Blog Legal Look: Victor de Pous over vertrouwen
Er rijdt in Nederland een bestelbusje van een ICT-beveiligingsfirma rond met de tekst ‘Who you gonna call?’ - ludieke marketing afgeleid van de Amerikaanse blockbuster movie Ghostbusters uit 1984. Natuurlijk kan het geen kwaad dat je weet wie je moet bellen, wanneer er sprake is van een serieus probleem in het domein informatiebeveiliging. De allesoverheersende vraag luidt echter ‘Who are you gonna trust?’ Bij gebruikersorganisaties regeert veelal de angst en algemeen bezien verkeert de markt in verwarring.
Overheidsdiensten tappen massaal metadata van allerhande digitale communicatie af; zelfs tot en met mobiele apps en spelletjes zoals Angry Birds. Bingo! Bovendien zouden vooral de grote Amerikaanse technologiebedrijven nauw met hun nationale veiligheidsdienst samenwerken, hoewel zij dit met klem tegenspreken. Hoe het ook zij, vergeet niet dat het bedrijfsleven zelf een gelijke datahonger heeft.
Google koppelt namelijk sinds haar herziene privacy voorwaarden van maart 2012 persoonsgegevens van Internetgebruikers die via allerlei verschillende Google-diensten worden verkregen en zonder de gebruikers daarover vooraf goed te informeren en zonder daarvoor vervolgens toestemming te vragen. Verder blijkt dat Google gebruikers onvoldoende duidelijk maakt welke persoonsgegevens zij verzamelt en koppelt, en voor welke doeleinden het bedrijf dat doet. Het College bescherming persoonsgegevens spreekt van het spinnen van een ongeautoriseerd ‘onzichtbaar web van onze persoonsgegevens.’ Dat is wettelijk verboden. We wachten op de administratiefrechtelijke sancties, die de toezichthouder kan opleggen, waaronder een maximale geldboete van 450.000 euro. Deze en andere voor een grootbedrijf bescheiden sommen, hebben geleid tot de roep om forse verhoging van strafmaatregelen.
Ondertussen rukt ook in de Nederlandse retail wifi-tracking en verwante technieken op. Winkeliers maken handig gebruik van het uitzenden van het unieke mac-adres van een mobiele telefoon en kunnen zo individuele mensen in hun winkel of warenhuis volgen. Frequentie van bezoek, looproute en bijvoorbeeld voor welk schap blijven ze hoelang staan. Ook bezoek aan andere vestigingen van een holding en zelfs het nauwgezet volgen van consumenten in grote winkelcentra behoort dankzij de wondere wereld van de techniek tot de mogelijkheden. Besef goed dat volgens de wet een persoonsgegeven een gegeven betreft dat herleidbaar is tot een identificeerbaar natuurlijk persoon. Daaronder valt het unieke mac-adres. Winkeliers moeten dus informeren en een opt-out bieden. De toezichthouder kijkt er naar.
Vooralsnog behoren feitelijke lapmiddelen technisch misbruik van functionaliteiten en wetsovertreding tegen te gaan. Het winkelend publiek kan wifi en bluetooth uitschakelen, terwijl in een ander kader de mensen thuis of op de zaak beter de camera van hun laptop af kunnen plakken om computercriminelen geen kans te geven illegale beeldopnames te maken. Knullig, maar wel effectief.
Ergens gloort er een sprankje hoop in een maatschappij waar de mens zijn administratieve en feitelijke schaduwbeeld is geworden. In Oost-Brabant vonniste de voorzieningenrechter onlangs in een procedure over het verstrekken van parkeergegevens aan de fiscus door SMSParking. Klanten van dit bedrijf kunnen op veel locaties in Nederland parkeergeld betalen via sms, Internet, smartphone of app. De Belastingdienst, die overigens al veel gegevens van gemeenten ontvangt, probeert nu ook alle parkeergegevens (kenteken, datum, locatie en tijd) van deze klanten over het jaar 2012 van SMSParking te verkrijgen. Die weigert dat op grond van privacy-inbreuk van haar klanten.
Het is volgens deze rechter nodig dat er een nieuw evenwicht wordt gevonden tussen het grote belang dat de Belastingdienst (en de samenleving) heeft bij goede belastingheffing en de inbreuken op hun privacy die de burgers voor de belastingcontroles moeten aanvaarden. In dit concrete geval worden we niet langer in spanning gehouden. ‘Iedere burger moet in beginsel een auto kunnen parkeren op een door die burger verkozen plaats in Nederland, zonder dat de overheid behoeft te weten dat hij dat doet en waarom hij dat doet’. Een uitstekende gedachtelijn die om brede doorvoering in de informatiesamenleving vraagt; ook bij de private sector.
Mr. V.A. de Pous