Auteur: Arnoud Engelfriet

About Arnoud Engelfriet

Website::Subscribe Feeds

Mag Kliksafe https verkeer openbreken?

Geplaatst op in Security, 11 reacties

kliksafeVia Twitter kreeg ik de vraag:

Kliksafe heeft tegenwoordig een speciaal filter voor HTTPS, waarin ze het verkeer decrypten. In hoeverre is dat toegestaan?

Kliksafe is een aanbieder van gefilterd internet. Wie deze dienst afneemt, kan voorkomen dat er ongewenste websites en diensten opgeroepen kunnen worden. De dienst kent een blacklist, whitelist en contentfilter – dat alle opgevraagde informatie scant die niet van een whitelisted site afkomstig is. (Geblackliste sites kun je natuurlijk niets van opvragen.)

Een handige internetter kan natuurlijk een encrypted verbinding opzetten en zo een dergelijk filter omzeilen. Er valt weinig te contentfilteren als je de content niet kunt lezen. Vandaar dat Kliksafe een https-filter heeft ontwikkeld. Dit filter werkt als een man-in-the-middle: de browser denkt dat hij met de bank of Youtube verbinding maakt, maar in feite gebeurt dat met het filter. Hierbij wordt een sleutel gebruikt die het filter kent, zodat het filter het verkeer kan openmaken. Vervolgens zet het filter een verbinding met bank of Youtube op, waarbij het zich voordoet als de browser. De site heeft dus geen idee dat er iemand tussen zit. Overigens staan banksites op de witte lijst, dus hun verkeer blijft versleuteld.

Het openbreken van dergelijk verkeer is al langer bekend. Bedrijven gebruiken dit nog wel eens om uitgaand werknemersverkeer te kunnen inspecteren op strijd met het bedrijfsbeleid. Of dat mag vraag ik me zeer af. Echter, omdat het decrypten hier gebeurt op speciaal verzoek van de klant zelf, lijkt me er weinig mis mee. Net zoals een slotenmaker best op mijn verzoek mijn voordeur mag openbreken.

Iets dubieuzer wordt het als het gaat om een verzoek van de klant maar niet om zijn eigen verkeer. De internetverbinding kan binnenshuis worden gedeeld, en zo zouden ouders het encrypted internetverkeer van hun kinderen kunnen lezen. Dat voelt ergens toch een tikje gek, net als een slotenmaker inhuren om de afgesloten kast in de kinderkamer open te maken (of een securitybedrijf om een verborgen camera in die kamer op te hangen). Maar dat lijkt me toch vooral een keuze van die klant, en niet iets waar je Kliksafe op kunt aankijken.

Arnoud

De leesbare versus de juridisch bindende algemene voorwaarden maken

Geplaatst op in Informatiemaatschappij, 18 reacties

pen-contract-ondertekenen-algemene-voorwaardenEen lezer vroeg me:

Je ziet soms websites die hun algemene voorwaarden in een ‘leesbare’ en ‘juridische’ versie hebben. Die laatste is dan uiteraard bindend, maar wat is dan nog de waarde van de leesbare versie?

Algemene voorwaarden zijn, zoals de wet dat omschrijft, “opgesteld teneinde in een aantal overeenkomsten te worden opgenomen”. Zeg maar juridische #include-files. Het idee is dat je dan niet elke keer hoeft te onderhandelen over ondergeschikte punten zoals wie het bezorgrisico draagt of wat de betalingstermijn is.

Meestal héb je niet eens onderhandelingsruimte bij algemene voorwaarden. Zeker bij internetdiensten, daar dien je braaf een vinkje te zetten en verder niet te veel te zeuren over rare voorwaarden. Ze kunnen toch op ieder moment wijzigen. Lekker puh.

Oké dat was een tikje cynisch. Steeds meer bedrijven zien in dat al te eenzijdige en cryptisch-juridisch opgestelde voorwaarden niet handig zijn, en proberen ze dus leesbaar te krijgen. Een manier daarvoor is een ‘vertaling’ naar normaal Nederlands er boven zetten, met dan de opmerking dat deze vertaling niet bindend is. Creative Commons is denk ik de bekendste exponent van deze trend: zij bieden een “voor mensen leesbare”, een “voor juristen leesbare” en een “voor computers leesbare” versie van al hun vrije-inhoudslicenties aan.

Ik vind het een heel goed idee om juridisch bindende teksten voor gewone mensen leesbaar te maken, maar juist weer erg slecht om die leesbare teksten dan als niet bindend te verklaren. Je doet echt iets verkeerd als je doelgroep je juridische tekst niet kan lezen. En een “dit betekent het, maar misschien ook niet, succes met alsnog de juridische tekst ontrafelen” is dan echt een zwaktebod.

In Nederland is er trouwens al een soort van wettelijke plicht om je algemene voorwaarden leesbaar te houden. De wet eist namelijk (art. 6:238 sub 2 BW) bij een overeenkomst tussen bedrijf en consument dat:

… de bedingen duidelijk en begrijpelijk zijn opgesteld. Bij twijfel over de betekenis van een beding, prevaleert de voor de wederpartij gunstigste uitleg.

Het enige probleem hiermee is dat een rechter ook een jurist is, en die zal dus (vrees ik) eerder denken dat een beding duidelijk is dan de gemiddelde internetdienstafnemende consument.

Ik raak er steeds meer van overtuigd dat we een Wet op de cloud moeten krijgen, met daarin onder meer een hoofdstuk met standaardvoorwaarden voor webdiensten. Een wettelijke default EULA of TOS zeg maar, zodat niet iedereen opnieuw zelf het wiel hoeft uit te vinden.

Arnoud

Mag je geld vragen voor foto’s in het publiek domein?

Geplaatst op in Intellectuele rechten, 21 reacties

grenscontrole-marechaussee-foto-haagedoorn.jpgEen lezer vroeg me:

Vele musea, beeldbanken, archieven, bibliotheken e.d vragen forse vergoedingen om foto’s te mogen gebruiken op bv. een website. Kunnen ze dat op basis van louter de eigendom van een betreffend beeld, voorwerp of document, als er geen auteursrecht op berust? Het zijn immers veelal openbare archieven met hele oude foto’s.

Het auteursrecht op een foto verloopt zeventig jaar na de dood van de maker. Iets preciezer: op 1 januari van het jaar 70 jaar na het sterfjaar. Van een fotograaf die op 3 mei 1934 overleed, zijn de auteursrechten dus per 1 januari 2005 verlopen. Niet 3 of 4 mei 2004 al dus.

Als het auteursrecht is verlopen, mag iedereen de foto’s verveelvoudigen en openbaarmaken oftewel alles doen dat de Auteurswet normaal verbiedt. Alleen: dan moet je wel beschikken over de foto’s. En daar zit hem hier de kneep, want het museum is de enige met een exemplaar.

Op grond van je eigendomsrecht mag je in principe alles eisen dat je wilt. Dit is bijvoorbeeld hoe de KNVB en de voetbalclubs regels kunnen stellen over uitzendrechten van voetbalwedstrijden: wie die niet accepteert, mag het privégrondgebied van de voetbalclubs (het stadion) niet betreden om te filmen. Alleen: digitale data is geen iets dat je in eigendom kunt hebben. Dus kun je, mag je dan wel regels stellen over de digitale data op je website?

In januari stelde onze HR prejudiciële vragen (zeg maar een juridische hulplijn) aan het Europese Hof over precies deze materie, hoewel dan in de context van databankenrecht. Vliegboer Ryanair wilde niet dat haar prijsinformatie door een online prijsvergelijker werd overgenomen, en beriep zich op het databankenrecht, auteursrecht en haar gebruiksvoorwaarden. Die rechten werden vrij snel van tafel geveegd, maar het Hof van Justitie moet nu zeggen of je (gebruiks-)voorwaarden mag stellen aan het gebruik van een databank waar geen databankrecht op rust, enkel omdat het op jouw server draait.

Ik zou het zelf bijzonder storend vinden als ik een publiek-domeinfoto ergens vandaan pluk en dan een sommatie (of factuur) krijg van een museum of beeldbank. Het hele idee van publiek domein is nou juist dat, eh, het hele publiek hierbij mag.

Arnoud

Mag je docenten opnemen (en al dan niet op Youtube zetten?)

Geplaatst op in Ondernemingsvrijheid, Privacy, 40 reacties

youtube-logo.pngEen lezer vroeg me:

Op onze hogeschool krijgen wij met enige regelmaat klachten van docenten over dat hun (hoor)college’s worden opgenomen. Meestal gaat het dan om mensen die een college opnemen voor studie (later terugluisteren), maar soms komen opnames ook op Youtube terecht. Mag een docent dit verbieden of hiertegen optreden?

Het opnemen van een college of les lijkt me niet snel verboden. De strafwet verbiedt het heimelijk opnemen van gesprekken (art. 139b Strafrecht), maar dat gaat volgens mij veel meer om privégesprekken dan om openbare hoorcolleges of lessen. Bovendien, heimelijk opnemen van gesprekken waar je deelnemer aan bent, valt sowieso buiten het strafrecht. En de luisteraar bij een college is toch een deelnemer, zou ik zeggen.

Een situatie die ik zelf wel eens meegemaakt heb, is dat iemand een opname-apparaatje neerlegt bij mijn lessenaar en dan weer weggaat “want ik heb nóg een college”. Die zou ik dan niet echt deelnemer willen noemen, maar als ik dat apparaatje dan laat liggen en laat opnemen dan mag je veronderstellen dat ik er stilzwijgend mee instem dat ik word opgenomen.

Wat je vervolgens doet met die opname kan wél verboden (onrechtmatig of strafbaar) zijn. Ga je het thuis nog eens naluisteren bij de studie, dan zie ik het juridische probleem niet. Dat zijn in feite audio-aantekeningen dan. Zelfs delen met je studiegenoten zou ik nog net legaal vinden, mits die het ook maar voor studie inzetten. Er geld voor vragen voelt ergens verkeerd, hoewel het zelden zo is dat iets legaal is als je het gratis doet maar illegaal als je er geld voor vraagt.

Zet je de opname op internet, dan loop je al snel tegen het portretrecht van de docent aan. Zeker wanneer je hem of haar gaat afkraken of te kijk zet voor anderen. Hoewel een college normaal openbaar is, trek je het zo een heel andere context in en dan kan de docent op grond van zijn portretrecht daartegen optreden. Ook de school of universiteit kan daar dan wat tegen doen: als goed werkgever moeten ze waken over de privacy van hun werknemers, als die door werkgerelateerd handelen in gevaar komt.

Een school kan in haar reglementen natuurlijk een clausule opnemen over het al dan niet mogen opnemen van colleges. Ik zou daar wel wat moeite mee hebben, omdat het vergaren van informatie een grondrecht is (deel van de vrijheid van meningsuiting) en een opleidingsinstituut die vrijheid niet zomaar even aan banden mag leggen. Als het wordt gekoppeld aan specifieke vervelende toepassingen van de opname (bv. publiceren op Youtube) dan lijkt het me wel legaal, maar gewoon categorisch “Zonder toestemming docent mag geen opname van het college worden gemaakt” zou ik niet legaal vinden.

Eerlijk gezegd weet ik niet goed wat het bezwaar kan zijn tegen opnemen van een college om dit later af te luisteren bij het studeren. Jullie wel?

Arnoud

Gelden de EULA’s van Apple en Microsoft eigenlijk wel bij aanschaf van een nieuwe computer?

Geplaatst op in Informatiemaatschappij, 25 reacties

safari_license_agreement.jpgEen lezer vroeg me:

Als ik een MacBook van Apple koop (en die koop omvat de computer zelf inclusief het besturingssysteem), krijg ik de AV van Apple (hun EULA) pas te zien als ik de laptop aanzet. Is dat juridisch wel correct? Je moet toch algemene voorwaarden bij de aankoop ter hand stellen en niet pas na thuiskomst?

Een EULA valt in Nederland onder het regime van algemene voorwaarden. Dat houdt in dat ze al snel van toepassing zijn – meer dan melden en ter hand stellen van de tekst is niet nodig. Daar staat tegenover dat ze niet onredelijk bezwarend mogen zijn (bij consumenten). Dat een EULA in Nederland niet rechtsgeldig is, is dus een fabeltje.

De eis van ter hand stellen houdt in dat je voor of bij het sluiten van de overeenkomst de tekst van de EULA te zien moet krijgen. Slechts wanneer het praktisch gezien onmogelijk is om ze te overhandigen, mag je volstaan met melden dát ze er zijn en waar ze in te zien zijn. De Albert Heijn hoeft dus niet bij de kassa haar voorwaarden uit te delen, maar mag ze bij de servicedesk beschikbaar houden.

De vraag is dus of een computerwinkel vergelijkbaar is met Albert Heijn. Dan is het genoeg om te zeggen “Let op: EULA van toepassing op de software” en deze EULA aan de balie op voorraad te houden. Zijn ze ‘kleiner’, dan moet de EULA uitgeprint meegegeven bij elke aanschaf van een computer.

Gek genoeg is er bij mijn weten geen computerboer die bij aanschaf van een PC of Mac zelfs maar die opmerking plaatst dát er een EULA van toepassing is op de software die je koopt. Op dozen van sommige softwarepakketten (zoals Windows 7) staat het wel op de achterkant, dat lijkt me op zich wel genoeg. Maar bij voorgeïnstalleerde (OEM) software krijg je geen doos, dus ook geen achterkanttekst over de algemene voorwaarden.

Wie dus zwaar op de juridische hand wil zijn, mag nu concluderen dat EULA’s op dergelijke preinstalled software en masse niet bindend zijn.

Je vraagt je af waarom niemand daar ooit een punt van maakt. Omdat niemand wakker ligt van EULA’s? Omdat we gedresseerd zijn op “Accept” te klikken bij het installeren?

Arnoud

Wat is beter: een telefoonnummer of een socialemediaaccount?

Geplaatst op in Ondernemingsvrijheid, 66 reacties

aansluitpunt-muur-telefoon-adsl.pngEen lezer vroeg me:

Als ik het goed begrijp, moet ik op onze webshop een telefoonnummmer vermelden. Ik heb daar moeite mee, want bellen is erg storend voor mijn werk. Wel houd ik de hele dag Twitter en Facebook in de gaten, en zal ik binnen een uur of zo reageren. Waarom vindt de wet dat niet genoeg?

De wet eist inderdaad expliciet dat aanbieders van internetdienstverlening (zoals webshopeigenaren) een telefoonnummer vermelden op hun site. Art. 3:15d BW formuleert het zo:

gegevens die een snel contact en een rechtstreekse en effectieve communicatie met hem mogelijk maken, met inbegrip van zijn elektronische postadres;

Dat hieronder ook een telefoonnummer valt, werd in 2008 bevestigd door het Hof van Justitie. En vanwege dat “met inbegrip” concludeerde dat Hof dat je náást e-mail een telefoonnummer moest publiceren. En uiteraard opnemen als men daarheen belt, hoewel binnen het redelijke: niemand verwacht dat een winkel om 3 uur ’s nachts telefonisch bereikbaar is.

Het argument hierbij is dat e-mail minder direct is dan de telefoon. Wie een probleem heeft met zijn bestelling, wil soms direct contact om live uit te kunnen leggen wat het probleem is. Dat kan per telefoon, maar een mail die een dag later wordt beantwoord is niet genoeg. Een chat of contactformulier mocht wel – mits men maar binnen 30 tot 60 minuten reageert op vragen daarin.

Vandaag de dag zou je die norm best door kunnen trekken naar sociale media. Als je daar bovenop zit, en dus binnen 30 tot 60 minuten reageert op vragen en klachten, dan heb je niet óók nog een telefoonnummer nodig.

Tegelijk voel ik er wel een beetje huiver bij: ik vind het persoonlijk best irritant om berichtjes in een chat te typen. Je moet maar net afwachten wanneer je een reactie krijgt en of ze je bericht hebben opgevat zoals je het bedoelde. Aan de telefoon hoor je zoiets, en je kunt direct inbreken en corrigeren. Plus, 30 minuten lag in de conversatie is buitengewoon irritant, zeker als je met een acuut probleem zit.

Wat vinden jullie? Is de telefoon superieur aan Twitter/Facebook/chats voor klantenservice?

Arnoud

Mag ik hacken om mijn klant te migreren naar een nieuwe omgeving?

Geplaatst op in Security, 31 reacties

migrationEen lezer vroeg me:

Een nieuwe klant vroeg ons hen te migreren naar een nieuwe omgeving. Echter, er blijkt een geschil te zijn met de huidige ICT-leverancier en mijn klant heeft de benodigde wachtwoorden dan ook niet. De klant heeft me gevraagd de betreffende systemen te hacken omdat dat geschil nog wel even kan duren (er zijn al advocaten losgelaten). Mag ik dit doen?

Helaas komen dit soort situaties vaker voor. De klant heeft een dispuut met zijn ICT-leverancier, die blokkeert de dienst of weigert relevante wachtwoorden of data te verstrekken en dan zit je daar als klant. Of, omgekeerd: je hebt een dispuut met je klant, die wil dan boos weg (terwijl het contract nog gewoon loopt en de klant ongelijk heeft met z’n dispuut) en dan moet jij zeker gratis alles even aan laten staan zodat hij alles kan downloaden en migreren en daarna je facturen vrolijk niet betalen.

Hoe dan ook, als nieuwe leverancier heb je daar niets mee te maken. Laat je daar ook niet toe verleiden, want voor je het weet ben je partij en krijg je een deel van het ongenoegen over je heen.

De klant helpen met een migratie mag, ook als de migratie gebeurt vanaf een omgeving waar iemand anders iets over te zeggen heeft. Net zo goed als jij als verhuisbedrijf spullen mag weghalen bij een gehuurd pand waarvan huurder en verhuurder een dispuut hebben over achterstallige huurbedragen. Wat je echter niet mag, is in zo’n situatie de door de verhuurder afgesloten deur openbreken.

In de ICT-situatie betekent dat dus: je mag geen wachtwoorden kraken van servers die in eigendom zijn bij de verhuurder, pardon de leverancier. Ook mag je niet op zoek naar achterdeurtjes om daar data uit te halen. Ook niet als het gaat om klantdata. Het mag dan “klantdata” heten in het ICT-spraakgebruik, maar juridisch gezien is data niets. Er valt dus niets op te eisen, in tegenstelling tot bv. fysieke spullen die opgeslagen zijn bij de leverancier.

Wachtwoorden kunnen ook een rol spelen bij systemen van de klant zelf, zoals laptops of door hen zelf aangeschafte servers. Door de leverancier daarop ingestelde wachtwoorden mag je wél kraken of veranderen. De systemen zijn immers eigendom van de klant, en het is niet strafbaar om in opdracht van de eigenaar een beveiliging onklaar te maken.

Twijfel je over de legaliteit van wat je klant vraagt, dan kun je een garantie en vrijwaring van je klant verlangen dat je dit mag en dat zij alle boetes en schadeclaims die jij krijgt, moeten vergoeden. Dat werkt dan echter weer niet wanneer het evident is dat de klantvraag illegaal is. “Ze draaien een oude versie van PHP, kun jij ergens op zo’n hackersite iets vinden dat je binnen kunt komen en onze database kunt downloaden” is geen legitieme klantvraag. Ook niet als daar de enige plek is waar de klantdata staat.

Hebben jullie wel eens zulke disputen meegemaakt als derde? En hoe ging je daarmee om?

Arnoud

Mag je een merknaam noemen in een kritisch artikel over een bedrijf?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 13 reacties

logo-startersleningOh noes, las ik bij Das Kapital. De financiëlenieuwssite kreeg een blafbrief van een internetondernemer omdat men in een kritisch artikel het had gewaagd een screenshot te tonen, de geregistreerde merk- en handelsnaam te noemen en ook nog eens te línken naar de site. Een tactiek die ik vaker zie: in plaats van inhoudelijk in te gaan op de kritiek, beroept men zich op een auteursrecht of merkrecht in de hoop zo de hoster of uitgever te laten schrikken en snel actie te nemen.

Het artikel van Das Kapital zette vraagtekens bij een SBS6-programma waarin de diensten van Starterslening.nl aan de orde kwamen. Zo wordt er verwezen naar de leningen middels de term ‘subsidie’, en wordt gesteld dat kopen goedkoper is dan huren. Das Kapital kwam met argumenten, en tegen argumenten zijn natuurlijk altijd tegenargumenten in te brengen, maar in plaats van tegenargumenten kwam er bij de provider van Das Kapital een notice/takedownbrief die spreekt van “illegale content en inbreuk op onze merk- en handelsrechten”.

Wat er precies illegaal is aan de content van DK is me onduidelijk; het enige dat ik uit de brief kan halen is dat een screenshot van de video van Starterslening.nl wordt gebruikt en dat de handelsnaam wordt genoemd. Ook spreekt de brief van merknamen, maar een woordmerk van Starterslening kan ik niet ontdekken bij het BBIE. Het enige merk dat ik vond, is het hiernaast getoonde beeldmerk. En niet voor niets is dit een beeldmerk: een generieke kreet als “starterslening” voor, eh, leningen aan starters, krijg je echt niet als merk vastgelegd. Zo’n huisje op zich wel, maar geeft geen rechten op een generieke term die bij het huisje geschreven is.

Maar Arnoud, mag jij dan dat gedeponeerde Merk® daar wel tonen zonder uitdrukkelijke voorafgaande schriftelijke toestemming van de directie van Starterslening.nl®TM©? Ja, dat mag ik, en wel om dezelfde reden als dat Das Kapital een screenshot uit de reclamevideo mag tonen: het citaatrecht. Ter illustratie of onderbouwing van een betoog mag je tekst of beeld van derden gebruiken, ook als dat als merk is vastgelegd. Het merkenrecht is bedoeld om te verhinderen dat concurrenten bij je naam (of logo) gaan aanhaken, niet om te verhinderen dat mensen over je praten. Dat Das Kapitaal een advertentiegesponsorde uitgave is, is daarbij niet relevant.

Waarom gebruiken mensen dit soort tactieken? Tsja. Mijn gedachte daarbij is dat sommige mensen denken dat een merk of auteursrecht een absoluut recht is – logisch, want die term staat in de juridische handboeken. Alleen betekent hij daar “een recht dat je tegen iedereen kunt inzetten, en niet alleen tegen één specifiek persoon (een relatief recht)”. En niet “een recht dat zonder nuance te allen tijde boven alle andere rechten gaat”. Oftewel: een merk/auteursrecht zou je een juridische joker geven waarmee je elke discussie wint: hela, je noemt mijn Merk®, dat mag niet, haal maar weg. En door dat op te fleuren met wat juridische taal heb je dan een reële kans dat de wederpartij denkt, oh jee, weghalen dus maar. Zeker als je naar een hoster mailt, waar niet per se juridische kennis aanwezig is en niet iedereen zin heeft in discussies met blafbriefschrijvers.

Maar het is onzin. Serieus. Kritiek leveren mag, mits die kritiek natuurlijk voldoende basis in de feiten heeft. Is de kritiek voldoende onderbouwd, dan mag ook de naam van de betrokken partij worden genoemd of relevante screenshots/teksten/citaten worden opgevoerd. Vaak is dat zelfs onvermijdelijk: de onderbouwing veréist meestal dat je man en paard noemt, omdat deze anders niet verifieerbaar is.

En over dat linkverbod kan ik kort zijn: linken is legaal, punt.

Arnoud

Wat gaan we nou eens doen met die cookiewet?

Geplaatst op in Innovatie, Privacy, 37 reacties

cookie-bril.jpgNederlandse websites schenden massaal de privacywetgeving door informatie over surf- en klikgedrag van bezoekers, zonder hun toestemming, door te geven aan advertentiebedrijven, meldde NRC gisteren. Grote woorden: het gaat zo te lezen om de inzet van Google Analytics en dergelijke tools, niet om drones die bij de bezoeker in de slaapkamer het gedrag livestreamen naar Dumpert.nl. De reacties van enkele sites zijn dan ook schouderophalend. Uiteraard schuimbekken de politici – het is immers verkiezingstijd – over deze grove schending. Maar eh jongens wat gaan we nou eens dóen met die stomme cookiewet?

De cookiewet is in 2012 aangenomen in de verwachting dat websites dan minder cookies zouden droppen, want toestemming vragen was toch best vervelend en de privacy van de bezoeker staat toch hoog in het vaandel bij elke site, getuige immers hun privacyverklaringen. Maar de reactie was een massaal “deze wet is gek” en veel partijen gingen gewoon door met cookies zetten, of plaatsten een niet te ontwijken toestemmingsknop op hun site om zo die toestemming af te dwingen. Ik ken geen site die heeft gezegd, wat een goed idee die cookiewet, wij stoppen met het tracken van onze bezoekers.

Dat dit niet mag, staat boven kijf. De cookiewet eist dat je toestemming hebt verkregen om cookies te mogen plaatsen, en wanneer zo’n cookie gebruikt wordt voor tracking of profiling dan val je ook nog eens onder de Wet bescherming persoonsgegevens met haar eisen over inzage, correctie en zorgvuldige verwerking.

Om toch te kunnen tracken, wrong menig site zich in allerlei bochten. De populairste bocht was bovenaan een zwarte balk met “Wij zetten cookies, daar gaat u mee akkoord door deze site te blijven gebruiken”. En heel vaak roepen dat deze opt-out een opt-in was, hielp daar ook bij. Maar vooral het feit dat de OPTA – tegenwoordig ACM – geen zichtbare actie ondernam tegen sites die op deze manier de wet schenden, was een grote klap voor de geloofwaardigheid van die wet.

De doodsteek kwam toen de minister een wetsvoorstel aankondigde om analyticscookies buiten de wet te plaatsen. Cookies met als doel “informatie verkrijgen over de kwaliteit of effectiviteit van een geleverde dienst van de informatiemaatschappij” die “geen of geringe gevolgen” voor de privacy hadden, zouden dan legaal zijn zonder toestemming. Volgens de minister mag dat van Europa, omdat het doel van de cookiewet is de privacy te waarborgen dus hoeven privacymetrustlatende cookies niet onder de wet te vallen. Dat de Europese cookiewet expliciet naar álle cookies verwijst en mede als doel heeft te zorgen dat er geen informatie op iemands harddisk komt zonder toestemming, zal ik dan maar niet te hard zeggen.

De ophef en frustratie – om niet te zeggen sábotage – bij de cookiewet is ergens wel begrijpelijk want het voorziene systeem is onwerkbaar. En we zijn zó gewend aan uitgebreide analytics en monitoring van onze websites dat het voelt alsof we weer terug moeten naar paard en wagen. En ook als privacymindende gebruiker heb ik een hekel aan de cookiewet: waar ik vroeger met een cookieblocker prima kon surfen, krijg ik door diezelfde blocker nu elke keer die stomme balken in beeld. Ik moet nu dus akkoord geven op privacyschendingen die ik voorheen kon voorkomen. Hoe is dat vooruitgang?

Goed. Ja ik ben alweer rustig. Maar de vraag blijft: wat gaan we doen met die cookiewet? Het lijkt me duidelijk dat het ding niet werkt zoals verwacht. En als een wet zó massaal wordt genegeerd en gepasseerd, dan wordt het lijkt mij de hoogste tijd eens wat aan die wet te gaan doen (u krijgt nog de groeten van de Auteurswet 1912). Ik zou alleen niet weten wat.

De belangrijkste beperking die ik zie, is dat het systeem van toestemming fundamenteel niet werkt. Mensen willen geen ja of nee zeggen tegen privacy-dingen, ze willen hun plaatje of filmpje of grappig artikel. Denken dat mensen met voldoende uitleg en knoppen wél gaan nadenken hierover, vind ik uitermate naïef. De enige reële route is volgens mij in de wet opnemen wat er wel en niet mag, bijvoorbeeld via een grijze en zwarte lijst van privacyschendingen. Zwartelijstverwerkingen mogen dan nooit (bv. individuele profielen die gezondheidsinformatie bevatten aan verzekeraars geven) en grijzelijstverwerkingen mogen dan alleen als de verwerker kan aantonen een groot belang te hebben én de privacyinbreuk wordt geminimaliseerd (bv. Google Streetview met opt-out). Dan hoef je het de mensen niet meer te vragen en voeren we het debat over privacy waar het hoort: in het parlement, bij het maken van een wet hierover.

Ja, ik kan lang wachten op zulke lijsten, ik weet het. Maar wat gaan we dan wél doen met die cookiewet?

Arnoud

Mag UPC mijn internetverbinding delen via WifiSpots?

Geplaatst op in Innovatie, 65 reacties

upc-wifi-spotsAls internetklant van UPC beschikt u over WifiSpots van UPC, juichte de nieuwsbrief van mijn internetprovider onlangs. WifiSpots is UPC’s naam voor een nieuwe dienst waarbij je overal in Nederland gratis draadloos internet krijgt als je in de buurt bent van een andere UPC-modem. Die staan sinds kort standaard de internetverbinding te delen. Weliswaar op een ander netwerk en je wordt afgeknepen als de ‘echte’ gebruiker daarvan wil internetten, maar toch. Mag dat zomaar, mijn modem inzetten om andere mensen buiten mijn wil om te laten internetten via mijn kabel?

Ik heb menig mail ontvangen van UPC-klanten die zich zorgen maken over dit plan. Ook met verontwaardiging: het is toch mijn huis, mijn verhuurder mag toch ook niet ineens de zolder aan een ander verhuren of mijn wc beschikbaar stellen voor passanten?

Dergelijke analogieën zijn leuk bedacht maar gaan helaas niet op. Een wifi-verbinding is geen huis of wc. Het is geen ding, iets dat je kunt stelen of dat misbruikt kan worden door anderen. Het is een functionaliteit van een modem dat je in bruikleen hebt. De leengever mag daar extra functionaliteiten aan toevoegen zolang jij daar geen last van hebt. Of beter gezegd, in de wet staat nergens dat hij dit niet mag. Logisch, want de regels over bruikleen (art. 7A:1777 BW en verder) zijn ouder dan het internet.

UPC zegt zelf:

WifiSpots en uw eigen internetverbinding zijn van elkaar gescheiden. Elke verbinding heeft een eigen signaal. U merkt er zelf niks van als anderen bij u gebruikmaken van WifiSpots. Hetzelfde geldt voor de beveiliging. Het internetgebruik van WifiSpots heeft geen invloed op dat van u. Het maakt niet uit welke websites worden bezocht of welke bestanden worden gedownload.

Update (18 maart): zelf even getest met UPC in Eindhoven: als ik via mijn eigen UPC netwerk internet opga, ben ik zichtbaar als IP-adres 89.98.39.10 (chello.nl). Ga ik via de Wifispots access point op hetzelfde modem, dan krijg ik IP-adres 46.129.209.69 (upc.nl). Volgens mij bewijst dat duidelijk dat het écht gescheiden verbindingen zijn.

Daarmee zie ik de hinder niet, eerlijk gezegd. Het enige dat ik kan bedenken is iemand die hinderlijk in mijn voortuin gaat staan om zo een extra streepje te krijgen van mijn modem. Dat mag niet, maar ik zou me gelijk een tachtigjarige voelen die voetballende buurjongens wegjaagt als ik dáár wat tegen ga doen. Daarnaast is er in theorie nog het extra energieverbruik, twee wifinetwerken kost immers meer stroom dan eentje. Maar dat is zo marginaal dat je er geen rechtszaak over zou kunnen beginnen.

Arnoud