Bij iedere juridische maatregel is wel een technische tegenmaatregel te bedenken. Geoblocking is een bekende: gewoon een vpn installeren en hopsakee, je kunt er alsnog bij. Leuk en aardig, maar betekent niet dat die maatregel ongeldig of onhoudbaar is. De wet wil “goed genoeg” afdekken.
Ik roep dit al jaren, en voel me gesterkt door het recente arrest in de Anne Frank-zaak van het Hof van Justitie. Achterliggend is een wat ingewikkeld auteursrechtengeschil:
Na het overlijden van Otto Frank [die het dagboek bewerkte en uitgaf] is het Anne Frank Fonds houder van de auteursrechten op de werken van Anne Frank geworden. Zoals blijkt uit een definitieve uitspraak van de rechtbank Amsterdam (Nederland) van 23 december 2015 is een deel van deze werken in Nederland tot 2037 auteursrechtelijk beschermd krachtens een overgangsregeling van de Auteurswet. In andere landen, waaronder het Koninkrijk België, behoren deze werken tot het publieke domein.Op de website www.annefrankmanuscripten.org wordt een wetenschappelijke editie van de manuscripten van Anne Frank gepubliceerd. Daarbij wordt middels geoblocking Nederlandse IP-adressen geweerd.
Vroeger stond er ook nog een knop bij „JA, ik raadpleeg de website vanuit een van de bovenstaande publiek domein-landen”, waarmee je dan de blocking kon opheffen onder dreiging van auteursrechtelijke sancties wegens omzeilen van beveiligingsmaatregelen (artikel 27a Auteurswet). Die knop zie ik nu niet meer.
Het Anne Frank Fonds stapte in 2021 naar de rechter omdat dit ondanks de maatregelen inbreuk op auteursrecht zou zijn. Daarbij woog mee dat de geoblocking te omzeilen zou zijn met een virtueel particulier netwerk, wat dan triviaal genoeg op te zetten zou zijn. Dat leidde tot vragen aan het Hof van Justitie, waar nu antwoord op is.
Het Hof is al een tijdje bezig met jurisprudentie over wat “het publiek” is waar je bij een publicatie je op richt. Als je je met effectieve technische maatregelen beperkt tot een bepaald publiek, dan richt je je niet op een ander publiek. Dat kan uitmaken voor je licentie, zoals wanneer je alleen schoolkinderen toegang wil geven. Maar omgekeerd geldt het ook: wie de publicatie met maatregelen beperkt tot “de wereld minus Nederland”, richt zich niet op Nederland.
Dan dus de hamvraag: is het “effectief” om een geoblokkade op basis van IP-adres te doen? We weten immers dat “gebruik gewoon een vpn” een voor de hand liggende reactie is. Hier, een mond vol van het Hof:
Het Hof heeft in dit verband gepreciseerd dat de doeltreffendheid van een technische voorziening niet absoluut hoeft te zijn, maar met inachtneming van het evenredigheidsbeginsel moet worden beoordeeld in het licht van de doelstelling om handelingen te voorkomen of onmogelijk te maken die niet zijn toegestaan door de auteursrechthebbende, waarbij dus met name dient te worden nagegaan of de betrokken voorziening geschikt is om dat doel te verwezenlijken en niet verder gaat dan daartoe noodzakelijk is en, zoals in punt 26 hierboven is aangegeven, een rechtvaardig evenwicht dient te worden gezocht tussen de bescherming van intellectuele-eigendomsrechten en die van andere grondrechten, zoals de vrijheid van meningsuiting en van informatie.In gewone taal zegt het Hof: een maatregel hoeft niet perfect te werken, maar moet in de regel het effect hebben. Tegelijk moet de maatregel vals positieven beperken (zoals Belgen die toevallig een Nederlands IP-adres lijken te hebben). Dat er tegenmaatregelen zijn, is als abstracte tegenwerping géén argument.
Wel moet de maatregel “state-of-the-art” zijn, wat ik maar opvat als “je moet wel je best gedaan hebben” want hoe je dat meet, weet eigenlijk niemand. (De arme nationale rechter moet maar een deskundige benoemen.)
Dat er ook andere maatregelen zijn, zoals alleen via terminals in een bibliotheek of na identiteitsverificatie toelaten, is niet relevant. Je moet de maatregel zelf beoordelen op haar effectiviteit.
Arnoud
Sommige webbrowsers hebben tegenwoordig een ingebouwde gratis VPN. Als dit wijdverspreider wordt, dan zou de effectiviteit van geoblocks weer herzien moeten worden.
Als 10% van de Nederlanders de geoblock omzeilt puur door hun browser keuze, dan zou ik de block niet meer state-of-the-art noemen.
State-of-the-art impliceert mijns inziens ook dat er geen betere oplossing is. Dus zelfs als browsers standaard een vpn leveren is een geoblock mijns inziens nogsteeds state-of-the-art: een betere optie is er niet.
Het gaat niet om het persoonlijk inzicht maar wat juridisch bedoeld wordt. Zoals Arnoud aangeeft zit daar een probleem met de term ‘state of the art’ (NL: stand der techniek). Dit hoeft zeker niet in te houden dat er geen betere (wat is ‘beter’?) middelen zijn. Betaalbaar, beschikbaar (op de markt, zonder vendor lock-in), onderhoudbaar, gestandaardiseerd, en zo is er nog eea te bedenken. Zonder definitie te vrij interpreteerbaar. Net als de term ‘best practice’. Best voor wie? In welke situatie? Deze verwarring speelt ook in bv cryptografie, specifiek de huidige aandacht voor post-Quantum.
Verplichten om een account aan te maken met een bankrekening uit dat land.
Dan weet je redelijk zeker dat die persoon uit dat land komt.
Dit is alleen heel gebruiksonvriendelijk voor websites waar eigenlijk geen account noodzakelijk is, laat staan voor site waar niet voor betaald hoeft te worden.
Netflix gebruikt dit bijvoorbeeld ook, maar daar moet je voor betalen en is deze controle dus geen extra drempel.
Mijn zus heeft bankrekeningen in twee landen…
En als privacy-activist zeg ik: Overal waar dat kan hoort anonieme toegang tot informatie mogelijk te zijn.
En van de juridische kant: zijn er geen simpelere en privacy vriendelijkere methoden om “herkomstland” van de bezoeker vast te stellen? De GDPR stuurt organisaties naar dataminimalisatie, leg maar uit waarom verwerking van een bankrekeningnummer noodzakelijk is voor een gratis dienst.
Als EU-burger kun je ook in andere EU-landen een bankrekeningnummer openen. Als er enkel een geoblokkade voor Nederland geldt en niet voor de gehele EU, kom je er met een account + bankrekeningnummer niet.
Nog los van het feit dat ik betwijfel of men die informatie zomaar mag verwerken met het oog op de AVG.
Dat opent een wespennest van nieuwe problemen. Als je alleen maar “een” IBAN hoeft in te vullen dan kan je elk IBAN gebruiken, dus moet er een soort validatie gedaan worden, zoals het afschrijven van 1 cent. Dat heeft weer als gevolg dat allerlei kleine websites zich ineens bezig moeten gaan houden met niet alleen het maken en beheren van accounts, maar ook nog eens met de afhandeling van financiele transacties (“… en ik wilde alleen maar deze geliefde auteursrechtenvrije literatuur op mijn hobbymatige wordpess site plaatsen…”). Dat is natuurlijk vragen om datalekken waarbij dan naast je email ook gelijk je IBAN op straat ligt.
Een alternatief is dat al dat soort sites in zee moeten gaan met commerciele partijen die dat dan gaan doen. Dat kost geld als je het goed wil doen, dus staan er commerciele partijen op die dat dan “gratis” gaan aanbieden en waarbij je als bezoeker dus weer betaald met je data (waarbij je dan ook nog niet eens jezelf kan anonimiseren door een uniek email-adres en accountnaam te gebruiken, want je moet je unieke IBAN opgeven voor het afschrijven van die ene cent).
Dat anonimiseren is ook nog een probleem, zo’n soort systeem is de facto een identiteitsverificatie-systeem, met grote impact op de vrije toegang tot informatie. Als je overal accounts moet gaan aanmaken en beheren is dat niet alleen onveilig, maar het beperkt ook de mogelijkheden van juist de meest kwetsbare groepen om zich, gedekt door een mate van anonimiteit, online te informeren en uiten. Denk bijvoorbeeld aan jongeren met homosexuele gevoelens die opgroeien in streng religieuze kringen en moeite hebben met het vinden van steun, informatie, en lotgenoten. Het verplicht moeten opgeven van een IBAN nummer is een enorme drempel.
Verder zijn er ook nog mensen die helemaal geen bankrekening hebben. Hier in Nederland realiseren de meeste mensen zich niet dat er mensen op de wereld zijn die geen bankrekening hebben. Het percentage mensen met een bankrekening in het Caribisch gebied en Latijns Amerika ligt rond de 75%, in West- en Centraal Afrika komt het amper boven de 20% uit. Er zijn Nederlands sprekende mensen in de overzeese gebiedsdelen die ook geen bankrekening hebben. Volgens de meest recente cijfers die ik zo snel kon opduiken is het percentage in Roemenie rond de 70%, en dat is een land in de EU. Bovendien, hoe ga je het controleren, transacties van een cent van of naar landen als Mali, Afghanistan of Belize zijn niet eenvoudig. (Nog afgezien van het risico op een watchlist te komen en sommige landen niet meer in te mogen omdat je meerdere transacties hebt gedaan van of naar Afghanistan of zo).
Ik heb het vonnis gelezen en daaruit opgemaakt dat de partijen (of verwijzende rechter) het al eens zijn dat de website een van de betere beschikbare geoblockers gebruikt. Het voorgelegde geschil ging om de vraag of geofencing op zich een voldoende bescherming van het (territoriaal beperkte) auteursrecht biedt. Het korte antwoord is Ja. Een langere analyse vind je in een draadje verderop.
En ik denk dat iedere serieuze geoblocking onder de analyse van het hof valt. Het hof zegt letterlijk: deze enkele mogelijkheid tot omzeiling niet in alle omstandigheden doorslaggevend zijn voor de vaststelling dat deze maatregelen ongeschikt en dus ondoeltreffend zijn.
Wat als VPN’s een standaard feature van browsers worden (zoals nu al in Firefox: een klik en je bent door); daarmee wordt geo-blocking tot een totale wassen neus, waarmee je als websitemaker hooguit je intentie uitspreekt, maar die verder totaal niet effectief is. Je kunt van websitemakers toch niet verwachten dat zij zo’n niet effectief middel in stand houden als een eenvoudige knop diezelfde intentie ook kan uitspreken.
Omdat ik af en toe naar een buitenland reis waardoor het nodige geblokkeerd is (niet in die landen zelf, maar door geo-blocking op de sites waar ik naar toe wil), heb ik op mijn eigen NAS thuis een VPN server geïnstalleerd, zodat ik alsnog die Nederlandse sites kan bezoeken.
Omgekeerd wil ik wel eens wat van Amerikaanse sites afhalen, die met geo-blocking mij weren als ik vanuit Nederland op bezoek kom, dan is meestal een mailtje naar een Amerikaanse kennis genoeg om wel die toegang te verkrijgen…
Ik lees een aantal belangrijke punten (50-53) in het vonnis:
Een belangenafweging moet plaats vinden, waarbij de vrijheid om informatie en meningen te verspreiden en het publiek belang van kennisnemen van informatie stevig meewegen. Dat er mogelijkheden tot omzeilen zijn betekent niet per definitie dat een beveiliging niet effectief is. Geoblocking op websites in het algemeen onvoldoende verklaren zou een auteursrecht in een enkel land effectief oprekken naar (bijna) wereldwijd. Dat er andere methoden zijn om toegang regionaal te houden betekent niet dat de auteursrechthebbende voor een enkel land die methoden buiten dat land kan opleggen.Kortom, een auteursrechthebbende die zijn rechten wil oprekken, krijgt hier een forse tik op de vingers. Gelet op het feit dat het WWW een gebruikelijk communicatiemedium is geworden, zal het hof ook in een volgende zaak niet snel zeggen dat toegang via een website met geofence een “te grote inbreuk” op het auteursrecht maakt. Maar de geofencing moet wel serieus zijn. (state-of-the-art)
Het lijkt me evident dat er geen beperking mag opgelegd worden in die landen waar er geen recht kan geput worden.
Een geo-blocking is dan al een significante inspanning van een buitenlandse partij.
Inderdaad, en als uitgever in zo’n buitenland zou ik zelfs kunnen overwegen om daar naar een rechter te stappen, om een verklaring voor recht te halen dat het installeren van dergelijke geo-blocking niet te verplichting valt volgens de plaatselijke wetgeving (immers het werk is publiek domein vanwege een positieve beslissing van de wetgever), en dat die verplichting niet kan worden afgedwongen, omdat die inbreuk maakt op die status.
Als een land wil geo-blocken, laat ze het dan vooral lekker zelf doen.
Als we het woordje “Doeltreffend” op dezelfde manier mogen interpreteren als het woordje “Doeltreffend” als het gaat om DRM systemen, dan is elke oprechte poging om te geo-blokken, hoe achterhaald en onhandig ook geïmplementeerd, voldoende. Immers, ook daar werden systemen als “Doeltreffend” bestempeld dit nauwelijks enige belemmering opwierpen.
Ik (vanuit Zweden) krijg wel een lijst met landen en knop te zien.
Wat mij opvalt in het vonnis is de proportionaliteit waarmee rekening gehouden moet worden. Is het goed genoeg gegeven de potentiële schade? Voor de werken van Anne Frank die 80 jaar oud zijn, breed bekend en al in meerdere landen publiek domein, hoeft dus geen torenhoge technische drempel opgeworpen te worden want het gaat maar om een beperkt belang voor de maatschappij. Als de website in NL verboden wapens zou verkopen is het al veel schadelijker als een blokkade makkelijk te omzeilen is dan voor een auteursrechtkwestie.