

Geplaatst op in Privacy, Security, 42 reacties

Uit de categorie veelgestelde vragen: wanneer mag je je personeel filmen? Of, anders gezegd zodat ik beter scoor in Google: wanneer mag de baas je filmen? En nog een keertje onder het mom “honden hebben een baas, werknemers een manager”: mag de werkgever je filmen oftewel cameratoezicht toepassen?

Cameratoezicht wordt gezien als een indringende inbreuk op de privacy, omdat je structureel mensen in de gaten houdt. Werknemers fotograferen of filmen op de werkplek of in een bedrijfsruimte mag dus ook niet zomaar. Het bekende bordje “Cameratoezicht” is niet genoeg, dat helpt alleen bij filmen in de openbare ruimte.

Op het werk is meer nodig, en wel:

  1. In een reglement cameratoezicht moet zijn vastgelegd dat cameratoezicht toegestaan is, en wel in welke situaties.
  2. Die situaties moeten specifiek omschreven zijn én cameratoezicht rechtvaardigen.
  3. Cameratoezicht moet als laatste redmiddel worden ingestoken, dus niet “wij passen altijd en overal camera’s toe” maar eerder “Als ook na waarschuwingen en onverwachte tassencontrole van het personeel diefstal uit het magazijn niet afneemt, mag de directie cameratoezicht toepassen”.
  4. Gebruik van verborgen camera’s (waarvan medewerkers dus niet kunnen zien waar ze hangen) mag alleen voor kortdurende periodes, maximaal drie maanden, en alleen bij ernstige misstanden. Die dus ook specifiek genoemd moeten zijn.
  5. Het reglement moet vermelden hoe men inzage in de beelden kan krijgen en hoe gebruik van de beelden wordt beveiligd (en wanneer ze worden gewist.)
  6. Het reglement moet door de OR worden goedgekeurd, omdat het gaat om personeel volgen en/of registreren van persoonsgegevens.

En ja dat klinkt als een hele waslijst maar uiteindelijk komt het op één ding neer: duidelijk uitleggen wat je doet, en vervolgens handelen zoals je het hebt beschreven. Ok, twee dingen: en normaal doen met camera’s, dus niet zeggen “voor de goede orde kunnen wij camera’s hanteren” en dan een jaar later werknemers beoordelen op basis van 24/7 cameratoezicht met verborgen camera’s op de werkplek.

Arnoud

Houd eens op met akkoord vragen op privacyverklaringen

Geplaatst op in Privacy, 21 reacties

akkoord-privacyverklaring.pngBij registratie op websites is het een bekend verschijnsel dat je akkoord moet gaan met algemene voorwaarden. Nu hoeft dat vinkje op zich niet, maar het kan ook geen kwaad. Wat wél kwaad kan, althans fout is, is een akkoord vragen op een privacyverklaring. De wet op de privacy werkt namelijk net even anders dan de gewone wet.

Het idee achter algemene voorwaarden is dat je je klanten niet wilt lastigvallen met details (randvoorwaarden). Daarom zet je die in een apart documentje, en verwijs je daarnaar als mensen een contract met je komen sluiten. Wie dat wil, kan ze nalezen – want jij bent verplicht een kopie aan ze te geven – maar ook wie ze niet leest, zit eraan vast. Dat staat expliciet in de wet (art. 6:232 BW).

Omdat het zo wel erg makkelijk is om rare dingen in de voorwaarden te stoppen en klanten daaraan te houden, is de tegenpool van deze wettelijke deal dat je geen “onredelijk bezwarende” dingen in je voorwaarden mag zetten. Doe je dat toch, dan kan de wederpartij ze eenvoudig ongeldig verklaren. En er zijn zwarte en grijze (en blauwe) lijsten om hem daarbij te helpen.

Naast algemene voorwaarden hebben veel sites een privacyverklaring. Deze licht toe wat men voor persoonsgegevens verzamelt en wat daarmee gebeurt. Een privacyverklaring is verplicht op grond van de Wet bescherming persoonsgegevens (art. 33 Wbp). Maar akkoord vragen op de privacyverklaring is nergens voor nodig.

Natuurlijk moet je wel akkoord vragen voor het gebruik van die persoonsgegevens (tenzij ze nodig zijn om überhaupt de gevraagde dienst te leveren). En als je veel van plan bent, dan zou je als algemene-voorwaarden-hanteerder kunnen denken “die toestemming vraag ik wel in de algemene voorwaarden”. Maar dat mag niet. Toestemming onder de privacywet moet vrij en specifiek verkregen worden, en mag dus niet verstopt zijn in algemene voorwaarden.

Ook in een privacyverklaring kun je geen toestemming vragen. Dat is immers een informatietekst, en in informatieteksten kunnen geen juridisch bindende toezeggingen worden gevraagd – dat gaat tegen de verwachting van de bezoeker in. Je zult dus echt op de registratiepagina zelf moeten melden waar je toestemming voor vraagt, met eventueel een verwijzing náár de privacyverklaring voor wie de details wil weten.

Arnoud

eist toestemming voor zo ongeveer elk gebruik van persoonsgegevens (zoals naam, IP-adres of e-mailadres).

De cookiewet: ook voor affiliate marketing een probleem

Geplaatst op in Privacy, 49 reacties

cookie-bril.jpgDe cookiewet. Weinig onderwerpen hebben zó veel reacties losgemaakt vanuit de branche. Je mag geen cookies meer zetten, geen browserdetails meer uitlezen en mensen niet meer volgen zonder hun toestemming.

Meest gehoorde misverstand: de cookiewet gaat over tracking cookies, dus als je geen tracking doet (of op andere manier persoonsgegevens verwerkt) dan is er niets aan de hand. Niets is minder waar. De cookiewet gaat over élk cookie, ongeacht welk doel. Alleen cookies die “strikt noodzakelijk” zijn voor de door de gebruiker gewenste dienst, vallen buiten de wet. En gezien het doel van de cookiewet en de gekozen formulering van dat stukje uit de wet, is het erg moeilijk om onder deze uitzondering te vallen.

Eén soort cookies waar ik nog maar weinig over gezien heb maar die wél een probleem heeft met de cookiewet, is(*) het affiliatecookie. Wanneer iemand een site bezoekt en vanaf daar doorgelinkt wordt naar een webwinkel waar hij iets koopt, kan de winkel de eigenaar van die site (de partner of affiliate) belonen met een deel van de aankoopsom. Hierbij wordt een cookie gezet bij de affiliatesite en uitgelezen bij de webwinkel, zodat de winkel weet wie de affiliate was die deze koper aanbracht. (Naast koop kun je ook beloond worden voor het aanbrengen van leads, mensen die interesse hebben maar nog niks kopen).

Dit soort cookies vereist toestemming, ook al identificeert het alleen de affiliate en niet de bezoeker zelf. Net als overigens de andere trucs waarmee affiliates herkend worden, zoals codes in de URL of zelfs de referrer header die meegestuurd wordt. De cookiewet is als naam immers licht misleidend: het gaat niet om cookies, het gaat om uitlezen van gegevens van de computer van de bezoeker. En een referrer is net zo goed “gegevens” als een cookie.

En nee, dit is volstrekt onwerkbaar want je wilt bezoekers écht niet lastigvallen met zulke vragen. Probeer überhaupt eens uit te leggen wat een affiliate is en hoe hij werkt, aan iemand die gewoon je artikel wil lezen. Ik zou alleen écht niet weten hoe dit anders kan onder de cookiewet. Gegevens lezen is toestemming vragen, tenzij je die gegevens echt nodig hebt om de data te kunnen sturen waar de bezoeker om vraagt. En affiliate-cookies zijn niet nodig om een webpagina op het scherm te krijgen of naar een webwinkel te verwijzen.

Een sprankje hoop biedt nog de recente cookiewetopinie van de Artikel 29 Werkgroep. Deze analyseert op onnavolgbaar juridische wijze de uitzondering onder de cookiewet om zo toch een aantal dingen te kunnen noemen die legaal zouden moeten zijn. Maar veel verder dan dat load balancing cookies en Flash cookies (mits niet persistent) legaal zijn, komen ze niet.

Opmerkelijk is wel dat men constateert dat first-party Analytics tools (zoals Piwik) óók toestemming vereisen maar dat dit eigenlijk anders zou moeten (kunnen?) zijn:

[F]irst party analytics cookies are not likely to create a privacy risk when they are strictly limited to first party aggregated statistical purposes and when they are used by websites that already provide clear information about these cookies in their privacy policy as well as adequate privacy safeguards. Such safeguards are expected to include a user friendly mechanism to opt-out from any data collection and comprehensive anonymization mechanisms that are applied to other collected identifiable information such as IP addresses.

Ik hoop dat de OPTA hieruit de wijze les trekt dat handhaving tegen dergelijke bagatelcookies weinig productief is.

Oh, wie meer wil weten over deze wet: schrijf je in voor onze Cookie Workshop op 28 juni aanstaande. Lezers van deze blog krijgen met code iusmentisblog 25 euro korting.

Arnoud<br/> * Het soort cookies is? Het soort cookies zijn? Ruud, help!

Werkelijk niemand heeft trek in de cookiewet

Geplaatst op in Ondernemingsvrijheid, Privacy, 133 reacties

Er viel niet aan te ontkomen gisteren: de cookiewet is van kracht. Vanaf gisteren is het verboden cookies te plaatsen zonder toestemming (behalve voor “functionele cookies”, maar dat is hooguit 1% van de cookies). En prompt gaat iedereen als kip zonder kop rondrennen alsof ze niet al twee jaar hadden kunnen weten dat dit eraan zat te komen en ze nú acuut failliet gaan omdat het fundamenteel onmogelijk is om aan die wet te voldoen.

Maar toegegeven, het ís ook een rare wet. Het idee is leuk (bescherming tegen nare spionagebestandjes en meer algemeen het “wat moet dat op mijn pc”-gevoel), maar een uitwerking die gebaseerd is op het idee dat de gemiddelde internetter een zorgvuldige studie maakt van een cookieverklaring en daarna een weloverwogen beslissing maakt om al dan niet het cookie te accepteren, is gedoemd te falen. Op internet geldt: leg mensen een vraag voor in een popup en ze klikken “ja”. Oh sorry, ben ik nu weer te cynisch?

Weinig sites – tot en met de overheid zelf aan toe – lijken daadwerkelijk van plan iets te gaan doen met de cookiewet. Bij Opta.nl krijg je cookies zonder dat daarom gevraagd is, Rijksoverheid.nl idem, en ook de commerciële jongens en meisjes zetten gewoon vrolijk cookies alsof het niets kost. De enige opmerkelijke uitspringer was Fok!.nl, dat je een buitengewoon lompe tussenpagina geef en eist dat je toestemming voor hun cookies geeft.

Om de reden (update inmiddels aangepast, zie ook de reactie van Fok!-directeur Roodbol in de comments) moest ik erg hard lachen:

De reden dat FOK.nl alleen bezocht kan worden als je aangeeft alle cookies te accepteren, is dat het voor ons onmogelijk is te garanderen dat er geen cookies geplaatst worden. Onze bezoekers kunnen bijvoorbeeld zelf reacties plaatsen waarin plaatjes opgenomen kunnen zijn. Zelfs via die plaatjes kunnen er cookies op jouw computer terechtkomen.

Van alle redenen waarom je mensen zou willen weren die geen cookies accepteren, is dit zo ongeveer de enige die gewoon écht nergens op slaat. Ten eerste: Fok! is niet aansprakelijk voor zulke cookies, omdat zij geen kennis daarvan heeft of hoeft te hebben. Net zoals ze niet auteursrechtelijk aansprakelijk is voor de plaatjes zelf.

Ten tweede: het is juridisch volstrekt onmogelijk om toestemming te geven voor “alle cookies”, zeker als je daar ook cookies onder rekent die mogelijk gezet gaan worden door vage plaatjeshostingsites die je bezoekers uitzoeken. Toestemming moet namelijk specifiek zijn, en “ik wil alles” is niet specifiek.

Ik ben eerlijk gezegd vooral benieuwd hoe lang ze het volhouden – en of andere sites ze gaan volgen. Want ergens zie ik het nog wel werken bij een communitysite (behalve dan bij nieuwe leden), maar bij een nieuwssite is het commerciële zelfmoord. Vandaar dat Telegraaf.nl niet verder gaat dan een banner aan de bovenkant van de site, overigens met een impliciete toestemming die volgens mij niet geldig is in Nederland. En Nu.nl heeft alleen een opt-outmelding in haar privacy- en cookiebeleid (“Je hebt op dit moment één actief cookie, klik op opt-out om jouw keuze te wijzigen.”).

En de oplettend klikkende lezer is het wellicht al opgevallen: ja, we hebben een nieuwe site – Cookierecht.nl. Met zo ongeveer alles dat we de afgelopen tijd hebben geschreven over cookies, en heel wat meer ook.

Arnoud Arnoud

Twitters nieuwe privacybeleid

Geplaatst op in Privacy, 3 reacties

Twitter heeft een nieuw privacybeleid, las ik bij de EFF. Zowel EFF als Twitter zelf beschreven enkele nieuwe mogelijkheden voor het bedrijf, zoals het kunnen doen van gepersonaliseerde volgsuggesties. Dat wilde ik graag even bij de bron nazien, maar hoewel Twitter netjes de oude privacybeleiden (privacybeleids? Ruud H, help!) is er geen track changes te vinden. Dan maar even zelf door de documentvergelijker gehaald. Het blijft irritant.

De meeste wijzigingen zijn cosmetisch: zinnetjes zijn herschreven, bijvoorbeeld van “we use your information to provide and measure use of our Services and improve them over time” naar “use your information below to provide our Services and to measure and improve them over time.” Daar zie ik het nut niet van, maar soms levert het een verduidelijking op, dus nou ja.

Inhoudelijk zijn er een paar nieuwe dingen, met name de “Log Data” clausule:

Log Data: Our servers automatically record information (“Log Data”) created by your use of theThird Party Services. Log Data may include information such as your IP address, browser type, operating system, the referring web page, pages visited, location, your mobile carrier, device and application IDs, search terms, and cookie information. We receive Log Data when you interact with our Services, for example, when you visit our websites, sign into our Services, interact with our email notifications, use your Twitter account to authenticate to a third-party website or application, or visit a third-party website that includes a Twitter button or widget. Twitter uses Log Data to provide our Services and to measure, customize, and improve them. If not already done earlier, for example, as provided below for Widget Data, we will either delete Log Data or remove any common account identifiers, such as your username, full IP address, or email address, after 18 months.

Kortom, wat verzamelen wij en wanneer gooien we dat weer weg. Dit is erg netjes en hoort eigenlijk in ieders privacyverklaring te staan. Widget data wordt daar nog eens apart bij uitgewerkt. Die tekst laat ik even weg want het ís al zo’n lap. En dat is eigenlijk meteen het nadeel aan privacyverklaringen: je moet heel veel uitleggen waar eigenlijk de bezoeker niet op zit te wachten.

Twitter verklaart nu ook als nieuw item dat ze zich houden aan de US Safe Harbor, oftewel Europeanen kunnen nu persoonsgegevens laten verwerken door Twitter zonder zich grote zorgen te maken over de Amerikaanse privacywetgeving.

Het stukje over de suggesties staat er inderdaad ook:

We may use your contact information to help others find your Twitter account, including through third-party services and client applications. Your account settings control whether others can find you by your email address or cell phone number. You may choose to upload your address book so that we can help you find Twitter users you know. We may later suggest people to follow on Twitter based on your imported address book contacts, which you can delete from Twitter at any time.

Heel spannend lijkt het mij allemaal niet, dergelijke suggesties zijn voor mij niet een reden om Twitter niet meer te gaan gebruiken. Of mis ik nu een ernstige privacy-invasie?

De EFF meldde dat Twitter nu Do Not Track gaat ondersteunen, maar dat staat niet echt duidelijk in het privacybeleid. Ik dénk dat dit het is:

You can instruct your browser, by changingediting its settingsoptions, to stop accepting cookies or to prompt you before accepting a cookie from the websites you visit. However, some Services may not function properly if you disable cookies.

Ik vind “editing settings” wel een érg vage verwijzing naar “do not track”, hoewel ik niet weet hoe ik het beter kon omschrijven als ik niet expliciet “do not track setting of your browser” mocht schrijven. Want ik gok dat Twitter niet zó specifiek wilde zijn in een juridisch document.

Overigens is het eigenlijk fout om nieuwe bevoegdheden op te eisen in een privacybeleid. Een privacystatement, privacy policy, privacybeleid of hoe je het maar wilt noemen is een beschrijving van wat je doet, verplicht op grond van de Wet bescherming persoonsgegevens. Maar zeggen wat je doet betekent niet dat je het mág doen. Je zult apart moeten kunnen aantonen dat je die bevoegdheid hebt, het liefst doordat er apart toestemming voor gegeven is.

Arnoud

Foto’s in openbare profielen (en CV’s) van medewerkers

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Een lezer mailde me naar aanleiding van een interne discussie bij zijn werk, een ICT-detacheerder: mogen openbare profielen van medewerkers (en hun CV’s) voorzien zijn van foto’s? Op die manier kunnen opdrachtgevers snel een beeld krijgen van wie ze in huis halen, maar een aantal medewerkers maakte bezwaar.

Terecht wijst men erop dat foto’s (bijzondere) persoonsgegevens zijn, omdat je er onder meer ras, afkomst en (soms) medische gegevens uit kunt afleiden. Daarom vereist publicatie in principe altijd toestemming. In heel bijzondere situaties zou de werkgever de gegevens zónder toestemming kunnen gebruiken, maar “de klant wil weten hoe je eruit ziet” is niet zo’n situatie.

Daar staat natuurlijk tegenover dat de meeste ICT-ers tegenwoordig toch al met hun gezicht op LinkedIn of Twitter staan. En, belangrijker, wie op gesprek komt bij de klant laat óók al zijn gezicht zien. Dus welk reëel belang is er gediend met het afschermen van het gezicht in de voorfase?

Ik blijf het een lastige discussie vinden. We hebben het al eens over smoelenboeken gehad, en toen was er ongeveer hetzelfde punt: formeel is toestemming nodig, maar kom op – iedereen doet dit en we vinden dat doodnormaal. Dus ben je dan recalcitrant als je je gezicht niet online wilt? Of walsen we met z’n allen over de privacy van de minder weerbare collega’s heen?

Arnoud

Foto’s in openbare profielen (en CV’s) van medewerkers

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties

Een lezer mailde me naar aanleiding van een interne discussie bij zijn werk, een ICT-detacheerder: mogen openbare profielen van medewerkers (en hun CV’s) voorzien zijn van foto’s? Op die manier kunnen opdrachtgevers snel een beeld krijgen van wie ze in huis halen, maar een aantal medewerkers maakte bezwaar.

Terecht wijst men erop dat foto’s (bijzondere) persoonsgegevens zijn, omdat je er onder meer ras, afkomst en (soms) medische gegevens uit kunt afleiden. Daarom vereist publicatie in principe altijd toestemming. In heel bijzondere situaties zou de werkgever de gegevens zónder toestemming kunnen gebruiken, maar “de klant wil weten hoe je eruit ziet” is niet zo’n situatie.

Daar staat natuurlijk tegenover dat de meeste ICT-ers tegenwoordig toch al met hun gezicht op LinkedIn of Twitter staan. En, belangrijker, wie op gesprek komt bij de klant laat óók al zijn gezicht zien. Dus welk reëel belang is er gediend met het afschermen van het gezicht in de voorfase?

Ik blijf het een lastige discussie vinden. We hebben het al eens over smoelenboeken gehad, en toen was er ongeveer hetzelfde punt: formeel is toestemming nodig, maar kom op – iedereen doet dit en we vinden dat doodnormaal. Dus ben je dan recalcitrant als je je gezicht niet online wilt? Of walsen we met z’n allen over de privacy van de minder weerbare collega’s heen?

Arnoud

Mag Google Analytics nog onder de cookiewet?

Geplaatst op in Ondernemingsvrijheid, Privacy, 314 reacties

analytics-cookie.pngWeinig onderwerpen waar ik zó over platgemaild werd als de vraag “Mag Google Analytics nog als de cookiewet in werking treedt”. Analytics is een handige tool voor webmasters maar het perfide Google maakt er meteen ook gebruikersprofielen mee – én plaatst cookies. Wij hadden ooit een oplossing gevonden voor het profileren (anonimiseer het IP-adres) maar dat levert geen oplossing voor de cookiewet. Ik heb er uitgebreid over zitten peinzen en dacht eerst dat het wel moest kunnen, maar ik loop steeds vast op de tekst van de wet.

Je kunt, aldus Google, met Analytics werken zonder dat deze persoonlijke gegevens opslaat. Allereerst zeg ik daar meteen bij dat Google een geheel eigen definitie heeft van “persoonlijke gegevens”, kort door de bocht moet je naam en je adres erbij staan anders vinden zij het niet persoonlijk. Dat gaat lijnrecht in tegen de Europese privacyregels, die het al “persoonlijk” vinden als je er twee personen mee kunt onderscheiden, ongeacht of je weet welke personen het zijn. Het getal 461 is dus een persoonsgegeven – voor mij, want dat identificeert een klant in mijn klantenbestand (hoi Erik).

Maar zelfs als de Analyticsdata die wordt verzameld compleet geaggregeerd wordt en totaal niet naar individuele users te herleiden is (ok ok maar stél), dan nog helpt ze dat helemaal niets. Want cookie zetten is toestemming vragen, punt. First party, third party, persoonsgebonden of niet; compleet irrelevant. Behalve dus als het cookie strikt noodzakelijk is voor het goed functioneren/leveren van een dienst. De wet wil met één zin zowel cookies als dialers, toolbars en dergelijke meuk afdekken. Vandaar de brede bewoordingen. Een toolbar trackt op zichzelf niets (kan wel) maar het installeren van een toolbar vereist toestemming. En een cookie dus ook.

De standaardvoorbeelden van toestemmingsloze cookies zijn de houd-me-ingelogdcookies en de webwinkelwagentjescookies. Zonder die cookies moet je continu je wachtwoord invullen of kun je niet fatsoenlijk een serie producten in één keer bestellen, dus dat moet gewoon kunnen. Maar iedere meelezende techneut zal nu uitroepen “nou, noodzakelijk, noodzakelijk, dat kan prima op een andere manier hoor”. Maar omdat het de bedoeling is dat dergelijke cookies zonder toestemming gezet moeten worden, mag je “strikt noodzakelijk” dus lezen als “net zo noodzakelijk als een webwinkelwagentjescookie”. Leuk hè, rechten?

Hoe noodzakelijk is een cookie voor Google Analytics? Niet zó noodzakelijk, vond de minister in de Eerste Kamer:

Het gebruik van analytic cookies kan waardevol zijn voor de aanbieder van een dienst van de informatiemaatschappij, maar staat over het algemeen in minder direct verband met het kunnen leveren van de door de gebruiker gevraagde dienst. Dit zal met andere woorden minder snel onder de uitzondering vallen, maar dat zal per geval beoordeeld moeten worden.

Hm. Minder snel. Dus het zóu kunnen.

… voor diensten waarbij wordt ingelogd op een persoonlijk account, kan het noodzakelijk zijn om met gebruik van cookies te controleren of er niet met deze accounts wordt gefraudeerd.

Ook hier: nee, hij bedoelt niet “noodzakelijk” als in “geen andere technische oplossing is mogelijk”. (En nee ik weet ook niet hoe ik met een cookie -clientside info- kan controleren of een client fraudeert.) Waar het om gaat is of het cookie het belang van de gebruiker dient en dan ook alléén diens belang. Bij een houd-me-ingelogd-cookie of een rot-op-met-je-enquête-cookie is dat duidelijk. Maar bij Analytics? Wat heeft de bezoeker aan Analytics?

Iets later:

Wanneer van het gebruik van analytics cookies in een bepaald geval gezegd kan worden dat dit noodzakelijk is voor het goed kunnen functioneren van de door de gebruiker bezochte site, valt dit gebruik van analytics cookies onder de uitzondering in het derde lid van artikel 11.7a.

Soms voel ik me net een oude Griek die het orakel van Delphi moet duiden. Wanneer is aan de uitzondering voldaan? Nou, als aan de eis genoemd in de uitzondering is voldaan dan gaat de uitzondering op. Eh. Ja.

Goed. Welk nut heeft Analytics voor de eindgebruiker? Wat ik van Google lees, gaat alleen over de voordelen van de webmaster. Die krijgt mooie plaatjes met statistieken en kan op allerlei niveaus draaitabellen, filters en meerdere dimensies visualiseren. En ja, dat is leuk maar als eindgebruiker merk je niet of Analytics aan of uit staat. Het Analyticscookie draagt op geen enkele manier bij aan de dienst die de gebruiker afneemt en is ook niet in diens belang.

Ik ontkom dus niet aan de conclusie dat je voor Google Analytics écht toestemming nodig hebt onder de cookiewet. Ja, ook als je de IP-adressen anonimiseert en ook als je geen Adsense draait. Dat dat niet gaat werken, moge duidelijk zijn – maar wishful thinking of roepen dat je er geen last van hebt, is geen juridisch argument.

Arnoud

Afgifte van persoonsgegevens bij oplichting

Geplaatst op in Ondernemingsvrijheid, Privacy, 12 reacties

Regelmatig krijg ik vragen als de volgende:

Ik ben opgelicht op internet. Via een forum vond ik lotgenoten die met dezelfde persoon te maken hebben gehad, en wij hebben gezamenlijk geprobeerd de oplichter op te sporen. Uiteindelijk komen we uit bij het IP-adres van de oplichter, en nu willen we hem aanklagen om ons geld terug te krijgen. De provider wil de NAW-gegevens niet afgeven, omdat zij zeggen dat dit tegen de privacywet is. Maar zij zijn dit toch verplicht op grond van het Lycos/Pessers-arrest?

Inderdaad is het te kort door de bocht om te zeggen dat je als provider nóóit persoonsgegevens mag afgeven aan particuliere partijen. De Hoge Raad heeft immers bepaald dat dit wél moet wanneer (via een vierstappentoets) blijkt dat kort gezegd het belang van de eiser duidelijk bewezen is en zwaarder weegt dan de privacy.

Op grond van deze regels werd Google in 2008 verplicht de persoonsgegevens van een gebruiker af te geven aan een bedrijf waarvan bedrijfsgeheimen zouden zijn gestolen. Deze zouden zijn geforward naar een Gmail-account, en het bedrijf wilde weten wie daar achter zat. In november 2009 moest Ziggo onthullen welke gebruiker illegaal filmpjes had geupload naar 123video.nl. Dit omdat Kim Holland de videosite hierover had gedaagd. Dit vonnis werd eind 2010 in hoger beroep vernietigd omdat de rechtbank te snel de eis had toegewezen, maar het Hof bevestigde het principe dat private partijen persoonsgegevens mogen opeisen.

De belangrijkste eis, en meteen bij oplichting de meest problematische, is nagaan of de claim van de klager voldoende aannemelijk is. Bij auteursrechtschendingen is dat nog wel te doen; een rechthebbende kan het originele werk laten zien in hoog formaat bijvoorbeeld.

Bij oplichting is dat ontzettend lastig. Lang niet altijd is werkelijk sprake van oplichting. Of men heeft het verkeerde IP-adres gevonden. En wat dan? Hoe kan de provider inschatten wie er gelijk heeft?

Belangrijker: niets van het bewijs dat de klager aan kan dragen, is door de provider te verifiëren. Bij auteursrechten kun je nog eens op een website kijken van een fotograaf, of bellen met de filmmaatschappij. Bij smaad kun je de uiting zelf lezen en je afvragen of dat smadelijk is. Maar bij een e-mailcorrespondentie en de melding “en toen reageerde hij niet meer” kun je eenvoudigweg niets.

Gewoon afgaan op het woord van de klager is niet verstandig. Het komt vaak voor dat mensen anderen valselijk beschuldigen om zo maar gegevens van die anderen te krijgen.

Dit is natuurlijk buitengewoon frustrerend voor al die mensen die wél opgelicht zijn en met veel moeite bíjna de oplichter te pakken hebben en dan door een provider eenvoudig de deur gewezen worden. Maar ik weet niet hoe het anders zou kunnen, het potentieel voor misbruik is te groot.

Arnoud

Websitepictogrammen om privacyvoorwaarden te verduidelijken

Geplaatst op in Privacy, 13 reacties

privacy-iconen.pngEen groep studenten van de Amerikaanse universiteit Yale heeft website-pictogrammen bedacht om privacyvoorwaarden snel duidelijk te maken, las ik bij Webwereld. Het Privacy- Simplified-project wil met de pictogrammen (iconen?) mensen de gelegenheid geven in één oogopslag te zien wat een site doet met je privacy en persoonsgegevens. Een leuk idee, maar ik zie het niet echt gaan werken.

Ik krijg het gevoel dat deze studenten rechten studeren, of dat ze een rechtenprof er naar hebben laten kijken want het wémelt van de “mays” en andere voorbehouden. Wat moet ik met een icoon dat zegt “may be collecting data about you”? Doe je dat nou of niet? Of “might provide your data to a government that asks for it”? Wanneer dan?

De Mozilla iconen van vorig jaar vind ik dan conceptueel beter, hoewel die iconen volstrekt onherkenbaar zijn zonder de legenda erbij. En het komt me nog steeds wat beperkt voor.

Opmerkelijk vind ik dat “gegevens afstaan aan de overheid” zo’n hot issue is dat iedereen er iconen van maakt, terwijl voor de tientallen wijzen waarop private partijen met je gegevens aan de haal komen er alleen één icon is dat neerkomt op “ja dat zou kunnen”.

Bovendien is het allemaal nogal Amerikaans: alles mag als je het maar toelicht. Bij ons is een icoon “wij verkopen je gegevens door” overbodig, want dat mag alleen met uitdrukkelijke toestemming en die kun je niet geven zonder het al te weten. Dus dat icoon voegt volgens mij niets te dan. Ik zou liever een icon zien voor “Klik om alle opgeslagen data te exporteren” (je wettelijk recht immers). En jullie? Wat zou er in een website-icoon moeten staan?

Arnoud