Categorie: Ondernemingsvrijheid

About Ondernemingsvrijheid

Subscribe Feeds

Bunq moet klant die via Google Pay-wallet werd bestolen 5.000 euro vergoeden

Geplaatst op in Ondernemingsvrijheid, Security, 8 reacties
Photo by Mika Baumeister on Unsplash

Bunq moet een klant die het slachtoffer werd van fraude via een aan zijn bankrekening gekoppelde Google Pay-wallet het schadebedrag van 5.000 euro vergoeden. Dat las ik bij Security.nl. Dit omdat ze niet kan laten zien hoe Google Pay bij deze consument ooit überhaupt in gebruik was genomen.

Hoofdregel bij betalingen is dat de bank, en niet de consument, aansprakelijk is voor niet-toegestane betalingstransacties. Dat wordt alleen anders als de bank kan aantonen dat de consument “frauduleus heeft gehandeld of opzettelijk of met grove nalatigheid” (art. 7:529 BW).

De klant hier zag dat er meerdere betalingen met een totaalbedrag van 5.000 euro uitgevoerd waren, waarvoor hij stelde geen toestemming te hebben gegeven. Na onderzoek stelde de bank vast dat het ging om betalingen via Google Pay, en een dergelijke koppeling kan alleen met toestemming zijn gedaan.

Goed, zegt het Kifid, bewijs maar dat die toestemming is gegeven:

Heeft de heer [consument] toestemming gegeven voor de koppeling aan Google Pay? Waar blijkt dat uit? Graag ontvang ik de relevante informatie uit uw administratie, waaruit blijkt met welk apparaat en vanaf welk IP-adres eventuele toestemming is verleend.
Op dat verzoek kwam echter nul reactie, zodat de geschillencommissie concludeert dat er sprake is van een niet-toegestane transactie:
Omdat de bank geen bewijs heeft geleverd van een rechtsgeldige koppeling van de betaalpas aan Google Pay, kan zij ook niet aantonen dat de consument heeft ingestemd met de latere Google Pay-betalingen. Daarom moet de commissie het ervoor houden dat sprake is van niet-toegestane betalingstransacties.
Dan komt dus de vervolgvraag: was hier sprake van fraude, opzet of bewuste roekeloosheid bij de consument? Daar kun je serieuze vragen bij stellen, want het is vrij onlogisch dat een hacker van buitenaf bij iemand Google Pay activeert en er dan mee gaat betalen zonder dat je daar iets van merkt.

Alleen:

Echter, nu de bank niet heeft aangetoond dat de betaalpas is toegevoegd op de overeengekomen wijze, zou het onaanvaardbaar zijn van de consument te verlangen dat hij zulk inzicht geeft.
Dit is het juridisch equivalent van aan de noodrem trekken. Art. 6:248 BW bepaalt dat een regel, wet of afspraak tussen twee partijen niet geldt wanneer “dit in de gegeven omstandigheden naar maatstaven van redelijkheid en billijkheid onaanvaardbaar zou zijn.”

De commissie zegt hier dus: het is onaanvaardbaar dat de consument moet laten zien niet nalatig te zijn geweest als de bank niet eens kan laten zien hoe Google Pay is geactiveerd en vanaf welk apparaat, IP adres en dergelijke.

Arnoud

 

Pakketjes van Chinese webwinkels zijn vanaf woensdag minstens 3 euro duurder

Geplaatst op in Ondernemingsvrijheid, 1 reacties
Photo by CHUTTERSNAP on Unsplash

Nederlanders en Belgen die Chinese pakketjes bestellen, betalen vanaf woensdag 3 euro meer per product of productcategorie. Dat meldde Tweakers. Het betreft een Europese regel uit december, om de toestroom van goedkope pakketjes in Europese landen aan te pakken.

Onder de huidige regels zijn pakketten tot 150 euro vrijgesteld van invoerheffingen (customs duties). Dat gaat nu dus veranderen. Tweakers legt uit:

De gemiddelde waarde van bestellingen in Chinese webshops is 30 euro en dus krijgen veel bestellingen te maken met de heffing. De webwinkel moet het bedrag afdragen aan de douane bij de import van bestellingen. Dat is anders dan bij inklaringskosten, die bestellers afrekenen voordat zij een pakket kunnen ontvangen. De heffing geldt voor alle webwinkels buiten de EU. In totaal gaat bijna 50 procent van alle pakketjes die van buiten de EU de unie binnenkomen naar Nederland of België, terwijl nog geen 7 procent van de inwoners van de EU in Nederland of België wonen.
De gestelde redenen zijn oneerlijke concurrentie, omdat in China zó veel goedkoper geproduceerd wordt. En daar komt dan bij dat men zich ook niet (altijd) aan Europese normen houdt, zodat producten ook gevaarlijk kunnen zijn (denk aan usb-laders die brand kunnen veroorzaken).

Of 3 euro toeslag nou écht de concurrentiepositie verbetert, kun je je afvragen. Het zal in ieder geval zelden een bedrag zijn waardoor een consument denkt “ik ga het wel bij een Europese webwinkel kopen” – als dat al kan, want veel dingen haalt men uit China omdat ze hier niet te verkrijgen zijn.

Op diverse fora is te lezen dat het een kwaadwillend complot is van organisaties zoals EuroCommerce, die vooral lobbyen voor Europees protectionisme. Nou is lobbyen voor je eigen belang inherent aan Europees wettenmaken, dus wat ik hiervan moet vinden weet ik niet.

Een belangrijke tekortkoming van de maatregel is dat ze alleen geldt bij goederen die direct vanuit buiten de EU verzonden worden naar de consument. Grote zakjesschuivers zoals AliExpress hebben magazijnen in de EU en versturen vanuit daar. Die zendingen blijven daarmee buiten schot. Op zich niet erg, want zo is Ali in de EU aan te spreken op bv. overtreding van CE-certificeringsregels.

Arnoud

 

Mag de sportschool eisen dat je een smartphone hebt om 24/7 toegang te krijgen?

Geplaatst op in Ondernemingsvrijheid, Privacy, 11 reacties
Photo by Samuel Girven on Unsplash

Een lezer vroeg me:

Mijn sportschool is onlangs overgestapt op een QR-toegangssysteem, waarbij je alleen via een smartphone-app toegang tot de gym krijgt. Het pasje wat we voorheen gebruikten, werkt niet meer. Mijn sportmaatje maakt geen gebruik van een smartphone en heeft dit ook bij de gym aangegeven. Hun antwoord was dat hij dan alleen nog kan sporten als er personeel is om hem binnen te laten. Maar hij heeft een onbeperkt abonnement waarmee hij in principe 24/7 zou moeten kunnen sporten. Kan dat zomaar?
Bij 24/7 sportscholen wordt de laatste tijd vaak overgestapt van pasjes of tokens naar apps of zelfs biometrie. De reden is simpel: mensen lenen die tokens of pasjes uit aan bekenden, en dan gaan er twee mensen sporten onder één abonnement. Dat kost geld, dus daar moet wat tegen gedaan.

Biometrie is een discutabele optie, maar deze sportschool kiest voor een persoonsgebonden app. Logisch, want iedereen die sport heeft z’n telefoon bij zich. En een app kun je niet uitlenen. (Nou ja, mijn lezers wel en ik heb geen idee of hier een Trusted Execution Environment achter zit of dat ze vertrouwen op security theatre.)

Inderdaad gaat dat mis als je geen smartphone hebt waar zo’n app op kan. Dan komen we bij de vraag wat er contractueel gebeurt als is gezegd “24/7 sporten” en dan blijkt dat dat alleen kan als je een smartphoneapp gebruikt. Vrijwel zeker stond daar niets over in de algemene voorwaarden, en dan kom je uit bij wat juristen de redelijkheid en billijkheid noemen.

Argumenten waarom dat redelijk is, komen allemaal neer op “pasjes worden uitgeleend” en “kom nou, iedereen heeft een smartphone”. Argumenten waarom het niet redelijk is, zijn even zo cynisch plat te slaan tot “niet iedereen kán of wíl een smartphone gebruiken, en dat is hun goed recht”. Beide kanten hebben een punt, en dus wordt het een weging.

Die weging is minder eenduidig dan je zou denken, en ik denk dat de sportschool hier het sterkere verhaal heeft. Ja, je legt een extra voorwaarde op, maar het alternatief is dat je voor een handvol leden een compleet parallel toegangssysteem in de lucht houdt. Dat kost structureel geld: hardware, onderhoud, een tweede aanvalsoppervlak om te beveiligen, en de administratieve rompslomp van twee systemen naast elkaar. Dat is geen redelijke last om op te leggen aan een ondernemer die juist probeert te moderniseren en fraude tegen te gaan.

Wat de sportschool wél zou moeten doen is netjes communiceren en een fatsoenlijke overgangstermijn bieden. Als het sportmaatje een jaarabonnement heeft afgesloten onder de oude voorwaarden, dan mag hij verwachten dat hij tot het einde van die termijn op een werkbare manier naar binnen kan.

Arnoud

Mag je werkgever eisen dat je op je Linkedin je werkelijke functietitel vermeldt?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 10 reacties
Photo by Souvik Banerjee on Unsplash

“Zoals vorige week verzocht aan je dien je je linkedin profiel aan te passen, je doet hier geen pr en marketing meer om jou wel bekende redenen. Graag vandaag uitvoeren!!!” Nee, zou ik ook van opkijken. De zin komt uit een wat oudere ontslagzaak, maar het onderwerp blijft actueel.

De werknemer werkte in de functie van accountmanager New Business (hunter) voor onbepaalde tijd. Daarna werd zijn titel “(Online) Sales, Marketing & PR consultant”, en dat werd een jaar later teruggedraaid. Met wederzijdse instemming, al werd het daarna ongezellig en werd gestreefd naar een functie elders.

Daarbij was het Linkedinprofiel van de werknemer kennelijk opgepoetst, want daarin stond nog die ene titel:

In zijn LinkedInprofiel had [verzoeker] nog als functie staan “Sales, Marketing & PR consultant en in de onder zijn profielfoto en naam geplaatste kopregel “Marketing & -PR”.
Daar kwamen vanuit management diverse mails over, met als culminatie deze:
“Ik geef je mee dat [B] bepaald niet blij met het feit dat jij ondanks herhaalde verzoeken weigert om jouw Social Media uitingen aan te passen aan de huidige status quo, waarin jij niet langer PR en Marketing doet voor [verweerder] . Ik wijs je erop dat een (herhaalde) weigering om aan redelijke instructie te voldoen zelfs kan leiden tot een onmiddellijke beëindiging van je dienstverband. Ik adviseer je echt dringend om dit punt je hand niet te overspelen.”
De werknemer werkte niet mee, waarop de instructie werd geëscaleerd tot dienstbevel. En omdat ook dáár geen gevolg aan werd gegeven, volgde ontslag op staande voet. Man.

Bij de werknemerskant krijg ik ook jeuk gezien deze reactie:

Hij stelt hiertoe dat hij op vrijdag 13 oktober 2017 heeft voldaan aan de sommatie van [verweerder] om in zijn LinkedInprofiel zijn functietitel aan te passen. [verweerder] heeft hem niet verzocht om ook de koptekst aan te passen. Deze koptekst is een vrij veld en geen functiebeschrijving.
Daar maakt de rechter terecht gehakt van:
De kantonrechter stelt vast dat uit de hiervoor onder de feiten geciteerde e-mails blijkt dat [verweerder] [verzoeker] op 21 september 2017 heeft verzocht om zijn functie aan te passen bij zijn profiel, op 26 september 2017 om zijn LinkedInprofiel aan te passen en op 3 oktober 2017 om zijn Social Media uitingen aan te passen aan zijn huidige functie. Die verzoeken zijn nadien nog herhaald. Voor zover [verzoeker] na ontvangst van de e-mail van 21 september 2017 in de veronderstelling verkeerde dat hij slechts zijn functienaam diende te wijzigen, had het hem in ieder geval na ontvangst van de e-mails van 26 september 2017 en 3 oktober 2017 duidelijk moeten zijn dat het verzoek van [verweerder] niet enkel zag op het wijzigen van de functienaam maar ook op het wijzigen van de kopregel. De kopregel is immers een belangrijk onderdeel van een LinkedInprofiel en staat direct onder de profielfoto en de naam.
De uitkomst is dan ook weinig verbazingwekkend: het ontslag op staande voet mocht gewoon, gezien deze aanloop en niet meewerken aan de uiteindelijke sommatie. Uiteindelijk ging het ook om een feitelijke aanduiding, waar de schaarse jurisprudentie al eerder duidelijk over was.

Arnoud

 

Blijft je geheimhouding bij responsible disclosure bestaan als een AI-tool de kwetsbaarheid kan vinden?

Geplaatst op in Ondernemingsvrijheid, Security, Uitingsvrijheid, 8 reacties
Photo by Sasun Bughdaryan on Unsplash

Een lezer vroeg me:

Tal van websites en softwarebedrijven hebben regels opgesteld voor responsible disclosure of coordinated vulnerability disclosure. Een eis die je daarbij vaak ziet, is dat je een gevonden kwetsbaarheid geheim moet houden totdat er nadere afspraken over publicatie zijn gemaakt. Meestal ook pas nadat er een update beschikbaar is. Maar stel dat je een AI-tool gebruikt om de kwetsbaarheid te vinden, geldt zo’n geheimhoudingsplicht dan nog steeds?
Responsible disclosure of coordinated vulnerability disclosure zijn bedoeld om een praktisch midden te vinden tussen enerzijds het in stilte kunnen oplossen van fouten en anderzijds het creëren van druk om die fouten ook écht opgelost te krijgen. Geheimhouding is daarbij een noodzakelijk kwaad, maar dat moet tijdelijk zijn: de deadline van publicatie is wat de organisatie dwingt om vaart te maken met het oplossen.

(RD of CVD beleid dat geheimhouding laat lopen tot de organisatie het zegt, is dus die naam niet waard. Ik zou het juridisch onrechtmatige misleiding noemen.)

Vanuit algemene principes van redelijkheid en billijkheid (art. 6:248 BW) kan een partij niet aan geheimhouding worden gehouden als het feit al publiek is. Het zou immers bizar zijn als je over een bug in detail kunt lezen in de media, terwijl jij precies diezelfde kennis geheim moet houden. Ik zeg dit wel met een voorbehoud: de publieke informatie moet wel overeen stemmen met jouw geheime kennis. Algemene uitspraken dat er een bug van die categorie is gevonden in die tool, ontslaat je dus niet van je geheimhouding over waar die bug precies zit. Ook blijft geheimhouding gelden op punten zoals wanneer jij hem ontdekte, wat de organisatie toen zei enzovoorts.

AI-tools worden massaal gebruikt om kwetsbaarheden te vinden in allerlei software. Handig voor de onderzoeker, al is niet iedere organisatie blij met slop-rapporten waarmee men snel een bug bounty hoopt te scoren. Maar het gegeven “de kwetsbaarheid werd door een AI tool gevonden” is bij lange na niet hetzelfde als “de kwetsbaarheid is openbaar”. Natuurlijk, een ander kan die tool ook gebruiken en ook die kwetsbaarheid vinden. Maar bij geheimhouding moet jij bewijzen dát dat is gebeurd en bovendien dat die ander de kwetsbaarheid openbaar heeft gemaakt.

Ook het feit van algemene bekendheid dat de ontwikkelaars van die tools ingevoerde data gebruiken voor hertraining en andere schimmige doeleinden, betekent niet dat jouw bug report ineens openbaar wordt. Je bewijs moet echt concreet zijn. Laat maar zien wanneer die ingevoerde data ook daadwerkelijk in output terecht gekomen is en vervolgens publiekelijk bekend werd.

Arnoud

Als het 2G netwerk wegvalt, komt mijn auto niet meer door de APK, is dat niet raar?

Geplaatst op in Innovatie, Ondernemingsvrijheid, 33 reacties
Photo by Anastasiia Krutota on Unsplash

Een lezer vroeg me:

Nog steeds rij ik met veel plezier in mijn Volvo uit 2007. Alleen ontdekte ik vorige week dat het eCall systeem uitgeschakeld werd door Volvo, vanwege de aanstaande uitfasering van 2G/3G eind 2027. Dat is een probleem want ik moet bijna weer mijn APK doen, en die vereist een werkend eCall-systeem. Heeft Volvo zo mijn auto waardeloos gemaakt?
Het 2G netwerk voor mobiele telefonie is alweer uit 1994, en geldt anno 2026 als traag, onveilig en inefficiënt. Vandaar dat providers langzaam maar zeker deze technologie uitfaseren.

Sinds 2018 is het systeem eCall verplicht. Hiermee kunnen hulpdiensten automatisch worden ingeschakeld bij een ongeval door automatisch 112 te bellen. Daarbij is vaak gekozen voor 2G/3G verbinding, omdat dat it toen de meest betrouwbare en dekkende mobiele standaard in Europa was. Je hoeft alleen maar een spraakoproep naar 112 te kunnen doen, immers.

Als 2G/3G uit de lucht gaat, dan kunnen auto’s met dat oudere type modem dus niet meer een eCall-telefoontje plegen. En dat is een probleem met de APK. In artikel 5.2.71 lid 6 van het RDW APK Handboek staat:

Het eCall-boordsysteem van personenauto’s moet deugdelijk zijn geïnstalleerd en geconfigureerd en goed werken.
Wanneer de auto bij aanzetten een melding geeft dat eCall uit staat of niet werkt, leidt dat tot afkeuring. De regels kennen geen ruimte voor overmacht zoals wanneer de telecomprovider eCall onbruikbaar maakt.

De enige echte oplossing lijkt het vervangen van de eCall-module door een variant die werkt op 4G of 5G.

In de praktijk is dat echter allesbehalve eenvoudig, het behelst meer dan een software-update. De hardware dient vervangen te worden, wat kostbaar is en tijdrovend. Dit kan leiden tot een grotere druk op de capaciteit van werkplaatsen. Belangrijkste vraag: wie gaat dit betalen?
In mei meldde minister Karremans (infrastructuur) dat wordt gewerkt aan een gedoogconstructie, maar hoe die er uit moet zien is nog onduidelijk. Wat extra tijd is zeker haalbaar, maar dan moet iedereen dus alsnog naar de garage. Een herdefinitie van eCall naar “eCall die werkt met 3G/4G” in de APK regels lijkt me de enige optie.

Arnoud

Heb je het recht een door bedrijf opgenomen telefoongesprek te ontvangen ?

Geplaatst op in Ondernemingsvrijheid, Privacy, 4 reacties
Photo by Craig Pattenaude on Unsplash

Via Reddit:

Zo ongeveer elke klantenservice heeft een bandje waarin ze aangeven het gesprek op te nemen voor ‘training en kwaliteitsdoeleinden’ en in sommige gevallen wordt zelfs benoemd dat ze het gebruiken om afspraken terug te luisteren. Heb je als consument aan de andere kant van de lijn ook het recht de opname van dit gesprek zelf te ontvangen of ‘in te zien’ achteraf?
De achtergrond van de vraag is willen kunnen aantonen dat er een telefonische toezegging is gedaan. Dat zou een rekening van €800 ongeldig verklaren en een conflict helpen oplossen.

Ik zie al drie FG’s aan de zijlijn “inzagerecht” scanderen, want dat is precies ingevoerd voor dit soort redenen. Je hebt het recht op inzage om te verifiëren of je persoonsgegevens juist zijn vastgelegd, nog actueel zijn en dat soort zaken. Alleen als je weet wat er vastligt, kun je fouten daarin corrigeren.

In Nederland is dit al in 2007 bevestigd in de Dexia-uitspraak van de Hoge Raad. Weliswaar ging die over de Wbp, maar dat inzagerecht is materieel gelijk aan dat uit de AVG nu. De kosten om dat te faciliteren, werden als niet-relevant terzijde geveegd. Een transcriptie afdwingen kan dan weer niet; als er alleen een geluidsbestand is, dan is dat dus wat je krijgt.

De wederpartij in deze casus zegt nu dat de opname er niet is. Dat zou kunnen, en dan houdt het op. Meer dan frustrerend kan ik dat niet noemen.

In de comments las ik nog een ander argument: de privacy van de medewerker komt in het gedrang als je ook diens deel van het gesprek overhandigt. In AVG-termen, artikel 15 lid 4, de opname overhandigen doet “afbreuk aan de rechten en vrijheden van anderen.”

Specifiek bij een klantenservicemedewerker die een zakelijk gesprek voert met een klant, vind ik dat een té gezocht argument. Dit is geen absoluut recht, maar een afweging: hoe ernstig is die privacy van de werknemer in het geding, en hoe weegt dat af tegen het recht op inzage. Overweging 63 AVG zegt immers “Die overwegingen mogen echter niet ertoe leiden dat de betrokkene alle informatie wordt onthouden.”

Wegbliepen van de naam van de medewerker, en voor mijn part eventuele persoonlijke ontboezemingen, maar daar houdt het dan ook echt op.

Arnoud

Britse kinderen onder de 16 jaar mogen vanaf 2027 niet meer op sociale media

Geplaatst op in Ondernemingsvrijheid, Regulering, 15 reacties
Peggy_Marco / Pixabay

Het Verenigd Koninkrijk komt met een verbod op sociale media voor kinderen onder de zestien jaar. Dat meldde Nu.nl vorige week. Voor de duidelijkheid: dit is een wetsvoorstel, dat de minister-president “hopelijk voor Kerstmis” aangenomen wil krijgen, waarna het dan voorjaar 2027 in werking moet treden.

Het persbericht verduidelijkt:

The government plans to use the same model for a social media ban as Australia. This would capture user-to-user platforms, whose purpose is to enable social interaction and?which allow users to post material, alongside algorithms. The ban will therefore include platforms like Snapchat, TikTok, YouTube, Instagram, Facebook and X. We do not intend for messaging services like WhatsApp and Signal to be included in the social media ban.
Hij verwijst naar de Australische Online Safety Amendment (Social Media Minimum Age) Act 2024 die op 10 december 2024 van kracht werd. Die definiëren “social media” als volgt:
  1. the sole purpose, or a significant purpose, of the service is to enable online social interaction between 2 or more end?users;
  2. the service allows end?users to link to, or interact with, some or all of the other end?users; en
  3. the service allows end?users to post material on the service.
Het gaat om drie cumulatieve criteria: dus én je hoofddoel is sociale shizzle, én je kunt connecten met anderen, én je kunt zelf dingen plaatsen. Een nadere regel voegt toe dat het platform ook een recommender en/of een loginfeature moet hebben. (Daarnaast kan er een lijst worden gemaakt waar partijen keihard “social media” verklaard kunnen worden.)

Volgens de toezichthouder omvat dit alle bekende spelers, hoewel ze er gelijk bij zeggen dat opname in hun overzicht niet impliceert dat die partijen het er mee eens zijn.

De Britten geven aan deze definitie te willen volgen, want die lijkt prima te werken. De hamvraag is natuurlijk: hoe handhaaf je dat, oftewel welke maatregelen leg je op om leeftijdsverificatie te doen. In Australië mogen partijen dat zelf bepalen, en kopietje paspoort is populair naast diensten zoals bankrekening-gebaseerde verificatie. Wat dan weer niet mag, is eisen dat de Australische DigiD wordt gebruikt.

De resultaten in Australië vallen tegen: 78 procent van de jongeren onder de zestien jaar heeft nog steeds toegang tot sociale media, en 41 procent weet de nieuwe regels te omzeilen. Belangrijk probleem lijkt te zijn dat de handhaving grotendeels bij de ouders ligt, en u kent mijn mening over die gemakzuchtige ontkenning van een maatschappelijk probleem. Ik citeer even uit dat gelinkte artikel:

Het Nederlands Jeugdinstituut vindt dat een verbod wel een optie is, maar niet zonder aanvullende maatregelen. “We moeten niet alleen ouders en scholen betrekken, maar er moet vooral iets in de platforms veranderen”, zegt expert Vivian den Blanken. “Zolang de verslavende werking blijft en er extreme content wordt geplaatst, is een verbod onvoldoende.”
Een totaalverbod, aangenomen dat het handhaafbaar is, heeft vooral als effect dat een jongere in het geheel niets meer doet met die social media. Word je dan 16, dan krijg je het geheel en ongefilterd om je heen. En dát werkt niet.

Nee, dat is niet hetzelfde zoals bij alcohol, waarbij je ook tot 18 geen druppel mag en dan ineens los met bier. Als je nou op elke straathoek onbeperkt gratis bier kreeg en onze levens draaiden om “welk bier hijst Wim vanavond”, dan misschien. Social media is alomtegenwoordig en verweven met zo veel aspecten van de maatschappij, en dat maakt het zo lastig aan te pakken.

Arnoud

 

 

Hof van Justitie: Algoritmische invloed op contentpresentatie maakt dat je er aansprakelijk voor wordt

Geplaatst op in Ondernemingsvrijheid, Regulering, 9 reacties
Photo by ?????? ????? on Unsplash

Wie met een algoritme bepaalt onder welke voorwaarden, op welke wijze en in welke volgorde van prioriteit andermans content wordt verspreid, kan zich niet achter de bescherming van hosters verschuilen. Dat bepaalde het Hof van Justitie afgelopen dinsdag (zaak C-188/24). Een aardverschuiving in het aansprakelijkheidsrecht?

Het Hof kwam tot deze uitspraak in twee gevoegde zaken uit Frankrijk. De een ging over een pornosite die te weinig deed om minderjarigen te weren, de ander over een radarcontrole-waarschuwingsdienst. Dat lijkt weinig met elkaar gemeen te hebben, behalve dat beiden platforms waren waar gebruikers content plaatsten, en beiden stelden dat de Franse overheid ze dwong tot een algemene controleplicht. Dat is in strijd met artikel 15 van de E-commercerichtlijn (en nu artikel 8 DSA).

Uit de vraag maakt het Hof op dat de Franse rechter mede wil weten of deze partijen onder de beperking van aansprakelijkheid voor hosters valt (artikel 14 richtlijn). Daarvoor geldt namelijk dat je geen controle of invloed over de content moet uitoefenen. Het klassieke voorbeeld is voorafgaande moderatie – dan kies je wat er op je site mag komen. Idem voor de foto van de dag die je op de homepage zet.

Zo handmatig gebeurt het al lang niet meer. De meeste platforms werken met een omgekeerd-chronologische feed en/of thematische categorieën. Dat is volgens de standaardjurisprudentie geen probleem (Google/Vuitton), zolang je maar geen dingen doet waarmee je inhoudelijke kennis of controle over de content krijgt (Youtube/Cyando).

In die zaken ging dat goed (voor het platform), omdat die alleen keken naar metadata van de content. Bij deze platforms was er meer inhoudelijke bemoeienis, hoewel puur algoritmisch. Maar door dat algoritme kon de aanbieder zelf bepalen

onder welke voorwaarden, op welke wijze en in welke prioriteitsvolgorde deze informatie wel of niet wordt verspreid, [zodat] de exploitant zeggenschap over die informatie uitoefent (…).
Met name woog daarin zwaar dat de exploitant in haar eigen belang handelde. Dit in tegenstelling tot enkel het belang van de uploader, denk aan een virusscan.

Voor mij is dat “prioriteitsvolgorde” de kern: je bepaalt dan niet alleen waar de content moet staan, maar ook of de content überhaupt in beeld komt. Bij een omgekeerd-chronologische feed kom je alles tegen als je lang genoeg scrollt, maar dat is zeker niet zo bij een “Relevant voor jou”-feed.

Dan is die feed dus een “foto van de dag” (de seconde?) selectie van de redactie. Dat je dat uitbesteedt aan een algoritme, is daarbij irrelevant.

Het Hof formuleert alleen de regels, het is aan de nationale (hier dus Franse) rechter om te bepalen of die platforms er aan voldoen. Maar dit is wel een sterke voorzet dát dit het geval gaat zijn.

Betekent dit nu dat íeder platform met een recommender zijn beperking van aansprakelijkheid kwijtraakt? Een strakke lezing zegt van wel: je gebruikt een algoritme, en dat zegt hoe en in welke prioriteit content wordt getoond. En intuïtief is dat ook passend: je bént geen neutraal doorgeefluik als je zelf rangschikt wat het beste/mooiste/interessantste is.

Dat wil tegelijkertijd niet zeggen dat je automatisch mag betalen als er iets onrechtmatigs op je site staat. Een platform met duidelijke regels en actieve moderatie handelt niet onrechtmatig door af en toe per abuis iets door te laten dat tegen de wet is.

Arnoud

 

Duitse rechter: Google is verantwoordelijk voor onjuiste claims van AI Overviews

Geplaatst op in Ondernemingsvrijheid, 8 reacties
Photo by Wolfgang Vrede on Unsplash

Google is verantwoordelijk voor de inhoud van AI Overviews, aldus Tweakers vorige week. Het Landgericht München bepaalde dat het advertentiebedrijf zich niet kan verschuilen achter disclaimers, omdat AI Overviews eigen content zijn en niet andermans zoekresultaten.

Bij The Decoder leggen ze uit:

De AI-analyses van Google hadden twee uitgeverijen ten onrechte in verband gebracht met oplichting, abonnementsvalstrikken en dubieuze zakelijke praktijken bij bepaalde zoekopdrachten. Volgens de rechtbank vermengde de AI informatie over andere, daadwerkelijk dubieuze bedrijven met die van de eisers en legde verbanden die in geen van de gelinkte bronnen voorkwamen. De uitgevers stuurden Google een sommatiebrief, maar Google reageerde niet adequaat.
Googles verweer bij de rechter was niet verrassend: wij zijn niet aansprakelijk want alles is third-party content, wij knopen het aan elkaar en streven naar een prettige gebruikservaring. En daar is genoeg jurisprudentie over, inclusief smadelijke teksten in de snippets die op de resultatenpagina worden getoond.

Een AI Overview is alleen niet hetzelfde als een snippet. Daarvan kun je nog zeggen “dat komt zo uit de bron en dat kun je niet controleren”. Die overviews maak je zelf. Weliswaar op basis van die snippets, maar daarmee maak je het tot een eigen uiting. Uit het vonnis:

Dit begint met de inleidende bevestiging van de zoekopdracht (“Ja, Verlagshaus24 (GeraMont Verlag) staat bekend om dubieuze handelspraktijken…” of “Ja, er zijn aanwijzingen voor frauduleuze praktijken en dubieuze praktijken in verband met de uitgeverij – Verlagshaus24…”), wat qua taalgebruik al verder gaat dan de loutere presentatie van de links. Het vervolgt met de onafhankelijke thematische structurering van het antwoord, die niet wordt weergegeven of opgenomen in de daaropvolgende resultaten van websites van derden. Deze structuur bestaat uit een inleidende samenvatting, gevolgd door een overzicht van de “Kenmerken van de vermeende fraude” / “Typische fraudegevallen”, en een daaropvolgende aanbeveling voor actie onder “Wat u kunt doen” / “Wat u zou moeten doen”.

Dit alles toont een onafhankelijke, op inhoud gebaseerde verwerking van de zoekresultaten door de door de gedaagde aangeboden en in de zoekopdracht gebruikte AI aan. Op deze manier creëert de gedaagde onafhankelijke verklaringen die verder gaan dan de individuele zoekresultaten die later via links worden weergegeven. Aangezien de gedaagde zelf de kunstmatige intelligentie heeft geïntroduceerd en deze aan gebruikers aanbiedt, moet zij ook verantwoordelijk worden gehouden voor de resultaten, omdat alleen zij invloed heeft op het aanbod van de AI en de algoritmen waarmee de AI werkt.

Het helpt dan al helemaal niet als de AI zelf nog beschuldigingen erbij verzint:
Bovenal bevat het “overzicht met AI” echter verklaringen die helemaal niet in de zoekresultaten voorkomen. Geen van de verstrekte links legt een verband tussen de eisers en een “[niet gespecificeerde entiteit]” of beweert dat er sprake is van frequente naamswijzigingen tussen “[niet gespecificeerde entiteit]”. Dit zijn verklaringen van de beklaagde zelf en gaan dus verder dan de loutere presentatie van de zoekresultaten.
Maar ook zonder dat laatste kun je Google dus wel degelijk aanspreken op het gegeven dat er onwaarheden in die samenvattingen staan, aangenomen dat jij daar schade door lijdt.

Google mág zich verweren door bijvoorbeeld te laten zien dat “iedereen” dat zegt, of dat ze redelijkerwijs mochten vertrouwen op de juistheid. Maar dat vergt een inhoudelijke analyse, die verder moet gaan dan enkel “dit stond op pagina X”.

Arnoud