“Wij gaan AI trainen op je data”, mag dat zomaar in gebruiksvoorwaarden opgenomen?

Als je erop gaat letten, zie je het overal: gebruiksvoorwaarden (TOS, EULA, hoe je het noemt) die ineens benoemen dat gegevens verkregen door of dankzij de dienst mogen worden gebruikt voor het trainen van AI of ML systemen. Recent nog bij videodienst Zoom (dank, tipgever). Wat natuurlijk de vraag geeft: mag dat zomaar?

Hoofdregel van het recht is contractsvrijheid, dus in beginsel mag je doen wat je wil met gegevens die je bij een dienst verzamelt. Maar wanneer het gaat om persoonsgegevens, dan ligt dat andersom: dat mag niet, tenzij je (onder de AVG) kunt aantonen van wel en waarom en met welke goede reden.

Mag dat van de AVG, wordt dan de vraag. Alleen als je een zogeheten “legitiem belang” rond krijgt, en daar zie ik wel argumenten voor: het gaat in feite om statistische analyse van grote hoeveelheden gebruikers, die niet wordt gebruikt om een individueel persoon te beoordelen, aan te spreken of op welke wijze dan ook te beïnvloeden. Ik zie niet meteen wat daarop tegen zou zijn. (De AI zelf kan natuurlijk allerlei nadelen hebben, maar dat is een andere discussie.)

Een ander bezwaar kan zijn dat je als gebruiker auteursrecht hebt op de data die je uploadt. Bij Zoom is dat discutabel, de video-opname van een overleg op afstand lijkt me geen auteursrechtelijk beschermd werk. Maar als een fotohostingsite dit zou doen, dan zou men wél tegen het auteursrecht aan kunnen lopen. Alleen is daarvan al lange tijd aangenomen dat dat mag, een onbeperkte licentie opeisen in algemene voorwaarden. Dus waarom niet voor AI trainen?

In Europa wordt nu gewerkt aan de Data Act, een nieuwe Verordening die toegang tot met name internet-of-things apparatendata gaat reguleren. Deze wet is nog niet af (zie dit bizar maar verhelderende overzicht) maar bevat geen bepalingen over het gebruik van data door de dienstaanbieder jegens de partij waar de data van verkregen zijn.

Alles bij elkaar zie ik dus niet meteen fundamentele bezwaren tegen wat hier gebeurt. En dat zit hem er dus met name in dat de AI generieker is dan die ene gebruiker, zodat je niet kunt zeggen dat jouw gegevens tegen jou gebruikt worden.

Arnoud

Wat gebeurt er met je open source na je overlijden?

De Nederlandse ontwikkelaar van de teksteditor Vim, Bram Moolenaar, is op 62-jarige leeftijd overleden. Dat meldde Tweakers zondag. Deze editor (uit alweer 1988) is zeer populair onder programmeurs en wordt standaard geleverd bij veel Linux-distro’s. Het riep bij diverse lezers hier de vraag op: wat gebeurt er nu met vim, hoe zit dat juridisch?

Vim is open source: de licentie is een zeer vrijblijvende variant waarbij je grofweg alleen hoeft te zeggen dat jij een aangepaste versie van vim verspreidt. Maar juridisch gezien gaat het er niet om of software open source is, je moet kijken naar het onderliggende auteursrecht.

Voor zover ik kan zien, heeft Moolenaar nooit zijn auteursrechten op deze software aan een ander overgedragen. Ik lees in de broncode alleen verwijzingen naar zichzelf als auteur. Dat kan, en dan liggen de rechten dus bij hemzelf. En nu na overlijden gaan die dan mee met de rest van zijn boedel. Zoals ik al in 2008 blogde, je je erfgenamen mogen dan beslissen wat er verder met je werk gebeurt.

Het is mogelijk om je auteursrechten in je testament op te nemen. Je zou ze dan aan een bevriende co-auteur kunnen geven, of aan een stichting van wie je verwacht dat die de software over gaan nemen. Ik zou alleen aanraden om dat bij leven al te regelen, al is het maar zodat je weet dat je verzoek goed terechtkomt – die bevriende auteur kan zijn gestopt (of ook zijn overleden), en die stichting kan misschien niets met jouw software.

Aanverwant is het handig om de toegang tot je broncoderepository (hier Github) te regelen, zodat iemand het kan overnemen bij overlijden of anderszins incapabel worden er zelf mee door te gaan. Maar let op dat toegang tot de broncode of het account niet hetzelfde is als het auteursrecht hebben. En als dat niet dezelfde entiteiten zijn, dan wint de auteursrechthebbende. Die zou dus een verwijdering van de broncode kunnen eisen.

Nu wordt alleen de opensourcestatus toch weer relevant, want het idee van open source is dat het eeuwigdurend beschikbaar is. Heel formeel klopt dat niet, want de erfgenaam kan het licentie-aanbod intrekken – de broncode offline halen van de officiële site, zeg maar.

Specifiek bij vim gaat dat nooit werken, want er zijn zó veel plekken waar vim te vinden is. Inclusief licentievermelding, en specifiek bij open source gaat het dan vanzelf goed want op die vermelding mag je vertrouwen totdat je anders verneemt. En ik zie niet goed hoe een erfgenaam-rechthebbende op vim iedereen zou kúnnen vertellen dat de software offline moet. (Als ze dat al zouden willen.)

En natuurlijk: gecondoleerd voor de familie van Bram.

Arnoud

 

Rocky Linux zegt vanwege paywall RHEL-broncode via andere methodes te verkrijgen

Rocky Linux, een alternatief voor Red Hat Enterprise Linux, heeft meer informatie gedeeld over zijn strategie nu Red Hat zijn Enterprise Linux-distro beperkt beschikbaar heeft gemaakt. Dat meldde Tweakers onlangs. Red Hat zei vorige week dat het RHEL niet meer algemeen beschikbaar maakt, maar alleen verkoopt aan Red Hat Enterprise-klanten. Dat laatste maakte velen boos, omdat het toch op zijn minst in strijd is met het idee van de GPL en aanverwante opensourcelicenties dat niet iedereen meer bij de broncode kan.

Red Hat is een van de oudste aanbieders van een Linux ecosysteem, waarbij ze de kernel en allerlei handige applicaties bij elkaar brengen, integreren en als pakket verkopen. Het bedrijfsmodel was gebaseerd op abonnementen, zeg maar klantenservice en ondersteuning tegen maandelijkse vergoeding. Ook verkoopt men eigen (proprietary) software. Allemaal op zich geen probleem bovenop open source software.

Dat het nu rommelt, komt omdat Red Hat zeer lange tijd ook actief bijdroeg aan de community, middels sponsoring, inzet van eigen mensen en ga zo maar door. Maar ook het beschikbaar stellen van hun versie van Linux als broncode was een belangrijke voor velen. En dat is nu waar Red Hat mee stopt: alleen de betalende Enterprise klanten krijgen nog de broncode van de software die hen geleverd is. Nog discutabeler wordt het als je vervolgens de enterprise contracten doorleest en ziet dat die klanten eigenlijk de broncode niet verder mogen verspreiden:

Specifically, IBM’s Red Hat offers copies of RHEL to its customers, and each copy comes with a support and automatic-update subscription contract. As we understand it, this contract clearly states that the terms do not intend to contradict any rights to copy, modify, redistribute and/or reinstall the software as many times and as many places as the customer likes (see §1.4). Additionally, though, the contract indicates that if the customer engages in these activities, that Red Hat reserves the right to cancel that contract and make no further contracts with the customer for support and update services.
Oké, oké, “niet mogen” is dus wat sterk: het mág wel, maar je verliest dan je betaalde ondersteuning en alle andere dingen waar je nou net Red Hat voor had uitgezocht. Specifiek voor deze doelgroep gaat het immers om de support (en een entiteit om aan te klagen), dus juist daar is “het mag maar dan geen support” een hele sterke om voor elkaar te krijgen dat die de broncode niet gaan verspreiden. Dat is dus zeker ethisch dubieus, maar juridisch zie ik niet hoe dit tegen de tekst van de GPL in gaat.

Linuxdistro Rocky Linux heeft hier last van: hun doel is het leveren van een exact identieke kopie van (de open source delen van) Red Hat Linux, oftewel het technisch goede van Red Hat zonder het dure abonnement en juridische rare hoepels. Dat kon vrij lang relatief simpel, omdat Red Hat haar broncodes immers publiek online zette en Rocky daar dus een kopie van kon (en mocht, GPL) maken. Dat pad is nu alleen afgesneden, en Rocky moet dus nu op zoek naar nieuwe manieren. Die zeggen ze te hebben gevonden, maar de details houden ze nog even voor zich om te voorkomen dat Red Hat (of eigenaar IBM) daar nu een juridisch punt van gaat maken.

Arnoud

 

Als een site niet geblokkeerd is, mag ik dan veronderstellen dat deze legaal is?

Een lezer vroeg me:

Mede naar aanleiding van de recente uitspraak over het blokkeren van Lookmovie en Flixtor vroeg ik me het volgende af. Oorspronkelijk was het idee dat als een ISP zuiver een doorgeefluik was en dus niets filterde, hij nergens voor aansprakelijk was. Dat is ondertussen fors anders met al die blokkades. Mag je nu als consument denken “OK, deze website is niet geblokkeerd door de ISP, al of niet op verzoek van Stichting BREIN, dus de rechten voor die films zullen wel vrijgegeven/verlopen zijn cq. de eigenaar van de website zal wel bepaalde contracten hebben waarmee ze die films op hun website mogen plaatsen.”
Het was inderdaad oorspronkelijk zo dat een ISP (toegangsprovider) niets hoefde te doen omdat hij alleen doorgaf en niet opsloeg of selecteerde. Echter, sinds 2000 stond al in de wet dat een gerechtelijk bevel mogelijk moest blijven. Daaruit is in de Pirate bay zaken geconcludeerd dat een provider sites moet blokkeren als deze evident en grootschalig inbreuk maken, vandaar de dns-blokkade op TPB, EZtv en nog een paar.

Het is onjuist dat je aansprakelijk wordt voor wat je doorlaat als je op last van de rechter een site blokkeert. Zeker voor een ISP, die is volgens de wet nooit aansprakelijk ongeacht of ze weten of niet wat ze doorlaten. Ze mogen dus welbewust alle troep doorlaten die langskomen in volle wetenschap van het strafbare karakter. Het enige dat ze moeten doen, is blokkeren wat de rechter zet.

Het gevolg is wel dat je als consument dus niet mag concluderen dat een site ‘dus’ legaal is omdat hij niet geblokkeerd is. Lang niet alle onrechtmatige streamingsites komen bij de rechter, en dat hoeft ook helemaal niet. Het blijft daarmee je eigen verantwoordelijkheid om na te gaan of een dienst legaal handelt.

Arnoud

 

Nederlander veroordeeld tot 2,5 jaar celstraf voor betrokkenheid bij Megaupload

Een rechtbank in Nieuw-Zeeland heeft een Nederlandse IT’er veroordeeld tot een celstraf van 2,5 jaar, zo las ik bij Tweakers. De veroordeelde man werkte als programmeur mee aan het draaiend houden van Megaupload, een dienst waarmee gebruikers bestanden met elkaar konden delen. Megaupload werd in 2005 opgericht en werd in 2012 gesloten op verzoek van de FBI. Megaupload zou zelf 175 miljoen dollar verdiend hebben, waarvan een groot deel volgens de rechtbank afkomstig was uit illegale downloads. Het riep de vraag op bij diverse ontwikkelaars: kan ik de cel in gaan als ik blijk mee te werken aan strafbare diensten?

De celstraf valt naar lokale begrippen laag uit, maar zoals Tweakers uitlegt:

Vorig jaar sloten de twee mannen al een deal met de autoriteiten in Nieuw-Zeeland. Daarmee bekenden de mannen dat ze betrokken waren bij een criminele organisatie. In ruil daarvoor mochten de twee oud-medewerkers van Megaupload in Nieuw-Zeeland terechtstaan voor auteursrechtenschending en zouden de Verenigde Staten hun uitleververzoek laten vallen.
Desondanks behoorlijk heftig, als je gewoon ergens werkt als programmeur en je flagship product blijkt illegaal. Alleen is dat niet helemaal wat er aan de hand was hier, zoals diverse commenters signaleerden:
“Hij lanceerde Mp3Top40.net waar Top 40 nummers gratis konden worden gedownload. Een groot succes, tot Stichting Brein met een megaclaim dreigde. De site ging weliswaar op zwart, maar [de man] ging door. Hij kwam in contact met Kim Dotcom.”
Ook is zo te lezen zijn functie niet die van een willekeurige codeklopper in een groot enterprise IT-bedrijf, maar stond hij als cofounder en hoofd engineering bij Mega op de site. In die functie kun je moeilijk wegkomen met “ik was alleen maar aan het programmeren”.

De situatie doet denken aan die uit 2017 met de sjoemelsoftware, waar een softwareontwikkelaar van Volkswagen in de VS tot 40 maanden cel veroordeeld werd voor zijn aandeel. De rechter noemde hem een “pivotal figure” in de ontwikkeling van deze software, wederom dus meer dan gewoon een codeklopper ergens achter een bureau. Inderdaad, hij was ook geen manager of directeur maar dat is nooit het criterium. Het gaat erom of je bewust eraan meewerkte en ruimte had om invloed uit te oefenen op wat er gebeurde.

“Court documents say Kim Dotcom’s empire could not have functioned without the expertise of [de man] and [een ander]”, zo concludeert een lokale krant uit het vonnis. In die situatie heb je dus als medewerker niet echt veel verhaal. Voor wie wél meer onderaan zit, mijn advies van de Volkswagen-blog:

Wat moet je nu doen als ontwikkelaar, stel dat je zo’n opdracht krijgt. Allereerst zeg ik er wel bij dat het moet gaan om écht duidelijk strafbare zaken en dat dit ook voor jou kenbaar had moeten zijn. Verstuur je facturen die een ander vervalste, dan ben je natuurlijk niet strafrechtelijk aansprakelijk. Die kenbaarheid zal de doorslag geven verwacht ik. Daarbij speelt jouw professionele kennis een grote rol. Had je dit kunnen weten, had iedereen in jouw gebied dit kunnen weten of had dit alleen maar na diepgaande juridische analyses duidelijk kunnen worden?

Bij twijfel is mijn advies altijd, escaleren naar boven en/of naar Juridische Zaken. Je mag verwachten dat daar mensen zitten die dan ook zeggen, oei dit kan strafbaar zijn, laten we het niet doen. Dus dan komt er vanzelf een rem op. En de bedrijfsjurist is normaal ook iemand met als taak het bedrijf beschermen tegen claims, waardoor je ook daarvan mag verwachten dat deze er een stokje voor steekt als het duidelijk strafbaar is. Het is nooit verkeerd om iets aan de bedrijfsjurist te vragen bij zulke twijfels, en naar je manager toe lijkt me dat ook goed verkoopbaar: je wilt weten waar de grenzen liggen zodat je het netjes kunt bouwen binnen de wet.

Arnoud

Je site onrechtmatig offline door een pestende ex, wat moet je vorderen?

Nadat de relatie is opgehouden en de verstandhouding tussen beide partijen verslechterd, haalt gedaagde de website van zijn ex uit de lucht en verandert hij alle inlogcodes die eiseres nodig heeft om haar bedrijfsvoering te kunnen faciliteren. Dat las ik bij ITenRecht.nl. Gezellige boel daar. Er was alleen wel een praktisch probleem: hoe geef je juridisch correct aan wat “de website herstellen” precies inhoudt, met name omdat je wel kunt aan zien komen dat er vervolgzaken komen over missende plaatjes of scheve titels. Het vonnis laat zien hoe de rechter daarmee omgaat.

Partijen hebben een affectieve relatie met elkaar gehad, zo begint het vonnis. En wie die zin aantreft, die weet: daar komt heibel van. De vrouw had een ecommercewebsite, en de man was ict-dienstverlener. Nadat de relatie werd verbroken, en de moeder van de vrouw via WhatsApp had gevraagd om teruggave van bepaalde spullen, ging er iets goed mis en besloot de man die website offline te halen en alle logins te wijzigen. Nadat de rechtsbijstand van de vrouw een boze brief stuurde, stelde de man ineens rechthebbende te zijn op het ontwerp en nog een factuur open had staan, zodat hij mocht opschorten.

Weliswaar stuurde hij vervolgens enkele wachtwoorden, maar de site werd niet teruggezet. Een backup kreeg zij wel aangeleverd, maar die was niet genoeg: zo ontbreekt het ‘thema’ van de website, bestaande uit banners, logo’s, foto’s, filmpjes en linkjes naar producten en de vormgeving, positionering en opmaak van deze elementen en onderdelen van en op de website. De dagvaarding was daarop de volgende stap. Eis:

I. [gedaagde] te veroordelen ervoor zorg te dragen dat binnen 24 uur na betekening van dit vonnis aan [eiseres] wordt verstrekt een correcte back-up van de website, inclusief thema en koppelingen, zonder dat gegevens of elementen uit deze back-up zijn verwijderd of toegevoegd;
De rechter gelooft geen bal van het verhaal over auteursrechten en dergelijke:
Vaststaat dat [gedaagde] de website op 20 januari 2023 offline heeft gehaald terwijl voornoemde factuur gedateerd is op 25 januari 2023 met een betaaltermijn tot 8 februari 2023. Het offline halen van de website kan dan ook niet, zoals [gedaagde] stelt, gelegen zijn in de omstandigheid dat [eiseres] die factuur niet heeft voldaan, wat daar inhoudelijk verder ook van zij. Bovendien blijkt uit de door [eiseres] in het geding gebrachte (WhatsApp)correspondentie, zoals weergegeven onder 2.6, nu juist dat [gedaagde] de website van [eiseres] offline heeft gehaald vanwege onenigheid over de afwikkeling van de samenwoning tussen partijen.
Onrechtmatig gehandeld dus, en ga dat maar ongedaan maken. Alleen: wat is een ‘correcte’ backup? Zo ontbrak onder meer het thema dus in de backupset. Als dit WordPress is dan snap ik waarom, via de standaard backupfunctie wordt je thema (de look/feel etcetera) niet meegenomen als je een backup uitvoert of een database-dump doet.

Bijkomend probleem was dat niet bekend was hoe de website er nu precies uit zag op die 20 januari. Daarmee is het eigenlijk niet meer vast te stellen of de gedaagde ex het herstel goed uitgevoerd zou hebben. En dat is een probleem want je kunt niet iemand veroordelen iets te doen dat oncontroleerbaar is:

Bij gebreke van beeldmateriaal waaruit blijkt hoe het thema van de website er uitzag, kan niet worden gecontroleerd of sprake is van een ‘correcte back-up’, nog afgezien van de executieproblemen die toewijzing van die vordering, versterkt met een dwangsom, naar alle waarschijnlijkheid met zich zou brengen. Dat betekent dat de vordering zoals geformuleerd onder I. onvoldoende gespecificeerd en daarom niet toewijsbaar is.
De tweede eis blijft wel overeind: doe niets meer dat de bedrijfsvoering van de vrouw nog hindert, zoals het blokkeren van accounts of API’s. Dat met een dwangsom van 500 euro voor iedere keer dat je het toch doet.

Het is juridisch begrijpelijk maar ook wel frustrerend: iemand maakt je site kapot, maar omdat jij geen screenshots had hoeft hij deze niet meer te herstellen? Maar vergeet niet dat de man al de overige data wél had teruggegeven, zodat de rest van de site door kan. En specifiek bij de afwezigheid van een thema en niet weten hoe dat eruit zag, snap ik de zorgen over de uitvoerbaarheid wel.

Achteraf gezien was een betere optie geweest te eisen dat hij de kosten van het herstel vergoedt, bijvoorbeeld het opnieuw laten ontwerpen en installeren van het thema. Maar de rechter mag zoiets niet zelf erbij verzinnen, als jij afgifte van data vordert en de data is onbekend/onbepaalbaar dan houdt het op en dat is dat.

Arnoud

Mag een ISO27001-gecertificeerde organisatie ChatGPT gebruiken?

PeggyMarco / Pixabay

Een lezer vroeg me:

Kan een bedrijf dat voor ISO27001 (of NEN7510) gecertificeerd is, gebruik maken van ChatGPT of vergelijkbare tool voor het schrijven en corrigeren van code? Je kunt met deze tools immers makkelijk bedrijfsgeheimen (zoals broncodes) laten uitlekken. Hoe verhoudt zich dat tot zo’n certificering?
Tools zoals ChatGPT of Copilot van Microsoft zijn momenteel erg populair om snel software mee te schrijven of het ontwikkelproces te versnellen. Maar het zijn externe tools, dus alle data die je erin stopt, gaat naar een bedrijf buiten de organisatie dat er van alles mee kan doen. En dat kan dus zomaar eigen vertrouwelijke en waardevolle software-broncode betreffen bijvoorbeeld.

Bekend (of berucht) is het voorbeeld van Samsung, waar werknemers onder meer eigen broncodes aan ChatGPT gaven om deze op fouten te laten controleren.  Ook werden meeting-aantekeningen geupload om er notulen van te laten maken. Hoewel de aanbieder van ChatGPT natuurlijk niet direct die gegevens gaat delen met de pers, is de kans aanwezig dat het systeem er wel op bijgetraind wordt, of dat werknemers bij controle van de uitvoer dit tegenkomen en het (al dan niet onbewust) elders inzetten.

De inzet van zo’n tool is daarmee te zien als een risico voor de beveiliging van informatie, en laat dat nu precies zijn waar standaarden als ISO27001 over gaan: het identificeren en beheersen van zulke risico’s. Je zou dus verwachten dat een ISO-certified organisatie op zeker moment dit risico signaleert, en processen introduceert om de gevolgen te mitigeren. Dat zou kunnen zijn het blokkeren van ChatGPT als website, maar ook een awarenesstraining voor medewerkers of het sluiten van nieuwe contracten met de aanbieders van zulke tools.

Het is dus niet zo dat een organisatie die ISO27001 gecertificeerd is, zulke tools niet mag gebruiken. Je organisatie hoeft zeker niet volledig statisch te blijven tot de volgende audit. Het is precies omgekeerd: met zo’n certificering ben je in staat om ook dit risico tijdig te onderkennen en maatregelen te nemen.

Arnoud

Schaft Japan het auteursrecht af om de AI race te winnen?

Japan gaat all-in, las ik bij diverse tendentieuze AI-nieuwssites: het auteursrecht in dat land geldt niet tegen partijen die massaal beschermde werken kopiëren voor data mining en daar taalmodellen (“AI”) van maken. Men ziet dit als een strategische keuze van het land, want hoe meer data hoe beter je AI en dus hoe sneller je vooruitkomt in de vaart der volkeren. Newsflash: het is niets nieuws.

Het klopt dat de Japanse minister van cultuur, sport en technologie Keiko Nagaoka recent heeft gezegd dat onder het Japans auteursrecht het geen inbreuk is om werken te kopiëren voor data mining:

[I]n Japan, whether it is for non-profit purposes, commercial purposes, or acts other than duplication, it is obtained from illegal sites, etc. Minister Nagaoka clarified that the work can be used for information analysis regardless of the method, regardless of the content.
Als je dan de wetstekst erbij pakt dan staat in artikel 30-4 inderdaad iets van die strekking:
It is permissible to exploit a work, in any way and to the extent considered necessary, … if it is done for use in data analysis (meaning the extraction, comparison,classification, or other statistical analysis of the constituent language, sounds, im-ages, or other elemental data from a large number of works or a large volume of other such data;
De minister bevestigt dus dat deze brede tekst inderdaad breed bedoeld is. Dit lijkt op een discussie die in Europa al sinds 2019 woedt, toen in de Auteursrechtrichtlijn (2019/790) ook zoiets in de wet werd gezet:
1. De lidstaten voorzien in een uitzondering op of beperking van de rechten als bedoeld in artikel 5, onder a), en artikel 7, lid 1, van Richtlijn 96/9/EG, artikel 2 van Richtlijn 2001/29/EG, artikel 4, lid 1, onder a) en b), van Richtlijn 2009/24/EG en artikel 15, lid 1, van deze richtlijn voor reproducties en opvragingen van rechtmatig toegankelijke werken en andere materialen met het oog op tekst- en datamining.
Hier staat ook geen voorbehoud over al dan niet met commercieel oogmerk, hoewel er wel de beperking geldt dat het werk rechtmatig openbaar maakt moet zijn. Ook is er (niet geciteerd) de optie van een voorbehoud, dat een rechthebbende kan maken in machine-leesbare vorm waarna data miners dat moeten respecteren. Wat dat betreft lijken we dus net zo ver te zijn als Japan, en ik zou niet echt van een auteursrechtelijke “race to the bottom” willen spreken, hoewel het natuurlijk voor de AI-industrie wel goed is dat je in principe mag dataminen in alle openbare bronnen.

Er zit nog een belangrijke angel in deze uitzondering: de zogeheten driestappentoets geldt ook bij de uitleg van deze uitzondering. Deze toets komt uit de Berner Conventie (artikel 9) en het TRIPS verdrag (artikel 13), en komt erop neer dat een uitzondering niet het uitgangspunt van het auteursrecht mag verstoren – je mag niets zonder toestemming. De drie stappen zijn:

  1. De beperking mag alleen gelden voor bepaalde bijzondere gevallen.
  2. De wettige belangen van de rechthebbende mogen niet onredelijk worden geschaad.
  3. Er mag geen afbreuk worden gedaan aan de normale exploitatie van werken of ander materiaal.
Het gaat hier om een interpretatieregel. Het is bijvoorbeeld dus niet de vraag of jouw specifieke situatie een “bijzonder geval” is, maar of de beoogde toepassingssituaties in algemene zin “bijzondere gevallen” te noemen zijn. De thuiskopie-regeling voldoet bijvoorbeeld: voor jezelf kopiëren is een bijzonder (beperkt omschreven) geval, er wordt een vergoeding afgedragen dus er is geen onredelijke schade, en de normale exploitatie (kopen, downloaden, streamen) blijft gewoon bestaan.

Wat levert deze toets op in het geval van deze data mining uitzondering? Het lijkt een bijzonder geval, en de normale exploitatie blijft ook gewoon bestaan. Die wettige belangen is een iets lastigere, er wordt immers geen vergoeding afgedragen. Maar daar staat tegenover dat je als rechthebbende een opt-out kunt doen, zodat je jouw belangen vervolgens zelf kunt behartigen door bijvoorbeeld data mining licenties te verkopen tegen een zelf te kiezen vergoeding.

Omdat Japan ook lid is van de Berner Conventie en de Wereldhandelsorganisatie, geldt deze toets ook voor Japan. Wederom: juridisch gezien dus niets nieuws. Het is vooral opmerkelijk dat in de VS, waar men die driestappentoets voornamelijk negeert en alleen vagelijk wuift naar fair use als het om machine learning gaat, er zo veel wordt gedatamined.

Arnoud

FIOD en OM halen IPTV-dienst offline die 10.000 zenders en Netflix aanbood

De Nederlandse FIOD heeft samen met het Openbaar Ministerie een grote IPTV-dienst offline gehaald, las ik bij Tweakers. De streams werden aangeboden vanaf een datacenter in Den Helder, en omvatte ruim 10.000 tv-zenders en streamingdiensten als Netflix, Viaplay, Videoland, ESPN en Disney+. Dat tientje per maand ben je kwijt als afnemer van die dienst, maar echt zorgen maken over strafvervolging hoeft nou ook weer niet.

De FIOD kwam in beeld omdat het bedrijf inkomsten op grote schaal witwaste, en zoals iedereen weet wordt je uiteindelijk altijd gepakt op de belastingen (hoi Al Capone). Er is bij mijn weten geen actieve strategie om achter IPTV-aanbieders aan te gaan vanuit het Openbaar Ministerie, wat natuurlijk te maken heeft met het feit dat die aanbieders zelden in Nederland gevestigd zijn. Staand beleid is al lange tijd dat men alleen ingrijpt bij bedreiging volksgezondheid, banden met georganiseerde misdaad of grootschalige piraterij die de markt verstoort. En dat is niet direct aan de orde bij zo’n IPTV dienst.

Opzettelijke inbreuk op auteursrecht is een misdrijf (art. 31 Auteurswet), en omdat downloaden uit illegale bron ook niet mag, geldt dit formeel dus ook voor welbewust downloaden uit illegale bron. Wie 10 euro per maand betaalt en daarvoor toegang tot 10.000 zenders verwacht, is volgens mij echt welbewust de wet aan het overtreden. Tegelijkertijd: het opsporen is de moeite niet waard, dus dat zal echt niet gebeuren.

Een leuke discussie ontspint zich nog in de comments bij Tweakers: dit had niet gemogen, er is geen sprake van omzetverlies et cetera want de mensen die dit afnemen willen eigenlijk vooral buitenlandse zenders/aanbod kijken dat hier niet legaal te krijgen is. Plus, als je dit allemaal legaal afneemt is het veel te duur – je kunt al snel aan 60 tot 100 euro per maand zitten als je al die diensten afneemt.

Ik vind het moeilijk sympathie voor die argumenten op te brengen. Met name dat “buitenlandse zenders” voelt als een te gezocht argument. Maar goed.

Arnoud

 

Kan mijn werkgever met deze bepaling eigendom claimen van een boek dat ik in mijn vrije tijd schrijf?

Die titel zag ik via Reddit, en laat “een boek in mijn vrije tijd schrijven” nou altijd mijn standaardvoorbeeld zijn van iets waar je werkgever géén rechten op kan claimen. Maar hier ligt het iets subtieler:

Dit is een bepaling in de arbeidsovereenkomst van een bedrijf waar ik aan de slag zal gaan als copywriter. Ik heb deze nog niet getekend, want ik vraag me af of de rechten van het boek waar ik in mijn vrije tijd aan werk en welke niets te maken heeft met deze werkgever, geclaimed kunnen worden door dit bedrijf.

De reden dat ik “boeken in vrije tijd” uitzonder is omdat het criterium grofweg is of het je werk is om zulke dingen te maken, en weinig mensen hebben als werk “boeken en zo” te schrijven. Alleen is dat een te makkelijk argument als we het over copywriters hebben, want een tekstschrijver of copywriter kan zeer zeker ook wel opgedragen krijgen een boek te schrijven als werk. En als je zo’n opdracht krijgt, dan liggen de rechten op dat boek echt bij je werkgever.

Schrijf je een boek zonder opdracht, maar hád je de opdracht redelijkerwijs niet kunnen weigeren als die je hypothetisch was gegeven, dan is dat boek in principe toch gewoon auteursrechtelijk van je werkgever. Eigen initiatief zeg maar, en dan doet het er niet toe of je spullen van het werk hebt gebruikt, onder werktijd schreef of je baseerde op eerdere teksten die al eigendom van het werk waren. De discussie gaat over de aard en inhoud van het boek, niet waarmee je het geschreven zou hebben.

In dit geval is het nog iets complexer, want er staat een hele lap hierover in het contract:

“Alle rechten van industriële en intellectuele eigendommen, zoals auteursrechten, merkrechten, octrooien, rechten op modellen en tekeningen, kwekersrechten enzovoorts, welke ontstaan tijdens, door of in verband met de uitoefening van de door werknemer op grond van de arbeidsovereenkomst te verrichten werkzaamheden komen uitsluitend toe aan werkgever en worden geacht aan werkgever te zijn overgedragen zonder dat hiervoor een nadere overdracht zal zijn vereist en zonder dat werknemer recht heeft op een vergoeding hiervoor. Werknemer is gehouden werkgever bij eerste gelegenheid op de hoogte te stellen van alle vindingen die tot de boven bedoelde rechten aanleiding zouden kunnen geven. Het is werknemer niet toegestaan om de resultaten van zijn werkzaamheden zelf openbaar te maken, te verveelvoudigen, in het verkeer te brengen, te verkopen, te verhuren, af te leveren of anderszins te verhandelen dan wel voor een ander aan te bieden of te doen inschrijven.”
Het is op zich legaal om in een schriftelijk en ondertekend arbeidscontract meer auteursrechten op te eisen dan waar je voor de wet recht op hebt als werkgever. De vraag is natuurlijk waarom een werknemer dit zou accepteren, maar de wet ziet dat als een onderhandelingspunt en bevat géén dwingend verbod op zo’n clausule. (Let op, in een personeelshandboek of eenzijdig medegedeeld arbeidsvoorwaardenreglement is dit dan weer niet mogelijk, net zo min als met een achteraf verplicht te tekenen documentje.)

De werkgever heeft hier een veelgebruikt criterium gehanteerd: rechten die zijn “ontstaan tijdens, door of in verband met de uitoefening van de werkzaamheden”. Dat “door of in verband met” is grofweg wat de wet zelf ook al zegt, de uitbreiding is dus het “tijdens” het werk. En dat is dus altijd precies mijn voorbeeld: de portier die onder werktijd op de werklaptop een thriller schrijft, heeft daar echt zelf het auteursrecht op. Hij doet zijn werk mogelijk niet goed (want opletten zal er niet bij zijn tijdens het schrijven), hij kan wellicht worden ontslagen voor plichtsverzuim maar dat is het – dat boek is en blijft van hem zelf.

Wie letterlijk dit beding leest, ziet “tijdens”, en dat zou ook de portier omvatten die onder werktijd (dus tijdens het werk) aan die thriller werkt. En dat kun je dus afspreken, als je het opschrijft in een ondertekend arbeidscontract.

Tegelijkertijd geldt ook bij arbeidscontracten de Haviltex-regel van contractsuitleg: niet alleen de taalkundige uitleg, maar ook wat partijen onderling bedoeld hadden toen ze dit opschreven. En daarbij wordt ook de onderlinge positie van de partijen meegewogen. Bij arbeidscontracten is dat meestal een deskundige en sterk staande werkgever, tegenover een werknemer die meestal weinig kan inbrengen behalve “tekenen of niet”. In dat geval wint al snel de interpretatie die in het voordeel is van de werknemer.

De interpretatie “ook de thriller die je als copywriter schreef hoewel je werk is marketingteksten voor de website te maken” vind ik niet echt in het voordeel van de werknemer. “Het handboek Online Marketing en Copywriting dat je in je vrije tijd schreef vanuit je ervaringen als copywriter bij ons” zou ik er dan weer wél onder vinden vallen. Dat komt dus neer op een lichte verbreding van het wettelijke criterium, met name om de grensgevallen richting de werkgever te duwen. Want het is een grijs gebied, een handboek hoe je werk te doen maar gericht op vakgenoten algemeen en niet collega’s.

Arnoud