Is het opzoeken van telefoonnummers legaal?

Kort antwoord: in de Verenigde Staten, het Verenigd Koninkrijk en het grootste deel van de EU is het opzoeken van openbare informatie over een telefoonnummer legaal. Wat je vervolgens doet met het resultaat is waar de wet daadwerkelijk toeslaat - en dat onderdeel krijgt veel minder aandacht dan het verdient.

Dit is een algemene uitleg, geen juridisch advies. Regels verschillen per land en veranderen; als een beslissing belangrijk is, neem dan professioneel advies in.

Waarom het opzoeken zelf over het algemeen prima is

Een omgekeerd telefoonnummer opzoeken doorzoekt bronnen die al openbaar zijn: bedrijvengidsen, websites, openbare sociale profielen, gepubliceerde gegevens, nieuws. Het lezen van openbaar beschikbare informatie is op zich geen gereguleerde activiteit. Als een loodgieter zijn mobiele nummer op zijn website vermeldt, is het vinden ervan door te zoeken naar dat nummer niet anders dan het vinden door te zoeken naar "loodgieter".

Wat een legitieme dienst onderscheidt van een illegitieme is de bron. Een dienst die je gesprekslogboeken, sms-inhoud, privé-abonneegegevens van providers, live locatie of gelekte inloggegevens aanbiedt, biedt iets buiten een gewoon openbaar-informatie-opzoeken. Gelicenseerde nummergegevens kunnen een provider, lijntype en toewijzingsregio identificeren zonder de abonnee of apparaatlocatie te onthullen. Het verkrijgen van privégegevens vereist doorgaans een juridische procedure, en het kopen ervan kan je aan de verkeerde kant van computermisbruik- en gegevensbeschermingswetgeving plaatsen.

De grens die er echt toe doet: FCRA

In de Verenigde Staten regelt de Fair Credit Reporting Act rapporten die worden geleverd door een consumentenrapportagebureau voor beslissingen over werk, krediet, huisvesting, verzekeringen of andere geschiktheidsdoeleinden. De richtlijnen van de FTC voor werkgevers leggen de vereiste stappen uit wanneer een werkgever een van die rapporten verkrijgt van een bedrijf dat achtergrondinformatie samenstelt.

Het belangrijke onderscheid is niet simpelweg of iemand het web heeft doorzocht tijdens het nemen van een beslissing. Het gaat erom of een externe dienst een consumentenrapport heeft samengesteld of geleverd voor een FCRA-doel. Dat kader brengt verplichtingen met zich mee die een algemeen openbaar-web-zoekproduct niet is ontworpen om te vervullen:

• de betrokkene moet toestemming geven voor een werkgelegenheidsscreening
• de betrokkene heeft het recht te zien wat over hen is gerapporteerd
• de betrokkene heeft het recht onjuistheden te betwisten en deze te laten onderzoeken
• de gebruiker moet nadelige-actieprocedures volgen voordat iemand wordt afgewezen

Een openbaar-web-zoekopdracht voldoet aan geen van deze. Er is geen toestemmingsstap, geen betwistingsmechanisme, geen nauwkeurigheidsgarantie. Dit is precies waarom diensten zoals de onze duidelijk stellen dat ze geen consumentenrapportagebureaus zijn en niet mogen worden gebruikt voor die beslissingen - en waarom die disclaimer een echte beperking is in plaats van standaardtekst.

Dus: het opzoeken van een nummer dat je heeft gebeld is een gewoon persoonlijk gebruik. Als je een achtergrondrapport van een derde partij nodig hebt om een beslissing te nemen over werk, huisvesting, krediet, verzekeringen of vergelijkbare geschiktheid, gebruik dan een aanbieder die is ontworpen om te voldoen aan de relevante screeningswetgeving en volg de vereiste toestemmings- en kennisgevingsprocedures. DeepSearch is geen dergelijke aanbieder en verbiedt die toepassingen. De langere beslissingsnota is Een zoekresultaat over personen is geen consumentenrapport.

Europa en het VK: openbaar betekent niet onbeperkt

Onder de AVG en de Britse AVG zijn persoonsgegevens beschermd, ongeacht of ze openbaar toegankelijk zijn. "Ik heb het op een openbare website gevonden" is op zichzelf geen rechtsgrond. De huidige richtlijnen van de ICO vereisen dat organisaties die zich beroepen op gerechtvaardigde belangen het belang identificeren, aantonen dat de verwerking noodzakelijk is en dit afwegen tegen de rechten en vrijheden van de persoon.

Voor de meeste individuen is dit minder belangrijk dan het klinkt, omdat er een huishoudelijke uitzondering is: het verwerken van persoonsgegevens voor zuiver persoonlijke of huishoudelijke doeleinden valt buiten de verordening. Controleren of de persoon die je ontmoet via een dating-app echt is, is een persoonlijk doel.

Die uitzondering verdwijnt zodra de activiteit professioneel of organisatorisch wordt. Als je mensen onderzoekt als onderdeel van een bedrijf - screening, due diligence, leadgeneratie, journalistiek - heb je een rechtsgrond nodig, meestal gerechtvaardigde belangen, en moet je hebben nagedacht over proportionaliteit. Je bent de persoon mogelijk ook een kennisgeving verschuldigd dat je gegevens over hen bezit.

De praktische test: zou je je doel kunnen uitleggen aan de persoon die je hebt opgezocht en zou deze het als redelijk accepteren? Als het eerlijke antwoord nee is, gaat de juridische analyse waarschijnlijk dezelfde kant op.

Waar het onwettig wordt, ongeacht de bron

Sommige toepassingen zijn onwettig, ongeacht hoe openbaar de onderliggende informatie was. Dit zijn geen randgevallen; ze zijn de reden dat deze hele categorie onder de loep wordt genomen:

Stalking en intimidatie. Herhaaldelijk contact opnemen met, volgen of monitoren van iemand die dat niet wil. Het samenstellen van openbare informatie in een profiel dat dit mogelijk maakt, is in veel rechtsgebieden onderdeel van het delict, geen aparte neutrale handeling.

Doxxing. Het publiceren van iemands huisadres, werkplek of contactgegevens met als gevolg dat ze worden blootgesteld aan intimidatie. Het feit dat de individuele feiten openbaar zijn, is geen verdediging; de aggregatie en publicatie is de schade.

Identiteitsfraude en pretexting. Je voordoen als iemand anders - een bank, een collega, de accounthouder - om informatie te verkrijgen. In de VS criminaliseert de Telephone Records and Privacy Protection Act frauduleuze verwerving of ongeautoriseerde openbaarmaking van vertrouwelijke telefoongegevensinformatie.

Ongeautoriseerde toegang. Proberen toegang te krijgen tot een account dat je niet bezit, op welke manier dan ook. Illegaal in vrijwel alle landen.

Een werkbare test voordat je zoekt

Drie vragen, op volgorde:

1. Waarom wil ik dit? Als je het doel niet in één duidelijke zin kunt zeggen zonder te aarzelen, stop dan.
2. Is dit een van de gereguleerde beslissingen? Werk, krediet, huisvesting, verzekeringen, huur - als ja, gebruik dan een goede screeningaanbieder met toestemming.
3. Wat ga ik ermee doen? Verifiëren dat een beller legitiem is, is een toepassing. Contact opnemen met iemand die je heeft gevraagd dat niet te doen, is dat niet.

Toepassingen die ronduit prima zijn

Om duidelijk te maken dat het antwoord niet "niets is toegestaan" is, zijn deze gewoon en legaal op de meeste plaatsen:

• het identificeren van een onbekende of herhaalde beller
• controleren of een online verkoper of koper een echte handelsentiteit is
• bevestigen dat een persoon die je online hebt ontmoet is wie ze beweren te zijn, voordat je persoonlijk ontmoet
• de openbare gegevens van een bedrijf controleren voordat je geld stuurt
• opnieuw contact maken met iemand met wie je het contact bent verloren, met respect voor hun reactie
• journalistiek en onderzoek in het algemeen belang, binnen de regels van je rechtsgebied

Wat wij eraan doen

Omdat het eerlijk is om te vragen wat een bedrijf dat dit verkoopt daadwerkelijk handhaaft: we gebruiken openbare bronnen, gelicenseerde provider- en nummermetadata en openbare meldingsindexen voor datalekken die incidenten noemen zonder wachtwoorden, hashes of gelekte recordinhoud bloot te leggen. We bieden geen gespreks- of berichtinhoud, privé-abonneegegevens of live locatie aan, en onze voorwaarden zeggen dat resultaten niet mogen worden gebruikt voor FCRA-gedekte beslissingen. Openbare-webclaims linken naar hun bron, zodat je ze kunt controleren in plaats van ze te vertrouwen.

Die combinatie is opzettelijk. Een tool die je niet kan laten zien waar een feit vandaan komt, kan niet worden geverifieerd, en een tool die niet kan worden geverifieerd, mag niet worden vertrouwd met een beslissing over een persoon.