eBay wil ID-kaart en BSN om identiteit te verifiëren

[NanoSector]

Een tijd terug heb ik de eBay app geïnstalleerd. Deze geeft je de mogelijkheid om de app te gebruiken om nieuwe logins te verifiëren. Tof, dan gebruiken we dat!

Nu gebruik ik eBay eigenlijk vrij weinig (zeg maar gerust, niet) en ik ruim ongebruikte apps regelmatig op. Dus ook de eBay-app moest hieraan geloven en ik heb zonder pardon de app in de prullenbak gemikt; ik kan immers ook gewoon de website gebruiken. Ik was alleen vergeten om de authenticatiemethode uit te zetten voordat ik de app weggooide.

Spring naar een paar weken geleden. Via Tweakers koop ik een leuke MacBook als knutselprojectje en daar heb ik onderdelen voor nodig. Tweakers heeft ze niet, Marktplaats heeft slechts enkele resultaten en lokale winkels vragen €50 voor een touchpad?! (dat is meer dan ik voor de laptop heb betaald), op naar alternatieven dus. Ik zoek op eBay en kom een best leuke deal tegen. Op naar de checkout!

...inloggen. Ahja, login gegevens staan in mijn wachtwoordmanager, perfect, allang vergeten. "Please verify this login with your app"...

Ik zit dus vast. Na een (te lange) tijd zoeken ben ik tot de conclusie gekomen dat de enige weg hieruit de klantenservice is. Er is geen recovery procedure, wat ik frappant vind want iedere moderne site heeft dat. Dus in plaats van de checkout, op naar de klantenservice! Mailtje gestuurd met de vraag of mijn account geünlocked mag worden.

Het eerste antwoord was snel op de virtuele deurmat gevallen, ik pak even het relevante stuk eruit:

I would like to share that we have to disable it from our end and after login to your account you can activate the same.

However, we need to your authorization to disable it. Also, we need to verify that the actual owner of the account is contacting us.

Hence, I request you to reply back to this email with the below statement:
•I authorize you to disable 2 step verification from my account

Also, I request you to send us any one of the below mentioned proof of identity (Colored Scanned Copy):

i. Valid Identity card of passport.
ii. Valid Driver’s license
iii. Valid recent proof from city (any official recent document)
iv. Signed document from commercial registration

Please note that we need both sides of the proof and in colored format.

Ik dacht bij mezelf, dit gaat dus niet gebeuren. Wat hebben zij met mijn ID-kaart of rijbewijs te zoeken? Ik verstuurde nota bene deze e-mail van het e-mailadres waarmee ik bij eBay geregistreerd sta.

Ik stuur een mailtje terug:

Second, I feel as though eBay should not be authorised to ask its customers to provide their ID. The Autoriteit Persoonsgegevens (AP), or the privacy agency in our country, does not seem to regard sites like eBay as a qualifying organisation for collecting this data. Therefore I would highly prefer not sending in scans of any of my ID cards.

Instead, I will provide you with details which should be present on my eBay profile. I hope this proves my identity, alongside the fact that I am sending you this message from the e-mail address that is registered on the profile.

Ik moet meegeven dat eBays klantenservice snel werkt. Volgende dag had ik meteen antwoord:

I would like to inform that this verification is only intended to check that you are the only owner of your account and details you have registered with us are verified.

Under the terms of the user agreement, eBay may, in the ' Abuse of eBay ' section, immediately warn, suspend or terminate your registration process and refuse to provide its services to you if you believe that its activities may result in financial losses or the legal liability of its own, other users or eBay. We may also take such actions if you cannot verify all information received from you.

Here is a list of necessary documents:

1) A legible copy of both sides of the identity card with a clearly visible address and social Security number.

Note: Regardless of the type of identity card, you can cover the following information: Place of birth, nationality, issuing authority, height, eye color.

We only ask for the documents from our users based on the below mentioned act:-

The data and documents you submit will be processed and collected by eBay in accordance with privacy laws, solely for the purposes related to the verification of users, and kept for a period not longer than necessary, as provided by The Act of 29 August 1997 on the Protection of Personal Data. eBay reserves the right to verify with third parties interested in the information and documents you submit.

You can also go through the below mentioned link to know more information regarding the ACT of 29 August 1997 on the Protection of Personal Data.

https://www.global-regula...ion-of-personal-data.html

Further, you can also create a watermark on the documents but do make a note that none of the details are hidden. You can mention in the watermark as “Only for eBay”. I would like to assure that we destroy the documents once the verification process gets over. But if you do not wish to provide our documents, then we will not be able to unlock your account and close it.

Please be assured that you details will remain confidential and destroyed immediately. Please send us an email if you still have any questions. I remain at your disposal.

Waarom hebben zij mijn BSN nodig?! Deze informatie hebben ze niet eens in hun systeem staan want dat heb ik nooit opgegeven. Op de site van de AP staat dat er alleen door daarvoor bevoegde instanties naar je BSN mogen vragen. Voor de zekerheid bel ik toch even met de AP om dit te confirmen in het geval van eBay.

Na een kwartier in de wachtrij te hebben gestaan en bloedende oren te hebben door een of andere schelle wachttoon kreeg ik een behulpzame medewerker aan de lijn. Deze vertelde mij meteen dat eBay inderdaad onder geen enkele mogelijkheid om deze info mag vragen en dat ze in principe zelfs mijn ID-kaart niet mogen hebben, tenzij ze op geen enkele andere mogelijkheid kunnen verifiëren dat dit account inderdaad van mij is. Wat ze dus wel kunnen.

De AP wilde dat ik een mailtje naar de DPO van eBay stuurde. Als ik geen fatsoenlijk of toereikend antwoord kreeg dan moest ik weer terugbellen en dan konden ze het escaleren. Mailtje gestuurd, tot op heden nog geen antwoord gekregen. Die wacht ik dus nog even af.

Ik heb inmiddels wel weer antwoord van de klantenservice, oh wacht nee, de klachtenservice (het e-mailadres was veranderd maar [e-mail]), aangezien ik het voor de tweede keer heb afgewezen waarbij ik ook duidelijk had gemaakt dat ik naar de AP was gestapt. Dit was het antwoord:

eBay places great importance on the privacy of its users. For this reason, we reserve the right to verify the identity of data subjects in accordance with Art. 12 Para. 6 of the GDPR. This identity verification ensures that we only pass on personal data to persons entitled to receive such information. This also serves to protect the person entitled to information as well as all other eBay users.

We require the account owner to provide us with the following documentation to validate the safety of the request.
- State issued Photo ID (such as a passport, driver's license or other government issued photo ID)
- If the State issued ID does not have an address, then please also submit a Proof of Address (such as a utility bill, bank or credit card statement)

The proof of identity and address will be used exclusively for the purpose of identity verification in connection with the account access requested by you.

Important note: You can black out all the following fields: ID number, title, place of birth, nationality, issuing authority, date of issue, height, eye colour, photo, signature. A mostly blackened copy of an ID card is a practical way of identifying a user. If you use blackening, these should be limited to the fields mentioned, so that the identity card remains easily recognizable.

Please provide your identity confirmation by 17 June 2020 in order to help us process your request expeditiously. A delay in receiving your identity confirmation will delay processing as we will not be able to grant access until your identity is confirmed.

Do rest assured that any documentation will be deleted from our system immediately after verification has been completed.

Aldus, we willen nog steeds je ID. Maar nu ineens wel met minder data, waarbij het Social Security Number oftewel BSN niet onder de "following fields" valt om weg te strepen. Oh en doe dit voor de 17e want anders, uh, worden we boos? Geen idee wat ze van plan zijn na de 17e. Waarschijnlijk mijn account in de prullenbak mikken, wat ik op dit punt niet eens zo erg meer vind.

Ik heb ook even opgezocht wat het artikel wat ze noemen te zeggen heeft:

Without prejudice to Article 11, where the controller has reasonable doubts concerning the identity of the natural person making the request referred to in Articles 15 to 21, the controller may request the provision of additional information necessary to confirm the identity of the data subject.

Aldus dat lijkt me geen wettelijke grond om specifiek naar een ID te vragen, maar om de identiteit te confirmen. En don't get me wrong, ik vind dat ze alle recht hebben om mijn identiteit na te lopen, maar niet middels mijn ID en BSN.

Pfoe dit is een hele rant geworden. Ik vroeg me eigenlijk af wat ik hier tegen kan doen behalve een nieuw account openen of de site links laten liggen, naast wat ik nu doe. Maar eigenlijk ben ik ook wel benieuwd naar wat anderen hiervan denken.

[F_J_K]

BSN mogen ze alleen zien als ze dat wettelijk moeten: https://www.government.nl...itizen-service-number-bsn (ik verwijs expres naar de EN versie van de pagina).

Ik zou 'em opsturen met alleen BSN zwartgemaakt. En er bij zeggen dat in Nederland geen social security number bestaat maar alleen een BSN waar het illegal is to send it to non-government organizations without a specific law requiring the BSN.

Als dat niet werkt, even praktisch: ze hebben geen recht om de kopie incl BSN. Ze hebben ook geen plicht je toegang te geven. Catch-22..

[NanoSector]

De AP zegt echter dat ze je hele ID-kaart niet mogen vragen, mits ze op een andere manier je kunnen identificeren. En het lijkt mij dat het versturen van e-mails vanaf het e-mailadres wat op het account staat, plus het kunnen geven van de gegevens die op mijn profiel staan, voldoende informatie daarvoor is. Het is nou niet alsof heel mijn medische geschiedenis op eBay staat.

EDIT: Sterker nog, ik vind het zelfs raar ergens dat ze er persé mijn ID voor moeten hebben. Deze hebben ze nooit gehad en het enige wat ze van mij hebben zijn NAW-gegevens. Dus wat zouden ze überhaupt nog uit die informatie moeten halen?

Ik snap je catch-22 ook en ik ben het er mee eens. Maar ik vind dat geen geldige reden om dan maar ja en amen te zeggen wanneer een bedrijf iets van je vraagt. Een nieuw account is zo gemaakt.

[ Voor 17% gewijzigd door NanoSector op 12-06-2020 13:32 ]

[MacorgaZ]

En als jij nou gephisht bent en iemand op jouw e-mailadres zit te mailen naar eBay, Marktplaats, de Bitcoin-exchange, enzovoorts. Is het dan ook genoeg dat jij mailt vanaf jouw e-mailadres en gegevens kan geven die waarschijnlijk ook in diezelfde mailbox staan?

[PhilipsFan]

Het is eigenlijk heel raar dat ze om een id-kaart vragen. Ze kunnen dat namelijk helemaal nergens voor gebruiken. Wat gaan ze ermee doen dan? In mijn geval bevat mijn e-mailadres niet dezelfde naam als die op mijn paspoort staat. Dus hoe kunnen ze in vredesnaam controleren of een account wel echt van mij is met een paspoort, als daar niet dezelfde gegevens op staan? Ze schieten er niks mee op.

Daarom vermoed ik dat er iets anders achter zit. Om te voorkomen dat iedereen zomaar accounts kan unlocken vragen ze om een id-kaart. Niet om te kunnen checken of het account echt van jou is, want dat kunnen ze niet, maar mocht er later fraude gepleegd worden vanaf dat account, dan hebben ze in ieder geval de identiteit van de echte persoon achter het account en dat maakt opsporing aanzienlijk makkelijker.

[NanoSector]

MacorgaZ schreef op vrijdag 12 juni 2020 @ 13:34:
En als jij nou gephisht bent en iemand op jouw e-mailadres zit te mailen naar eBay, Marktplaats, de Bitcoin-exchange, enzovoorts. Is het dan ook genoeg dat jij mailt vanaf jouw e-mailadres en gegevens kan geven die waarschijnlijk ook in diezelfde mailbox staan?

Ik zeg ook dat ik het eens ben met het feit dat ze me moeten verifiëren. Dat vind ik het probleem ook niet. Maar om een ID vragen vind ik dan weer het andere uiterste.

Desnoods sturen ze me een SMSje om te kijken of het geregistreerde telefoonnummer overeenkomt met wat van jou is. Of heb je recovery codes gekregen, of beveiligingsvragen oid.

PhilipsFan schreef op vrijdag 12 juni 2020 @ 13:38:
Het is eigenlijk heel raar dat ze om een id-kaart vragen. Ze kunnen dat namelijk helemaal nergens voor gebruiken. Wat gaan ze ermee doen dan? In mijn geval bevat mijn e-mailadres niet dezelfde naam als die op mijn paspoort staat. Dus hoe kunnen ze in vredesnaam controleren of een account wel echt van mij is met een paspoort, als daar niet dezelfde gegevens op staan? Ze schieten er niks mee op.

Daarom vermoed ik dat er iets anders achter zit. Om te voorkomen dat iedereen zomaar accounts kan unlocken vragen ze om een id-kaart. Niet om te kunnen checken of het account echt van jou is, want dat kunnen ze niet, maar mocht er later fraude gepleegd worden vanaf dat account, dan hebben ze in ieder geval de identiteit van de echte persoon achter het account en dat maakt opsporing aanzienlijk makkelijker.

Dat vind ik dan wel een redelijke redenatie. Maar dat is niet de reden die ze opgeven in de mails en ze zeggen ook nadrukkelijk dat de gegevens meteen na het verifiëren weer verwijderd zullen worden, dus dan lijkt het mij dat ze wettelijk niet meer in staat zijn om die gegevens dan alsnog te gebruiken, want dan hebben ze zich niet aan de afspraak gehouden en de gegevens niet voor hun oorspronkelijke doeleinden gebruikt, toch?

[DJMaze]

F_J_K schreef op vrijdag 12 juni 2020 @ 13:11:
Ik zou 'em opsturen met alleen BSN zwartgemaakt.

En de eventuele QR code. Scan die maar eens

[wodkabuikje]

Weer een topic zonder eind. Jouw conclusie is wel correct. Wil je het product graag kopen dan maak je gewoon een nieuw account aan.

De rest van de reacties zijn waarschijnlijk allemaal verontwaardigde reacties dat er gevoelige informatie wordt gevraagd en dat helemaal niet mag!

Dat zag/zie je zelf ook wel aankomen.

[Naboo]

Ik heb vandaag exact hetzelfde.
Na jaren wil ik wat spullen verkopen op eBay. Uren zitten stoeien omdat eBay erg omslachtig is geworden. Eindelijk die aanbieding er op kunnen zetten. Vijf minuten later; Bam! Overal uitgelogd, mailtjes van eBay met een hoop poeha.
Ik moest m'n wachtwoord resetten, dus weer ingelogd, veiling weg.
Ik bericht sturen naar eBay, krijg ik hetzelfde geneuzel. Wat meer aanvoelde alsof ik gescamd wordt. 🤣

Ze zouden bewijs hebben dat mijn account gehackt was. Dus ik heb hun om dat bewijs gevraagd.

Heb dat account ooit gebruikt voor 2 dingen te kopen. Daarna nooit meer naar omgekeken.

Ben er ook gelijk klaar mee 🤣