Heb jij een interessante vraag op het snijvlak van privacy, cybersecurity en recht? Stuur je vraag naar juridischevraag@security.nl. Elke week geeft ict-jurist Arnoud Engelfriet in deze rubriek antwoord.

Juridische vraag: Laatst kwam in het nieuws dat sommige bunq-klanten in de bunq-app de aandelenhandel van hun contacten kunnen zien bunq zegt dat gebruikers bij het installeren van de bunq-app twee keer de vraag krijgen of ze de app toegang willen geven tot hun contacten, maar klanten geven aan dat niet duidelijk genoeg is dat die contacten dan ook je aandelen- en cryptotransacties kunnen zien. Hoort bij de vraag om toestemming niet duidelijk te worden vermeld waar deze toestemming precies voor is?

Antwoord: Inderdaad eist de AVG dat toestemming "vrij, specifiek, geïnformeerd en ondubbelzinnig" is. Uit het punt "geïnformeerd" volgt dat je moet weten waar je allemaal toestemming voor geeft. En als dat meer dan één ding is, dan moet dat dus worden uitgesplitst.

Er is wat discussie over of je de toestemmingsvraag mag combineren (alles ja of alles nee), maar dat je apart moet noemen voor welke dingen de toestemming geldt, is geen onderwerp van discussie.

Bunq zegt ‘Als je bunq downloadt, krijg je tweemaal de vraag of je toegang geeft tot je contacten’ en daarna ‘Die lijst wordt gebruikt om te verbinden met andere bunq-gebruikers. Je kunt daarna de functie aan- en uitzetten.’ Die eerste vraag is een klassieker, maar natuurlijk enorm onduidelijk. Het gaat er niet om of bunq bij je adresboek mag, maar waarom. En dat staat er niet bij.

Verder zegt de wordvoerder dus dat je daarna "de functie" van het aandelendelen kunt aan- en uitzetten. Dat gaat via je Instellingen:

1. Open the Crypto tab in the app

2. Tap the Settings Gear in the top right corner

3. Disable the toggle “See Friend’s Trades”

Nou is dat een duidelijke toestemmings-knop, alleen staat deze dus standaard áán zodra je de toegang tot contacten verleent. En dat klopt niet. Of de "toegang tot contacten"-vraag had ook een "laat contacten je aandelenhandel zien"-tekst moeten hebben, of er had een aparte vraag moeten komen voor deze optie. Of hij stond gewoon uit tot je hem ontdekte.

Arnoud Engelfriet is ict-jurist, gespecialiseerd in internetrecht waar hij zich al sinds 1993 mee bezighoudt. Hij werkt als chief knowledge officer bij juridisch adviesbureau ICTRecht en blogt dagelijks over internetrecht. Hij schreef onder meer de boeken ICT&Recht en AI&Algorithms, en verzorgt de opleiding tot Certified Cybersecurity Compliance Officer.