Een lezer vroeg me:
Door een hack bij mijn telecomprovider zijn al mijn persoonsgegevens gestolen. Nu zijn er bedrijven die via een soort van lek-check laten zien wat er gestolen is en dit op naam, adres, email, iban etc zoekbaar aanbieden. Indirect verwerken en verspreiden zij zo opnieuw de gestolen data. Hebben zij daar een grondslag voor?Om bij het begin te beginnen: het is strafbaar (art. 139g Sr) om gegevens te verwerven of voorhanden te hebben waarvan je redelijkerwijs kunt vermoeden dat ze uit misdrijf zijn verkregen. De Odido-datadump voldoet aan die omschrijving.
Vereist bij dit strafwetartikel is dat de gegevens “niet-openbaar” zijn, en daar kunnen we ondertussen over twisten. De gegevens zijn niet alleen te vinden via een specifieke .onion link of een in Nederland onbekende site, maar ook via vrij makkelijke kanalen, al moet je nog even nadenken over de Google-zoekopdracht. De wetgever was niet duidelijk over het criterium voor “niet-openbaar”.
Verder geldt een uitzondering voor een openbaarmaking die het algemeen belang dient, en daar beroepen alle datalek-checkers zich natuurlijk op. Dat is belangrijk, want zonder algemeen belang is het een strafbaar feit om de data te ontsluiten en daarmee verbiedt ook de AVG de verwerking (artikel 5 lid 1 onder a, geen rechtmatig doel).
Wat is dat algemeen belang? Naar zijn aard is dat vrij generiek. Het heeft maatschappelijk nut, de mensen vragen erom, er is behoefte in brede zin. Gezien de zeer beperkte communicatie vanuit Odido snap ik goed dat mensen concreet willen weten wat er gelekt is, en een checker komt aan die behoefte tegemoet. Dat is wel algemeen belang.
Daar staat tegenover dat er al diverse aanbieders zijn, waaronder het bekende en vertrouwde Have I Been Pwned. Ook onze politie heeft een kopie, dus je kunt (in theorie) een inzageverzoek onder de Wet politiegegevens bij ze doen. Formeel weegt “anderen doen het ook” niet mee bij een algemeen-belang afweging, want je zegt bij nieuws ook niet dat de nieuwswaarde vervallen is als drie kranten het al gebracht hebben. Maar ik vermoed dat dit hier zeker een discussie gaat zijn mocht dit bij de (straf)rechter komen.
Aangenomen dat de checker in het algemeen belang handelt, kom je bij de vraag welke grondslag. Er zijn er twee die relevant lijken:
- vitale belangen van de betrokkene
- gerechtvaardigd belang van de aanbieder of een derde
Gerechtvaardigd belang dus. Dit belang is dan gelijk aan het algemeen belang dat de aanbieder van de dienst nastreeft (en dus niet het belang van de betrokkene, want die is niet een ‘derde’ volgens dit artikel). Daar moet deze dan een belangenafweging bij doen: is voldoende rekening gehouden met de privacy van de betrokkenen die allemaal in die dataset zitten, had dit met minder ingrijpende middelen gekund en is het allemaal netjes ingericht?
Een eerste checkvraag voor mij is altijd hoe men de AVG-rechten van betrokkenen respecteert. Kun je zonder gedoe verlangen dat je uit de checker wordt gehaald? Ik heb vele van deze diensten gezien en zelden zit dat er netjes in.
Tweede vraag is hoe de dienst beveiligd is. Het is natuurlijk niet de bedoeling dat bezoekers de dataset kunnen downloaden of leegtrekken met systematische zoekopdrachten.
Derde is hoe en of je de data met derden deelt, zoals je websitebouwer of de plek waar je de eigenlijke dataset hebt neergezet. Ik weet van diverse partijen die de dienst door AI laten schrijven. Dat is nogal spannend, want dan geef je dus die data zonder voorbehoud aan een Amerikaanse partij die er alles mee mag doen. Dat ligt onder de AVG op zijn zachtst gezegd nogal gevoelig. Los daarvan is de kans groot dat je code niet zo veilig is als je zou hopen.
Een juridisch detail is nog of de AP zou mogen optreden tegen zo’n site. Vanwege het beroep op het algemeen belang is hier denk ik de uitzondering voor journalistieke doeleinden van toepassing (artikel 43 lid 1 Uitvoeringswet AVG). De AP is niet bevoegd op te treden tegen gebruik van persoonsgegevens in de media.
Arnoud
Het bericht Mogen al die Odido-datalekcheckers wel opereren van de AVG? verscheen eerst op Ius Mentis.
Quality camera, good software and long battery life, but you should just buy the Pixel 9a instead
The latest smartphone in the lower-cost A-series Pixel line shows what makes Google phones so good, while undercutting the competition on price. The problem is that it differs little from its predecessor, which is still on sale.
Priced from £499 (€549/$499/A$849), the Pixel 10a is more like a second edition of last year’s excellent Pixel 9a. The two phones share the same Tensor G4 chip, not the newer G5 in the rest of the £799 and up Pixel 10 line; the same memory, storage and cameras; the same size 6.3in OLED screen, though the Pixel 10a reaches a higher peak brightness making it slightly easier to read outside.
Continue reading...From London’s commuter belt to the country village gay club, these portraits of LGBTQ+ life are filled with humour, compassion and observational flair
Generations of readers have loved Armistead Maupin’s Tales of the City novels. His chronicle of queer life began in 1976 in the eclectic glamour of San Francisco’s Barbary Lane, where queer people learned who they were and how to live their lives. But even Maupin relocated in the end. The most recent instalment, Mona of the Manor, saw one of its key characters move to the Cotswolds to navigate a very different kind of village.
The social historian John Grindrod nods to Maupin in this fantastically entertaining alternative history of queer life in Britain, which departs from the usual tales of city-based freedom and discovery to tell the stories of people who grew up in the suburbs. “The suburbs” resist easy definition, and Grindrod handles this lightly. Sometimes they’re marked out by social class, sometimes by geography, each facet blurring into the other. His locations range from London’s commuter belt to hamlets, farms and towns, from the edges of Portsmouth and Hull to pockets of Glasgow and Wilmslow and a tiny village in Lincolnshire, where a gay builder is protected from homophobic abuse in the pub by the local darts team.
Continue reading...As the Peaky Blinders film is released this week, we follow in the footsteps of the Shelbys, make a heavy metal pilgrimage and find the city’s best places to eat, drink and dance
The runaway success of the TV crime drama Peaky Blinders has been credited with boosting tourism to Birmingham and the West Midlands since it first aired in 2013, even though much of the series was actually shot farther north, in Merseyside, Yorkshire and Manchester. The release this week of the Peaky Blinders movie The Immortal Man (much of which was filmed in and around Birmingham this time) will undoubtedly generate a new wave of interest, particularly in the Black Country Living Museum in nearby Dudley, whose authentic recreations of streets, houses and industrial workshops appear in key scenes in the TV show and the film – most notably as the location for Charlie Strong’s yard (pictured below).
Continue reading...A Palestine Red Crescent Society mental health centre provides one of the few places left where children in Gaza can play and feel safe
Continue reading...