Politie eist IP-adres van klant

[Thomasss]

Goedenavond,

 

wij kregen allereerst een e-mail van de politie gevolgd foor een e-mail met formele brief in de bijlage.

Het gaat om een vordering van de IP-gegevens van een klant van ons (webwinkel) die verdacht is van fraude.

Ivm de AVG en privacy gegevens gaan wij zeer zorgvuldig om met gegevens van onze klanten en willen die niet zomaar vrijgeven.

 

Er wordt gevraagd om IP-gegevens, emailadres, email alias en accountnaam.

 

Wat zouden jullie in zo'n situatie adviseren? Heeft de politie het recht om dergelijke zaken op te vragen of openen wij ons voor problemen met de AVG?

Dank voor jullie advies.

[MrHTTP]

1 uur geleden, Norbert Bakker zei:

Nee, dat is het zeker niet. Als er geen geldige grond voor die vordering is is het verstrekken van die gegevens een inbreuk op het eigen privacy-reglement én de AVG. Reden genoeg om even navraag te doen dus, wat precies is wat vraagsteller doet. 

"(die specifiek is)" -> gespecificeerd -> onderbouwd -> gegrond

We bedoelen hetzelfde.

 

Vandaar dat ik ook voorstelde met de politie hierover in gesprek te gaan zodat je kan navragen hoe gegrond iets is.

12 uur geleden, MrHTTP zei:

Dus je hoort de politie uit over deze zaak, laat dat dan toetsen bij een advocaat als punten niet helder voor je zijn of als je het niet zelf kan toetsten op basis van diverse informatiebronnen en dan ga je do...

 

 

14 maart 2019 aangepast door MrHTTP

[Daniel_Nijmegen]

denk dat inderdaad goed is om hier voorzichtig mee te zijn (hoewel meeste waarschijnlijk vanuit gevoel graag helpen oplichters en andere criminelen te pakken.

Maar zelfs de overheid zelf loopt tegen onbedoelde problemen aan met de AVG die bestrijden criminaliteit moeilijk maken.: https://www.rtlnieuws.nl/nieuws/nederland/artikel/4641826/ahmed-aboutaleb-burgemeester-rotterdam-privacywetgeving-avg-douane

dan moet je als kleine zelfstandige jezelf dus helemaal indekken omdat je tussen 2 vuren zit.

 

[Rik ·]

Quote

Ik las het inderdaad alsof "webwinkel" verwees naar "ons" en niet daar "de klant". Maar kan inderdaad zijn dat TS juist de hostingprovider is, dan ligt het weer anders.

Ik lees in de berichtenhistorie dat TS een webwinkel heeft.

[Hans v N]

In de openingspost gaat het toch echt om een klant die een webwinkel heeft. Mogelijk is hosting aangeboden als zogenaamde reseller dat is kennelijk heel eenvoudig. Ik verbaas me toch over de weerstand die een vraag om fraude te bestrijden oproept. Natuurlijk moet iedereen zich aan de wet houden maar je mag er toch vanuit gaan dat de politie weet wat ze doen. En als je twijfels hebt dan vraag je dat gewoon even aan de betreffende opsporingsambtenaar of bel je een jurist met alle details. De zaak gaan vertragen en vragen stellen op een forum zonder dat de deelnemers alle details kennen is weggegooide tijd voor de opsporing.

14 maart 2019 aangepast door Hans v N

[RT....]

 

14 minuten geleden, Hans v N zei:

In de openingspost gaat het toch echt om een klant die een webwinkel heeft.

Ik verwacht dat TS daar enige duidelijkheid over kan geven.

 

15 minuten geleden, Hans v N zei:

k verbaas me toch over de weerstand die een vraag om fraude te bestrijden oproept. Natuurlijk moet iedereen zich aan de wet houden maar je mag er toch vanuit gaan dat de politie weet wat ze doen.

 TS vraagt gewoon, terecht, wat voor hem de gevolgen kunnen zijn als hij (wellicht onverplicht) meewerkt aan een verzoek van de politie. Daar zit geen enkele weerstand om mee te werken aan fraudebestrijding. 
En dat je er maar vanuit mag gaan dat de politie weet wat ze doen (tikkeltje naïef?), betekent niet dat jij je daarachter (civielrechtelijk) kunt verschuilen als toch blijkt dat ze iets fout hebben gedaan. Gelukkig maakt het OM nooit fouten...

En wat levert navraag bij de opsporingsambtenaar op? Dan krijg je, uiteraard, te horen dat het allemaal koek en ei is en dat je verplicht bent om mee te werken. Dus dan ben je nog geen steek verder.

[Highio]

Ik geloof dat 'ze' Thomasss inmiddels gegijzeld hebben!

 

Lunchgroet,

 

Highio

[MrHTTP]

27 minuten geleden, RT.... zei:

En wat levert navraag bij de opsporingsambtenaar op? Dan krijg je, uiteraard, te horen dat het allemaal koek en ei is en dat je verplicht bent om mee te werken. Dus dan ben je nog geen steek verder. 

Aannames en iets met oordelen, vooroordelen en veroordelen.

 

Met zo'n belletje of de opsporingsambtenaar uitnodigen versterkt de TS zijn positie, hij kan dan kenbaar maken dingen te willen uitzoeken en zijn zorgen uiten. Wanneer hij niet communiceert met de Politie kunnen ze dat (logisch ook) opvatten als obstructie ongeacht of de zaak gegrond is of niet. Het zijn net mensen.

 

De meesten lijken in dit topic te houden van paniekvoetbal, maar zo kom je natuurlijk niet tot een oplossing of 'overwinning'.

 

14 maart 2019 aangepast door MrHTTP

[RT....]

10 minuten geleden, MrHTTP zei:

 Wanneer hij niet communiceert met de Politie kunnen ze dat (logisch ook) opvatten als obstructie.

 

Aannames en iets met oordelen, vooroordelen en veroordelen...

Overigens kreeg hij gister (neem ik aan) het verzoek, waarna hij (logisch ook) hier komt vragen of er wellicht mede-ondernemers zijn die hier ervaring mee hebben. Dus geen paniekvoetbal, zo snel komen ze je deur niet intrappen wegens 'obstructie'...

14 maart 2019 aangepast door RT....

[Thomasss]

Dank voor alle antwoorden en reacties! Heb de meeste adviezen opgevolgd en contact opgenomen met diverse partijen.

 

De discussie ' waarom' ik dit topic geopend hebt verbaasd  mij enigszins. Er zijn ongetwijfeld andere ondernemers die eenzelfde verzoek hebben gehad en ben benieuwd wat zij ervan denken. Naast het feit of dit wel of niet juridisch bindend is zijn er ook nog ethische vraagstukken en de vraag of je als eenmanszaak / webwinkel hier überhaupt aan mee zou moeten werken. Blijkbaar is dit voor sommige leden hier overduidelijk, maar uit de ontstane discussie leid ik af dat dit niet voor iedereen het geval is. 

 

Het gaat inderdaad om een webwinkel, geen hostingpartij. Wij hebben dus directe klantgegevens.

14 maart 2019 aangepast door Thomasss

[Hans v N]

Het gaat om de vraag of jij hosting aanbiedt niet of de klant dat doet.

 

Ik heb een kennis die opsporingsambtenaar is en je mag er toch echt vanuit gaan dat men bij een onderzoek weet wat men doet. Bij een eventuele veroordeling is het natuurlijk prioriteit dat men het bewijs rechtmatig heeft verkregen.  Bij "simpele" fraude en er van uitgaand dat TS iets van telecommunicatie aanbiedt, geldt Artikel 126na en hoewel er geen jurist (bijv RT) is die dat bevestigd heeft is dan geen bemoeienis van de OvJ of anders nodig.

En JA, het kan geen kwaad om jezelf af te vragen of datgene wat gevraagd wordt ook gevraagd mag worden maar in dit topic wordt eerst uitgegaan dat TS niets hoeft te geven omdat de OvJ niet is gekend en later dat hij niet hoeft te leveren omdat hij geen telecommunicatie aanbiedt. Maar als een klant een webshop heeft dan is TS of de bouwer ervan of de ISP en mogelijk beide. Als hij alleen bouwer zou zijn dan wordt hem de vraag niet gesteld lijkt me, want hoe moet hij dan de IP gegevens kennen? Hoe zit het nu?

14 maart 2019 aangepast door Hans v N

[TwaBla]

12 uur geleden, Hans v N zei:

Ik zie dus geen enkele reden waarom TS zich zou moeten verzetten tegen verstrekken van gegevens of daar juridisch advies voor zou moeten inwinnen.

 

TS is degene die gevraagd is om gegevens te verstrekken. Als er enige twijfel is over de titel (politie, opsporingsbeamte, boswachter) dan is het logisch dat hij even ruggespraak houdt op een forum waar mensen wellicht weten waar hij op moet letten.

 

In zijn vraagstelling kan de toevoeging (webwinkel) zowel op de klant slaan als op de vraagsteller zelf. Dat leidt tot spraakverwarring in het topic. En dan is er nog het Petpastonsallemaal-syndroom. Spontaan meewerken met de politie is bijna altijd prima, tot je ineens zo'n rare veldwachter aan de deur krijgt die zelf regeltjes bedacht heeft.

 

TS heeft eerder vragen gesteld over handel in cryptocurrency en het beheer van data, dus wellicht valt zijn winkel toch onder een telecomparaplu.

[R.I.P. - Benm]

8 uur geleden, Libertas zei:

Een tussenoplossing zou kunnen zijn om de klant te vragen om toestemming om de gegevens te delen, waarschijnlijk geeft deze klant dat niet, maar heb je die toestemming wel, dan zit je sowieso goed...

 

Dat is wel een lastige: als het daadwerkelijk om een fraudeur oid gaat zal je de toestemming niet krijgen, maar maak je de fraudeur wel een stuk wijzer over dat de politie kennelijk naar hem op zoek is. Hetzelfde zou gelden als je de gegevens wel verstrekt (bijvoorbeeld omdat het door de officier gevorderd wordt) en vervolgens de klant op de hoogte brengt van het verstrekken van die gegevens. Ik vraag me af of je verplicht bent dat laatste te doen: de klant heeft tenslotte recht om te weten wat je met zijn gegevens doet, en 'doorspelen aan de politie' zal ongetwijfeld niet in je algemene voorwaarden oid staan ;)

 

Praktisch punt is ook wel wat er gebeurt als je weigert - komt er dan een agent langs om de gegevens te halen?

[RT....]

2 uur geleden, R.I.P. - Benm zei:

Praktisch punt is ook wel wat er gebeurt als je weigert - komt er dan een agent langs om de gegevens te halen? 

Als je weigert, en de vordering is inderdaad gegrond, dan ben je strafbaar.

[StevenK]

126na gaat over communicatiediensten. Als jij geen communicatiediensten levert en je wilt op je strepen staan, is je antwoord precies dat 'er is geen sprake van levering van een communicatiedienst en om die reden kan ik niet op grond van uw vordering de gevraagde gegevens verstrekken'. Zie 126la voor uitleg van wat een communicatiedienst is.

 

Mijn ervaring met dit soort verzoeken wanneer ik die voor cliënten moet beoordelen is dat in overleg met de betreffende opsporingsambtenaar wel duidelijk wordt of en welke gegevens verstrekt moeten worden.

 

 

[Rik ·]

50 minuten geleden, StevenK zei:

Als jij geen communicatiediensten levert en je wilt op je strepen staan,...

Dan is de volgende vraag natuurlijk...

Welk risico loop je als je in dat geval wel meewerkt en de gegevens versterkt. De nieuwe boetes voor het overtreden van de AVG kunnen aardig in de papieren lopen.

 

[Hans v N]

Dan zou de vermeende fraudeur in eerste instantie moeten klagen bij TS. Pas als de fraudeur een onbevredigend antwoord krijgt op de vraag waarom TS zijn gegevens heeft gedeeld met de politie kan hij een klacht indienen bij de autoriteit persoonsgegevens. De kans dat het gebeurd lijkt me minimaal en nog minimaler dat de APG overgaat tot het geven van een boete aan iemand die meewerkt aan een politieonderzoek in zake fraude. Zelfs men de klacht serieus neemt zal het maximale het geven van een waarschuwing zijn of vragen aan TS of hij het niet meer wil doen.  De indianenverhalen dat iedereen bij het minst of geringste vermoeden van het (eenmalig) onjuist verstrekken van gegevens een torenhoge boete krijgt is nergens op gebaseerd.

[Ward van der Put]

Toch is dat wat de advocaat van de duivel zou kunnen beargumenteren ten faveure voor de fraudeur: het bewijs is onrechtmatig verkregen als de verwerking van persoonsgegevens door de TS onrechtmatig is. En dat is dan vervelend voor de TS, want daarmee staan niet alleen de rechtmatigheid van het incidenteel verstrekken van persoonsgegevens maar de gehele stelselmatige verwerking ter discussie.

 

Hoe lang mag een webwinkel IP-nummers met datums en tijden van klanten en andere bezoekers bewaren?

[Norbert Bakker]

Los van de vraag of je moet meewerken aan het onrechtmatig opvragen van informatie door de politie, zou TS dan ook in tegenstrijd met het eigen privacy-reglement handelen: 

 

Quote

 

Medewerking aan fiscaal en strafrechtelijk onderzoek
In voorkomende gevallen kan bedrijf op grond van een wettelijke verplichting worden gehouden tot het delen van uw gegevens in verband met fiscaal of strafrechtelijk onderzoek van overheidswege. In een dergelijk geval zijn wij gedwongen uw gegevens te delen, maar wij zullen ons binnen de mogelijkheden die de wet ons biedt daartegen verzetten.

 

Er is namelijk - zonder geldige titel - geen wettelijke verplichting én TS heeft zich niet verzet binnen de mogelijkheden die de Wet biedt. 

 

Het is voor iedereen (maar vooral voor de politie) het verstandigste dat de politie er voor zorgt dat er een juiste rechtsgrond en een juiste instantie is die deze gegevens vordert, en dat vraagsteller controleert of daarvan sprake is .

 

PS:  Uit de  oude doos, voor de liefhebbers:  politie bluft om ip-adressen bezoekers te krijgen. 

[RT....]

26 minuten geleden, Ward van der Put zei:

Toch is dat wat de advocaat van de duivel zou kunnen beargumenteren ten faveure voor de fraudeur: het bewijs is onrechtmatig verkregen als de verwerking van persoonsgegevens door de TS onrechtmatig is.

Dat lijkt me niet.

[MrHTTP]

De AP heeft een informatienummer; https://autoriteitpersoonsgegevens.nl/nl/contact-met-de-autoriteit-persoonsgegevens/informatie-en-meldpunt-privacy

Wie gaat zijn aannames eens testen en komt met echte antwoorden...?

 

Hans v N Bedankt voor het aanbrengen van nuance.

[Maxn]

23 uur geleden, TwaBla zei:

TS heeft eerder vragen gesteld over handel in cryptocurrency

 

Gaat het dan wellicht om een klant die met bitcoin heeft betaald?

 

Zou wel verklaren waarom ze die informatie van een normale webwinkel willen hebben.

Alle transacties die een bitcoin gebruiker doet zijn openbaar (staan in de blockchain)

Als ze willen weten van wie een bepaald bitcoin adres is, en zien dat er eerder een transactie naar het adres van de webwinkel is gedaan, is het geen gekke stap om daar de gegevens op te vragen van de bestelling die op dat tijdstip is gedaan...

Alleen doen ze dat dan wel onder een artikel dat daar niet voor is bedoeld.

15 maart 2019 aangepast door Maxn

[Norbert Bakker]

1 uur terug, Maxn zei:

Alleen doen ze dat dan wel onder een artikel dat daar niet voor is bedoeld.

 

En om die reden moeten ze die informatie wat mij betreft dan ook (nog) niet verstrekken, maar - als ze wel willen meewerken aan het oplossen van misdrijven- aan de politie verzoeken om een nieuwe kloppend verzoek tot een rechtsgeldige vordering te doen .

 

Doen ze dat niet en verstrekken ze de gegevens aan de politie, dan maak ik me ook niet zo druk om de eventuele boete van  de AP (De AP is vooral druk bezig met het geven van boetes en last onder dwangsom  aan de politie omdat die de gegevensverwerking niet op orde  heeft.... genuanceerd genoeg zo? )  maar is vraagsteller mogelijk wel schadeplichtig. 

 

Ook dat is uiteraard iets wat je helemaal tot 0 kunt reduceren = terugbrengen = nuanceren, maar dat vraagsteller daarmee in uitdrukkelijke strijd handelt met z'n eigen privacy-reglement is geen mening of aanname maar een constatering van een feit 

 

Bottom line voor alle reageerders hier: vinden we medewerking verlenen aan de politie op  mogelijk onjuiste gronden belangrijker dan privacy of niet?

De wetten zijn geschreven voor de waakzamen, niet voor de slapenden

 

[Norbert Bakker]

Voor de definitieve duidelijkheid: vraagsteller is webwinkel, geen hostingprovider (zojuist bevestigd door vraagsteller) 

 

[TwaBla]

Op 14-3-2019 om 22:10, StevenK zei:

126na gaat over communicatiediensten.

 

Dat omvat meer dan alleen webhosting. 

[Hans v N]

 

Goede vraag. Wat valt dan wel onder het begrip telecommunicatiedienst?

 

Quote

2. Reikwijdte: ....... een telecommunicatiedienst wordt gedefinieerd als elke (rechts-)persoon die aan de gebruik van zijn dienst ‘de mogelijkheid biedt te communiceren met behulp van een geautomatiseerd werk, of die gegevens opslaat ten behoeve van een zodanige dienst, of de gebruikers van die dienst.’ Het begrip ‘communicatiedienst’ plaatst niet alleen de huidige openbare elektronische communicatiediensten en –netwerken zoals gedefinieerd in de Telecomwet onder de reikwijdte van het voorstel, maar breidt deze uit tot besloten netwerken en –diensten (oa. Surfnet en interne bedrijfsnetwerken), maar verder vallen ook aanbieders van webhostingdiensten, beheerders van websites en aanbieders van online opslag, email of spraakdiensten onder deze nieuwe definitie (bron Nederland ICT)

 

Volgens de telecommunicatiewet: 

Quote

 

Artikel 126la

In deze afdeling wordt verstaan onder:

a. aanbieder van een communicatiedienst: de natuurlijke persoon of rechtspersoon die in de uitoefening van een beroep of bedrijf aan de gebruikers van zijn dienst de mogelijkheid biedt te communiceren met behulp van een geautomatiseerd werk, of gegevens verwerkt of opslaat ten behoeve van een zodanige dienst of de gebruikers van die dienst;

 

 

Mijn kennis rond hosting en beheer voor derden is beperkt maar ik neem aan dat vraagsteller op zijn minst gegevens verwerkt en opslaat voor zijn klant. En daarmee zou hij dus zonder toestemming van de OvJ gegevens op mogen vragen onder 126na.