Overload aan privacyverzoeken dankzij AI

[ScuL]

Al 13 jaar ben ik gezamenlijk met een collega verantwoordelijk voor een vrijwilligersproject (gaming mod) dat nogal uit de hand is gelopen. Over de afgelopen jaren hebben we circa 2,5 miljoen gebruikers bij elkaar gesprokkeld en verzetten we in een maand bijna 400TB aan data.
Ons materiaal zit om diverse redenen achter een login, dus zonder account kun je niks.

Ik ben zelf met mijn 45 jaren opgegroeid met een internet waar je op websites registreerde en vervolgens je account vergat en er geen seconde minder over sliep. Ik kan me indenken dat mijn gebruikersnamen zeker op meer dan 500+ sites nog terug te vinden zijn.

Het lijkt zo te zijn dat de jongste generatie (geboren na 2000) een ontzettend verschillend beeld heeft van hoe internetsites werken en dat men accounts na het aanmaken ook weer wil opruimen.
Deze generatiekloof in combinatie het huidige obsessief gebruik van ChatGPT en andere AI tools lijdt bij ons tot een gigantische overload aan privacyverzoeken. Bij mij persoonlijk komt dit over als totale paranoia.

Sommige mensen eisen data in te zien, anderen willen bepaalde gegevens censureren maar andere laten, en er zijn ook diverse verzoeken tot volledige verwijdering. Vaak zijn dit ook mensen die aan accountabuse doen en om de een of andere reden gebanned zijn en dus GDPR misbruiken om weer een schone lei te krijgen.

Het grote probleem is dat het om een vrijwilligersproject gaat naast ons eigen werk en sociale leven. Gemiddeld gezien ontvangen we nu tussen de 40 en de 50 privacyverzoeken *per week* - dit is niet meer te doen en het kost zo veel tijd dat het project er nu echt onder begint te lijden omdat we geen tijd meer vrij hebben voor ontwikkeling.

Een ander project voor dezelfde game heeft hetzelfde probleem en stuurt GDPR verzoeken nu linea recta naar de prullenbak.

Ik heb eigenlijk 2 discussiepunten:
- wat denken de tweakers van deze verschillen tussen de generaties en is het gerechtvaardigd om zo obsessief te doen over een "wegwerpaccount" op een forum
- als verzoeken dusdanig veel tijd in beslag nemen dat een project er operationeel onder gaat lijden, kun je juridisch in de knoop komen als het gaat om een vrijwilligersproject en niet om een commercieel bedrijf?

[418O2]

Die regels zal je gewoon aan moeten voldoen toch? Ik zou tooling bouwen om het in te willigen. En daarbij zou ik zo weinig mogelijk persoonlijke data opslaan. Lijkt me niet van heel groot belang in deze context

[ Voor 38% gewijzigd door 418O2 op 01-11-2026 22:29 ]

[Grvy]

Fight AI with AI...

[CyBeRSPiN]

Tooltje bouwen met AI. Je zal je ook als vrijwilliger aan de wet moeten houden.
Waar ik wel een warm gevoel bij krijg is bedrijven die je na 2 jaar inactiviteit melden dat als je niks doet je account en al je data automatisch wordt verwijderd.

[ScuL]

418O2 schreef op zondag 1 november 2026 @ 22:27:
En daarbij zou ik zo weinig mogelijk persoonlijke data opslaan. Lijkt me niet van heel groot belang in deze context

De opgeslagen data is een username, een email adres en IP adres.
Tenzij mensen zelf ook hun profiel invullen en daar meer data achterlaten, maar dat kunnen ze zelf ook weer opschonen zonder ons

CyBeRSPiN schreef op zondag 1 november 2026 @ 22:37:
Waar ik wel een warm gevoel bij krijg is bedrijven die je na 2 jaar inactiviteit melden dat als je niks doet je account en al je data automatisch wordt verwijderd.

Ja dit doen wij dus ook.

[ Voor 41% gewijzigd door ScuL op 01-11-2026 22:39 ]

[Oon]

Belangrijk is wat een persoonsgegeven is en wat jouw rechten en plichten zijn. Alles dat terug herleidbaar is naar een persoon telt als persoonsgegeven, dus een unieke identifier of een e-mailaders. Als jij HWID bans gebruikt hoef je die niet te verwijderen, want die zijn niet herleidbaar.
Een hash opslaan van de gebruiker (bijv. emailadres, gebruikersnaam, IP-adres) in onomkeerbare en niet-reproduceerbare vorm mag ook, zo kun je bijv. prima bcrypt hashes opslaan van alle emailadressen die ooit gebanned zijn als je daarbij de standaard voor het niet hergebruiken van voorgedefinieerde salts gebruikt.
Die informatie is dan niet gebonden aan een account, niet herleidbaar naar een persoon, maar je kunt wél wanneer iemand een nieuw acount maakt checken of die gegevens bekend zijn in de database.

Verder ben je absoluut niet verplicht om mensen hun data aan te laten passen, alleen een verwijderverzoek of het opvragen van gegevens. Deze kun je allebei prima inbouwen in hun accountpagina zodat ze hun account helemaal kunnen verwijderen of een pakketje met al hun data kunnen downloaden met een druk op de knop zonder tussenkomst van een persoon.
Een verzoek om een stukje data te verwijderen of aan te passen maar de rest te laten staan valt niet onder AVG/GDPR, daar hoef je niks mee.