Categorie: Ondernemingsvrijheid

About Ondernemingsvrijheid

Subscribe Feeds

Vakantieblog: De opkomst van handel in informatie

Geplaatst op in Internetrecht, Ondernemingsvrijheid, 1 reacties

Vanwege mijn zomervakantie is de gewone blog gepauzeerd. Vandaag wederom een voorpublicatie uit mijn boek ICT & Recht.

Online ondernemen heeft sinds de jaren negentig een forse groei gemaakt in de handel in informatie, naast fysieke producten en diensten. “Data is het nieuwe goud” was het motto: wie data had, kon inzichten krijgen of marketing optimaliseren, en wie data nodig had, was bereid daarvoor te betalen.

De groei van Web 2.0 na de internetbubbel

De sterke groei in aandacht voor technologiebedrijven leidde tot een ware hype in 1999 en 2000, waarbij beurskoersen enorm stegen en veel investeerders instapten zonder dat de bedrijven duidelijke plannen konden laten zien. Deze was het uitvloeisel van een bredere trend: de dot-com bubble, die wordt gerekend van 1995 tot 2000. Steeds meer bedrijven gingen “iets met internet” doen, zonder heel concreet te worden over wat dan precies of hoe men daar geld mee zou verdienen.

In 2000 gebeurden een aantal dingen tegelijk die samen de bubbel zouden hebben doen barsten. (…) De mislukte beursgang van World Online in 2000 wordt in Nederland gezien als het einde van de hype. Daarna was het zeer zeker niet afgelopen met internet. Integendeel: er deed zich een Cambrische explosie aan diensten voor. In de periode tot 2010 werd de overgrote meerderheid opgericht van de diensten die we vandaag nog gebruiken: iTunes, Wikipedia, Facebook, YouTube, LinkedIn, World of Warcraft en nog veel meer. Ook in Nederland zagen veel nieuwe diensten het licht: profielensites Hyves en CU2, verkoopsite Marktplaats, internetcolofon Startpagina en blogsites zoals Web-log.nl.

De groei van application software provisioning, standaardisatie van API’s en ontwikkelingen op het gebied van data-opslag en verwerking maakte dat steeds complexere diensten mogelijk werden, waarbij interactie en gebruiksgemak voorop kwamen te staan. Het werd eenvoudig om zelf dingen te publiceren (zoals op blogs), links bij elkaar brengen en van metadata te voorzien (zoals op Digg of Startpagina) of elkaar te ontmoeten (CU2, Hyves, TheFacebook, Friendster, LinkedIn, Myspace en nog veel meer).

Deze ontwikkeling kreeg in 2002 een eigen naam: Web 2.0. De term ‘2.0’ komt uit de softwarewereld, waar software van tijd tot tijd herzien wordt en dan een nieuw versienummer krijgt. Web 2.0 ging over het sociale aspect, het Web als dienst waarin mensen samenwerken en informatie koppelen, in plaats van Web 1.0 waarin men individueel kennis tot zich neemt vanuit afgesloten silo’s van aparte aanbieders. (We zitten anno 2022 bij Web 3.0, waarin decentralisatie, blockchain en financiële aspecten centraal staan

De mislukking van micropayments

Web 2.0-diensten waren vrijwel altijd gratis beschikbaar. Dat had een simpele reden: het ontbrak aan een efficiënte manier om te betalen, en advertenties boden een acceptabel alternatief. Weliswaar waren er creditcards en sinds 2002 de internetbetaaldienst PayPal, maar de transactiekosten waren te hoog om de kleine bedragen te kunnen rechtvaardigen die passende prijzen voor een online dienst zouden zijn. Dit nog los van de angst om aan een willekeurige website je creditcardgegevens te moeten verstrekken. Abonnementen waren in de Amerikaanse cultuur niet ingeburgerd, en daarom deden weinig softwareleveranciers moeite om hier infrastructuur voor te ontwikkelen.

Micropayments zouden het antwoord moeten zijn geweest. Vele internetondernemers doken op de kans om de wereldstandaard te worden voor betalingen van enkele centen (of fracties daarvan). Technologisch was er veel mogelijk, hoewel de meeste oplossingen verre van gebruikersvriendelijk waren. Nederland bood wellicht een oplossing: een plan voor invoering van rekeningrijden in 2000 gaf aanleiding tot de oprichting van het Amsterdamse bedrijf DigiCash, dat veelbelovend leek. Oprichter David Chaum was een briljant wiskundige, die al in 1993 een systeem voor digitaal betalen (‘ecash’) had uitgevonden. Maar zijn zakelijke opstelling gecombineerd met koudwatervrees bij de grote banken maakte dat ook dit systeem niet aansloeg. De uitvinding van Bitcoin in 2008 verwees expliciet naar DigiCash, maar ook deze volledig anonieme decentrale munt zou niet het betalingssucces blijken waar de bedenker(s) op rekenden.

De enige echte uitzondering was de Europese vinding van betalen via sms: een dienstverlener ontving zo zijn geld transparant via de telefonieprovider, en de consument hoefde zich geen zorgen te maken over de veiligheid van betaalgegevens. De beperking was dan weer dat de dienst primair via de telefoon geleverd werd, wat het buiten ringtones en dergelijke weinig populair maakte.

Adverteerders bleken daarentegen makkelijker te regelen en veel lucratiever, en vele systemen voor adverteren op websites doken al snel op. Een trendsetter was het Amerikaanse advertentiebedrijf DoubleClick, dat het volgen van bezoekers over meerdere websites heen op grote schaal populariseerde. Bij elke website met een DoubleClick-banner werd een cookie van DoubleClick geplaatst of uitgelezen door het bedrijf. Hiermee kon zij veel effectiever bijpassende advertenties selecteren. Dat gaf de nodige ophef bij privacy-activisten, maar een onderzoek door de markttoezichthouder FTC liet zien dat geen Amerikaanse privacywetgeving werd overtreden. Deze zaak laat het essentiële verschil tussen de Amerikaanse en Europese visie op persoonsgegevens zien: in de VS zijn gegevens pas een persoonsgegeven wanneer zij de betrokkene direct identificeren, met name door een naam of contactgegevens. Hierover meer in het volgende hoofdstuk.

Handel in informatie

Informatie wil vrij zijn – maar ook duur. Dit dualisme van hacker en The WELL-oprichter Stewart Brand ligt aan de basis van vrijwel alle conflicten omtrent toegang en handel in informatie. Het auteursrecht is vanuit dit perspectief een poging informatie duur te maken door handel aan banden te leggen: alleen met toestemming van de rechthebbende. Maar waar het om gaat, is dat het maken van informatie veel geld of moeite kan kosten, terwijl beschikbare informatie met één klik kan worden gedeeld. Hoe kan iemand dan ondernemen als informatie-producent?

Economen Shapiro en Varian bekijken in hun standaardwerk Information Rules uit 1999 de informatiemaatschappij vanuit ondernemersperspectief. Het is een schoolvoorbeeld van ‘omdenken’ voor ondernemers. In plaats van je bezig te houden informatie onder controle te houden, moet je op zoek naar redenen waarom mensen bereid zijn te betalen voor informatie.  Het boek bepleit een aantal strategieën die door de grote technologiebedrijven werden toegepast. Wees de eerste en beste, bijvoorbeeld: in veel gevallen ontdekken mensen een bepaald type dienst bij de eerste aanbieder, en als het bevalt dan blijven ze zitten. Wees agressief naar opkomende concurrenten, aarzel niet je prijs te verlagen. Verzamel zo veel mogelijk informatie over je klanten, experimenteer met verschillende prijzen en personaliseer je aanbod. Allemaal zaken die op grote schaal zijn overgenomen door internetondernemers.

Lock-in en netwerkeffecten

Een belangrijk probleem bij technologie is de zogeheten lock-in: wie kiest voor een bepaald systeem, zit daar vaak lange tijd aan vast. Overstappen is niet eenvoudig of betekent dat alle investeringen weggegooid kunnen worden. Wie bijvoorbeeld zijn bedrijf op Microsoft Windows heeft gestandaardiseerd, kan niet eenvoudig deze overzetten naar de software van Apple. Bij internetdiensten lijkt dit probleem minder aanwezig te zijn, omdat overstappen van de ene naar de andere zoekmachine heel wat minder voeten in de aarde heeft. Dat is een nadeel voor informatie-ondernemers: de klanten kunnen zomaar weg zijn.

Er staat echter een ander effect tegenover dat veel krachtiger is, namelijk het netwerkeffect. Een dienst heeft een netwerkeffect wanneer deze waardevoller wordt naarmate er meer mensen gebruik van maken. De telefoon heeft een netwerkeffect: hoe meer mensen je kunt bellen, hoe handiger het is om een telefoon te hebben. De figuur hieronder illustreert dit: één persoon extra in het netwerk betekent potentieel De personal computer heeft dan weer geen netwerkeffect: het feit dat de buurman er ook een heeft, voegt voor mij weinig toe.

Wanneer een ondernemer zijn dienst kan voorzien van een netwerkeffect, kan dat van enorme waarde zijn. Waar lock-in ervoor zorgt dat mensen moeten blijven, zorgt het netwerkeffect ervoor dat gebruikers willen blijven. Het is bijvoorbeeld technisch of juridisch geen enkel probleem om van chatdienst WhatsApp naar concurrent Telegram of Signal over te stappen. Maar niemand doet het, omdat niemand het doet. Juridisch duiden van het netwerkeffect is lastig, omdat het geen echte parallel kent. Het meest voor de hand liggend is de aanname dat een dienst met een netwerkeffect haar exploitant marktmacht geeft in de zin van het mededingingsrecht. Dit is echter nog nooit als argument in een handhavingsprocedure erkend.

Bij sociale media is het netwerkeffect van Shapiro en Varian natuurlijk enorm: iedereen zit op Facebook want iedereen zit op Facebook. Over nieuws klets je op Twitter want daar is het nieuws, daar gebeurt het en iedereen praat erover. Dit gaf de bedrijven achter deze socialemediadiensten een enorme marktmacht. Sinds een consolidatieslag zijn er nog maar een paar grote bedrijven over: Facebook (thans Meta), Twitter en LinkedIn, alle drie grote Amerikaanse bedrijven met ongekende klantenaantallen.

Data is alles, maar ook niets

“Data is de nieuwe olie.” “Data is het nieuwe goud.” Data geeft zelfs een nieuw wereldbeeld: het dataïsme. Met statements als deze proberen economen en zakenanalisten te benadrukken waarom een bedrijf zo veel mogelijk data over klanten en producten moet verzamelen. Met data kun je informatie genereren: wat verkoopt goed, wat is populair, wat willen de klanten en waar moeten wij heen. Dit was een uitvloeisel uit de noodzaak om gratis diensten aan te bieden: het logische alternatief is dan om met advertenties te werken, en hoe gerichter je de doelgroep kunt presenteren, hoe meer adverteerders willen betalen voor een advertentie. Dit heeft geleid tot een enorme wildgroei aan tussenpersonen die zo veel mogelijk te weten willen komen. Hierover in het volgende hoofdstuk meer.

Datahonger is echter niet alleen ingegeven door adverteerders. Wie meer weet over klanten of bezoekers, kan ook de diensten daar beter op afstemmen. Een sociaal netwerk dat de juiste berichten aanbeveelt, zal vaker gebruikers terug zien komen die deze gaan lezen. Maar om te weten wat ‘juist’ is, moet je wel weten wat de gebruikers interessant vinden. Winkels kunnen met data hun shopping experience of customer journey aanpassen, tot en met gepersonaliseerd prijzen aan toe: u werkt met een Macbook Pro en u wilt op vrijdagavond een nieuwe televisie kopen, dan kan de prijs wel iets omhoog, zo blijkt uit onze analyse.

Data is aldus een kernaspect geworden van dienstverlening, wat bovengenoemde exuberante uitspraken over het nieuwe goud verklaart. Tegelijkertijd is data vanuit juridisch perspectief niets: de wet erkent alleen eigendom op fysieke zaken (art. 5:1 BW) en niet op hun digitaal equivalent. Dat is opmerkelijk, gezien data een enorme waarde vertegenwoordigt voor zowel ondernemers als burgers. Data is vaak onvervangbaar. Tien jaar aan bonnetjes kwijt zijn is voor een ondernemer een enorme ramp; tien jaar aan familiefoto’s kwijtraken is het equivalent in de persoonlijke sfeer.

Van tijd tot tijd duikt het voorstel op om het concept eigendom uit te breiden naar data. Daarbij wordt vaak gewezen op het Runescape-arrest uit 2012, dat virtuele objecten uit een online spel tot “goed” verklaarde. Dit arrest komt echter uit het strafrecht: de kwalificatie als goed opende de weg tot een veroordeling wegens beroving (diefstal met geweld). Gezien de functie van het strafrecht is dat goed te begrijpen, het stelen van een waardevol virtueel goed heeft dezelfde impact op het slachtoffer en de maatschappij als het stelen van een fysiek goed.

Het arrest was een breuk met de oudere lijn uit 1996, toen de Hoge Raad bepaalde dat computergegevens algemeen niet weggenomen (gestolen) konden worden. Mede hierom werd in de Wet computercriminaliteit het wegnemen van computergegevens apart strafbaar gesteld. De kern van de motivatie van de HR was dat voor wegnemen nodig is dat “degene die de feitelijke macht daarover heeft deze noodzakelijkerwijze verliest als een ander zich de macht erover verschaft”. Dat is bij computergegevens niet het geval: die worden gekopieerd, niet weggenomen. Voor economisch eigendom is dat wel van cruciaal belang. Als eigendommen onbeperkt kunnen worden gekopieerd, welke waarde vertegenwoordigt het eigendomsrecht dan nog?

 

Vakantieblog: Informatie zenden, ontvangen en zoeken – het internetrecht

Geplaatst op in Internetrecht, Ondernemingsvrijheid, 4 reacties
Photo by Vincent van Zalinge on Unsplash

Vanwege mijn zomervakantie is de gewone blog gepauzeerd. Vandaag wederom een voorpublicatie uit mijn boek ICT & Recht.

Het decentrale en pakketgestuurde internet maakte een enorme deling aan informatie mogelijk. Iedereen kon zonder noemenswaardige moeite online gaan en vertellen wat hij of zij te melden had: een e-mail naar een discussielijst, een bericht op een bbs, een bestand in een Gopher-bibliotheek en vanaf 1991 een site op het World-Wide Web. Deze uitvinding van Tim Berners-Lee was een enorme stap vooruit door zijn toepassing van hypertext: aanklikbare links waarmee de lezer van de ene naar de andere informatiebron kon gaan.

Het recht informatie te verspreiden

“De persvrijheid geldt alleen voor hij die er een bezit”, zoals journalist A.J. Liebling het ooit treffend omschreef. Het was door vele decennia massamedia een vanzelfsprekendheid dat er zenders en ontvangers waren: de journalist bracht het nieuws, de lezer consumeerde dat. Idem voor televisie en radio, er waren producenten en kijkers of luisteraars. Wie zijn geluid wilde laten horen, moest hopen op een interview of ingezonden brief – of genoeg geld verzamelen om een eigen uitgeverij te beginnen en zich in te vechten in het establishment. Wat vaak geen sinecure was, de regels waren (en zijn) zo complex dat beginners er zelden doorheen komen.

Door de opkomst van het www kon nu iedereen met een toetsenbord een website bouwen en daarop melden wat volgens hem of haar het melden waard was. Enige kennis van de webbouwtaal HTML en webserversoftware was vereist, maar al snel verschenen tools waarmee ook zonder enige technische kennis publicatie mogelijk was. Abonnementen bij hostingproviders waren goedkoop, of via verenigingen en belangenorganisaties soms zelfs gratis, waardoor iedereen zijn gang kon gaan.

En dat gebeurde. “[Dankzij internet is] ook voor particulieren de mogelijkheid ontstaan zich buiten de tot dan toe bestaande media tot een breed publiek te richten,” aldus de Hoge Raad in 2008. En in 2015 noemde het Europese Hof voor de Rechten van de Mens internet zelfs “one of the principal means” voor informatievoorziening, op gelijke voet met de krant en de radio en televisie. Opmerkelijk; jurisprudentie over uitingsvrijheid of toegang tot informatie ging tot die tijd primair over professionele journalistiek. De pers had een maatschappelijke waakhondfunctie en dat verdiende een hoge mate van bescherming. Maar of dat ook zo was voor gewone burgers, was geen uitgemaakte zaak.

Het bovenstaande wil niet zeggen dat alle jurisprudentie over de klassieke media automatisch op dezelfde manier uit moet pakken bij ict- of internetcasussen. Het medium kent unieke kenmerken, die in een juridische beoordeling van uitingsdelicten of onrechtmatige uitingen moeten worden meegewogen.[vi] Een voorbeeld van zo’n uniek aspect is het gegeven dat internetpublicaties eerder worden gevonden dan actief gecommuniceerd. Oudere uitingen kunnen zo sneller naar voren komen. De zoekfunctie (zoeken en al dan niet gevonden worden) van het informatierecht is dus veel groter in het ict-recht.

Internet als ideeën- en informatieverspreider past perfect in de klassieke functie van de informatievrijheid, het mogen zenden van informatie. Iedereen mag zijn mening geven, feiten aan het licht brengen, en de marktplace of ideas zorgt ervoor dat de waarheid, het belangrijke, het interessante bij iedereen terecht komt. Ook – of misschien wel juist – voor de meer controversiële randgroepen, van politieke splinterbewegingen tot niet-mainstream seksuele voorkeuren. Internet bleek dan ook uitermate geschikt voor activisten en marge-groepen die via de normale kanalen elkaar niet goed konden bereiken.

Het recht niet gevonden te worden

Dankzij internet kunnen ook archieven worden ontsloten, en dat is een groot goed voor de mensheid. Informatie wordt doorzoekbaar en kan op steeds meer manieren worden gebruikt, van inzicht krijgen in historische trends tot genealogisch onderzoek of het breder onderbouwen van sociologische bevindingen. Maar het toegankelijk maken van archieven heeft ook nadelen: er kunnen gegevens over mensen in die archieven staan, en die worden dan ineens toegankelijk terwijl dat voorheen nooit het geval was. Zeker dankzij zoekmachines konden anderen wel héél makkelijk die gegevens vinden, met alle gevolgen van dien.

Het ontsluiten van archieven is een invulling van het recht van informatie verspreiden. Het belang van een compleet en integer archief weegt dan ook zeer zwaar, aldus het EHRM in 2009. Dit is een belangrijke secundaire functie van de informatievrijheid, het beschikbaar blijven van informatie. In 2013 noemde men het zelfs “rewriting history” als een archief berichten zou moeten verwijderen. Ook in Nederland zien we dat terug in de oudere rechtspraak aangespannen door getroffen internetters tegen krantenarchieven.

Dit is een fundamentele botsing middenin het ict-recht zoals we dat in het vorige hoofdstuk definieerden: de informatievrijheid van de een (de krant met haar archief) tegenover de privacy van de ander (de betrokkene over wie een oud bericht ging). Door een technologische innovatie (het ontsluiten van archieven en de kracht van zoekmachines) wordt de informatievrijheid een stuk groter, en dat botst op een nieuwe manier met dat grondrecht van de privacy.

Hoe dat op te lossen? In 2014 worstelde het Europese Hof van Justitie met deze kwestie. Een Spaanse ondernemer merkte dat potentiële klanten vaak een oud krantenbericht over hem vonden – hij was in 1998 onder curatele gesteld en zijn huis was bij opbod verkocht. Inmiddels was dat allemaal alweer voorbij, maar dit kostte hem klanten en de websites met de aankondigingen weigerden deze te verwijderen. Maar de ondernemer had een nieuwe insteek gekozen: hij klaagde niet de krant aan waar dit in stond, maar zoekmachine Google omdat die de krant online zo makkelijk doorzoekbaar maakte.

Tot veler verrassing oordeelde het Hof dat Google inderdaad mee moest werken aan een filtering van zoekopdrachten voor de naam van deze man. Zijn recht op privacy moest worden gebalanceerd tegen de ondernemingsvrijheid van Google (het vierde grondrecht uit de definitie van ict-recht). Dat komt erop neer dat wanneer de gepubliceerde informatie verouderd of irrelevant is ten tijde van de zoekopdracht, de pagina’s moeten worden weggelaten uit de resultaten. Niet bij iedere zoekopdracht: wie bijvoorbeeld vroeg om “ondernemer faillissement spanje 1998”, eventueel met ’s mans naam erbij, zou gewoon de resultaten moeten krijgen inclusief de informatie over de eiser in deze zaak. Dat is dan een relevant resultaat voor een zoekopdracht gericht op 1998 immers. Maar wel als men nu alleen zijn naam intypt, of zelfs het woord “failliet” erbij – hij is immers nu niet failliet, en een artikel uit 1998 tonen dat suggereert van wel, doet dan enorme schade.

Deze uitspraak laat een diepgaand begrip van de impact van internet zien. Het Hof zoekt een balans tussen privacy en informatievrijheid, en neemt daarbij de unieke eigenschappen van zoekmachine Google in ogenschouw. Weinig mensen zullen de moeite nemen alle krantenarchieven van het land door te nemen op zoek naar een mogelijk oud bericht over een ondernemer. Maar even snel iemand “door Google halen” gebeurt iedere dag, en dáár komt dan de pijn door. Google maakt het te makkelijk, en Google moet dan dus aan de bak om het op te lossen.

Sinds deze uitspraak zijn er vele, vele zaken geweest waarin mensen proberen onwelgevallige berichten te weren uit zoekresultaatpagina’s. Meestal zonder succes, omdat het gaat om door hen gepleegde misdrijven of recente geschiedenis die veel ophef gaf. Maar uitgesloten is het zeker niet. Het recht op vergetelheid – zoals dit is gaan heten – is ook vastgelegd in de Algemene Verordening Gegevensbescherming, waarover meer in hoofdstuk 5.

Het recht informatie te ontvangen

Wie op de markt naar informatie wil luisteren, kan er gewoon heen wandelen. Op internet is dat iets lastiger: daar heb je in ieder geval een toegangsprovider nodig, een bedrijf zoals Ziggo of KPN dat je computer verbinding laat maken met internet. Ook voor de informatie-aanbieder geldt dat: de server met de informatie in kwestie moet verbonden zijn met internet, en er moet minstens één route zijn tussen beide punten.

Dit raakt aan het tweede aspect van de informatievrijheid, namelijk het recht om informatie te mogen ontvangen. In eerste instantie gaat ook dat aspect over de rol van de overheid: die kan informatiediensten laten blokkeren, of zelfs heel internet. Dat is al heel snel in strijd met de informatievrijheid, zo bepaalde het EHRM al vele malen.  Ook een internet- of websiteblokkade dient te voldoen aan het hierboven geschetste kader. Waar het meestal op mis gaat, is de proportionaliteit:

  • Bij blokkades op IP-adres worden ook andere websites vanaf diezelfde server geblokkeerd. Dit is een probleem met proportionaliteit.
  • Bij blokkades op domeinnaam kan de gewraakte aanbieder met een andere naam het verbod omzeilen. Dit raakt aan effectiviteit.
  • Bij blokkades van één specifieke uiting (zoals een pagina of pdf-bestand) blokkeren hostingproviders soms de hele site. Zij hebben namelijk lang niet altijd toegang tot de database achter de site waardoor ze de specifieke pagina niet offline kunnen halen.
  • Bij autoritaire regimes wordt nog wel eens het hele internet geblokkeerd. Dit is uiteraard ook niet proportioneel.
Maar hoe zit dat met internetproviders? Wie een website (of welke dienst dan ook) wil bezoeken om informatie te ontvangen, moet eerst het internet op. Een provider kan dat blokkeren, duurder maken of op andere manier hinderen. Is dat een schending van het recht informatie te mogen ontvangen? Dat is een lastige. Het gaat hier om private partijen, providers zijn (meestal) bedrijven en zeker geen overheden. We spreken dan van horizontale werking: kan dit grondrecht tussen burgers onderling worden uitgeoefend? Kun je je tegen een ander beroepen op jouw recht informatie te ontvangen?

Het pijnlijke antwoord is: nee, dat kan niet. Er is geen horizontale werking van de informatievrijheid. In de jaren tachtig speelde deze kwestie bijvoorbeeld bij de vraag of verslaggevers toegang moesten krijgen tot voetbalstadions, dit op grond van het recht van informatiegaring. De gebouwen zijn eigendom van de voetbalclubs, maar in principe kan iedereen (tegen betaling) naar binnen gaan. Mag de voetbalclub dan de voorwaarde stellen dat men alleen naar binnen mag indien men niet filmt? De Hoge Raad oordeelde van wel. Ook al is de interesse in voetbalwedstrijden groot, het eigendomsrecht behoort boven de vrije informatiegaring te gaan. De stadions waren opgesteld voor publiek, maar nog steeds privé-eigendom. Die lijn geldt ook voor websites en internetproviders.

Indirect kan de informatievrijheid wel worden ingeroepen tegen private partijen, namelijk door deze toe te passen bij de uitleg van een norm uit een ander wetsartikel. Een voorbeeld is het citaatrecht (artikel 15a Auteurswet), dat gebruik van stukjes uit andermans werk toestaat als dat “naar de regels van het maatschappelijk verkeer redelijkerwijs geoorloofd” is. Het argument is dan, hoe belangrijker de uiting, hoe meer geoorloofd behoort te zijn, dus hoe meer er mag worden geciteerd.

Het belang van de informatievrijheid kan soms wel zo ver gaan dat een zogeheten positieve verplichting ontstaat voor de overheid om deze mogelijk te maken. Met een wet of vergelijkbaar instrument regelt de overheid waar de grenzen liggen voor andere private partijen bij iemands informatiegaring. In de Appleby-zaak bepaalde het EHRM bijvoorbeeld dat een private partij gehouden kan zijn andermans uitingen te tolereren in de uitzonderlijke situatie dat een beroep op eigendomsrechten “[would prevent] any effectieve exercise of freedom of expression or [if] it can be said that the essence of the right has been destroyed”. Maar let wel: de overheid moet dan dus een wet maken waarin wordt geregeld wat er dan getolereerd moet worden en onder welke voorwaarden.

Een concreet voorbeeld van hoe zo’n positieve verplichting uitpakt is de ontwikkeling rond netneutraliteit: het beginsel dat internetproviders geen verkeer mogen bevoor- of benadelen. Dat lijkt raar, hun core business is het toegang geven tot internet. Echter, het verdienmodel van providers – abonnementen, eventueel met toeslagen voor dataverkeer – staat al decennia stevig onder druk omdat steeds meer diensten heel veel data versturen. Netflix veroorzaakt in zijn eentje bijvoorbeeld zo’n 15% van alle internetverkeer. Providers moeten investeren in technologie en onderhoud om dit mogelijk te blijven maken, maar dat kan lastig uit van abonnementsprijzen alleen. Vandaar dat providers op zoek zijn naar nieuwe inkomstenbronnen, bijvoorbeeld bijbetalen voor bepaalde populaire diensten of betere kwaliteit.

In 2011 ontstond ophef toen bekend werd dat internetaanbieder KPN mobiel internetverkeer scande, om zo verschillend verkeer apart te kunnen factureren.  Een lobby van internetactivisten Bits of Freedom was een groot succes: Nederland werd het tweede land ter wereld (na Chili) waar netneutraliteit in de wet verankerd werd. In de definitie van het ict-recht is hiermee een botsing tussen informatievrijheid en ondernemingsvrijheid (hoofdstuk 4) beslecht door een ingreep vanuit regulering (hoofdstuk 6). De Wet netneutraliteit werd in 2016 overigens vervangen door een Europese Verordening. Meer over dit onderwerp in hoofdstuk 6.

De discussie over toegang kent echter nóg een dimensie; naast de providers die toegang tot internet verschaffen, zijn minstens zo belangrijk de zoekmachines zoals Google en de platforms zoals Facebook die de inhoud vindbaar maken.

Het recht informatie te zoeken

Met die enorme informatie-explosie door de groei van internet ontstond een probleem: welke websites moest je hebben, waar stond de relevante informatie? Dit gaf aanleiding tot overzichtssites, zoals in Nederland Startpagina.nl en in de VS Yahoo, die per onderwerp de relevante websites rubriceerden. Dit bleek ook al snel moeilijk te beheren, vandaar dat een andere dienst veel populairder werd: de zoekmachine. En met de groei van Web 2.0 kwam daar nog een dienst bij: het platform, de plek waar je moet zijn om informatie aan te bieden én te vinden.

Als we het hebben over het recht om informatie te zoeken, dan komt dat automatisch neer op de discussie over de tussenpersonen, de partijen die tussen zender en ontvanger in staan. Die beschikken over een essentiële positie, die in de literatuur over informatievrijheid wel die van gatekeeper of poortwachter wordt genoemd. Zij beslissen welke informatie bovenaan komt in zoekresultaten of overzichtspagina’s, welke informatie wel of niet gewenst is en welke suggesties men krijgt als bladerende bezoeker. Dit geeft ze een enorme zeggenschap over de invulling van de informatievrijheid van hun bezoekers en gebruikers.

De eerste zoekmachines werkten relatief eenvoudig. Zij indexeerden alle webpagina’s die ze konden vinden (vaak via die overzichtssites, en alle hyperlinks volgend die ze op de gevonden pagina’s vonden, het zogeheten crawlen) en lieten mensen zoeken op trefwoorden. De pagina die het vaakst die trefwoorden gebruikte, kwam dan bovenaan in de zoekresultaten.

Niet iedereen was blij met zoekmachines: ze konden op hol slaan en websites overbelasten. Anderen vreesden voor kwaliteitsverlies: een door mensen gemaakte overzichtssite zou altijd kwalitatief beter zijn. En weer anderen wilden simpelweg niet gevonden worden, althans niet zomaar in een zoekmachine. Maar voor de meeste mensen waren zoekmachines eindelijk hét middel om op internet te vinden wat je nodig had.

In 1998 verscheen er een nieuwe zoekmachine, die uiteindelijk de wereld zou beheersen. Stanford-student Larry Page had in 1998 een uniek inzicht: je moet webpagina’s niet alleen sorteren op gebruik van trefwoorden, maar ook op relevantie. En dat laatste kun je meten: hoe vaker mensen linken naar een website, hoe relevanter die is voor het gelinkte onderwerp. De zoekmachine die hij samen met collega-student Sergej Brin bouwde, heette Google en werd een stormachtig succes: eindelijk een zoekmachine die gewoon werkt.

In 2000 kwam Google met een unieke innovatie genaamd AdWords, waarmee adverteerders eindelijk de zoekers konden bereiken. En, uniek, afgestemd op de zoekopdrachten en (later) op een profiel van de zoeker. De omzet die men hiermee wist te realiseren, maakte Google tot het grootste en machtigste internetbedrijf ter wereld: zonder Google ben je onvindbaar.

De situatie werd na de groei van Web 2.0 oftewel het sociale web nog ingewikkelder. Wie iemand wilde zijn, moest op het juiste platform zijn: Myspace, Facebook, Hyves, Linkedin, Twitter en nog vele andere. Voor elke niche en elke uiting was er wel een platform. En het mooie was: elk platform had een groot publiek, dat dankzij overzichts- en zoekfuncties makkelijk ook jouw bijdragen kon vinden. Dat was een stuk eenvoudiger dan je eigen website moeten onderhouden. Logisch dus dat vele mensen naar deze platforms trokken. Maar hiermee werden de platforms natuurlijk zeer machtig, misschien wel machtiger dan zoekmachine Google: zonder Google ben je onvindbaar, maar zonder Facebook besta je niet.

Bestelknop op website VakantieDiscounter voldoet niet aan wet, vakantie mag vernietigd

Geplaatst op in Ondernemingsvrijheid, Regulering, 37 reacties
Photo by Andy Crone on Unsplash

Als je paspoort niet lang genoeg meer geldig blijkt, mag je je vakantie dan annuleren? Ja, zij het dat je een andere reden nodig hebt – de knop op de website vermeldt de verkeerde tekst. Als daar niet ondubbelzinnig staat dat je moet betalen, dan heb je geen rechtsgeldige bestelling geplaatst.

In deze zaak werd een vakantie naar Turkije geboekt. Echter, om naar Turkije te kunnen reizen, moeten de paspoorten van de reizigers ten minste zes maanden geldig zijn vanaf de dag van de terugreis. Dat bleek niet het geval, zodat men op het vliegveld terug naar huis werd gestuurd.

De vakantiesite had hierover geïnformeerd, dus het lijkt vrij kansloos om dan je geld nog terug te krijgen. Maar men had een andere fout gemaakt: op de knop waarmee het bestelproces eindigt staat ‘doorgaan’. En dat is een probleem, want je bestelknop moet over betalen gaan (alweer sinds 2012).

De rechtbank legt uit hoe het boekingsproces verliep:

Onder de alle (vooraf ingevulde c.q. aan te klikken) vinkjes moet een betaalmethode worden geselecteerd, waarbij kan worden gekozen voor iDeal of Credit Card. [eiser] heeft voor iDeal gekozen. Vervolgens moet de bank worden geselecteerd. Daaronder staat een grote roze knop met daarop de tekst ‘DOORGAAN’, al dan niet gevolgd door de naam van de gekozen bank. Als op die knop wordt geklikt, wordt de website van VakantieDiscounter verlaten en doorgelinkt naar de betaalomgeving van de geselecteerde bank.
Je zou denken dat als je een betaalmethode kiest en dan “doorgaan” klikt, dat je dan verwacht bij een betaalscherm uit te komen. Maar dat is niet waar de wet de lat legt. Die formuleert het (art. 6:230v lid 3 BW) als volgt:
Een knop of soortgelijke functie wordt daartoe op een goed leesbare wijze aangemerkt met een ondubbelzinnige formulering waaruit blijkt dat het plaatsen van de bestelling een betalingsverplichting jegens de handelaar inhoudt.
En dat moet “in niet voor misverstand vatbare termen en op goed leesbare wijze” gebeuren ook nog, aldus de voorgaande zin. De kern is dus: de knop. Niet het proces als geheel, niet het finale scherm ná de betalingsprocedure. (Het Hof van Justitie spreekt van “op de bestelknop of soortgelijke functie aangebrachte formulering“, dus ik denk ook de tekst direct onder de knop maar dat is het wel zo’n beetje.)

Nu deze knop “doorgaan” niet aan de wet voldoet, is de overeenkomst vernietigbaar. Dat wil zeggen: de rechter haalt er een streep door, en er is nooit een overeenkomst geweest. Dit is anders dan ontbinden oftewel ongedaan maken, daarbij wás de overeenkomst er wel maar nu niet meer. Het gehele bedrag plús wettelijke rente moet dus terug.

Ik denk dat ik niet snap waarom 12 jaar na de wetswijziging en 2 jaar na een best wijd gepubliceerde uitspraak van de hoogste rechter dit soort knoppen nog steeds iets anders vermelden dan “Naar betalen”, “Afrekenen” of iets dergelijks. Maar ik zal aan vakantie toe zijn.

Arnoud

 

Eurocommissaris wenst rest wereld ‘veel succes’ als Apple AI-functies uitbrengt

Geplaatst op in Ondernemingsvrijheid, Regulering, 6 reacties
Photo by James Yarema on Unsplash

Apple stelt de komst van nieuwe AI-toepassingen in Europa voorlopig uit. Dat las ik bij Nu.nl onlangs. Het bedrijf verwijst daarbij naar Europese wetgeving, die haar zou belemmeren in haar innovatieve proces. Eurocommissaris Margrethe Vestager (Medediging) reageert nu dat de wereld behoedzaam moet zijn als Apples AI-functies daar wél uitkomen.

In de berichtgeving wordt vaak verwezen naar de AI Act, die op 12 juli zal verschijnen en 1 augustus van kracht wordt. Logisch, want nieuwe AI zal daar onder vallen. Maar de regels voor AI met hoog risico zijn niet de reden dat Apple haar producten (Apple Intelligence, iPhone Mirroring en SharePlay Screen Sharing) nog niet de markt op schuift.

Eurocommissaris Verstager haalde recent uit naar deze opstelling van Apple:

Volgens haar wil Apple simpelweg niet meewerken aan een eerlijke markt bij het toevoegen van nieuwe AI-toepassingen aan zijn producten. “Als Apple de DMA nodig heeft om nog eens twee keer na te denken voordat het AI integreert, dan wens ik de rest van de planeet veel succes.”
De pijn zit hem voor Apple inderdaad in de Digital Markets Act. Zoals ik maandag blogde, Apple lijkt deze wet te schenden door het buiten Apple om verwerken van betalingen én het introduceren van eigen appstores wel heel ingewikkeld te maken. Dat raakt direct aan de core business (en geldstroom) van het bedrijf, dus ik snap dat ze daar kabaal over maken. Heel nadrukkelijk drie nieuwe features tegenhouden en wat opmerkingen maken over innovatie is daar een makkelijke manier voor.

Arnoud

Een actieradius die 30% tekortschiet, is echt wel een tekortkoming bij een elektrische auto

Geplaatst op in Ondernemingsvrijheid, 27 reacties
Photo by Sue Winston on Unsplash

Kan een koopovereenkomst worden ontbonden als een elektrische auto de door de verkoper vermelde actieradius niet haalt? Ja, aldus de Hoge Raad in een recent arrest. De mededeling dat “tot 480 km” gehaald kon worden lag té ver van de werkelijkheid waar 300 het wel zo’n beetje was.

De (zakelijke) koper kocht in 2018 een Jaguar I-PACE. Daarbij werd verwezen naar een actieradius van “tot 480 kilometer”, onder verwijzing naar de WLTP-verbruiksnorm. Dat bleek dus tegen te vallen: de eerste klachten gingen over 280 kilometer, en dat is een fors verschil.

De reden? Die 300 kilometer werd gehaald in winteromstandigheden met voornamelijk snelwegen. Het WLTP getal is een soort van gemiddelde van metingen onder diverse omstandigheden. De koper was zich hiervan in algemene zin bewust, en had dus een zekere eigen verantwoordelijkheid. De rechter in eerste aanleg vond het verschil echter zó groot dat de auto nonconform werd verklaard.

Daarbij woog mee dat een medewerker zou hebben gezegd dat de auto “bij normaal gebruik een actieradius heeft van 400 kilometer”. “Normaal gebruik” in Nederland omvat hoe dan ook een fiks stuk winteromstandigheden, en het WLTP getal is dus niet representatief voor “normaal gebruik”. En dát hoef je als koper dan weer niet te weten.

In hoger beroep ging het ook over een tabel in een brochure over de WLTP, waarbij onder meer uitgesplitst werd naar “Snelweg – Winter 270 km”. Die tabel was echter pas ná de koop besproken, zodat je dat niet mag meewegen bij wat je bíj de koop mocht verwachten.

Bij de Hoge Raad is men er snel klaar mee. Als een dealer zegt dat de auto normaal tot 480 kilometer actieradius heeft, en de auto haalt onder normale Nederlandse omstandigheden (lees: inclusief snelwegen in de winter) slechts 300 kilometer, dan is dat een substantiële tekortkoming. Daarmee mag de koop ongedaan gemaakt worden.

Had het uitgemaakt of die tabel wél voorafgaand aan de koop behandeld was? Misschien. Dan ga je wel in op dit voor de klant belangrijke punt, en dat weegt zwaar mee bij de bepaling wat men mocht verwachten.

Maar dat moet natuurlijk dan wel gebeurd zijn, en bewijzen dat dat is gebeurd is niet triviaal. Ja, je kunt natuurlijk op het aankoopformulier vermelden “Brochure met actieradius-verwachting is besproken naar tevredenheid klant”, maar zo’n verplichte verklaring (verklaringsfictie) heeft héél weinig waarde bij de rechter.

Arnoud

 

 

 

Apple schendt EU-regels met App Store en riskeert miljardenboete

Geplaatst op in Ondernemingsvrijheid, nog geen reacties
Photo by James Yarema on Unsplash

De Europese Commissie heeft Apple officieel beschuldigd van machtsmisbruik. Dat meldde Nu.nl vorige week. Het is nog geen besluit maar een “preliminary view” waar Apple op moet reageren, overigens. De kern: de App Store regels hinderen het vrij gebruik van alternatieve kanalen om apps op je Apple-apparaten te krijgen.

De Digital Markets Act (DMA) bevat de spelregels voor grote ict-spelers, zoals Apple. In september vorig jaar merkte de EC Apple aan als een ‘poortwachter’ (gatekeeper) onder die wet. Dat hakt er dan gelijk in, getuige art. 5 lid 4 DMA:

4. De poortwachter laat zakelijke gebruikers kosteloos toe om aanbiedingen, ook onder andere voorwaarden, kenbaar te maken en aan te bieden aan eindgebruikers die via zijn kernplatformdienst of via andere kanalen zijn verworven, en om met die eindgebruikers contracten te sluiten, ongeacht of zij daarvoor al dan niet gebruikmaken van de kernplatformdiensten van de poortwachter.
Het moet dus mogelijk zijn om aankopen te doen en daarbij andere voorwaarden te hanteren dan wat de Apple App Store®? zelf zegt. En nou kán dat in theorie tegenwoordig bij Apple, maar om nou te zeggen dat het echt triviaal is, nee. Zoals de Commissie het zegt:
  • “None of these business terms allow developers to freely steer their customers.” Je mag geen prijzen geven of verwijzen naar andere distributiekanalen.
  • “Under most of the business terms available to app developers, Apple allows steering only through “link-outs”, i.e., app developers can include a link in their app that redirects the customer to a web page where the customer can conclude a contract.” Je mag dus niet een eigen verkoopkanaal in je app opnemen
  • “Whilst Apple can receive a fee for facilitating via the AppStore the initial acquisition of a new customer by developers, the fees charged by Apple go beyond what is strictly necessary for such remuneration.” De Commissie maakt hier dus onderscheid tussen de initiële betaling voor het aandragen van een klant, en de terugkerende betaling of in-app aankoop door die klant.
Met name deze drie punten maken dat Apple de DMA lijkt te schenden. Apple moet daar nu op reageren, en de Commissie moet uiterlijk 25 maart volgend jaar de boel finaliseren en een uitspraak doen, al dan niet met boete of bindende aanwijzing.

De Commissie pakt meteen door en start óók een onderzoek naar de (on-)mogelijkheid een eigen appstore te beginnen naast de Apple App Store®?, zoals in artikel 6(4) staat:

De poortwachter staat toe en maakt het technisch mogelijk om softwareapplicaties of appstores van derden die gebruikmaken van of in wisselwerking staan met zijn besturingssysteem, te installeren en effectief te gebruiken, en maakt de toegang tot die softwareapplicaties of appstores met andere middelen dan de betrokken kernplatformdiensten van die poortwachter mogelijk.
Ook dit kan in theorie, maar er zijn wat hobbels:
  • “Apple’s Core Technology Fee, under which developers of third-party app stores and third-party apps must pay a €0.50 fee per installed app.” De vraag is of dit gewoon een redelijke kostenvergoeding is, of dat Apple hiermee aanbieders wil afschrikken om überhaupt dit te gaan doen. Er is al veel te doen over de CTF.
  • “Apple’s multi-step user journey to download and install alternative app stores or apps on iPhones.” Het is niet eenvoudig om een andere appstore te installeren. Er zijn instructies maar voor mij lezen die als “het kán maar het is heel eng, virussen, malafide apps, iets raars met betalingen, je mag ook gewoon bij Apple blijven”. Die boodschap mag je niet geven als Apple zijnde.
  • “The eligibility requirements for developers related to the ability to offer alternative app stores or directly distribute apps from the web on iPhones.” Dit slaat op de eis van “good standing” en een miljoen installaties hebben voordat je een eigen appstore mag aanbieden.
De Commissie kan boetes tot 10% van de wereldwijde omzet opleggen. Wat mij daarbij nog niet duidelijk is, is of dat geldt voor de omzet van het gehele concern of alleen de entiteit die de overtreding beging. Wellicht gaan we daar nu achter komen.

Arnoud

‘Ook OpenAI en Anthropic negeren robots.txt-verzoeken om sites niet te scrapen’

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 13 reacties
Photo by Chuck Underwood on Unsplash

OpenAI en Anthropic negeren verzoeken van websites in robots.txt-bestanden om niet gescrapet te worden. Dat las ik bij Tweakers. Dat is opmerkelijk, want eerder meldde men nog dit wel te gaan doen. De reden is onduidelijk, mogelijk heeft het te maken met het onderscheid tussen “crawlen om AI-trainingsvoer te vinden” en “crawlen om bronnen te vinden waarmee AI-uitvoer ondersteund wordt”.

Dit is dus precies waarom robots.txt niet de oplossing is voor dit probleem. Robots.txt is ooit gemaakt om boteigenaren aan te geven waar de website-eigenaar problemen verwachtte, zoals bij cgi-bin scripts of URL’s met sessieparameters of mappen waar toch niets te halen viel. Dat was handig voor de boteigenaar want dat scheelt netwerkverkeer en rotzooi weggooien.

Hier gaat het niet om elkaar helpen maar om een verbod: je mag deze site/content niet gebruiken voor jouw tekst en datamining. Ook niet als je het voorzichtig doet. Daar zit een juridisch haakje aan, artikel 15o van onze Auteurswet (gebaseerd op Europese regels) zegt dat TDM mag tenzij er een machineleesbare optout is gegeven.

Het probleem: iets is pas machineleesbaar (=zonder menselijke tussenkomst te interpreteren) als daar een standaard voor is. En die is er niet. Dus dan krijg je dat men iets pakt dat er op lijkt, namelijk robots.txt en daar dan doet alsof je een verbód uitspreekt als je zegt “GPTbot disallow *”. Dit werkt om meerdere redenen niet, al is het maar omdat je alleen per bot kunt uitsluiten en niet per soort gebruik (wel voor je zoekmachine, niet voor je dataset).

We hadden in de jaren nul hetzelfde met het Automated Content Access Protocol, dat geen succes werd omdat er geen consensus was dat je dit moest willen. En er zijn diverse pogingen om een “ai.txt”-achtige standaard te zetten, maar die hebben allemaal hetzelfde probleem: waarom zou ik dat ondersteunen? Als ik dat doe, mag ik dingen niet die de concurrent wel mag (want die ondersteunt het niet).

De enige route is dat de wetgever een standaard bindend voorschrijft, dit is hoe jij uitgever het opschrijft en daar ga jij crawlerbaas elke keer verplicht kijken voordat je verder crawlt. Maar het Europese standaardisatieproces duurt jaren. Ik ben dus heel benieuwd hoe hier een standaard geforceerd gaat worden. Een dappere rechter die durft te zeggen “genoeg uitgevers gebruiken formaat X, dat is dan vanaf vandaag maar standaard”.

Arnoud

 

Scholen mogen sociale media alleen gebruiken na afspraken over gegevens

Geplaatst op in Ondernemingsvrijheid, Privacy, 2 reacties
Photo by Jonathan Robles on Pexels

Onderwijsinstellingen moeten duidelijke afspraken maken met socialemediabedrijven over wat er met gegevens van studenten en docenten gebeurt. Dat las ik bij Nu.nl. Het volgt uit een advies van de Autoriteit Persoonsgegevens aan een onderwijsinstelling die een bepaald socialemediaplatform wilde inzetten. Wat betekent dit voor de praktijk?

De school (die verder anoniem wordt gehouden) maakte zich zorgen over het mogen gebruiken van een socialemediadienst voor marketingdoeleinden. Men wilde hiermee “met inzet van betaalde en organische content potentiele studiekiezers helpen in het maken van een goede studiekeuze“. Dat raakt aan persoonsgegevens – personeel en studenten die in beeld komen, of marketingmedewerkers die de dienst bedienen. Maar ook van toekomstige leerlingen, die via de content interacteren met de school.

Velen roepen al jaren dat dit juridisch best spannend is, het zal dan ook niet verbazen dat de school een DPIA liet uitvoeren om de risico’s in kaart te brengen. De DPIA focust op het verlies van grip op persoonsgegevens, omdat de dienst kan besluiten daar zelf andere dingen mee te doen. Ook waren er vragen over de gekozen route van toestemming als grondslag, en ontbraken afspraken over het overbrengen van persoonsgegevens naar landen buiten de EU.

Zo te lezen heeft de school fors werk verricht. Het proces van toestemming is voor de verandering solide ingericht, inclusief actieve focus op het wegnemen van indirecte druk om toestemming te geven (wat immers een probleem is bij werknemers, maar ook bij studenten). En er is goed nagedacht over hergebruik door de socialemediadienst.

Het advies van de AP blijft echter een beetje steken in algemeenheden en tips. Dit heeft denk ik te maken met dat niet zij maar een niet nader te noemen andere toezichthouder bevoegd is (gokje: Ierland), en dat de AP dan niet voor haar beurt kan spreken. Ik vat de tips even samen:

  • Je moet zelf bedenken of je gezamenlijke verwerkingsverantwoordelijke bent. Een hint is dat het niet uitmaakt dat je grip op de gegevens verliest. Als de socialemediadienst een verwerking doet die jouw doelen ten goede komt, wijst dat ook op gezamenlijkheid.
  • Als je gezamenlijk bent, maak dan goede afspraken.
  • Je moet dit per verwerking doen, op lager detailniveau dan “wij uploaden de video en de dienst zorgt algoritmisch dat studenten-in-spe deze zien”.
  • Maak afspraken over bewaartermijnen door de socialemediadienst. Niet alleen de video maar ook de comments dus.
  • Als de dienst in een derde land zit, dan zou je met SCC’s kunnen werken (de Schrems-schaamlap). Maar ga dan wel zelf na of je die kunt afdwingen in het derde land (“small Dutch school sues tech giant, film at 11”).
  • Je toestemmingsformulier moet je afstemmen op de specifieke verwerkingen (zie punt 3), oftewel dat moet er allemaal in staan.
  • Heel goed dat je mitigerende maatregelen tegen de dreiging van dwang hebt genomen, maar ga tóch nog een keertje goed na of mensen geen dwang ervaren.
Ik hoop voor de verandering niet al te cynisch te klinken: dit is op zich een keurig advies over welke punten na te lopen, het biedt alleen weinig concrete houvast bij het afvinken van die punten.

Arnoud

 

 

Procedurefout bij massaclaim blijkt toch niet fout

Geplaatst op in Ondernemingsvrijheid, Privacy, nog geen reacties
Photo by stevepb on Pixabay

De procedurefout van The Privacy Collective tegen Oracle en Salesforce blijkt toch niet fout. Dat maak ik op uit het hoger beroep van deze claimorganisatie waar recent arrest in werd gewezen. Ze doet genoeg om haar achterban te informeren, en had de fouten bij de oorspronkelijke dagvaarding keurig rechtgezet. Alleen: hoe nu verder?

In 2020 startte de organisatie een massaclaim tegen Oracle en Salesforce. Ik blogde toen:

In de kern komt de achterliggende techniek erop neer dat wanneer je een site met advertenties bezoekt, allerlei bedrijven hun cookies op die pagina uitlezen om zo te achterhalen hoe interessant jij bent. Hoe meer informatie je dan kunt combineren, hoe beter je dat kunt. Vervolgens kun je een bod uitbrengen om een advertentie te mogen tonen, en het hoogste bod wint dan.
Dit voelt als niet de bedoeling qua AVG, alleen kun je als individu vrij weinig (oké, het is niet kansloos). Een massaclaim ligt meer voor de hand – een miljoen keer tien euro is een heel mooi bedrag. En dat kan sinds een tijdje, zij het dat je als claimorganisatie representatief moet zijn conform een hele trits wettelijke criteria.

In december 2021 vonniste de rechtbank Amsterdam dat de betreffende stichting niet representatief genoeg was. Haar bewijs daarvan kwam met name uit een webpagina waar je “met één klik” kon aangeven het initiatief te steunen. Dat vond de rechter te vaag, mede omdat de link tussen hen steunen en getroffen zijn door de snode cookies van Oracle c.s. niet heel duidelijk is.

De stichting had na het vonnis de teugels stevig aangetrokken. De claim was duidelijker omschreven, de achterban steviger vastgelegd et cetera. Daarmee voldeden ze dus alsnog aan de wet. Alleen: meet je dat dan in hoger beroep opnieuw, of beoordeel je de zaken zoals ze lagen bij de eerste dagvaarding? (Voor de juristen, ex tunc of ex nunc toetsing.)

Het gerechtshof vindt een ex nunc toetsing (hoe staan we er nu voor) eigenlijk de enige logische optie:

Het is, vanuit een oogpunt van goede rechtspleging, ongewenst om, als in eerste aanleg blijkt van een gebrek dat hersteld kan worden, herstel van dat gebrek in appel buiten beschouwing te laten. Dat zou afbreuk doen aan de integrale nieuwe toetsing van het geschil in appel. Uit het arrest van de Hoge Raad van 11 februari 2022 (Trafigura, ECLI:NL:HR:2022:165) waarin ook de ontvankelijkheid in een collectieve actie aan de orde was, zij het onder de oude versie van art. 3:305a BW, volgt dat herstel van een aanvankelijk bestaand ontvankelijkheidsgebrek kan leiden tot ontvankelijkheid in appel.
Dit geldt algemeen, en ook bij specifiek de WAMCA waar deze claim op gebaseerd is. De reden is creatief: dit is vrij nieuwe wetgeving en men is bezorgd over partijen die vanuit oneigenlijke belangen en met winstoogmerk gaan procederen, dus moet je hun bevoegdheden en rechtspositie op elk moment opnieuw kunnen beoordelen.

Om ze terug te fluiten dus, maar als dat je criterium is dan geldt dat dus óók als zij de teugels aantrekken. Daarom mag de stichting nu alsnog door met de claim.

Het andere punt dat voor lag, was de wijze van schadeberekening. Het gaat hier immers om immateriële schade, niet om schade waar je offertes van een reparateur van kunt laten zien. En het is goed mogelijk dat de een meer schade heeft dan de ander. Om die reden, aldus Oracle c.s., mag zo’n stichting niet één claim indienen.

Het is echter niet principieel onjuist om te denken dát er schade kan zijn, aldus het Hof. En de wet staat toe dat je dan met een staffel of categorieën werkt, zoals veel, weinig en nauwelijks schade, en dan per categorie een bedrag bedenkt. Discussie daarover is prima, maar dat is gewoon waar de zaak over gaat en geen reden de rechtszaak nu al te beëindigen.

En die likes dan, de steunbetuigingen op de website? Dat is genoeg, gezien wat de stichting nog meer doet op het gebied van informeren van de achterban. Alle belanghebbenden moeten registreren komt neer op een opt-in, en de wetgever heeft nou juist gekozen voor een opt-out. Daarvoor is het dus genoeg dat je weet dat de claim er is.

Alleen: hoe nu verder? Normaal behandelt het Hof bij een hoger beroep de gehele zaak zelf, als blijkt dat de rechtbank het verkeerd had. Alleen had de rechtbank hier niet geoordeeld over de inhoud, dus daarom wilden Oracle en Salesforce graag de zaak terug naar de eerste aanleg:

Het inhoudelijke debat over de toewijsbaarheid van de vorderingen waarin TPC kan worden ontvangen kan dan in twee feitelijke instanties worden gevoerd. Dat is in hun ogen in hoge mate wenselijk, zeker in deze zaak, die de eerste in zijn soort is, terwijl bekend is dat in het land andere collectieve vorderingen over ongeveer dezelfde materie aanhangig zijn. Terugwijzing past volgens Oracle en Salesforce ook binnen het systeem, nu immers de rechtbank inhoudelijk geen oordeel heeft gegeven.
Partijen moeten hier maar even over nadenken, en op 5 augustus volgt een nieuwe zitting om hierover een knoop door te hakken.

Arnoud

 

Wie bewijst er dat authenticatiemiddelen zijn misbruikt?

Geplaatst op in Ondernemingsvrijheid, Security, 6 reacties
Photo by Signature Pro on Unsplash

Moet jij bewijzen dat je handtekening is vervalst, of de wederpartij het omgekeerde? Die vraag kwam recent zijdelings langs bij het Hof Amsterdam in een zaak over een borgtochtovereenkomst.

De gedaagde partij zou volgens een borgtochtovereenkomst op moeten draaien voor een lening van € 18.630 aan een (ondertussen failliet) bedrijf waar hij directeur en enig aandeelhouder van was. In art. 7:859 BW staat dat een borgovereenkomst alleen kan worden bewezen met een door de borgsteller ondertekend geschrift. Betwisten van de handtekening kan dus een effectief middel zijn om zo’n borg van tafel te krijgen.

Het Hof vindt de stelling dat deze persoon niets te maken had met de lening of borg moeilijk te geloven – hij was immers de enige directeur van het bedrijf. Die skepsis zien we terug in de beoordeling van de argumenten over identiteitsmisbruik:

In dat verband ligt het op zijn weg toe te lichten hoe het mogelijk is dat derden in het bezit zijn gekomen van gegevens met betrekking tot Zesto Groep zoals inloggegevens behorend bij de mailaccount en de bankrekening van Zesto Groep en wat de achtergrond en redenen ervan zijn dat diverse geldbedragen van de bankrekening van Zesto Groep zijn overgeboekt naar zijn eigen privérekening.
De achterliggende technologie is IDIN. Hierbij identificeer je jezelf via je bank, wat algemeen als veilig wordt gezien omdat toegang tot bankrekeningen al aan strenge authenticatie- en veiligheidsvoorschriften gebonden is. Daarnaast wordt gesproken over een mailaccount, dat is het info@ adres dus ik kan me nog nét voorstellen dat een ander dan de directeur in die mailbox kan.

Bij het banksysteem is dat wat meer twijfelachtig, gezien het algemeen bekende feit dat daar tweefactorauthenticatie en andere controles en toezicht zijn. Terecht zegt het Hof dan ook:

Onder deze omstandigheden lag het op de weg van [appellant] toe te lichten hoe het mogelijk is dat derden aan zijn persoonlijke inloggegevens zijn gekomen als het werkelijk zo is dat een en ander buiten hem om is gegaan. [appellant] heeft die toelichting evenwel niet gegeven. De stelling van [appellant] dat de stem in de geluidsfragmenten van de telefoongesprekken niet van hem is, maar van [naam 3] en dat daaruit zou moeten blijken dat niet [appellant] maar [naam 3] betrokken is geweest bij de totstandkoming van de overeenkomsten, is door [appellant] – tegenover de betwisting van [geïntimeerde] – op geen enkele wijze onderbouwd.
Dit wringt in zoverre dat normaliter de wederpartij bij een “stellige ontkenning” moet bewijzen dat de handtekening wél door die persoon is gezet (art. 159 lid 2 Rv). En daar komt bij dat de borg door deze meneer is aangegaan vanuit zakelijke motieven – zijn eigen bedrijf, immers – en dat de strenge handtekeningeis daarmee van tafel is.

De man krijgt de borgverplichting dus gewoon opgelegd. Had hij enige argumenten ingebracht waarom zijn account gehackt was of internetbankieren overgenomen, dan was dat wellicht anders komen te liggen.

Arnoud