Juridische vraag: Amerikaans bedrijf schendt mijn privacy
Heb jij een uitdagende vraag over beveiliging, recht en privacy, stel hem aan ICT-jurist Arnoud Engelfriet
en maak kans op zijn boek "De wet op internet".
Arnoud is van alle markten thuis, maar vindt vooral in technische / hacking vragen een uitdaging. De Juridische vraag is een rubriek op Security.nl, waar wetgeving en security centraal staan. Elk kwartaal kiest Arnoud de meest creatieve vraag, die dan zijn boek zal ontvangen.
Vraag: Om diverse redenen run ik al een tijd mijn eigen DNS-server. Laatst viel me op dat er (zelfs als ik niets deed) regelmatig (denk 4 keer per minuut) een oproep werd gedaan naar data.coremetrics.com. Nu gebruik ik Debian dus dit verbaasde mij. Nou ja, snel opgelost zou je denken: voeg data.coremetrics.com aan de hosts-file toe en het is afgelopen. Tot mijn grote verbazing gingen er toen oproepen uit naar data.cmcore.com. Afijn, na ook dat te blokkeren ging ik eens onderzoeken, en via Slashdot kwam ik erachter dat dit een firma is die persoonlijke data van mensen verzamelt en exploiteert. Ik heb daar nooit toestemming voor gegeven. Kan ik daar wat tegen doen, juridisch gezien?
Antwoord: Dit is een Amerikaans bedrijf, en in de VS heerst de opvatting dat je geen privacy hebt behalve over dat wat je in je eigen huis doet met de gordijnen dicht en de communicatiemiddelen uitgeschakeld. Dit soort activiteiten zijn dus in Amerika al snel legaal. In Europa is dat anders. Privacy geldt ook op straat en ook op internet.
De mate van privacy hangt af van wat je aan het doen bent. Wat je op een blog zet, mag je niet als privé beschouwen, maar de inhoud van je mailtjes en de sites die je bezoekt in principe wel. Wil iemand dus wat doen met jouw surfgedrag, dan moeten ze daar expliciete toestemming voor vragen. Veel sites doen dat met een privacystatement, maar of dat voldoende is hangt heel erg af van hoe dat aangeboden wordt, wat erin staat en welke mogelijkheden tot opt-in en opt-out er zijn.
Als een bedrijf je gegevens verzamelt zonder toestemming, overtreden ze daarmee de Wet Bescherming Persoonsgegevens. Je kunt dan een claim tot schadevergoeding indienen, maar helaas is het vaak heel moeilijk om aan te tonen welke schade je nu echt hebt geleden. Ik heb al eens gepleit voor een vast bedrag per persoonsgegeven: zo is de prijs van persoonlijke data expliciet en heeft de burger geen bewijslast meer voor die schade. Dat zou niet alleen de problemen oplossen bij het verliezen USB-sticks, maar ook bij verwerking van persoonsgegevens zonder toestemming.
Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. In 2008 verscheen zijn boek "De wet op internet".
Het bedrijf heb ik zelf ook aangeschreven met het verzoek te overleggen aan welke partijen ze mijn data hebben verkocht en welke data dit was. Niet geheel onverwacht zonder gehoor.
Ik zal het maar moeten laten varen, geld om er iets aan te doen heb ik niet en wat ik uit je stuk begrijp ben ik overgeleverd aan de nukken van de wetten in de VS in dit geval. Neemt niet weg dat het me toch doet irriteren, maar ik kan wel oprecht iedereen aanraden zijn/haar eigen DNS servers te gaan draaien. Je krijgt echt een beter inzicht van wat je pc aan het doen is op het internet. Dat is veel waard.
Als het in de VS zoals bovenstaand wordt vermeld dat privacy aleen in je eigen huis is met de gordijnen dicht en op internet al nog minder is, zijn de amerikanen zich dan niet bewust wat met hun persoonsgegevens gebeurd en met alle gevolgen vandien? oke, het nu eenmaal een klaag-mij-aan maatschappij daar. Maar hoe krijgen de bedrijven het voor elkaar om persoonsgegevens/ andere gegevens al dan niet rechtmatig verkegen (volgens onze wet dan, hun wet wel via een "legale" wijze verkregen.)
Ik ben op dit moment zelf werkzaam op Aruba, en daar is ook geen wet bescherming persoonsgegevens van kracht, hierin ben ik mij nu aan het verdiepen, maar wil dit ook gaan verleggen naar de IT-wereld.
In Nederland zijn naast de privcy wetgeving, de wet bescherming persoonsgegevens en een wet op computercriminaliteit. Ik vraag me af hoe het in de rest van de wereld zit met dit soort wetgevingen
"Ik zal het maar moeten laten varen, geld om er iets aan te doen heb ik niet en wat ik uit je stuk begrijp ben ik overgeleverd aan de nukken van de wetten in de VS in dit geval. "
Is het niet zo dat wanneer dit bedrijf zonder toestemming informatie vergaard op een computer hier in Nederland, er sprake is van Nederlandse jurisdictie, waardoor je in theorie hier een zaak aan kan spannen onder Nederlands recht ? Immers kan je ook in het buitenland worden aangeklaagd wanneer je daar een computer hacked, ook al ben je nog nooit fysiek in dat land geweest ?
Waarom is op jouw voorbeeld Amerikaans recht van toepassing ?
Wat je daaraan hebt is vers twee. Dat bedrijf komt niet naar NL om zich te verdedigen en heeft hier ook geen bezit dat je in beslag kunt nemen. En met een NL vonnis kom je in de VS echt niet ver. Dus ik zie niet zo goed wat je praktisch gezien zou kunnen doen.
Het www is world wide zoals de eerste twee w's zeggen. Wetgeving is nog altijd voornamelijk nationaal.
Virtualisatie, gedistribueerde opslag en verwerking zorgen er voor dat je als ICT-er in veel gevallen niet eens meer kunt weten wat nu precies waar gebeurt. Als ICT-ers als specialisten niet meer met 100% zekerheid kunnen aangeven waar iets staat hoe kun je dan met nationale wetgeving daar nog grip op krijgen.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
