PAO Privacy 30 november

1. PAO Privacy 30 november Rob van den Hoven van Genderen Computer/Law Institute, Vrije Universiteit Amsterdam r.vandenhovenvangenderen@rechten.vu.nl Actuele ontwikkelingen privacyrecht

2. Via google • http://www.google.nl/images?hl=nl&q=rob%20van%20den%20hoven%20van%20genderen&um=1&ie=UTF-8&source=og&sa=N&tab=wi&biw=1680&bih=863

3. persoonsgegevens • Een persoonsgegeven is alle informatie betreffende geïdentificeerde of identificeerbare natuurlijke personen. Het gaat dus om alle gegevens die informatie kunnen verschaffen over een bepaald persoon, zoals gegevens over diens eigenschappen, opvattingen of gedragingen. Al wordt de naam van die persoon niet met zoveel worden genoemd dan kan er toch sprake zijn van een persoonsgegeven als de identiteit van de persoon redelijkerwijs, zonder al te veel inspanning kan worden vastgesteld.

4. (semi) intelligent internet • ‘Tripit’ (linkedin): waar zijn je vrienden? En jij? • Nokia: locate friends • RFID: gepersonaliseerde advertenties • Aanpassingen facebook • “the cloud” • “internet of things” • privacy spionage? Cookies en spam

5. Westin “Privacy and Freedom” 1967 • “Privacy is the claim of individuals, groups or institutions to determine for themselves when, how, and to what extent information about them is communicated to others” • ‘right to be let alone’?(to beforgotten/erased?) • ‘right to determine, when, how and to what extent personal data will be disclosed’ • Privacy is not an absolute right

6. Privacy als een proces • “Elk individu is continu bezig in een persoonlijk aanpassings proces in welk hij de wens van privacy afweegt tegenover openbaarmaking , verspreiding en ….” (Alan Westin) • En verder weegt hij af welke maatschappelijke belangen gediend zijn met vrijgifte van persoonsgegevens (onder dwang?)

7. Westin’s four states of privacy • Solitude • individual separated from the group and freed from the observation of other persons • Intimacy • individual is part of a small unit • Anonymity • individual in public but still seeks and finds freedom from identification and surveillance • Reserve • the creation of a psychological barrier against unwanted intrusion - holding back communication

8. Art. 8 EVRM • Respect privé-leven, familie- en gezinsleven, woning, correspondence • Inmenging door openbaar gezag • Bij wet voorzien, noodzakelijk in een democratische samenleving en alleen voor bepaalde legitieme belangen • Criterium: Betrokkene bevindt zich in een situatie waarin hij een “Reasonable expectation of privacy” mag koesteren

9. KERN WBP • Art. 6 WBP: persoonsgegevens worden in overeenstemming met de wet en op behoorlijke en zorgvuldige wijze verwerkt.(zorgvuldigheid) • Art. 7 WBP: persoonsgegevens worden voor welbepaalde, uitdrukkelijk omschreven en gerechtvaardigde doeleinden verzameld.(doelbinding) • Art. 8 WBP: limitatieve opsomming van gronden die gegevensverwerking rechtvaardigen.(rechtmatigheid)

10. Art. 9 • Begrip: verdere verwerking • Criterium: verenigbaar gebruik • relatie doel verkrijging en doel verdere verwerking • aard gegevens • gevolgen voor betrokkene • wijze van verkrijging • aanwezigheid passende waarborgen • statistische gegevens • geheimhouding

11. Uitwerking Informationele persoonlijke levenssfeer • Object van regelgeving • Informatie over bepaalde personen • die in handen is van derden • en mogelijk de basis is van beslissingen over die persoon  het recht om zekere invloed te hebben op het gebruik van informatie over mijn persoon

12. Beveiliging artikel 13 Wbp • Passend beveiligingsniveau • gelet op: • risico’s en • aard van gegevens • rekening houdend met: • stand van de techniek en • kosten van de tenuitvoerlegging

13. Google streetview? • Opnames van herkenbare objecten en subjecten? Tot persoon herleidbare informatie • http://www.dutchcowgirls.nl/online/1812

14. Google streetview? Recognizable objects and subjects YouTube - Google Street View - 100 Best Sightings EVER!!

16. Neelie Kroes pakt sociale media aan • juni 3, 2010 • Eurocommissaris Neelie Kroes gaat sociale netwerksites die de privacy van gebruikers schenden harder aanpakken. Ze gaat er op toezien of sites als Facebook, Google Buzz en Hyves zich wel aan privacyregels houden.

17. netwerken Usocial 124 euro 1000 vrienden voor facebook; voorwaarden? Privacy Geen stijl : auteursrecht, privacy? Autonome systemen: stelselmatig verzamelen van informatie, verwerken en acteren

18. Sociale netwerken • SNS can broadly be defined as online communication platforms which enable individuals to join or create networks of like-minded users • Dienst van de informatiemaatschappij: artikel 3:15 d BW

19. Kenmerken SNS • Profiel • Gegevensbestanden, foto’s, films tekst • Vriendenkring • Communicatie: mail, chat, bulletinb. • - sociaal algemene (relatie) netwerken: Hyves, Facebook, Myweb ; • - professionele netwerken: als Linkedin; • - gespecialiseerde relatienetwerken: schoolbank, dienstmaatjes, datingsites.

20. Risico SNS • internetgebruikers veelal grote hoeveelheden informatie ter beschikking zonder precies te weten: • wat hun rechten zijn, • welke rechten van anderen een rol spelen en • welke rechten de beheerders van deze diensten zichzelf toemeten.

21. http://usocial.net/facebook_marketing/ • Doorgeven van persoonsgegevens zonder toestemming datasubject • Schending portretrecht/auteursrecht • Handelen in strijd met algemene voorwaarden facebook?: • De Informatie die We Verzamelen • Wanneer je Facebook bezoekt, voorzie je ons van twee soorten informatie: persoonlijke informatie die je bewust prijsgeeft en die door ons wordt verzameld, en Website gebruiksinformatie die door ons wordt verzameld terwijl je gebruik maakt van onze Website. • Wanneer je je aanmeldt bij Facebook, geef je ons bepaalde persoonlijke informatie, zoals je naam, je e-mailadres, je telefoonnummer, je adres, je geslacht, waar je naar school bent gegaan en alle andere persoonlijke informatie en voorkeuren die je opgeeft.

22. Sociale netwerkenYouTube privacymededeling • Bijgewerkt met ingang van 19 juni 2009 • Het Google Privacybeleid beschrijft hoe Google en dochtermaatschappijen omgaan met persoonlijke gegevens wanneer je services van Google gebruikt. Hieronder vallen ook de gegevens die je verstrekt tijdens het gebruik van YouTube. Hieronder worden de privacygebruiken omschreven die specifiek voor YouTube van toepassing zijn. Lees dit beleid en het Privacybeleid van Google om op de hoogte te zijn van de manier waarop wij omgaan met gegevens die je aan ons verstrekt wanneer je YouTube gebruikt. • Uitspraak Hof milaan maart 2010 • http://online.wsj.com/article/SB10001424052702304772804575558484075236968.html?mod=WSJEUROPE_hpp_MIDDLETopStories

23. Algemene voorwaarden • Instemming tot deelname en gebondenheid aan de voorwaarden van de SNS: click through : By accessing, viewing, downloading or otherwise using LinkedIn or any webpage or feature available through LinkedIn, any information provided as part of the LinkedIn services, or any related emails, newsletters or services (hereinafter collectively “LinkedIn” or the “Services”), or by clicking “Join LinkedIn” during the registration process, you conclude a legally binding agreement with LinkedIn Corporation Onredelijk bezwarend?

24. Algemene voorwaarden • Dienstverlening en aansprakelijkheid : • SNS: niet verantwoordelijk voor hetgeen binnen hun platform gebeurt :artikel 12 - 14 e-commerce richtlijn artikel 6: 196 c BW: dienstverleners die als tussenpersonen slechts ‘mere conduit’, ‘caching’, of ‘hosting’ verrichten: Hyves reguleert de communicatie tussen gebruikers onderling of tussen gebruikers en de dienst van Hyves niet inhoudelijk. Hyves heeft dan ook geen controle over de kwaliteit, veiligheid, rechtmatigheid, integriteit of juistheid van de verschillende onderdelen van de dienst. Hyves is niet aansprakelijk voor handelen of nalaten van haar gebruikers, waaronder begrepen de bestanden, gegevens en/of materialen die zij op de website van Hyves beschikbaar stellen

25. Algemene voorwaarden: intellectuele eigendom • (a) een kosteloze, onbezwaarde, wereldwijde, sublicentieerbare, niet-exclusieve licentie verleent om(i) de bestanden, gegevens en/of materialen te gebruiken, te verveelvoudigen, te verspreiden en openbaar te maken in verband met de dienst van Hyves; en(ii) de bestanden, gegevens en/of materialen te gebruiken en verveelvoudigen (en aan derden toe te staan om te gebruiken en verveelvoudigen) in welke media dan ook voor marketing en/of promotie doeleinden in verband met de dienstverlening van Hyves;

26. Weggeven? • U behoudt de auteursrechten en alle andere rechten die u al heeft in de Content die u verschaft, post of afbeeldt door of via de Diensten. Door het verschaffen, posten of afbeelden van de Content verleent u Google een eeuwigdurende, onherroepelijke, wereldwijde, royaltyvrije en niet-exclusieve licentie om Content die u verschaft, post of afbeeldt door of via de Diensten, te verveelvoudigen, bewerken, wijzigen, vertalen, openbaar maken, in het openbaar uit te voeren en te verspreiden

27. En verder?

28. Algemene beginselen, rol overheid Integriteit van lichaam en geest/ Algemene persoonlijkheidsrecht: HR 94 WBP dwingend recht:grondrechten als respect voor het prive leven zijn niet overdraagbaar Grotius: niemand kan meer recht geven dan waarover hij beschikt, niemand of entiteit mag beschikken over meer dan dat Informationele zelfbeschikking en transparantie Duitse C.Hof 1983 ieder mag zelf bepalen in hoeverre informatie over hem wordt gebruikt of bekend gemaakt (beperking alg belang) Duitse BverfG 27 feb 2008 Dataretentierichtlijn Subsidiariteit en proportionaliteitsbeginsel: Inbreuk van belang gegevensverwerking niet onevenredig aan het doel Verhouding tot andere grondrechten: Gelijkheidsbeginsel, Vrijheid van meningsuiting, etc EHvJPassagiergegevens luchtvaart USA Competentie EC? Opinion C-317/04 en C 318/04 privacy en openbare orde en veiligheid 28

29. Rol van de overheid • Beschermer van grondrechten • Beschermer van nationale veiligheid en openbare orde • Volksgezondheid, economische belangen etc • Europa:A comprehensive approach on personal data protection in the European Union • De Europese privacytoezichthouders, verenigd in de Artikel 29-werkgroep (WP29), roepen de Europese instellingen op om een privacyovereenkomst te sluiten met de Verenigde Staten met een zo hoog mogelijk beschermingsniveau voor persoonsgegevens (politie en justitie)

30. WODC rapport 2008Security Applications for Converging Technologies • Er wordt online toezicht gehouden op personen met een al dan niet verondersteld veiligheidsrisico; • − Grootschalig gebruik van RFID labels in of op het lichaam voor toezicht-of identificatiedoeleinden; • − Het gebruik van sensoren (cameratoezicht, sensoren op het lichaam,hersenscans, enz.) voor bijvoorbeeld agressiedetectie; • − Het koppelen van publieke en private informatiebronnen met het oog op een alomvattende analyse van iemands gedrag en zijn relaties met anderen;

31. rechtsbronnen Universele Verklaring RvdM, artikel 8 EVRM artikel 8 IVBPV artikel 17 (Ontwerp Europese Grondwet art. II 68) Richtlijn 95/46 EG betreffende bescherming van natuurlijke personen in verband met de verwerking van persoonsgegevens en betreffende het vrije verkeer van die gegevens Verdrag van de Raad van Europa ter voorkoming van terrorisme (Trb. 2006, 34)Nr. 5 (Richtlijn voor verwerking persoongegevens in de telecommunicatiesector/ Telecommunicatiewet, 2002) Wet Bescherming Persoonsgegevens, 6 juli 2000 Wet op de inlichtingen en veiligheidsdiensten Besluit opsporing terroristische misdrijven) privacy en openbare orde en veiligheid 31

32. Artikel 8 EVRMRecht op eerbiediging van privé-, familie- en gezinsleven - 1. Een ieder heeft recht op respect voor zijn privé leven, zijn familie- en gezinsleven, zijn woning en zijn correspondentie. - 2. Geen inmenging van enig openbaar gezag is toegestaan in de uitoefening van dit recht, dan voor zover bij de wet is voorzien en in een democratische samenleving noodzakelijk is in het belang van de nationale veiligheid, de openbare veiligheid of het economisch welzijn van het land, het voorkomen van wanordelijkheden en strafbare feiten, de bescherming van de gezondheid of de goede zeden of voor de bescherming van de rechten en vrijheden van anderen. privacy en openbare orde en veiligheid 32

33. uitgangspunten • transparency in the processing of personal data • Data minimisation: • The "right to be forgotten" – • Data portability.. • Efficient use of the resources invested in data protection.

34. cloud;:Neelie Kroes, 25 november • a) that their cloud supplier protects their personal data efficiently, that is in a transparent manner, and in line with EU personal data protection standards, • b) that all the governments of all the countries where the cloud touches the earth – that is, where the servers are located – must have legal frameworks in place that guarantee adequate data protection and privacy. There can be limited exceptions for reasons of public order and national security, but these must be governed by the rule of law.

35. beveiligingsmaatregelen • De “voorkant”: Toegangsbeveiliging • Identificatie- / authenticatie methoden: • Single Sign-on: “ID-as-a-Service” (bijv. Open ID) • Risico Spoofing • Verbindingen • Betrouwbaarheid verbindingen • Betrouwbaarheid betrokken partijen • De “achterkant” • Betrouwbaar personeel ? • Beveiligde omgeving ? Resource pooling ? • Integriteit van de service delivery ? • Beschikbaarheid gegevens ? • Wat gebeurt er met de back-ups ? • Hoe is de support geregeld ?

36. 30 november 2010 Specifieke bepalingen (Bescherming persoonsgegeven art. 11 Tw (3)) • Regels gelden in aanvulling op Wbp (art. 11.2 Tw) • Art. 11.3 Tw te vergelijken met artt. 13 Wbp: aanbieder moet passende technische en organisatorische maatregelen treffen ten behoeve van de veiligheid en beveiliging van de door hen aangeboden netwerken en diensten

37. 30 november 2010 Inbreuken • Artikel 11.3a • 1. De aanbieder van een openbare elektronische communicatiedienst stelt het college onverwijld in kennis van een inbreuk op de beveiliging, bedoeld in artikel 11.3, die nadelige gevolgen heeft voor de bescherming van persoonsgegevens die zijn verwerkt in verband met de levering van een openbare elektronische communicatiedienst in de Europese Unie. • 2. De aanbieder, bedoeld in het eerste lid, stelt degene wiens persoonsgegevens het betreft onverwijld in kennis van een inbreuk in verband met persoonsgegevens indien de inbreuk waarschijnlijk ongunstige gevolgen zal hebben voor diens persoonlijke levenssfeer.

38. 30 november 2010 Cookies opt in • Artikel 11.7a • 1. Een ieder die door middel van elektronische communicatienetwerken toegang wenst te verkrijgen tot gegevens die zijn opgeslagen in de randapparatuur van een gebruiker dan wel gegevens wenst op te slaan in de randapparatuur van de gebruiker, dient: • a. de gebruiker duidelijke en volledige informatie te verstrekken overeenkomstig de Wet bescherming persoonsgegevens(…) en • b. van de gebruiker toestemming te hebben verkregen voor de desbetreffende handeling.

39. Burgerservice nummer (BSN) Artikel 8, lid 7 van de Europese privacyrichtlijn bepaalt: De lidstaten stellen de voorwaarden vast waaronder een nationaal identificatienummer of enig ander identificatiemiddel van algemene aard voor verwerkingsdoeleinden mag worden gebruikt. “De overheid zal daarom de nodige maatregelen moeten treffen, om te beginnen door te zorgen, dat de koppeling van gegevens en de geldende privacywetgeving met elkaar in overeenstemming blijven. Daarnaast is het de plicht van de overheid om een maximale transparantie en controleerbaarheid te betrachten”. privacy en openbare orde en veiligheid 39

40. Rapporteur VN art 17 ICCPR jan 2010 • Permissible limitations test • Bescherming voorzien in de wet • Essentie van het fundamenteel recht mag niet aangetast • Noodzakelijk in democratie • Limitatieve competentie • Legitiem doel • proportioneel

41. Biometrie • http://www.youtube.com/watch?v=SjyCH_CENOw&hl=nl • http://www.youtube.com/watch?v=Ff-Ib0inV9Q&hl=nl

42. bodyscan • Nieuwe scan Schiphol kijkt door kleding heen Als eerste luchthaven ter wereld zet Schiphol op grote schaal een scan in die door middel van onschadelijke straling de contouren van het lichaam zichtbaar maakt. De scan kijkt als het ware door de kleding heen van de passagier. De veiligheidsbeamte kan zo in een oogopslag zien of iemand bijvoorbeeld een mes bij zich draagt of smokkelwaar onder zijn trui heeft. Het is niet langer nodig om iemand te fouilleren.

43. Vertrouwen in het systeem? Hoe meer data wordt verstuurd of bewerkt op verschillende plekken door verschillende partijen, des te groter het risico dat partijen voor wie de informatie niet is bestemd kennis zullen nemen dan wel misbruik kunnen maken van die gegevens The more processing of data the greater the chance on misinterpretation, misjudging, misrepresentation

44. Indect EU Objectives • To develop a platform for intelligent processing of information for detection of threats and recognition of abnormal behaviour. • To develop a prototype for intelligent system providing techniques and tools for observation and detection of mobile objects (read bikes, car, scootmobile). • To develop a new type of search engine for multimedia contents, based on watermarking technology. • To develop new tools for internet data analysis (to detect criminal activities and threats in computer communication network) (read sns).

45. Artikel 2 WBP b. door of ten behoeve van de inlichtingen- en veiligheidsdiensten, bedoeld in de Wet op de inlichtingen- en veiligheidsdiensten; c. ten behoeve van de uitvoering van de politietaak, omschreven in artikel 2 van de Politiewet 1993; privacy en openbare orde en veiligheid 45

46. WOIVD Artikel 1:d. gegevens: persoonsgegevens en andere gegevens; e. persoonsgegevens: gegevens die betrekking hebben op een identificeerbare of geïdentificeerde, individuele natuurlijke persoon; f. gegevensverwerking of verwerking van gegevens: elke handeling of elk geheel van handelingen met betrekking tot gegevens, waaronder in ieder geval het verzamelen, vastleggen, ordenen, bewaren, bijwerken, wijzigen, opvragen, raadplegen, gebruiken, verstrekken door middel van doorzending, verspreiding of enige andere vorm van terbeschikkingstelling, samenbrengen, met elkaar in verband brengen, alsmede het afschermen, uitwissen of vernietigen van gegevens; privacy en openbare orde en veiligheid 46

47. WOIVD Artikel 6:2. De Algemene Inlichtingen- en Veiligheidsdienst is slechts bevoegd gegevens te verzamelen ten behoeve van het opstellen van de dreigings- en risicoanalyses, bedoeld in artikel 6, tweede lid, onderdeel e, indien de gegevens die op grond van het eerste lid zijn verstrekt dat noodzakelijk maken. privacy en openbare orde en veiligheid 47

48. Artikel 17 1. De diensten zijn bevoegd zich bij de uitvoering van hun taak, dan wel ter ondersteuning van een goede taakuitvoering, voor het verzamelen van gegevens te wenden tot: a. bestuursorganen, ambtenaren en voorts een ieder die geacht wordt de benodigde gegevens te kunnen verstrekken; privacy en openbare orde en veiligheid 48

49. Besluit opsporing terroristische misdrijven) Strafrecht preventief toegepast misdrijf met een terroristisch oogmerk Art. 83a van het wetboek van Strafrecht privacy en openbare orde en veiligheid 49

50. Artikel 20 1. De diensten zijn bevoegd tot: a. het observeren en in het kader daarvan vastleggen van gegevens betreffende gedragingen van natuurlijke personen of gegevens betreffende zaken, al dan niet met behulp van observatie- en registratiemiddelen; b. het volgen en in het kader daarvan vastleggen van gegevens betreffende natuurlijke personen of zaken, al dan niet met behulp van volgmiddelen, plaatsbepalingsapparatuur en registratiemiddelen. 4. Het verzoek om toestemming als bedoeld in het derde lid wordt gedaan door het hoofd van de dienst en bevat ten minste: a. het adres van de woning waarbinnen het middel dient te worden toegepast; b. een omschrijving van het soort middel dat wordt toegepast; c. de reden waarom de toepassing van het desbetreffende middel noodzakelijk wordt geacht. privacy en openbare orde en veiligheid 50