ICT-jurist Arnoud Engelfriet geeft elke week antwoord op een interessante vraag over beveiliging, recht en privacy. Heb jij een vraag? Stuur hem naar juridischevraag@security.nl.

Vraag: op de website Sync.me kun je willekeurige telefoonnummers invullen en zien welke naam daarbij hoort. Een omgekeerd telefoonboek dus. Maar wat valt me op: de gegevens zijn niet altijd officieel (zoals je in het telefoonboek staat), zo zijn er nummers die "Werk Papa" of "Oma" als bijbehorende naam geven. Dat komt dus gewoon uit iemands uitgelezen adresboek. Mag het zo dan wel, in hun voorwaarden staat daar vast een zin over.

Antwoord: omgekeerde telefoonboeken zijn in Nederland eigenlijk altijd illegaal. Voor opname in een officiële telefoongids geldt een wettelijke opt-outregeling, maar voor andere gidsen en ook voor omgekeerd zoeken geldt juist opt-in. Althans in theorie: in de praktijk vindt de OPTA/ACM het geen overtreding omdat het “op zich” niet zou worden ervaren als inbreuk op de persoonlijke levenssfeer, en in het buitenland er meer van zulke diensten zijn.

Een belangrijker punt hier is hoe Sync.me aan de gegevens komen. Die krijgen ze niet van de telecomproviders of uit een officiële telefoongids, maar uit mensen hun adresboek. Mag dát dan? Je kunt toch helemaal niet namens een ander toestemming geven om zijn telefoonnummer en naam te verstrekken?

Wat Sync.me doet, is de oude juridische truc van stal halen dat mensen in de Terms of Use beloven volledig legaal te handelen en te garanderen dat ze alle benodigde toestemmingen hebben geregeld. Ja precies, en ik had ook nog een brug in Rotterdam te koop voor een spotprijsje.

Hier. Lachen (auch auf Deutsch):

If you chose to activate the "Sync.ME search" feature, you would be asked to explicitly warrant that you have all necessary permissions to share your contacts’ information, and that you have no knowledge of any objection, on the behalf of any of your respected contacts, to include their names and phone numbers in the phonebook directory, which is available for other registered users. Please be sure not to share any other person details without his or her prior consent, and that the information you share is accurate and up-to-date.

Geloof je het zelluf. En ik kop hem dan toch maar even in: dit is zinloze prietpraat onder onze privacy- en telecomwetgeving. Toestemming als deze moet expliciet worden gegeven, en het is te enen male onmogelijk dat via Terms of Use of privacyverklaring te doen. Gewoon niet.

Sync.me is onder Europees recht gewoon de 'verantwoordelijke' voor dit soort persoonsgegevens, en moet dus zorgen dat dat zorgvuldig gebeurt. Simpelweg achter een juridische schaamlap wegduiken is niet zorgvuldig.

En nee, claimen dat ze slechts een hostingprovider zijn, gaat hem hier niet worden. Ze geven niet 1-op-1 opgeslagen informatie door, zoals een webhoster, forum of chatbox dat doet. Ze compileren de informatie en bouwen daar een eigen zoekdienst bovenop. Dat gaat te ver om immuniteit te claimen en met notice/takedown weg te komen.

Ik wil het niet elke dag zeggen, maar dit is dus een pracht van een datalek waar de Wbp-met-tanden voor bedoeld is. "Firmly committed to ensure that the personal information is safeguarded and protected", moehaha.

Arnoud Engelfriet is ICT-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.