National Security Letters zijn tegen Amerikaanse grondwet, is de Amerikaanse cloud nu veilig tegen datagraaien?

cloud-flag-usaEen federale rechter heeft de beruchte national security letter ongrondwettig verklaard, meldde Wired vorige week. Het stukje dat bepaalde dat je niet mag melden dat je een datagraaibevel hebt gekregen, is tegen de grondwet – je moet elke overheidshandeling kunnen aanvechten bij de rechter, en bovendien is het sowieso tegen de vrijheid van meningsuiting als de overheid een wet met “je mag niet praten over” erin maakt. En vanwege een wetstechnisch probleempje is daarmee de gehele NSL-constructie van tafel, en niet alleen de gag order daaruit.

De NSL is het grote pijnpunt in de Patriot Act: de FBI mag met zo’n ding zonder gerechtelijk bevel datagraaien én kan de hostingprovider nog verbieden te melden dat er gegraaid is (“gag order”). Hoewel de scherpste kantjes er al enige tijd geleden vanaf gehaald waren, bleef het ding eng voor ons Europeanen. Zeker omdat er steeds meer geluiden kwamen dat de datagraaibevoegdheden uit de Patriot Act ook zouden gelden voor data opgeslagen in Europese datacenters en/of van Europese klanten.

Het ongrondwettig verklaren betreft echter alleen dat stukje van het FBI-graaien. De wet als geheel blijft overeind, en dus ook het stuk waarin men met gerechtelijk bevel data mag opvragen. Wat dat betreft verandert er dus maar weinig. Een gerechtelijk bevel is vrij eenvoudig te krijgen in de VS. En ook bij ons trouwens. Meer dan een machtiging van de rechter-commissaris is niet nodig, een provider die rekent op een rechtszaak om zijn standpunt te mogen verdedigen zal dus van een koude kermis thuiskomen.

Het grote bezwaar tegen de Amerikaanse cloud was echter met name dat FBI-graaien. Graaien met gerechtelijk bevel (= zo’n machtiging dus) mag ook bij ons, en is dus geen principe-bezwaar tegen hosten in de Amerikaanse cloud. Dus wat dat betreft

En ja, ik gebruik hier het hypewoord datagraaien en niet een neutrale term als “bevragingen bij dienstverleners van de informatiemaatschappij” of zo. Dat is natuurlijk vooral om mijn zoekmachinepositie te handhaven, want juridisch is het weinig bijzonders. Dat Justitie kan graaien in opgeslagen data is niets nieuws, hooguit de schaal waarop het gebeurt (van mega naar giga) is anders in de cloud. Maar we zijn kampioen aftappen van telefoongesprekken (in absolute aantallen) dus waarom zou het nu ineens wél gek zijn dat we ook veel dataopslag gaan tappen of doorzoeken?

Arnoud

Maakt het voor smaad via Twitter uit hoe veel volgers je hebt?

twitter-scheld-dreig.pngMaakt het voor smaad via Twitter uit hoe veel volgers je hebt? In een Engelse rechtszaak koos de advocaat van de aangesproken persoon die insteek. Wie minder dan 500 volgers heeft, wordt gesommeerd excuses te maken en 25 pond te doneren aan een goed doel. Wie meer dan 500 volgers heeft, krijgt een proces aan de broek waarin 25 duizend pond wordt geëist. Dat las ik in de Volkskrant (€). Het is natuurlijk maar een eis, en geen rechter heeft ooit bepaald dat zo’n constructie juist is, maar toch. Er zit ergens wel wat in.

De Britse Lord McAlpine werd in het BBC-programma Newsnight ten onrechte beschuldigd van betrokkenheid bij kindermisbruik, en de omroep betaalde daar £185,000 voor aan schadevergoeding. McAlpine’s naam viel naar aanleiding van die uitzending ook vele malen op Twitter, en zijn advocaat wil nu ook dáár schadeclaims vorderen.

Je kunt je afvragen of je wel smaad pleegt als je iemands naam noemt als die in een gerespecteerd TV-programma zo gepresenteerd wordt. De meeste mensen zullen te goeder trouw aannemen dat de BBC de juiste persoon aanwees, lijkt me. Dat de BBC fout zit, is duidelijk – en daarom betaalden ze zelf ook een fors bedrag. Maar zitten daarmee de twitteraars ook fout? In dit geval denk ik het wel, omdat de BBC niet zelf de naam van McAlpine noemde. Maar wat nu als de BBC dat wél had gedaan? Dan ontbreekt volgens mij de bij smaad vereiste kwade opzet. Maar dat even terzijde.

In Nederland hebben we een paar rechtszaken gehad over de vraag hoe openbaar Hyves of MSN nu eigenlijk was. Smaad kan namelijk alleen in het openbaar gepleegd worden. Uit deze uitspraken kun je halen dat een LinkedIn-groep waar iedereen zomaar lid van kan worden, openbaar is maar een MSN-chatlijst waarbij een, eh, deurbeleid wordt gevoerd niet. Een Twitteraccount zonder slotje zou volgens deze criteria ook openbaar zijn.

De insteek van het aantal volgers om te bepalen hoe veel schade je doet, vind ik wel een creatieve. En er zit wel in: als jij 5 man een smadelijke mededeling doet of 5000, dan maakt dat nogal uit in impact. En als je concreet weet hoe veel mensen de mededeling hebben gehad, dan ligt het ergens wel voor de hand om de schadevergoeding te relateren aan dat aantal. Maar het zal al snel leiden tot de vraag: bij welk aantal volgers slaat het om en word je een ‘grote’ smaadpleger? Of moeten we zeggen, de boete voor smaad is 5 euro per volger?

Arnoud

Wanneer is een servicemail reclame?

attachment-bijlage-mail-email-doorsturen-geheim.jpgEen lezer vroeg me:

Ik heb ooit iets gekocht via de Bruna website en me later keurig afgemeld voor mailtjes. Ik kreeg echter vandaag een mail getiteld “Servicemail”, met volgens mij toch echt reclame voor hun nieuwe dienst. Maar afmelden mocht niet: onderaan staat namelijk “De Bruna servicemails bevatten belangrijke informatie aangaande producten en diensten van Bruna. Wegens onze plicht om u goed te informeren kunt u zich niet afmelden voor de servicemails van Bruna.” Klopt dat wel?

Een ongevraagde servicemail is toegestaan onder de spamwet (Telecommunicatiewet), maar natuurlijk alleen als deze uitsluitend service en informatie aan klanten levert. De spamwet verbiedt namelijk alleen het mailen van commerciële (en ideële en charitatieve) reclame.

Melden “onze site is wegens onderhoud gesloten woensdag” is geen reclame. “Wij hebben de volgende nieuwe boeken voor u geselecteerd” is natuurlijk wél reclame, welk kopje je er ook boven zet. Die beoordeling gaat op de inhoud, en niet op de titel die de afzender eraan geeft.

Eenzelfde discussie zie je wel over nieuwsbrieven. Een mailing met nieuws is geen spam, maar een mailing met reclame wel. En waar dan de grens ligt, is een hele moeilijke. Zeker als je bedenkt dat een nieuwsbericht vanuit een commerciële gedachte gestuurd kan worden, en daarmee alsnog spam kan zijn. Dat de cookiewet wellicht verzacht wordt, is nieuws. Maar als ik dat mail vanuit mijn bedrijf dat juridisch advies over de cookiewet verkoopt, dan voelt dat toch stiekem wel als reclame.

Dus nee, dit mag niet wat Bruna doet. Hooguit als die nieuwe dienst in feite een vervanging is voor de dienst die je nu afneemt, dan zou ik er met enige fantasie nog wel iets van service in kunnen zien: “Onze website is vernieuwd, leer hoe u inlogt en bestelt als vaste klant”. Maar de giecheltoets komt meteen om de hoek kijken.

Arnoud

Kan mijn werkgever me verplichten thuis te mailen?

outlook-webmailEen lezer vroeg me:

Sinds we webmail hebben, gaat mijn manager er voor het gemak maar vanuit dat ik ook ’s avonds en op mijn vrije dag mijn mail bijhoud. Ik werd er laatst op aangesproken dat ik een mail niet had gezien die op mijn vrije dag was verstuurd. Kan hij dat werkelijk van me eisen?

Nou nee, niet zomaar.

Er is een Arbeidstijdenwet maar die regelt niet expliciet hoe het zit met overwerk. Verder dan een dagmaximum van 12 uur per dag en 60 uur per week en “een onafgebroken rusttijd van ten minste 11 uren in elke aaneengesloten periode van 24 uren” plus regels over een half uur pauze als je werkdag meer is dan 5,5 uur gaat het niet. Hoe je binnen die kaders het werk inricht, is aan werkgever en werknemer.

In een CAO of arbeidsovereenkomst kunnen specifiekere regels worden opgenomen, bijvoorbeeld dat je nooit hoeft over te werken of juist dat men een X aantal uren overwerk per maand mag verlangen. Dat is dan in principe bindend.

Je bent als werknemer in principe niet verplicht om over te werken, maar het is ook weer niet zo dat je nooit hoeft over te werken. Een werknemer moet zich ‘goed’ gedragen (en een werkgever trouwens ook), en als vanuit die open norm overwerk nodig is dan moet je dat doen. Omgekeerd moet die goed werkgever wel rekening houden met jouw werk/privé balans en daarbij hoort ook mensen niet structureel overwerk opdringen. Zeker niet als ze een parttime contract hebben – het hele púnt is dan juist dat je die paar dagen niet werkt.

Om een of andere reden werkt dit soort dingen in de ICT net even wat anders dan elders. Waar geen bouwvakker ’s avonds nog even een muurtje gaat leggen, zit menig ICT-professional de hele avond nog mail af te handelen. Zijn dat de mores van de beroepsgroep of is het iets dat we gewoon doen omdat het zo makkelijk is, zeker met een BYOD waar toch al de webmail op zit?

Arnoud

Wat betekent ‘Dell raadt Windows aan’?

windows-recommendedEen lezer vroeg me:

Laatst heb ik een Dell Alienware laptop gekocht. Op de site staat “Alienware raadt Windows aan.”. “Ok dat mag” dacht ik. Aanraden kan altijd. Dus ik zet er Linux op en werkte tot volle tevredenheid. Na enige tijd merkte ik problemen op die waarschijnlijk met het bios te maken hebben. Gelukkig was er een bios update. Alleen: deze is als een microsoft .exe-bestand gepubliceerd. Daar kun je onder Linux niks mee. En bij navraag meldt Dell me letterlijk: “Omdat Windows wordt meegeleverd op deze systemen leveren wij ook alleen support hiervoor. De update voor het Bios wordt alleen maar uitgebracht voor Windows hierdoor.” Heb ik nu inderdaad pech?

De term “raadt Windows aan” zou ik niet opvatten als “wij leveren alleen support als u Windows afneemt”. Dat is gewoon een reclamekreet op gesponsord verzoek van Microsoft. Dat mag, en betekent niet dat als je de PC met Linux afneemt je dús nergens recht op hebt.

Wél relevant lijkt me of de laptop met Windows geléverd is. In die situatie mag Dell concluderen dat je een Windowsgebruiker bent, en als ze dan de bios update alleen als Windows-programma beschikbaar hebben dan staan ze volgens mij wel in hun recht. Ik denk niet dat zij rekening moeten houden met de mogelijkheid dat jij zelf Windows gewist hebt en daarna Linux installeerde.

Als ze zelf (ook) Linux-varianten van de laptop leveren, dan moet natuurlijk ook de bios update in een Linux-installeerbaar formaat beschikbaar zijn. En die varianten zijn er, zoals deze XPS 13 Developer Edition, hoewel ik bij het lezen van de productbeschrijvingen wel steeds het gevoel krijg van een moetje: de klant vraagt erom, wat een rare mensen maar goed dan maken we wel iets dat Linux draait. De tekst is lang niet zo’n feestje als bij de Windows 8 laptops.

Bij de Alienware laptops heb ik alleen de keuze uit diverse Windowsvarianten. Zelfs de optie “geen OS” is afwezig. Dan denk ik dat Dell wel mag zeggen, deze producten zijn per definitie Windows dus hoeven wij de updates alleen vanuit Windows te ondersteunen.

Heeft iemand een tip hoe toch zo’n .exe update toe te passen vanuit Linux?

Arnoud

Bestaat er goede trouw bij de aankoop van illegale software?

hardware-software-computer-gollem-huh.jpgEen lezer vroeg me:

Stel dat iemand mijn fiets steelt en die doorverkoopt tegen een reële prijs. Dan is de fiets officieel van de koper en krijg ik hem niet terug. Maar hoe werkt dat nu met software? Als iemand mijn software gaat doorverkopen zonder dat dat mag, wanneer is de koper dan tóch eigenaar?

Als een zaak (een ding, zoals een fiets) door diefstal wordt verkregen, dan kan de dief deze juridisch gezien niet doorverkopen. Hij is immers geen eigenaar. Echter, wat nu als de koper te goeder trouw meende echt een legale fiets te kopen? Dan zou het wel zuur zijn als hij die vervolgens moest inleveren omdat deze tóch gestolen blijkt. Daarom bepaalt de wet dat een particulier die koopt bij een winkel (en tegen een normale prijs) beschermd wordt: hij wordt eigenaar, ook als de fiets gestolen was. (Oké, dit is óók zuur want de bestolen eerste eigenaar heeft nu het nakijken. Maar je moet íets.)

Bij software ligt dit anders. Software is geen zaak en kan niet worden gestolen. Bovenstaande regel geldt dus niet, behalve als we het hebben over standaardsoftware tegen een reële prijs (die kon je immers wél kopen) en deze dus in een winkel wordt doorverkocht. Maar een website is geen winkel. En bovendien is “doorverkoop van een licentie buiten de grenzen van de Usedsoft-uitspraak” niet hetzelfde als diefstal, maar alleen auteursrechtinbreuk.

Meestal zal er bij softwareverkrijging sprake zijn van licentieverlening. (Ik hoor nu hAl tussendoor: “Nee hoor, meestal is er sprake van welbewuste piraterij.” En ja, oké, maar daar ging deze blog even niet over.) In die situatie kan er ook sprake zijn van een vorm van goede trouw. Wat je dan namelijk aan de hand hebt, is een beweerdelijke vertegenwoordiging: de ‘doorverkoper’ van de software (de licentienemer) doet alsof hij bevoegd is namens jou een licentie te verlenen aan zijn wederpartij (de doorkoper?). En daar is een wetsartikel voor:

Is een rechtshandeling in naam van een ander verricht, dan kan tegen de wederpartij, indien zij op grond van een verklaring of gedraging van die ander heeft aangenomen en onder de gegeven omstandigheden redelijkerwijze mocht aannemen dat een toereikende volmacht was verleend, op de onjuistheid van deze veronderstelling geen beroep worden gedaan.

De vraag is dus of de rechthebbende de indruk heeft gewekt dat de licentienemer de licentie mocht doorverhandelen of nieuwe licenties mocht uitdelen. Bij gewoon doorgeven van een verkregen licentie zal daar geen sprake van zijn, maar wanneer iemand op de site van de rechthebbende als ‘certified partner’ of iets dergelijks vermeld staat dan zou ik die indruk wel durven aannemen. De rechthebbende zit dan vast aan die licentie, ook al mocht die eigenlijk niet worden verleend.

Ik vraag me af hoe vaak dit voorkomt. Vaker dan je denkt, denk ik (ahem). Wie durft er te zeggen dat ‘ie écht de licentiestructuren van de bekende softwarereuzen doorgrondt?

Arnoud

Mag een school zijn informatiesystemen wel uitbesteden?

Een lezer vroeg me:

De school van mijn dochter gaat gebruik maken van het leerlingvolgsysteem ParnasSys. Dit is een SaaS-dienst, waarbij persoonsgegevens worden verzameld. Maar ik kan nergens vinden dat het bedrijf dit heeft aangemeld bij het College bescherming persoonsgegevens! Mag dit dan wel?

Hoofdregel bij de Wet bescherming persoonsgegevens is dat je je verwerking moet melden bij de toezichthouder. Ja, altijd. Maar omdat je dan inderdaad helemáál knettergek wordt van die wet, is er een serie vrijstellingen opgenomen. Zo hoef je een intranet niet (meer) te melden, mits je maar binnen de regels van de vrijstelling blijft.

Misverstand daarbij is trouwens dat “onder de vrijstelling vallen” betekent dat je legaal bent. Je hebt echter nog stééds adequate toestemming of een andere grondslag nodig.

Er is een vrijstelling voor leerlingen, deelnemers en studenten aan een onderwijsinstelling waar een school gebruik van kan maken. Ze mogen de gegevens dan bv. alleen gebruiken voor het onderwijs, beschikbaar stellen van leermiddelen, innen van lesgeld, het doen uitoefenen van accountantscontrole, het publiceren op de eigen website en zo nog een paar. Wil een school een Facebookpagina maken met leerlingfoto’s erop, dan vallen ze daarmee buiten de vrijstelling. Die pagina moet dan worden aangemeld.

Nu is het bedrijf achter ParnasSys geen school, dus zij mogen zich niet op de vrijstelling beroepen. Maar in deze situatie maakt men gebruik van de ‘bewerker’ constructie. Wanneer een school iemand inhuurt die in hun opdracht persoonsgegevens verwerkt, en de school bepaalt met welk doel, dan is het nog steeds de school die verantwoordelijk is. En dat is precies wat er bij SaaS-dienstverlening gebeurt. De school bepaalt dat ze een leerlingvolgsysteem wil en kiest welke functionaliteit ze daarvoor wil inzetten. ParnasSys doet zelf niets – als het goed is.

De wet schrijft voor dat je dan een bewerkersovereenkomst moet sluiten met de bewerker. Hierin leg je vast wat hij wel en niet mag doen, welke beveiligingsmaatregelen hij moet nemen, of je mag auditten en hoe je om wilt gaan met schadeclaims van benadeelde ouders of leerlingen. Dit gebeurt echter maar zelden bij SaaS-diensten.

Update (20:32) het bedrijf achter ParnasSys reageerde in de comments:

ParnasSys heeft een bewerkersovereenkomst met de gebruikers en die voldoet ook aan de richtlijnen van OC&W met betrekking tot de leerlingadministratie en het leerlingvolgsysteem.

Verder hebben wij een speciale demo-school met niet-bestaande voorbeeldleerlingen, maar wel met realistische data. Je ziet dus mooie grafieken en gewone namen, maar die namen zijn compleet gefingeerd. Niemand van onze medewerkers presenteert vanuit gegevens van een bestaande school, als we daar al bij zouden kunnen. Je koopt toch geen pakket waar bij de presentatie al privacy-grenzen overschreden worden?

Het echte probleem zit hem volgens mij meer in de mogelijkheden, waar veel scholen niet goed bij stilstaan. Er zijn systemen waarbij ouders de geboortedata van álle klasgenoten kunnen zien. Is dat erg, is dat wenselijk? Ik weet het niet, maar zelden is dit een actieve beslissing, dit “doet het systeem gewoon” en dan wordt er achteraf een reden verzonnen waarom het oké is (“dat weten ze toch allang van elkaar”). Of er komen online cijferlijstinzagedingen, waar we ooit een aardige discussie over hadden. Wil je wel dat ouders alles kunnen zien wat er op school gebeurt?

Arnoud

Wanneer is een gerechtelijke uitspraak nu jurisprudentie?

us-supreme-court-rechtbank.jpgMet enige regelmaat krijg ik vragen over wanneer iets nu jurisprudentie is. Daarmee bedoelen ze dan meestal, wanneer is een vonnis bindend en mag ik erop vertrouwen dat de uitspraak ook voor mij geldt. Dat is een moeilijke vraag, maar dat komt met name omdat in vonnissen zelden zúlke harde lijnen staan dat ze eenvoudig naar elke andere situatie door te trekken zijn.

“Rechtspraak” is de meest algemene term om aan te geven wat ze op de rechtbank allemaal doen. De rechtbank hoort de partijen en beslist dan over de zaak, dat is het vonnis. Een vonnis noemt de feiten die de rechtbank heeft vastgesteld en de wetsartikelen die daarmee zijn overtreden, plus de straf (of schadevergoeding of andere consequentie) die daarop staat. Zo kan in een vonnis worden bepaald of iemand eigenaar is geworden, een schade moet vergoeden of iets anders moet doen (of juist nalaten).

De term ‘vonnis’ wordt in de gewone spreektaal gebruikt voor elke uitspraak van een rechter, maar juristen spreken alleen van een ‘vonnis’ bij een rechtbank. Uitspraken van hoger-beroepsrechters heten arresten. En in sommige procedures wordt gesproken van een ‘beschikking’, met name in het familierecht zie je dat vaak.

In theorie is een latere rechter niet verplicht vonnissen of arresten van eerdere rechters na te volgen. (Dit geldt in common-law landen zoals Engeland en de VS wel, vandaar de rechtbankserie-trope van de hele nacht in een juridische bieb zoeken naar die ene zaak uit 1881 waar in jouw voordeel werd beslist over iets vergelijkbaars. Dat is daar instant win maar bij ons niet. Een rechter mág afwijken, hoewel hij dat niet vaak zal doen, zeker niet bij een uitspraak van de Hoge Raad. De truc daarbij is dat er altijd wel een gaatje te vinden is waarom deze zaak anders is dan die uitspraak uit 1881.

De term ‘jurisprudentie’ kan worden gebruikt voor “alle gerechtelijke uitspraken”, maar meestal zie je de term bij uitspraken waarin iets belangwekkends wordt bepaald, en wel op een juridisch goed doordachte manier. Zeg maar als er een regel wordt geformuleerd waar je in de praktijk mee kunt werken, die helderheid brengt op een punt waar we dat nog niet hadden. Het arrest van de Hoge Raad over virtuele goederen, maar dat recente vonnis over het hacken van de mailbox van je werkgever is zó specifiek dat dat geen jurisprudentie te noemen is. Die uitspraak over tweeten als verwerken zóu jurisprudentie kunnen zijn, het is een principiële regel die wordt geformuleerd maar omdat de impact nogal verstrekkend is, zou ik daar wat huiverig voor zijn. En soms vinden we uitspraken zó gek dat we er maar liever niet meer over praten, zoals dit Europese arrest waar je uit kunt halen dat je op grond van de privacy nooit gefotografeerd mag worden.

Vaak komt bij jurisprudentie het erop aan hoe een bepaald onduidelijk stukje wet moet worden ingevuld, of hoe een wet moet worden toegepast op een situatie die niet bestond toen de wet werd gemaakt. Daar hebben rechters een aantal hulpmiddelen voor.

Hoofdregel is natuurlijk wat de wet zelf zegt, eventueel met een (juridisch) woordenboek erbij om te kijken wat een term betekent. Juristen noemen dit de grammaticale methode, hoewel je meestal niet echt naar de grammatica zelf kijkt. Een voorbeeld van deze methode is dat 4chan-arrest, waarbij het Gerechtshof bepaalde dat je geen computervredebreuk op een router kunt plegen omdat dat geen ‘computer’ is.

Daarnaast is er nog de wetsgeschiedenis: wat was de bedoeling van de wetgever toen hij dit schreef. Met die interpretatiemethode bepaalde het Gerechtshof Arnhem ooit dat bedrijven zich nooit mogen beroepen op reflexwerking bij colportage: bij invoering van de Colportagewet was expliciet bepaald dat deze alleen voor consumenten bedoeld was. Bij internetrecht wordt vaak gekeken naar de wetsgeschiedenis, omdat er weinig anders is. (Als ik een euro had voor elke keer dat ik die bijzin over een toezichthouder op een chatbox voorbij heb zien komen in discussies rond aansprakelijkheid van allerlei partijen, dan had ik nu een dag minder kunnen werken.)

Een variant hierop is de richtlijnconforme uitleg: dan ga je de Nederlandse wet zo uitleggen dat hij klopt met de Europese Richtlijnen. Richtlijnen zijn geen wet maar een instructie aan de wetgever: pas uw wet aan zodat ‘ie hierop neerkomt. Laat de wetgever dat na, dan moet de rechter dit proberen te repareren door de wet te gaan oprekken of masseren totdat er iets uitkomt dat wél matcht met de Richtlijn. Voorbeeld is het doodverklaren van de persexceptie: in onze wet staat dat overnemen van “nieuws- en gemengde berichten” door de pers altijd mag, maar de Europese Auteursrechtrichtlijn bepaalt dat zo’n overname altijd geblokkeerd moet kunnen worden met een voorbehoud. Dus kwam het Hof met de interpretatie van de wet dat die zin alleen ging over berichten waar geen auteursrecht op rust. Ehm. Tsja.

(Als een wet letterlijk in strijd is met een Richtlijn dan is richtlijnconforme uitleg onmogelijk. Dan heb je pech en geldt gewoon de Nederlandse wet. Wel kun je de Staat aanklagen als je dan schade hebt geleden omdat je eigenlijk de aangepaste wet had moeten hebben.)

Ook kan een rechter bij een wet die uit een Europese richtlijn komt, of die elders in Europa ook bestaat, kijken wat andere Europese rechters al hebben gezegd. Dan kan een Duits arrest dus jurisprudentie zijn. Wel moet je daarbij altijd goed oppassen of het werkelijk dezelfde wet is en of er geen rare typisch buitenlandse dingen in zitten waardoor het bij ons anders uit zou pakken. Zo vinden ze in Duitsland een particulier geen tussenpersoon met beperkte aansprakelijkheid.

Een beetje vergelijkbaar is de anticiperende methode, waarbij je gaat invullen op basis van wat de wet gaat worden. Zo is er momenteel in de Wet koop op afstand geen uitzondering voor ‘hygiëne’, dus je mag een onderbroek passen en daarna terugsturen als ‘ie niet bevalt. De nieuwe Europese richtlijn hierover kent wél zo’n uitzondering, en de rechter kan dus bij een rechtszaak vandaag bepalen dat het retourneren van ondergoed niet toegestaan is. Uiteraard moet de wet dat wel toestaan: stel de wet rond verjaring wordt strenger, dan mag de rechter niet nu alvast de termijnen uit de nieuwe wet toepassen om te bepalen dat vandaag iets verjaard is.

Met de systematische methode ga je na wat de bedoeling is gezien de context van de wet: waar staat hij in het wetboek, wat voor functie hebben de naburige artikelen. Je kunt ook vergelijken wat de wet in andere situaties bepaalt. Zo werd het stelen van software onmogelijk verklaard in de jurisprudentie, omdat we hierover al in de Auteurswet iets geregeld hebben. Het is een beetje gek als iets tegelijkertijd inbreuk op het auteursrecht is en daarnaast ook nog eens diefstal.

Juristen kennen daarnaast ook de rechtshistorische interpretatiemethode: dan ga je niet alleen kijken naar wat er bij deze wet bedoeld was, maar ook hoe de wet binnen de maatschappij en andere wetgeving past. Virtuele goederen steelbaar verklaren is hiermee verdedigbaar, want diefstal van goederen is niet de bedoeling binnen de historie van de wetgeving rond eigendom.

Tevens is er nog de de teleologische methode, waarbij je kijkt naar het doel van de wet. Daarmee kun je randgevallen er al of niet onder laten vallen. Zo werd ooit beslist dat een cashback-constructie voor boekenkopers geen strijd met de vaste boekenprijs opleverde, want zó breed was die wet niet bedoeld.

Uiteindelijk is er echter nooit één methode die per definitie juist is. De eiser kan menen dat de wetshistorie duidelijk in zijn voordeel is, en de gedaagde kan wijzen op de systematiek die pleit voor zijn standpunt, plus er is ondertussen een Europese richtlijn die óók zijn standpunt onderstreept. En als al het andere faalt, is er altijd nog de redelijkheid en billijkheid, oftewel “ja maar nou kom óp zeg” en zijn broertje “dit kan toch niet wáár zijn”.

Wie nog meer leuke voorbeelden kan vinden van jurisprudentie die bij deze voorbeelden past: ik hoor het graag!

Arnoud

Je beroepen op je auteursrecht als vrijwilliger bij een vereniging, kan dat?

Een lezer vroeg me:

Bij onze vereniging stapt de webmaster met grote ruzie op een geeft te kennen dat hij de huidige site van de vereniging die hij ontwikkeld heeft, binnen een termijn van 3 weken offline zal halen. Hij beroept zich op het auteursrecht. Nu is er nooit iets op papier geregeld maar kan dit zomaar? Wij zijn dan behoorlijk onthand!

Dit soort ruzies lijken met enige regelmaat in vele verenigingen zich voor te doen, ik schat dat ik elke maand wel een mail van deze strekking krijg.

Natuurlijk, het beste is om expliciet af te spreken wat de vereniging wel en niet mag en wat het lid wel en niet moet maar lang niet iedereen denkt daaraan. Of, de klassieker, je bent lid omdat je de vereniging een warm hart toedraagt en dan ga je toch geen kil-zakelijke voorwaarden stellen? Tsja.

Gelukkig werkt de wet niet zó keihard dat als je weggaat je zomaar al je werk ongedaan mag maken. Samenwerkende partijen moeten zich in het rechtsverkeer gedragen naar redelijkheid en billijkheid, zo staat in de wet. En als er dan niet expliciet iets is afgesproken, dan moet je naar diezelfde redelijkheid en billijkheid kijken om te bepalen wat er dan impliciet afgesproken zou kunnen zijn.

Je beroepen op auteursrecht klinkt natuurlijk heel stoer maar ook dát valt onder die redelijkheid en billijkheid. Als je een vereniging toestaat je werk te gebruiken, en je wéét dat ze sterk afhankelijk zijn van jouw code, dan mág je eenvoudigweg niet zomaar die toestemming intrekken. Dat is niet redelijk, punt. Ook ineens een licentievergoeding gaan vragen mag niet. Dat had je dan vooraf moeten melden. (Natuurlijk mag je wél gaan piepen als de vereniging ineens iets heel anders met je code doet, bijvoorbeeld het als commercieel pakket gaat verkopen aan andere verenigingen.) discussies

Bij social media accounts van de vereniging geldt een vergelijkbare situatie.

Verder kan een vereniging zich mogelijk beroepen op artikel 8 Auteurswet:

Indien eene openbare instelling, eene vereeniging, stichting of vennootschap, een werk als van haar afkomstig openbaar maakt, zonder daarbij eenig natuurlijk persoon als maker er van te vermelden, wordt zij, tenzij bewezen wordt, dat de openbaarmaking onder de bedoelde omstandigheden onrechtmatig was, als de maker van dat werk aangemerkt.

Als dus op de site staat “© 2013 Vereniging X” dan is de vereniging de auteursrechthebbende, ondanks dat een vrijwilliger het werk maakte. Staat de naam van de vrijwilliger erbij, dan geldt deze regeling niet. En ook als de vereniging dit vermeldt terwijl uitdrukkelijk was afgesproken dat ze dit níet mogen vermelden, dan geldt deze regeling niet.

Arnoud

Moet een forumbeheerder foto’s weggooien als een gebruiker daarom vraagt?

Een jaar geleden blogde ik over de vraag wat een forumbeheerder weg moet gooien als een (ex-)lid daarom vraagt. In de comments vroeg een lezer zich af wat dat nu specifiek voor foto’s betekent. Hij had een lid van zijn forum geband, en die eist nu dat al zijn foto’s van het forum verwijderd worden. Mag het forum dit laten staan, moeten ze de foto’s anonimiseren of is verwijdering nu geboden?

Op grond van de Wet bescherming persoonsgegevens (de “privacywet”) heb je het recht om te verzoeken dat je naam en andere persoonsgegevens uit bestanden worden verwijderd, als deze niet meer “ter zake dienen” zoals de wet dat noemt. Forumberichten en foto’s die daaraan hangen zijn ook persoonsgegevens, omdat ze gekoppeld zijn aan je account. Ook als je echte naam er niet bij staat en ook als je een vaag Hotmailaccount hebt gebruikt en een proxy zodat niemand je IP-adres weet.

De algemene regel die ik vorig jaar blogde, geldt bij foto’s net zo goed als bij tekstuele bijdragen. Een bijdrage moet weg, tenzij er een aantoonbare noodzaak is die zwaarder weegt dan de privacy. Dat zal bij forums de vrijheid van meningsuiting zijn, meer specifiek het belang om een compleet en begrijpelijk archief te kunnen publiceren. Kort gezegd betekent dit dat je niet kunt zeggen “mijn privacy, weghalen”, maar trouwens ook niet dat de beheerder altijd mag zeggen “vrijheid van meningsuiting, het blijft staan”. Er moet een balans worden gevonden tussen de belangen van beide partijen.

Bij forumbijdragen betekent dat in de praktijk dat je berichten moet anonimiseren maar ze niet hoeft te verwijderen. Uitzondering zou een bericht zijn dat inhoudelijk van alles vertelt over de plaatser, bijvoorbeeld een voorstelbericht of een persoonlijke onthulling of berichten over iemands medische situatie bijvoorbeeld. Dergelijke berichten moeten weg op verzoek, behalve in héél uitzonderlijke gevallen waarin de nieuwswaarde zó groot is dat weghalen objectief gezien echt onacceptabel zou zijn. (Ik ben daar nog geen voorbeelden van tegengekomen.)

Anonimiseren van een foto is moeilijker. Moet je dan iemand onherkenbaar maken met een balkje of blurcirkel rond zijn gezicht? Moet je hem eraf knippen?

Bij foto’s roept iedereen natuurlijk ook “auteursrecht”. En ja, dat heeft de plaatser op zijn foto’s. Maar dat heeft hij óók op zijn tekstuele berichten. Door deze te plaatsen heeft hij een licentie (gebruiksrecht, toestemming) gegeven aan de forumbeheerder, en die licentie is niet zomaar in te trekken. Niet bij teksten en niet bij foto’s.

Als in de gebruiksvoorwaarden* komt te staan dat de licentie eeuwigdurend is, dan is die discussie eigenlijk meteen gepareerd. Eeuwigdurend is eeuwigdurend. Maar ook als het er niet staat, is niet gezegd dat de foto’s weg moeten bij beëindiging van de gebruiksovereenkomst. Volgens de Hoge Raad

Als wet en overeenkomst niet voorzien in een regeling voor opzegging, dan is een duurovereenkomst voor onbepaalde tijd in beginsel opzegbaar. De eisen van redelijkheid en billijkheid kunnen meebrengen dat opzegging slechts mogelijk is indien daarvoor een voldoende zwaarwegende grond bestaat.
En die zwaarwegende grond is dan de vrijheid van meningsuiting, waarbij je dan een zelfde soort afweging moet maken als bij de privacywet hierboven. Maar de afweging is dan tussen de auteursrechtelijke belangen van de fotograaf en het belang bij de licentie van het forum. En ik kan me eigenlijk geen auteursrechtelijke belangen voorstellen. Heel misschien als de fotograaf intussen de rechten verkocht heeft of een exclusieve licentie aan iemand heeft beloofd, maar zelfs dan zou ik zeggen, dat is dan zíjn probleem dat hij nu in de knoop komt.

Arnoud<br/> PS: ik durf geen advertentielink meer te zetten naar de generator want de vorige keer dat ik een ADV in de tekst opnam, wilde bijna niemand meer reageren. Was het zó vervelend om die link te zien? Of was het gewoon een saai onderwerp?