Wat kan ik als mijn werkgever mijn bsn en medisch dossier lekt?

| AE 12299 | Privacy, Security | 19 reacties

Een lezer vroeg me:

De laptop van mijn leidinggevende is recent gestolen. Helaas was het systeem niet versleuteld, waardoor gevoelige persoonsgegevens (zoals mijn naam, geboortedatum, BSN, handtekening en medische gegevens) door de dief te lezen zouden kunnen zijn. Ik ben netjes geïnformeerd en het lek wordt gemeld, maar ik vind dit niet genoeg. Wat kan ik juridisch doen tegen mijn werkgever?
Allereerst: erg jammer en vervelend dat er anno 2020 nog steeds werkgevers zijn die dus dit soort gevoelige gegevens rondsjouwen zonder zelfs maar full-disk encryptie. Het is erg pijnlijk om daar via een datalekmelding achter te moeten komen.

De procedure is zo te lezen netjes gevolgd: de werknemer moet worden geïnformeerd en de AP ook, want de gegevens zijn zeer gevoelig en misbruik daarvan kan zeker tot schade bij de werknemer(s) leiden. Ook als het maar een handjevol mensen was – BSN en medische gegevens tellen als zeer gevoelig ook bij kleine hoeveelheden.

Dat wil niet zeggen dat de kous daarmee af is. De werknemer kan desondanks immers schade lijden door het lek, en volgens de AVG is de werkgever daar gewoon voor aansprakelijk stellen.

Het lastige hierbij is natuurlijk aan te tonen wat je schade is, zeker als er nog geen kwaadwillend gebruik van je gegevens is gemaakt. En bij diefstal van een laptop is de kans reëel dat dat ook niet gaat gebeuren; waarschijnlijk herinstalleert de dief Windows en verkoopt hij het ding tweedehands. Je kunt dan natuurlijk gaan monitoren op misbruik maar je zult waarschijnlijk niets tegenkomen.

Het gaat me wat ver om te zeggen dat een werkgever maar gewoon een bedrag moet geven bij wijze van forfaitaire schadevergoeding. Maar zonder concreet aangetoonde schade kan de werknemer verder niet zo veel. Bij financiële gegevens zou je nog kunnen eisen dat de werkgever een monitoringdienst betaalt om op het ahem “dark web” te kijken of je creditcard daar opduikt, maar voor bsn’s of medische dossiers is er niet echt zo’n markt.

Arnoud

Mag je op het werk de internetradio aan laten staan als dat geld kost?

| AE 10319 | Ondernemingsvrijheid | 26 reacties

Wie in zijn eentje aan het werk is, zal snel geneigd zijn een muziekje aan te zetten. Vandaag de dag zelden meer een probleem voor de werkgever (de Buma/Stemra even daargelaten), maar twintig jaar geleden vaak een serieus discussiepunt vanwege de kosten. Maar toch ook in 2017 kennelijk nog, genoeg zelfs om in hoger beroep uitgevochten te worden: als je een werknemer een dongel geeft, mag hij dan naar de radio luisteren of is hij persoonlijk aansprakelijk voor de databundel-overschrijding?

De werknemer in deze zaak stond in haar eentje op een cateringlocatie, en had alleen via een dongel mobiel internet. Via die verbinding luisterde zij naar muziek tijdens het werk, maar kreeg na een maand de rekening gepresenteerd van de werkgever voor maar liefst € 1.239,60 aan datakosten bij Vodafone. Het verweer dat er toestemming was gegeven, werd niet geaccepteerd door de werkgever: volgens het reglement moest er dan nog steeds worden betaald voor zulke data als de bundel zou worden overschreden. Daarbij speelde mee dat de dongel-software waarschuwingen zou geven bij (dreigende) overschrijding van de databundel per maand.

Nou zijn dat soort reglementen altijd leuk en aardig, maar als het gaat om werknemers aansprakelijk stellen en/of schade laten vergoeden dan heb je maar heel weinig ruimte onder de wet. Die zegt namelijk dat een werknemer eigenlijk nooit privé aansprakelijk is voor wat hij op het werk doet, behalve bij opzet of bewuste roekeloosheid (en dat krijg je vrijwel nooit bewezen) of als hij verzekerd is voor de gevolgen.

De werkgever gaf aan dat duidelijk was aangegeven hoe de dongel werkt, inclusief waarschuwingspopups voor (dreigende) overschrijdingen van de datalimiet. De werknemer stelde daar tegenover dat zij dacht

dat voor de laptop een onbeperkt abonnement gold en zij heeft betwist dat is gesproken over betalen voor gebruik van de radio. Zij is geen ervaren gebruiker van internet en heeft nooit van een dongel gehoord. Zij liet de laptop aanstaan en deed alleen de klep dicht wanneer zij wegging. Wanneer zij weer op haar werk kwam deed zij de klep open en startte de radio door op 538 te klikken.

In principe is het dus zo dat een werknemer voor kosten gemaakt op het werk niet aansprakelijk is. Schade als gevolg van een slechte uitvoering van het werk zijn gewoon voor rekening werkgever.

Het Gerechtshof ziet een sprankje hoop voor de werkgever: als hij kan bewijzen dat bij naderende overschrijding van de databundel popups met waarschuwingen worden getoond en de werknemer deze heeft weggeklikt, én dat de werkgever de werknemer heeft geïnstrueerd hoe op de kosten te letten, dan zou een situatie van bewuste roekeloosheid ontstaan. Ik ben benieuwd hoe ze dat voor elkaar gaan krijgen.

Arnoud

Univé verzekert gehackte pc consument

| AE 9764 | Security | 11 reacties

Verzekeraar Univé introduceert een verzekeringspakket waarmee consumenten hun pc of smartphone kunnen beschermen tegen hackers, las ik bij AMweb. Een speciaal kastje en een hulplijn moeten voorkomen dat het misgaat. Weten cybercriminelen je pc toch te vernielen dan vergoedt de coöperatieve verzekeraar de schade. En dat voor twaalf euro per maand. Ik kreeg er veel vragen over: voegt dit wat toe en wat heb je er aan?

Het is bij mijn weten de eerste verzekeraar die expliciet ICT-schade dekt onder een verzekering. Natuurlijk heeft iedereen al schadeverzekeringen, maar die dekken meestal alleen zogeheten letsel- en zaakschade: mensen of dingen die fysiek stuk gaan. Bij ICT-problemen is vaak eerder sprake van vermogensschade, áls er al schade is: zet maar eens een prijs op driehonderd verloren JPEG’s of de kosten van het opnieuw instellen van je tienduizend persoonlijke voorkeuren op je net opnieuw geïnstalleerde laptop. Dus een specifieke ICT-verzekering kan wat toevoegen hier.

Of deze verzekering genoeg doet daarvoor, is me nog niet duidelijk. Het ND zocht het uit en concludeerde dat je nou net geen schadevergoeding krijgt voor het verlies van bestanden met een emotionele waarde, zoals familiefoto’s, of voor betaald losgeld bij ransomware. Maar men dekt je wel wanneer jouw pc bij anderen schade aanricht, zoals wanneer een virus op jouw laptop overspringt naar zeg de postduivenvereniging waar je secretaris bent. (Bij je werkgever boeit dat niet, want die kan jou niet aansprakelijk stellen voor virussen die door jouw nalatigheid het bedrijfsnetwerk infecteren.)

Een interessant punt vond ik dat de verzekeraar je een modem met F-Secure SENSE firewall geeft, om zo de risico’s praktisch te beperken. (Een ding van 199 euro en na het eerste jaar 9,90 per maand securityupdates.) Dat is een mooie geste die voor veel consumenten wel wat toe kan voegen. En het past in de trend die ik in de zakelijke markt zie: niet alleen een risico dekken maar ook actief stimuleren (of zelfs verplichten) dat schadebeperkende maatregelen worden genomen.

Tegelijk kun je je afvragen, zou je voor dat geld niet zo’n firewall en een backupoplossing kunnen kopen als consument?

Arnoud

Zijn wij aansprakelijk als onze systeembeheerder alle klantdata wist?

| AE 9141 | Ondernemingsvrijheid | 17 reacties

Een lezer vroeg me: Wij zijn een klein hostingbedrijf en vroegen ons het volgende af. Stel een van onze systeembeheerders met root toegang besluit op een kwade dag om álle klantdata te wissen, en meteen ook maar de backups. Theoretisch kunnen zij dat, en waarschijnlijk ongemerkt ook. In hoeverre zijn wij dan als bedrijf aansprakelijk… Lees verder

Moeten wij nu ook schadeclaims betalen voor downloaden van films?

| AE 6623 | Intellectuele rechten | 71 reacties

Een Belgische man dreigt een schadevergoeding van meer dan 60.000 euro opgelegd te krijgen omdat hij films, software en muziek had gedownload van de site belgium-scene.be, las ik bij Tweakers. Hij had Disneyfilms gedownload voor zijn dochters, maar werd door de Belgische Brein (BAF) aangeschreven voor € 37.714 nadat men dankzij een schikking met de… Lees verder

Mijn hoster heeft mijn data kwijtgemaakt, wat nu?

| AE 6086 | Security | 23 reacties

Een lezer vroeg me: Ik host mijn website en de nodige bedrijfskritische data op een virtuele server beheerd door een Nederlands hostingbedrijf. Gisteren kreeg ik bericht dat de server offline is, omdat de leverancier van die hoster zijn dienstverlening heeft gestaakt (waarom is me onduidelijk). Nu ben ik dus mijn data kwijt! Kan ik mijn… Lees verder

‘Vernieuwd Google Afbeeldingen steelt webverkeer’

| AE 5093 | Intellectuele rechten | 31 reacties

Het vernieuwde Google Afbeeldingen zou sitebeheerders verkeer kosten, het onrechtmatig gebruikmaken van auteursrechtelijk materiaal in de hand werken en zodoende omzet kosten, rapporteerde Webwereld. Omdat in het nieuwe ontwerp de afbeelding veel prominenter los van de site getoond wordt, krijgen fotosites veel minder bezoeken terwijl ze wél het dataverkeer krijgen voor de grote afbeeldingen. Er… Lees verder

Al te hard auteursrechtelijk blaffen eindelijk eens aangepakt

| AE 2717 | Intellectuele rechten | 215 reacties

Dat je geen artikelen of foto’s integraal mag herpubliceren zonder toestemming (behoudens soms citaatrecht), zouden de meeste mensen wel moeten weten zou je denken. De praktijk is echter anders: bijna dagelijks krijg ik mails van mensen die een claim van een of andere fotograaf of andere auteursrechthebbende aan de broek hebben. Bekende partijen die dit… Lees verder