Commentaar MJ op antwoorden VattenfallBedankt, @Anoniem 08-11-2024 om 16:31 uur, @Anoniem 08-11-2024 om 16:39 uur en @Valheru 08-11-2024 om 18:12 uur, voor jullie reacties naar aanleiding van het bericht van Vattenfall. Het valt me op dat deze reacties allemaal heel snel na het door mij geplaatste bericht kwamen, en dat het daarna stil is gebleven. Voor de goede orde ga ik ervan uit dat jullie geen van allen werknemers of relaties van Vattenfall zijn - want dat zou dan natuurlijk even vermeld hebben moeten worden.
Allemaal tonen jullie je bijzonder ingenomen met de reactie van Vattenfall, die jullie samengevat "net en behoorlijk compleet" vinden. Zelf zou ik de reactie van Vattenfall eerder karakteriseren als "schijnbaar net, slim en op cruciale punten incompleet".
Toen ik jullie drie reacties las, was het eerste wat bij me opkwam, het gezegde: "Een kinderhand is gauw gevuld". Inderdaad is de reactie van Vattenfall met zorg geschreven, en reageert Vattenfall in enige vorm op elk van de punten van mijn klacht. De
vorm en de toon van de reactie zijn goed, en in
die zin is het ook een "nette" reactie. Dat viel natuurlijk ook te verwachten, want Vattenfall wist dat ik hun reactie zou delen op dit forum, d.w.z. in de publiciteit. Natuurlijk zet de klantenservice dan, in nauw overleg met de back-office (bijvoorbeeld de Functionaris Gegevensbescherming en/of een Privacy Officer), zijn beste beentje voor.
Jullie lijken vooral op de vorm en de toon van de reactie te reageren, zonder echt goed naar de inhoud te kijken, en zonder te kijken op welke vragen Vattenfall géén of slechts gedeeltelijk antwoord geeft.
Als je echter naar de
inhoud van de reactie van Vattenfall kijkt, dan zie je dat Vattenfall in essentie in reactie op mijn klacht samenvat hoe hun
huidige technische en juridische systeem in elkaar zit als het gaat om de verwerking van de betreffende persoonsgegevens,
alsof dat meteen ook een
rechtvaardiging zou zijn voor die gegevensverwerking. Daarnaast geeft Vattenfall toe dat er in de communicatie en de informatievoorziening
dáárover een paar dingen niet goed zijn gegaan. De boodschap is eigenlijk: "Kijkt u eens hoe mooi wij ons systeem
nu, in reactie op uw uitgebreide klacht, aan u uitleggen? En vindt u het niet mooi van ons dat wij onze klanten voortaan beter daarover gaan informeren? Nou, dan is het allemaal
(fluister-subtekst: ...inclusief de gegevensverwerking...) eigenlijk prima in orde, vindt u ook niet?"
Jullie happen dan toe, zoals veel mensen ook toehappen als ze bij een bank een heerlijk kopje koffie aangeboden krijgen terwijl aan hen door een vriendelijke medewerker geduldig wordt uitgelegd waarom ze ondanks hun ruim toereikende inkomen als expats toch niet in aanmerking komen voor een hypotheek. Of waarom ze toch niet in aanmerking komen voor een arbeidsongeschiktheidsverzekering, wat "niets" te maken heeft met hun etnische achtergrond... etc.
Ik hap dan niet toe. Ik vind het antwoord op hoofdpunten niet adequaat. Want de noodzaak van verschillende zaken die ik in mijn klacht aankaartte, waaronder met name de verwerking van bepaalde persoonsgegevens, is niet aangetoond, terwijl Vattenfall daar wel gewoon mee door wil gaan. Ik zal de antwoorden van Vattenfall hieronder één voor één bespreken.
-- Punt 1: meterstandenlijnIn essentie reageert Vattenfall hier als volgt:
Als we geen meterstanden ontvangen, verdelen we het verbruik over de verschillende tarieven mede op basis van weersinvloeden. Omdat deze meterstanden niet noodzakelijk zijn voor een correcte jaarafrekening, wordt hiervoor geen opnamenummer gemaakt. Daarom kunt u bij een tariefwijziging de meterstanden niet via de meterstandenlijn doorgeven.
Dit is een schijn-antwoord, een "verklaring" die niets verklaart. Vattenfall stuurt een brief waarin aan klanten de mogelijkheid wordt geboden om hun meterstanden door te geven. Als Vattenfall zo'n brief stuurt, ligt het voor de hand om die klanten dan op de gebruikelijke manier te faciliteren bij het doorgeven van de meterstanden. Als daar in sommige gevallen (nl. de meterstandenlijn) een opnamenummer voor nodig is, dan hoort er in die brief gewoon een opnamenummer te worden gezet.
En natuurlijk zijn deze meterstanden, in tegenstelling tot wat Vattenfall beweert, WEL noodzakelijk voor een correcte jaarafrekening. Immers, er vindt een tariefwijziging plaats, en als een klant voorafgaand aan die tariefwijziging, of juist daaropvolgend, een relatief groot deel van zijn jaarlijkse energie verbruikt, dan heeft dat invloed op wat een correcte jaarafrekening is. Als het niet noodzakelijk zou zijn voor een correcte jaarafrekening, dan zou er voor Vattenfall ook geen reden zijn om klanten met zo'n brief uit te nodigen hun meterstanden door te geven.
Voorts gaat Vattenfall niet in op mijn vermoeden dat Vattenfall
met opzet het bestaan van de meterstandenlijn nergens vermeldt op haar website, en ook niet in haar brief.
Waarom zijn jullie meteen tevreden met zo'n schijn-antwoord? Omdat het makkelijker is om jezelf met een kluitje in het riet te laten sturen?
-- Punt 2: de chatbot --Vattenfall zegt het niet expliciet, maar vindt kennelijk dat de chatbot mij toch wel adequaat "te woord heeft gestaan", terwijl de kern van mijn klacht nu juist was dat de chatbot mijn tijd verspilde en mij geen antwoord gaf op de vraag die ik aan de chatbot stelde ("Via welk telefoonnummer kan ik mijn meterstanden aan Vattenfall doorgeven?")
-- Punt 3: Geen opnamenummer in de brief --Vattenfall verwijst naar hun antwoord op punt 1, maar daar geven ze dus een schijn-antwoord op deze vraag, een antwoord dat geen hout snijdt.
-- Punt 4: ControlevragenVattenfall stelt hier:
Voor verreweg de meeste vragen waarmee onze klanten ons bellen hebben we de gegevens van het contract nodig. Om ervoor te zorgen dat we die gegevens alleen met de juiste persoon delen en om datalekken te voorkomen, stellen we hiervoor controlevragen.
Hiermee maakt Vattenfall
niet duidelijk:
-- waarom Vattenfall aan de hand van mijn geboortedatum of de cijfers van mijn bankrekening meent te kunnen vaststellen of ik wel werkelijk degene ben die ik zeg dat ik ben. Er is mij door honderden instanties al duizenden keren om mijn geboortedatum gevraagd - d.w.z. geëist. Die geboortedatum is waarschijnlijk al terecht gekomen in talloze verhandelde databestanden. Het is voor een beetje fraudeur een koud kunstje om aan de geboortedata van zo'n beetje alle Nederlanders te komen. Ook mijn bankrekening nummer kan bekend zijn bij talloze partijen aan wie ik in de loop der jaren geld betaald heb;
-- waarom Vattenfall mij nooit heeft meegedeeld dat zij deze gegevens van mij nu óók voor het doel van controlevragen zou gaan gebruiken. Dat is simpelweg gebeurd zonder dat ik daar ooit toestemming voor heb gegeven. Het is in strijd met het in de AVG opgenomen principe van doelbinding.
-- Punt 5: Registratie geboortedatumHier begint Vattenfall met een vage uitsrpaak:
"Voor het verwerken van de meterstanden is het controleren van uw gegevens wel noodzakelijk . Zo weten we zeker dat uw meterstanden op de juiste plek worden geregistreerd."
Vattenfall maakt hiermee
niet duidelijk waarom mijn NAW-gegevens niet voldoende zouden zijn voor het juist registreren van mijn meterstanden. Net als op zo'n beetje alle adressen van particulieren, staat er maar één elektriciteitsmeter en één gasmeter in mijn woning.
Vervolgens behandelt Vattenfall onder dit punt een flink aantal vragen van mij:
(1) Hoe en wanneer is Vattenfall voor het eerst mijn geboortedatum te weten gekomen? Van wie heeft Vattenfall dit persoonsgegeven verkregen?Vattenfall antwoordt hierop met wat wollige tekst, waartussen een listig zinnetje staat:
"Helaas kunnen wij niet meer herleiden wanneer u uw geboortedatum heeft doorgegeven."
Vattenfall weet het dus niet, maar suggereert ondertussen toch dat ik zelf mijn geboortedatum zou hebben doorgegeven. Maar dat heb ik waarschijnlijk helemaal niet gedaan. Ik herinner me daar in ieder geval niets van. Waarom doet Vattenfall dan toch deze onjuiste suggestie? Immers, Vattenfall weet heel goed dat ze mijn geboortedatum ook uit heel andere bronnen kunnen hebben verkregen, want in hun privacy-statement staat o.a:
Ook uit externe databronnen ontvangen we persoonsgegevens. Dit kan informatie zijn uit openbare bronnen zoals het BAG of het Kadaster en ook van klantinformatiebedrijven. De soorten gegevens die we verwerken, zijn sociodemografische gegevens (zoals gezinsgrootte en samenstelling, woningkenmerken en welvaartsklasse) en bedrijfskenmerken (zoals sector en aantal werknemers).
Het suggestieve zinnetje van Vattenfall is dus een voorbeeld van manipulatieve, misleidende "communicatie".
(2) Op grond van welke wettelijke grondslag(en), in de zin van artikel 6, eerste lid van de AVG, heeft Vattenfall mijn geboortedatum verwerkt?
(3) Voor welke doelen (en sinds wanneer, per doel) verwerkt Vattenfall mijn geboortedatumDeze twee vragen behandelt Vattenfall gezamenlijk. Dat lijkt onschuldig, maar is het niet. Want aan het eind verwijst Vattenfall naar twee verschillende wettelijke grondslagen (art. 6 lid 1 onder b AVG: uitvoering contract; en art. 6 lid 1 onder f AVG: gerechtvaardigd belang) zonder te vermelden voor welke van de door Vattenfall genoemde verwerkingsdoelen welke grondslag van toepassing is. Vattenfall wil kennelijk dat ik daar zelf maar naar raad. Of dat ik denk: "Nou, de grondslagen staan zo keurig netjes achter elkaar genoemd, het zal wel goed zijn. Ik ga lekker slapen." Op deze manier beantwoordt Vattenfall mijn vraag niet.
Maar eerst noemt Vattenfall de doelen. Dat is de kern van deze reactie van Vattenfall op mijn klacht. Ik zal deze door Vattenfall genoemde doelen daarom één voor één bespreken. Het gaat om de volgende doelen:
-- Het verifiëren dat een klant meerderjarig is, en dus een overeenkomst voor energielevering kan sluiten;
Vattenfall maakt niet duidelijk waarom dit een noodzakelijke verificatie zou zijn. Is het ooit voorgekomen dat een minderjarige tiener "voor de lol" met Vattenfall een contract voor levering van energie wilde afsluiten? Dit lijkt me geen serieus risico. Wel zou ik me kunnen voorstellen dat het héél incidenteel kan gebeuren dat een wanbetalende ouder die van energie is afgesloten, vervolgens na een verhuizing naar een ander adres probeert om toch weer een aansluiting te krijgen door zijn kind met dezelfde achternaam maar andere initialen een contract te laten afsluiten. Maar dat lijken me uiterst zeldzame gevallen, die bovendien al snel aan het licht zullen komen, namelijk binnen enkele maanden als de maandelijkse rekeningen ook op het nieuwe adres niet betaald worden. Het gaat dan misschien om een paar honderd euro's. Of is er sprake van een wietplantage? In dat geval staat de strafrechtelijke weg open om het aan te pakken. Het is niet proportioneel om miljoenen Nederlanders te dwingen hun geboortedatum te laten registreren omdat er incidenteel ergens een kleine fraude plaatsvindt - als zulke fraude überhaupt al mogelijk is in het driedubbelgeregistreerde Nederland.
-- Het controleren van de identiteit van een klant. In de afgelopen jaren is het frauderisico verhoogd en daarom maken we gebruik van de AVG check, waarbij wij de identiteit van de klant checken om vast te kunnen stellen dat we de juiste persoon aan de lijn hebben.
Zo doet Vattenfall mee aan de trend om elke Nederlander te beschouwen en te behandelen als een verdachte. Daar is geen aanleiding voor, het is niet redelijk en niet proportioneel. Wat voor "fraude" had ik kunnen plegen bij het doorgeven van mijn meterstanden? Vattenfall houdt zelf al bij of meterstanden niet al te "afwijkend" zijn.
Bovendien kan, zoals ik hierboven al zei, aan de hand van een geboortedatum geen adequate identiteitsverificatie plaatsvinden, omdat de geboortedatum van elke Nederlander al bij duizenden instanties en medewerkers kan rondzwerven.
-- In rechte kunnen optreden tegen een klant;
Hiervoor is geen registratie van een geboortedatum (door Vattenfall) nodig. Als ik het abonnementsgeld van mijn krant niet betaal, kan die krant dat ook komen incasseren zonder een registratie van mijn geboortedatum bij te houden.
-- Het doen van een credit check om bij aanvang van de levering het betaalgedrag van een klant te toetsen, waarbij een inschatting wordt gemaakt of de klant in staat is om de facturen te betalen. Deze verwerking is niet bij u van toepassing.
Oké, dus irrelevant voor mijn klacht. Los daarvan zie ik niet waarom een geboortedatum nodig zou zijn voor een check van iemands betaalgedrag, zolang er geen vermoeden van identiteitsfraude is. Vattenfall kan ook wel willen checken of haar klanten niet toevallig een moord hebben begaan. Dus maar van elke klant de antecedenten in het politieregister opvragen? Wat voor land zijn we geworden? En opnieuw: een geboortedatum is geen adequaat verificatiemiddel voor identiteit, omdat zo'n datum reeds aan zeer velen bekend kan zijn.
-- Voor marketingactiviteiten: Op basis van geboortedatum maken wij geen onderverdeling in aanbiedingen die worden gedaan. Wel gebruiken wij de geboortedatum om geen aanbiedingen te versturen naar klanten boven de 75 jaar. U kunt altijd bij ons aangeven, dat u gebruik wilt maken van het recht van bezwaar. Wij maken dan geen gebruik meer van uw gegevens voor marketingactiviteiten.
Dus Vattenfall
eist van mij dat ik mijn geboortedatum verstrek, omdat Vattenfall anders langer doorgaat met marketingactiviteiten aan mijn adres - marketingactiviteiten waaraan ik sowieso geen behoefte heb? Dat is niet redelijk. Als Vattenfall echt begaan is met het welzijn van 75-plussers, en trouwens ook met het welzijn van al hun andere klanten, dan stuurt Vattenfall periodiek, bijvoorbeeld samen met de jaarafrekening voor energie, een brief met de vraag: stelt u nog langer prijs op onze marketing-activiteiten aan uw adres? Zo ja, laat het ons weten. Als wij binnen vier weken niets van u horen, dan zullen wij u voortaan met rust laten.
Kortom, in dit "nette en complete" antwoord op mijn klacht, heeft Vattenfall geen enkel doel genoemd dat voor mij relevant is èn een noodzakelijkheid met zich mee zou brengen om mijn geboortedatum te verwerken.
(4) Waarom heeft Vattenfall mij nooit op de hoogte gesteld van het doel of de doelen waarvoor Vattenfall mijn geboortedatum verwerkt, terwijl dit wel wordt vereist door artikel 13 AVG --Vattenfall verwijst hier naar hun
privacy-statement, en naar het feit dat ze in 2018, toen de AVG in werking trad, hun klanten hebben laten weten dat het privacy-statement was gewijzigd om te voldoen aan de AVG (ik was toen klant van Nuon. In oktober 2018 nam Nuon een nieuwe naam aan, namelijk Vattenfall Nederland B.V.) Maar dat privacy-statement is vaag, en bovendien verschilt de tekst op de website op onderdelen van het downloadbare, officiële privacy-statement.
In het officiële privacy-statement staat bijvoorbeeld aan het begin van paragraaf 2.2:
"Wij kunnen de volgende persoonsgegevens van je verwerken"
(vetmarkering van mij)
In de website-tekst staat die zin niet, maar wel weer de daaropvolgende tekst:
Bij de aanvraag voor een product of dienst vragen we om persoonsgegevens om de aanvraag af te handelen, zoals: voor-en achternaam, geslacht, adres, e-mailadres, telefoonnummer(s), geboortedatum, bankrekeningnummer.
Dat laatste is dus geen mededeling dat ze het "kunnen" doen, maar een mededeling dat Vattenfall het gewoon doet. Dat is van belang, want in sommige gevallen "kan" het misschien inderdaad nodig zijn om bijvoorbeeld iemands geboortedatum te checken. Maar lang niet in alle gevallen. Er wordt hier, in de privacy-verklaring-op-de-website, niet uitgelegd waarom het nodig zou zijn om bij de aanvraag voor "een product of dienst" in alle gevallen de geboortedatum van een klant te verwerken. Hierboven, onder punt (2) en (3), heb ik al aangegeven waarom dat in mijn geval niet nodig is. Toch doet Vattenfall het in mijn geval.
Ook blijkt uit het privacy-statement (het officiële en de tekst op de website) niet welke rechtsgrond (wettelijke grondslag) Vattenfall voor deze specifieke verwerking ziet. In het privacy-statement wordt namelijk niet per verwerkingsdoel de wettenlijke grondslag genoemd. Er wordt alleen een overzicht gegeven van alle mogelijke wettelijke grondslagen - in feite niet veel meer dan een populair verwoorde weergave van artikel 6, eerste lid van de AVG. Er staat in het privacy-statement bijvoorbeeld:
Dit zijn de wettelijke grondslagen:
-- Voor het uitvoeren van de overeenkomst: Je vraagt energie bij ons aan en wij zorgen ervoor dat onze energie en de energienota op het juiste adres wordt afgeleverd.
Er wordt echter helemaal niet uitgelegd waarom het in zo'n geval "nodig" zou zijn de geboortedatum van een klant te verwerken. Over het ontbreken van noodzaak, zie ook mijn commentaar bij vragen (2) en (3).
Hier gaat het erom dat Vattenfall met een algemene verwijzing naar het privacy-statement
niet voldoet aan het vereiste in artikel 13 AVG. Het doel en de rechtsgrond van elke specifieke gegevensverwerking (in dit geval bijvoorbeeld: verwerking van de geboortedatum) moeten aan de betrokkene worden "meegedeeld". Een simpele verwijzing naar "het privacy-statement" volstaat niet. Aan mij is het nooit meegedeeld, en waarschijnlijk ook niet aan de andere miljoenen klanten van Vattenfall Nederland B.V.
(5) Welke verwerkers heeft Vattenfall ingeschakeld voor het verwerken van mijn geboortedatum? Graag ontvang ik de teksten van de verwerkersovereenkomsten met de betreffende verwerkers.Deze vraag wordt door Vattenfall niet beantwoord, en Vattenfall weigert mij de gevraagde informatie te verstrekken. Om te beginnen draait Vattenfall om de zaak heen met de zin:
Voor het beantwoorden van vragen van klanten werkt onze afdeling Klantenservice samen met een extern bedrijf (hierna: 'verwerker'). Met deze verwerker hebben we een verwerkersovereenkomst getekend.
Maar het ging mij niet alleen om het doel "beantwoording van vragen van klanten", maar ook om alle andere verwerkingsdoelen van Vattenfall. Welke verwerkers heeft Vattenfall voor
die andere doelen ingeschakeld? Daar zwijgt Vattenfall over.
Vervolgens weigert Vattenfall mij zelfs maar het verwerkingscontract met die ene verwerker voor het doel "het beantwoorden van vragen van klanten" toe te sturen - laat staan de verwerkingscontracten met eventuele andere verwerkers, binnen of buiten de EU.
In plaats daarvan selecteert Vattenfall alleen wat kleine citaatjes die ik van Vattenfall mag weten. Heeft Vattenfall soms iets te verbergen? Waarom stuurt Vattenfall mij niet het verwerkingscontract? Daarin kunnen bijvoorbeeld geldbedragen en persoonsnamen onleesbaar worden gemaakt als Vattenfall die "concurrentiegevoelig" acht.
Mogelijk is de klachtbehandelaar die dit verhullende antwoord op mijn klacht heeft opgesteld, zelf medewerker van deze externe "verwerker" en probeert haar eigen werkgever uit de schijnwerpers weg te houden. Wat vindt de directie van Vattenfall daarvan? Dat wordt op deze manier niet duidelijk.
(6) Met welke andere organisaties en personen heeft Vattenfall mijn geboortedatum gedeeld?Vattenfall antwoordt:
Wij verwijzen hierbij naar vraag (5) hierboven.
Maar daar heeft Vattenfall deze vraag dus óók niet duidelijk beantwoord.
(7) In welke landen (binnen en/of buiten de EU), het gaat om de locatie van de servers, heeft Vattenfall mijn geboortedatum laten verwerken?Vattenfall antwoordt:
In Nederland/Europa
Dat is een vaag antwoord. Ik vroeg: "welke landen?" Binnen de EU maakt het voor mij uit of een server in Nederland staat, of in bijv. Duitsland, of in bijvoorbeeld Bulgarije. In dat land gaat men namelijk echt heel anders om met regeltjes (bijv. de AVG) dan in Nederland. Dat weet ik op basis van conversaties met enkele Bulgaren, die mij vertelden over een aantal interessante gewoonten en verhoudingen in hun land. En dan is er natuurlijk nog de mogelijkheid van "Europese" landen buiten de EU of buiten de EER.
Waarom wil Vattenfall niet gewoon uit zichzelf duidelijk over zijn over de landen waarin die servers staan, terwijl Vattenfall mij die informatie op grond van artikel 13 onder d), e) en f) (mits op een redelijke wijze geïnterpreteerd) ook nog zou moeten geven? Oké, het kan zijn dat Vattenfall ervan uitgaat dat de AP en rechters die wetsparagrafen
niet redelijk zullen interpreteren, maar organisaties zoals Vattenfall uit de wind zullen houden. Dat zou op dit moment inderdaad een realistische inschatting zijn. We leven qua privacy-bescherming immers niet in een rechtsstaat. Maar toch, als je als bedrijf waarde hecht aan een reputatie van betrouwbaarheid, waarom zou je daar dan niet gewoon openheid van zaken over geven?
-- Punten 6 en 7 --In essentie antwoordt Vattenfall hier dat ze de informatieverstrekking aan klanten zullen gaan verbeteren. Oké, laten we kijken of dit in de toekomst inderdaad gebeurt.
-- Punt 8: rechtstreeks telefoonnummer waarmee een klachtbehandelaar zichzelf bereikbaar kan maken tijdens de afhandeling van een klacht --Vattenfall antwoordt hier dat ze naar mijn feedback op dit punt zullen gaan "kijken".
- - - - -
Tot zover mijn bespreking van de reactie van Vattenfall op mijn klacht.
Dit is overigens geen volledige reactie op de manier waarop Vattenfall met mijn klacht omgaat. Als je bijvoorbeeld het privacy-statement van Vattenfall leest, dan rijzen de haren je op bepaalde punten ook te berge. Ze vinden dat ze de persoonsgegevens van hun klanten voor héél veel doelen mogen gebruiken... En met héél veel partijen mogen delen.
Oh..... getsie... dat was ik trouwens nog bijna vergeten... Op een cruciaal onderdeel van
-- punt 5 -- van mijn klacht reageert Vattenfall helemaal niet, alsof ze daar "per ongeluk overheen hebben gelezen". Ik had in mijn klacht geschreven:
Ik verzoek Vattenfall, met een beroep op artikel 17 AVG, om mijn geboortedatum te verwijderen uit alle systemen en bestanden die vallen onder de verwerkingsverantwoordelijkheid van Vattenfall, en mij van de voortgang van die verwijdering op de hoogte te stellen en te houden.
Het lijkt erop dat Vattenfall weigert om aan mijn verzoek gehoor te geven, maar stiekem hoopt dat ik dat niet zal merken als ze het maar niet hardop zeggen en me tegelijk maar heel veel tekst over die andere onderdelen van mijn klacht toesturen. Waarom zegt Vattenfall niet hardop: "Wij wijzen uw verzoek af en weigeren om er gehoor aan te geven."...?
Even terugkomend op de reacties hierboven van @Anoniem 08-11-2024 om 16:31 uur, @Anoniem 08-11-2024 om 16:39 uur en @Valheru 08-11-2024 om 18:12 uur - vinden jullie na lezing van mijn commentaar het antwoord van Vattenfall op mijn klacht nog steeds "(behoorlijk) compleet"??
Een antwoord kan er prachtig uitzien, maar het is zaak om ook altijd te kijken naar wat er
niet wordt gezegd.
-- Moeilijk doen ter preventie van normalisering van het abnormale --Tot slot nog dit. Waarschijnlijk vinden veel lezers van Security.nl nu weer dat ik enorm "moeilijk doe". Velen van jullie vinden het heerlijk om te laten zien hoeveel jullie weten over technische foefjes ("technological quick fixes") om computersystemen te beveiligen zodat er geen informatie kan lekken. Maar al die technische "security" heeft voor de betrokken mensen (de
data subjects, of noem het: de slachtoffers van onnodige dataverwerking) geen zin als er geen feitelijke en geen juridische security is. Ik heb wel eens wat algemene voorwaarden doorgelezen van grote organisaties (waaronder Google in de hoedanigheid van "sub-subcontractor" van een verwerkingsverantwoordelijke). Het mag inmiddels bekend worden verondersteld dat die voorwaarden zo zijn opgesteld dat zo'n organisatie eigenlijk alles kan doen met die gegevens. Het wemelt van de ingebouwde juridische "loopholes" - vergelijkbaar met technische "backdoors".
Voortdurend worden nieuwe privacy-aantastingen genormaliseerd, en dienen vervolgens weer als springplank voor nog verdergaande aantastingen. Alleen door wèl aandacht te hebben voor details, en daarbij een streep in het zand te zetten (op welke manier dan ook, het hoeft niet een juridische manier te zijn), maken we kans om deze steeds verdergaande invasie van ons privéleven en onze identiteit om te buigen in een meer humane richting.
Wat ga ik nu, na deze reactie van Vattenfall, doen? Daar zal ik eens goed over nadenken. Het is duidelijk dat als het over de illegale verwerking van mijn geboortedatum gaat, ik van de Autoriteit Persoonsgegevens (AP) geen bescherming hoef te verwachten tegen de praktijken van Vattenfall en vergelijkbare datagraaiers. Immers, de AP geeft aan de bescherming van dergelijke persoonsgegevens "minder prioriteit". Zie bijvoorbeeld een artikel hier op Security.nl van vier dagen geleden: "AP gaat registratie gegevens bij internationale treintickets niet onderzoeken" (
https://www.security.nl/posting/864862/).
Dus als Vattenfall wil, kan dit bedrijf met gebruikmaking van zijn sterke marktpositie doorgaan met deze praktijk, zonder teruggefloten te worden. Immers, we leven als het om privacy-bescherming gaat, al lang niet meer in een rechtsstaat. Maar toch... ik zal er eens over nadenken, en houd me uiteraard aanbevolen voor jullie constructieve commentaar en feedback.
M.J.