Zo’n conferenties zijn altijd wat een gok, je kent er niemand, …wat zal het zijn. Zal ik wel bijleren, zal ik er uberhaupt iets aan hebben?  Na een huzarenstuk met het openbaar vervoer om er te geraken en een interessante keynote in de voormiddag (niets wereldschokkends) was het tijd voor de lunchpauze.

Een ellenlange rij voor de broodjes (zucht). 

Mensen die me goed kennen weten dat ik een hekel heb aan rijen, dus sloeg ik het broodje over en zocht een plaatsje aan een tafel met een glas ‘jus d’orange’. Een tafeltje waar ik voornamelijk gerust wou gelaten worden. Ik koos het tafeltje met 1 persoon, keek op en ik stond bij Max Schrems zelf, net voor zijn keynote over de saga van datatransfers tussen VS en EU, met een pleidooi voor meer databescherming en aandacht voor basis juridische redeneringen ( Historiek van deze saga)

Hieronder enkele take-aways die ik meeneem uit onze gesprekken en gesprekken met andere privacyprofessionals.

Take 1:    Zonder dwarsliggers kan een trein niet rijden.

Het recht zo hanteren dat je mensen concreet gaat beschermen, dat is nog steeds de taak van advocaten. Zeker wanneer beleidsmakers onder hevige lobby-druk staan.

Ik heb veel bewondering voor het doorzettingsvermogen van NOYB, de organisatie hanteert geen juridische wondermiddelen in deze cases. Dat deze middelen zo makkelijk juridische grond vinden is eerder te wijten aan een gebrekkige juridische onderbouw van beleidsmakers waardoor deze verdragen makkelijk, zelf iets TE makkelijk aan te vallen zijn. 

Het dwingt de uitvoerende en wetgevende macht (tot hun ergernis uiteraard) om meer na te denken over data-oplossingen voor de Europese Unie. Het is voor niemand een slechte zaak dat data in een data-economie goed wordt beschermd en dat hier blijvend aandacht aan wordt gegeven.

Take 2:     Een duurzame goede oplossing vergt tijd en medewerking van verschillende actoren en moet makkelijk hanteerbaar zijn.

Als personen en ondernemingen voor een keuze staan worden verschillende aspecten afgewogen. Bijvoorbeeld had ik persoonlijk de keuze gisteren: ga ik met de auto of met de trein?

Het was al lang geleden dat ik de trein had genomen ( tijd heelt alle wonden), dus gaf ik het openbaar vervoer nog eens een kans.

Resultaat : Vertraging op de trein ‘Kortrijk – Antwerpen’, aansluiting gemist , volgende Thalys genomen en ondertussen Starbucks gesponsord. Eenmaal in Nederland reed de trein niet door een defect aan één of andere kabel. Gestrand… Uiteindelijk een Tesla – taxi genomen naar het congres. Auto vs trein 1-0. Wel een mooie regenboog gespot ter hoogte van Rotterdam en de duur van de treinrit nuttig kunnen gebruiken door middel van een mobiele laptop. Maar zou ik er bewust nog eens voor kiezen,. .. nee.

Zo is het ook met dataverkeer. Heb je te veel hindernissen op je weg, te veel formulieren in te vullen, kan je niet verder ondernemen, dan kiezen mensen voor de makkelijkste oplossing. Ingebouwde security en privacy-oplossingen zijn essentieel, maar dat vergt systematische opvolging en meer budgetten voor autoriteiten.

Om de vergelijking te maken: we willen liever ook niet dat er toxische middelen gebruikt worden in onze voeding. Met deze regel is dat in principe hetzelfde.

Take 3:   Is er licht aan het einde van de tunnel?

Tussen de USA & EU werd op 7 oktober een Executive Order getekend waarin men tracht tegemoet te komen aan de vereisten van het Europees hof van Justitie.  Het ziet er naar uit dat dit niet zal volstaan : een analyse van NOYB kan je vinden op deze link: EO unlikely to satisfy   

De SCC’s blijven in voege en worden gebruikt. Technische oplossingen voor bijkomende waarborgen zijn niet altijd makkelijk voorhanden, we staan nog steeds aan het begin van deze juridisch-technische materie waar we het einde nog niet van hebben gezien. 

Geniet intussen dus van de reis,

Groetjes, 

Jents

Zie het interview dat deze week werd gepubliceerd in Bloovi:

Klik hier voor het artikel

Fortnite en Apple gaan de strijd aan met elkaar.

Het filmpje is erg vermakelijk en brengt de huidige globale digitale marktproblemen aan de oppervlakte. Voor wie het filmpje heeft gemist hieronder kan je het terugvinden. Het is een parodie op de eigen apple reclame; en op het boek ‘1984’. Een goed staaltje marketing waarvoor ik ook wel bewondering heb.

Bekijk het filmpje hier

Platformen zoals de App Store en de Play Store hebben bepaalde guidelines om alles in goede banen te leiden (om veiligheids- beschikbaarheids- onderhouds- en beheersbaarheidsredenen), daartegenover staat dat ontwikkelaars een deel van hun inkomsten moeten afstaan. Bij Epic Games (Fortnite) is dit een aandeel van 30%.

(Sidenote: De game industrie is een cashcow en zorgt voor bergen geld. Mensen geven nooit vooraf geld voor een spelletje, maar spenderen wel geld eenmaal ze in een spel opgaan en willen winnen. De winstbelangen zijn dus groot. In de game-industrie worden de big spenders van het spel zelfs ‘The Whales’, genoemd. ‘Save the Whale’ kan dus een heel andere connotatie krijgen dan u voor ogen heeft. Fortnite was in 2019 goed voor 1,6 miljard euro)

EPIC Games klaagt al langer over het monopolie van de app-platformen, de CEO is van mening dat deze platformen general purpose computing devices zijn en dat er meer concurrentie moet worden mogelijk gemaakt om de prijzen voor de ontwikkelaars te kunnen drukken. In strijd met de policies zorgde hij ervoor dat er rechtstreekse betalingssystemen werden mogelijk gemaakt zodat mensen zonder de Apple en Google – Systemen konden betalen. Dit is uiteraard in strijd geweest met het beleid van Google en Apple en dus werden de Apps van EPIC GAME en dus het bekende Fortnite verwijderd.

EPIC Games is niet de enige die de beleidssystemen aanklaagt. Ook Spotify diende klacht in tegen Apple om diverse redenen en verschillende Antitrust-onderzoeken zijn opgestart bij de Europese commissie in juni 2020. zie—-> persbericht

Het lijkt erop dat elke grote Big Tech company eigen beleidssystemen invoert met een eigen jurisdictie. Zo ook bij Facebook. Begin mei werd aangekondigd dat Facebook, het sociale netwerk, een onafhankelijk juridisch(?) platform zal oprichten om contentbeslissingen van het platform te gaan beoordelen. Zij willen de universele mensenrechten gaan vrijwaren en die toepassen. Daarvoor stellen zij per continent een deskundige aan die een team zal gaan sturen doorheen deze uiterst moeilijke belangenafwegingen. Voor Europa ligt die basis in Londen. In het globale digitale speelveld worden grenzen blijkbaar nogal vrij hertekend. Een beroep indienen tegen een beslissing van Facebook of Instagram bij dit platform dient binnen de 15 dagen te gebeuren. Hoe die procedure in zijn werk zal gaan is nu nog een raadsel. De belangenafwegingen bij contentvragen zijn in zulke mate context-gebonden dat deze moeilijk in algoritmes vast te leggen zijn en The Oversight Board kan daarop een antwoord bieden. Welke visie en antwoorden worden gegeven, wordt bepaald door de onderneming zelf.
Als een rechtzoekende echter verder wil gaan, bloedt de weg naar de rechtbank dood door de grote operationele kost die zo’n rechtzaak met zich meebrengt.

U denkt misschien waarom is dit van belang, uiteindelijk kan een gebruiker of onderneming ervoor opteren om Facebook of Apple niet te gebruiken en overschakelen naar een ander sociaal netwerk/onderneming/platform. Maar zo eenvoudig is het in de realiteit niet en stilaan wordt het onmogelijk de grote vier te ontwijken. Een sociaal netwerk is zo sterk en aantrekkelijk als het aantal gebruikers die het heeft en in het geval van Facebook zijn dat ongeveer 2,6 miljard actieve gebruikers.

Enkele tekenende cijfers april 2020 :

Facebook: 2,6 miljard actieve gebruikers
Mobile Traffic via Android: 72,3%
Mobile Traffic via IOS Apple: 27%

Gigantische cijfers, gigantische invloed, gigantische markten en ook wel hoedje af voor hoe ze dit hebben verwezenlijkt.

Het mag niet onderschat worden hoeveel invloed en macht deze platformen hebben op onze samenleving en ook op onze economische markt. Dit geldt niet enkel voor Facebook, maar ook voor andere grote digitale spelers. Als je bij een beslissing van een digitaal platform wordt uitgesloten van een bepaalde ‘content’ of ‘marketing’ – wijze dan kan dit grote gevolgen hebben voor het bereik en de inkomsten van een onderneming, voor concurrentie of voor de vrije meningsuiting.

Zo werd het nationaal nieuws toen de account van Stien Edlund, Belgisch meest gevolgde TikTok-influencer, werd verwijderd omdat ze ‘de richtlijnen van het platform niet had gevolgd’ of kan een vzw wanneer zij niet erkend wordt als liefdadigheidsinstelling geen giften ontvangen via hun netwerk op dat medium. Zo kan een App die niet wordt ondersteund door Google of Apple via deze platformen worden ‘geboycot’ omdat men andere belangen heeft. hierover is transparantie nodig.

Stel dat je het niet eens bent met een beslissing, welke middelen moet je als rechtzoekende niet allemaal aanwenden om je gelijk te kunnen krijgen? In welke mate kan de concurrentie worden gegarandeerd? Zijn er op dit moment voldoende checks and balances voor een onderneming met maar liefst 2,6 miljard actieve gebruikers wereldwijd? Het is nieuw, het is groots en het is chaos.

Dit probleem werd pijnlijk duidelijk in het 60 minuten durende vraag- en antwoorduurtje tussen Mark Zuckerberg en de Europese Parlementsleden twee jaar geleden. De stichter en maker van het facebookplatform diende zich toen te verantwoorden voor het misbruik dat het platform kan toelaten en werd verplicht garanties en een kader te bieden dat dit in de toekomst niet meer kan gebeuren. GDPR-wetgeving, een mogelijk monopolie, cybercriminaliteit,…. – alle onderwerpen werden aangesneden. De vragen waren zo lang en fundamenteel, dat de parlementsleden zelf voor een antwoord hadden moeten zorgen.

Het is aan deze parlementsleden om een wendbaar juridisch kader te creëren voor een globale digitale wereld en dit op basis van de jarenlange opgebouwde principes. Het juridisch kader dient duidelijk, vlug afdwingbaar en transparant te zijn. Op 25 mei 2020 was het de tweede verjaardag van de Algemene Verordening Gegevensbescherming (of GDPR). Een verordening die het belang van een correcte verwerking van persoonsgegevens en privacy gaat benadrukken en de wet toepast op de betrokkene van een land. Ook hier zien we enorme verschillen in aanpak. De GDPR is alvast een begin, maar daar stopt het niet.

Het ontwikkelen van toegankelijke, wendbare, schaalbare en aangepaste juridische middelen inzake bedrijfsgeheimen, persoonsgegevens, content, onrechtmatige reviews, digitale tools, gezichtsherkenning, grensoverschrijdende e-commerce, cybercriminaliteit… zodat individuen en ondernemingen die optreden tegen een bepaalde beslissing/gebeurtenis zich een weg kunnen banen naar de rechtbank, al dan niet digitaal, om hun zaak te kunnen verdedigen of hun onrechtvaardige situatie kunnen herstellen moet prioritair op de agenda staan.

Er zijn oplossingen :

– De opstart van een internetcourt à la Civil Resolution Tribunal, waar het goedkoper en efficiënter is om een procedure te starten naar Canadees voorbeeld. https://civilresolutionbc.ca/ of gelijkaardige internet Courts
– Versterking van de Digital Single Market in Europa, waar nog heel wat initiatieven in de steigers staan.

Ik wil gerust meehelpen aan deze projecten, er is zoveel te doen.

Dus contacteer me!

Als er één persoon is die voorvechter is van Privacy, en dat al jarenlang, dan is het de Oostenrijkse advocaat Maximilian Schrems. Dit is één van de mensen die geschiedenis schrijft en blijft schrijven.

Van Safe Harbor tot het Privacy Shield tot passende waarborgen; een korte reconstructie:

Juni 2013 :
Snowden onthult de privacyschandalen rond de NSA en de surveillanceprogramma’s PRISM en Upstream. Iedereen, ook u, kan worden gevolgd door Amerikaanse beveiligingsdiensten.

25 Juni 2013:
M. Schrems dient een klacht in bij de Data Privacy Commission Ireland om Facebook Ireland te verbieden zijn persoonsgegevens door te sturen naar de Verenigde Staten. Hij koos Facebook uit maar eigenlijk kon dit eender welk groot Amerikaans bedrijf zijn.

25 juli 2014:
Een prejudiciële vraag wordt gesteld door de High court of Ireland aan het Hof van Justitie.

6 oktober 2015:
Safe harbor, de toen geldende regeling over datatransfers tussen EU en de Verenigde Staten wordt ongeldig verklaard. Schrems I (zie arrest)

12 juli 2016, inwerkingtreding 1 augustus 2016:
De regeling beter bekend als ‘Privacy Shield’ komt tot stand als antwoord op Schrems I.

1 december 2015: Ondertussen diende M. Schrems opnieuw een klacht in maar geherformuleerd: Hij stelt dat Facebook naar Amerikaans recht ertoe verplicht is zijn persoonsgegevens ter beschikking te stellen aan de National Security Agency (NSA) en de Federal Bureau of Investigation (FBI) en dit in strijd is met onze grondrechten( hij hanteerde artikelen 7, 8 en 47 van het Handvest van de grondrechten van de Europese Unie).

Een sprong naar 2020 (voor uitgebreide historie en de exacte juridische vragen kan u het arrest in de link lezen)

Op donderdag 16 juli 2020 heeft het Hof van Justitie een uitspraak gedaan in de zaak Schrems II (zie arrest ), waarin ‘het ‘nieuwe’ Privacyshield’ ongeldig wordt verklaard, de mechanismen voor de overdracht van persoonsgegevens tussen de EU en de VS worden aangevochten op grond van het argument dat de Amerikaanse wetgeving de bescherming van de persoonsgegevens van de EU niet adequaat kan waarborgen.

Het besluit van het Hof van Justitie van de EU om het ‘Privacyshield’ ongeldig te verklaren, maakt de VS een derde land zonder speciale regeling.

Verder geeft men de autoriteiten de bevoegdheid om in te grijpen wanneer datatransfers conform de Standard Contractual Clauses niet voldoende waarborgen zouden bieden. Elke datatransfer moet dus worden beoordeeld op hun juridische grondslag en een juridische assessment doorstaan. In de meeste gevallen zijn dus bijkomende passende waarborgen nodig.

Wat nu?

Vanaf nu moeten de datatransfers naar de Verenigde Staten beschouwd worden als een transfer naar een land buiten de Europese Unie waarvoor geen adequaatheidsbesluit bestaat en dit met onmiddellijke ingang (dus conform artikel 46 Algemene Verordening Gegevensbescherming (GDPR) of Binding corporate rules Artikel 47).

Het gebruik van de Standard Contractual Clauses zal moeten worden aangevuld met aanvullende passende waarborgen. In paragraaf 134 van het arrest wordt gesteld dat elke datatransfer moet beoordeeld worden.

Er wordt een grote implementatie van de GDPR-principes als passende waarborg geëist die contractueel vastliggen. Het aansprakelijkheidsrisico blijft echter natuurlijk. Als verwerkingsverantwoordelijke bent u het eerste aanspreekpunt als er iets fout loopt.

Check dus de vestigingsplaats van je softwareleverancier of onderzoek de banden van je softwareleverancier met de Amerikaanse surveillance wetten (dit kan ook het geval zijn).

Landen met een adequaatsheidsbesluit: Lijst Adequate landen Gegevensbeschermingsautoriteit

Wil u uw softwareleveranciers onder de loep nemen en de overeenkomsten bekijken. Hebt u vragen? Contacteer me dan gerust.

Ik volg de evoluties op de voet.

De GBA heeft Google Belgium een boete van 600.000 euro opgelegd voor het niet naleven van het recht van een burger om vergeten te worden, nadat Google een verzoek had afgewezen om verouderde artikelen die zijn reputatie schaden uit de zoekresultaten te verwijderen. Tot op vandaag is dit de hoogste boete die de GBA ooit heeft opgelegd.

beslissing (frans)

Contacteer ons wanneer u vragen heeft omtrent GDPR en gegevensbescherming, wij staan u graag bij.

View in Instagram ⇒