DUO gaat trackingsoftware in e-mails uitschakelen na melding Volkskrant

De Nederlandse Dienst Uitvoering Onderwijs gaat tijdelijk stoppen met het gebruik van trackingsoftware in e-mails. DUO gebruikte de tracking om te kunnen zien of studenten belangrijke mails hadden geopend, maar vermeldde dat nergens.

Nadat de Volkskrant vragen had gesteld over de trackingsoftware ging DUO in overleg met de Autoriteit Persoonsgegevens. Na dat overleg heeft de overheidsdienst besloten om de tracking in mails tijdelijk te pauzeren. "We hebben overleg gehad met AP en toen hebben we geconcludeerd dat het wellicht een grijs gebied is", aldus woordvoerder Martijn Grimmius tegen Tweakers. "We hebben gezegd: als het een grijs gebied is, kunnen we het beter eerst goed uitzoeken en dus gaan we de tracking 'on hold' zetten."

Het uitzetten van de tracking gebeurt binnenkort en een evaluatie of en hoe DUO tracking in mails mag gebruiken vindt na de zomer plaats. "Dan is iedereen terug van vakantie bij ons en bij de AP, dus dan is het moment om dit goed te bekijken."

Het grootschalig gebruiken van tracking in communicatie met studenten zou in strijd zijn met de Europese privacywet AVG. Omdat DUO ip-adressen verzamelde via de tracking, was DUO in overtreding, zegt de AP. "Het gaat erom of de gegevens naar een persoon herleidbaar zijn. Een ip-adres van iemand die een e-mail ontvangt is zeker een herleidbaar persoonsgegeven", aldus een woordvoerster van de AP tegen de Volkskrant.

DUO gebruikt de tracking voor twee doeleinden. Ten eerste brengt het in kaart hoe goed mails met informatie worden gelezen. "Als we zien dat een mail niet veel geopend is, kunnen we alvast de telefonische helpdesk erop voorbereiden dat er misschien veel vragen over komen." Daarnaast wil de dienst bij conflicten kunnen bewijzen dat individuele studenten bepaalde mails hebben geopend.

De tracking werkt met een plaatje of pixel in de mail, waarvoor de e-mailclient contact maakt met een server. Daarbij kan de server gegevens opslaan over het apparaat dat de mail opent, zoals een ip-adres. Daardoor is het mogelijk om na te gaan of een bericht is geopend. DUO gebruikt tracking in alle mails naar studenten. Volgens Grimmius kan DUO functioneren zonder tracking in e-mails, "maar dan weten we minder goed welke info bij studenten goed is aangekomen."

Reacties (310)

[Roozzz]

Interessante framing in de reactie van DUO, zij noemen het een "grijs gebied". Terwijl de AP onomstotelijk zegt dat DUO in overtreding is, gezien de verzamelde gegevens herleidbaar zijn naar individuele personen. Het herleiden tot individuen is zelfs expliciet het doel van DUO.
Het lijkt me niet dat hier op enige vorm sprake is van een grijs gebied. Dit is overduidelijk zwart of wit. Dat vinden ze allicht niet leuk, maar is wel de realiteit. De controle zucht wordt hier domweg boven de privacybelangen gesteld.

[n4m3l355]

Toch vreemd dat dit uberhaubt gebeurd juist met de overheid? Dit is niet een mannetje die hier een keuze maakt maar hier gaat overleg aan vooraf, men praat waarschijnlijk met de legale afdeling, verschillende managers en IT mensen zitten hier uiteindelijk aan. En dan praat men over grijs gebied? Dit is toch gewoon recht in het gezicht van het publiek liegen. Ze hebben willens en wetens de wet overtreden en komen er zonder kleerscheuren mee weg. Diegene die hiervoor verantwoordelijk zijn blijven weer op hun positie. Dit is niet straffen maar juist het belonen van crimineel gedrag. Ronduit schandalig.

[CAPSLOCK2000]

Toch vreemd dat dit uberhaubt gebeurd juist met de overheid? Dit is niet een mannetje die hier een keuze maakt maar hier gaat overleg aan vooraf, men praat waarschijnlijk met de legale afdeling, verschillende managers en IT mensen zitten hier uiteindelijk aan.

Dat zou je denken, maar mijn ervaring is dat het meestal niet zo gaat. Er is een goede kans dat er geen enkele techneut betrokken is geweest bij dit traject. Waarschijnlijk is er gebruik gemaakt van een kant-en-klare e-mail-service de ergens is ingekocht. Daarbij wordt vertrouwd op de expertise van de leverancier om alles goed en netjes te doen. Wat dat precies betekent weet de klant zelf echter niet, door alles uit te besteden is de kennis uit de organisatie verdwenen.
Misschien heeft een medewerker van DUO nog op het vinkje "leesbevestiging" geklikt met de gedachte "als het niet mag dan zouden ze het toch niet vragen?" Terwijl de leverancier denkt "dat is de eigen verantwoordelijkheid van de klant, ik kan niet weten of die toestemming heeft gevraagd of niet".

[Annihlator]

Ik vind dat eigenlijk geen beste argumenten... niet-weten van implicaties maakt een persoon namelijk nog niet onschuldig in het maken van een niet daadwerkelijk weloverwogen beslissing... beetje hetzelfde als iemand die plaats neemt achter het autostuur zonder rijbewijs...

Daarnaast vind ik het moeilijk te weerleggen dat er geen aanname had kunnen zijn dat zo'n functie ook maar enige inbreuk zou kunnen maken op de privacy van de ontvanger... if-anything had daar minstens onzekerheid in moeten zitten wat dan alsnog tot overleg had moeten leiden.

[CAPSLOCK2000]

Het is geen verklaring of excuus, ik vertel alleen wat ik om me heen zie gebeuren in een enigszins vergelijkbare omgeving. Dat ze beter zouden moeten weten ben ik met je eens, maar het komt bij de meeste mensen niet op dat er meer aan de hand is.

Deel van het probleem is de "gebruikersvriendelijkheidsillussie". 20 jaar lang was "gebruikersvriendelijk" het toverwoord in de IT. "Met automatiseren bespaar je heel veel geld en met onze gebruikersvriendelijke software kan iedereen alles zelf doen". Nog steeds wordt er alles aan gedaan om te zorgen dat mensen met zo min mogelijk kennis zelf iets gedaan kunnen krijgen. Noodzakelijkerwijs worden zaken flink versimpeld en verborgen. Gebruikers hebben geen idee wat er achter de schermen gebeurt.

Mensen kunnen auto rijden zonder monteur te zijn, maar iedere chauffeur heeft nog wel en vaag beeld van hoe gaspedaal, motor, versnellingsbak samenwerken om de te laten wielen draaien. Dat besef is er veel minder bij software. Mensen voelen zich hulpeloos. Gelukkig is er dan een bedrijf dat gebruikersvriendelijke software aanbiedt waar de gebruiker nog minder van hoeft te snappen....

Door dat gebrek aan begrip is niet alleen duidelijk welke plichten en verantwoordelijkheden er zijn, maar ook wie daar voor moet zorgen. Het is tegenwoordig heel populair om alles in te kopen en te vertrouwen op de kunde van de leverancier.

Gevoelsmatig is voor mensen ook onbegrijpelijk hoeveel werk er komt kijken bij het versturen van een simpele e-mail. Het schrijven van een mail duurt 10 minuten en het zenden 1 seconde. Voor een klusje van 10 minuten ga je toch geen jurist en een systeembeheerder er bij halen? Ze hebben al een professioneel bedrijf in de arm genomen om de mail in bulk te versturen, dat moet de verantwoordelijkheid maar dragen.

En ergens is daar wel iets voor te zeggen... je zou kunnen zeggen dat een hoop software misleidend is. Als software aanbiedt met de belofte dat het voor iedereen bruikbaar is dan moet je daar ook verantwoordelijkheid voor dragen. In dit geval hadden ze de klant misschien moeten wijzen op de AVG en moeten vragen of er toestemming is gegeven om te tracken.

[Annihlator]

En ergens is daar wel iets voor te zeggen... je zou kunnen zeggen dat een hoop software misleidend is. Als software aanbiedt met de belofte dat het voor iedereen bruikbaar is dan moet je daar ook verantwoordelijkheid voor dragen. In dit geval hadden ze de klant misschien moeten wijzen op de AVG en moeten vragen of er toestemming is gegeven om te tracken.

Zondermeer met je reactie eens, dit stuk haak ik wel graag op in:

Ik vraag mij wel eens af of die situatie ontstaan is omdat klanten er zo hard op aandringen of misschien ook wel de uitvoerende partijen ook wel te graag willen verkopen.

Het zal vast wel ergens in het midden liggen, maar waar zouden we moeten beginnen om dit te verbeteren? Ik vraag mij dat wel af

[CAPSLOCK2000]

Ik vraag mij wel eens af of die situatie ontstaan is omdat klanten er zo hard op aandringen of misschien ook wel de uitvoerende partijen ook wel te graag willen verkopen.

Het zal vast wel ergens in het midden liggen, maar waar zouden we moeten beginnen om dit te verbeteren? Ik vraag mij dat wel af

Het komt inderdaad van twee kanten. Deel van het probleem is dat de goeden onder de kwaden leiden. Voor leken is de kwaliteit van IT nauwelijks te beoordelen. Die kijken dus alleen naar de user-interface en de prijs. Nogal wat bedrijven kiezen er voor om dus alleen op die twee aspecten te focussen. Bedrijven die wel voor kwaliteit willen gaan prijzen zichzelf zo uit de markt.

Ik denk dat de oplossing grotendeels van wetgeving moet komen. De wet kan zorgen dat er een zekere ondergrens komt zodat er een einde komt aan de race naar de bodem. De AVG is een goede eerste stap. Door de AVG heeft het onderwerp privacy veel meer aandacht gekregen. Dat er nu boetes worden uitgedeeld helpt ook veel, door boetes is het mogelijk om een concrete prijs aan (gebrek aan) veiligheid en kwaliteit te koppelen.
Ik denk dat het een paar gevolgen gaat hebben. Ten eerste komt er geld en tijd vrij bij bedrijven om iets aan veiligheid te doen. De meeste organisaties kunnen dat niet zelf en zijn afhankelijk van hun leveranciers. Die organisaties zullen van hun leveranciers gaan eisen dat de leverancier (mede) verantwoordelijkheid draagt voor het voldoen aan de wet. De leveranciers zijn immers de experts.

Aan de andere kant zullen bedrijven zich (moeten) gaan verzekeren tegen IT-problemen zoals datalekken, dataverlies, hacks en andere digitale problemen die een risico zijn voor de continuiteit van het bedrijf. De grootste organisaties daar inmiddels mee bezig zijn. Die verzekeraars zullen eisen gaan stellen en hun klanten helpen met beveiligen.

Ik vergelijk het graag met brand. Bedrijven zijn wettelijk verplicht om maatregelen tegen brand te nemen. Daarnaast heeft ieder bedrijf een verzekering tegen brand, daar zorgen de aandeelhouders of geldschieters wel voor. Die verzekering stelt vervolgens allerlei concrete eisen en helpt de klanten om daar aan te voldoen. Als dat niet gebeurt dan gaat de premie omhoog.

[Annihlator]

Bedankt voor het voorbeeld in Brand/braak/verzekering idd, dat zou idd mooi door te trekken kunnen zijn; niet eerder zo bekeken

[Fidesnl]

Jij loopt toch ook over straat zonder het hele wetboek te kennen. De wet gaat er vanuit dat je het eigenlijk wel kent, maar we krijgen op de basisschool geen enkele seconden iets hieruit geleerd. Het is altijd makkelijk om met het vingertje naar anderen te wijzen, maar houd eens een spiegel voor en je zult zien dat je zelf ook veel steekjes laat vallen.

[bbob]

De belastingdienst voldoet nu nog steeds niet aan de avg, dat meld de minister zelf.

Tracken van emails is natuurlijk heel iets anders en had idd gewoon nagevraagd kunnen worden bij AP die dan verteld zouden hebben, nee of ja maar.

De verantwoordelijken blijven idd op hun positie. De overheid wordt op die manier ook steeds ongeloofwaardiger. AP zou in dit geval overheid ook een dikke boete moeten geven, minister zou verantwoordelijken tot de orde moeten roepen of gewoon ontslag. Maar ja zo werkt onze overheid helaas niet.

[trab_78]

De legale afdeling? Hebben ze ook een illegale afdeling dan?

[TWyk]

Ik denk dat DUO het principe aanhangt dat de verwerking van de persoonsgegevens is toegestaan omdat zij de verzamelde persoonsgegevens gebruiken voor het vervullen van hun wettelijke taken.
Dat is in de AVG gewoon een geldige reden om persoonsgegevens te verzamelen.

Het AP is duidelijk van mening dat deze vorm van gegevensverzameling niet is toegestaan. Ook dat is echter slechts een interpretatie van de wetgeving.

Ik denk dat DUO nu bakzeil haalt maar een particuliere partij zou het aan een rechter kunnen voorleggen die dan ofwel met 1 van beide eens is ofwel weer een andere interpretatie van de wet zou kunnen hebben.

[bbob]

Probleem is dat jij als ontvangen van een mail geen keuze hebt, je wordt zonder dat dit vooraf gemeld wordt gevolgd. Daar heb je echter geen toestemming voor gegeven. Zonder die toestemming mag het dus al niet.

Daarnaast gaat het hier over communicatie met een overheidsdienst, daarvoor is er ook geen wettelijke noodzaak om jou ip browser en andere zaken op te slaan.

[TWyk]

Als jij op de DUO site komt wordt je IP adres vrijwel ook vastgelegd zonder dat je dat gevraagd wordt omdat dat voor het beheer van de website vereist kan zijn.
Het is dus niet zo dat een IP adres vastleggen zonder meer niet is toegestaan.

[nandervv]

Dat mag dus ook niet. Het is voor het beheer van een website ook zeker niet vereist om een lijst met alle IP's van bezoekers op te slaan. Verwerken, ja (voor het kunnen sturen van een response), maar daarna moet je het gewoon weggooien.

[Reactie gewijzigd door nandervv op 26 juli 2024 22:16]

[TWyk]

https://blog.iusmentis.co...loggen-van-de-privacywet/

[Patriot]

Niet om ons aller @Arnoud Engelfriet af te vallen, maar dat is een blogpost uit 2012. Ik weet niet in hoeverre deze nog wel relevant is door de wetswijzigingen die zich in de tussentijd hebben voorgedaan.

EDIT: Eigenlijk kan ik dat wel een klein beetje inschatten, want eigenlijk lijkt dat al redelijk veel op wat de AVG van je verlangt: Dat je een goede reden hebt om die gegevens op te slaan.

Lijkt er ook op dat hij het in deze post eens is met @nandervv.

[Reactie gewijzigd door Patriot op 26 juli 2024 22:16]

[Arnoud Engelfriet]

Inderdaad. Je moet een goede reden hebben, en bij website logging is die er eigenlijk gewoon altijd (monitoren & security analysis, dat werk). Dat zie ik ook wel bij de DUO tracking pixel. De klacht is ook niet dat de verwerking bovenmatig is, dat je geen IP-adres mag uitlezen. De klacht is dat je bij het verzamelen moet zéggen dat je dit doet. Bij een website staat dit in de privacyverklaring. Wie stuurt er een e-mail met privacyverklaring? Daar gaat het mis.

[Jerie]

Daarnaast wil de dienst bij conflicten kunnen bewijzen dat individuele studenten bepaalde mails hebben geopend.

Hoe kun je bewijzen dat als iemand een e-mail heeft geopend, hij/zij deze ook daadwerkelijk heeft gelezen? Stel je opent een (HTML) e-mail op je telefoon en je vindt het niet leesbaar. Je bent van plan het later op je desktop te lezen. Maar je vergeet het. Zo gek vind ik dat niet. Ik heb constant dat ik zaken op m'n telefoon open die ik later op m'n laptop (/desktop) open omdat ik een groot scherm prettiger vind werken.

Zonder tracking pixel hoef ik mij geen zorgen te maken dat deze workflow wordt afgestraft. Met tracking pixel wel.

De oplossing is geen HTML e-mail lezen, of plaatjes standaard blokkeren, maar HTML e-mail is tegenwoordig de standaard, en het is irritant om steeds te zeggen 'laat de plaatjes maar zien'.

[selena81]

Is er überhaupt al een officieel juridisch kader voor de e-mail versie van aangetekende post?

Technisch gezien lijkt deze tracking me een goede optie.
Maar ik neem aan dat de rechter dan wel garanties wil tegen verhalen van 'ik opende het maar de mail was gibberish'. Dat je bijv op een knopje met 'ik heb het gelezen' moet klikken (als je dat weigert kan duo alsnog papieren brieven gaan schrijven), of dat je bijv die mail een bepaalde tijd open moet hebben gehad (ik weet niet wat daar technisch nou precies in mogelijk is).
En sowieso gaat de rechter iets eisen van 'je moet de ontvanger meedelen dat de mail getrackt wordt'.

Dat je een open mail misschien alsnog niet hebt gelezen is niet perse relevant: aangetekende post wordt als gelezen beschouwd, ook als je de envelop dicht laat.

[Arjant2]

Het probleem bij email is wel dat de persoon in kwestie geen keus heeft.
Als je bewust naar een website gaat dan weet je dat je ip kenbaar is bij de website.

Ontvang je een email dan neem je zelf geen bewuste actie maar zodra je de email opent worden direct je gegevens opgeslagen.
Dat vind ik wel een wezenlijk verschil.

Een nieuwsbrief verzenden en dan IP adressen opslaan gekoppeld aan de persoon (wat hier van toepassing lijkt te zijn) heeft overigens geen enkele wettelijke grondslag voor DUO dus daar zie ik geen grijs gebied maar een overtreding van de wet want dat lijkt me zeker wel bovenmatig. Opnemen in de privacyverklaring neemt dat niet weg.

[Reactie gewijzigd door Arjant2 op 26 juli 2024 22:16]

[WillySis]

Het loggen van ip-adressen is wel toegestaan, maar de AP hanteert een hele hoop voorwaarden.
Je moet de noodzakelijkheid aan kunnen tonen, de toegang goed hebben geregeld (een heel beperkt aantal mensen mogen die ip-adressen inzien) en goed omschreven hebben wie wat wel en niet mag doen. De bewaartijd mag ook niet langer strikt noodzakelijk zijn.

De voorwaarden staan niet op papier. Het is raadzaam om even contact op te nemen met de AP als jij IP adressen wilt gaan loggen. In overleg kom je dan wel op een framework (of een alternatief) uit waar redelijk mee te werken is. Gewoon van alles loggen kan in deze tijd niet meer.

[bbob]

Meestal gebeurt dan met google analystics waar jij dan niet het ip ziet maar algemene info.
Je kan het idd zelf opslaan, de vraag is dan wat doe je er mee. Ga je dat verwerken of bij linken aan personen dan zul je daar ook toestemming voor moeten vragen.

Probleem blijft als jij een mail opend bezoek je de website niet, je weet ook niet dat je ip opgeslagen wordt, je wordt en niet over geïnformeerd en open je bijv in gmail of live gebeurt ip tracking automatsich.

Het gaat er om dat jij toestemming moet geven of dat iets nodig is. In het geval van email met tracking is er geen noodzaak nog toestemming.

[TWyk]

Die noodzaak is het potentiële twistpunt.
DUO geeft aan dat ze minder goed kunnen functioneren zonder die informatie.

[Reactie gewijzigd door TWyk op 26 juli 2024 22:16]

[bbob]

Die noodzaak is iets wat DUO zelf bedenkt en mening over heeft.

AP is duidelijk

Het grootschalig gebruiken van tracking in communicatie met studenten zou in strijd zijn met de Europese privacywet AVG.

m.a.w de noodzaak die DUO denk te hebben is geen vrijwaring nog een reden om dit te doen.

Er zijn in de AVG wel voorbeelden van noodzaak of bepaalde vrijheid die je hebt voor opslag van gegevens.

Maar wederom je moet het melden aan diegene van wie je gegevens opslaat, ze moeten er van op de hoogte zijn en dan een keuze hebben.

Als jij een mail opent die automatisch de pixel download, ben je niet op de hoogte, je wordt ook niet op de hoogte gebracht en je hebt geen keuze. Het is allemaal gebeurt zonder dat je het weet.

[TWyk]

AP is duidelijk maar het is jammer dat DUO het niet betwist voor een rechter.
Dat geeft ons uiteindelijk betere duiding van de wet

[bbob]

AP volgt gewoon de regels, die regels zijn gewoon duidelijk, het mag niet.
Je kan dan naar de rechter gaan maar als je niet door rood mag rijden mag dat niet, heb je dat toch gedaan, zal de rechter gewoon de wet volgen.

DUO is diegene die er hier grijs gebied van maakt, AP is gewoon duidelijk en als je de AVG regels zou nalezen is dit ook gewoon duidelijk.

[VeeGee]

Het is niet zo zwart-wit. Toestemming is namelijk niet de enige grond op basis waarvan (bijv.) DUO persoonsgegevens mag verwerken (vgl. art. 6 AVG). Sterker nog: het heeft juist de voorkeur om een verwerking niet op toestemming te baseren. Dat deed de DUO hier dan ook niet. De DUO ging er vanuit dat zij een gerechtvaardigd belang zouden hebben ex art. 6 lid 1 sub f AVG. De AP oordeelt dat daarvan geen sprake is, althans dat ze de belangenafweging die daarvoor vereist is, niet zorgvuldig hebben gedaan. Daarmee is het dus wel degelijk een grijs gebied.

[Reactie gewijzigd door VeeGee op 26 juli 2024 22:16]

[R4gnax]

Het is niet zo zwart-wit. Toestemming is namelijk niet de enige grond op basis waarvan (bijv.) DUO persoonsgegevens mag verwerken (vgl. art. 6 AVG).

Ongeacht de grond op basis waarvan persoonsgegevens verwerkt worden geldt er conform artikel 13 een informatieplicht waarbij men verplicht is op het moment van ontvangen van de gegevens het data-subject te informeren over een breed aantal zaken. Aan die plicht voldoet Duo niet.

De DUO ging er vanuit dat zij een gerechtvaardigd belang zouden hebben

Een overheidsinstelling kan zich niet beroepen op gerechtvaardigd belang. De AVG schrijft namelijk het volgende:

Artikel 6 - Rechtmatigheid van de verwerking
1. De verwerking is alleen rechtmatig indien en voor zover aan ten minste een van de onderstaande voorwaarden is voldaan:

a) de betrokkene heeft toestemming gegeven voor de verwerking van zijn persoonsgegevens voor een of meer specifieke doeleinden;
b) de verwerking is noodzakelijk voor de uitvoering van een overeenkomst waarbij de betrokkene partij is, of om op verzoek van de betrokkene vóór de sluiting van een overeenkomst maatregelen te nemen;
c) de verwerking is noodzakelijk om te voldoen aan een wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
d) de verwerking is noodzakelijk om de vitale belangen van de betrokkene of van een andere natuurlijke persoon te beschermen;
e) de verwerking is noodzakelijk voor de vervulling van een taak van algemeen belang of van een taak in het kader van de uitoefening van het openbaar gezag dat aan de verwerkingsverantwoordelijke is opgedragen;
f) de verwerking is noodzakelijk voor de behartiging van de gerechtvaardigde belangen van de verwerkingsverantwoordelijke of van een derde, behalve wanneer de belangen of de grondrechten en de fundamentele vrijheden van de betrokkene die tot bescherming van persoonsgegevens nopen, zwaarder wegen dan die belangen, met name wanneer de betrokkene een kind is.

De eerste alinea, punt f), geldt niet voor de verwerking door overheidsinstanties in het kader van de uitoefening van hun taken.

Het betreft hier ook niet wettelijke verplichtingen; openbaar gezag of een taak van algemeen belang. Dus pech; Duo zal het op toestemming moeten gooien.


En even een zijtak: het feit dat overheidsinstanties zich niet op gerechtvaardigd belang kunnen beroepen, betekent dus ook dat zij zaken als bijv. Google Analytics nooit zonder expliciete toestemming op hun websites toe mogen passen.
Benieuwd hoeveel partijen zich daar daadwerkelijk aan houden...

[Reactie gewijzigd door R4gnax op 26 juli 2024 22:16]

[bbob]

https://duo.nl/organisatie/privacyverklaring.jsp

Link dat privacy verklaring van duo. Daar staat in wat ze verzamelen, hoe en voor welk doel.

Daar staat nergens in dat ze ip adressen verzamelen via het lezen van email.
Er staat wel in dat ze bij bezoek aan de website.

Dus puur en alleen al dat het niet in hun privacy verklaring staat betekend al dat ze jou niet geïnformeerd hebben en jij dit niet kan weten maar wel had moeten weten.

Het gerechtvaardigd belang in dit geval is een te zware inbreuk op de privacy. Als overheidsinstantie had je dit ook eenvoudig bij de AP kunnen laten toetsen.
Het staat het niet in hun AVG en zijn ze daarmee door het op deze manier te verzamelen, niet te melden al in overtreding.

[Patriot]

Daar staat nergens in dat ze ip adressen verzamelen via het lezen van email.
Er staat wel in dat ze bij bezoek aan de website.

Dat is niet wat er wel staat. Er staat dat de privacyverklaring van toepassing is op alle klanten én bezoekers van de website. Ze geven ook een reden op waarom ze deze gegevens verwerken én specifiek weke gegevens er verwerkt worden. Aan de privacyverklaring schort het niet

Het staat het niet in hun AVG en zijn ze daarmee door het op deze manier te verzamelen, niet te melden al in overtreding.

"Hun AVG"?

[Reactie gewijzigd door Patriot op 26 juli 2024 22:16]

[bbob]

Er is dus geen avg voor verzamelen van IP-adressen via tracking in email. Je bent dus niet geïnformeerd en moet wel geïnformeerd zijn.

[Patriot]

Er is dus geen avg voor verzamelen van IP-adressen via tracking in email.

Ten eerste: Wat is volgens jou "een avg"? De AVG is de wet (ok, verordening), niet iets wat DUO heeft/hoort te hebben.

Je bent dus niet geïnformeerd en moet wel geïnformeerd zijn.

De privacyverklaring gaat over de gegevens die ze verwerken en waarom ze die verwerken. Je bent geïnformeerd als ze daar naar verwijzen, wat ze in de mails die ik van ze heb gehad altijd hebben gedaan.

[bbob]

Staat in die mail dan ook dat als je die mail leest je ip adres ook al gelogd is met als reden om te kijken of je de betreffende mail geopend hebt ?

[vickypollard]

Ik denk dat het DUO niet zoveel uitmaakt, maar dat ze het vooral deden om zichzelf in te dekken. Nu de AP zegt "mag niet", kan DUO in de toekomst bij een verantwoording zeggen "tja, we wilden wel, maar het mocht niet he."

[B64]

Waarom zou DUO nu al naar de rechter stappen?

DUO is nu nog in gesprek met AP, afhankelijk van de uitkomst daarvan kan AP een onderzoek starten en DUO evt een boete opleggen vanwege een geconstateerde overtreding. Pas dan heeft het voor DUO zin om dat bij een rechter aan te vechten.

[bbob]

Geef ze alleen weinig kans bij een rechter.

[CivLord]

Sommige soorten gegevensvastlegging en -verwerking mogen zonder toestemming, maar moeten in veel alle gevallen wel gemeld worden. Het gaat dan bij uitstek om de overheid en om overheidsinstanties.

[bbob]

Klopt sommige zaken mogen wel maar zoals je zegt moeten wel gemeld worden.

In een email wordt die niet gemeld, de meeste mensen weten het niet, hebben er ook geen toestemming voor gegeven dus mag het niet.

Daarbij gaat het meestal om bezoek aan een website waar normaal als avg verklaring op staat die je kan lezen. Een mail ontvangen is dan heel iets anders.

[CivLord]

Wanneer het in de email zelf gemeld wordt is het al e laat, want je hebt de email al geopend (en dus is dat geregistreerd) voordat je de kans krijgt om te lezen dat er geregistreerd wordt wanneer je de email opent.

Ze kunnen wel in de allereerste folder die je over DUO krijgt (en in de algemene informatie emails en op de website) vermelden dat ze van belangrijke emails registreren of je ze geopend hebt, en dat ze er dan van uit gaan dat je de email ook daadwerkelijk gelezen hebt.

[Tgask]

Ik denk dat DUO nu bakzeil haalt maar een particuliere partij zou het aan een rechter kunnen voorleggen die dan ofwel met 1 van beide eens is ofwel weer een andere interpretatie van de wet zou kunnen hebben.

Daar zit denk ik net het pijnpunt of de zwakke schakel in de keten. DUO heeft studenten als "klanten", die hebben geen geld om een stap naar de rechter te maken en zullen ook een stuk sneller geïntimideerd zijn door de organisatie en resources. Even los van het feit of ze überhaupt beseffen dat DUO het doet en dat het (waarschijnlijk) niet mag.

[Amito]

Het grijze gebied is dan ook niet of het terug te herleiden is naar individuele personen. Het grijze gebied, of dit gerechtvaardigd is (net als de politie en belastingdienst bijv meer mogen) voor DUO om hun werk te kunnen doen.

[Zynth]

Nee, dat klopt niet.
Zelfs dan moet de gebruiker hierover duidelijk geinformeerd worden.
Aangezien dat niet het geval was, is de overtreding gewoon een feit.

[CivLord]

Maar er is een heel groot verschil tussen iets doen dat sowieso niet mag, of iets doen zonder de gebruiker daar goed over te informeren.

[Zynth]

Wat is het verschil dan?
Beide mag gewoon niet.

[CivLord]

Het verschil tussen een inbreuk in de privacy en het verzuim om iemand te informeren.
Oftewel zonder knipperlicht afslaan naar een straat waar je niet in mag rijden of zonder knipperlicht afslaan naar een straat waar je wel in mag rijden. In het eerste geval wordt de boete een stuk hoger omdat je iets doet dat sowieso niet mag.

[Zynth]

De vraag was of het een grijs gebied is.
Ik blijf bij mijn mening dat dat niet zo is, aangezien beide niet mag.
Hoe erg het niet mag is daarvoor niet bijzonder relevant.

[R4gnax]

Maar er is een heel groot verschil tussen iets doen dat sowieso niet mag, of iets doen zonder de gebruiker daar goed over te informeren.

Beiden zijn in dit geval zaken die sowieso niet mogen. AVG verplicht verwerkers om personen te informeren en mits aan deze informatieplicht niet is voldaan mogen gegevens niet verwerkt worden.

Het is een integraal onderdeel van het eisenpakket om gegevens te kunnen mogen verwerken.
Je kunt krom wel recht proberen te blijven lullen, maar dat lukt dus gewoon niet.

[Reactie gewijzigd door R4gnax op 26 juli 2024 22:16]

[bbob]

Er is geen grijs gebied dat maakt duo er van. In het artikel staat commentaar van aP dat dit niet mag, niet grijs niet groen, niet blauw, het mag niet.

[bbob]

Het artikel is duidelijk betreft standpunt van AP

[quote]
Het grootschalig gebruiken van tracking in communicatie met studenten zou in strijd zijn met de Europese privacywet AVG. Omdat DUO ip-adressen verzamelde via de tracking, was DUO in overtreding, zegt de AP
[/quote[

duo zelf denk er anders over:

We hebben overleg gehad met AP en toen hebben we geconcludeerd dat het wellicht een grijs gebied is", aldus woordvoerder Martijn Grimmius tegen Tweakers. "We hebben gezegd: als het een grijs gebied is, kunnen we het beter eerst goed uitzoeken en dus gaan we de tracking 'on hold' zetten."

Het lijkt er eerder op dat DUO niet wil toegeven in overtreding geweest te zijn en het een grijs gebied noemt.

Wat triester is is dat dit dus van een overheidsorgaan komt. Die zouden de wet moeten kennen en de enige conclusie bij overtreding is een boete. Maar ja linker broekzak van de overheid moet dan boete betalen en rechts krijgt hem.

Je zou denken dat er dan toch misschien mensen die dit hebben toegelaten ondanks dat het niet mag ontslagen zouden moeten worden, immers ze hebben iets gedaan dat verboden was, hebben van te voren schijnbaar bij AP niet gecontroleerd. Maar helaas overheden ontslaan mensen niet zo snel dus misschien omhoog promoveren ?

[Hans C]

Vrij logisch allemaal. De AP moet nog besluiten over de overtreding vermoed ik, met daarbij de hoogte van de boete. Het is dus nu niet in het belang van DUO om ruiterlijk toe te geven. Publicitair zou dat de sterkste oolossing zijn.

[bbob]

Zal idd niet in het belang van duo zijn maar van een overheidsorganisatie zou je in dit geval openheid mogen en moeten verwachten.

Vergelijk het met belastingdienst die https://www.taxlive.nl/nl...og-steeds-niet-avg-proof/
die zijn nog steeds niet avg proof, zijn er open over en werken er aan.

In dit geval heeft het weinig met avg proof te maken, het hebben van tracking in mail is niet volgens avg, is bewust gedaan en overtreding en ja iemand moet het boetekleed aantrekken.

[R4gnax]

Vrij logisch allemaal. De AP moet nog besluiten over de overtreding vermoed ik, met daarbij de hoogte van de boete. Het is dus nu niet in het belang van DUO om ruiterlijk toe te geven.

Omgekeerd kan de AP dankzij dit soort media-uitingen van Duo het ook meer aannemelijk maken dat Duo niet mee wil werken, waarmee men bij gevolg tot een hoger boete-bedrag kan komen.

Kan dus beide kanten op gaan.

[iew]

Grijs gebied hahaha ja dat valt onder de moderne "newspeak" veel overheidsinstanties hebben daar een handje van en de politiek ook vooral.
Zo noemt men "een groot probleem", tegenwoordig steevast "een uitdaging", Liegen heet in de politiek "bezijden de waarheid", en je ziet dit nu bij DUO dus ook.

Men lijkt in de veronderstelling dat wetten en regels niet voor hun gelden omdat het overheid is.
Het is ook een duidelijk patroon als je ziet waar men tegenwoordig in de politiek mee weg komt, in mijn ogen is het zo rot als een mispel en schuift het steeds verder op naar misbruik van macht.

Net als dat overal waar fouten gemaakt worden het tegenwoordig altijd "aan het systeem" ligt, verantwoordelijk zijn of nemen geldt alleen nog voor burgers, de rest schuift alles af.

[Le Marquis]

Het is inderdaad toch heel ver gevonden als overheidsinstelling dit soort voorvallen te bestempelen als een "grijs gebied". Volgens mij is het heel duidelijk wat je wel en niet mag in de AVG/GDPR. En elke leek kon heel duidelijk lezen dat het tracken van een individu op welke manier dan ook en zonder toestemming streng verboden is. Volgens mij heeft DUO toch duidelijk een juridische afdeling die zijn werk niet heeft gedaan.

[lDDQD]

Het is een interpretatieverschil in een gebied waar nog niet voldoende jurisprudentie is.

DUO kan namelijk beargumenteren dat het valt onder hun wettelijke taak (een van de grondslagen) en mag dan gewoon persoonsgegevens verzamelen en gebruiken.

[Nystran]

Fijn dat er overheidsorganisaties zijn die even professioneel monitoren als commerciële marketing bedrijven! Een streven om te verbeteren begint bij een duidelijk beeld, wat makkelijk te verkrijgen is door het tracken van emails.

Interessante framing in de reactie van DUO, zij noemen het een "grijs gebied". Terwijl de AP onomstotelijk zegt dat DUO in overtreding is

Hangt van de data af:
1. Het IP-adres dat werd opgeslagen een persoonsgegeven, dat tevens informatie onthult (locatie van de persoon) die niet voor DUO van belang is. Dit is verboden volgens de AVG.
2. Ik kan me voorstellen dat het voor DUO toegestaan is om te weten of jij je mail gelezen hebt: het kan hen helpen in de uitvoering van hun taken (helpdesk werd bijvoorbeeld genoemd). Mogelijk valt dit onder "gerechtvaardigd belang".
3. Daarnaast wordt er in het bovenstaande bericht gesproken over geanonymiseerde statistische data, om de kwaliteit van de informatievoorziening in de gaten te houden. Ik zie niet in waarom dit niet zou mogen.

Uiteraard: als je tracking pixels gebruikt, moet je wel je proces op orde hebben dat er niet ergens op een server per ongeluk data (IP-adres/datum) bewaard wordt, bijvoorbeeld in de logging.

[Rather21]

Sorry, hoe is dit grijs gebied? Dit is nadrukkelijk niet toegestaan, toch? Het opslaan van het IP zonder medeweten van de ontvanger mag niet zomaar. Zeker niet als het herleidbaar is naar één specifiek persoon.

[R.van.M]

Duidelijk niet toegestaan. Daar bovenop gebruiken ze die informatie ook nog eens voor 'conflicten'. Bizar hoe ze hier doen alsof hun neus bloedt.

[DefaultError]

Klaarblijkelijk doet ieder bonafide bedrijf aan onderzoek. Tijd voor een platte-tekst optie om e-mail te kunnen lezen. Dit tackelt de tracking-pixel.

[Emiel L]

Gewoon ‘laad externe afbeeldingen’ in je mailclient uitzetten, probleem opgelost. En je mail wordt er nog sneller van ook.
Spammers gebruiken deze techniek ook om je mail adres te valideren; adressen die gelezen worden zijn meer waard...

[StefanTs]

Sommige mails zijn compleet onleesbaar als je dat uit zet. Gezien je mail van DUO in veel gevallen wel zou willen lezen klik je dus gewoon op tonen.

[alexiooo]

Dat valt hartstikke mee. Ik heb nog maar een enkele keer een mail gehad waarbij de afbeeldingen echt informatie bevatten. Je mails zien er wel een stuk minder gelikt uit, maar dat is mijn privacy me echt wel waard.

[StefanTs]

De layout is dan zo verpest dat de tekst wegvalt. Ik heb het niet over het missen van de afbeeldingen.

[Basilange]

Kan ik dat ook doen als ik inlog via een mobiele app?

[92458-37017-EB]

Het grijze gebied zit in de discussie of het noodzakelijk is om deze gegevens te verwerken voor de wettelijke taken, waaronder het informeren en incasseren van de studieschuld.

[R.van.M]

Wat ik bizar vind is dat deze gegevens vervolgens gebruikt worden als bewijs materiaal tegen de student.

[D0phoofd]

Zeker niet als het herleidbaar is naar één specifiek persoon.

Een IP is zeker niet altijd herleidbaar naar 1 persoon. Let op Dynamische IP's, of wanneer iemand mail op zijn/haar telefoon leest op 4G. Die zitten dan achter CGNAT.

Het AVG is hier in mijn optiek wel grijs gebied. Dergelijk regelgeving omtrent privacy op het internet is daarom ook behoorlijk lastig.

Ergens kan ik mij inleven dat er wat informatie verzameld word voor diagnostische doeleinden. Maar voor fingerprinten en tracken voor reclamen e.d. is het weer minder leuk. Waar ligt die grens?

Hell, iedere website die je benaderd heeft een log van je bezoek. Zijn dat dan ook persoonsgegevens die je dan mee stuurt? Je IP adres? Denk het niet.

[CAPSLOCK2000]

Hell, iedere website die je benaderd heeft een log van je bezoek. Zijn dat dan ook persoonsgegevens die je dan mee stuurt? Je IP adres? Denk het niet.

Ja, je IP-adres is een persoonsgegeven voor de AVG en moet dus zorgvuldig behandeld worden.
Maar daarmee is het nog niet helemaal verboden om IP-adressen te gebruiken. Je mag ze gewoon zien en opslaan in logbestanden zolang je ze maar niet voor andere doeleinden gaat gebruiken. (Mogelijk zijn er nog andere wetten van toepassing maar daar hebben we het nu even niet over.)

Het verschil is dat het fundamenteel onderdeel van de techniek is dat je het IP-adres van een bezoeker kan zien, dat is hoe het werkt. Zonder adressen ook geen internet.
Dat in tegenstelling tot zo'n tracking pixel die doelbewust aan e-mail wordt toegevoegd om mensen te tracken. Zonder die pixel zou de e-mail nog steeds net zo goed werken.

[Reactie gewijzigd door CAPSLOCK2000 op 26 juli 2024 22:16]

[Patriot]

[...]

Ja, je IP-adres is een persoonsgegeven voor de AVG en moet dus zorgvuldig behandeld worden.
Maar daarmee is het nog niet helemaal verboden om IP-adressen te gebruiken. Je mag ze gewoon zien en opslaan in logbestanden zolang je ze maar niet voor andere doeleinden gaat gebruiken. (Mogelijk zijn er nog andere wetten van toepassing maar daar hebben we het nu even niet over.)

Volgens mij is het helemaal niet zo vanzelfsprekend dat je de persoonsgegevens opslaat, zeker niet gedurende langere tijd. Wij hanteren op basis van juridisch advies een bewaartermijn van slechts 7 dagen, daarna anonimiseren we de gegevens door het IP-adres om te zetten naar een binnen de file unieke (pseudo-)random string. Zeg je dat dat niet nodig is?

[CAPSLOCK2000]

Volgens mij is het helemaal niet zo vanzelfsprekend dat je de persoonsgegevens opslaat, zeker niet gedurende langere tijd. Wij hanteren op basis van juridisch advies een bewaartermijn van slechts 7 dagen, daarna anonimiseren we de gegevens door het IP-adres om te zetten naar een binnen de file unieke (pseudo-)random string. Zeg je dat dat niet nodig is?

Nee, dat gaat veel verder dan wat ik zeg. Wat ik wel zeg is dat het niet automatisch verboden is om IP-adressen op te slaan zonder expliciete toestemming van gebruiker. Je zal nog steeds een afweging moeten maken over welke data je precies opslaat, hoe lang je die bewaart en hoe je dat veilig doet.

Na 7 dagen anonimiseren klinkt redelijk, maar het ligt echt aan de omstandigheden. Blijkbaar is er een reden dat 3 dagen voor jullie niet genoeg is en 7 dagen dat wel, terwijl 8 dagen weer teveel is. Je zou de IP-adressen ook direct kunnen weggooien of anonimiseren.

Naar mijn mening is het in de meeste gevallen niet nodig om logbestanden te anonimiseren als je ze niet te lang bewaard en de toegang beperkt is.
Maar ik ben geen jurist en ik zou zeker het advies van jullie juristen volgen want die kennen jullie omstandigheden beter dan ik, en hopelijk de wet ook

[Anoniem: 391502]

Ik ben ook geen jurist, maar ik heb wel een training gehad van een jurist over dit onderwerp. Kort door de bocht kan je zeggen dat je alles mag opslaan, zolang je maar vermeldt voor welk doeleinde en voor hoe lang. Het is prima om te zeggen dat je een jaar lang IP-addressen bewaart om achteraf nog security incidenten te kunnen analyseren, maar het is niet toegestaan om te zeggen dat je iemands geboortedatum opslaat omdat je daar misschien in de toekomst nog eens iets mee zal gaan doen. Het doeleinde en de bewaartermijn moeten concreet zijn. Dat IP-adressen horen bij de fundamentele werking van een webserver lijkt me niet relevant, want we hebben het hier over het loggen van IP-adressen en een webserver functioneert prima zonder 7 dagen aan access logs.

Edit: het blijkt een vrij ingewikkeld onderwerp, maar de laatste alinea van het gelinkte artikel suggereert dat logbestanden inderdaad niet zijn uitgesloten van de privacywetgeving.

[Reactie gewijzigd door Anoniem: 391502 op 26 juli 2024 22:16]

[nandervv]

Het is niet grijs, het is gewoon zwart. Diagnostisch mag niet zonder toestemming, fingerprinten voor reclame mag ook niet zonder toestemming. Het enige dat mag zonder toestemming zijn dingen waarbij logischerwijs je echt niet zonder kan (uit expliciete consequentie van de actie van de gebruiker).
Voorbeeld daarvan: Login -> Session Cookie.

Dit opslaan is niet essentieel noodzakelijk voor de functie die de gebruiker doet, en DUS moet je om toestemming vragen. Je kan het oneens zijn met die wet, maar dit is de wet.

[dmjdebruin]

Het punt wat hier fout gaat is de data verwerking van een persoonsgegeven.

In log bestanden mag je echt gigantisch veel, die logbestanden dan weer verwerken daar ligt de crux. Daar moet je gaan aantonen dat je bepaalde gegevens voor bepaalde doeleinden mag gebruiken.

[Patriot]

Een IP is zeker niet altijd herleidbaar naar 1 persoon. Let op Dynamische IP's, of wanneer iemand mail op zijn/haar telefoon leest op 4G. Die zitten dan achter CGNAT.

Het probleem zit hem in de IP-adressen die wel herleidbaar zijn. Een herleidbaar gegeven is een persoonsgegeven, ook als er andere gegevens zijn die erop lijken maar niet herleidbaar zijn tot een persoon. Je bent verantwoordelijk voor de persoonsgegevens die je opslaat. Je mag dus alleen zonder reden de IP-adressen opslaan die niet herleidbaar zijn tot een persoon. Dat is in de praktijk niet te controleren, dus mag je niet alle IP-adressen zomaar bewaren.

Hell, iedere website die je benaderd heeft een log van je bezoek. Zijn dat dan ook persoonsgegevens die je dan mee stuurt? Je IP adres? Denk het niet.

Ja, dat is een persoonsgegeven en ja, vrijwel iedere website overtreedt hierdoor de AVG omdat ze geen rechtvaardige reden hebben om deze langer te bewaren.

edit:
verduidelijking n.a.v. reactie @mae-t.net

[Reactie gewijzigd door Patriot op 26 juli 2024 22:16]

[mae-t.net]

AVG verbiedt nergens dat je persoonsgegevens opslaat! Je moet alleen een goede reden hebben en afdoende beveiligingsmaatregelen nemen.

DUO zal het een grijs gebied noemen omdat ze hun reden niet hard kunnen maken maar het natuurlijk 'wel erg handig' vinden ('erg handig vinden' is vaak een excuus voor een privacyschending dus dat is gewoon inktzwart en neit grijs).

Verder mag een website altijd IP-adressen opslaan omdat ze noodzakelijk zijn voor het goed functioneren van het systeem. Ze moeten alleen wel aangeven hoe lang ze bewaard worden en waarvoor ze gebruikt worden, zoals met elk gegeven dat onder de AVG valt.

[Reactie gewijzigd door mae-t.net op 26 juli 2024 22:16]

[Patriot]

AVG verbiedt nergens dat je persoonsgegevens opslaat! Je moet alleen een goede reden hebben en afdoende beveiligingsmaatregelen nemen.

Je hebt gelijk, als ik zeg niet mogen opslaan bedoel ik 'niet zonder rechtvaardige reden', dat was niet duidelijk. Heb ik aangepast.

Verder mag een website altijd IP-adressen opslaan omdat ze noodzakelijk zijn voor het goed functioneren van het systeem. Ze moeten alleen wel aangeven hoe lang ze bewaard worden en waarvoor ze gebruikt worden, zoals met elk gegeven dat onder de AVG valt.

Blijft lastig. De één zegt dit, de ander zegt dat. Totdat een rechter uitspraak heeft gedaan blijft het toch een beetje koffiedik kijken en is het denk ik vooral een kwestie van zorgen dat je niet degene bent met wie ze jurisprudentie maken..

[hamsteg]

Dit is een algemene misvatting. De AVG is geen wet en regelgeving voor de inhoud maar voor het proces. Theoretisch mag je alles doen wat jij als firma nodig hebt om je kernbedrijfsvoering uit te voeren. Je onderbouwing van waarom (doel) je de dingen doet, met welke gegevens en voor hoelang (terug) is wat de AVG bewerkstelligt; het moet behoren tot je kernwerkzaamheden (inclusief duidelijk beschrijving van rollen en verantwoordelijkheden).

Het uitgangspunt is duidelijk, er zijn sterke richtlijnen om de persoonlijke data (herleiding naar een individue) niet te gebruiken maar met je juiste onderbouwing en procesmatige verwerking kun je daar aan voorbij gaan. Hoe breder jij de scope insteek hoe zwaarder jij je processen moet inrichten en goed beschrijving (en naleven).

[Patriot]

Mag ik vragen wat volgens jou mijn misvatting is? Ik heb namelijk het idee dat jouw verhaal en mijn verhaal elkaar niet tegenspreken.

[hamsteg]

Mijn commentaar is aanvullend maar "de een zegt dit, de ander zegt dat". Het doel van de AVG is vrij duidelijk, mensen maken het moeilijk omdat ze te laat zijn begonnen of domweg in de hoop om er onder uit te komen. Bedrijven die redelijk zuiver waren voor het invoeren van de AVG waren na invoering vrij snel klaar. De uitdaging zit hem in de bedrijven die schimmig aan het werk waren of zomaar wat deden want ze moesten ineens over het bedrijf nadenken en dat op papier gaan zetten. Een aantal bedrijven hebben de uitdaging van legacy systemen, zie oa artikelen belastingdienst, maar ook hier kun met goede processen een heel eind komen zonder je bedrijfsvoering onderuit te hoeven halen. Het was aanvullend bedoeld.

[Reactie gewijzigd door hamsteg op 26 juli 2024 22:16]

[R4gnax]

Verder mag een website altijd IP-adressen opslaan omdat ze noodzakelijk zijn voor het goed functioneren van het systeem.

Klein probleem: dat is niet zo. Een IP adres heb je enkel zo lang nodig als de request->response cycle duurt, zodat een webserver weet naar welk IP adres het een antwoord voor een bepaald verzoek terug moet sturen. Er is geen enkele functionele kern-reden voor het voldoen aan een HTTP(S) verzoek waarbij IP adressen op een langdurig medium opgeslagen moeten worden.

[Reactie gewijzigd door R4gnax op 26 juli 2024 22:16]

[mae-t.net]

Hangt af van wat je functioneren noemt. Logs bewaren is een oude traditie maar dat is geen reden. Dus altijd goed om nog even onder de loupe te nemen, maar dat betekent niet dat je hem zomaar af kan schaffen. Het kan afhankelijk van het soort site, zonder meer gerechtvaardigd zijn om IP-adressen te loggen. Vooral als de site op enige manier mogelijkheid biedt tot misbruik (als er op enige manier interactie mogelijk is kan dat al het geval zijn, in het bijzonder als er ingelogd kan worden en er al andere persoonsgegevens opgeslagen worden die beschermd moeten worden tegen misbruik) of als er conflicten tussen partijen kunnen ontstaan tijdens interactief gebruik.

[R4gnax]

Verder mag een website altijd IP-adressen opslaan

Het kan afhankelijk van het soort site, zonder meer gerechtvaardigd zijn om IP-adressen te loggen.

Dus niet altijd; maar soms.
Afhankelijk van andere zaken buiten de kern van het afhandelen van een HTTP(S) verzoek zelf.

[Reactie gewijzigd door R4gnax op 26 juli 2024 22:16]

[mae-t.net]

Alleen gaat het hier om rechtvaardiging van gebruik in bedrijfsprocessen, niet om details van technische processen waar het bij dat proces alleen maar heel kort nodig is.

Trouwens, zelfs in het technische proces worden IP-adressen langer bewaard dan gedurende het http-verzoek. Denk aan sessiegegevens.

Maar bedrijfsprocessen dus. Bij elke website waar enige gebruikersinteractie is, en dat zijn er veel meer dan 'soms' is er als het goed is sprake van een bedrijfsproces waarin interactie traceerbaar is, soms zelfs omdat dat een wettelijke vereiste is. Je kunt dat dus niet zomaar afdoen als 'soms' en 'dat is niet zo'.

[R4gnax]

Trouwens, zelfs in het technische proces worden IP-adressen langer bewaard dan gedurende het http-verzoek. Denk aan sessiegegevens.

De koppeling van sessies kan in de basis geimplementeerd worden middels een encrypted cookie die met een message authentication code beschermd is. Het IP adres zit daar dan mogelijk als controle gegeven in verwerkt, maar hoeft niet langer herleidbaar te zijn. De controle reeks wordt dan bij elk binnenkomend HTTP(S) verzoek opnieuw aangemaakt en gecontroleerd. Daarvoor wordt het IP adres van dat ene nieuwe verzoek tijdelijk, enkel tijdens de duur van dat ene verzoek, gebruikt.

Maar bedrijfsprocessen dus. Bij elke website waar enige gebruikersinteractie is, en dat zijn er veel meer dan 'soms' is er als het goed is sprake van een bedrijfsproces waarin interactie traceerbaar is, soms zelfs omdat dat een wettelijke vereiste is. Je kunt dat dus niet zomaar afdoen als 'soms' en 'dat is niet zo'.

Tu quoque?
Dank je hoor.

Ik hoor nog steeds geen bewijs dat het altijd nodig is. Enkel in sommige gevallen.
Ja: SOMMIGE. In de meeste gevallen waar traceerbaarheid nodig is, gaat het om ingelogde gebruikers waarvan je de account naam kunt gebruiken. Je hebt dan niet bij elk verzoek een IP adres nodig. IP adressen hoef je dan wellicht enkel op te slaan bij de inlog-actie, wat in het geval van bijv. organisaties die met DigiD werken, maar ook bij anderen die federated login systemen benutten, niet eens hun eigen pakkie-an is.


Dat veel mensen het nu doen, wil niet zeggen dat het in al die gevallen nodig is.
Omdat er een betere oplossing is, bijv. en de huidige uit gemakzucht of budgetsoverwegingen gemaakt is. Of botweg door gebrek aan kennis.

[Reactie gewijzigd door R4gnax op 26 juli 2024 22:16]

[Durandal]

Een IP is zeker niet altijd herleidbaar naar 1 persoon. Let op Dynamische IP's, of wanneer iemand mail op zijn/haar telefoon leest op 4G. Die zitten dan achter CGNAT.

In dit geval wel. Ze sturen een mail naar een specifieke student met een plaatje er in met een uniek op hun server bekend adres. Als je mail geopend wordt wordt dat plaatje opgevraagd en weten ze dat specifiek die student zijn unieke mail gelezen heeft, met het gebruikte IP.
In dat geval heeft die student dus dat IP gebruikt. Student is ten minste 1 van de gebruikers van het IP, en vaak ook de enige over tijd.

Erger is natuurlijk dat ze het willen misbruiken als lees-confirmatie, en ook nog eens in het geniep.

[Reactie gewijzigd door Durandal op 26 juli 2024 22:16]

[la cucaracha]

Misschien is massaal gebruiken van vpn's een mogelijkheid om een flinke bak zand in de DUO raderen te kiepen.
Bij elke leesbevestiging wordt dan steeds een random ip adres mee retour gezonden. Vanochtend uit New York, vanmiddag uit Kaapstad en vanavond uit Rakka..
En elke mail van die club automagisch beantwoorden met : Vriendelijke groetjes uit 127.0.0.0
Grijs gebied mijn reet. Die club weet heel goed dat ze fout bezig zijn ( geweest)
Vraag me ook af hoe ze een ip adres locatie willen inzetten bij conflicten.
Bewijslast verzamelen dat die UvA studente die formeel bij haar ouders in Assen woont maar haar mail wel steeds leest vanaf een IP adres dat zich in het wallengebied bevindt? Ah... mevrouwtje 'klust' er bij... Eens even uitzoeken hoe dat financieel allemaal in elkaar steekt...Toeslagen, aftrekposten, noem maar op... Kijk, dat fraude moet worden aangepakt snap ik wel maar daar zijn in NL wel regels voor en ook DUO zal zich daar naar moeten schikken. Dat is zwart/wit, niet grijs.

[divvid]

Precies, het mág niet en is ook niet nodig. Enige wat nodig is is dat DUO berichten kan zetten in mijnoverheid.nl. (en dat kunnen ze)

Ze kunnen dan op een legale manier zien of het bericht al dan niet gelezen is, eventueel een herinnering sturen per mail/brief én ze kunnen bewijzen dat het bericht op een toegankelijke manier is aangeboden.
Omgekeerd kan een student aantonen dat er geen bericht is gestuurd als het niet in mijnoverheid.nl staat.

Geen student kan dan zeggen dat hij/zij geen gelegenheid heeft gehad om het bericht te lezen. Ergens is dat de verantwoording van de student zélf.

Tenslotte wordt van ondernemers óók verwacht dat ze tijdig en regelmatig op de site van de belasting dienst kijken en van ons allemaal wordt verwacht dat we kennis nemen van wetgeving via de staatscourant. Lekker ouderwets, maar wel effectief in juridische procedures.

[hotdog92]

Ze kunnen dan op een legale manier zien of het bericht al dan niet gelezen is, eventueel een herinnering sturen per mail/brief én ze kunnen bewijzen dat het bericht op een toegankelijke manier is aangeboden.
Omgekeerd kan een student aantonen dat er geen bericht is gestuurd als het niet in mijnoverheid.nl staat.

Hoe bedoel je precies dat ze op een legale manier kunnen zien of het bericht gelezen is? Voor zover mij bekend is kunnen instanties via MijnOverheid niet zien of je een bericht hebt gelezen. De FAQ heeft het daar ook over: "De organisaties die berichten in uw Berichtenbox afleveren, krijgen van MijnOverheid nooit informatie of en wanneer u uw berichten hebt gelezen of verwijderd." Zie de FAQ van MijnOverheid (vraag 9).

[divvid]

ah, dat zou dus instelbaar moeten zijn. Blijft staan dat als DUO mijn overheid zou gebruiken ze altijd kunnen claimen dat de student het bericht had kunnen lezen

[B64]

Ja en nee. Veel berichten in MijnOverheid zijn alleen algemene mededelingen, wil je de de hele boodschap lezen moet je doorklikken naar een link van de betreffende overheidsinstantie of een gelinkte PDF openen (bijvoorbeeld een aan jou gerichte brief). En op die manier kunnen ze natuurlijk wel zien dat je dat bericht gelezen hebt.

Buiten dat, de betreffende overheidsinstantie krijgen van MijnOverheid die informatie niet, maar MijnOverheid heeft die informatie wel, dus mocht er van overheidswege stront aan de knikker komen dan kan die informatie (desnoods via de rechter) altijd opgevraagd worden.

[92458-37017-EB]

Jij gaat er dan van uit de iedereen die contact heeft met DUO in het bezit is van een DigiD. Helaas gaat die vlieger niet op voor minderjarigen, buitenlandse studenten en migranten, om maar een paar groepen te noemen.

[alexiooo]

Dat is dus complete onzin. Om je zaken met DUO te regelen moet je sowieso inloggen op mijnDUO met, je raadt het al, een DigiD. Verder hebben minderjarigen ook gewoon een DigiD.

[92458-37017-EB]

Jij gaat er van uit dat alle verwerkingen van persoonsgegevens die bij DUO plaatsvinden vanuit de student komen. Ik kan je verzekeren dat dat niet zo is.

[Raymond Deen]

Vind dit ook een stomme manier... In de urls een unieke id, gekoppeld aan het email adres, opnemen en daar van bij houden of een mail geopend is, een link aangeklikt, etc. dat kan ook prima.
En van te voren aangeven dat je ten behoeve van administratie en bewijs bij houdt wat er met je communicatieuitingen gedaan wordt, dekt de rest af.
Lijkt mij dat, als communicatie hoofdzakelijk elektronisch gebeurd, je een elektronische vorm van zekere ontvangst- en leesbevestiging wilt hebben om conflicten omtrent stufi en dergelijke op gebied van communicatie uit te kunnen sluiten.

[Ossi]

Lijkt mij dat, als communicatie hoofdzakelijk elektronisch gebeurd, je een elektronische vorm van zekere ontvangst- en leesbevestiging wilt hebben om conflicten omtrent stufi en dergelijke op gebied van communicatie uit te kunnen sluiten.

Waarom zou je dat elektronisch wel willen hebben en op papier niet? Dat ze brieven versturen betekent niet dat ze aankomen.

[Vizzie]

Voor brieven hebben we daar al een hele makkelijke manier voor: aangetekend verzenden als het belangrijk is bewijs te hebben dat de ontvanger de brief gehad heeft. Meeste brieven zijn daar echter niet belangrijk genoeg voor.

Meeste elektronische communicatie is ook niet belangrijk genoeg om ontvangstbevestigingen te hoeven hebben, maar het is veel goedkoper om trackingsoftware in te zetten dan om aangetekende post te versturen.

Vervolgens krijg je dan een club als duo die maar besluit alles te volgen omdat dat makkelijk en goedkoop is en het zogenaamd “een grijs gebied” is.

[Reactie gewijzigd door Vizzie op 26 juli 2024 22:16]

[Ossi]

I know, maar ik heb echt nog nooit een aangetekende brief gehad van ze.
Ik wilde gewoon inhaken op waarom hij het bij elektronisch wel belangrijk vindt, maar dat het bij analoog nooit gedaan wordt.

[laptopleon]

Dit.

DUO doet nu net alsof ze het heel belangrijk vinden om te meten of berichten gelezen worden maar 1) daar maakten ze zich in het verleden nooit druk over en 2) het is en blijft jouw probleem als je hun berichten – om wat voor reden dan ook – niet leest.

Misschien wel nog belangrijker: Er hoeft geen IP te worden vastgelegd om vast te leggen of de mail bekeken is.

Sterker nog: Echt zeker weet je toch nooit, dat degene die de mail geopend heeft, de geadresseerde is. IP / geadresseerde is dus geen bewijs.

Ik begrijp ook niet wat DUO hiermee voor elkaar probeert te krijgen want IP-adressen verzamelen heeft geen nut voor ze en geeft een hoop gedoe qua AVG.

Overigens vind ik de titel met ‘tracking software’ tendentieus. Als dit ‘tracking software’ is, is elke html mail met een url of niet-ingesloten afbeelding dat, al 25 jaar.

[R4gnax]

Ik begrijp ook niet wat DUO hiermee voor elkaar probeert te krijgen

Bij een welles-nietes touwtrek verhaal bij de rechter een dossier neer kunnen ploffen waaruit - volgens hen dan, in elk geval - blijkt zij de wederpersoon weldegelijk correct op de hoogte hebben gesteld of gehouden van relevante feiten, en dat die wederpersoon staat te liegen als deze claimt dat dat niet zo is.

Gevalletje covering your own ass (cyoa).

[laptopleon]

De mail hoeft niet eens door een mens bekeken te zijn om die pixel te doen laden, dus DUO kan hier niets mee bewijzen, anders dan dan dat de mail ergens is aangekomen.

Hoeft dus niet gelezen te zijn door iemand en kan ook een ander zijn geweest.

[R4gnax]

De mail hoeft niet eens door een mens bekeken te zijn om die pixel te doen laden, dus DUO kan hier niets mee bewijzen, anders dan dan dat de mail ergens is aangekomen.

Hoeft dus niet gelezen te zijn door iemand en kan ook een ander zijn geweest.

Klopt. Bewijs wat Duo hieraan wil ontlenen zal om die redenen ook redelijk goed ontkracht kunnen worden.
Desalniettemin, zal dit toch wel hun motivering zijn geweest, denk ik.

[fastedje]

Veel mail clients ondersteunen read-receipts, waarom gebruiken ze dat niet gewoon?

Verder worden remote pictures niet altijd direct geopend (zoals in thunderbird), juist om tracking en malware in urls te voorkomen.

[B64]

Read-receipts kunnen in de meeste mail-clients worden uitgezet, dus dan weet je nog niet of iets gelezen is. Bij mij staan ze standaard uit in ieder geval.

[TWyk]

Natuurlijk mag dat wel als het maar noodzakelijk is voor je dienst of voor je wettelijke taken.
Tweakers slaat je IP adres op zonder het te vragen, je ISP doet dat, telecomprovider doen dat.

[bbob]

Verschil is, je bezoekt tweakers.

Een mail die je opent betekend niet dat je ip adres opgeslagen wordt c.q dat jij zou moeten weten dat dat gebeurt. Sterker nog je hebt geen waarschuwing het gebeurt en dus ook niet de mogelijkheid daar niet akkoord mee te gaan.

De juiste weg zou dan moeten zijn, je krijgt een email. In die email staat een link naar de echte mail.
In die mail staat dan ook dat als je de link naar die mail bezoekt je ip, tijd enz zal worden opgeslagen.

Probleem is dat het hier echter om communicatie gaat met een overheidsorgaan, soms essentiële en je daarvoor altijd een keuze zou moeten hebben om niet gevolgd te worden.

[TWyk]

Probleem is dat het hier echter om communicatie gaat met een overheidsorgaan, soms essentiële en je daarvoor altijd een keuze zou moeten hebben om niet gevolgd te worden.

Het DUO zal aangeven dat het voor hun taken vereist is om te kunnen zien of cliënten de communicaties van de overheid lezen. Zowel voor massacommunicaties om te zien of hoe werkzaam deze communicaties zijn als wel voor individuele communicaties omdat ze in rechtzaken vaak tegenkomen dat clienten aangeven dat DUO verouderde emailgegevens gebruikt en de clienten dus claimen dat ze niet of veel te laat op de hoogte waren van wijzigingen in hun studiefinanciering of OV kaart.

Voorheen waren de meeste communicaties per post. Daar werden claims dat de post niet was ontvangen vrijwel standaard verworpen. Maar met email is het een populair verweer geworden in beroepszaken.

In essentie is het functioneel voor DUO gebruik niet heel anders dan dat je van DUO een Whatsapp bericht zou krijgen en dat DUO dan de vinkjes zou vastleggen. En dat zou trouwens wel mogen. Want het vastleggen of je iets gelezen hebt kan prima verantwoordt worden onder de taken van DUO. Dat ze dat door dmv vastlegging van een IP adres vind het AP echter te ver gaan.

[Reactie gewijzigd door TWyk op 26 juli 2024 22:16]

[bbob]

Duo geeft niet aan dat het vereist is, ze zeggen dat het hun werk eenvoudiger maakt, Dat is een heel groot verschil.

Je voorbeeld vinkjes, is optie die je in whatsapp kan uitzetten, een vinkje is trouwens ook iets anders dan een ip adres wat weer een persoonsgegeven is. Echter bij een vinkje hoort ook een te nummer en dus als vinkje onderdeel is van een database gekoppeld aan een tel nummer moet ook de opslag daarvan duidelijk gemaakt worden.

Probleem is het wordt verborgen gedaan, je hebt als je het niet weet geen keuze. Het gaat er bij avg om dat je geïnformeerd wordt, wat er wordt opgeslagen en dat je een keuze hebt.

Je voorbeelden zijn leuk, misschien relevant maar doen niet ter zake en zijn geen reden om niet om toestemming te vragen voor de opslag van persoonsgegevens.

[laptopleon]

Cc @TWyk

Het verweer ‘mijn email-adres is veranderd’ is niet heel anders dan ‘mijn woonadres is veranderd’. In beide gevallen ben je er zelf verantwoordelijk voor de info tijdig door te geven aan instanties zoals DUO.

Beiden zullen vaak voorkomen bij klanten van DUO.

Als DUO simpelweg stopt met het opslaan van de IP-adressen, maar wel opslaat of de mail bekeken is, is het qua AVG waarschijnlijk niet meer zo’n probleem.

Maar dan nog weten ze niet of het echt de cliënt het gezien heeft. Wie weet stuurt die het wel door naar een familie-account waar anderen bij kunnen, of download zijn mailprogramma alle images vooraf en besluit het spamfilter daarna dat het spam is. Niet dat dit een excuus is voor de client maar DUO krijgt geen duidelijkheid hiermee.

Waterdichte authentificatie blijft een lastig probleem op internet. Wat dat betreft is iets als een bericht sturen via een omschrijving via een bankafschrift van 1 cent nog beter waterdicht.

[Freekers]

Elke webserver logt je IP adres toch vraagt bij lange na niet elke website hiervoor toestemming.

Overigens is een IP adres een 'bijzonder persoonsgegeven' volgens de AP omdat het niet met alle zekerheid vast is te stellen of het een uniek natuurlijk persoon betreft, maar wel een richting geeft.

[R4gnax]

Overigens is een IP adres een 'bijzonder persoonsgegeven' volgens de AP omdat het niet met alle zekerheid vast is te stellen of het een uniek natuurlijk persoon betreft, maar wel een richting geeft.

Noemen ze het letterlijk een 'bijzonder persoonsgegeven'? Lijkt me nl. niet dat ze die term zouden gebruiken omdat "bijzondere categoriën persoonsgegevens" een term is die bij wet is gedefinieerd. Hieronderer vallen bijv. medische gegevens. Bijzondere persoonsgegevens genieten dan ook een veel hogere graad van bescherming dan 'gewone' persoonsgegevens.

[bbob]

Tja grijs, alles tussen zwart en wit is grijs dus net niet wit of net niet zwart zien ze bij duo zeker als grijs.
0,005% wit is toch grijs.

[Knorretje-]

Ik ben student en word helemaal niet goed van DUO met hun rare praktijken en inzichten in data. Dit is weer zo'n gevalletje wat alleen maar in hun eigen voordeel is.

Met het Studentenreisproduct is het ook al zo raar allemaal. Vergeet je het op te zeggen (stom, kan gebeuren*) maar heb je er helemaal geen gebruik van gemaakt: boete. Dan bel je op met de vraag of ze niet kunnen terugkijken dat je echt niet gereist hebt is het antwoord: "nee wij hebben geen inzicht in de reisinformatie".
Ga je aanvullende reiskostenvergoeding aanvragen omdat het meest dichtsbijzijnde station 40 min. fietsen is: aanvraag afgekeurd "we zien in de reislogs dat je altijd vanaf station Gouda reist en vanaf dit station kun je jouw schooladres tijdig bereiken volgens 9292".

* Reisproduct wordt bij tussenjaar of na afloop studie niet automatisch stopgezet, moet je eerst via de site aangeven dat je wilt stoppen en vervolgens naar een NS-automaat om het stoppen 'op te halen'

[Reactie gewijzigd door Knorretje- op 26 juli 2024 22:16]

[dmjdebruin]

Hoewel die reisproducten laten doorlopen echt irritant is, voert DUO hier alleen beleid uit. De beleidsmakers zullen dit helaas moeten aanpakken. 12 jaar geleden toen ik afstudeerde was mij niet eens duidelijk tot welke maand ik de OV nog kon gebruiken. Bleek ik achteraf al een halve maand eerder administratief te zijn afgestudeerd. Leuk meneer maar toch krijgt u een boete.

Erg irritant, maar de DUO is niet degene die dit moet veranderen.

Daarnaast is er een verschil tussen onderzoek doen naar fraude of goedkeuring voor nieuwe producten waarbij wettelijk is geregeld dat DUO toegang mag hebben tot prive informatie (zoals reisinformatie) en jij die wilt aantonen dat jij gelijk denkt te hebben.

Door de contracten met de NS maakt het niet uit dat je je OV wel of niet gebruikt. De NS wil geld zien.

Nogmaals als je dit wilt veranderen dan moet je bij de politiek zijn, niet DUO. DUO voert alleen uit. Soms tot weinig tevredenheid, maar je haalt nu zelf al meerdere keren dingen aan waar DUO niets aan kan doen.

En blijkbaar snappen meer mensen dat niet, want anders krijg je geen 3 sterren.

[Reactie gewijzigd door dmjdebruin op 26 juli 2024 22:16]

[R4gnax]

Bleek ik achteraf al een halve maand eerder administratief te zijn afgestudeerd. Leuk meneer maar toch krijgt u een boete.

Kan het je nog erger vertellen: kennis van me hing er bijna voor een boete in omdat de uitschrijving aan de kant van Duo zelf vertraagd doorgevoerd werd.

[hackerhater]

Verwonderd je dat dan?
DUO was al een crap organisatie toen het nog de IB-groep heette.
Een verzekering die ik elke student aan raad is rechtsbijstand. Ik heb het al eens nodig gehad tegen DUO.

[R4gnax]

Verwonderd je dat dan?
DUO was al een crap organisatie toen het nog de IB-groep heette.
Een verzekering die ik elke student aan raad is rechtsbijstand. Ik heb het al eens nodig gehad tegen DUO.

Eens. Toen ik met mijn studie klaar was, heb ik meteen alle openstaande restant-schuld afgelost. Wilde zo snel als kon niets meer met die tyfus-organisatie te maken hebben. Enige reden dat die schuld op dat moment nog open stond, was dat ik er sowieso nog in hing voor het student OV reisproduct - en dat was zeker destijds stukken goedkoper dan een eigen abonnement.

[Reactie gewijzigd door R4gnax op 26 juli 2024 22:16]

[ShellGhost]

Daarom alle gesprekken die je hebt met DUO en andere bedrijven opnemen. Dan heb je iets om mee te meppen.

[batjes]

Ach niet alleen DUO doet dit, vrijwel elke instantie die mails verstuurt haalt dit geintje uit. Een beetje mail client blokkeert automatisch zulke meegestuurde links/pixels/plaatjes.

Waarom alleen DUO hier op aanspreken? Ik vind het erger dat DUO zelf niet te bereiken is per mail en dat je hun ruk systemen door moet om zwart op wit met ze in contact te komen. Waardoor je zelf het bewijs niet in de hand kan hebben. NS flikt dit ook.

[sandr]

Precies dit, zo'n beetje iedere digitale nieuwsbrief heeft dit soort tracking. Dit wordt gebruikt om te zien welke inhoud wel/niet aanslaat. Mag dit dan overal niet meer? Lijkt me een flinke domper voor alle e-mail marketing.

[Finraziel]

Tracken hoe vaak een mail in het algemeen gelezen wordt lijkt me niet zo'n probleem, dat kun je doen met een generiek plaatje. Tracken of specifiek ík die mail geopend heb is een stuk minder ok.

[Raymond Deen]

Even een oprechte interesse vraag: wat vind je dan van aangetekende brieven?

Dan wordt ook per ontvanger bijgehouden of degene de brief heeft ontvangen.

[Toontje_78]

Ontvanger heeft er dan weet van.

[CivLord]

Een regeltje op de site en in alle communicatie van DUO en alle studenten die met DUO te maken hebben weten het ook. Dat zal waarschijnlijk de oplossing worden.

[Finraziel]

Mwa, dan is het te verdedigen, maar het is niet hetzelfde. Bij een aangetekende brief moet je specifiek tekenen aan de deur als je de brief in ontvangst neemt. Het is dus nogal onmisbaar. Ook kun je het op dat moment weigeren. Bovendien is het duurder waardoor het alleen ingezet wordt als het echt nodig is, wat ook wezenlijk anders is dan het standaard bij elke mail te doen.

Ik vind eerlijk gezegd dat ze er niks mee te maken hebben. Om een idee te krijgen of informatie goed gelezen wordt hoef je niet persoonlijk te tracken. Het gaat dus alleen maar om de conflict situatie waar ze bewijs tegen jou willen hebben. Dat betekent dat het dus alleen in belang is van duo en juist niet in die van de ontvanger. En daar willen ze jouw persoonsgegevens voor verwerken... Nee, nergens voor nodig, kappen daarmee!

[walterg]

De overtreding is voor zo ver ik begrijp niet de tracking maar het opslaan van het ip adres gekoppeld aan het e-mail adres en dus de persoon.

Ik heb weinig moeite met globale statistieken over of een mail gelezen is, maar of en wanneer IK een mail gelezen heb, en ook nog eens vanaf welke locatie, daar heb ik wel moeite mee.

[bbob]

Probleem is groter, jij weet niet dat dat dit gebeurt, je kan er voor het openen van de mail ook geen bezwaar tegen maken. Je hebt dus ook geen keuze en je hebt bovendien geen toestemming gegeven.

Zou bijv anders zijn als je mail krijgt met link naar informatie. Als in die mail staat dat je door te drukken op link akkoord gaat met voorwaarden waarin je ip wordt opgeslagen zou het anders zijn.
Ga je niet akkoord zou je alsnog die info moeten kunnen lezen, het betreft immers communicatie met een overheidsdienst.

[walterg]

Helemaal mee eens. Dat zou bij het aanmelden op de nieuwsbrief netjes gecommuniceerd moeten worden en door de gebruiker al dan niet worden geaccepteerd. En zoals je al aangeeft zou het kunnen lezen van de informatie er niet van afhankelijk moeten zijn.

[batjes]

Zou mooi zijn als het niet meer mag. Ik open heel veel mail gewoon niet en Outlook laad die externe plaatjes toch niet.

Waarom moet ik overal getracked worden. Zelf wordt ik er doodziek van dat ik zo veel moeite moet doen om niet constant door alles en iedereen getracked te worden. Echt ziekelijk hoeveel partijen zich hier mee bezig houden.

AP mag wel wat harder op treden dan "grijs gebied", DUO tracked my ongevraagd en ongeïnformeerd, het is ook niet nodig voor de bedrijfsvoering... Dus verboden. De AVG is hier heel duidelijk in.

[Reactie gewijzigd door batjes op 26 juli 2024 22:16]

[Vexxon]

Nou en, die hele e-mail marketing zal me een zorg zijn. DUO is trouwens geen marketingbureau ze heeft een heel ander doel.
Het devies lijkt nu te zijn om zoveel mogelijk data te vergaren, want misschien is het nuttig. Zonder te kijken of het de privacy schendt.
Dit soort statistieken kun je ook nog eens makkelijk zonder IP adres vergaren.

[Anoniem: 85014]

Lijkt me een flinke domper voor alle e-mail marketing.

Het is inderdaad al een tijdje zo dat wat E-mail marketing vaak doet, illegaal is.

Nu deze zaak aan het licht gekomen is hoop ik dan ook dat zulke E-mail marketing mensen ook juridische gevolgen en straffen zullen beginnen krijgen. Het mag inderdaad wel eens gedaan zijn met het constant alles te willen weten van mensen die daar geen toestemming voor gegeven hebben.

Ik gaf al een aantal keer zulke E-mails aan bij oa. de politie. Dus als jij zulke E-mail marketing doet, dan hoop ik voor je dat je niet in mijn mailbox terecht komt.

[Anoniem: 85014]

Ik gaf het enkel aan wanneer het duidelijk was dat een organizatie me probeerde te tracken (en eigenlijk ook enkel wanneer ik wist dat het een organisatie was die kan aangepakt worden) en/of de E-mail duidelijk malafide was. De overgrote meerderheid wordt uiteraard door spamassassin op m'n mailserver weggefilterd. Ik heb ook geen tijd om constant daar mee bezig te zijn.

ps. Als er een organsatie is die constant mijn brievenbus volpropt met ongevraagde recklame, en ik stuurde er eerder naartoe dat dit ongewenst is, en ze blijven dat doen, dan wordt die ook aangegeven. Zelfde geldt voor een organisatie die mij constant ligt te bellen (zogenaamde robocalls). Organisaties moeten leren respecteren wat mensen willen. En moeten leren stoppen met ongevraagd zomaar wat te liggen doen.

[vickypollard]

Dat is al genuanceerder dan waar ik op reageerde. Ik snap je sentiment, maar toen je de indruk gaf dat je Jan en alleman bij de politie zat aan te geven met de hoop op allerlei gevolgen en straffen dacht ik even "doe eens rustig."

[mae-t.net]

Grappig dat je met je algemene aanduiding van tweakers ook automatisch jezelf wegzet. Zo aan de als-door-een-wesp-gestoken reactie die jij geeft te zien, klopt het nog ook. Iedereen over een kam scheren is zo gek nog niet?

Hooguit zou je kunnen zeggen dat freaxje het probleem niet persé optimaal aanpakt; de politie heeft niets te maken met het handhaven van de AVG, daar is een andere instantie voor aangewezen.

[Reactie gewijzigd door mae-t.net op 26 juli 2024 22:16]

[vickypollard]

Waar ik zei "Tweakers soms" had ik beter "sommige Tweakers" kunnen zeggen, want dat bedoelde ik eigenlijk. Ik reageerde voornamelijk zo omdat ik hier vaker zie dat sommige Tweakers (deze keer wel juist) een behoorlijke law & order houding hebben tegenover alles wat ze ook maar enigszins niet zint. Bevalt het niet? Dan moet het volledig kapotgemaakt worden. Het wordt bij wijze van spreken behandeld als het grootste onrecht en er moet vooral flink gestraft worden. Dat vind ik vaak een overtrokken reactie. Ik zie hier bijvoorbeeld ook vaak de houding "alle email met opmaak = spam" voorbij komen. Dat frustreert me dan, want het ik vind het zo overdreven en het is onwaar :-) Men negeert dan volledig dat een opgemaakte e-mail voor een gebruiker veel prettiger is. Leuk dat je graag in een terminal je email leest, maar die ervaring deelt het gros van de gebruikers zeker niet....

Goed, mijn idee is dus: een partij die herhaaldelijk lak heeft een een unsubscribe rapporteren bij de AP snap ik prima. Een partij die een e-mail stuurt met een pixel meteen rapporteren bij de politie en vragen om juridische gevolgen en straffen vind ik een heel ander verhaal.

En ik had uiteraard wat minder vanuit emotie moeten reageren.

[Reactie gewijzigd door vickypollard op 26 juli 2024 22:16]

[mae-t.net]

Ik ben juist blij dat ik die starre houding maar relatief weinig zie onder tweakers, maar misschien let ik niet goed op en heb ik daardoor teveel vertrouwen in de mensheid Overigens lees ik mijn mail ook vaak op een terminal, en eigenlijk nooit problemen mee.

Ik geloof dat we het wel eens zijn, maar mijn insteek is meer dat je je belachelijk maakt als je trackingmails bij de politie rapporteert in plaats van bij het AP

[kodak]

Aangezien je blijkbaar kan bewijzen dat meer publieke instanties of andere bedrijven dit doen, waarom zou je dat dan niet zelf eens aan de journalisten die er over schrijven of de redacties schrijven als commentaar met bewijs? Het is erg makkelijk om aan de kant te gaan staan en op commentaar te leveren dat een bedrijf niet de enige is en de suggestie te doen dat het wel wat selectief zou zijn door alleen dat bedrijf erop aan te spreken.

[batjes]

Ik ben geen journalist of redacteur. Maar laat ik mijn inbox voor de gein eens checken. Dit kan iedereen doen, hoef je geen journalist voor te wezen. Dat het AP hier verdorie voor getipt moet worden, krijgen medewerkers geen mail binnen?

Mijn provider Online.nl doet het.

<img src="https://p.acceptemail.com/o/randomstring.gif" height="1" width="1"/>

Mijn verzekering Unive doet het.

<img src=3D"https://m16.mailplus.nl/randomstring.gif" width=
=3D"1" height=3D"1" border=3D"0"> </body>

Mijn energieleverancier doet het.

<img src=3D"https://open.mailrd.net/woonenergie/mplus/boelrandomshit" width=3D"1" height=3D"1"/> </body>

5min checken en ik kijk alleen naar tracking pixels. 2 daar van gaan nog naar het buitenland ook -.-

Dat tracken van het lezen van de mail is al vele jaren bekend.

[Reactie gewijzigd door batjes op 26 juli 2024 22:16]

[kodak]

Lijkt me aardig voor een groter onderzoek onder Tweakers. In kaart brengen welke bedrijven het doen en of en hoe ze klanten vooraf informeren. Misschien iets voor op het forum?

[Anoniem: 1092407]

Ik vind het erger dat DUO zelf niet te bereiken is per mail en dat je hun ruk systemen door moet om zwart op wit met ze in contact te komen.

Alstu: https://tools.duo.nl/stud...ontact.asp?taal=ne&mail=1
En eventueel: [e-mail]

[Reactie gewijzigd door Anoniem: 1092407 op 26 juli 2024 22:16]

[batjes]

Ja dat contact formulier is mijn probleem juist. Jij weet dat mail adres toevallig. Maar dat staat niet op de website van DUO.

Je geeft met die contactformulieren alle vormen van bewijsvoering in handen van die partij. Ik vind het van de zotte dat veel overheidspartijen weigeren hun mail adres prijs te geven.

[Anoniem: 1092407]

"Jij weet dat mail adres toevallig. Maar dat staat niet op de website van DUO."

Dat klopt. Daarom postte ik het hier. Dit adres is het antwoordadres als je met DUO emailt en kon ik dus uit mijn mailbox vissen.

[dipje2]

Omdat de duo als overheidsdienst het goede voorbeeld hoort te geven?

[lasharor]

"Daarnaast wil de dienst bij conflicten kunnen bewijzen dat individuele studenten bepaalde mails hebben geopend."

Wanneer een email cliënt zo staat ingesteld dat hij automatisch die afbeeldingen download heb je hier toch helemaal niets aan? Daarnaast, zegt het ook niets over wie die mail daadwerkelijk gelezen heeft. Dergelijke trackingsoftware geeft alleen maar reden tot discussie wanneer de student het niet eens is met duo en beweert dat ze de mail niet gezien/gelezen hebben.

Afgezien daarvan snap ik ook niet wat de toegevoegde waarde is van het opslaan van extra gegevens (IP adressen etc). Een simpele checkbox bij een naam zou al voldoende moeten zijn.

[Sharkoon]

Een aangetekende brief stelt dan ook niks voor.
Stel ik krijg een aangetekende brief, en iemand anders tekent ervoor. Wil dat ook niet zeggen dat ik het ontvangen en gelezen heb.

[Morkie69]

een aangetekende brief is nooit geldig als bewijs, omdat je tekent voor een envelop. Er kan dan gewoon een blanco A4'tje inzitten, dit kan zeer moeilijk bewezen worden dat het niet zo was.

[Anoniem: 310408]

Tjee, en toch gebruikt justitie het voor alle belangrijke zaken. je legt een bom onder ons juridisch stelsel met je post. Of je je hebt gewoon ongelijk. Ik hou het op het laatste.

[Anoniem: 85014]

Komt er op neer dat de rechter een verregaande theorie over lege aangetekende enveloppen niet gaat geloven, en de deurwaarde zijn verhaal (dat er een brief in zat) wel.

[enigmafan]

Komt er op neer dat de rechter een verregaande theorie over lege aangetekende enveloppen niet gaat geloven, en de deurwaarde zijn verhaal (dat er een brief in zat) wel.

Klopt. En als je een aangetekende brief krijgt is de afzender altijd bekend dus kan je je afvragen waarom je niet gebeld hebt met die afzender om te vragen wat er in die lege envelop had moeten zitten.

[F-I-X]

Je hebt gelijk als je het zo stelt. Maar dan zijn er een heleboel zaken die dan aan waarde verliezen omdat het niet onomstotelijk kan worden bewezen.

Gelukkig hoeft dat ook in onze rechtstaat niet voor alles en daar hebben we een rechter voor die kan bepalen of het aannemelijk is dat er inderdaad een brief met inhoud heeft ingezeten.

[Baps]

Dit geheel vloeit voort uit hoe wij ons land juridisch hebben vorm gegeven. In Nederland hanteren wij de zogeheten 'ontvangsttheorie'. Wil je je succesvol kunnen beroepen op een verklaring (of dit nu een email, sms of brief is), moet je als verzender aantonen dat de wederpartij de verklaring ook daadwerkelijk heeft ontvangen. Dit kan door de door de DUO gebruikte leesbevestiging, door blauwe vinkjes op Whatsapp (zijn uitspraken over) of door aangetekend verzenden. Als iemand tekent voor de aangetekende brief, verschuift de bewijslast in beginsel naar de ontvanger. Hij moet dan aantonen dat hij de verklaring niet ontvangen heeft. Hier zijn natuurlijk uitzonderingen op denkbaar, maar zo komt de hoofdregel tot stand.

En je houdt inderdaad het 'probleem' dat het nog niets zegt over de inhoud, maar ik denk dat een beroep op ontvangst van een blanco brief hoogst uitzonderlijk zou zijn.

[r2504]

Daarom gebruik je geen enveloppe (als het echt enorm belangrijk is) maar de A4 zelf welke je kan plooien en waarop je de bestemmeling schrijft.

[SpiderTex]

Een aangetekend schrijven heeft wel juridisch waarde.
Het geeft uitsluitsel over de datum van verzending (in België is bijv. het in voegen treden over de termijn van opzeggen van een werkovereenkomst de post datum).

Het zegt inderdaad weinig over de inhoud van de brief, (zoals Morkie stelt) maar indien de andere partij plots een e-mail stuurt over de inhoud van deze brief dan is er juridisch wel het een en ander te zeggen...

In Frankrijk moet een aangetekend schrijven door de geadresseerde worden getekend (of iemand met een volmachting), ook zo in België dacht ik...

voor NL: http://www.wetrecht.nl/ju...ng-aangetekend-verzenden/
voor BE: https://plusmagazine.knac...l?cookie_check=1565163182

*typos*

[Reactie gewijzigd door SpiderTex op 26 juli 2024 22:16]

[RVervuurt]

Volgens mij is het hele idee van een aangetekende brief, dat alleen de persoon die op de brief staat, de brief mag ontvangen toch?

[ninjazx9r98]

Nope, de geadresseerde of een volwassen huisgenoot op het adres dat op de brief staat (of ophalen bij een PostNL locatie) De mogelijkheid om alleen aan de geadresseerde uit te reiken bestond wel "handtekening retour" maar wordt kennelijk niet meer aangeboden sinds 2011.

[RVervuurt]

Dan snap ik het nut van een aangetekende brief niet meer...

[jaenster]

Laast toevallig een aangetekende brief gekregen voor een huisgenoot. Persoon wie op de brief stond was niet in het pand aanwezig, de man van PostNL vertrok weer.

Overigens, nemen heel veel PostNL bezorgers simpelweg aan dat de persoon die de deur opent de persoon is die ze moeten hebben. En kom je er dus mee weg als je dom weg tekent. Dat maakt het nog niet de bedoeling.

[Reactie gewijzigd door jaenster op 22 juli 2024 19:45]

[ninjazx9r98]

Dan houdt de beste man zich niet aan de eigen regels van PostNL
https://www.postnl.nl/ver...erzendopties/aangetekend/

Als de ontvanger niet thuis is, dan kan hij de brief binnen 2 weken ophalen bij een PostNL-locatie. De brief wordt niet bij de buren bezorgd. We overhandigen de brief pas nadat er is getekend. Door de geadresseerde of door een volwassen huisgenoot.

[Anoniem: 304028]

Die tekent als het goed is niet met jou handtekening, daarnaast kun je vaak aantonen dat je fysiek niet op die locatie was. Mocht iemand met jou handtekening frauderen.

Edit: bij aangetekend vanuit de overheid moet je je overigens legitimeren.

[Reactie gewijzigd door Anoniem: 304028 op 26 juli 2024 22:16]

[Postman]

Klopt helemaal. Je hebt in dit geval dan ook een bewijs namelijk de handtekening van de andere persoon. Uiteraard kun je hier ook mee rommelen door zelf een andere handtekening te zetten, maar dat is eigenlijk weer valsheid in geschrifte dus op zich al strafbaar.
Probleem bij zulke tracking e-mails is dat het onmogelijk te achterhalen is wie of wat de e-mail heeft geopend. Zoals al meer aangegeven hier in de reacties kunnen verschillende e-mail programma's dit voor jou doen. Los van de mensen die een plain text only programma gebruiken, die doen helemaal niets met al die tracking.

Wil je geen tracking van niemand is het dus beter om alles in plain text te doen met e-mail, geen gezeik meer met phishing email en al die rommel ook.

[joelharkes]

Overigens zijn er ook mail clients waarbij de virus scanner zelfs alle links in mails geklikt worden en kijkt wat er achter ligt (spreek uit ervaring, gebeurd bij klanten van ons), waardoor je inderdaad niets aan deze informatie hebt.

[galena]

Het kan zelfs zijn dat de spam/virus filters op de mailserver dit al doen. Dan hoeft de mail niet eens bij de client aan te komen en is de link toch geopend.

[Reactie gewijzigd door galena op 26 juli 2024 22:16]

[woekele]

Dit is een heel goed punt!

Zo ontvingen we een keer een mailing met een unsubscribe-link erin die meteen, na erop te klikken, de unsubscribe had afgerond. Dus zonder dat je als gebruiker nog een keer moest bevestigen. Op de mailserver waren alle links al gecheckt/geopend door de anti-virus. Dus ook alle unsubscribe-links.

Gevolg: iedereen automatisch afgemeld voor de mailing.

[Saven]

Ja leuk bedacht maar gaat de rechter nooit in mee. Als de e-mail wordt verstuurd naar het e-mailadres wat bekend is bij DUO kom je er echt niet mee weg als je zegt "Oh ja mijn moeder leest altijd mijn email en heeft deze vast verwijderd.."

Schandalig dat dit niet meer is toegestaan, heel die privacyonzin gaat veel te ver. Lekker boeiend dat je iemand's IP dan hebt Wat wil je er mee doen dan stelletje figuurzagers allemaal.

[Koffiebarbaar]

Ja leuk bedacht maar gaat de rechter nooit in mee. Als de e-mail wordt verstuurd naar het e-mailadres wat bekend is bij DUO kom je er echt niet mee weg als je zegt "Oh ja mijn moeder leest altijd mijn email en heeft deze vast verwijderd.."

Waarom niet? Lijkt me een redelijke verklaring, en zeker een probleem bij DUO als dat mailtje het enige moment is waarop ze geprobeerd hebben de adressant te bereiken.
DUO moet gewoon met een robuustere oplossing komen als ze informatie rondsturen die mensen persé moeten lezen, een systeem waarin ze expliciet ontvangen informatie moeten bevestigen met je digid bijvoorbeeld. Of gewoon überhaupt die overheids mailbox gebruiken, daar is het immers voor.

Die passieve leesbevestigingen met je tracking pixel zeggen je alleen maar dat ergens de mail door iemand is geopend. Lijkt me als het puntje bij paaltje komt veel te vrijblijvend en non-expliciet in een normaal functionerende rechtstaat.

[Reactie gewijzigd door Koffiebarbaar op 26 juli 2024 22:16]

[Haruhi]

Ze schakelen niet automatisch je OV kaart uit na het aflopen van je studie, dat moet je zelf doen. Want dat is lastig.
Maar dit kan wel

[Saven]

Dit is maar 10 minuten programmeerwerk, de OV kaart automatisch blokkeren een half uurtje. Tel uit je winst

[Atomsk]

Als ze dat zouden doen, krijg je weer boze studenten die een tweede studie beginnen en niet kunnen reizen omdat hun OV, zonder toestemming, is opgezegd. Daarnaast kan ik me van de kant van DUO ook wel voorstellen dat ze een beetje ziek worden van iedere dag tientallen studenten die bellen dat ze niet wisten dat ze hun lening terug moeten betalen en dat ze daar helemaal niks nooit niet over ontvangen hebben.

[Haruhi]

Maar als ze een 2e studie beginnen, zijn ze toch niet gestopt met studeren?

[Atomsk]

Je bent ergens ingeschreven of niet. Er zit geen "ik ben aan het studeren" vinkje op je DUO account.

[Haruhi]

Als je met een tweede studie start, ben je gewoon ingeschreven hoor. Anders kan je de studie namelijk niet starten.

[Atomsk]

Je kunt toch ergens uitschrijven en 3 weken later ergens anders inschrijven? Beetje omslachtig wanneer dan je OV al automatisch opgezegd is.

[TerraGuy]

Als het voor 99+% van de studenten een uitkomst is en voor die paar die zich eerst uitschrijven en een paar weken later weer ergens inschrijven omslachtig, lijkt het me dikke winst voor de meerderheid. Voor de mensen die een tweede studie willen volgen plaats je bij het uitschrijven een Let Op!-waarschuwing betreffende de OV-kaart, en klaar..

[Mrjraider]

Nee zo hopen ze even wat boetes binnen te halen. Als je het gaat hebben over belachelijke kosten en dingen dan is die boete per 2(?) Weken toch wel een toppunt.

[lasharor]

Volgens mij is het gewoon een technische reden hoor. Het product op die kaart moet er weer vanaf. Dit kunnen ze niet automatisch doen want je moet met die kaart naar zo'n oplaadpunt.

[Anoniem: 669957]

In de database zou je ook iets kunnen disabelen waardoor alle poortjes die verbonden zijn aan ov database het kaartje weigert. Hoef je niet voor naar een poortje te gaan, gewoon een simpele if else.

[Raymond Deen]

Er zit altijd een einddatum op die ov chip kaarten; ik vraag me af of ze die niet gewoon gelijk kunnen stellen aan de vermoedelijke einddatum van de studie.
Wanneer je studie dan langer duurt, vraag je op tijd en verlenging aan tot het nieuwe vermoedelijke einde van je studie.
Op deze manier heb je al een groot deel afgevangen.
Het maakt studenten op deze manier ook meer aware van wat ze krijgen zodat ze er als resultaat weer bewuster mee omgaan.

[galena]

Ik denk niet dat DUO in de database van Translink kan schrijven. Neemt niet weg dat het realiseerbaar zou moeten zijn als ze het echt willen.

[dipje2]

Ik denk dat je die poortjes overschat als je denkt dat ze real-time controleren met een database ergens.

[V1RT]

Vroeger(2014) had je een plastic kaartje met helemaal geen chip erop en toen kon het ook niet terwijl jij het alsnog expliciet moest aangeven bij IB/DUO terwijl ze al weten dat je studie gestopt is, gewoon ff makkelijk geld binnenhalen.

[hackerhater]

Ik herinner me die kaartjes die je elk jaar opnieuw moest ophalen.
Haalde je ze niet op was er niks aan de hand.

[V1RT]

Klopt, dan loopt het ergens van 1 september 2010 tot 1 september 2011(aug was dan uitgesloten) Maar jou studie is nooit afgerond op 1 september altijd veel eerder in dat opzicht moet jij alsnog het expliciet aangegeven dat jij het OV wil stopzetten anders heb je een boete van 5 maanden t.w.v. ongeveer 800 euro.

[RGAT]

Met die logica kan je dus voor je studie het product er niet op zetten en is het volgens jou dus onmogelijk om er gebruik van te maken...
Overigens: welke studies hebben DUO vakuren? Ik heb ze namelijk gemist...

[Mrjraider]

Joh... je meent?
Het gaat me er totaal niet om dat je dat zelf moet doen omdat het nu van je verwacht word omdat je een papiertje hebt behaalt.

[OxWax]

Waar ik werk verwacht men zelfs dat ik werkwoorden kan vervoegen zoals 'behalen' in de vvt.

[bbob]

Leuk verhaal, als ze je studiefinanciering aan het einde van je studie kunnen stopzetten dan kan dat met een ov kaart ook, tenzij je zelf die financiering ook moet gaan stopzetten.

[D0phoofd]

... "Een ip-adres van iemand die een e-mail ontvangt is zeker een herleidbaar persoonsgegeven"

Is dat zo? is een IP een persoonsgegeven? Of is dit van de ISP? Deze worden grootschalig uitgedeeld door een ISP, en is inherent aan de werking van het internet. Je kan wel 'fingerprinten' en weet ik het allemaal, op basis van IP. Maar het is niet iets wat vast staat. Voor een persoon zeker niet.

Ik denk dat de definitie van AVG heel grijs is. Daar zit het eerste probleem.
(Moge het wel duidelijk zijn, dat ik geen fan ben van tracking)

[Reactie gewijzigd door D0phoofd op 26 juli 2024 22:16]

[923789]

Ja, een IP adres is een persoonsgegeven omdat deze herleidbaar is naar jou, los van welke provider dan ook. Wanneer jij met drugs/wapens verkoopt (darkweb), extremistische gedachtengoed verspreid/verheerlijkt en/of je bezig houd met de verspreiding van kinderporno, dan moet je niet verbaasd zijn wanneer een volledig arrestatieteam jou om 5:00 uur in de ochtend van je bed gaan lichten.

Nou is het zou dat opsporingsdiensten meer "bevoegdheden" hebben, maar onderschat niet wat een Facebook of in dit geval een DUO met de juiste software. Daar is een IP adres maar één van de vele dingen die ze aan de weet komen. Menig mensen achter een simpel HTML website met alleen een bezoekers tellertje krijgen al heel wat informatie binnen (IP adres, gebruikte OS, gebruikte browser, enz, enz, enz) . . .

[Baps]

Ter aanvulling, het Hof van Justitie heeft zowel van een statisch als dynamisch IP-adres geoordeeld dat het een persoonsgegeven is. En dit was zelfs nog onder de 'oude' privacy richtlijn. De AVG bouwt daarop voort en is nog strenger in de definitie wat een persoonsgegeven is en wat niet.

Scarlet Extended: statisch IP-adres: http://curia.europa.eu/ju...=first&part=1&cid=6052156

Breyer/Duitsland: dynamisch IP-adres: http://curia.europa.eu/ju...=first&part=1&cid=1061946

[Freekers]

Link van Scarlet Extended geeft een 404

[Baps]

Sorry voor de late reactie. Bij mij doet hij het gewoon, maar misschien werkt deze: https://eur-lex.europa.eu...CELEX:62010CJ0070&from=EN

Anders kun je het proberen via google met: "Scarlet Extended Curia", dan moet je hem ook kunnen vinden.

[pumpidumpi]

Ik vind dat daar aardig spastisch over gedaan wordt. Alleen in combinatie met de logs van de ISP en het tijdstip weet je aan welk contract het IP-adres op dat moment gekoppeld was. En het contract hoeft ook niet herleidbaar te zijn tot een persoon (denk aan gezinnen, bedrijven etc).

Het email-adres zelf is een veel specifieker persoonsgegeven. Dat is denk ik dan weer minder een probleem omdat mensen dat zelf afgegeven hebben met toestemming (ook al heb je vaak geen keuze daarin).

[BastiaanCM]

Onzin natuurlijk. Dynamische IPs zijn behoorlijk statisch.

[pumpidumpi]

Vast internet wel ja, maar mobiel niet. En 'behoorlijk statisch' is nog steeds geen bewijs. Ook al wijzigt het maar 1x in een jaar...

[Patriot]

Ik vind dat daar aardig spastisch over gedaan wordt. Alleen in combinatie met de logs van de ISP en het tijdstip weet je aan welk contract het IP-adres op dat moment gekoppeld was.

Dat is genoeg. Een kenteken kun je zonder tussenkomst van het RDW ook niet herleiden tot een individu, maar juist omdat er zo'n database is met de koppeling tussen dat kenteken en de overige gegevens is een kenteken toch een persoonsgegeven. Dat geldt ook voor IP-adressen.

En het contract hoeft ook niet herleidbaar te zijn tot een persoon (denk aan gezinnen, bedrijven etc).

Ah, maar de wet zegt alleen dat je persoonsgegevens niet zonder meer mag opslaan. Gegevens die herleidbaar zijn tot een individu zijn persoonsgegevens. Alle IP-adressen die herleidbaar zijn tot een individu (en dat hoeft niet dezelfde persoon te zijn als de persoon die op dat moment het IP 'gebruikt') zijn persoonsgegevens. In de praktijk schiet je dus helemaal niets op met dit onderscheid omdat je dat op het moment van opslaan bijna nooit kunt maken.

[R4gnax]

Is dat zo? is een IP een persoonsgegeven?

Alle gegevens die gerelateerd zijn aan een geidentificeerde of identificeerbare persoon, zijn persoonsgegeven. Daarvoor hoeven volgens sommigen deze gegevens niet eens concreet herleidbaar te zijn, maar zou de term 'identificeerbaar' slaan op het kunnen onderscheiden van de rest binnen een groep.

In die zin vallen ook online identficatie-nummers (tracking cookies, bijv. ook) onder persoonsgegevens.

(Was het trouwens niet Arnoud die daarover eens had geschreven?)

[Reactie gewijzigd door R4gnax op 26 juli 2024 22:16]

[renevanh]

Hoe verschilt dit in privacy opzicht van de standaard leesbevestiging aka read receipt? Dat doet toch precies hetzelfde?

[Anoniem: 85014]

De MUA vraagt de gebruiker om die leesbevestiging op te sturen en/of de MUA is ingesteld om dat te doen. Het is ook niet verborgen (zoals de onzichtbare pixel wel is).

Het verborgen karaketer van die pixel maakt dat de opsteller van de E-mail het heimelijk doet. Hij of zij wil niet dat degene die de E-mail opent het weet dat er getracked wordt. Het is dat aspect dat illegaal is. Dat het heimelijk is. Dat het verborgen gedaan wordt. Dat er niet gemeld wordt dat er getracked wordt. En zo verder.

Dat is bij de leesbevestiging (aka read receipt) allemaal niet het geval.

M.a.w. Het is alsof DUO in de bosjes aan de overkant van je huis is gaan zitten om op een verborgen manier je te gaan liggen spioneren. Dat is illegaal.

[92458-37017-EB]

Standaard leesbevestiging is opt-in (je krijgt een pop-up die vraagt of je wil reageren), een tracking pixel is voor een leek niet te herkennen noch te blokkeren.

[streamnl]

Ik word er een beetje moe van. De bedrijven weten dat het niet mag maar ze passen het pas aan zodra het "ontdekt" wordt.

De boete is niet zwaar genoeg voor de bedrijven. Anders zouden ze het wel eerder aanpassen.

[CivLord]

Het is niet altijd onwil en/ of boze opzet.
Het gaat vaak om iets dat ingevoerd is op een manier die volgens de letter van de oude wetgeving nog net door de bocht kon (c.q. niet expliciet verboden was). Vervolgens is door een uitvoeringsafdeling de werkwijze iets aangepast zonder dat de juridische afdeling geraadpleegd is, omdat gedacht werd dat de wijziging niet wezenlijk genoeg was. De AVG heeft niet veel regels grondig aangepast, maar wel veel zaken aangescherpt, waardoor zaken die eerst net wel leken te kunnen nu niet meer kunnen.
De teneur va de informatie van de AVG was toch vooral dat wanneer je je zaken goed op orde had onder de oude wetgeving, de nieuwe wetgeving niet zo veel zou veranderen en dat je hooguit wat zaken op papier moest zetten. Wanneer je dan een uitgebreide analyse van een paar jaar geleden hebt, waarin staat dat de de werkwijze door de beugel kan, en je niet die werkwijze opnieuw gaat onderzoeken, kan je denken dat je nog steeds goed zit.

[Krulliebol]

Nalatigheid en onwetendheid zijn ook verwijtbaar.

[CivLord]

Oh, zeker! Maar dan is er nog geen spraken van kwade bedoelingen of het opzettelijk overtreden van de wet.
(Voor de goede orde, ook het onopzettelijk overtreden van de wet is strafbaar. Al kunnen in sommige gevallen de omstandigheden reden geven tot matiging van de straf.)

[Ethirty]

Hiermee is elke nieuwsbrief verstuurd via een mailinglist provider toch illegaal? Aangezien deze meestal iets van tracking gebruiken om bij te houden of de nieuwsbrief gelezen is en de links aangeklikt zijn?

[R4gnax]

Hiermee is elke nieuwsbrief verstuurd via een mailinglist provider toch illegaal? Aangezien deze meestal iets van tracking gebruiken om bij te houden of de nieuwsbrief gelezen is en de links aangeklikt zijn?

Niet noodzakelijk. Aanmelding voor een nieuwsbrief moet in veel gevallen al opt-in zijn, waarbij consumenten van de nodige informatie voorzien moeten worden.
Daarnaast mogen commerciële verwerkers zich beroepen op een gerechtvaardigd belang, waar overheidsinstanties dat niet kunnen. (Die grondslag is -- expliciet zo vermeld in de AVG -- niet van toepassing voor overheidsinstanties.)

[Reactie gewijzigd door R4gnax op 26 juli 2024 22:16]