Brussel trekt de teugels aan bij drie grote pornosites

Beeld: Daniel Voyager, CC-BY

Pornosites Pornhub, XVideos en Stripchat moeten vanaf aankomende week veel beter controleren welke video’s er op de site staan en hoe oud gebruikers zijn. Dat meldde Nu.nl vorige week. Wederom de Digital Services Act (DSA) aan het werk. Er lopen hier twee (belangrijke) dingen door elkaar, dus let’s unpack. 

Allereerst over leeftijdsverificatie. De DSA bevat in artikel 28 een expliciete plicht om “passende en evenredige maatregelen [te nemen] om een hoog niveau van privacy, veiligheid en bescherming van minderjarigen binnen hun dienst te waarborgen”. Het niet tonen van seksueel expliciet materiaal aan minderjarigen valt binnen dat doel, en is dus iets waar je maatregelen voor moet nemen.

Even verderop – bij artikel 34 – staat iets vergelijkbaars. De dienstverleners moeten maatregelen zoeken om risico’s voor minderjarigen te mitigeren. Leeftijdsverificatie ligt wederom voor de hand, al blijft het al jaren bij min of meer hetzelfde lijstje. Een creditcardbetaling werkt aardig, al kan die worden uitgeleend. Getraind personeel een gesprek laten voeren om te horen of iemand 18+ is, veel geopperd maar oké laat maar het gegniffel achterin geeft aan dat dat bij deze toepassing niet gaat werken.

Hoe moet het dan wel? Geen idee, maar het leuke van de DSA is dat die er het probleem van de dienstverlener van maakt. Jij haalt de bakken met geld binnen in onze markt, dus ga jij maar bedenken hoe je dit effectiever aan gaat pakken.

Hetzelfde geldt over die controle op video’s. Dat is een bekend probleem, met name bij wat men “amateur” beelden noemt en ook daar moet de industrie met een oplossing gaan komen. De straf is in beide gevallen hetzelfde: beperking of sluiting van de dienst in de Europese Unie.

Arnoud

Wat kost een biertje als de prijs achter een QR code zit?

"Beer hyperlinked" by Thinkmobi is licensed under CC BY-NC 2.0

Een lezer vroeg me:

Dit weekend was ik bij een café dat geen prijzen vermeldt op het bord boven de bar met alle speciaalbieren en andere drank. Daarvoor moet je een QR code scannen die op tafel geplakt is. Je bestelt nog wel ouderwets bij het personeel, dus niet via een QR app. De biertjes waren goed maar wel erg duur. Had ik juridisch een punt kunnen maken van deze manieren van prijzen communiceren?
Oké, bierdrinken is nu ook al ict-recht. Maar goed, laten we eens kijken wat er geregeld is over de prijs bij een overeenkomst.

Voor veel mensen klinkt het verrassend, maar je kunt iets kopen zonder te weten dat het kost. Het is bij ‘gewone’ aankopen namelijk niet verplicht de prijs vooraf expliciet te zetten. Bij online verkoop is dat anders (art. 6:230m BW), daar is een overeenkomst niet rechtsgeldig gesloten zonder voorafgaande duidelijke vermelding van alle prijzen.

De wet (art. 7:4 BW) bepaalt voor de situatie van een niet-vermelde prijs het volgende:

Wanneer de koop is gesloten zonder dat de prijs is bepaald, is de koper een redelijke prijs verschuldigd; bij de bepaling van die prijs wordt rekening gehouden met de door de verkoper ten tijde van het sluiten van de overeenkomst gewoonlijk bedongen prijzen.
Hier staan twee dingen. Allereerst ben je in zo’n geval verplicht een “redelijke prijs” te betalen. Ten tweede is de prijslijst van de verkoper een belangrijke input bij bepalen of de prijs redelijk is.

Meestal komt de redenering neer op eerst kijken of de prijs op de prijslijst redelijk is. Zo ja, dan is dat de prijs. Zo nee, dan gaat de prijs naar een marktconforme prijs, zeg maar wat een biertje van die categorie gemiddeld kost in die stad.

Het maakt dus uiteindelijk niet uit of de prijs achter een QR code verstopt zit of op een prijslijst die je apart moet vragen bij de balie. Waar het om gaat, is of deze vooraf gemeld is – dan zit je eraan vast, hoe onredelijk ook – of dat je het pas achteraf kon ontdekken.

Een discussiepunt is nog wel óf de prijs gemeld is of niet, als op de tafel staat “scan de QR code voor de prijzen”. Het is immers niet verplicht om vooraf te melden wat de prijs is, mensen ergens heen wijzen waar ze deze kunnen zien is ‘gewoon’ een manier van de prijs melden. En anno 2024 is het denk ik wel redelijk te verwachten dat men QR codes kan scannen, of dat men aan de bel trekt “mijn telefoon is leeg, heb je een papieren prijslijst?”

Arnoud

Creatief mixen van AI output kan je auteursrecht op het resultaat geven

Photo by ROMAN ODINTSOV on Pexels

Elisa Shupe werd aanvankelijk afgewezen toen ze probeerde auteursrecht te verkrijgen op een boek dat ze met hulp van ChatGPT had geschreven, las ik bij Wired. Toch is het haar gelukt, zij het niet met de argumentatie die ze liever had gehad. Het lijkt wel de jurisprudentie te bestendigen tot nu toe.

Het artikel legt uit:

Het [logboek van Shupe] bevat een vergelijking naast elkaar van de onbewerkte machine-uitvoer en de definitieve versie van Shupe’s boek. Op zinsniveau paste ze vrijwel elke regel op de een of andere manier aan, van veranderingen in woordkeuze tot structuur. Een voorbeeld dat een personage in de roman beschrijft: ‘Mark keek naar haar, een complexe mix van bezorgdheid en ergernis duidelijk zichtbaar in zijn blik’ wordt ‘Mark bestudeerde haar, zijn blik weerspiegelde zowel zorgen als irritatie.’
Het US Copyright Office ziet dit als een vorm van ‘selectie, coördinatie en rangschikking van tekst gegenereerd door kunstmatige intelligentie’. Het idee van een creatieve selectie en bewerking van op zichzelf niet beschermd bronmateriaal is al lang aanvaard als een criterium voor auteursrecht. We kwamen dit in januari nog tegen:
In Nederland bestaat deze constructie ook. Denk aan het creatief oppoetsen van een publiek-domeinwerk: dat geeft je ook auteursrecht op het opgepoetste resultaat (maar natuurlijk niet op het bronmateriaal). Ik zie geen reden waarom dit anders zou moeten werken als je een AI-werk ‘oppoetst’.
Shupe had echter een ander argument ingebracht dat ze zelf sterker vond:
[Namelijk] om een ??belangrijker pad te openen naar auteursrechterkenning voor door AI gegenereerd materiaal. “Ik probeer auteursrechten te verkrijgen op het door AI ondersteunde en door AI gegenereerde materiaal onder een ADA-vrijstelling vanwege mijn vele handicaps”, schreef ze in haar oorspronkelijke auteursrechtaanvraag.
Ze is als 100 procent gehandicapt beoordeeld en heeft moeite met schrijven vanwege cognitieve stoornissen die verband houden met aandoeningen als een bipolaire stoornis, borderline-persoonlijkheidsstoornis en een misvorming van de hersenstam. Dan zie ik hoe het handig kan zijn als tools je een heel eind vooruit helpen.

Maar wat betekent het voor het auteursrecht op het resultaat? Stephen Hawking schreef bijvoorbeeld met een tool die losse woorden voorstelde, en iets dergelijks zit ook in veel telefoon-invoerapps: typ een woord en krijg een suggestie voor het volgende. Weinig mensen zullen zeggen dat de zin die je zo typt, een AI zin is. Het is mijn zin, het is gewoon logisch dat na ‘gewoon’ ‘logisch’ komt.

Als het systeem na één woord de hele zin afmaakt, of zelfs er een alinea van maakt, dan wordt dat gevoelsmatig een ander verhaal. Is dat nog een handige invulling van jouw keuze of zijn we dan al in de vrije ruimte van de tool beland?

De vergelijking die Shupe maakt, is ook een intrigerende: ze vergeleek “haar gebruik van OpenAI’s chatbot met een geamputeerde die een beenprothese gebruikt”. Oftewel: welk percentage van je lijf moet nog origineel-organisch zijn om nog ‘mens’ genoemd te worden? Daar is geen rechtszaak over gevoerd – en wat zou ook de insteek zijn, bij zo veel procent metaal bent u ruimbagage?

Arnoud

 

 

“Sociale media mogen mensen niet dwingen zich te laten volgen”

Photo by Tobias on Unsplash

Socialemediaplatforms zoals Facebook en Instagram mogen hun gebruikers niet dwingen zich online te laten volgen in ruil voor toegang. Dat las ik bij Nu.nl. Hierachter zit een advies van de verzamelde Europese AVG-toezichthouders over „toestemmings- of beloningsmodellen” (Consent or Pay klinkt nét iets lekkerder), dat vrij hard oordeelt dat toestemming eigenlijk nooit rechtsgeldig kan zijn als het alternatief is de knip te trekken.

Enige tijd geleden oordeelde het Hof van Justitie inzake Meta dat het mogelijk moet zijn om toestemming voor tracking in te tracken, sorry trekken, zonder dat je geheel uit de dienst werd gegooid. Er moet een alternatief komen, desnoods tegen een gepaste vergoeding, waar geen tracking in zit:

Thus, those users must be free to refuse individually, in the context of the contractual process, to give their consent to particular data processing operations not necessary for the performance of the contract, without being obliged to refrain entirely from using the service offered by the online social network operator, which means that those users are to be offered, if necessary for an appropriate fee, an equivalent alternative not accompanied by such data processing operations.

Dit vatte men in Californië op als “zet een betaalde versie er naast en de trackingversie is legaal”, vandaar dat je sinds november 9 euro kunt betalen voor een reclamevrije versie. Zoals ik toen schreef:
Het roept de fundamentele vraag op: hoe moet het dan wel? Als ze alleen de betaalde dienst hadden laten bestaan, was er denk ik weinig juridisch tegenin te brengen. Een netwerkdienst voor 10 euro per maand en zonder tracking, wat precies is daar mis mee. Maar het komt nu agressief over omdat we al heel lang die gratis versie hadden, en dus ons op kosten gejaagd voelen om die tracking te kunnen vermijden.
De EDPB gaat terug naar die uitspraak van het Hof en zit zwaar op het “equivalent alternative”. Het is té makkelijk om naar dat bedrag te grijpen en te roepen dat het equivalent is. Een gratis variant met ongepersonaliseerde reclame had ook prima gekund, bijvoorbeeld. Want persoonsgegevens worden nu eigenlijk op één lijn met geld gesteld, en dat is zeer zeker niet de bedoeling.

Het advies (dat dan wel zo heet maar zo dicht bij een bindend document komt als kan) staat voor meer dan de helft van de 42 pagina’s stil bij wat consent is en welke factoren daar aan kleven. Met name het “in vrijheid geven” in z’n eentje is een kwart van het document. Ik ben daar op zich wel blij mee, want er is nauwelijks écht gekeken naar die factoren. Neem nou het “detriment” verhaal: weigeren of intrekken mag geen nadeel opleveren, maar wat is dat dan?

Als ik terugga in waar die term “detriment” of “nadelig gevolg” vandaan kom, dan kom ik bijvoorbeeld bij WP 187 van wat nu de EPDB is. Hieruit haal ik dat iets nadelig is als het zeg maar bestraffend is, je afschrikt die optie te kiezen. Dit halen ze uit eerdere papers over consent bij medische zaken (bij weigering consent geen behandeling, WP 131) en bij het werk (WP 48, bij weigering geen promotie/nieuwe baan).
Helaas komt er geen fundamenteel criterium, maar wordt “als je elke dag op Facebook moet, dan is dat een vorm van nadeel” als waarheid geponeerd:
Data subjects may suffer detriment if it becomes impossible for them to use a service that is part of their daily lives and has a prominent role.
Let ook op de “may”, die met z’n vriendje “might” regelmatig terugkomt in dit stuk van de analyse. Alles kan – koffie kan, thee kan – maar is dit een theoretische zijsprong of gaat dit over 90% van de gevallen?

Afijn, de kern is dus dat grote sociale netwerken een sterke macht hebben en daarvan buitengesloten worden is op hetzelfde niveau als je baan kwijt raken. Ik snap wat men wil zeggen maar ik had denk ik een diepere analyse verwacht die dit rechtvaardigt dan “het is gewoon heel erg als ze je er niet op laten”.

De volgende stap zal zijn dat de toezichthouders aan Meta gaan vragen hoe deze denkt dat toestemming rechtsgeldig is verkregen in het licht van deze opinie. Op basis van dat antwoord kan men dan de verwerking door Facebook verbieden of een bindende aanwijzing geven dat er ook een gratis trackingvrije versie moet komen.

Arnoud

Er zit een backdoor in mijn NAS, mag ik mijn geld terug?

Bron: D-Link DNS-340L ShareCenter + 4-Bay Cloud Network Storage Enclosure Reviewed

Een lezer vroeg me:

Ik zit met het volgende. Ik heb dus een D-Link NAS waar een backdoor account in aanwezig is. Nu begrijp ik heel goed dat software en andere producten beveiligingslekken bevatten. Maar een backdoor account voeg je als fabrikant toch echt zelf toe. Kan ik een partij als D-Link (en genoeg anderen helaas) hier aansprakelijk voor houden? Het liefst wil ik gewoon mijn geld terug of een product zonder backdoor.
Hier werd inderdaad recent voor gewaarschuwd: “Het betreft een command injection-kwetsbaarheid en het gebruik van hardcoded credentials, of een ‘backdoor account’ zoals D-Link het noemt. Via de kwetsbaarheden kan een aanvaller zonder authenticatie willekeurige commando’s op het NAS-systeem uitvoeren, wat kan leiden tot toegang tot gevoelige informatie, het aanpassen van de systeemconfiguratie of een denial of service.”

De hardcoded credentials ware geen bewuste feature, maar een slordigheid: hierachter zit een typische Unix-constructie die alleen niet goed is geïmplementeerd. Maar uiteindelijk doet het er niet toe of het opzet, roekeloosheid, onoplettendheid of iets anders was. Die backdoor zit er, het product is daardoor niet veilig, wat kun je daarmee als consument?

Het simpele antwoord is natuurlijk: je mag van een product verwachten dat dit aan de redelijke verwachtingen voldoet. Dat wil niet zeggen dat het altijd 100% foutloos en backdoorloos is, je moet kijken hoe het product wordt gemarket, hoe eenvoudig de fout te exploiteren is en in hoeverre D-Link dit had moeten voorzien. Niet elke fout is een conformiteitsgebrek.

Toch denk ik dat je bij een enorme impact zoals hier je wel een goed verhaal hebt dat het product niet voldoet aan de redelijke verwachting. Zó makkelijk binnendringen, dat moet niet kunnen bij zo’n belangrijk product. Maar dit wordt al snel een moeilijke technische discussie, waar je niet makkelijk uitkomt als de wederpartij betaald wordt om het met je oneens te zijn.

In de nabije toekomst zullen we met wetten als de Cyber Resilience Act dit een stuk makkelijker aan kunnen pakken. Die stellen updates en een kwalitatief proces van security verplicht. Er is dan weinig nuance meer als er dan toch een securityfout doorheen glipt.

Als laatste blijf je natuurlijk met het aloude probleem in het consumentenrecht dat de winkel (die jij moet aanspreken en die wettelijk verplicht is jou je geld terug te geven, nu herstel geen optie meer is omdat de NASsen end-of-life zijn) simpelweg weigert dat te doen met meestal een excuus zoals “er zit maar 2 jaar garantie op” of “het lampje gaat aan dus hij is niet stuk”. En daarna komt security jou eruit zetten want stemverheffing triggert Protocol Lastige Klant. Het kan dus een hele toer zijn om je recht te halen als consument, en de vraag is altijd of dat het waard is gezien de prijs van het ding.

Arnoud

‘Nederlanders mogen gokschulden terugvorderen’

Photo by Aidan Howe on Unsplash

De rechtbank Overijssel heeft besloten dat Unibet een Nederlander zijn gokschulden van ongeveer 8.600 euro moet terugbetalen. Dat meldde Emerce vorige week. Het vonnis zelf is niet direct te vinden: er is alleen een persbericht van de advocaat van de gelukkige gokker. Het lijkt dus een tikje prematuur om te stellen dat iedereen nu zijn geld terug kan krijgen van een illegale goksite, maar er zit meer achter.

De betrokken advocaat doet dit vaker, en met succes. Alle zaken komen min of meer op hetzelfde neer: een Nederlandse consument ging een kansspelovereenkomst aan met een partij die in Nederland geen vergunning heeft. Naar Nederlands recht is zo’n overeenkomst dan nietig/vernietigbaar (strijd met openbare orde, 3:40 BW). Het geld is dan betaald zonder rechtsgrond en moet dan terug.

In al die zaken (lees deze of deze als voorbeeld) zie je dat rechters zich actief sterk maken voor de consument. Het is altijd duidelijk zat dat die sites zich (ook) richten op Nederland, de forumkeuzebedingen gaan linea recta de prullenbank in en ik zie zelfs “litigation bullying” als verwijst naar de goksites als die al te veel processtappen nemen.

De meeste vonnissen zijn tussenvonnissen om punten zoals bevoegdheid of gebondenheid aan Nederland uit te maken. Er zijn ook een paar uitspraken die wel eindvonnis zijn, zoals deze met als terug te betalen bedrag € 128.415,76, dus de nettoschuld die de consument nog had als je zijn winsten van de inleg afhaalt. In deze zaak ging het om € 93.210,71 en dat zijn forse bedragen.

En ja, dit is te verhalen: het casino zit op Curaçao, dat is gewoon deel van hetzelfde Koninkrijk als Nederland. Ook bij een casino in zeg Malta (waar er veel online gevestigd zijn) is dat mogelijk, vanwege Europese regels over tenuitvoerlegging. De enige vraag is of de deurwaarder een bankrekening kunt vinden waar het geld op staat.

Arnoud

 

The Annotated AI Act komt eraan

113 artikelen, 13 bijlagen, 180 overwegingen, verwijzingen naar 27 andere wetten: de AI Act is het meest complexe stuk wetgeving dat ik ooit heb gezien. Mijn nieuwe boek “The Annotated AI Act” verheldert en analyseert de wet in gewone taal. Je kunt nu al voorintekenen!

Op hoofdlijnen is de AI Act vast al bekend. Een risicogebaseerde regulering van AI systemen, met aparte regels voor general-purpose AI en een markeerplicht voor synthetische content. Maar de risicobenadering werkt nét even anders dan bijvoorbeeld de AVG; het gekozen model is dat van productveiligheid en conformeren aan standaarden (CE keurmerk).

Met name in de laatste maanden van 2023 is er veel gebeurd met de tekst. Er moest en zou een regulering van GPAI in komen, maar dat past niet echt bij die productveiligheidsbenadering, en de auteursrechtlobby had zich ook gemeld ondertussen. Dit leidde tot een paar marathonsessies in december, waar uiteindelijk een politiek akkoord uit kwam dat in de maanden daarna uitgewerkt werd.

(Ik ben gaan schrijven toen dat akkoord er was, en moest uiteraard alles omnummeren toen de definitieve tekst werd gedropt want toen werden artikel 29a, overweging 80z+1, het lege artikel 19 en de twee artikelen 54 en nog wat van die missers aangepast.)

De haast heeft helaas een aantal dingen laten we zeggen iets minder optimaal gestructureerd. Het is dus flink zoeken naar het juiste artikel, of de combinatie met andere artikelen. Dat is waar ik dit boek voor geschreven heb: kruisverwijzingen, contrasten en literatuur (100+ referenties) voor meer achtergrond of kritische beschouwing.

Het boek verschijnt in mei wanneer de AI Act gepubliceerd is. Maar je kunt nu al voorintekenen:

Bestel The Annotated AI Act nu!

Arnoud

Ik blijf erbij, het is fout om iets computervredebreuk te noemen als je er normaal wél mag zijn

Photo by Mohamed_hassan on Pixabay

Een 44-jarige man heeft een lange tijd meerdere keren ingelogd op de systemen van zijn werkgever, terwijl hij daartoe niet bevoegd (meer) was. Dat las ik in een recent vonnis over een onderwerp dat me steeds meer ergert: computervredebreuk roepen terwijl iemand er wel mág zijn alleen niet om die reden. Ik blijf erbij dat dit fout is. (Oh en Outlook is wel een geautomatiseerd werk.)

Even wat achtergrond uit het vonnis:

Verdachte is op 1 juli 2011 in dienst getreden bij het bedrijf [bedrijf benadeelde] B.V. Hij verrichtte werkzaamheden als financieel en juridisch adviseur. Binnen deze organisatie was hij tevens verantwoordelijk voor de ICT-gerelateerde aspecten.
In 2015 werd hij ziek, waarna in juni 2018 de arbeidsovereenkomst werd ontbonden (met bekrachtiging in 2019). Dat ging kennelijk niet geheel vrijwillig, getuige wat ik dan lees:
Verdachte heeft op zitting verklaard dat hij (ook) in de tenlastegelegde periode van 14 mei 2017 tot en met 29 juni 2018 meerdere malen met zijn eigen inloggegevens en met de inloggegevens van de directeur/eigenaar van het bedrijf, [benadeelde] , heeft ingelogd via een webbrowser op de e-mailaccounts van de web-e-maildienst van [bedrijf benadeelde] B.V .. Hij heeft daarbij meerdere keren schermafbeeldingen van e-mails gemaakt. Hij wilde zich verweren in een civiele zaak, waarin hij op grond van artikel 21 van het Wetboek van Burgerlijke Rechtsvordering verplicht was de waarheid te vertellen. Daarvoor moest hij de waarheid achterhalen, aldus verdachte. Hij vond het niet chique, maar ook niet strafbaar wat hij deed.
In die tijd bleek zijn account nog gewoon te werken, inclusief de speciale privileges die hij had vanwege die ICT-taken die hij had. Maar omdat hij ziek was, en het toch ook moeilijk “je werk” genoemd kan worden om bewijs te screenshotten voor een arbeidsgeschil, vindt de rechter dit een vorm van binnendringen met valse sleutel. 

Dit is de discussie die we vaker hebben gehad: je hebt op zich legaal de sleutel/wachtwoord gekregen om ergens in te mogen loggen en dingen te doen. Je doet die dingen, maar met een andere intentie of doel dan waar de verstrekker ze voor gaf. Ik snap dat dat niet mag, en zou dit ook zeker “fout op het werk” of “plichtsverzuim” of “slecht werknemerschap” noemen. Maar computervredebreuk, een ernstig misdrijf waar 4 jaar cel op staat?

Ik blijf hier moeite mee houden. Als een werknemer tegen de instructie in met zijn eigen sleutel ’s avonds naar kantoor gaat en papieren dossiers kopieert, noemen we dat dan inbraak? Voor mij is dat evident onlogisch en blijkt hier weer het “cyber is zo eng” gevoel dat ik helaas nog wel eens bij juristen tegenkom.

De verdediging had nog zeer actueel dat HR-arrest aangedragen, waarin men bepaalde dat “binnendringen in een website” niet strafbaar is omdat een website geen computersysteem is. De rechter schuift dat makkelijk terzijde, want in de tenlastelegging staat

computervredebreuk heeft gepleegd door in te loggen in de web e-mailserver van [bedrijf benadeelde] B.V .;
Dat woordje ‘server’ leest de rechtbank als het fysieke ding waar alles op gebeurt. Door dus in te loggen op de Outlook webinterface, heb je ingebroken op de hardware. En die hardware was (kennelijk, volgens het dossier) eigendom van het bedrijf zodat de discussie over “de website van Wim ten Brink, althans de servers toebehorend aan Pauperhosting BV althans de servers behorende bij Cloudflare Inc” niet relevant is.

Arnoud

 

 

Kan de bank je verplichten je bitcoins te verkopen op straffe van verlies bankrekening?

Photo by RDNE Stock project on Pexels

Kan de bank je verplichten om afstand te doen van je bitcoins? Die vraag kwam ik tegen op de blog van het AMLC. Het ligt iets juridischer: schiet een bank tekort in haar zorgplicht door een klant mede te delen dat zij de bankrelatie zou beëindigen als deze haar bitcoins niet zou verkopen. Voor iedereen die naar de “Sell”-knop grijpt: het antwoord is negatief.

Het AMLC legt uit:

Het gaat om een bedrijf (Decos, AE) dat zich richt op de ontwikkeling van nieuwe technologie, waaronder blockchain. Sinds 2013 kocht en verkocht het bedrijf zo nu en dan bitcoins. Het bedrijf gebruikte haar posities in bitcoin vooral als reserve om liquiditeit aan te vullen. Eens per jaar werden delen verkocht en in het jaar daarop werden bitcoins aangekocht.
De Rabobank deed op zeker moment onderzoek naar deze klant van haar, en ontdekte “dat de onderneming middels het aan- en verkopen van Bitcoins, alsmede het minen van virtuele valuta, niet voldoet aan het beleid Rabobank virtuele valuta”. Ophouden daarmee dus, of je gaat eruit als klant. Voor een bedrijf een kleine ramp natuurlijk.

Wat was dan de noncompliance, of iets algemener welk beleid heeft de Rabobank?

“Het CDD beleid is uitsluitend voor intern gebruik, deze kunnen we helaas niet delen. Dit betekent dat wij ook op onze website geen informatie hebben over ons beleid.”
Een bank heeft volgens de wet een zorgplicht, en mag een bancaire relatie daarom niet zonder meer eenzijdig opzeggen op grond van het beleid en/of de eigen algemene voorwaarden. Daar staat tegenover dat een bank ook bepaalde regels moet navolgen, zoals de antiwitwasregels uit de Wwft.

Levert handel in bitcoins een risico rond die regels om? Niet direct:

Dat Rabobank strikt beleid hanteert ten aanzien van (de handel) in virtuele valuta door ondernemingen is gelet op de door Rabobank genoemde risico’s niet onbegrijpelijk. Het staat Rabobank in beginsel vrij om dit beleid te voeren. Ook wanneer dit beleid betekent dat zakelijke klanten geen virtuele valuta via Rabobank kunnen verhandelen of aanhouden. De stelling van Rabobank dat de Wwft haar ertoe verplicht dit beleid te voeren, berust echter op een onjuiste interpretatie van de door Rabobank aangehaalde bepalingen uit deze wet.
De wet eist immers dat je onderzoek doet bij verdachte transacties, niet dat je de klant eruit gooit als het verdacht riekt.

Dan blijft over de contractsvrijheid: mag Rabobank als private partij ervoor kiezen om strenger beleid te maken dan de wet van haar vergt? Ja, aldus het Gerechtshof. Die contractsvrijheid is er, zolang je er maar netjes mee omgaat. Wederom die zorgplicht. En daar gaat het hier op mis:

Op grond van de bancaire zorgplicht is Rabobank verplicht haar klanten te informeren over haar beleid op het moment dat zij daar om vragen.
Je moet als zakelijke klant bij een bank weten dat er vast regels zullen zijn over virtuele valuta, maar je hoeft echt niet te weten dat een bank ze wel eens zou kunnen verbieden. Als dát het beleid is, dan moet dat expliciet uitgedragen worden zodat je je keuze voor een bank daarop kunt afstemmen.

De volgende stap is dat je de toepassing van het beleid motiveert. Oftewel: welke risico’s zien we hier. Enkel zeggen “er kúnnen risico’s zijn dus het mag never nooit niet” is niet genoeg:

Rabobank heeft echter niet aangevoerd dat zich verhoogde risico’s voordeden bij Decos. Rabobank heeft daarmee haar aanzegging in feite alleen gebaseerd op (categoriale) bezwaren aangaande virtuele valuta. Ten aanzien van de aan- en verkoop van bitcoins door Decos heeft Rabobank op geen enkel moment duidelijk gemaakt op basis waarvan het risico zodanig hoog werd geacht dat er van Decos mocht worden geëist dat zij haar volledige portefeuille binnen drie maanden zou verkopen.
Als laatste is die periode van drie maanden ook nog eens onredelijk kort.
Gezien de langlopende bancaire relatie, het grote belang dat Decos had bij de voortzetting daarvan en het gegeven dat de mogelijkheid van overstappen naar een andere bank op zijn minst onzeker was en ook meer tijd in beslag zou nemen dan drie maanden, had Rabobank aan haar eisen in elk geval een redelijke(re) termijn moeten verbinden.
Alles bij elkaar had de bank dus onrechtmatig gehandeld door deze verplichting af te dwingen. Alleen, wat is de schade? Het bedrijf hanteerde de bitcoins als een soort reservepotje voor als de gewone geldstromen wat krapper werden. Het is dan logisch dat ze normaliter in ieder geval een deel van de bitcoins zouden hebben behouden. Maar welk deel, en of dingen als transactiekosten meewegen, dat moet in een aparte procedure worden bepaald.

Ondertussen lijk ik beleid te ontwaren op de Rabobank-site.

Arnoud

Hostingbedrijf Leaseweb weigert openheid te geven over cyberaanval

Photo by Masaaki Komori on Unsplash

Hostingbedrijf Leaseweb weigert na een cyberaanval openheid van zaken te geven aan de Autoriteit Persoonsgegevens, las ik bij NRC. Dit als vervolg op een datalekmelding augustus vorigjaar, Het Nederlandse Leaseweb deed eind augustus melding van een datalek bij de AP, als gevolg van een cyberaanval. Dat moet, en je moet dan ook openheid geven van de wet. Dus wat is hier aan de hand?

De zaak kwam aan het licht door een vonnis waarin de rechtbank Midden-Nederland de toezichthouder terugfluit: die had een onderzoeksrapport niet bij de externe deskundige moeten vorderen maar bij Leaseweb zelf. Dat is een beetje een zijsprong, dus laten we even terug naar de basis.

Eind augustus meldde Leaseweb bij een aantal klanten geraakt te zijn door een cyberaanval. Zoals Techzine destijds meldde:

Een cyberaanval bij het Nederlandse Leaseweb veroorzaakte een storing in de infrastructuur van het bedrijf. Slechts enkele klanten die gebruikmaken van de cloudhosting-oplossingen van het bedrijf, konden daar last van ondervinden. Om de gevolgen van de aanval zo klein mogelijk te houden, haalde Leaseweb vervolgens kritieke infrastructuur offline.
Voor het daarop volgende onderzoek werkte men “nauw samen met een gerespecteerd cyberbeveiligings- en forensisch bedrijf”. En hoewel er naar eigen zeggen “geen ongeoorloofde activiteiten” waren aangetroffen, deed men toch een melding van een datalek. Bij zo’n melding moet je ook opnemen wat je gaat doen om het probleem op te lossen en eventuele nadelige gevolgen te beperken. Dat was dus onder meer dat onderzoek door cybersecuritybedrijf Northwave.

De AP is als toezichthouder bevoegd om “alle voor de uitvoering van haar taken vereiste informatie” op te vorderen (art. 58 AVG en 5:16 Awb). Onder die bevoegdheid eiste men het volledige rapport, omdat Leaseweb dit niet vrijwillig wilde overleggen. In reactie stuurde Leaseweb nog een bijlage, maar meende toen alles te hebben gestuurd. De AP vermoedde van niet, en dan krijg je dit:

Bij brief van 2 november 2023 stuurt de AP de hostingprovider een rappel en deelt daarin mee dat als de hostingprovider blijft weigeren de gevorderde stukken te verstrekken er rekening mee gehouden dient te worden dat medewerking zal worden afgedwongen met een last onder dwangsom en/of een bezoek van toezichthouders van de AP aan het hoofdkantoor van de hostingprovider. Verder wordt meegedeeld dat het weigeren medewerking te verlenen een strafbare gedraging is waarvoor op zichzelf een boete kan worden opgelegd. De hostingprovider deelt hierop mee dat de brief van 10 oktober 2023 het volledige onderzoeksrapport en executive summary bevat en dat zij met het verstrekken hiervan aan haar medewerkingsverplichting heeft voldaan.
“U heeft niet alles gestuurd.” “Welles!” “Nietes, nu sturen of dwangsom en boete.” “Welles!” En wat moet je dan?

De gedachte van de AP was om dan naar Northwave te gaan. Als die dan meer overleggen dan Leaseweb, dan heb je allereerst dus het complete rapport en ten tweede het bewijs dat Leaseweb te weinig had overlegd.

In principe kan dat: art. 5:20 Awb stelt dat

Een ieder is verplicht aan een toezichthouder binnen de door hem gestelde redelijke termijn alle medewerking te verlenen die deze redelijkerwijs kan vorderen bij de uitoefening van zijn bevoegdheden.
“Iedereen” en “alles”, dus niet “alleen wie mogelijk een wet schendt” en “datgene wat ze zelf relevant vinden”. Dus in theorie kan de AP inderdaad bij een ingeschakeld expertbureau alle stukken vorderen die bij zo’n rapport horen. Maar er zit wel een redelijkerwijstoets, en dat is waar het hier op strandde:
Zo lang niet vaststaat dat de hostingprovider bij een opgelegde last onder dwangsom niet wil meewerken aan de inlichtingenverplichting die zij heeft, vindt de voorzieningenrechter het voor de vervulling van de taak van de AP redelijkerwijs niet noodzakelijk om inlichtingen bij verzoekster te vorderen. Van belang hierbij is dat de AP weet waar het datalek heeft plaatsgevonden en op grond van de mededelingen van de hostingprovider weet heeft van de aanwezigheid van een onderzoeksrapport. De AP staat een ander minder ingrijpend middel ten aanzien van verzoekster ter beschikking, zodat het subsidiariteitsbeginsel zich thans ertegen verzet dat de AP zich met een inlichtingenvordering en een last onder dwangsom wendt tot verzoekster in plaats van tot de hostingprovider.
De AP had dus eerst de dwangsom moeten opleggen en dan kijken of Leaseweb toch met meer informatie kwam. Pas als daar niets was uitgekomen én de geur van informatie achterhouden was blijven bestaan, dan had men zich tot andere partijen mogen wenden.

Wat ik een beetje mis in het verhaal is waaruit de AP concludeerde dat er informatie werd achtergehouden. Is dat het enkele feit dat er een brief van één kantje (met appendix) werd overlegd in plaats van wat traditioneel een “lijvig rapport” heet? De in NRC geciteerde woordvoerder vind ik niet sterk klinken:

„Het is te prijzen dat Leaseweb een melding heeft gedaan in augustus”, vervolgt de woordvoerder. „Maar na zo’n melding vragen we wel eens meer informatie op. Als we dat dan bij herhaling doen, maar geen informatie krijgen, moet een bedrijf niet gek opkijken dat we denken dat er informatie achtergehouden wordt. Het kan zijn dat er iets verborgen wordt, maar dat hoeft natuurlijk niet. Het maakt ons alleen maar nieuwsgieriger.”
Arnoud