Categorie: Ondernemingsvrijheid

About Ondernemingsvrijheid

Subscribe Feeds

Kun je de telecomprovider aansprakelijk stellen voor sim-swapping?

Geplaatst op in Ondernemingsvrijheid, Security, 3 reacties
Photo by epicioci on Pixabay

Een lezer vroeg me:

Ik lees de laatste tijd veel berichten over sim-swapping waarbij criminelen het voor elkaar krijgen om een 06-nummer naar een andere simkaart over te laten zetten. Als ik het goed begrijp gebeurt dit door telefonisch contact met de telecomprovider waarbij de crimineel zich voordoet als de eigenaar van de simkaart. Na het omzetten kunnen ze de 2FA op basis van SMS heel makkelijk omzeilen en dus mogelijk toegang krijgen tot allerlei accounts. Stel dat ik dan schade lijd, kan ik die dan verhalen op de telecomprovider?
Het fenomeen sim-swapping zoals hier beschreven komt inderdaad met enige regelmaat voor. In april werd een man uit Vaals nog veroordeeld tot drie maanden cel voor medewerking aan sim-swapping. In de VS kreeg iemand 14 maanden cel voor het via sim-swapping kapen van het X-account van de beurswaakhond SEC. En T-Mobile betaalde in maart 33 miljoen omdat het bedrijf nalatig was in de beveiliging tegen deze vorm van criminaliteit.

De aansprakelijkheid voor de gevolgen van sim-swapping begint bij de specifieke regels voor banken. Die staan in art. 7:529 BW:

De betaler draagt alle verliezen die uit niet-toegestane betalingstransacties voortvloeien, indien deze zich hebben voorgedaan doordat hij frauduleus heeft gehandeld of opzettelijk of met grove nalatigheid een of meer verplichtingen uit hoofde van artikel 524 niet is nagekomen.
De ‘betaler’ is in dit geval dus de klant die een frauduleuze transactie overkwam dankzij sim-swapping. En let op: er staat dus dat deze alléén de gevolgen moet dragen als hij frauduleus, opzettelijk of met grove nalatigheid zijn beveiligingsplichten niet nakwam.

Bij sim-swapping kun je vrij weinig doen. De crimineel krijgt een vervangende sim (of esim) waarmee deze vanuit jouw nummer berichten kan zenden en ontvangen. Als de crimineel je wachtwoord te pakken heeft, kan deze dan dus de 2FA op basis van je 06-nummer aanroepen en dan transacties uitvoeren.

Ik zie dan ook niet direct hoe jou kan worden verweten dat je opzettelijk of grof nalatig hebt gehandeld. Het enige argument is dat je informatieberichten van je telecomprovider negeert dat er een nieuwe sim is uitgegeven, en meer algemeen dat je wachtwoord is gelekt.

Echter, niet bij alle aanvallen is je wachtwoord nodig. Bovendien is een standaardtruc dat men ’s nachts de wissel doet, omdat je dan ruim te laat bent bij het wakker worden.

In één Kifid-uitspraak vond men het genoeg dat er in een SMS een algemene waarschuwing stond, hoewel die niet over sim swapping maar over 2FA codes ging.

De telecomprovider aansprakelijk stellen wanneer de bank niet thuisgeeft, is natuurlijk altijd mogelijk. Door het onrechtmatig uitgeven van die sim ben jij benadeeld. Alleen krijg je dan snel hetzelfde probleem: als jij niet had gereageerd op waarschuwingssignalen, is in ieder geval een deel van de schade je eigen schuld.

Arnoud

Sjonge, je emailcorrespondentie is als zodanig ook gewoon een persoonsgegeven onder de AVG

Geplaatst op in Ondernemingsvrijheid, Privacy, Security, 15 reacties
Photo by Element5 Digital on Pexels

De inhoud van je (zakelijke) mailbox is aan te merken als persoonsgegevens, zodat je inzagerecht (en kopierecht) er op van toepassing is. Dat oordeelde het Franse Cour de Cassation, de hoogste Franse rechtbank onlangs. Wel moet de werkgever bij inzageverzoeken rekening houden met (privacy-)belangen van anderen.

Met enige regelmaat krijg ik vragen van werknemers die in een arbeidsgeschil zitten en dan de AVG willen inzetten om bijvoorbeeld bewijs te vergaren. Het is al een tijdje discussie wat in die context precies een ‘persoonsgegeven’ is: de metadata (jouw mailadres en met wie je mailde zeg maar), de passages in de mail die over jou gaan, of gewoon de hele mail?

Het Franse Hof kiest in een arbeidszaak nu voor dat laatste. In die zaak ging het om een intern onderzoek tegen een werknemer vanwege vermeend plegen van “daden van seksuele of psychische intimidatie”. De werknemer had om inzage in zijn mails gevraagd, om beschuldigingen te kunnen weerleggen als zou hij dergelijke teksten per mail hebben verstuurd.

De werkgever had dit geweigerd omdat “zakelijke e-mails” geen persoonsgegevens zijn. Dat ziet het Hof dus anders:

16. It follows, on the one hand, that emails sent or received by the employee using his professional email account are personal data within the meaning of Article 4 of the GDPR and, on the other hand, that the employee has the right to access these emails, the employer having to provide him with both the metadata (time stamp, recipients, etc.) and their content, unless the elements whose communication is requested are likely to infringe the rights and freedoms of others.
Ik twijfel of dat “professional mail account” er staat om duidelijk te maken dat het óók voor zakelijke mails geldt (dus niet alleen duidelijke privécorrespondentie), of gewoon omdat men die term gebruikte in de procedure.

In ieder geval, het Hof bevestigt hier dat mails die je stuurt of ontvangt integraal tellen als persoonsgegevens. Dus niet de metadata. Ook niet de stukjes met je naam erin. De hele lap.

Dat is wel even heftig, want je kunt dus met dit arrest (de AVG wordt Europabreed hetzelfde uitgelegd) een kopie van je hele mailbox eisen. Daar zitten dan wel weer grenzen aan: je inzagerecht (waar recht op kopie bij hoort) mag “geen afbreuk aan de rechten en vrijheden van anderen” doen.

Als inzage bijvoorbeeld de privacy van een collega zou schenden, of er staan bedrijfsgeheimen in, dan mag de werkgever weigeren deze te verstrekken. De werkgever moet dat natuurlijk desgevraagd wel bewijzen (vergelijk Dun & Bradstreet over handelsgeheimen versus AI-uitleg, ook dat is het inzagerecht). En mails moeten bij voorkeur dan geanonimiseerd worden overlegd in plaats van integraal achtergehouden worden.

Hoe nu hier in de praktijk mee om te gaan? Enerzijds gaat het praktisch al goed: werknemers kunnen haast per definitie al bij hun mailbox, en ze mogen daar dus ook een kopie van maken in het kader van hun inzagerecht.

Die kopie moet wel gemaakt om een concrete inzage te doen met als doel correctie of verificatie van de juistheid van de persoonsgegevens. Dus niet “voor het geval dat neem ik de mailbox mee naar huis” maar “ik hoor net van Guillaume dat ik X gezegd zou hebben, ik bewaar nu de mail met niet-X want dan kan ik dat op het gesprek aankaarten”.

Anderzijds gaat het inzagerecht pas spelen wanneer er een geschil aan de orde is. Dan weet je als werknemer immers welk bewijs je nodig hebt. En juist dan zie je dat je nogal eens buitengesloten bent van de werkmiddelen. Natuurlijk heb je dan nog steeds récht op die mailbox, maar met oneigenlijke vertragingstactieken kan een kwaadwillende werkgever je daar behoorlijk in hinderen – terwijl de arbeidsrechtelijke procedure gewoon doorgaat.

Arnoud

 

Fransen kunnen weer surfen naar pornosites Pornhub en Youporn

Geplaatst op in Ondernemingsvrijheid, 11 reacties
Photo by geralt on Pixabay

Fransen kunnen pornosites Youporn, Pornhub en Redtube weer bezoeken nadat de eigenaar de toegang tijdelijk had geblokkeerd. Dat meldde Nu.nl. Moederbedrijf Aylo protesteerde tegen regels voor leeftijdsverificatie met behulp van creditcards of identiteitsbewijzen.

In februari van dit jaar voerde de Franse Autorité de régulation de la communication audiovisuelle et numérique (“Arcom”) regels in voor leeftijdsverificatie bij websites voor volwassenen. Dit was de implementatie van een wet uit 2020 die bepaalde dat websites dergelijke verificatie moesten doen (en dus meer dan “vul je leeftijd in”).

Vanwege le privacy waren er de nodige randvoorwaarden, zoals:

the concept of double anonymity, which the CNIL already put forward in 2021 in its opinion on the decree of Law No. 2020-936 and in 2022 in its recommendation titled “Online age verification: balancing privacy and the protection of minors.” Double anonymity guarantees the site does not know the user’s identity and the provider of the age verification solution does not know which sites the user visits. Platforms will have to offer at least one age verification method that complies with the double anonymity concept, with mandatory compliance from 11 April 2025.
Technisch niet bepaald triviaal. Aanbieder Aylo maakte dan ook bezwaar toen zij werd aangewezen als een van de zeventien partijen die aan deze regels moest voldoen. Dat vond ze oneerlijk gezien de hoeveelheid concurrenten.

Er was ook een meer technisch argument: Aylo en haar dochterondernemingen waren niet in Frankrijk gevestigd, en op grond van de Europese e-commerceregels mag je die bedrijven dan niet zomaar aparte, nationale regels opleggen (country of origin principe). Procedureel ging hier mis dat men voorafgaand de Europese Commissie had moeten informeren.

Inhoudelijk is er verder weinig mis met deze regels, dus het voelt vooral als een stukje vertraging. Maar Aylo grijpt de discussie wel gelijk aan om de bal bij de grote device/OS providers te leggen:

To make the internet safer for everyone, every phone, tablet or computer should start as a kid-safe device. Only verified adults should be allowed to unlock access to age-inappropriate content. This is the core premise of device-based age verification, which we believe is the safest and most secure option. The technology to accomplish this exists today.
Het idee is dan dat de OS/platformbeheerder op dergelijke apparaten zorgt voor een veilige leeftijdsverificatie. Deze wordt dan opgeslagen in het apparaat, waarna een token “is 18+” naar websites gestuurd kan worden. Daarmee hoef je geen details over die persoon te verstrekken, en hoeven al die websites niet zélf na te denken hoe ze op afstand nagaan of iemand 18+ is.

Een goed idee, en fundamenteel het beste vanuit onder meer AVG perspectief. Het grote probleem is natuurlijk de enorme berg apparaten die deze feature nog niet heeft. Dus zelfs als we vanaf morgen dit verplicht stellen, wat doe je dan met al die bestaande apparaten?

Arnoud

 

Nooit geweten dat Apple zo’n machtige partij in de datingwereld was?

Geplaatst op in Ondernemingsvrijheid, 5 reacties
Photo by Nathan Jeon on Unsplash

Apple heeft zijn machtspositie misbruikt door oneerlijke voorwaarden op te leggen aan aanbieders van datingapps in de App Store. Dat meldde de ACM onlangs. En ja, het doet raar aan dat het specifiek gaat om datingapps terwijl het probleem algemeen is: de plicht tot gebruiken van Apple’s eigen betaalsysteem en een hoge commissie.

De reden dat het over datingapps gaat, is omdat de handhaving geïnitieerd is vanwege klachten van Nederlandse datingdiensten:

De kwestie draait om datingapps zoals Tinder, Lexa en Bumble. Als gebruikers van die apps bijvoorbeeld een abonnement nemen, dan wordt de betaling door Apple verwerkt. De makers van die apps willen dat ook andere partijen betalingen kunnen verwerken binnen Apples mobiele besturingssysteem iOS. Daarmee hopen ze ook goedkoper uit te zijn, want Apple vraagt 30 procent provisie over die betalingen.
Is Apple machtig? Dat hangt af van de vraag wat de ‘markt’ is. In de mobieltjes- of zelfs smartphonemarkt is Apple hooguit een middenmoter. Maar als je bijvoorbeeld “high-end smartphones” als aparte markt ziet, is Apple ineens marktleider.

In deze zaak zag de ACM “de markt voor appstorediensten op het besturingssysteem iOS ten behoeve van datingappaanbieders” als de relevante markt. Apple wees op andere platforms en natuurlijk webapps en websites. De ACM had daar tegenover gesteld dat specifiek bij datingapps iedereen eigenlijk gewoon de app gebruikt, onder meer omdat je dan pushberichten krijgt en meer OS-functies kunt gebruiken.

En nou ja, in die markt is Apple met 100% marktaandeel de dominante partij. En als je zo machtig bent, dan gaan er andere spelregels gelden omdat je dan veel invloed op anderen kunt hebben:

Het door Apple gekozen exploitatiemodel leidt ertoe dat de datingappaanbieders als gevolg van de gedwongen betaalafwikkeling via de IAP-API beperkt worden in hun mogelijkheden om betaalmethoden te kiezen die zijn afgestemd op de wensen van hun gebruikers, wat een negatieve invloed kan hebben op hun dienstverlening aan de consument. Daarnaast zijn de gebruikers van datingapps vanwege de door Apple gehanteerde voorwaarden feitelijk klanten van Apple en niet van de datingappaanbieders zelf. Hierdoor worden datingappaanbieders ervan weerhouden een rechtstreekse klantrelatie op te bouwen met hun gebruikers. Apple verstrekt verder geen gegevens aan appaanbieders waarmee de identiteit van een klant kan worden vastgesteld.
Dit is volgens de rechtbank een overtreding van het mededingingsrecht. Wie trouwens denkt dat rechters geen verstand van techniek hebben, mag eerst dit vonnis gaan lezen. Ik heb cursussen iPhone apps maken gelezen die mínder begrip tonen van SDK’s, API’s en het goedkeuringsproces van Apple.

De overtreding zit hem er in dat er enerzijds groot nadeel voor concurrenten ontstaat en anderzijds Apple niet echt een objectieve reden aandroeg waarom het op die manier moet werken. Meer dan “zo doen wij dat nu eenmaal en dat is goed voor de kwaliteit en de consument” kan ik er niet uit halen, en dat is simpelweg te weinig als je zo machtig bent.

De discussie is natuurlijk een tikje achterhaald door de Europese DMA-handhaving tegen Apple (met een miljardenboete in aantocht). Dat was het hele punt van de Digital Markets Act (die ik ooit het chagrijnige broertje van de DSA noemde): het mededingingsrecht is achteraf en vereist een evaluatie per geval. De DMA verbiedt het gewoon op voorhand.

Arnoud

 

Meta verbieden haar AI te trainen op jouw data, het kan bij de rechter

Geplaatst op in Ondernemingsvrijheid, Privacy, 2 reacties
Photo by Rob Martin on Unsplash

[verzoeker] verzoekt Meta te verbieden om zijn persoonsgegevens, althans zijn “informatie” te combineren tussen Facebook en /of Instagram, en/of enige andere dienst(en) van Meta, waarvoor Meta Ads, Meta AI, “AI-tools voor advertentiemateriaal” en/of (het genereren van) modellen, waaronder modellen die Meta in Meta AI gebruikt en via een open platform aanbiedt en dat open platform. En de rechter wijst dat toe, op straffe van een ton per overtreding. Wut?

Dat Meta bezig is met AI-modellen te trainen op Facebook- en Instagramdata is al geruime tijd in het nieuws. Men biedt een opt-out, vanuit de AVG-redenering dat dit mag op grond van gerechtvaardigd belang. Die grond vereist geen toestemming maar wel een opt-out (“recht van bezwaar”, artikel 21).

Of dat opgaat is de vraag, maar echt actie vanuit AVG-toezichthouders lijkt er niet te komen. De AP waarschuwde mensen wel om zich af te melden, maar ik heb geen geluiden gezien dat er verboden werden overwogen.

De verzoeker in deze small claims rechtbankprocedure had een stapje buiten de AVG gekeken en geconcludeerd dat de Digital Markets Act dit eigenlijk onmogelijk maakte. Dus bezwaar maken was niet aan de orde, het mag gewoon niet vanwege de machtspositie van Meta. Bovendien kon je alleen bezwaar maken met een account, en werkte het “Blokkadescherm” technisch niet.

Small claims, kent u die uitdrukking? De Europese procedure voor geringe vorderingen (ESCP) is expliciet gemaakt om ‘kleine’ en makkelijke zaken (tot 5.000 euro financiële waarde) te kunnen regelen. En “Meta mag mijn persoonsgegevens niet gebruiken om een AI te trainen” valt binnen dat bereik.

Meta vocht het verzoekschrift aan met vooral formele gronden, onder meer omdat er al een andere procedure tussen de twee liep. Maar de rechter vindt dat laatste niet van belang – het gaat hier om een specifieke aparte vordering, die gewoon apart behandeld kan worden.

Verder constateert de rechter iets merkwaardigs. Meta heeft herhaaldelijk gezegd dat ze ieder bezwaar honoreren, en nu komt iemand via de rechter met een bezwaar en dan gaat Meta moeilijk doen? Dat is natuurlijk onlogisch.

[Uit de openbare aankondigingen van Meta] wordt afgeleid dat de enkele mededeling dat er bezwaar is tegen het gebruik van de gegevens van [verzoeker] door Meta al voldoende zou moeten zijn om te voldoen aan het verzoek van [verzoeker] , zodat niet valt in te zien welke bezwaren Meta in de zaak van [verzoeker] nu nog zou willen maken. Ook wordt daarbij nog in ogenschouw genomen dat Meta ook na het bezwaar dat zij heeft gemaakt tegen de voorlopige voorziening op 1 mei 2025 nog ruimschoots de gelegenheid heeft gehad om inhoudelijke bezwaren naar voren te brengen, hetgeen zij niet heeft gedaan.
De eis wordt dus toegewezen. Inclusief dwangsom, wat een tikje raar is omdat Meta dus steeds zegt dat ze gewoon gehoor geeft aan alle bezwaren. Alleen had Meta specifiek hier dat niet gezegd:
Het had tegen die achtergrond ook voor de hand gelegen dat Meta in deze procedure deze toezegging ook aan [verzoeker] had verstrekt, zodat de noodzaak van een voorziening was komen te vervallen. Dat heeft zij echter niet gedaan, sterker zij heeft formele bezwaren tegen honorering van het verzoek van [verzoeker] geformuleerd en ook nog verzocht om een termijn om inhoudelijk op het verzoek van [verzoeker] te mogen reageren. Gelet op deze proceshouding wordt aanleiding gezien een dwangsom als na te melden op te leggen.
Het is mij een volstrekt raadsel waarom de advocaat van Meta hier gekozen heeft voor een procedure. Ik zie niet hoe dit tot een andere uitspraak had kunnen leiden.

Arnoud

Mogen bedrijven van de AI Act en AVG een AI-chatbot in hun shop integreren?

Geplaatst op in Ondernemingsvrijheid, Privacy, Regulering, 12 reacties
Alexandra_Koch / Pixabay

Een lezer vroeg me:

Steeds vaker zie ik dat bedrijven bij klantenservice een AI-chatbot inzetten als eerste lijn. Die hebben vaak ook toegang tot je bestellingen en andere gegevens. Ik maak me daar zorgen over, wat zeggen de AVG en AI Act hierover?
De trend om menselijke ondersteuning te vervangen door chatbots is niet te stoppen, zo lijkt het. (Hoewel ze het bij Klarna een “flop” lijken te vinden.) Maar laten wij ons focussen op de juridische kant: mag dit?

De AI Act stelt eigenlijk geen eisen aan AI voor klantenservice, afgezien van de algemene eis (artikel 50) dat het duidelijk moet zijn voor de klant dát men met een bot communiceert. Dat moet expliciet en in het gesprek, dus niet een zinnetje in de algemene voorwaarden of ergens in de veelgestelde vragen. En afhankelijk van de lengte van het gesprek kan het nodig zijn deze boodschap periodiek te herhalen.

Lastiger ligt het met de AVG. Een AI-tool die een klantdossier leest, verwerkt daarmee persoonsgegevens. Het doel daarvan is legitiem, namelijk de klant helpen met een probleem bij diens aankoop of ander contract. Een menselijke medewerker zou dit net zo goed mogen. En in de praktijk zie je ook dat de tool er pas bij kan als jij een ordernummer of andere referentie kan geven, wat je kunt zien als een vorm van instemmen.

Een grotere zorg is wie er allemaal nog méér toegang heeft tot die persoonsgegevens. Want dat is wel even anders dan bij de menselijke medewerker. Veel van deze technologieën worden door een leverancier beschikbaar gesteld, en als je dan een paar tegels omdraait kom je al snel bij een Amerikaans foundation model zoals OpenAI’s GPT familie.

Oftewel: alle chats mét klantdossier gaan naar Amerika en dat is zoals bekend AVG-technisch een lastige situatie. Formeel mag het, om de simpele reden dat de EU heeft gezegd dat de VS een met Europa vergelijkbare bescherming van persoonsgegevens heeft. En tot men dat formeel intrekt, is er geen vuiltje aan de lucht.

(Sommigen zouden nu de woordgrap maken dat de lucht vol met stratocumuli zit.) We weten allemaal dat dit nergens op slaat, eigenlijk al sinds het Safe Harbor regime uit 2000. Maar dit is waar juridisch en werkelijkheid afscheid nemen: puur praktisch is het een probleem, maar juridisch klopt het gewoon. Althans, totdat de Europese Commissie of het Hof van Justitie zegt van niet. Want dan moet per direct iedere verbinding met alle Amerikaanse dienstverleners worden gestaakt.

Voor de webshop met AI-klantenservice is dit een nogal abstract en ver verwijderd probleem, en dat snap ik. Je kunt hier helemaal niets aan doen en je zocht alleen een handige extra chatbot omdat je zelf niet 24/7 achter je webshop kunt zitten typen. Mee bewegen met de massa en vooral met al je concurrenten is dan ook prima in die situatie. Uiteindelijk is de situatie met de VS een politiek probleem en niet jouw individueel juridisch probleem.

Uiteraard zoek je wel een goede dienstverlener die de beveiliging goed op orde heeft, zodat er niet bijvoorbeeld chatlogs mét bestelgegevens ergens bij de leverancier terecht komen en langdurig bewaard blijven.

Arnoud

Crypto’s in box 3 zijn belast vermogen, zegt de Hoge Raad. Maar of het ‘geld’ is blijft ongewis

Geplaatst op in Ondernemingsvrijheid, Regulering, 4 reacties
Photo by David McBee on Pexels

Aan cryptogeld kun je geen rechten ontlenen, dus is het geen vermogen. Zo opende NRC onlangs over een belastinggeschil inzake cryptovaluta.

De aangeefster had 71.000 euro aan cryptovaluta, maar wilde geen vermogensrendementheffing (box 3) daarover betalen. Het onderliggende argument:

  1. Cryptovaluta zijn geen vermogensrechten in de zin van artikel 3:6 BW. Daarvoor is immers vereist dat ze “overdraagbaar zijn, of er toe strekken de rechthebbende stoffelijk voordeel te verschaffen”.
  2. Ook is een eis dat is van een verplichting (schuld) van een ander aan de belastingplichtige, en dat ontbreekt in het geval van cryptovaluta.
In haar arrest is de Hoge Raad daar snel klaar mee. In belastingwetgeving wordt gesproken van “vermogensrechten”, maar dat is een breder begrip dan “vermogensrechten” uit het BW. Belastingtechnisch is genoeg dat ze overdraagbaar zijn (en dat is zo) en dat dit tot voordeel leidt (je krijgt geld).

Weinig spannend uiteindelijk, en ook wel binnen de lijn de verwachting. Jammer is vooral dat de Hoge Raad open laat wát voor vermogensrechten in fiscale zin dit zijn. NRC citeert Sonja Dusarduijn, universitair hoofddocent belastingrecht aan Tilburg University, die uitlegt:

Vallen crypto’s in box 3 onder de categorie ‘geld’ of onder ‘overige bezittingen’? Bij ‘geld’ gaat de fiscus ervan uit dat je minder rendement maakt op je vermogen dan bij ‘overige bezittingen’. Maar het gerechtshof ontweek het antwoord op die vraag met de merkwaardige redenering dat als het geen geld is, het toch in elk geval onder ‘overige bezittingen’ valt.
Die redenering is genoeg om het argument te pareren dat het geen van beide is. Maar het is jammer dat niet is doorgepakt:
Het verschil doet zich ook voelen bij het zogenaamde ‘herstelrecht’, vertelt Dusarduijn. De Hoge Raad heeft in 2021 korte metten gemaakt met het door de fiscus gehanteerde fictieve rendement op vermogen, dat voor sommigen veel hoger lag dan hun daadwerkelijke rendement. Dusarduijn: „De wetgever moet daarom bepaalde vermogensbezitters rechtsherstel bieden. Je moet dan wel aantonen dat het werkelijke rendement op je héle vermogen in een bepaald jaar lager blijkt te zijn dan het fictieve rendement.”
Dit geldt dus ook voor het deel van je vermogen dat in crypto’s bestaat.

Mensen vragen nogal eens: waarom zou je je cryptovaluta opgeven, gezien de blockchainregistratie in principe anoniem is. De belangrijkste reden is natuurlijk dat je identiteit snel zichtbaar wordt bij aan- en verkopen tegen echt geld, want dat betreedt dan het gereguleerde systeem.

Arnoud

AWS brengt nieuw bedrijfsonderdeel volledig in EU onder, helpt dat tegen de almachtige CLOUD Act?

Geplaatst op in Ondernemingsvrijheid, 7 reacties

Amazon gaat een aantal bedrijfsonderdelen en processen rond AWS volledig in Europa onderbrengen. Dat meldde Tweakers vorige week. Het is een reactie op de discussie over Europese soevereiniteit, die een impuls kreeg vanwege het afsluiten van een mailbox van de ICC-hoofdaanklager onlangs. Uiteraard blijft de vraag: is dat genoeg tegen de CLOUD Act?

Ik klonk in de titel wellicht een beetje cynisch, maar ik erger me al een tijd aan de vanzelfsprekendheid waarmee mensen aannemen dat bedrijven alles doen omdat een Amerikaanse wet dat zegt. En natuurlijk, bedrijven in Amerika kunnen dat maar beter doen ook. Maar waarom een bedrijf in Europa, enkel omdat men in een Amerikaans concern zit?

Zoals ik in 2020 blogde:

[B]innen de regels voor concerns kán een moeder niet direct bevelen wat een dochterbedrijf moet doen. Aandelen geven wel zeggenschap, maar geen bestuursbevoegdheid. Je moet dus het bestuur overtuigen, en dat kan eigenlijk alleen door te zeggen dat je het bestuur eruit gooit als ze niet doen wat je zegt. Dat zou nogal opvallen, en als in de statuten van die dochter ook nog vervelende dingen staan dan wordt dit helemaal een heilloze route.
Ook is er artikel 48 AVG, dat zegt dat bevelen van Amerikaanse rechtbanken inzake afgifte persoonsgegevens zonder rechtskracht zijn. Het moet via een rechtshulpverzoek. Dus een Europese rechtbank zal zo’n bevel niet erkennen, zodat je ook langs die route niet verplicht kunt worden er aan te voldoen.

Natuurlijk kan de VS op allerlei manieren escaleren. Denk aan betalingsproviders (zoals creditcards) verbieden betalingen aan een soeverein Europees cloudbedrijf te accepteren. IP-dataverkeer tegen laten houden. Of het moederbedrijf uitsluiten van overheidsopdrachten. Maar dat valt op bij de Europese politiek.

Ik maak me zelf meer zorgen over de techniek. Hoe weet die Amazon-dochter dat er geen achterdeurtje voor Seattle in zit, zodat de Amerikanen de data gewoon kunnen grijpen als ze dat naar Amerikaans recht moeten geven?

Enerzijds, dat is hetzelfde probleem als met alle cybersecurity: of de inbreker nou bij je bedrijf werkt of niet, maakt niet uit voor de vraag of iemand ongeautoriseerd is. Anderzijds, wie volledige toegang tot alle hardware én software heeft, kan veel geniepiger achterdeuren inbouwen.

Arnoud

 

Vierdaagse blokkeert tickets die met hulp van bots zijn doorverkocht, mag dat?

Geplaatst op in Ondernemingsvrijheid, 4 reacties
Eerste dag avondvierdaagse Amsterdam (Berlageburg), Wikimedia Commons

Tickets voor de Nijmeegse Vierdaagse die via een tussenpersoon zijn verkocht worden door de organisatie ongeldig verklaard. Dat meldde Nu.nl dinsdag. Dit omdat het “oneerlijk” is dat zij via bots de kaarten opkopen. Heel begrijpelijk, maar wat is de stap van “oneerlijk” naar “onrechtmatig” hier?

De stichting achter deze traditionele wandeltocht wist het eerst ook even niet, maar men heeft zich nu “technisch, maar ook juridisch laten adviseren” en concludeert:

Startbewijzen die via dergelijke commerciële botdiensten worden verkregen, zijn ons inziens op onrechtmatige wijze bemachtigd. Vanaf de datum van deze berichtgeving (22-05-2025) zullen wij daarom tickets die aanwijsbaar via intermediairs van eigenaar zijn verwisseld, ongeldig verklaren. We adviseren alle wandelaars die op zoek zijn naar een 4Daagse ticket géén gebruik te maken van diensten die aangeven als intermediair op te treden.
Het persbericht spreekt van “op onrechtmatige wijze bemachtigd”, wat suggereert dat men een route vond die de inzet van de bot zelf. Daar twijfel ik zeer over, want er is algemeen geen wettelijke regel die kopen met een bot (of moet je nu “inzet van agentic AI agent” zeggen?) verbiedt.

Maar gelukkig hebben we de foto’s, ik bedoel het reglement van de 4Daagse nog. Dit vermeldt in artikel 19:

Bemiddeling, hoe ook genaamd, in startbewijzen is, behoudens met toestemming van Stichting DE 4DAAGSE, verboden. Een  startbewijs dat middellijk of onmiddellijk door bemiddeling is verkregen, verliest zijn geldigheid.
Je kunt de exploitanten van die bots zien als bemiddelaar of agent; zij kopen tickets ten behoeve van een specifieke derde, hun opdrachtgever. Eerder meldde Nu.nl:
Zo waren op Marktplaats advertenties te vinden waarin de verkoper ticketgarantie aanbood, omdat die met botsoftware kaarten opkocht bij de Vierdaagse. “Geïnteresseerde kopers delen hun gegevens met de adverteerder, die vervolgens geautomatiseerd controleert of er een ticket beschikbaar komt”, zegt een woordvoerder van Atleta Resale, het bedrijf dat de officiële doorverkoop van de Vierdaagse organiseert.
De tickets worden dus bij aanschaf op naam van de koper gezet. Het is geen opkopen van een stapel tickets en dan rustig zoeken naar belangstellenden. (Daarom zijn de regels over overdracht van startbewijzen ook niet van toepassing.)

Een constructie die zo’n bemiddelaar kan hanteren, is dat deze “slechts de software verhuurt”, waarna de wandelaar-in-spe zelf deze gebruikt en aldus snel het ticket verkrijgt. Dat zou ik geen bemiddeling meer noemen, dat is geen “werkzaam zijn” zoals de wet dat noemt “bij het tot stand brengen van een of meer overeenkomsten” (art. 7:425 BW).

Bij mijn weten doet geen bemiddelaar dat, en dat zal vast komen omdat je dan moeilijker een commissie kunt rekenen. Maar om dit te voorkomen, zal er echt iets in het reglement moeten komen dat inzet van geautomatiseerde middelen verbiedt om het ticket te kopen.

Arnoud

 

 

Mag mijn werkgever op eigen houtje een autoreply instellen dat ik er binnenkort niet meer werk?

Geplaatst op in Ondernemingsvrijheid, Privacy, 16 reacties
Photo by Blue Arauz on Pexels

Een lezer vroeg me:

Bij mijn werkgever speelt momenteel een grotere reorganisatie, waarbij velen (waaronder ook ik) hun baan gaan verliezen. HR heeft alle medewerkers geïnstrueerd een automatische reply in te stellen met een tekst die erop neerkomt dat je er niet meer werkt en met wie de wederpartij contact moet opnemen.

Ik vind dit prematuur, omdat ik hier nog steeds werk en het collectief ontslag nog niet is goedgekeurd. Daarop heeft HR de accounts overgenomen (met hulp van IT) en het bericht zelf ingesteld. Ik kan niet meer bij mijn mail of bestanden en mijn contactpersonen lezen nu dat ik vanaf dd/mm hier niet meer werk. Kan dit zomaar?

Vragen als deze krijg ik vaak wanneer er iets met ict-systemen of persoonsgegevens gebeurt in de context van een reorganisatie of ontslag. Men wil daar bezwaar tegen maken en zoekt dan naar wetten die worden overtreden, want dat is een hele stevige om een punt mee te kunnen maken.

Het probleem is: situaties als deze zijn zeer specifiek, en de wet heeft daar geen pasklaar antwoord op. Bovendien is de oplossing lang niet altijd de zuiver juridische route. Dit maakt het erg lastig om vragen als deze te beantwoorden, maar laten we het toch proberen.

De kern van de vraag is dat het bedrijf een persoonsgebonden zakelijk account laat beheren door een ander persoon. Op zich is dat rechtmatig: die accounts zijn van het bedrijf, en het bedrijf bepaalt dus wat ermee gebeurt. Het bedrijf moet als goed werkgever wel rekening houden met de privacy, gegevensbescherming en andere belangen van de werknemer.

Een situatie waarin zo’n overname prima is, is als de werknemer ziek is en het werk door moet. Dan moet je in die mailbox kunnen om relevante mails op te duikelen. (Beter is natuurlijk dat er geen kritische informatie alleen in een mailbox zit, maar we hebben nog een lange weg te gaan hierin.) Mails versturen uit die mailbox vind ik een stuk spannender, maar in een kleine organisatie verdedigbaar als het bedrijfsbelang groot is en de collega zich duidelijk kenbaar maakt: “Bedankt voor je mail aan Wim, hij is ziek maar ik Kees neem het over”.

Hier gaat het meer om een conflict. De werkgever wil de klant tijdig informeren over de opvolging van deze Wim, en daar is zo’n automatische reply een standaardmanier voor. Voorschrijven dat je een dergelijke reply aanzet en met welke strekking is gewoon de instructiebevoegdheid van de werkgever, dus dat had Wim moeten doen. En ja, ook als het nog niet de laatste werkdag is: overdracht van werk kan en mag prima al eerder geregeld worden.

Het is alleen weer geen goed werkgeverschap om een onjuiste mededeling uit te laten gaan. Als Wim zijn ontslag er inderdaad nog niet door is, dan kun je hem niet verplichten “per dd/mm werk ik hier niet meer” in de mail te zetten. (Mogelijk weet HR meer dan Wim, maar dan is het weer zeer ongepast om op die manier Wim zijn ontslag aan te zeggen.)

Daar komt bij dat door deze handelwijze van HR Wim niet meer kan werken: zijn mail is ontoegankelijk, net als alle applicaties en bestanden die hij nodig heeft. Ik weet niet om wat voor reorganisatie het gaat, maar kan me moeilijk voorstellen dat Wim en collega’s per direct overbodig zijn.

De beste koers lijkt me dan ook om op basis van deze onmogelijkheid om te werken een escalatie te doen: beste directeur, graag wil ik blijven werken, alleen heeft HR mijn account uitgezet dus ik kan niets doen. Ik hoor graag je oplossing.

Het zou kunnen dat de werkgever dan zegt, dat is helemaal goed je bent per direct vrijgesteld en we laten je weten hoe het verder gaat. Afdwingen dat je bij je account kan terwijl je die niet nodig hebt voor het werk, is niet mogelijk. Ik snap dat je dan relaties niet meer zelf kunt informeren, maar dat is een te klein belang om alsnog toegang te eisen.

Je kunt dit gebruiken als een opstap naar een discussie over de inhoud van de autoreply. Als het ontslag er inderdaad nog niet door is, dan is de mededeling prematuur en mogelijk schadelijk voor de reputatie van Wim.

In theorie is een kopie van je mailbox opeisen via de AVG mogelijk. Berichten van en naar jou zijn persoonsgegevens. Maar onduidelijk is of dat recht dan gaat over enkel de metadata “je kreeg op 3 maart een mail van Kees” of dat de volledige lap tekst van Kees er bij mag. Verder krijg je dan direct discussies over bedrijfsgeheimen en relatiebedingen, wat een enorme ruis in het toch al aanwakkerende bedrijfsconflict gaat geven. Ik zou deze route dus afraden.

Arnoud