Helder artikel, ik haal hier uit dat de opname dus de daadwerkelijke bekrachtiging van de overeenkomst moet bevatten.

Kan je me misschien vertellen hoe het zit met manipulatie van een opname? Wordt daar aan gedacht of rekening mee gehouden?
En kan je me iets meer vertellen over de rechtsgeldigheid van screenshots? Stel dat iemand iets belastends schrijft, ik maak een screenshot en later haalt hij de tekst weer weg. Is mijn screenshot dat rechtsgeldig? (photoshoppen kan immers ook)

Gratis Tip: laptop mee de zaal in met daarin de cd/dvd.

Variant op het thema eerder deze week de zaak KPN/UPC (448158 / KG ZA 10-56 P/MV):
“Productie 8 van KPN betreft een dvd met daarop twee televisiecommercials van UPC. Omdat het niet mogelijk bleek deze dvd op de rechtbank af te spelen, heeft mr. Rethmeier op 21 maart 2010 op verzoek van de griffier een e-mail gezonden met een link naar waar de desbetreffende commercials op het internet zijn te vinden.”

Er moet denk ik een uitzondering in die wet komen voor de opt-out cookies van de wet zelf. ;-P

Ik sta sympathiek tegenover de doelstelling van deze toevoeging, maar heb bezwaren tegen de consequenties daarvan voor de bewijspositie van zowel consumenten als bedrijven. Indien een overeenkomst mondeling wordt opgezegd, ontbreekt namelijk voor zowel de consument als de ondernemer een schriftelijk bewijs van de opzegging. Het kabinet hecht er waarde aan dat bij overeenkomsten die telefonisch tot stand zijn gekomen de mogelijkheid blijft bestaan dat aanbieders schriftelijke opzegging verplicht kunnen stellen. Het kabinet verzoekt de indiener daarom de door hem voorgestelde regeling op dit punt te heroverwegen.

Van de totstandkoming van de overeenkomst is toch ook geen schriftelijk bewijs? Vreemd dat de staatssecretaris daar minder zwaar aan tilt. De bewijsproblemen zijn precies hetzelfde. Een consument kan het gesprek waarbij hij de overeenkomst opzegt immers ook opnemen. Het zou vreemd zijn als een leverancier voicelogs van consumenten niet als bewijs accepteert maar zelf wel voicelogs gebruikt om te bewijzen dat er een overeenkomst is gesloten.

Zodra een klant bij ons zijn gesprek heeft beëindigd, berekent Nemop een MD5-checksum van het bestand met de gespreksopname.

Een verandering in het opgenomen bestand levert, als er dan een nieuwe MD5-checksum wordt gemaakt, een volledig andere MD5-checksum op. Aan de hand van een MD5 checksum kan daarom worden gecontroleerd of het originele bestand niet is gewijzigd.

Nemop bewaart een MD5-checksum van ieder door de klant opgenomen gesprek. De MD5-checksum vindt hij terug op onze website na inloggen.

Mocht een klant ooit in een situatie terechtkomen waarin hij het opgenomen gesprek als bewijsmateriaal wilt opvoeren, en de tegenpartij wil een bewijs dat de originele opname niet is gewijzigd, dan kun de klant met de MD5-checksum aantonen dat de door hem ingebrachte opname authentiek is.

Vulnerability of software integrity and code signing applications to chosen-prefix collisions for MD5

MD5 considered harmful today

Het is met MD5 nog steeds niet mogelijk om - uitgaand van een BESTAAND bestand met BESTAANDE checksum - een ander bestand te maken met DEZELFDE checksum.

Wij bewaren de originele checksum en leggen die op verzoek over. Is er gerommeld met het bestand wat de klant heeft, dan is dat dus aan te tonen.

Het is per definitie voor iedere fingerafdruk techniek zo, dat meerdere bestanden dezelfde fingerafdruk geven. Dat neemt niet weg dat als je een techniek gebruik gebruikt die, los van het voorstaande, ernstige gebreken heeft, je in een rechtzaak erg zwak staat. MD5 is leuk voor jezelf maar zeker geen bewijsmateriaal. Zeker niet als er betere technieken beschikbaar zijn, zoals SHS-1. Je kunt natuurlijk ook meerdere technieken naast elkaar gebruiken.

> Dat kan dan natuurlijk alleen als je aan de klant en aan de tegenpartij meteen bij het vastleggen al die
> hash ter beschikking stelt. Als jullie ‘m er eenzijdig bij bewaren zegt het achteraf helemaal niets.

Helemaal niets is veel te sterk uitgedrukt. De tegenpartij moet dan namelijk toch OOK nog bewijzen of aannemelijk maken dat Nemop met haar klant onder één hoedje speelt. En dat zal niet gemakkelijk zijn. Want Nemop kijkt wel uit. Ze kunnen de zaak wel opdoeken als zoiets gebeurt.

@Alex:

> Dat neemt niet weg dat als je een techniek gebruik gebruikt die, los van het voorstaande, ernstige
> gebreken heeft, je in een rechtzaak erg zwak staat. MD5 is leuk voor jezelf maar zeker geen
> bewijsmateriaal.

Het woord ‘zeker’ is hier erg sterk gekozen. Als je sloten op je voordeur hebt, sta je niet ‘erg zwak’ alleen vanwege het naakte feit dat er betere sloten te koop zijn. In alle gevallen is het toch aan de tegenpartij om te bewijzen of aannemelijk te maken dat er met de opname geknoeid is.

Je zult hard moeten kunnen bewijzen dat het document meteen na de opname die hash al had. Als Nemop daar niet over nagedacht heeft dan kunnen ze de zaak inderdaad wel opdoeken.

(Dat zou overigens wel een beetje dom zijn voor een bedrijf wat dit als core business heeft. Maar er gebeuren gekkere dingen…

Als ik de site van Nemop goed begrijp, dan bel je eerst naar hen en vanaf hun systemen hop je dan door naar de eigenlijke ontvanger. Nemop zit dus inline en kan zo het gesprek opnemen. Die aanval is dan niet echt mogelijk, tenzij je het gesprek dat zij opnemen kunt voorzien van voldoende padding data om de MD5 uit te laten komen op wat jij wilt. Ik vraag me af of dat werkt, de opnamekwaliteit van telefonie is niet groots en de kans dat je exact de gewenste data in het gesprek krijgt lijkt me niet zo groot.

Jij daagt iemand voor de rechter, met een opname van Nemop als bewijs. Jouw tegenstander zegt: “met die opname is geknoeid”. Dan is het aan hem om de rechter daarvan te overtuigen.

Want Nemop geeft inderdaad een verklaring af, dat de hash de opgegeven waarde had ten tijde van de opname. En omdat Nemop geen partij is in jullie conflict, zal die verklaring voor de rechter voldoende zijn om de opname als bewijs te aanvaarden.

De hash hoeft dus niet meteen na de opname aan de tegenpartij ter beschikking te worden gesteld.

Weer een bedrijvenregister dat het deksel op de neus krijgt bij de rechter. VKM, exploitant van www.bedrijven2day.nl, had telefonisch contact gezocht met ene meneer Q en gemeld “Ik wil nog even een geluidsopname maken van uw opdracht tot vermeldi…

[Goede morgen met x met y]
Goede morgen met z ondernemersblabla
[Goedemorgen[
Goedemorgen, ik ben opzoek naar mevr. y
[ja dat ben ik]
Ah Mevr. Y ik ben van de afdeling eindcontrole ike bel nog even naar aanleiding van ons telefonisch onderhoud die u als x BV als bevoegd persoon heeft gehad met een collega van mij, en zoals M heeft aangekondigd bel ik nog even voor om de specificaties door te nemen, het betreft hier een vermelding van x in een ondernemersblabla met de looptijd van 1 jaar en mevr. van y ik zie tevens dat jullie geen gebruik maken van de optie om het hierna automatisch te verlengen [nee kopt]
Ja, jullie zijn gevestigd aan de abc 1 met postcode 1234 dubbel a te z en we gaan die ook netjes per post jullie kant op bevestigen [ja dit is prima] en jullie ontvangen zo als gebruikelijk nog binnen twee weken de noot van 400 euro netjes aan u bevestigt en afgewikkeld [ja dat heb ik al net] dat klopt met mijn collega al besproken er rest mij nu u te bedanken voor uw tijd en namens ons nog een fijne dag nog [u het zelfde]ja hoor dag [ja oke hoor dag]

mevr. y was niet officieel bevoegd.(stagère)
er is geen bevestiging verzonden
nadat de rekening binnen kwam hebben we bezwaar gemaakt (maar natuurlijk niet binnen 7 dagen)
Incasso wil nu gaan dagvaarden
Hebben ze een zaak?

Allereerst datum van communicatie:

De voicelog betreft een gesprek van 6 juni (zie de aangetekende brief)
De rekening betreft een datum van 7 juni
Een kopie van opdrachtbevestiging na het telefonisch onderhoud(voicelog)heeft dagtekening 30 mei. (deze is nooit bij ons per post aangekomen, deze hebben we na aanleiding van de rekening opgevraagd)

Deze kopie is verzonden aan Mevr. xx, dit moet zijn xxx
Wat hier opvalt, is dat de data van het gesprek en de bevestiging met datum 30 mei in conflict zijn.
Als yy kan aantonen dat de voicelog een datum betreft (voor 30 mei 2011, die niet gemanipuleerd kan worden) is dit tijdspad duidelijk.
Kan yy dat niet, dan lijkt het hier om een frauduleuze handeling te gaan.

Het opnemen is op zichzelf eigenlijk altijd toegestaan als je gesprekspartner bent. Je hoeft het dan niet te melden.
Echter, als je structureel gesprekken opneemt en deze uitwerkt en archiveert in het kader van bedrijfsvoering dan valt dit onder het kopje “verwerking van persoonsgegevens”.
Een geluidsopname die wordt gearchiveerd in combinatie met identificerende gegevens van een klant, is namelijk een persoonsgegeven. Door ze structureel op te slaan, maak je een bestand met persoonsgegevens in de zin van de Wet bescherming persoonsgegevens. En dan is het inderdaad verplicht de betrokken wederpartij te melden dat je dit doet, en mensen inzagerecht geven in wat er over hen opgeslagen wordt.
De beller van yy heeft dit niet gedaan. Hij refereert wel naar een eerste gesprek maar daar zijn geen gegevens van opgeslagen.
Waarom heeft de beller niet gezegd: dit gesprek nemen we op ivm de opdrachtbevestiging of neemt men het eerste gesprek niet op. (als je dat vermeld mag dat)
Wat is de datum van het eerste gesprek?
B.
Tijdens het gesprek wordt ook geen datum vermeld bv. Het is vandaag datum…. Ook word niet vermeld dat kan worden afgezien van de opdracht als xx dat binnen 7 dagen aangeeft.
C.
Door als expliciet te eisen “ja ik ben akkoord” voorkom je een discussie.
De ja antwoorden volgen na een stelling maar de vragensteller wacht niet op het antwoord maar spreek door, wat ook niet erg netjes is.

ook zal ik nog even vermelden:

De rechter verwerpt het beroep op de voicelog omdat deze hooguit kan bewijzen dat er gesproken is over een eerdere afspraak, maar niet dat die afspraak is gemaakt. Het gaat om telefonische acquisitie, een techniek waarvan bekend is dat er nogal wat malafide bedrijven gebruik van maken. Een bedrijf dat via dat kanaal te werk gaat, moet dus meer doen om te bewijzen dat zij wel te goeder trouw heeft gehandeld en dat er echt een overeenkomst is. Het risico van misverstanden of onduidelijkheden komt dan ook voor rekening van het bedrijf.

ik stuur het morgen op en bericht het antwoord wel