Article URL: https://spectrum.ieee.org/e-paper-display-modos

Comments URL: https://news.ycombinator.com/item?id=45185756

Points: 332

# Comments: 95

Wanneer is een gegeven een persoonsgegeven? Maakt het daarbij uit dat je een ander nodig hebt om de identificatie rond te krijgen? Deze vragen leiden al jaren in de AVG-wereld tot felle discussies. Maar nu heeft het Hof van Justitie in het SRB-arrest de knoop doorgehakt; de ‘relativisten’ hebben gewonnen.

De achtergrond van het arrest is simpel genoeg. In 2017 werd de Spaanse Banco Popular Español overgenomen, wat goedkeuring van de Europese Commissie vergde. Na de afwikkeling werd audit- en advieskantoor Deloitte gevraagd om een onderzoek te doen, waarbij ze geanonimiseerde opmerkingen en zienswijzes van betrokkenen kreeg.

Of nou ja, geanonimiseerd: de namen en zo waren vervangen door alfanumerieke codes. Pseudonimiseren, noemt de AVG dat. Voor Deloitte onmogelijk te herleiden, tenzij de  verstrekkende partij (de Gemeenschappelijke Afwikkelingsraad, GAR) mee zou werken. En dat maakt uit, want een aantal mensen was geërgerd door deze verstrekking omdat de GAR niet had gezegd dat dit zou gebeuren.

Persoonsgegevens delen zonder informatie is niet toegestaan onder de AVG (hier dan verordening 2018/1725, de “AVG voor Europese instellingen”). Vandaar dat de vraag ontstond: zíjn het eigenlijk wel persoonsgegevens, die lijsten met codes die aan Deloitte waren verstrekt.

Enerzijds: ja, want je kunt ze terug herleiden als je de medewerking van de GAR krijgt. En sinds het Breyer-arrest weten we dat het daarvoor genoeg is dat je “wettige middelen” hebt die met een redelijke inspanning leiden tot de personen. Je kunt de NAW-gegevens achter een IP-adres bij de rechter opeisen, dus IP-adressen zijn persoonsgegevens.

Anderzijds: zijn ze dan altijd persoonsgegevens, of alleen voor de mensen die in staat zijn die herleiding te doen? Het is raar dat voor mij 192.168.3.41 een persoonsgegeven is, omdat stichting BREIN bij de rechter de NAW-gegevens kan opvragen zeg maar.

Het Hof brengt dan ook een belangrijke nuancering aan. Als jij zelf niet in staat bent de pseudonimisering ongedaan te maken, dan zijn de gegevens voor jou geen persoonsgegevens:

Dit veronderstelt echter ten eerste dat Deloitte bij iedere onder haar toezicht verrichte verwerking van [de zienswijzes en opmerkingen van de klanten] geen mogelijkheid heeft om deze maatregelen ongedaan te maken. Ten tweede moeten die maatregelen daadwerkelijk van dien aard zijn dat zij Deloitte ook beletten om diezelfde opmerkingen te koppelen aan de betrokken persoon door gebruik te maken van andere identificatiemiddelen, zoals een vergelijking met andere elementen, zodat de betrokkene voor deze vennootschap niet of niet meer identificeerbaar is.

Bij jou ligt dan dus wel de bal om aan te tonen dat je die herleiding niet kunt doen. Ja, dat is een omgekeerde bewijslast, maar omdat de hoofdregel toch al was dat het persoonsgegevens zijn is dat hier wel redelijk.

Het is dus een opsteker voor informatiebeveiliging en efficiënt werken: als je persoonsgegevens goed ontdoet van herleidbare informatie, dan kun je een ander er mee laten werken zonder dat die de hele AVG-rambam over zich heen krijgt. En omdat de bewijslast ligt bij de partij die meent dat de gegevens niet (meer) herleidbaar zijn, is het risico daarmee goed te managen.

Arnoud

Het bericht Persoonsgegevens zijn dat alleen als je zelf de personen kunt identificeren verscheen eerst op Ius Mentis.

Article URL: https://sethpurcell.com/writing/screens-in-museums/

Comments URL: https://news.ycombinator.com/item?id=45199931

Points: 765

# Comments: 268

Article URL: https://www.abortretry.fail/p/the-story-of-creative-technology

Comments URL: https://news.ycombinator.com/item?id=45162501

Points: 150

# Comments: 97

Article URL: https://ijmacd.github.io/rfc3339-iso8601/

Comments URL: https://news.ycombinator.com/item?id=45155179

Points: 173

# Comments: 137

Once upon a time there was a boy who went out to guard the sheep. The villagers had warned him about the dangers of the wolf, about the kinds of things the wolf would do. As he is watching the flock, the moon passes overhead and its reflection in the lake catches his eye.

“Wolf, wolf,” cries the boy. “Wolf!”

The villagers come running and take up positions after making sure the wolf is nowhere to be found.

“Excellent work,” says the mayor. “Your vigilance has saved the village.”

“Attacking in our sleep and then trying to sneak away,” muses the butcher. “This is just the kind of thing I would expect the wolf to do.”

“Are we sure there even was a wolf?” asks the baker.

“Of course there was,” says the mayor. “We wouldn’t have needed to chase it off if it weren’t here.”

“But there’s no evidence of a wolf activity. Perhaps it was something else,” explains the baker.

“You’re only saying this because you’re probably working with the wolf,” accuses the butcher. “Once the flock is gone, you’ll be able to sell more bread. Despicable.”

The villagers cast a few glances at the butcher, but eventually return to their homes.

The sun rises and sets, and for a second night the boy is watching the flock when a tumbleweed is blown across the field.

“Wolf, wolf,” cries the boy. “Wolf!”

The villagers come running and take up positions after making sure the wolf is nowhere to be found.

“Thank goodness,” says the mayor. “You’re a true hero to the village.”

“We still haven’t seen any evidence of the wolf,” says the carpenter, always the level headed type.

“I had my doubts, too,” says the innkeeper. “But this is the second attack, so it’s not coincidence. This is the kind of thing the wolf does.”

“But there wasn’t even a first attack,” says the baker.

“This again?” cries the mayor. “Why are you constantly restarting old fights?”

“I think everyone knows where these questions are coming from,” says the butcher. “Is it even worth it or did you sell us out for cheap?”

The villagers all take a few steps away from the butcher, quietly muttering to themselves.

The sun rises and sets, and for a third night the boy is watching the flock when the wolf approaches him.

“Hello, boy. There’s a matter I’d like to discuss with you. You’ve earned the respect of the entire village. You could summon them now, and that’d be the end of me, but glory fades. How long will they remember your good deeds? Let me slip away with one sheep tonight, and that will only reinforce the need for your presence. Tomorrow night and the night after, you will be able to, ahem, sound the alarm and chase me away before any further damage is done.”