image

Mag een abonnementsverlener eisen dat ik een toegangspas met foto gebruik?

woensdag 4 januari 2023, 11:34 door Arnoud Engelfriet, 19 reacties

Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Ik heb een abonnement voor toegang tot dierentuinen genomen. Daarbij stond in de voorwaarden dat het abonnement persoonlijk is, en om dat af te dwingen moest er een foto bij. Mijn foto werd echter automatisch afgekeurd omdat deze zoals een 'echte' pasfoto van voren, neutraal kijkend en beide oren in beeld. Is dit allemaal toegestaan?

Antwoord: Algemeen is het zeker toegestaan om een persoonsgebonden abonnement te verkopen. Overeenkomsten voor dienstverlening zijn namelijk als hoofdregel altijd met een specifiek persoon, niet met iedereen die een pasje kan laten zien.

Vanuit die regel is het dus ook in beginsel toegestaan om via het pasje te regelen dat je met de abonnementshouder te maken hebt, en niet met een willekeurige lener van het pasje. Een pasfoto opnemen is dan ook een op zich logisch middel.

Alleen loop je dan wel tegen het probleem aan dat je dan de foto tot biometrisch persoonsgegeven maakt: je gebruikt de foto als herkenningsmiddel. Dat mag alleen onder de strenge voorwaarde dat je geen reëel alternatief hebt, zoals de naam via een overheidsidentiteitsbewijs controleren of een eenmalige scanbare code op je telefoon laten zien die je via je account kocht.

Wat hier verder nog gebeurt, is dat de dienstverlener zo te lezen met een machine learning algoritme onderzoekt of de foto geschikt is voor het beoogde doel. Dat is toegestaan áls het onderliggende gebruik van de foto (als identificatiemiddel van de abonnementshouder) dat ook is. Wel moet de dienstverlener natuurlijk voorkomen dat de ML-aanbieder de foto gaat hergebruiken voor trainingsdoeleinden (training van het ML-algoritme, voor de duidelijkheid).

Arnoud Engelfriet is Ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als partner bij juridisch adviesbureau ICTRecht. Zijn site Ius mentis is één van de meest uitgebreide sites van Nederland over internetrecht, techniek en intellectueel eigendom. Hij schreef twee boeken, De wet op internet en Security: Deskundig en praktisch juridisch advies.

Reacties (19)
04-01-2023, 11:45 door Anoniem
De dierentuin vriendelijk bedanken is natuurlijk de enige juiste response...
04-01-2023, 12:12 door Anoniem
Denk niet dat Arnoud gelijk heeft rond dat biometrisch gegeven. Een foto op een pas plakken en die gebruiken voor identificatie door een mens is geen verwerking biometrische gegevens. Pas als er een technische verwerking plaatsvindt om die herkenning te doen (dus gezichtsherkenningsoftware, niet louter het plakken van foto op kaart via digitaal proces) zou je spreken over verwerking biometrische gegevens.

Het verifiëren van de foto lijkt me amper een probleem. Je hebt een foto nodig voor op de abonnementskaart en dus moet je checken of de foto voldoet. Vooropgesteld dat dat een tooltje is dat gewoon lokaal analyseert en geen gegevens opslaat, zie ik daar ook geen probleem mee.
04-01-2023, 13:35 door Anoniem
Door Anoniem: Denk niet dat Arnoud gelijk heeft rond dat biometrisch gegeven. Een foto op een pas plakken en die gebruiken voor identificatie door een mens is geen verwerking biometrische gegevens. Pas als er een technische verwerking plaatsvindt om die herkenning te doen (dus gezichtsherkenningsoftware, niet louter het plakken van foto op kaart via digitaal proces) zou je spreken over verwerking biometrische gegevens.
Ik weet niet hoe je er bij komt dat het ontvangen van een foto en plakken in een layout voor een pas geen "verwerking" is?
Dat zou natuurlijk zo moeten zijn, maar zo is de AVG helaas niet in elkaar gezet.
04-01-2023, 13:45 door Anoniem
Wat in het verhaal nog ontbreekt: hoe veilig zijn die biometrische gegevens bij de dierentuin. Ongetwijfeld lekken ze via IT-aanbieders en marketingleveranciers uit naar de hele wereld. Want de cybersecurity eisen van de AVG zijn schone theorie.
04-01-2023, 13:58 door Anoniem
Door Anoniem: Wat in het verhaal nog ontbreekt: hoe veilig zijn die biometrische gegevens bij de dierentuin. Ongetwijfeld lekken ze via IT-aanbieders en marketingleveranciers uit naar de hele wereld. Want de cybersecurity eisen van de AVG zijn schone theorie.
Zal best wel maar de foto van frequente dierentuinbezoekers die lekt natuurlijk allang uit via Facebook en Instagram.
Dus wat maakt dat uit?
04-01-2023, 14:28 door Anoniem
Door Anoniem: Wat in het verhaal nog ontbreekt: hoe veilig zijn die biometrische gegevens bij de dierentuin. Ongetwijfeld lekken ze via IT-aanbieders en marketingleveranciers uit naar de hele wereld. Want de cybersecurity eisen van de AVG zijn schone theorie.

Niet, want enkele jaren geleden heeft die dierentuin al gegevens gelekt via hun online kaarten verkoper.
Ik zie nog regelmatig het E-Mail adres voorbij komen wat daarvoor gebruikt is 1-malig.
04-01-2023, 15:14 door Anoniem
Door Anoniem: Het verifiëren van de foto lijkt me amper een probleem. Je hebt een foto nodig voor op de abonnementskaart en dus moet je checken of de foto voldoet. Vooropgesteld dat dat een tooltje is dat gewoon lokaal analyseert en geen gegevens opslaat, zie ik daar ook geen probleem mee.

'verwerken' in de zin van de AVG is heel veel meer dan alleen wel of niet opslaan. Volgens de AVG is het verwerken van persoonsgegevens: ‘elke bewerking of elk geheel van bewerkingen met betrekking tot persoonsgegevens of een geheel van persoonsgegevens, al dan niet uitgevoerd via geautomatiseerde procedures, zoals het verzamelen, vastleggen, ordenen, structureren, opslaan, bijwerken of wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiden of op andere wijze ter beschikking stellen, aligneren of combineren, afschermen, wissen of vernietigen van gegevens’ (artikel 4 lid 2 AVG). Hier worden dus wel degelijk biometrische gegevens verwerkt.
04-01-2023, 17:55 door Anoniem
Door Anoniem:
Door Anoniem: Wat in het verhaal nog ontbreekt: hoe veilig zijn die biometrische gegevens bij de dierentuin. Ongetwijfeld lekken ze via IT-aanbieders en marketingleveranciers uit naar de hele wereld. Want de cybersecurity eisen van de AVG zijn schone theorie.
Zal best wel maar de foto van frequente dierentuinbezoekers die lekt natuurlijk allang uit via Facebook en Instagram.
Dus wat maakt dat uit?

Heb ik beide niet.

Buiten dat is dit natuurlijk een whataboutism van de hoogste catagorie.
“Je mag thuis roken, dus kan het ook wel in de kroeg. Wat maakt het uit?”
04-01-2023, 19:52 door Anoniem
Als je op die kaart al een smoel wilt hebben: geen de koper een blanco kaart en laat 'm daar zelf een foto op plakken. Dan verwerkt je als dierentuin helemaal niks. En je hebt toch deze controle.

Maar ik zou het ook wel weten: ik ga wel ergens anders heen. Dag dierentuin!
04-01-2023, 23:20 door Anoniem
OV-chipkaart? Zelfde verhaal
05-01-2023, 00:52 door Anoniem
Door Anoniem: Als je op die kaart al een smoel wilt hebben: geen de koper een blanco kaart en laat 'm daar zelf een foto op plakken. Dan verwerkt je als dierentuin helemaal niks. En je hebt toch deze controle.

Nou nee , want dan loopt het vol met armoedzaaiers die de kaart delen met de familie en telkens een andere foto opplakken.

Waarschijnlijk zijn dit , net als bv een ziekenhuis pas, gewoon plastic kaarten waar alles , inclusief de foto meteen opgeprint wordt. Simpel, goedkoop, en goed genoeg .

Het hoeft geen paspoort-niveau te zijn - maar dat is de controle ook niet - gewoon goed genoeg dat persoonlijke abo's lastig genoeg te delen zijn - en simpel genoeg te valideren - dat fraude de moeite niet waard is.

Feitelijk is de paspoort eis qua foto dan ietwat overdreven - ik denk dat ze gewoon de standaard module ervoor aangezet hebben, en het voorkomt discussie als ze zelf meer arbitrair moeten gaan afwijzen wegens "echt te onherkenbaar" . (petjes en zonnebrillen).


Maar ik zou het ook wel weten: ik ga wel ergens anders heen. Dag dierentuin!

Blijf dat maar dapper roepen als je frequente uitjes moet hebben om de kinderen zoet te houden.
Als je in de buurt zit is een dierentuin best het abo waard , voor dat soort dingen.
05-01-2023, 08:26 door Anoniem
De vraag is of de verwerking van een (pas)foto noodzakelijk (en niet enkel "nice to have") is voor een toegangspas = toepassing van het beginsel van minimale gegevensbescherming. Volgens mij volstaan voor de toegangspas voor een dierentuin de vermelding van voornaam, familienaam en het klantnummer. Een (pas)foto toevoegen kan handig zijn ("nice to have") bij toegangscontrole, maar is niet noodzakelijk (= het criterium voor een verwerking). Bovendien is een (pas)foto een momentopname en kan het uiterlijk van een persoon sinds het maken van de (pas)foto aanzienlijk veranderd zijn bijvoorbeeld door veroudering en/of door het aanpassen van kapsel.

In bepaalde ondernemingen (zoals de Zoo van Antwerpen) vraagt men voor het maken van een klantenpas om de identiteitskaart te mogen inlezen; men vraagt het, maar een toestemming in de zin van de GDPR is dat niet want daarvoor wordt er te weinig informatie gegeven... Wat er dan precies wordt ingelezen (enkele de foto en naam of ook adres en nationaal nummer) en in welke mate het wordt bewaard is helaas vaak onduidelijk (aangezien de medewerkers geen uitleg daarover geven en/of niet verwijzen naar de toepasselijke privacyverklaring).
05-01-2023, 08:35 door Anoniem
Zo een foto lijkt me geen probleem te mogen zijn, heb ik er geen trek in dan zijn er meer deirentuinen. Voor zover het nog leuk is om naar beestjes te gaan kijken die levenslang hebben gekregen. Terwijl je in een EBI niet dezelfde dagjesmensenrechten kunt krijgen.

Waar ik wel over struikelde, hierboven, is de aanname dat zelfs dierentuinen in mijn ausweis moeten kunnen kijken. Ik voel mij daar namelijk zelfs al onprettig bij als banken dat eisen.

Mijn ausweis regelt mijn staatsburgerschap. Voor als ik langs een douane moet. Of als een notaris een acte moet passeren. Of als een poltieman denkt dat ik teveel gezopen heb. Maar ook als het ineens onverwacht algehele mobilisatie zou worden. Of dat ik zou willen trouwen, met heel veel witte koetsjes erbij. Mijn ausweis is eigenlijk mijn trouwboekje met de grondwet. Maar niet met een dierentuin. Die moeten zelf maar pasjes maken. Vragen naar mijn ausweis door een dierentuin vind ik onbeschofter dan een foto te verlangen waar mijn oren op te zien zijn. De eenvoudige gedachte dat jan en alleman maar in mijn ausweis zou moeten mogen kijken. Om een ijsje te verkopen. Dat zou iedereen wel eens weer wat beter mogen proberen te snappen.
05-01-2023, 11:26 door Anoniem
Door Anoniem:
Door Anoniem:
Door Anoniem: Wat in het verhaal nog ontbreekt: hoe veilig zijn die biometrische gegevens bij de dierentuin. Ongetwijfeld lekken ze via IT-aanbieders en marketingleveranciers uit naar de hele wereld. Want de cybersecurity eisen van de AVG zijn schone theorie.
Zal best wel maar de foto van frequente dierentuinbezoekers die lekt natuurlijk allang uit via Facebook en Instagram.
Dus wat maakt dat uit?

Heb ik beide niet.

Dat boeit niet, als jij twee keer per maand door een dierentuin loopt dan kan het niet uitblijven dat je op foto's en filmpjes
komt te staan die andere mensen maken die WEL Facebook of Instagram hebben, en daar al hun verslagen van dagjes
uit op publiceren.

Buiten dat is dit natuurlijk een whataboutism van de hoogste catagorie.
“Je mag thuis roken, dus kan het ook wel in de kroeg. Wat maakt het uit?”

Het is meer bedoeld om te relativeren wat het belang is van het prive houden van jouw foto.
Als je niet (zoals een aantal mensen hier) de hele dag op je zolderkamer zit met de gordijnen dicht, met 10 firewalls
voor je internet en tig plugins in je browser voor allerlei filters, dan gaat het vroeg of laat gebeuren dat je bestaan bekend
wordt bij de buitenwereld. Als je zovaak bij een dierentuin komt dat het zin heeft daar een abonnement op te nemen,
dan zit je al zover op die schaal (tov de kluizenaars) dat het niet veel zin heeft om je zo krampachtig te verzetten.
of laat gebe
05-01-2023, 13:40 door Anoniem
Iedere persoon beslist zelf hoe die foto's van zichzelf deelt (online of elders). Als je foto's van anderen deelt buiten de pure privé-sfeer (zoals een besloten WhatsApp-groep) dan moet je de GDPR toepassen.

Als we zouden leven in een eerlijke droomwereld zonder oorlog en gemene mensen/organisaties, dan zou ik het delen van mijn foto geen probleem vinden... De waarheid is echter dat we leven in een tijdperk van massale gegevensverwerking, "trial by media" en "fake news" waarin perceptie soms belangrijker is dan realiteit....

Wie toch denkt "ik heb niets te verbergen" kan ik aanraden om eens (één van) de volgende boeken te lezen:
> Je hebt wél iets te verbergen. Over het levensbelang van privacy (https://decorrespondent.nl/nietsteverbergen)
> Ik weet wie je bent en wat je doet (https://ministryofprivacy.eu/product/ik-weet-wie-je-bent-en-wat-je-doet-softcover/)

Nadenken alvorens persoonsgegevens van jezelf (en jouw familie/vrienden) te delen is de boodschap! En als je toch persoonsgegevens moet delen, zoals bij de aanvraag van een overheidsvergunning of telecom-abonnement, deel dan zo weinig mogelijk. Hoe minder persoonsgegevens, hoe kleiner de risico's bij een (soms moeilijk te vermijden) datalek ;)
05-01-2023, 15:33 door Anoniem
Door Anoniem: Iedere persoon beslist zelf hoe die foto's van zichzelf deelt (online of elders). Als je foto's van anderen deelt buiten de pure privé-sfeer (zoals een besloten WhatsApp-groep) dan moet je de GDPR toepassen.
Demk je nou echt dat iedereen die in de dierentuin selfies en foto's van dieren maakt waar jij toevallig in een hoekje
op staat en die deelt op Facebook of Instagram daarbij de GDPR gaat toepassen???
06-01-2023, 16:54 door majortom - Bijgewerkt: 06-01-2023, 16:55
Door Anoniem:
Nadenken alvorens persoonsgegevens van jezelf (en jouw familie/vrienden) te delen is de boodschap! En als je toch persoonsgegevens moet delen, zoals bij de aanvraag van een overheidsvergunning of telecom-abonnement, deel dan zo weinig mogelijk. Hoe minder persoonsgegevens, hoe kleiner de risico's bij een (soms moeilijk te vermijden) datalek ;)
De data die je deelt (en onder de GDPR valt) is niet eens het grootste probleem: dat deel je meer of minder bewust. Het grotere probleem zit hem in de bijvangst waarvoor geen toestemming wordt gevraagd maar wel wordt gebruikt. Denk aan willekeurige foto's op internet die gebrukt wordt voor training van gezichtsherkenning software e.d.
06-01-2023, 19:33 door EersteEnigeEchte M.J. - EEEMJ
De dierentuin zou, met het oog op de in de AVG vastgelegde beginselen van data-minimalisatie en subsidiariteit, altijd de mogelijkheid moeten bieden van een fysieke abonnementskaart met alleen naam en een klantnummer. In het digitale systeem van de dierentuin zou dan ook het adres van de abonnee verwerkt kunnen worden. Bij toegangscontrole mag de bezoeker gevraagd worden zich te identificeren met een officieel document (identiteitskaart of paspoort) als zichtkaart (dus niet digitaal scannen, alleen bekijken). Aan de hand daarvan kan dan gecontroleerd worden of de betreffende bezoeker de abonnementhouder is.

Voor bezoekjes aan de dierentuin is dat beslist genoeg controle. Met een dierentuin-abonnement valt hoe dan ook geen grote winst te behalen.

Theoretisch zou een vorm van fraude mogelijk zijn waarbij een fysieke abonnementskaart structureel circuleert onder meerdere personen. Dat is nogal een logistieke operatie. Ik lees de hysterische krantenkoppen al: "Nijmeegs dierenhuisbezoekerskartel opgerold. Veertien kopstukken gearresteerd, inclusief diverse minderjarigen. De fraudeurs gebruikten een legaal aangekocht abonnement van de hoofdverdachte en bezochten bij toerbeurt het Arnhemse Burgers Zoo."

Ik zou bijna zeggen: als mensen zoveel moeite willen doen om tegen een gereduceerd tarief naar de dierentuin te gaan, laat ze dan. Zie het als een compliment aan de dierentuin. En als iemand een keer betrapt wordt, dan natuurlijk wel een fikse boete (it's all in the game).

Maar ja, tegenwoordig willen we zelfs de geringste "risico's" volledig uitbannen. Dat vinden we "nodig". Wat zeg ik? Dat vinden we zelfs "noodzakelijk in een democratische samenleving" (artikel 8, tweede lid van het Europese Verdrag voor de Rechten van de Mens).

Ondertussen blijft er van die democratie weinig anders meer over dan het woord "democratie"... maar dat boeit ons dan weer minder.

M.J.
06-01-2023, 22:37 door Anoniem
Door Anoniem:
Door Anoniem:
Door Anoniem:
Door Anoniem: Wat in het verhaal nog ontbreekt: hoe veilig zijn die biometrische gegevens bij de dierentuin. Ongetwijfeld lekken ze via IT-aanbieders en marketingleveranciers uit naar de hele wereld. Want de cybersecurity eisen van de AVG zijn schone theorie.
Zal best wel maar de foto van frequente dierentuinbezoekers die lekt natuurlijk allang uit via Facebook en Instagram.
Dus wat maakt dat uit?

Heb ik beide niet.

Dat boeit niet, als jij twee keer per maand door een dierentuin loopt dan kan het niet uitblijven dat je op foto's en filmpjes
komt te staan die andere mensen maken die WEL Facebook of Instagram hebben, en daar al hun verslagen van dagjes
uit op publiceren.

Buiten dat is dit natuurlijk een whataboutism van de hoogste catagorie.
“Je mag thuis roken, dus kan het ook wel in de kroeg. Wat maakt het uit?”

Het is meer bedoeld om te relativeren wat het belang is van het prive houden van jouw foto.
Als je niet (zoals een aantal mensen hier) de hele dag op je zolderkamer zit met de gordijnen dicht, met 10 firewalls
voor je internet en tig plugins in je browser voor allerlei filters, dan gaat het vroeg of laat gebeuren dat je bestaan bekend
wordt bij de buitenwereld. Als je zovaak bij een dierentuin komt dat het zin heeft daar een abonnement op te nemen,
dan zit je al zover op die schaal (tov de kluizenaars) dat het niet veel zin heeft om je zo krampachtig te verzetten.
of laat gebe

Misschien was ik niet duidelijk genoeg, dus hier een nieuwe poging.

Het feit dat ikzelf of iemand anders mijn tronie op ‘social’ media zet is voor de dierentuin geen reden om mijn foto te gebruiken.
Je comment is dus een non-sequitur.
Reageren

Deze posting is gelocked. Reageren is niet meer mogelijk.