Categorie: Ondernemingsvrijheid

About Ondernemingsvrijheid

Subscribe Feeds

Mag je in een winkel producten scannen of ze op internet goedkoper zijn?

Geplaatst op in Ondernemingsvrijheid, 25 reacties
Photo by iMin Technology on Pexels

Via Reddit:

Zojuist ben ik in een winkel van een grote drank keten gewezen op het feit dat ik daar geen foto’s mocht maken van de wijnen. Ik scan de wijn in een bepaalde app in om te achterhalen wat de druifsoort. Er hangt om hoek wel een algemene sticker met wat regels (zoals verboden te eten etc) waaronder ook staat dat het verboden is om beeld/film materiaal te maken.
Voor wijn zijn er diverse apps waarmee je meer informatie kunt krijgen op basis van een scan van het etiket. Een bekende app is Vivino, maar er zijn er meer. (Dit gaat niet op streepjescode maar op beeldherkenning van het feitelijke etiket.)

Al heel wat jaartjes zijn er apps die wél streepjescodes herkennen, en dan op internet nazoeken waar dat product het goedkoopst te krijgen is:

De app van Prijsvergelijk werkt op basis van streepjescodes. De barcode wordt gescand met de camera van de telefoon en binnen enkele seconden worden de voordeligste aanbieders van het product getoond. De vergelijking en oriëntatie vindt mobiel plaats waarna de gebruiker een e-mail ontvangt met alle prijzen. Zo is het eenvoudig om vanaf de desktop verder te winkelen en is het ook mogelijk om bij webwinkels te kopen die nog geen mobiele site hebben.
Winkels vinden dit bepaald niet leuk, en ik heb dan ook genoeg signalen gekregen van mensen die de winkel uit gezet zijn vanwege dergelijk prijsvergelijken. Dit zal bij slijterijen niet anders zijn dan bij supermarkten.

Een winkel mag huisregels stellen, en wie daar wil winkelen moet zich daar aan houden. (De sanctie is dan er uit gezet worden natuurlijk, geen boetes of dat soort zaken.) Vanuit dat perspectief is “verboden foto’s van de producten te maken” net zo rechtsgeldig als “maak gebruik van een mandje/wagentje”.

Ik heb nog nooit een dergelijk expliciete regel gezien. Een verbod op foto’s maken in de winkel wel, maar het doel daarvan is meestal om de privacy van werknemers en andere shoppers te beschermen. Producten hebben geen privacy, dus voelt het wat gezocht om het scannen van een wijnetiket aan te pakken met een beroep op het fotografieverbod. In juridische termen: dat is een onredelijke uitleg van dat verbod, en dus niet rechtsgeldig.

Of een winkel je er uit mag zetten zonder overlast en zonder expliciete regel die je overtreedt, is een leuke vraag voor een minorscriptie bij een rechtenopleiding. Maar praktisch gezien doen ze dat, en daar heb je het mee te doen.

Arnoud

Is het misleiding om je boek stiekem door AI te laten schrijven?

Geplaatst op in Ondernemingsvrijheid, 5 reacties
Photo by Suzy Hazelwood on Pexels

Diverse lezers tipten me dat auteur K.C. Krowne in diens boek een ChatGPT prompt had laten staan (afbeelding). “Zeker, hier is een herziene tekst waarin je hoofdpersoon meer relateerbaar wordt terwijl de tegenspeler net wat meer sexy neergezet wordt.” Onhandig, beschamend, zeker. Maar zo vroeg een lezer: is daar juridisch wat aan te doen? Ik verwacht een boek van een mens, en dan is het AI prut.

Al een jaar geleden gingen vele alarmbellen af dat met name de Amazon Kindle marketplace overspoeld wordt met goedkope snel  uit AI getrokken boeken (ik weiger “geschreven” te gebruiken). Amazon heeft nu de regel dat je maar drie boeken per dag mag publiceren, en zelfs dat heeft beperkt effect.

Echt leuke verhalen lijken het me niet, zeker op roman-lengte:

Most AI systems struggle with maintaining structure and continuity in extended texts. Also, most LLMs tend to produce average prose without expert input, a phenomenon known as “regression towards the mean.” This trait, he said, often leads to a dilution of the writer’s unique style and voice, resulting in writing that readers might find unremarkable, dull, or lacking inspiration.
Het achterliggende businessmodel is simpel. Die ebooks gaan voor 99 cent per stuk, in de hoop dat mensen denken “toch even proberen” en dan voor die ene euro niet gaan klagen als het tegenvalt. En omdat je inkoopsprijs nul is (goed, 20 euro per maand abonnement), is elke euro dan leuke winst.

Mag het? De AI Act staat je toe om te verzwijgen dat je AI hebt gebruikt als je de uitvoer een menselijke redactieslag hebt gegeven (art. 50 lid 4 AIA). Sowieso hoef je bij fictie tekst geen AI-melding te plaatsen van die wet.

Ik snap de insteek van de lezer wel, dat dit wel eens een misleidende handelspraktijk of oneerlijke reclame kan zijn. In reclame misleiden over

de identiteit, hoedanigheden, bekwaamheid of bevoegdheid en degene door wie, onder wiens leiding of toezicht of met wiens medewerking de goederen zijn of worden vervaardigd of aangeboden of de diensten worden verricht.
is onrechtmatig, net als meer algemeen het weglaten van essentiële informatie die de consument nodig heeft bij een koop (art. 6:194 BW). Hetzelfde geldt voor misleidende handelspraktijken, waar ook zaken staan als “procédé en datum van fabricage of verrichting” (art. 6:193c BW).

Het enige is natuurlijk – er is nog nooit een zaak geweest dat het misleidend is dat een boek door een machine is afgescheiden in plaats van door een mens geschreven. Dat was in het zakelijk verkeer nooit echt mogelijk.

Of nou ja, je hebt natuurlijk al heel lang de praktijk van het ghostwriten, een ander inhuren om jouw werk te schrijven. Of dat nou echt veel voorkomt bij fictiewerk is mij nooit duidelijk geworden. In de VS lijkt het wel legaal te zijn, omdat daar in 2003 is uitgemaakt dat een onjuiste auteursvermelding geen merkenrechtelijke “valse oorsprongvermelding” is.

Zeker bij het uitgeven van onbekende auteurs kun je je afvragen wat de relevantie voor de consument is dat sprake was van een ghostwriter. Of je nu van onbekende auteur Jan dan wel Yanick een boek koopt, je zult eerder afgaan op de flaptekst of de reputatie van de uitgever dan op de biografie. En als de kans op feitelijke misleiding afwezig is, dan kan geen sprake zijn van juridische misleiding.

Bij AI prut ligt dat denk ik toch anders. Daar gaat het niet zozeer om welke naam er op staat, maar dat dit de belofte geeft dat er een mens aan gewerkt heeft. Dat staat voor enige kwaliteit en consistentie, en die belofte wordt dan geschonden door een pak papier waar ChatGPT uitvoer op staat.

Daar staat dan natuurlijk weer tegenover dat iedereen weet dat op de Kindle Marketplace mensen zelf mogen publiceren zonder screening, dus daar ga je sowieso al héél veel troep tegenkomen. Maakt het dan nog veel uit dat er AI troep tussen zit?

Arnoud

Hee, er zit ineens een generatieve AI in mijn online dienst en dat wil ik niet!

Geplaatst op in Ondernemingsvrijheid, 15 reacties
Photo by Alexandra_Koch on Pixabay

Een lezer vroeg me:

Al geruime tijd maken wij zakelijk gebruik van Google Workspace. Sinds een paar dagen zit daar ineens hun AI Gemini bij, en dat is niet uit te zetten. En het abonnement wordt nog duurder ook! Kunnen ze dat zomaar doen?
Google is niet de enige, maar het viel velen wel op omdat Gemini voorheen als aparte betaalde dienst werd aangeboden. Maar iedere dienstverlener wil inhaken op de AI hype en stopt dus ergens een chatbot, schrijftool of andere al dan niet nuttige tekstgenerator in de dienst.

Regels rondom ict-dienstverlening zijn er nauwelijks, omdat vrijwel alle regels rondom dienstverlening in het algemeen decennia oud zijn. In Nederland komt het grofweg neer op je best doen (zorgplicht), recht op betaling hebben en alleen opzeggen bij serieuze redenen tenzij anders afgesproken. Voor de rest: spreek het samen af.

Nou zal er zelden in de voorwaarden staan dat men specifiek een AI mag toevoegen, maar algemene uitspraken over “de dienst kan van tijd tot tijd wijzigen” of “nieuwe features krijgen” vind je natuurlijk overal. En dan is de discussie snel klaar: ja, dat mag. (Heb je expliciet afgesproken dat je dienstverlening stabiel blijft in periode X, dan natuurlijk niet.)

Toegegeven, deze features zijn soms irritant en niet iedereen zit er op te wachten. Maar is het ook juridisch problematisch? Ik kan eerlijk gezegd vooralsnog geen reden bedenken, behalve als je werkt in een gereguleerde sector waar ieder informatiekanaal verdacht is. Als je bijvoorbeeld als medicus werkt en nu patiëntgegevens door Gemini laat herschrijven, dan is dat wel een dingetje. Of een architect die een briefing laat samenvatten; zijn daar wel geheimhoudingsafspraken over?

“Gebruik het dan niet” ligt dan als advies voor de hand, maar je kunt moeilijk van mensen verwachten dat ze actief die knopjes blijven vermijden. Laat het immers aan Big Tech over om die dingen verleidelijk te laten zijn. Dus daar zal de organisatie echt iets moeten gaan doen om de feature te blokkeren.

De prijsverhoging biedt misschien een haakje om op te mogen zeggen, en vaak staat in de voorwaarden van grote Amerikaanse SaaS apps al een maandelijkse opzegmogelijkheid. Dus weggaan zal vaak mogelijk zijn. Alleen: zomaar even van Google wegmigreren is niet iets dat je in een weekje doet, en naar welke dienst zonder AI ga je dan toe?

Arnoud

 

Onbetrouwbaar algoritme bestempelt jongeren als toekomstig crimineel, dat is toch verboden per 2 februari?

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, 15 reacties
Photo by and machines on Unsplash

Politie en justitie gebruiken een algoritme om jaarlijks van tienduizenden jongeren te voorspellen of ze in de criminaliteit belanden. Dat meldde Follow The Money onlangs. Je gelooft het niet, maar die voorspelling blijkt er vaak naast te zitten, terwijl de gevolgen groot kunnen zijn. Ik gooi een knuppel in het hoenderhok: dit is een verboden AI praktijk per 2 februari.

Het uitgangspunt is precies zoals zo veel AI systemen worden ontworpen:

Preselect is getraind met de gegevens van vijfduizend jongeren die ooit zijn verdacht van een strafbaar feit. Het algoritme leerde op basis van deze politiedata te voorspellen welke minderjarigen wel en niet recidiveren. Jongeren met een profiel dat lijkt op dat van leeftijdgenoten die eerder opnieuw in de fout gingen, krijgen een hogere risicoscore.
Alles staat of valt met de data, en 5000 is dan niet denderend veel. Met een simpele regressie-analyse kom je daarmee nog wel een eind, maar je wilt natuurlijk wel dat je data mooi verdeeld is. Maar helaas:
Maar bepaalde groepen – 12-jarigen, meisjes en jongeren die voor het eerst in aanraking komen met de politie – zijn maar in kleine aantallen in deze ‘trainingsdata’ vertegenwoordigd.
Ik lees ook nergens hoe veel mensen er in gestopt zijn die nooit verdacht zijn van een strafbaar feit. Als je alleen verdachten in een dataset stopt, kan daar bij wijze van spreken uitkomen dat “melk drinken” een top-voorspeller is omdat ze dat allemaal doen.

Dit nog even los van de vraag of die 5000 data-items wel eerlijk gekozen zijn. Als de politie Mohammed van 14 als verdachte aanmerkt, en Jan-Hendrik met een waarschuwing wegstuurt, dan krijg je een ontzettend scheef beeld bijvoorbeeld. Het artikel meldt niets over de achtergronden van de verdachten, dus we weten het niet.

En dat is uiteindelijk het grootste probleem: niemand weet of en hoe goed dit werkt. Het algoritme staat niet in ons beroemde Algoritmeregister, waar het wel zou moeten gezien de hoge risico’s.

Zelf vind ik de link naar de AI Act nog wel interessant. We hebben het hier over een recidivevoorspeller, en daar Vond Men Wat Van bij het maken van die wet. Er zijn twee smaken: predictive policing op basis van profilering is verboden (art. 5.1(d) AIA) en recidiverisicobeoordeling en predictive policing anders dan op basis van profilering is hoogrisico (Annex III.6d AIA).

Dit is verboden per 2 februari:

AI-systeem voor risicobeoordelingen van natuurlijke personen om het risico dat een natuurlijke persoon een strafbaar feit pleegt te beoordelen of te voorspellen, uitsluitend op basis van de profilering van een natuurlijke persoon of op basis van de beoordeling van diens persoonlijkheidseigenschappen en -kenmerken;
Wat “profilering” dan weer is, staat in de AVG:
elke vorm van geautomatiseerde verwerking van persoonsgegevens waarbij aan de hand van persoonsgegevens bepaalde persoonlijke aspecten van een natuurlijke persoon worden geëvalueerd, met name met de bedoeling zijn beroepsprestaties, economische situatie, gezondheid, persoonlijke voorkeuren, interesses, betrouwbaarheid, gedrag, locatie of verplaatsingen te analyseren of te voorspellen;
En dat komt vrijwel letterlijk overeen met wat in het artikel wordt aangeduid met “Jongeren met een profiel dat lijkt op dat van leeftijdgenoten die eerder opnieuw in de fout gingen, krijgen een hogere risicoscore.” We voorspellen jouw gedrag (risico van plegen strafbaar feit) op basis van jouw persoonlijke aspecten in vergelijking met bekende data.

Het systeem doet een aanbeveling:

Het leidt tot een ‘score’ die een groot verschil kan maken: gaat de jongere naar Halt voor een leer- of werktraject, of wordt het een strafrechtelijke aanpak die hem of haar een strafblad bezorgt.
Is dat hetzelfde als “risico dat een natuurlijke persoon een strafbaar feit pleegt te beoordelen of te voorspellen”? Ja. Want dit moet je in de context zien: je gaat naar Halt als dat risico klein is en je krijgt een strafrechtelijk traject als het risico groot is. Want kennelijk(?) is ooit bedacht dat wie toch al gaat recidiveren, beter hard kan worden aangepakt.

Arnoud

Je kunt niet zomaar verwachten dat je werknemers in hun AFAS berichtenbox kijken

Geplaatst op in Ondernemingsvrijheid, 7 reacties
Photo by Andersen Jensen on Unsplash

Het blijft voor rekening en risico van verwerende partij dat de inhoud van de aanzeggingsbrief (via het online systeem) verzoekende partij niet heeft bereikt. Zo opende een recent gepubliceerd vonnis over een arbeidszaak waarbij berichten via het bekende AFAS Insite werden gecommuniceerd.

De werknemer had een jaarcontract gekregen, en sinds een tijdje is het daarbij wettelijk verplicht om aan te zeggen of je deze gaat verlengen of niet. Doe je dat niet, dan krijgt de werknemer een extra maandsalaris. Het bericht dat niet werd verlengd, werd weliswaar op tijd verzonden, maar via Insite en dat stelde de werknemer niet te hebben gekregen.

De wet eist dat zo’n mededeling expliciet en schriftelijk is, en daar was geen discussie over. Echter:

[T]ussen partijen is wel in geschil of [werkgever] heeft voldaan aan de informatieplicht uit dit artikel, omdat tussen hen vast staat dat [werknemer] de via AFAS Insite verzonden brief niet heeft geopend en gelezen. Daarmee heeft de inhoud van de brief [werknemer] niet bereikt, terwijl dat op grond van de ontvangsttheorie uit artikel 3:37 lid 3 BW wel vereist is om haar werking te hebben.
Gelezen hebben is dus geen juridische eis, hij moet je hebben “bereikt” oftewel binnen jouw macht zijn gekomen. Een WhatsApp-bericht met twee blauwe vinkjes is bijvoorbeeld genoeg. Maar let wel, de afzender moet gewoonlijk bewijzen dat het bericht de ontvanger heeft bereikt.

De casus komt dus neer op de vraag: had de werknemer moeten weten dat AFAS Insite de plek was waar HRM-gerelateerde berichten worden gedeponeerd? Daar bleek niets expliciet over te zijn afgesproken of gecommuniceerd. Er was wel gezegd dat je een digitaal personeelsdossier zou krijgen en elektronische loonstroken, maar niet dat communicatie via je dossier zou lopen.

Daarnaast is niet komen vast te staan dat er gedurende het jaar vaker berichten via AFAS Insite aan [werknemer] zijn gecommuniceerd. Dat dat is gebeurd, heeft [werkgever] – na vragen van de kantonrechter – niet met zekerheid kunnen zeggen. Op basis daarvan had [werknemer] dus ook niet hoeven te begrijpen dat dit het communicatiemiddel was. Daarnaast staat vast dat [werknemer] geen melding ontving dat er een document voor hem klaar stond in AFAS Insite, als hij AFAS Insite niet opende.
Met name die laatste is voor mij een zware: als jij in je mail een bericht krijgt dat er een bericht klaar staat in Uw Jouw Mijn Berichtenbox, dan zou je als goed werknemer eens moeten gaan navragen wat dat dan is, AFAS Insite. En dan had HR je dat verteld, en dán komt bij jou de taak om regelmatig te monitoren.

Ik ben eerlijk gezegd een tikje verbaasd dat de werkgever kennelijk nooit actief had gezegd “formele HR berichten vind je vanaf vandaag in AFAS”. Mogelijk is dit blijven liggen bij de algemene introductie – je dossier staat hier, je loonstroken staan daar – omdat niemand op het idee kwam dat de AFAS berichtenbox niet als vanzelf bekeken zou worden.

Arnoud

 

TikTok hervat dienstverlening in de Verenigde Staten na kortstondig verbod

Geplaatst op in Ondernemingsvrijheid, Regulering, 5 reacties
Photo by cottonbro studio on Pexels

TikTok hervat zijn diensten in de Verenigde Staten, las ik bij Tweakers. Dit na zo’n 24 uur offline te zijn geweest vanwege een wettelijk verbod. President Donald Trump heeft gemeld een executive order uit te geven om het verbod uit te stellen zodat het proces van verkopen door kan gaan.

De Protecting Americans from Foreign Adversary Controlled Applications Act (PAFACA) is in april 2024 aangenomen. Deze bepaalt dat de president socialemediadiensten als “foreign adversary controlled application” mag aanwijzen, waarna die binnen 270 dagen verkocht moeten worden aan een partij die geen “foreign adversary” is. (Die term komt dan weer uit exportwetgeving.)

De wet noemde expliciet Bytedance en Tiktok als voorbeelden van zulke diensten, en dat had een groot voordeel bij de onvermijdelijke rechtszaak. Omdat de wetgever nu Bytedance had aangewezen, mag je vermoeden dat daar een uitgebreide afweging in zit vergeleken bij situaties dat de president in z’n eentje bedrijven mag aanwijzen:

The provisions of the TikTok law, the court explained, are instead subject to a less rigorous test, known as intermediate scrutiny, which requires courts to look at whether the provisions of the law advance an important government interest that is not related to the suppression of free expression and do not restrict substantially more speech than is necessary to do so. The TikTok provisions satisfy that test, the court concluded. There is no dispute, the court wrote, that the government “has an important and well-grounded interest in preventing China from collecting the personal data of tens of millions of U.S. TikTok users.”
Behalve de NOS (“Hard bewijs daarvoor ontbreekt”) ken ik eigenlijk niemand die serieus twijfelt aan de dataverzamelingspraktijken door Tiktok. Het opmerkelijke is vooral dat de hoeveelheid en soort data niet echt bijzonder is. Iedere socialemediadienst verzamelt zulke gegevens.

De drukte in de VS komt natuurlijk omdat deze keer het niet zij zelf zijn, maar het machtige China. Ook zorgen over potentiële propaganda bij de volgende verkiezingen (aangenomen dat die er komen) wogen zwaar mee bij het wetsvoorstel.

De wet is ondertussen aangenomen, en die 270 dagen zijn verstreken. Er is een bepaling dat de president die termijn met 90 dagen mag verlengen als deze kan beloven dat er goede voortgang is:

(A) a path to executing a qualified divestiture has been identified with respect to such application; (B) evidence of significant progress toward executing such qualified divestiture has been produced with respect to such application; and (C) there are in place the relevant binding legal agreements to enable execution of such qualified divestiture during the period of such extension.
Dit is dus de grond waarop Trump zijn bevel baseert. Juridisch kun je je afvragen welk pad naar verkoop er nu dan is dat er vrijdag nog niet was. Ook is onduidelijk of de wet wel toestaat dat de 270-dagentermijn wordt verlengd nadat deze is verlopen, want normaal verleng je dingen vóór ze zijn afgelopen. Maar als je wetgevende en rechterlijke macht daar flexibel in zijn, dan kan er veel.

Arnoud

Hoe bescherm ik mijn idee tegen claims van mijn werkgever?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, 25 reacties
Photo by Nick Fewings on Unsplash

Via Reddit:

Mijn werk ligt in het bedenken, ontwerpen en het begeleiden van de productie & testen van “klantspecifieke toepassingen”. Het duurt gemiddeld meer dan 8 jaar bij de werkgever voordat iemand zelfstandig zo’n toepassing kan ontwerpen vanwege de hoge complexiteit op meerdere technische disciplines. … Ik ben er van overtuigd dat ik een generator kan programmeren die 80% van de ontwerpen kan afvangen en een reductie van 60% van het jaarlijks aantal engineeringsuren kan bewerkstelligen. … Als ik in mijn eigen tijd deze generator ontwerp en het toch anders loopt dan verwacht als ik hiermee aan kom bij werkgever. Hoe zorg ik er dan voor dat werkgever deze niet opeist mits het tot een rechtsgang komt?
Het komt vaker voor dat mensen ergens werken waar een bepaald proces handmatig gebeurt en al jaren nooit de moeite is genomen om dit te automatiseren. Dat kan zijn omdat men niet weet hoe, er geen tijd/geld voor heeft of de meerwaarde er niet van inziet. Maar dat wil niet zeggen dat als jij dat dan ineens ongevraagd gaat bouwen, het je “eigen” idee is.

Basisregel uit het IE-recht is dat wat werknemers bedenken of maken, eigendom wordt van de werkgever. Althans, als het redelijkerwijs verbonden is met het werk. Nadrukkelijk niet relevant is of je het onder werktijd dan wel in eigen tijd maakte, op eigen hardware dan wel de werklaptop of op instructie dan wel eigen initiatief.

Wat is dan “redelijkerwijs verbonden”? Dat hangt een beetje van het recht af, maar grofweg komt het er op neer of de werkgever je hád kunnen instrueren dit te gaan maken. Als dat een rechtmatige instructie was, dan is het ook van de werkgever als je het zonder had gemaakt.

Deze poster werkt aan het ontwikkelen van bepaalde toepassingen, en dat moet handmatig gebeuren. Een generator die je eigen werk versnelt, ligt voor mij zó dicht bij het eigenlijke werk dat ik altijd wel die verbinding zie. Er is dus geen ruimte om te claimen dat zo’n generator auteursrechtelijk (of octrooirechtelijk) van jou is.

Natuurlijk kun je je werkgever vragen of je dit als eigen hobbyproject mag doen. Ik blogde in 2020 over hoe je dat afspreekt, maar de voorvraag is natuurlijk waarom je werkgever dat zou willen toestaan. Van iets dat automatiseert dat nu (kennelijk) 8 jaar handwerk is, kan ik me voorstellen dat de werkgever niet wil dat de concurrent er toegang tot heeft.

Arnoud

 

 

Mag ik ondertussen data in de cloud zetten als die fysiek in Europa blijft?

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, Privacy, Regulering, 20 reacties

Een lezer vroeg me:

Het is 2025 en ik heb duidelijkheid nodig. De AVG zegt dat persoonsgegevens niet zonder aanvullende waarborgen naar een niet-Europese partij mogen worden doorgegeven. Als ik bij een cloudprovider zoals bijvoorbeeld Amazon AWS of Microsoft Azure gebruik maak van region in Europa, wat betekent dat de servers fysiek in Europa staan, voldoe ik dan gewoon aan deze regel?
De AVG stelt inderdaad strenge eisen aan ‘doorgifte’, iedere handeling met persoonsgegevens waardoor ze buiten een EU/EER land komen. Het maakt daarbij niet uit of je doorgeeft aan een verwerker of een verwerkingsverantwoordelijke.

Overigens is de AVG niet de enige: ook bij niet-persoonsgegevens gelden er vanaf 12 september regels over doorgifte van data naar buiten de EU, wanneer dat in strijd is met andere EU regels. Dit volgt uit de Data Act (Verordening 2023/2854) die vanaf die datum van kracht wordt.

Aan dergelijke doorgifte kleven twee kanten, de praktische en de formele. Het makkelijkst te regelen is de formele. Je spreekt af dat de data niet buiten de EU/EER mag komen, en dat de ontvanger de Europese wet- en regelgeving zal respecteren. Dit is bijvoorbeeld de EU Data Boundary van Microsoft, het contractuele raamwerk waarmee Microsoft garandeert dat EU data binnen de grenzen van de Unie blijven. Amazon heeft ook iets dergelijks.

Wie de juiste set papieren doorloopt, de afspraken reviewt en de juiste kruisjes bij de juiste opties zet, heeft formeel de doorgifte goed afgeschermd.

De praktische kant is iets ingewikkelder, en dat zie je al meteen aan termen als “behoudens bijzondere gevallen” in die MS belofte. (Andere aanbieders hebben dit net zo goed, Amazon houdt het bij “or to comply with law”.) Soms moet data toch naar de VS, denk aan klantenservice of incidentanalyse na een cyberaanval. Of omdat de Amerikaanse justitie dit eist.

Of en in hoeverre die laatste eis mag, is nog steeds onderwerp van héél veel discussie. De Amerikaanse CLOUD Act staat daarbij centraal. Al in 2022 stelde ons NCSC dat “data en (persoons)gegevens die in Europa worden verwerkt en opgeslagen, en dus in beginsel in Europa zijn en blijven, [soms vallen] onder Amerikaanse wetgeving en kunnen door de Amerikaanse overheid worden opgevraagd op basis van de CLOUD-Act.”

Het lastige aan deze discussie is wanneer sprake is van ‘soms’, met name als het gaat om een Europees dochterbedrijf dat zich nadrukkelijk niet op de Amerikaanse markt richt en organisatorisch onafhankelijk binnen het concern opereert. Die dochter is dan niet aan Amerikaanse jurisdictie onderworpen, en bovendien onder de AVG verboden om mee te werken aan Amerikaanse bevelen (art. 48 AVG). Maar de moeder (Microsoft Inc in Seattle, Washington) is dat natuurlijk wel – en die zou druk op de dochter kunnen uitoefenen, of de directie ontslaan en een gewilliger setje installeren.

Daar staat dan weer tegenover dat het de core business van het bedrijf is om EU compliant te opereren. Dus er is dan ruimte voor tegendruk, zeker omdat die Europese directeuren geen zin hebben in claims van Europese toezichthouders. En de directie vervangen gaat hoe dan ook flink opvallen.

Natuurlijk, technische trucs kunnen altijd. Men kan een achterdeur in de onderliggende software hebben gebouwd, zo subtiel dat de ISO auditor het niet gezien heeft. Men kan dataleidingen voorzien hebben van een aftakking naar de VS, om zo stiekeme kopietjes te trekken. En ook organisatorisch: men zou een Amerikaanse expat-systeembeheerder persoonlijk onder druk kunnen zetten om die kopie te trekken.

Maar dan komen we buiten het juridisch kader waar je redelijkerwijs over na moet denken, en meer in de sfeer van cybercriminaliteit binnen de organisatie. Want laten we wel wezen: wat is dan nog het verschil met een systeembeheerder die van een Colombiaans kartel die kopie moet trekken of een achterdeur gebouwd door Cozy Bear? Tegen beiden moet je je wapenen, en dat lost dan meteen dat (in de EU écht illegale) gedrag van de moedermaatschappij op.

Wat mij betreft is het antwoord dus: als jij zaken doet met een Europees bedrijf – dochter van een Amerikaans concern of niet – en de data blijft fysiek in de EU met waarborgen tegen aftappen en stiekeme kopietjes, dan zit je van de Europese regelgeving goed. Waarbij meehelpt dat juristen dan mogen zeggen: en als dat niet zo is, dan zat je in ieder geval samen met iedereen fout. Want dat maakt het minder erg.

Arnoud

Een webshop mag je niet verplichten te zeggen of je De Heer dan wel Mevrouw (laat staan Mejuffrouw) bent

Geplaatst op in Ondernemingsvrijheid, Privacy, 41 reacties
Photo by Magda Ehlers on Pexels

Je geslacht is objectief irrelevant bij het aankoopproces in een webwinkel. Je zou zeggen dat dit een open deur is, maar toch was het Hof van Justitie nodig (zaak C-394/23) om te bepalen dat het eisen van iemands aanspreekvorm niet objectief noodzakelijk is in een commerciële transactie. Bij deze dan.

Ik had iets dergelijks al in 2018 gesteld:

Onder de AVG geldt het principe van dataminimalisatie: je mag niet meer persoonsgegevens gebruiken dan je strikt nodig hebt om je doel te halen. Vanuit dat principe mag je dus ook niet meer vragen dan wat je nodig hebt. … De geboortedatum van de klant is typisch zo’n element. Hoe belangrijk is het dat je weet wanneer je klant jarig is, of dat je weet hoe oud deze is? Ik kan eigenlijk nauwelijks een scenario bedenken waarin je dat móet weten.
Hetzelfde geldt voor de aanspreekvorm. Het is natuurlijk leuk en beleefd om “Geachte heer Engelfriet, uw leggings maat 38 zijn weer op voorraad” te kunnen zeggen. En ik snap ook dat je in Amerika ontwikkelde webshopsoftware gewoon Mr/Mrs in een verplichte dropdown heeft en dat jij ook niet weet hoe je dat aan moet passen. Maar echt nodig is het niet.

In het arrest bevestigt het Hof dat het gaat om “noodzaak” en dat dit een hoge lat is. “Nuttig” of “gebruikelijk” is bij lange na niet hetzelfde:

Volgens de rechtspraak lijkt de personalisatie van de inhoud immers niet noodzakelijk om een klant diensten aan te bieden wanneer hem, in voorkomend geval, voor deze diensten een gelijkwaardig alternatief kan worden verstrekt waarvoor een dergelijke personalisatie niet nodig is, zodat deze niet objectief onontbeerlijk is voor een doel dat integrerend deel uitmaakt van die diensten.
In dit geval kun je prima volstaan met genderneutrale aanduidingen, zoals “Geachte Arnoud Engelfriet”. Ook “generieke, inclusieve beleefdheidsformules die geen verband houden met de veronderstelde genderidentiteit van de klanten” zoals het beroemde “Beste reizigers” van onze NS zijn altijd mogelijk.

De Franse spoorwegen (tegen wie de zaak liep) hadden echter nog een inhoudelijk argument waarom het soms wél noodzakelijk was:

namelijk de vervoersdiensten aanpassen voor nachttreinen, met wagons die zijn voorbehouden aan personen met eenzelfde genderidentiteit, en bijstand verlenen aan passagiers met een handicap. Volgens SNCF Connect is het voor deze aangepaste vervoersdiensten noodzakelijk om de genderidentiteit van de betrokken klanten te kennen.
In de Franse nachttrein is het namelijk mogelijk een sleepercoupé voor vrouwen te boeken. Dan moet je natuurlijk wel weten dát je met een vrouw te maken hebt. Het Hof vindt het dan alleen om bij iedereen op voorhand te vragen of ze man of vrouw zijn; dit kun je ook doen nadat iemand “Espace Dame Seule” aanvinkt.

Praktische oplossing: laat je webdeveloper “Wil ik niet zeggen” toevoegen aan die dropdown – en dan gelijk “mejuffrouw” eruit.

Arnoud

 

Je mag niet zeuren om schriftelijke opzegging als je weet dat je klant heeft opgezegd

Geplaatst op in Ondernemingsvrijheid, 11 reacties
Photo by Annie Spratt on Unsplash

Vrijwel iedere ondernemer heeft het in de voorwaarden: opzegging dient schriftelijk te gebeuren. Handig als bewijs, maar soms ook leuk om de klant aan te wrijven. Nee, u had me wel gebeld/gechat maar nooit een mail gestuurd, dus hierbij de factuur voor de verlenging, helaas ja sorry. Rechters accepteren dat lang niet altijd, zoals ook in dit arrest over ict-dienstverlening.

In 2016 hadden de partijen een overeenkomst gesloten voor levering van een softwareapplicatie. Deze liep af in 2021 maar zou worden verlengd (met steeds 5 jaar) behoudens schriftelijke opzegging. Nadat de klant in 2020 meldde te willen opzeggen, is een tijdelijke verlenging afgesloten, met als doel de klant

extra tijd te gunnen om tot een gedegen afweging te komen voor een strategische keuze voor een organisatie brede applicatie welke toekomstbestendig is.
Wat ik – cynisch als ik ben – lees als, we willen niet dat je weggaat dus blijf nog even zitten en dan hoop ik dat je van gedachten verandert.

Die verlenging had wel een addertje:

Wanneer deze overeenkomst niet tijdig (voor 1 oktober 2021) wordt opgezegd loopt deze automatisch door voor de overeengekomen periode in de hoofdovereenkomst.
De klant besloot in die verlengingsperiode toch met een andere partij verder te gaan, en verzocht de leverancier mee te werken aan een overdracht. Wat niet in dat verzoek stond, was de formele zin “bij deze zeg ik de overeenkomst op”.

Het Hof begint met de vraag waarom we ook weer schriftelijkheidseisen hebben. Dat is vrij simpel:

Een dergelijk schriftelijkheidsvereiste heeft tot doel om te voorkomen dat bij partijen onduidelijkheid bestaat over de vraag of en zo ja op welke datum is opgezegd.
Als die onduidelijk er om andere redenen niet is, dan is er geen reden meer om alsnog te hameren op een schriftelijk stuk. Oftewel: als je al wéét dat en wanneer de klant weggaat, dan mag je niet meer een brief verlangen waarin dat nog een keer staat.
Door in het kader van dat selectieproces mondeling op 4 juni 2021 aan [leverancier] mee te delen dat zij niet de partij zou zijn die de nieuwe applicatie mocht gaan leveren en daarna op 8 juni 2021 een e-mail te sturen over de gewenste samenwerking met [leverancier] voor de overgang naar de nieuwe applicatie van een andere partij, heeft [afnemer] er geen twijfel over laten bestaan wat haar bedoeling was.
Dat ze het had begrepen, volgt ook uit wat er daarna gebeurde: men stuurde een offerte voor read-only toegang tot de applicatie, want dat zou nodig zijn voor het overgangstraject. Dat doe je alleen als je weet dat de klant over gaat naar een andere leverancier, immers.

Natuurlijk is er discussie mogelijk over hoe iemand iets bedoelt. Maar dat vertaalt zich eerder naar de plicht even navraag te doen (“wil je echt weg, of is dit ter oriëntatie?”) dan om te blijven zitten en gewoon een factuur voor opnieuw 5 jaar te sturen.

Arnoud