Een AI scribe is geen scriba maar een medisch adviseur (en daarom klasse IIa MDR)

Geplaatst op in Innovatie, nog geen reacties
Photo by Nick Fewings on Unsplash

Een lastig debat in de AI-Act wereld: is een AI scribe hoogrisico? Heel kort door de bocht is dat tekst-naar-spraaksoftware die een consult transcribeert en er samenvattingen met actiepunten van maakt. De Zweedse toezichthouder heeft recent bepaald dat dit wél hoogrisico is, terwijl eerder vaak werd verdedigd van niet.

De classificatie is een samenloop met de MDR, de Medical Device Regulation die strikte regels voor medische hulpmiddelen stelt. Die kent vier klassen, om onnavolgbare redenen I, IIa, IIb en III geheten. Producten in klasse IIa en hoger mogen pas op de markt na externe goedkeuring, een klasse I product heeft dat niet nodig.

De AI verordening verklaart producten met AI hoogrisico wanneer ze onder hun ‘eigen’ regulering een externe goedkeuring nodig hebben. Bij medische producten dus als ze MDR IIa of hoger zijn, waardoor medtech-aanbieders héél graag in klasse I willen blijven.

Een populair medisch AI-hulpmiddel is dus die scribe, omdat je als arts veel conversatie hebt en geen tijd krijgt voor het uitwerken daarvan. Tekst-naar-spraakomzetting scheelt, maar dan krijg je een lap tekst van het gesprek. Wat je eigenlijk wilt, zijn klinische notities, patiëntbrieven of behandelplannen op basis van het gesprek. De belofte van scribe-aanbieders is dat ze dát voor je kunnen doen.

De meeste classificatieregels uit de MDR gaan over “echte” hulpmiddelen, van steriele naalden tot chirurgische robots zeg maar. Voor software is er één relevante regel, bijlage VIII regel nummer 11:

Software voor het verstrekken van informatie die gebruikt wordt bij het nemen van beslissingen voor diagnostische of therapeutische doeleinden behoort tot klasse IIa, tenzij [leven en dood of fysiologisch monitoren, dan IIb of III] Alle overige software behoort tot klasse I.
De argumentatie ligt voor de hand: scribe software is “overig” want niet betrokken bij de besluitvorming. Daar denken ze in Zweden nu anders over. Het volledige rapport is nog niet beschikbaar, maar AI-leverancier Tandem zegt er over:
Sweden’s Medical Products Agency’s position is that the completed documentation generated by the scribe is used as the basis for decisions in the continued care process, not just the current visit. That is what brings it under the higher classification.
Je zou immers kunnen zeggen dat de AI-uitvoer naar de arts gaat, die er dan nog wat mee doet en dát in het dossier stopt. Dan is het de arts die de klinische notitie of brief maakt. Maar omdat het structureel is, is het toch echt de AI-tool zelf die het behandelplan, brief of notitie maakt.

De Zweden formuleren drie vuistregels:

  • De uitvoer wordt in het verdere zorgproces als zodanig gebruikt, ongeacht of deze zelf een beslissing vormt.
  • Het AI-product ontstijgt de pure transcriptie en doet ook zaken als inferentie, structureren en interpretatie van de transcriptie (zoals die klinische notities).
  • Het doet er niet toe of de AI-uitvoer voor of na het nemen van de behandelbeslissing door de arts aangeleverd wordt (zie punt 1).
 

Die tweede vuistregel is uiteindelijk de belangrijkste. Bij Tandem werd in de eigen risicobeoordeling genoemd dat een interpretatiefout tot risico’s voor de patiënt kan leiden. Daarmee staat vast dat de verdere behandeling wordt beïnvloed door de AI-uitvoer. (Wie HBO heeft, moet The Pitt kijken en zal dan zien hoe dit mis kan gaan. CAICO’s en CHCO’s: 1 PE punt.)

Steeds meer marktpartijen zijn nu bezig met een MDR klasse IIa certificering. De grote uitdaging hierbij is dat er nog geen standaarden zijn voor het AI-gedeelte hiervan. Mede hierom is de toepasselijkheid van de AI-verordening op medische hulpmiddelen uitgesteld tot 2 augustus 2028. Maar door beslissingen als deze moet je er nú al iets mee als leverancier.

Arnoud

25 jaar oude internetcommunity Bokt heeft juridische problemen en zoekt hulp

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 14 reacties
Photo by Sheila Swayze on Unsplash

Paardenforum Bokt, een van de oudste nog actieve internetcommunity’s van Nederland en België, heeft juridische problemen en zoekt daar hulp voor. Dat meldden Nu.nl en Tweakers onlangs. De stichting Paard Zoekt Baas eist dat Bokt bepaalde negatieve berichten over de stichting verwijdert, en om zich te verweren moet Bokt een advocaat inschakelen, wat ze niet kan betalen.

Eigenaar Bart legt in een forumpost uit:

Stichting Paard Zoekt Baas heeft Bokt.nl gedagvaard. Kort samengevat gaat de zaak over kritische berichten die gebruikers op Bokt.nl hebben geplaatst. De stichting stelt dat Bokt.nl daarvoor verantwoordelijk is, dat wij berichten sneller hadden moeten verwijderen en daarnaast is er een claim rondom een aantal afbeeldingen. …

Bij de kantonrechter kan in dit soort zaken maximaal €25.000 aan schadevergoeding worden toegewezen. Omdat Stichting Paard Zoekt Baas nu inzet op een hoger schadebedrag, is de zaak doorverwezen naar de handelskamer. Daar mogen we niet meer zelf procederen: vanaf dit moment is een advocaat wettelijk verplicht.

Inhoudelijk is er vast van alles van de claims van de stichting te vinden. Bij Tubantia staat een mooie samenvatting. Veel recensies over de stichting zijn te vinden op Trustpilot. Ouder nieuws hier.

Maar dat is hier niet het probleem. Als je je niet kunt verweren tegen een claim, dan houdt het bij de rechter snel op. Dus het kan gebeuren dat je verliest tegen een kansloze claim enkel omdat je geen advocaat een verweer liet indienen.

Frustrerend, vandaar de fundraiser om alsnog een advocaat in te kunnen huren. Wie dit leest: wil je ook doneren, net als ik?

Velen tipten me het bericht, en stelden dat dit een SLAPP rechtszaak is: een strategic lawsuit against public participation, oftewel een rechtszaak ingestoken om Bokt het zwijgen op te leggen. Zoals ik in oktober blogde, dat is in Europa omschreven als

gerechtelijke procedures die niet worden ingeleid om daadwerkelijk een recht te doen gelden of uit te oefenen, maar die als voornaamste doel het voorkomen, beperken of bestraffen van publieke participatie hebben, waarbij vaak misbruik wordt gemaakt van ongelijke machtsverhoudingen tussen de partijen en ongegronde vorderingen worden ingesteld.
De sanctiemechanismen uit deze wet zijn niet denderend sterk: een proceskostenveroordeling of publicatie van het vonnis, tsja. In Nederland kan hiermee de conclusie worden onderbouwd dat een procespartij misbruik van recht maakt, zodat hun claim moet worden afgewezen. Maar het lastige blijft: de rechter moet dit bepalen en wie daar niet heen kan, krijgt geen gelijk.

Dus: doneren, alstublieft.

Arnoud

Je krijgt je geld niet terug als het casino zonder vergunning blijkt te opereren

Geplaatst op in Innovatie, Ondernemingsvrijheid, Regulering, 14 reacties
Photo by Kaysha on Unsplash

Je geld terugkrijgen bij een online casino omdat ze zonder vergunning opereren, is juridisch (toch) niet mogelijk. Dat bepaalde de Hoge Raad onlangs. Dit was een open vraag, omdat lagere rechtspraak nog wel eens de gokker zijn geld teruggaf met dit argument.

De Hoge Raad deed uitspraak op prejudiciële vragen van de rechtbank Amsterdam. Met die route kun je hoger beroep bij het Gerechtshof overslaan, om zo sneller een antwoord van onze hoogste rechter te krijgen. En dat was nodig, want als meerdere rechters verschillend antwoorden op dezelfde vraag dan moet de Hoge Raad daar een lijn in trekken.

Kern van het argument van de vele consumenten was dat de gokovereenkomst nietig is, op grond van artikel 3:40 BW om precies te zijn:

Een rechtshandeling die door inhoud of strekking in strijd is met de goede zeden of de openbare orde, is nietig.
Een overeenkomst sluiten terwijl dat in het geheel niet mag (want geen vergunning) is prima onder dit verbod te rekenen. En als de overeenkomst dan nietig is, dan heb je betaald zonder rechtsgrond en dan moet dat geld terug. Eventuele schulden (verliezen) hoef je niet te betalen. (Ook niet via ongerechtvaardigde verrijking of iets dergelijks.)

Probleem: lid 3 van dit artikel heeft een uitzondering voor “wetsbepalingen die niet de strekking hebben de geldigheid van daarmede strijdige rechtshandelingen aan te tasten”. Oftewel, heeft de Wok de strekking het zonder vergunning aanbieden van online kansspelen aan te tasten?

In die andere zaken wezen rechters daarbij op de grote gevolgen voor de maatschappij, waarbij ook meewoog dat strafrechtelijk en bestuursrechtelijk optreden een “hachelijke zaak” zou zijn. Dan is “de consument kan gewoon zijn geld terugkrijgen” een effectief afschrikwekkend instrument.

De Hoge Raad ziet het echter anders:

Er is geen grond om aan te nemen dat overeenkomsten met een aanbieder van online kansspelen die in strijd handelt met dat verbod, reeds daardoor door inhoud of strekking in strijd zouden zijn met de openbare orde of de goede zeden. Daarbij is van belang dat het voor de inhoud van een door een speler aangegane overeenkomst geen verschil behoeft te maken of de aanbieder beschikt over een vergunning als bedoeld in art. 1 lid 1, aanhef en onder a, Wok. Ook is van belang dat de Nederlandse kansspelregulering niet wordt gekenmerkt door een categorisch verbod op kansspelen (zie hiervoor in 3.1.3) en dat kansspelovereenkomsten niet op zichzelf ontoelaatbaar worden geacht.
Omdat we een vergunningsstelsel hebben, kun je niet zeggen dat kansspelen als zodanig dús tegen de openbare orde of goede zeden zijn. De aard van de overeenkomst is hetzelfd, met of zonder vergunning bij de aanbieder.

Dit is vrij ontnuchterend, en slaat categorisch alle mogelijkheden dood om als consument je geld terug te krijgen. Gezien de geciteerde redenen vind ik dat wel een tikje frustrerend.

Arnoud

De camperverhuurder houdt mijn geld nadat ik misleid ben door hun AI-chatbot!

Geplaatst op in Ondernemingsvrijheid, 16 reacties
Photo by Sjoerd Verhelst on Unsplash

Via Reddit (vertaald & ingekort):

Op 1 juli heb ik een camper geboekt bij Indie Campers voor een reis van 12 tot en met 18 juli. Voordat ik betaalde, vroeg ik de AI-chatbot op hun officiële website of ik naar Montenegro kon reizen. De bot garandeerde expliciet dat dit mogelijk was. Vertrouwend hierop heb ik het volledige bedrag betaald. [Ik deed navraag bij de klantenservice, dat duurde meer dan 48 uur. Toen] gaven ze aan dat hun algemene voorwaarden reizen naar Montenegro strikt verbieden. Ik heb onmiddellijk om annulering en volledige terugbetaling gevraagd, omdat ik door hun platform misleid was.

De boete: Het bedrijf verklaarde dat ze “geen verantwoordelijkheid nemen voor AI-antwoorden”. Uiteindelijk verwerkten ze de annulering, maar pasten ze hun standaard boete voor late annulering toe, waardoor ik slechts 5% terugbetaald kreeg en 95% van mijn geld zelf hield.

Het juridische antwoord is vrij simpel. Een uitvoer van een AI-chatbot is hetzelfde als een tekst in je veelgestelde vragen of folder. Als daar duidelijk staat dat je naar Montenegro mag reizen, dan is dat een toezegging waar ze aan gebonden zijn.

Het kan dat ergens in de algemene voorwaarden staat dat je met de camper in de EU moet blijven (Montenegro is er bijna, maar nog niet helemaal). Grote letters winnen van kleine, dus dat heeft juridisch dan geen betekenis. Maar let op: de grotelettertekst moet wel expliciet “ja, je mag naar Montenegro” bevatten en niet “je mag in heel Europa er mee reizen” of iets dergelijks.

De opmerking dat het bedrijf “geen verantwoordelijkheid [neemt] voor AI-antwoorden” is natuurlijk volkomen van de gekke. Er is Zweedse jurisprudentie dat chatbots niet mogen misleiden, en we hebben de Canadese analogie als lichtend voorbeeld.

Het probleem is dus vooral dat het bedrijf “nietes” zegt na de klacht, en dan weigert iets te doen om het goed te maken. Dat is een bekende in het consumentenrecht, en het maakt eigenlijk niet uit of dit “onze chatbot kletst maar wat” of “onze medewerker mocht dat niet zeggen” is. Hoe haal je je recht?

De vraagsteller woont in Spanje (staat in de comments) en Indie Campers is zo te zien een Nederlands bedrijf. Bij grensoverschrijdende consumentengeschillen (binnen de EU, plus Noorwegen, IJsland en het VK) kun je laagdrempelig en goedkoop via het European Consumer Centre (ECC) bemiddeling aanvragen.

Ook heeft de vraagsteller met creditcard betaald. Daar een geschil aanmaken of een terugboeking vragen is mogelijk, en vaak minstens zo effectief als een gerechtelijke procedure.

Arnoud

Bunq moet klant die via Google Pay-wallet werd bestolen 5.000 euro vergoeden

Geplaatst op in Ondernemingsvrijheid, Security, 8 reacties
Photo by Mika Baumeister on Unsplash

Bunq moet een klant die het slachtoffer werd van fraude via een aan zijn bankrekening gekoppelde Google Pay-wallet het schadebedrag van 5.000 euro vergoeden. Dat las ik bij Security.nl. Dit omdat ze niet kan laten zien hoe Google Pay bij deze consument ooit überhaupt in gebruik was genomen.

Hoofdregel bij betalingen is dat de bank, en niet de consument, aansprakelijk is voor niet-toegestane betalingstransacties. Dat wordt alleen anders als de bank kan aantonen dat de consument “frauduleus heeft gehandeld of opzettelijk of met grove nalatigheid” (art. 7:529 BW).

De klant hier zag dat er meerdere betalingen met een totaalbedrag van 5.000 euro uitgevoerd waren, waarvoor hij stelde geen toestemming te hebben gegeven. Na onderzoek stelde de bank vast dat het ging om betalingen via Google Pay, en een dergelijke koppeling kan alleen met toestemming zijn gedaan.

Goed, zegt het Kifid, bewijs maar dat die toestemming is gegeven:

Heeft de heer [consument] toestemming gegeven voor de koppeling aan Google Pay? Waar blijkt dat uit? Graag ontvang ik de relevante informatie uit uw administratie, waaruit blijkt met welk apparaat en vanaf welk IP-adres eventuele toestemming is verleend.
Op dat verzoek kwam echter nul reactie, zodat de geschillencommissie concludeert dat er sprake is van een niet-toegestane transactie:
Omdat de bank geen bewijs heeft geleverd van een rechtsgeldige koppeling van de betaalpas aan Google Pay, kan zij ook niet aantonen dat de consument heeft ingestemd met de latere Google Pay-betalingen. Daarom moet de commissie het ervoor houden dat sprake is van niet-toegestane betalingstransacties.
Dan komt dus de vervolgvraag: was hier sprake van fraude, opzet of bewuste roekeloosheid bij de consument? Daar kun je serieuze vragen bij stellen, want het is vrij onlogisch dat een hacker van buitenaf bij iemand Google Pay activeert en er dan mee gaat betalen zonder dat je daar iets van merkt.

Alleen:

Echter, nu de bank niet heeft aangetoond dat de betaalpas is toegevoegd op de overeengekomen wijze, zou het onaanvaardbaar zijn van de consument te verlangen dat hij zulk inzicht geeft.
Dit is het juridisch equivalent van aan de noodrem trekken. Art. 6:248 BW bepaalt dat een regel, wet of afspraak tussen twee partijen niet geldt wanneer “dit in de gegeven omstandigheden naar maatstaven van redelijkheid en billijkheid onaanvaardbaar zou zijn.”

De commissie zegt hier dus: het is onaanvaardbaar dat de consument moet laten zien niet nalatig te zijn geweest als de bank niet eens kan laten zien hoe Google Pay is geactiveerd en vanaf welk apparaat, IP adres en dergelijke.

Arnoud

 

Online waarschuwen voor man die zich bij concerten zou misdragen: mag dat wel?

Geplaatst op in Privacy, Uitingsvrijheid, 4 reacties
Photo by Anthony DELANOIX on Unsplash

Een viral TikTok-video waarschuwt voor een man die zich bij concerten in Nederland seksueel zou misdragen tegenover jonge fans. Dat meldde RTL Nieuws vorige week. De beelden verdwenen van social media na ingrijpen van de politie, en velen vroegen aan mij: mag dat, zo’n waarschuwing?

Uit het artikel:

Volgens de dame in deze video duikt de man geregeld op bij concerten van vrouwelijke artiesten. Foto’s van hem worden via groepschats en op social media gedeeld zodra hij ergens wordt gezien, zodat anderen hem kunnen herkennen. In de reacties overheerst steun voor de waarschuwing. “Concerten moeten een veilige plek zijn”, schrijft iemand. Een ander: “We moeten elkaar helpen en dit soort gedrag tegengaan.”
Een paar dagen later werd de video op verzoek van de politie verwijderd, al legt het artikel niet uit wat daar de grondslag voor was en of het echt een verzoek was dan wel een bevel.

Hoofdregel is natuurlijk dat iedereen video’s mag plaatsen om informatie of meningen te delen (informatievrijheid). Daar zitten grenzen aan, en bij strafbare uitingen mag de politie dan handhavend optreden. Maar waar ze fysieke uitingen (spandoeken, boeken) in beslag kan nemen hangende het onderzoek, is dat bij online uitingen iets lastiger.

Er is natuurlijk artikel 54a Wetboek van Strafvordering, dat bepaalt dat een hostingpartij of platform notice and takedown moet doen bij strafbare uitingen, na melding van de politie. Iets preciezer: als ze de uiting niet weghalen, kunnen ze zelf vervolgd worden en dan horen we bij de strafrechter wel of de uiting strafbaar was.

Het artikel suggereert dat de plaatser van de video zelf aangesproken is. Anders had er denk ik wel gestaan “TikTok heeft de video verwijderd”. En nou ja, vragen staat vrij, toch?

Maar nee, vaste lezers weten dat de politie niet vrij mag vragen tenzij er een wettelijke bevoegdheid tot vorderen onder ligt. Althans, als het gaat om een vraag waarbij de grondrechten “in meer dan geringe mate” in gevaar komen. Aanbellen en vragen “heeft u wat gezien van het ongeluk op de hoek” is dus prima, maar vragen “wilt u die poster van uw raam halen want die achten wij strafbaar” is een stuk complexer.

We kunnen de video nu niet meer terugzien om zelf te speculeren of sprake was van smaad. Daar hint het artikel onderaan wel op:

Johan, de vader van de man in kwestie (naam bij de redactie bekend), vertelt aan RTL Nieuws zijn kant van het verhaal. Volgens hem is zijn zoon doelwit geworden van een lastercampagne. “Wij hebben aangifte gedaan van smaad en laster.”
Wat ik precies moet met de observatie dat “zijn zoon twee meter [is] en vinden mensen dat vervelend”, weet ik niet.

Arnoud

 

 

Pakketjes van Chinese webwinkels zijn vanaf woensdag minstens 3 euro duurder

Geplaatst op in Ondernemingsvrijheid, 1 reacties
Photo by CHUTTERSNAP on Unsplash

Nederlanders en Belgen die Chinese pakketjes bestellen, betalen vanaf woensdag 3 euro meer per product of productcategorie. Dat meldde Tweakers. Het betreft een Europese regel uit december, om de toestroom van goedkope pakketjes in Europese landen aan te pakken.

Onder de huidige regels zijn pakketten tot 150 euro vrijgesteld van invoerheffingen (customs duties). Dat gaat nu dus veranderen. Tweakers legt uit:

De gemiddelde waarde van bestellingen in Chinese webshops is 30 euro en dus krijgen veel bestellingen te maken met de heffing. De webwinkel moet het bedrag afdragen aan de douane bij de import van bestellingen. Dat is anders dan bij inklaringskosten, die bestellers afrekenen voordat zij een pakket kunnen ontvangen. De heffing geldt voor alle webwinkels buiten de EU. In totaal gaat bijna 50 procent van alle pakketjes die van buiten de EU de unie binnenkomen naar Nederland of België, terwijl nog geen 7 procent van de inwoners van de EU in Nederland of België wonen.
De gestelde redenen zijn oneerlijke concurrentie, omdat in China zó veel goedkoper geproduceerd wordt. En daar komt dan bij dat men zich ook niet (altijd) aan Europese normen houdt, zodat producten ook gevaarlijk kunnen zijn (denk aan usb-laders die brand kunnen veroorzaken).

Of 3 euro toeslag nou écht de concurrentiepositie verbetert, kun je je afvragen. Het zal in ieder geval zelden een bedrag zijn waardoor een consument denkt “ik ga het wel bij een Europese webwinkel kopen” – als dat al kan, want veel dingen haalt men uit China omdat ze hier niet te verkrijgen zijn.

Op diverse fora is te lezen dat het een kwaadwillend complot is van organisaties zoals EuroCommerce, die vooral lobbyen voor Europees protectionisme. Nou is lobbyen voor je eigen belang inherent aan Europees wettenmaken, dus wat ik hiervan moet vinden weet ik niet.

Een belangrijke tekortkoming van de maatregel is dat ze alleen geldt bij goederen die direct vanuit buiten de EU verzonden worden naar de consument. Grote zakjesschuivers zoals AliExpress hebben magazijnen in de EU en versturen vanuit daar. Die zendingen blijven daarmee buiten schot. Op zich niet erg, want zo is Ali in de EU aan te spreken op bv. overtreding van CE-certificeringsregels.

Arnoud

 

Noyb: hooggerechtshof VS heeft data-uitwisseling tussen EU en VS opgeblazen

Geplaatst op in Privacy, Security, 4 reacties
Photo by J E G on Unsplash

Door een uitspraak van het Amerikaans hooggerechtshof kan er geen doorgifte van persoonsgegevens meer naar de Verenigde Staten plaatsvinden, zo stelt privacyorganisatie noyb (via).

Het zogeheten Data Privacy Framework (DPF) is er in 2023 gekomen om de leemte van het eerder afgeschoten Privacy Shield op te vullen. Beiden poogden (net als het nóg oudere Safe Harbor) het probleem te adresseren dat de VS niet hetzelfde niveau van gegevensbescherming heeft als Europa, terwijl we wel met z’n allen onze persoonsgegevens daar willen stallen.

Dankzij het DPF kon de Commissie de VS adequaat verklaren, en dat is wat je onder de AVG nodig hebt (artikel 45 AVG). Maar dat kon alleen omdat er een aantal waarborgen in het DPF zitten. Een tijdje geleden oordeelde het Gerecht van de EU dat dit op papier helemaal goed zat, wat iedereen een nogal formele opstelling vond omdat de praktijk heel anders is. Maar als je een beetje met je ogen kneep, kon je doen of er niets aan de hand was.

Nu is er dan een atoombom gevallen die vrij fundamenteel raakt aan alles in het DPF. In de Supreme Court-uitspraak Trump v. Slaughter wordt kortweg gezegd dat de president iedereen mag ontslaan die een directiefunctie bij een overheidsinstantie vervult. Het eerdere precedent (Humphrey’s Executor) bepaalde dat dit alleen mocht in de bij wet genoemde gronden (zoals plichtsverzuim of wangedrag).

Dit is een enorme machtsgreep in het algemeen, maar met ook directe impact op het Data Privacy Framework. Zoals noyb uitlegt:

Het EU-verdragsrecht (het “grondwettelijke” kader van de EU), met name artikel 16(2) VWEU en artikel 8(3) van het Handvest van de grondrechten , vereist dat het toezicht op gegevensbeschermingskwesties moet worden uitgevoerd door een “onafhankelijke” autoriteit. Omdat derde landen “in wezen gelijkwaardige” bescherming moeten bieden, is het noodzakelijk dat elk derde land dat wil profiteren van het vrije verkeer van persoonsgegevens vanuit de EU, ook dergelijke bescherming biedt.
De Amerikaanse Federal Trade Commission (FTC) is als zodanig aangesteld om het onafhankelijke toezicht binnen DPF uit te voeren. En precies het ontslag van de directeur van die FTC (Rebecca Slaughter) was de aanleiding voor deze uitspraak.

Ook het gerechtelijk toezicht staat nu op zodanig losse schroeven dat het niet leuk meer is:

… de regering-Biden [richtte] een “Data Protection Review Court” op. Hoewel het een “Hof” wordt genoemd, is het in feite een uitvoerend orgaan binnen het Amerikaanse Ministerie van Justitie. Het is alleen “onafhankelijk” dankzij een uitvoeringsbesluit (Executive Order) van voormalig president Biden, dat op elk moment door Trump kan worden gewijzigd en niet bindend is voor de president.
Deze DPRC was opgericht om aan kritiek uit het Schrems II-arrest tegemoet te komen. De parallel opgerichte Privacy and Civil Liberties Oversight Board (PCLOB), die toezicht houdt op massasurveillance, was eerder al op vergelijkbare wijze onklaar gemaakt.

Dat tussen je oogleden kijken is nu wel afgelopen: veel harder dan een precedent van de Supreme Court krijg je ze niet in de VS. De FTC is dus géén onafhankelijke toezichthouder, en de DPRC is ook geen onafhankelijke bestuursrechtelijke instantie. Daarmee is onverdedigbaar dat de VS een adequaat niveau van gegevensbescherming kent.

Uiteraard gaat iedereen de uitspraak eerst zorgvuldig bestuderen en alles wikken en wegen, want de conclusie dat het DPF ingestort is en dus dataverkeer niet meer naar de VS mag (nee, ook niet met SCC) is net even té ingewikkeld.

Arnoud

 

Mag de sportschool eisen dat je een smartphone hebt om 24/7 toegang te krijgen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties
Photo by Samuel Girven on Unsplash

Een lezer vroeg me:

Mijn sportschool is onlangs overgestapt op een QR-toegangssysteem, waarbij je alleen via een smartphone-app toegang tot de gym krijgt. Het pasje wat we voorheen gebruikten, werkt niet meer. Mijn sportmaatje maakt geen gebruik van een smartphone en heeft dit ook bij de gym aangegeven. Hun antwoord was dat hij dan alleen nog kan sporten als er personeel is om hem binnen te laten. Maar hij heeft een onbeperkt abonnement waarmee hij in principe 24/7 zou moeten kunnen sporten. Kan dat zomaar?
Bij 24/7 sportscholen wordt de laatste tijd vaak overgestapt van pasjes of tokens naar apps of zelfs biometrie. De reden is simpel: mensen lenen die tokens of pasjes uit aan bekenden, en dan gaan er twee mensen sporten onder één abonnement. Dat kost geld, dus daar moet wat tegen gedaan.

Biometrie is een discutabele optie, maar deze sportschool kiest voor een persoonsgebonden app. Logisch, want iedereen die sport heeft z’n telefoon bij zich. En een app kun je niet uitlenen. (Nou ja, mijn lezers wel en ik heb geen idee of hier een Trusted Execution Environment achter zit of dat ze vertrouwen op security theatre.)

Inderdaad gaat dat mis als je geen smartphone hebt waar zo’n app op kan. Dan komen we bij de vraag wat er contractueel gebeurt als is gezegd “24/7 sporten” en dan blijkt dat dat alleen kan als je een smartphoneapp gebruikt. Vrijwel zeker stond daar niets over in de algemene voorwaarden, en dan kom je uit bij wat juristen de redelijkheid en billijkheid noemen.

Argumenten waarom dat redelijk is, komen allemaal neer op “pasjes worden uitgeleend” en “kom nou, iedereen heeft een smartphone”. Argumenten waarom het niet redelijk is, zijn even zo cynisch plat te slaan tot “niet iedereen kán of wíl een smartphone gebruiken, en dat is hun goed recht”. Beide kanten hebben een punt, en dus wordt het een weging.

Die weging is minder eenduidig dan je zou denken, en ik denk dat de sportschool hier het sterkere verhaal heeft. Ja, je legt een extra voorwaarde op, maar het alternatief is dat je voor een handvol leden een compleet parallel toegangssysteem in de lucht houdt. Dat kost structureel geld: hardware, onderhoud, een tweede aanvalsoppervlak om te beveiligen, en de administratieve rompslomp van twee systemen naast elkaar. Dat is geen redelijke last om op te leggen aan een ondernemer die juist probeert te moderniseren en fraude tegen te gaan.

Wat de sportschool wél zou moeten doen is netjes communiceren en een fatsoenlijke overgangstermijn bieden. Als het sportmaatje een jaarabonnement heeft afgesloten onder de oude voorwaarden, dan mag hij verwachten dat hij tot het einde van die termijn op een werkbare manier naar binnen kan.

Arnoud

Mag je werkgever eisen dat je op je Linkedin je werkelijke functietitel vermeldt?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 10 reacties
Photo by Souvik Banerjee on Unsplash

“Zoals vorige week verzocht aan je dien je je linkedin profiel aan te passen, je doet hier geen pr en marketing meer om jou wel bekende redenen. Graag vandaag uitvoeren!!!” Nee, zou ik ook van opkijken. De zin komt uit een wat oudere ontslagzaak, maar het onderwerp blijft actueel.

De werknemer werkte in de functie van accountmanager New Business (hunter) voor onbepaalde tijd. Daarna werd zijn titel “(Online) Sales, Marketing & PR consultant”, en dat werd een jaar later teruggedraaid. Met wederzijdse instemming, al werd het daarna ongezellig en werd gestreefd naar een functie elders.

Daarbij was het Linkedinprofiel van de werknemer kennelijk opgepoetst, want daarin stond nog die ene titel:

In zijn LinkedInprofiel had [verzoeker] nog als functie staan “Sales, Marketing & PR consultant en in de onder zijn profielfoto en naam geplaatste kopregel “Marketing & -PR”.
Daar kwamen vanuit management diverse mails over, met als culminatie deze:
“Ik geef je mee dat [B] bepaald niet blij met het feit dat jij ondanks herhaalde verzoeken weigert om jouw Social Media uitingen aan te passen aan de huidige status quo, waarin jij niet langer PR en Marketing doet voor [verweerder] . Ik wijs je erop dat een (herhaalde) weigering om aan redelijke instructie te voldoen zelfs kan leiden tot een onmiddellijke beëindiging van je dienstverband. Ik adviseer je echt dringend om dit punt je hand niet te overspelen.”
De werknemer werkte niet mee, waarop de instructie werd geëscaleerd tot dienstbevel. En omdat ook dáár geen gevolg aan werd gegeven, volgde ontslag op staande voet. Man.

Bij de werknemerskant krijg ik ook jeuk gezien deze reactie:

Hij stelt hiertoe dat hij op vrijdag 13 oktober 2017 heeft voldaan aan de sommatie van [verweerder] om in zijn LinkedInprofiel zijn functietitel aan te passen. [verweerder] heeft hem niet verzocht om ook de koptekst aan te passen. Deze koptekst is een vrij veld en geen functiebeschrijving.
Daar maakt de rechter terecht gehakt van:
De kantonrechter stelt vast dat uit de hiervoor onder de feiten geciteerde e-mails blijkt dat [verweerder] [verzoeker] op 21 september 2017 heeft verzocht om zijn functie aan te passen bij zijn profiel, op 26 september 2017 om zijn LinkedInprofiel aan te passen en op 3 oktober 2017 om zijn Social Media uitingen aan te passen aan zijn huidige functie. Die verzoeken zijn nadien nog herhaald. Voor zover [verzoeker] na ontvangst van de e-mail van 21 september 2017 in de veronderstelling verkeerde dat hij slechts zijn functienaam diende te wijzigen, had het hem in ieder geval na ontvangst van de e-mails van 26 september 2017 en 3 oktober 2017 duidelijk moeten zijn dat het verzoek van [verweerder] niet enkel zag op het wijzigen van de functienaam maar ook op het wijzigen van de kopregel. De kopregel is immers een belangrijk onderdeel van een LinkedInprofiel en staat direct onder de profielfoto en de naam.
De uitkomst is dan ook weinig verbazingwekkend: het ontslag op staande voet mocht gewoon, gezien deze aanloop en niet meewerken aan de uiteindelijke sommatie. Uiteindelijk ging het ook om een feitelijke aanduiding, waar de schaarse jurisprudentie al eerder duidelijk over was.

Arnoud