Feedback op het Forum - Deel 5

[Radar]

De recente spam op het forum, de berichtgeving hierover in de media en de discussie in deze thread hebben ons ertoe bewogen om kritisch te kijken naar de (privacy)inrichting van het Radar-forum. Hoewel er in dit geval geen sprake is geweest van een datalek of hack aan onze zijde, vonden wij dit een gepast moment om te beoordelen hoe de impact van eventuele incidenten in de toekomst beperkt kan worden.
Zoals sommige forumgebruikers al aangeven, en zoals het gerechtshof heeft geoordeeld, is het Radar-forum inherent onderdeel van het journalistieke platform van Radar. Daarom kan gegevensverwerking van het forum onder de journalistieke exceptie van de AVG vallen.
Dat neemt echter niet weg dat we zorgvuldig met gegevens willen omgaan. Daarom hebben we opnieuw gekeken naar welke gegevens we minimaal nodig hebben om het forum goed te laten werken.
Op basis daarvan hebben wij besloten om telefoonnummers en geboortedata van alle gebruikers uit onze systemen te verwijderen. Deze gegevens zullen ook niet langer worden gevraagd bij het aanmaken van een account. Wij beperken ons voortaan tot het verwerken van noodzakelijke gegevens die nodig zijn voor het gebruik en functioneren van het forum, zoals bv. een e-mailadres voor accountbeheer.
Dit komt bovenop de maatregelen die wij eerder hebben aangekondigd in onze post van 3 april.

[StevieNL81]

Ha Radar,

Per wanneer gaan deze wijzigingen in? Op dit moment is mijn geboortedatum en Telefoonnummer nog zichtbaar in mijn profiel.

Alvast dank voor de reactie!

[Morgan le Fay]

Ik heb er zelf maar een draai aangegeven wat betreft NAWTE gegevens

[Consumenneke]

Hoewel er in dit geval geen sprake is geweest van een datalek of hack aan onze zijde, vonden wij dit een gepast moment om te beoordelen hoe de impact van eventuele incidenten in de toekomst beperkt kan worden.

Radar kan iets beter in de spiegel kijken. Een kritisch consumentenplatform mag wat mij betreft de hele wereld wijzen op een correcte manier om met klanten om te gaan, maar de eigen omgang met gegevens was tot dusver beschamend.

Nu heeft een hacker zich blijkbaar toegang verschaft tot deelnemersdata om het forum te vullen met pornospam en Radar blijft verantwoordelijkheid afschuiven, ontkennen en verhullen. De redactie beweert zelfs door de Telegraaf verkeerd geciteerd te zijn. Het is bijna komisch om te zien dat Avrotros precies zo reageert als de bedrijven die door Radar bekritiseerd worden.

Passend bij Radar is een grondig onderzoek (met hulp van onafhankelijke experts) en een openbare verantwoording achteraf, net zoals je van Odido en andere bedrijven met een gegevenslek zou verlangen.

Of er wel of geen datalek is en of alle oude deelnemers daarvoor gewaarschuwd moeten worden, kan ik niet beoordelen. Maar blijkbaar hebben hackers zich toegang verschaft met deelnemerdata die via het darkweb gevonden zijn en kregen ze zo inzage in persoonsgegevens zoals geboortedata en telefoonnummers. Ook van deelnemers die al meer dan twee jaar niet gezien zijn. Ik herinner me een getal van 220.000.

De hack is gebaseerd op elders verkregen data, maar met een script en een scraper kunnen nu veel persoonsgegevens geoogst zijn die in combinatie met andere gegevens gebruikt kunnen worden. Als het oogt als een lek en riekt naar een lek, wat is het dan?

[Radar]

Hoewel er in dit geval geen sprake is geweest van een datalek of hack aan onze zijde, vonden wij dit een gepast moment om te beoordelen hoe de impact van eventuele incidenten in de toekomst beperkt kan worden.

Radar kan iets beter in de spiegel kijken. Een kritisch consumentenplatform mag wat mij betreft de hele wereld wijzen op een correcte manier om met klanten om te gaan, maar de eigen omgang met gegevens was tot dusver beschamend.

Nu heeft een hacker zich blijkbaar toegang verschaft tot deelnemersdata om het forum te vullen met pornospam en Radar blijft verantwoordelijkheid afschuiven, ontkennen en verhullen. De redactie beweert zelfs door de Telegraaf verkeerd geciteerd te zijn. Het is bijna komisch om te zien dat Avrotros precies zo reageert als de bedrijven die door Radar bekritiseerd worden.

Nogmaals: er heeft geen hacker toegang gehad tot deelnemersdata van Radar. We hebben eerder uitgelegd wat er is gebeurd. De Telegraaf heeft ons wel verkeerd geciteerd, daar zijn simpel de bewijzen voor. Wij hebben nooit gewezen op de Odido-datalek als mogelijke oorzaak. We hebben slechts Odido als voorbeeld genomen, omdat dit een bekend voorbeeld is van datalekken.
Waar haalt u vandaan dat 'een hacker blijkbaar toegang heeft verschaft tot deelnemersdata?'

[NeoDutchio]

230.000 oude accounts en slechts een handje vol accounts met dubieuze handelingen. De slachtoffers bij Odido hebben veel meer voor de kiezen gekregen.
Als er hier een hack geweest zou zijn dan lijkt het mij dat er veel meer gedonder was geweest. Waarom zou je 230.000 accounts buit maken en maar een paar keer iets posten?

[Consumenneke]

Graag even checken of je correct citeert....

Hoewel er in dit geval geen sprake is geweest van een datalek of hack aan onze zijde, vonden wij dit een gepast moment om te beoordelen hoe de impact van eventuele incidenten in de toekomst beperkt kan worden.

Radar kan iets beter in de spiegel kijken. Een kritisch consumentenplatform mag wat mij betreft de hele wereld wijzen op een correcte manier om met klanten om te gaan, maar de eigen omgang met gegevens was tot dusver beschamend.

Nu heeft een hacker zich blijkbaar toegang verschaft tot deelnemersdata om het forum te vullen met pornospam en Radar blijft verantwoordelijkheid afschuiven, ontkennen en verhullen. De redactie beweert zelfs door de Telegraaf verkeerd geciteerd te zijn. Het is bijna komisch om te zien dat Avrotros precies zo reageert als de bedrijven die door Radar bekritiseerd worden.

Nogmaals: er heeft geen hacker toegang gehad tot deelnemersdata van Radar. We hebben eerder uitgelegd wat er is gebeurd. De Telegraaf heeft ons wel verkeerd geciteerd, daar zijn simpel de bewijzen voor. Wij hebben nooit gewezen op de Odido-datalek als mogelijke oorzaak. We hebben slechts Odido als voorbeeld genomen, omdat dit een bekend voorbeeld is van datalekken.
Waar haalt u vandaan dat 'een hacker blijkbaar toegang heeft verschaft tot deelnemersdata?'

Dat wordt in hetzelfde bericht verduidelijkt.

Maar blijkbaar hebben hackers zich toegang verschaft met deelnemerdata die via het darkweb gevonden zijn.... <> De hack is gebaseerd op elders verkregen data, maar met een script en een scraper kunnen nu veel persoonsgegevens geoogst zijn die in combinatie met andere gegevens gebruikt kunnen worden. Als het oogt als een lek en riekt naar een lek, wat is het dan?

[alfatrion]

Zoals sommige forumgebruikers al aangeven, en zoals het gerechtshof heeft geoordeeld, is het Radar-forum inherent onderdeel van het journalistieke platform van Radar. Daarom kan gegevensverwerking van het forum onder de journalistieke exceptie van de AVG vallen.

Dat is onzuiver geformuleerd. Het Hof heeft geoordeeld dat moderatie noodzakelijk is voor de journalistiek en dat de journalistieke exceptie daarom opgaat voor die verwerkingen. Daarmee is niets gezegd over verwerkingen die niet noodzakelijk zijn voor de journalistiek. Het is dus geen excuus om naar hartelust persoonsgegevens te verwerken.

Overigens geldt de inhoud van het arrest alleen voor u en de betreffende forumgebruiker.

Op basis daarvan hebben wij besloten om telefoonnummers en geboortedata van alle gebruikers uit onze systemen te verwijderen.

Dat is een goede stap.

[Ron5300]

@Consumenneke, gaat u in uw gedram niet veel te ver want u begint er zo'n beetje een eigen waarheid op na te houden.
U telt twee gebeurtenissen bij elkaar op, enerzijds de Odido hack en anderzijds het verschijnen van spamberichten op dit forum en koppelt die twee gebeurtenissen aan elkaar en komt tot de conclusie dat ook dit forum gehackt is.

Om deel te nemen aan het forum is een werkend e-mailadres noodzakelijk en een telefoonnummer maar de rest is optioneel in het profiel aan te vullen.
Alleen de gebruiksnaam wordt zichtbaar getoond en als u in gesteld heeft dat forumleden contact met u op mogen nemen gaat dat middels een persoonlijk bericht waarbij uw e-mailadres niet zichtbaar.

Waarom roept u nu dat uw privacy mogelijk in gevaar is gebracht want u wist dat het een openbaar forum is en om een soort van anoniem te blijven alleen uw fictieve gebruiksnaam gebruikt wordt.

[Consumenneke]

@Consumenneke, gaat u in uw gedram niet veel te ver want u begint er zo'n beetje een eigen waarheid op na te houden.
U telt twee gebeurtenissen bij elkaar op, enerzijds de Odido hack en anderzijds het verschijnen van spamberichten op dit forum en koppelt die twee gebeurtenissen aan elkaar en komt tot de conclusie dat ook dit forum gehackt is.

U haalt helaas weer eens wat zaken door elkaar. Het is ook Radar zelf die de Odido-hack als voorbeeld heeft genoemd als mogelijke oorzaak van het beschikbaar komen van inloggegevens van Radar forumdeelnemers.

Wij hebben nooit gewezen op de Odido-datalek als mogelijke oorzaak. We hebben slechts Odido als voorbeeld genomen, omdat dit een bekend voorbeeld is van datalekken.

Niemand weet hoeveel forumdeelnemers hetzelfde mailadres en dezelfde inlogcode gebruiken, maar door deze pornospam is wel duidelijk dat Radar deze gegevens veel te lang bewaard heeft en dat er bovendien persoonsgegevens aan gekoppeld zijn zoals geboortedata en telefoonnummer. Met die data kun je talloze koppelingen maken.

Ik maak er bezwaar tegen dat u mijn reacties beschrijft als gedram, terwijl ik netjes zakelijk en inhoudelijk deelneem aan deze gedachtenwisseling. Niet voor niets neemt men mijn redenering over dat gebruiksgegevens na ontkoppeling met een herkenbaar mailadres niet langer als persoonsgegevens in het kader van de AVG te zien zijn, omdat de koppeling met een natuurlijk persoon niet meer bestaat.

Daar wordt verschillende over gedacht, maar Radar heeft van de rechter en het hof ruimte gekregen om de journalistieke exceptie in te roepen. Ik veronderstel dat die journalistieke exceptie ook van toepassing is op het handhaven van gekozen forumnamen of een vervangende code, waardoor het forum geen onsamenhangend geheel wordt.

[Moneyman]

Op basis daarvan hebben wij besloten om telefoonnummers en geboortedata van alle gebruikers uit onze systemen te verwijderen. Deze gegevens zullen ook niet langer worden gevraagd bij het aanmaken van een account. Wij beperken ons voortaan tot het verwerken van noodzakelijke gegevens die nodig zijn voor het gebruik en functioneren van het forum, zoals bv. een e-mailadres voor accountbeheer.
Dit komt bovenop de maatregelen die wij eerder hebben aangekondigd in onze post van 3 april.

Goed zo. Da's alweer een goede stap.

Niet voor niets neemt men mijn redenering over dat gebruiksgegevens na ontkoppeling met een herkenbaar mailadres niet langer als persoonsgegevens in het kader van de AVG te zien zijn, omdat de koppeling met een natuurlijk persoon niet meer bestaat.

Waar lees je dat?

Daar wordt verschillende over gedacht, maar Radar heeft van de rechter en het hof ruimte gekregen om de journalistieke exceptie in te roepen. Ik veronderstel dat die journalistieke exceptie ook van toepassing is op het handhaven van gekozen forumnamen of een vervangende code, waardoor het forum geen onsamenhangend geheel wordt.

Waarom veronderstel je dat?

[Consumenneke]

Veronderstellen laat ruimte voor mensen met een andere mening. Ik heb de wijsheid niet in pacht en snap soms de stelligheid van andermans opinies en verwachtingen niet.

De rechtspraak heeft een soft spot voor media die een beroep doen op journalistieke exceptie en voor Radar in het bijzonder. Lang geleden maakte een bedrijf bezwaar om op dit forum vergeleken te worden met oplichters, maar toen besloot een milde rechter dat zulk taalgebruik op zo'n forum toegestaan was.

Begin 2023 vroeg een veelposter op grond van de AVG een kopie van alle informatie in verband met overtredingen van de huisregels door hem. In de eerste rond heeft de rechtbank heeft het beroep van Avrotros op de zogenoemde journalistieke exceptie en op gebrek aan belang/misbruik van recht verworpen, maar ook geoordeeld dat Avrotros met de door haar verstrekte overzichten al voldoende heeft voldaan aan het verzoek tot het verstrekken van inzage in de gevraagde persoonsgegevens.

In hoger beroep gaf het hof Radar veel meer ruimte door het beroep op journalistieke exceptie alsnog to honoreren.

Anders dan de rechtbank, is het hof van oordeel dat de verwerking van persoonsgegevens op het forum niet los gezien kan worden van de journalistieke doeleinden die Avrotros dient met het programma Radar en de andere bijkomende producten en de algehele bijdrage die aldus wordt geleverd aan het publieke debat. Dat Avrotros ‘louter’ hostingprovider is van het forum en daaraan zelf geen eigen journalistiek-inhoudelijke bijdragen levert, zoals de rechtbank heeft overwogen, maakt nog niet dat het forum geen journalistieke activiteit is. Het aanbieden van een discussieplatform zoals het forum kan, in combinatie met andere journalistieke activiteiten, een belangrijke rol spelen in het bevorderen van een open discussie en de uitwisseling van ideeën met betrekking tot onderwerpen van maatschappelijk belang. Naar het oordeel van het hof zijn de activiteiten van Avrotros in het kader van het programma Radar en de daaraan verbonden producten zoals het forum zo nauw met elkaar verweven, dat het overkoepelende geheel van journalistieke activiteiten als enige doel heeft de bekendmaking aan het publiek van informatie, meningen en ideeën.

Voor mij reden om te veronderstellen dat een beroep op die exceptie afdoende is om ook bijvoorbeeld een eis tot verwijdering van berichten en verwijdering van een forum-identiteit die deze berichten in samenhang brengt te doen stranden. Maar uiteraard is het boeiend als iemand dat alsnog probeert.

U mag een andere mening hebben, maar ik ga niet meedoen aan een eindeloos welles-nietes.

[rwolters]

De rechtspraak heeft een soft spot voor media die een beroep doen op journalistieke exceptie en voor Radar in het bijzonder. Lang geleden maakte een bedrijf bezwaar om op dit forum vergeleken te worden met oplichters, maar toen besloot een milde rechter dat zulk taalgebruik op zo'n forum toegestaan was.

Natuurlijk weer zo'n extreemlinkse D66 rechter? Een echte rechter had het gewoon keihard verboden.

[Moneyman]

U mag een andere mening hebben, maar ik ga niet meedoen aan een eindeloos welles-nietes.

Ik was vooral benieuwd naar de onderbouwing van jouw mening. Die deel ik overigens niet, omdat die simpelweg niet volgt uit de inmiddels bestaande jurisprudentie. Niet direct en evenmin indirect.

Uit het feit dat je m’n andere vraag niet beantwoord maak ik op dat je het net als ik nergens gelezen hebt dat je standpunt dat Radar jouw mening over de forumnaam als persoonsgegeven zou hebben overgenomen onjuist is. Logisch ook, want dat standpunt is niet correct. Ook na ontkoppeling va je e-mailadres (als dat al zou plaatsvinden, het is immers juist de identificator die Radar wél gebruikt) kan je forumnaam op tal van manieren nog steeds een persoonsgegeven zijn.

[Consumenneke]

...nergens gelezen....

Zo worden deze gedachtenwisselingen inderdaad een gebed zonder end.

Het ontkoppelen van data over de natuurlijke persoon van de gekozen forumnaam is een manier om inactieve accounts (na twee of drie jaar) te ontdoen van persoonsgegevens die in het kader van de AVG er toe doen.

Zou je ook de forumnaam verwijderen, dan wordt een groot deel van de forumhistorie los zand. Je kan wellicht de forumnaam vervangen door een unieke code zodat er wel samenhang blijft in de topics, omdat enkele forumdeelnemers met dezelfde naam meedoen aan talloze social media. Tegelijk is dat een keuze van de deelnemer.

Het zijn opties voor de forumbeheerder die nu worstelt met de situatie die ontstaan is sinds een pornospammer inlogt op verlaten accounts.

Dit is allemaal eerder uitgelegd.

[StevieNL81]

Een geforceerde wachtwoord reset voor iedereen zou de spammerts ook stoppen en is een stuk minder ingrijpend.

U mag een andere mening hebben, maar ik ga niet meedoen aan een eindeloos welles-nietes.

Natuurlijk doe je dat wel. (Feitelijke vaststelling)

[Moneyman]

...nergens gelezen....

Zo worden deze gedachtenwisselingen inderdaad een gebed zonder end.

Je verzint dingen die niet gebeurd zijn, poneert die hier vervolgens als een feit en noemt gecorrigeerde tegenreacties dan een gebed zonder end…? Juist…

En alles wat je daar nu over schrijft, maakt je eerdere standpunt waarop ik reageerde niet ineens juist.

Maar goed, ik stap uit deze discussie, want ik denk dat de moderatoren wél weten hoe het werkt en met welke spelregels ze op dit vlak te maken hebben.

[Moneyman]

Een geforceerde wachtwoord reset voor iedereen zou de spammerts ook stoppen en is een stuk minder ingrijpend.

Eens. Maar volgens mij is dat nog niet zo lang geleden al eens gedaan (of was het maar een beperkt deel van de forumleden wat zn wachtwoord moest resetten?).

[Consumenneke]

Ik was vooral benieuwd naar de onderbouwing van jouw mening. Die deel ik overigens niet, omdat die simpelweg niet volgt uit de inmiddels bestaande jurisprudentie. Niet direct en evenmin indirect.

Grappig, ik deel een mening als veronderstelling en u reageert steevast met stellige opmerkingen.

Wie heeft de wijsheid in pacht?

We gaan zien welke wending dit dossier nog krijgt...

[Moneyman]

Ik was vooral benieuwd naar de onderbouwing van jouw mening. Die deel ik overigens niet, omdat die simpelweg niet volgt uit de inmiddels bestaande jurisprudentie. Niet direct en evenmin indirect.

Grappig, ik deel een mening als veronderstelling en u reageert steevast met stellige opmerkingen.

Wie heeft de wijsheid in pacht?

We gaan zien welke wending dit dossier nog krijgt...

Wel grappig; je eigen uitingen labelen als "een veronderstelling", en andermans uitingen als "stellige opmerking". Ik geef nota bene letterlijk aan dat ik je mening niet deel - waaruit niets anders kan volgen dan dat ik daar mijn mening tegenover zet. Zoals het het hoort op een forum...

In het kader van feedback: wat minder gebruik maken van onjuiste framende statements helpt de discussie de goede kant op.