Categorie: Regulering

About Regulering

Subscribe Feeds

DeGiro mocht elektronische handtekening klant wegens foutmelding weigeren

Geplaatst op in Ondernemingsvrijheid, Regulering, 14 reacties

DeGiro mocht een elektronische handtekening van een klant wegens een foutmelding over de geldigheid weigeren, las ik bij Security.nl. De klant had het beleggingsplatform de opdracht  gegeven om zijn beleggingen naar een andere broker over te boeken. Alleen werd deze afgewezen omdat er wat mis zou zijn met de elektronische handtekening. Tijd om hier eens in te duiken, want de term EIDAS doet nog steeds sommigen duizelen.

De uitspraak (van het Kifid) gaat over de vraag of een instelling verplicht is om een gekwalificeerde elektronische handtekening te accepteren. Dat ging hier mis, want de handtekening vereiste een certificaat van een instantie die niet in de lijst bij het Kifid stond (klik voor groot):

De handtekening was dus wel gezet conform de eisen van de zogeheten gekwalificeerde handtekening. De EIDAS Verordening regelt dit onderwerp en benoemt drie soorten elektronische handtekening:

  1. de gewone elektronische handtekening, zeg maar een plaatje van een krabbel;
  2. de geavanceerde elektronische handtekening, het enorme verhaal met grote priemgetallen en certificaten waar de naam in staat die erbij zou horen;
  3. de gekwalificeerde elektronische handtekening, de geavanceerde maar dan is dat certificaat met de naam uitgegeven door een onafhankelijke instantie die instaat voor de juistheid.
De EIDAS Verordening hanteert als hoofdregel dat:
Het rechtsgevolg van een elektronische handtekening en de toelaatbaarheid ervan als bewijsmiddel in gerechtelijke procedures mogen niet worden ontkend louter op grond van het feit dat de handtekening elektronisch is of niet aan de eisen voor gekwalificeerde elektronische handtekeningen voldoet.
“Dit is elektronisch en dus niet rechtsgeldig” of “een van de regels over gekwalificeerde handtekeningen is niet gevolgd” is dus geen argument. Je hebt meer nodig, zoals een concreet vermoeden dat de handtekening nep is of een technische fout waardoor de validatie ter discussie komt te staan.

Je hóeft dus niet alle moeite te nemen die bij de gekwalificeerde handtekening hoort. Daar staat tegenover dat je dan een sterker argument hebt: bij deze categorie is nadrukkelijk in de wet vermeld dat deze dient te worden behandeld net zoals de ouderwetse, natte handtekening.

Het gevolg is dat je als organisatie dus niet zomaar mag weigeren een gekwalificeerde handtekening te accepteren:

In artikel 25 lid 1 van de eIDAS-Verordening is bepaald dat het rechtsgevolg van een elektronische handtekening niet mag worden ontkend louter op grond van het feit dat de handtekening elektronisch is. Meer specifiek voor de gekwalificeerde elektronische handtekening is in artikel 25 lid 2 bepaald dat dit type handtekening hetzelfde rechtsgevolg heeft als een handgeschreven handtekening. [Oftewel deze heeft] altijd hetzelfde rechtsgevolg als een handgeschreven handtekening.
Je mag als private partij dit rechtsgevolg niet wegnemen door in je algemene voorwaarden te zeggen “alleen natte handtekeningen”. Dat is wel een interessant precedent dat het Kifid hier schept, want het opent de route tot vele digitale formulieren.

Voor deze specifieke consument ging het echter toch mis, vanwege die foutmelding.

Bij dupliek heeft DeGiro namelijk aangegeven dat zij een foutmelding kreeg (“signature validity is unknown”) bij het openen van de elektronische handtekening van de consument. DeGiro heeft dit onderbouwd door een afbeelding van deze foutmelding over te leggen (zie 2.4). De consument is in de gelegenheid gesteld om hierop in te gaan. Uit de gegevens die hij vervolgens heeft ingebracht, blijkt dat zijn handtekening van 22 oktober 2022 valide was (“la firma es válida”). Waarom de validiteit van de handtekening door DeGiro toch niet kon worden vastgesteld (en of de oorzaak hiervan bij de consument en/of bij DeGiro ligt), is in deze klachtprocedure niet duidelijk geworden. Wat wel duidelijk is, is dát de validiteit van de handtekening niet door DeGiro kon worden vastgesteld.
Dit voelt wel een beetje makkelijk. Weliswaar regelt de EIDAS niet hoe je om moet gaan met een niet-validerende handtekening, maar het systeem van de gekwalificeerde elektronische handtekening is opgezet zodat dit eigenlijk niet zou moeten gebeuren. De EU heeft een uitgebreid overzicht van vertrouwde leveranciers van certificaten. Als de uitgevende instantie van de klant daar op staat, dan zie ik niet waarom de foutmelding bij DeGiro consequenties voor de consument moet hebben.

Eerlijk gezegd doet het me wat knullig aan: het voelt niet of DeGiro een systeem heeft voor het verwerken van elektronische handtekeningen, maar gewoon het knopje in Adobe aanklikte en toen hijdoetutniet zei.

Arnoud

Mag mijn werkgever Track&Trace toepassen in mijn nieuwe leaseauto?

Geplaatst op in Ondernemingsvrijheid, Privacy, Regulering, 11 reacties

Via Reddit:

Sinds vandaag een nieuwe lease auto in ontvangst mogen nemen. Ik werd echter verrast door het feit dat er track and trace is ingebouwd. De reden welke door het bedrijf wordt gegeven is dit door de belastingdienst is geeist. Ik betaal echter volledige bijtelling voor privégebruik. Onze wagenpark beheerder kan mijn locatie nu 24/7 volgen en bekijken. [Mag dat?]
Om even eruit te lichten wat ik vaker in de mail kreeg: nee, de Belastingdienst eist niet dat leaseauto’s voorzien worden van een track&trace systeem voor rittenregistratie. Men eist wél dat er een sluitende kilometerregistratie wordt bijgehouden bij zakelijke auto’s, om zo te bewijzen dat deze voor minder dan 500 kilometer per jaar privé wordt gebruikt.

Als je meer dan dat privé rijdt, dan krijg je te maken met een fiscale bijtelling en dat kan van invloed zijn op je loon. Maar aan de andere kant ben je dan juist niet verplicht een rittenregistratie bij te houden; je erkent immers al meer dan de grens privé te rijden en je aanvaardt de bijtelling.

Het probleem is: bij een grotere werkgever controleert de Belastingdienst steekproefsgewijs op privékilometers. Zoals in de discussie gemeld:

Grote werkgevers worden daar op gecontroleerd, vaak steeksproefsgewijs, en als daar fouten in worden aangetroffen wordt dat geëxtrapoleerd naar het totale wagenpark en kan dat leiden tot zeer hoge boetes. Ik heb bij een grote werkgever hier een boete van meer dan € 1 miljoen in de bus zien vallen. Voor zo’n grote werkgever is het dan handig T&T in te bouwen.
En dat inbouwen doe je dan in alle auto’s, want dat is dan een eenmalige ingreep die het minste gedoe geeft. Dat botst (haha) natuurlijk met de positie van deze werknemer, die immers geen rittenregistratie nodig heeft maar die nu wel over zich heen krijgt.

De vraagsteller maakt zich zorgen over de registratie van privéritten, waardoor de werkgever te weten zou komen waar hij privé allemaal heen gaat. Dat zou echter geen issue moeten zijn: dergelijke trackers registreren het aantal gereden kilometers en het moment waarop, niet de start- en eindlocatie van de rit.

Verder hebben deze systemen altijd een mechanisme waarmee je kunt aangeven dat je rit privé is. Er wordt dan niets bijgehouden. De werkgever moet dit soort zaken actief toelichten, inclusief hoe dat werkt en wat er in welke configuratie wordt bijgehouden.

Ook heeft de Ondernemingsraad instemmingsrecht bij een dergelijke regeling, dus je kunt ook daar navragen hoe er over privacy en gebruik van persoonsgegevens is nagedacht.

Arnoud

Standaard kopietje paspoort vragen bij inzageverzoeken mag dus écht niet van de AVG

Geplaatst op in Privacy, Regulering, 12 reacties

DPG hanteerde een te rigide procedure voor het identificeren van betrokkenen, waarmee op voorhand in ieder geval een onnodige belemmering werd opgeworpen. Zo motiveerde de rechtbank Amsterdam haar oordeel om een besluit van de AP in stand te laten, alleen dan minus de opgelegde boete. De rigide procedure: iedereen moet kopietje paspoort opsturen bij AVG-vragen.

Waarom moet ik elke keer een kopietje paspoort opsturen als ik onder de AVG wat vraag, zo vroeg ik mezelf retorisch af in 2019 alweer. Mijn cynische opvatting was dat dit bedoeld was om vragen een beetje in te dammen: het is gedoe, mensen maken zich zorgen over hun paspoort, dus laat maar met dat inzage- of correctieverzoek.

Meer juridisch is het argument dat het nergens op slaat: je krijgt een mail van carl@example.com en een kopie paspoort van iemand die Carl Barks heet, leg mij eens uit hoe nu vaststaat dat de aanvraag van de heer Barks (lidnummer 176-616) afkomstig is? Een paspoort toont alleen wat aan als de houder er naast staat, volgens mij.

Natuurlijk mag je niet om extra legitimatie vragen bij een online account, zo concludeerden ze in Oostenrijk al in 2019. Maar ook onze AP bleek er toen al bovenop te zitten: uitgeverij DPG kreeg al in 2019 een boze mail van de toezichthouder over deze procedure. Na enige mailwisseling maakte de AP een rapport:

Op 7 oktober 2021 heeft verweerder het ‘Onderzoeksrapport inzake het opvragen van een kopie ID bij verzoeken om inzage of verwijdering bij DPG Media Magazines B.V., voorheen Sanoma Media Netherlands B.V.’ van 29 september 2021 aan DPG gezonden. In dat rapport heeft verweerder geconcludeerd dat DPG met haar beleid en het actief uitdragen ervan het recht op inzage en wissing belemmerde en daarmee onnodige drempels opwierp voor het inzetten van deze rechten.
Inderdaad, dat was in 2021 en ik weet ook niet waarom een rapport dat je in 2019 start, pas in 2021 af kan zijn. In januari 2022 volgde het definitieve besluit: dit mag niet, onnodige drempels, boete.

De rechtbank vindt die boete niet gepast gezien dit langdurige traject en het feit dat in 2019 de AVG nog best nieuw was (want die tekst was pas in 2016 bekend en leek totáál niet op de wet daarvoor, och hemeltje). Maar de onderliggende motivatie blijft overeind:

DPG hanteerde naar het oordeel van de rechtbank een te rigide procedure voor het identificeren van verzoekers, waarmee op voorhand in ieder geval voor een deel van de verzoeken een onnodige belemmering werd opgeworpen. Gebleken is dat er in de praktijk wel meer ruimte bestond wanneer verzoekers na het doen van het verzoek ertoe over gingen te klagen dat zij een kopie van hun identiteitsbewijs moesten verstrekken. Naar het oordeel van de rechtbank is dat echter te laat. DPG had zijn proces zo kunnen en moeten inrichten dat er in een eerder stadium meer ruimte was om rekening te houden met alle relevante omstandigheden, waaronder de aard van het verzoek en de informatie waarom wordt gevraagd.
Ik vind het dan een beetje jammer dat de rechtbank opent met dat “een kopie van een identiteitsbewijs op zichzelf geen onredelijk middel is om een persoon te identificeren”. Dat is natuurlijk zo, maar in de situaties waarin het gros van de mensen AVG-rechten uitoefent, is het gewoon een onlogisch middel. De uitspraken waar men zich op baseert, zijn dan ook nog eens bestuursrecht – in de relatie burger/overheid vind ik standaard je ID-kaart trekken inderdaad wel redelijk, maar bij burger/bedrijf is dat heel wat anders.

Ik kan me dan niet aan de indruk onttrekken dat de rechters (of de Raad van State, waar de rechtbank op vaart) minder vaak online verzoeken doen en gewend zijn dat mensen zich ter balie vervoegen om zich daar adequaat te identificeren alvorens een verzoek hen betreffende in te dienen.

Arnoud

 

 

Nederland mag verdachte achter wereldwijde malware-operatie aan VS uitleveren

Geplaatst op in Informatiemaatschappij, Regulering, 5 reacties

Nederland mag een Oekraïense man die een sleutelrol zou hebben gespeeld bij de ontwikkeling en verspreiding van de Raccoon Infostealer uitleveren aan de Verenigde Staten. Dat las ik bij Security.nl. Ik licht de zaak er even uit omdat het vaker discussie geeft bij ict- en cybercrimezaken. Wanneer kun je nou worden uitgeleverd en hoe toetst de Nederlandse rechter dat?

De Raccoon Infostealer steelt wachtwoorden en gegevens voor internetbankieren en cryptowallets en zou volgens de VS miljoenen computers wereldwijd hebben besmet. De verdachte werd door de FBI opgespoord maar bleek in Oekraïne te zijn. Na de Russische inval vluchtte hij via Polen en Duitsland naar Nederland, waar hij werd aangehouden.

De VS wil hem berechten en diende dus een uitleveringsverzoek in. (Soms zie je ook de term ‘overlevering’, dat gaat om uitleveren van personen specifiek van de ene naar de andere Europese lidstaat.) De verdachte maakte bezwaar, en dat ging tot de Hoge Raad, die het bezwaar afwees. Ik citeer vanaf hier uit de conclusie advocaat-generaal, want de HR deed de zaak zonder motivatie af.

Een uitleveringsverzoek vereist “een uiteenzetting van de desbetreffende feiten, met inbegrip, indien mogelijk, van het tijdstip waarop en de plaats waar het misdrijf werd gepleegd”. Dat is lastig bij ict-zaken: als jij in Oekraïne zit, je server ergens in Bulgarije en de slachtoffers fysiek in de VS, wat is dan de ‘plaats’? De rechtbank vond het duidelijk genoeg:

De omschrijving van de feiten is zodanig dat het voor de rechtbank mogelijk is te onderzoeken of aan alle voorwaarden voor uitlevering is voldaan en of de naleving van het specialiteitsbeginsel kan worden gewaarborgd. Verder neemt de rechtbank in aanmerking dat de feiten hebben plaatsgevonden in de digitale wereld, waardoor het begrijpelijk is dat niet in alle gevallen een concrete pleegplaats kan worden vermeld.
Die gebrekkige informatie over pleegplaatsen was ook een argument tegen jurisdictie van de VS: de malware was wereldwijd actief, dus hoezo mag de VS dan optreden? Het simpele antwoord is, omdat óók in de VS slachtoffers woonden. Er waren er vier genoemd, dat is relatief weinig maar eentje is formeel genoeg.

Ook de rol van de verdachte was duidelijk genoeg vastgelegd:

De rechtbank heeft op grond van de inhoud van de Affidavit [verklaring van de FBI, AE] vastgesteld dat de opgeëiste persoon ervan wordt verdacht sinds 2018 te hebben deelgenomen aan een criminele organisatie die zich bezighoudt met het ontwikkelen, aanbieden en verkopen van malware, te weten de Raccoon-infostealer. Die malware zou wereldwijd op grote schaal zijn gebruikt om computervredebreuk en (gegevens)diefstal te plegen. Uit de vier geconcretiseerde voorbeelden in de Affidavit volgt dat de malware ook zou zijn gebruikt ten aanzien van computers c.q. personen in de Verenigde Staten. De rechtbank heeft overwogen dat in de Affidavit het resultaat en het verloop van het onderzoek uiteen wordt gezet, dat daaruit blijkt hoe de opgeëiste persoon in beeld is gekomen en waaruit de handelingen van de opgeëiste persoon, zijn vermeende rol en zijn aandeel in het strafbare feit hebben bestaan en dat het op grond daarvan van oordeel is dat voldaan is aan de eis van art. 9 lid 3 aanhef en onder b van het Verdrag.
Inhoudelijk is er dan genoeg om te veronderstellen dat iemand in de VS vervolgd zou worden voor dit feit, en omdat het tenlastegelegde ook in Nederland strafbaar is, is er dan eigenlijk geen reden meer tegen uitlevering.

Dan blijven over persoonlijke omstandigheden. In dit geval worstelde de verdachte met gezondheidsproblematiek en psychische problemen. Dit kwam vervolgens bij de rechtbank Den Haag met het verzoek hierom de uitlevering tegen te houden.  Het argument is dan dat de omstandigheden in het vragende land zo ernstig zijn dat uitlevering leidt tot onmenselijke behandeling, artikel 3 EVRM dat ook marteling noemt, maar het gaat dus ook om mensonterende omstandigheden zoals geen toegang tot gezondheidszorg.

De rechtbank oordeelde anders:

De voorzieningenrechter verwerpt ook het betoog van [eiser] dat de door de Amerikaanse autoriteiten gegeven garanties niet voldoen aan de daaraan te stellen eisen. Daargelaten dat [eiser] niet aannemelijk heeft gemaakt dat hij bij uitlevering een reëel risico loopt op schending van artikel 3 EVRM, geven de strikt genomen niet noodzakelijke garanties [eiser] wel meer zekerheid over (onder meer) de detentieomstandigheden en de toegang tot medische zorg. Zo nodig kan [eiser] met consulaire bijstand – ook wanneer dat bijstand van [land] betreft – nakoming van deze garanties bevorderen. Weliswaar heeft [eiser] zich terecht op het standpunt gesteld dat de Staat nakoming van dergelijke garanties niet zelf monitort, maar daar staat tegenover dat er geen gevallen bekend zijn waarin de Verenigde Staten gegeven garanties niet zijn nagekomen.
Dat laatste is natuurlijk vaak een zorg: ze kunnen wel zo veel zeggen in dat vragende land, maar hoe weet je dat ze dat ook echt doen? Daar staat tegenover dat er weinig tot geen onderzoeken zijn waaruit blijkt dat het misgaat, terwijl er toch genoeg mensen uitgeleverd worden.

Arnoud

 

Slim speelgoed, grote vragen: Ben je klaar voor de juridische puzzel?

Geplaatst op in Regulering, 1 reacties

Oké, deze landt op je bureau: een nieuwe lijn slim speelgoed, uitgerust met AI-functies, zoals stemherkenning en gepersonaliseerde interactie, waardoor kinderen een bijna levensechte ervaring beleven. De vraag aan jou: welke compliance issues moeten we aan voldoen? AVG, AI Act, AI Liability Directive, Cyber Security Act, noem ze maar op.

Door gebruik te maken van deep learning kan speelgoed de voorkeuren van het kind herkennen en daarop reageren. Bovendien kunnen updates via het internet worden gedownload om de functionaliteiten te verbeteren. Feedback kan worden gedeeld en kinderen kunnen samen spelen en unieke nieuwe trucs en toepassingen met elkaar delen. Als ouder zou ik hier best enthousiast van worden, als jurist zie ik hier ahem nogal wat vragen. Bijvoorbeeld:

    1. Hoe borg je als speelgoedfabrikant dat de AI-functies van het speelgoed in lijn zijn met de AI Act, zoals transparantie, fairness en mensenrechten?
    2. Welke nieuwe aansprakelijkheidsrisico’s komen er onder de AI Liability Directive?
    3. Hoe stel je vast dat het speelgoed veilig is tegen cyberaanvallen, vooral met de aankomende eisen van de Cyber Security Act?
    4. Hoe wordt de privacy en persoonsgegevens van kinderen beschermd?
    5. Moeten de onderliggende API’s toegankelijk zijn voor concurrenten, op grond van de DSA, DMA of aankomende Data Act?
Voor juristen is het van cruciaal belang om techniek te begrijpen en dit te kunnen combineren met wetgeving. Daarom biedt mijn ICTRecht Academy een aantal specifieke opleidingen toegespitst op de ICT-praktijk. De opleidingen gaan vanaf eind september van start. Je leert blended: met webinars en e-learnings maak je je de basis eigen en ontwikkel je je skills, en met praktijkdagen ga je casusgestuurd de diepte in.

Zie ik je daar?

Arnoud

Amsterdamse politie krijgt steeds vaker meldingen van gestolen spullen door tracker

Geplaatst op in Informatiemaatschappij, Regulering, 33 reacties

De Amsterdamse politie krijgt steeds vaker meldingen binnen van bedrijven en mensen die weten waar hun gestolen spullen zijn. Dat meldde de NOS onlangs. Dit omdat steeds meer mensen een tracker bij hun apparaten verstoppen. Maar wel frustrerend om te lezen: “Een melding is niet altijd een reden om in actie te komen.”

Het tracken van mensen of spullen is de laatste jaren sterk in opmars. De technologie wordt steeds toegankelijker, met name door Apple’s introductie van AirTag, een decentraal netwerk waarbij iedereen met een appelapparaat meehelpt signalen door te geven. Er zijn al vele zorgen over stalking met zulke tags.

Een praktisch probleem met trackers is dat ze wel een locatie kunnen geven, maar die is niet altijd geheel accuraat. Dat is de belangrijkste reden dat de politie geen gouden bergen wil beloven:

“Als een tag in beweging is, is het voor ons makkelijker om in actie te komen dan wanneer hij niet in beweging is”, zegt [politiewoordvoerder Marcel Baas]. “Amsterdam is een grote stad, overal staan flatgebouwen. Hoe moet ik dan weten in welke woning het voorwerp zich bevindt?”
Een bijkomend probleem is dat juridisch gezien het terugvinden van een gestolen voorwerp niet automatisch betekent dat je hem weer mag meenemen. Het is namelijk (in theorie) mogelijk dat dit voorwerp ondertussen echt eigendom van een ander is geworden.

Hoofdregel is natuurlijk dat je je eigendom kunt opeisen als dat ten onrechte bij een ander is (art. 5:2 BW, revindicatie). Echter, de wet (art. 3:86 BW) noemt als uitzondering de situatie dat de verkrijger (niet de dief zelf) de fiets kocht voor een geldbedrag en te goeder trouw was. Je kunt de fiets dan terugeisen bij die verkrijger, tenzij

de zaak door een natuurlijke persoon die niet in de uitoefening van een beroep of bedrijf handelde, is verkregen van een vervreemder die van het verhandelen aan het publiek van soortgelijke zaken anders dan als veilinghouder zijn bedrijf maakt in een daartoe bestemde bedrijfsruimte, zijnde een gebouwde onroerende zaak of een gedeelte daarvan met de bij het een en ander behorende grond, en in de normale uitoefening van dat bedrijf handelde
In normaal Nederlands: als een consument de zaak heeft gekocht bij een professioneel winkelier die handelde vanuit een winkel, dan is deze beschermd en heeft zhij de fiets legaal verkregen. De bestolene heeft dan pech en kan alleen de dief nog aanspreken voor de waarde van de fiets.

Dit is de reden dat politiediensten terughoudend zijn bij “hij staat daar”-meldingen, zelfs als de locatie duidelijk is. Dit is natuurlijk ter bescherming van die te goeder trouw handelende consument, maar ik heb wel altijd mijn vraagtekens bij hoe váák dat nou gebeurt en in hoeverre je daar nou rekening mee moet houden.

Enerzijds, je wilt niet mensen die in de winkel een fiets kopen aanpakken alsof ze heling hebben gepleegd. Anderzijds, je wilt niet dat gestolen waar verdwijnt vanwege een theoretische mogelijkheid dat de fiets legaal bij de huidige verkrijger is.

Arnoud

Hoge Raad: rechter mag Frans bewijs uit gehackte cryptotelefoons gebruiken

Geplaatst op in Regulering, Security, 12 reacties

Nederlandse rechters mogen erop vertrouwen dat in Frankrijk ontsleutelde berichten uit gehackte cryptotelefoons als bewijs kunnen dienen in strafzaken. Dat meldde de NOS alweer een maandje geleden. De Hoge Raad bevestigt daarmee dat de vele Nederlandse zaken met afgetapte cryptogesprekken door kunnen gaan, en gaat voorbij aan de bezwaren van de vele verdachten in die zaken.

Sinds 2021 worden er vele strafzaken gevoerd waarbij chats uit de diensten Encrochat en SkyECC worden gebruikt als bewijs. Ik blogde toen:

De precieze details van de hack zijn nog steeds onduidelijk, maar het komt erop neer dat de Franse Justitie in samenwerking met de Nederlandse politie binnen wist te dringen in de infrastructuur van Encrochat en van daaruit malware op de telefoons wist te pushen. Althans, malware voor de criminelen – voor de politie was het natuurlijk een legitieme afluister- en kopieertool. Aldus wist men vele, heel vele criminele transacties en overleggen te pakken te krijgen, wat tot een golf aan arrestaties en strafzaken leidde.
De discussie gaat erover of de Franse justitie dit wel legaal (naar Frans strafvorderingsrecht) had uitgevoerd. En als dat niet het geval bleek, wat de Nederlandse rechter dan zou mogen doen met dit onrechtmatig verkregen bewijs.

De Hoge Raad beëindigt nu de discussie door uit te gaan van nationale soevereiniteit:

Het behoort niet tot de taak van de Nederlandse strafrechter om te toetsen of de wijze waarop het onderzoek onder verantwoordelijkheid van de buitenlandse autoriteiten is uitgevoerd, strookt met de rechtsregels die gelden in het betreffende land voor het uitvoeren van dat onderzoek. Zou de Nederlandse strafrechter wel tot zo’n toetsing overgaan, dan levert dat een aantasting op van de soevereiniteit van dat land. … Om deze redenen worden de beslissingen van de buitenlandse autoriteiten die aan het verrichte onderzoek ten grondslag liggen, gerespecteerd en wordt ervan uitgegaan dat het onderzoek rechtmatig is verricht. Dat is uitsluitend anders als in het betreffende land onherroepelijk is komen vast te staan dat het onderzoek niet in overeenstemming met de daarvoor geldende rechtsregels is verricht.
Dit geldt ook wanneer je als verdachte stelt dat het onderzoek van die buitenlandse autoriteit je grondrechten schendt uit het EVRM of andere verdragen. Want ook een toetsing van zo’n schending is een schending van soevereiniteit – daar mogen de Fransen zélf over nadenken.

Het maakt hierbij niet uit of er Nederlandse politiemensen hebben meegeholpen bij het onderzoek. Als het onderzoek formeel wordt uitgevoerd door Frankrijk, dan vallen die Nederlanders onder het Franse strafprocesrecht en wordt het geheel beoordeeld naar Frans recht.

Een vervolgpunt is de controleerbaarheid van het bewijs. Als verdachte moet je kunnen controleren wat er tegen je wordt gebruikt, maar in de praktijk blijkt dat nogal moeilijk met die berichten. Hoe veel rechten heb je, moet je volstaan met de Excelsheet die het OM je geeft of mag je de ruwe data door een eigen onderzoeksinstelling laten doorzoeken?

De Hoge Raad danst een beetje om het punt heen:

Voor de beoordeling of een verzoek van de verdediging tot het voegen van stukken bij de processtukken voldoende is onderbouwd, is mede van belang of en, zo ja, op welke wijze door het openbaar ministerie al faciliteiten aan de verdediging zijn geboden om de in de zaak beschikbare digitale databestanden te raadplegen. Waar het gaat om de beoordeling door de rechter-commissaris op grond van artikel 34 lid 4 Sv of om de uitvoering door de rechter-commissaris van het door de zittingsrechter gelaste nadere onderzoek, staat geen rechtsregel eraan in de weg dat, in het geval dat voor het raadplegen of onderzoeken van grote digitale databestanden specifieke technische kennis is vereist, de rechter-commissaris zich laat bijstaan door een op dat terrein deskundige persoon.
Hiermee lijkt de HR genoeg ruimte te laten voor de huidige praktijk: je krijgt een lijst met de chats die men als primair bewijs tegen je gebruikt, je mag concrete vragen stellen waar je dan nadere datadumps van krijgt, maar de ruwe data die blijft in het systeem.

Arnoud

 

Bitcoinbeurs Crypto.com mag legaal in Nederland aan de slag

Geplaatst op in Regulering, 2 reacties

Crypto.com heeft een registratie bij De Nederlandse Bank gekregen, omdat het aantoonde aan de antiwitwaseisen van de toezichthouder te voldoen. Dat meldde Nu.nl onlangs. Het is opmerkelijk, omdat concurrerende cryptobeurs Binance géén vergunning, pardon registratie kreeg. Wat was het verschil?

Binance zag zich in juni genoodzaakt terug te trekken uit de Nederlandse markt. Concurrenten speelden daarop in, en Crypto.com kan met haar registratie nu snel schakelen.

In het Nu.nl-bericht duikt zowel de term ‘vergunning’ als ‘registratie’ op als synoniemen. Dat is natuurlijk juridisch onjuist: een registratie is een mededeling van de registrant (zoals bij de KvK, ik ben vanaf nu een bedrijf) en een vergunning is een gunst áán de registrant (jij mag vanaf nu taxidiensten leveren). Aan vergunningen kunnen inhoudelijke eisen zitten (zoals kwaliteitseisen), een registratie heeft hooguit wat formele punten.

Tegelijk snap ik de verwarring wel: in de praktijk is de opstelling van DNB haast niet te onderscheiden van een vergunningsprocedure. Zoals specialist Simon Lelieveldt regelmatig betoogt, hoewel de wet ‘registratie’ zegt worden er toch echt vergunningseisen gehanteerd.

Een recent nieuwsbericht op de website van DNB toont echter dat zij toch aansturen op een toetsing vooraf, op basis van eisen identiek aan de vergunningeisen die voor trustkantoren gelden. DNB verwijst namelijk naar de term Systematische Integriteitsrisicoanalyse (SIRA), een specifieke vergunningseis onder financieel toezicht. Het is een begrip dat in de anti-witwaswet die voor bitcoinbedrijven geldt, niet te vinden is.
De eis blijkt een copypaste van regels voor trustkantoren, die wel degelijk een vergunning nodig hebben. Dat voelt dus een tikje raar: als een registratieplicht genoeg zou zijn (volgens de wetgever), waarom dan toch die strengere eisen? Vermoedelijk vindt DNB de cryptowereld toch wat cowboy-achtig, een standpunt dat ik zeker wel kan delen, en zoekt men daarom toch naar instrumenten om de scherpste randjes eraf te halen.

Arnoud

 

Het einde van een fiets-as-a-service oftewel VanMoof, juridisch bekeken

Geplaatst op in Ondernemingsvrijheid, Regulering, 13 reacties

Met VanMoof is nu voor het eerst een e-bikemaker van de nieuwe generatie failliet. Dat meldde Tweakers onlangs. Een VanMoof-fiets komt met een app en die is afhankelijk van een verbinding met VanMoof-servers. Vanwege het faillissement zullen die wel binnenkort uit gaan. Dat roept dan toch nieuwe juridische vragen op.

“Je fiets blijft functioneren en je kunt blijven fietsen, want we mikken erop om onze app en onze servers online te houden en we willen onze huidige diensten veiligstellen voor de toekomst.” Zo stelt het bedrijf (de curator?) de fietseigenaren gerust die zich nu afvragen hoe dit verder moet. Want het is vrij fundamenteel: je fiets ontgrendel je met de app, er is geen fysieke sleutel of knopje die je als alternatief kunt gebruiken.

Tweakers legt uit:

Ontgrendelen kan in de app zelf, via de app zonder de telefoon aan te raken door dichtbij te zijn en zonder de app. Bij het registreren van de fiets maken de smartphone en de e-bike een bluetoothverbinding, op dezelfde manier als dat gebeurt met draadloze oordopjes of een smartwatch, maar die verbinding is beveiligd met een sleutel die van de server komt. De app maakt af en toe verbinding om die sleutel op te halen. Zonder server is die sleutel niet langer te achterhalen.
Je kunt een backup-code instellen in de app, zodat je zonder serververbinding je fiets kunt ontgrendelen. Alleen: dat werkt zolang de app beschikbaar blijft, en doorverkoop van de fiets wordt onmogelijk want de koper kan de app niet overnemen van jou. Er zijn wel meer oplossingen, maar helemaal zuiver voelen die niet:
Er is een tool, de VanMoof Encryption Key Exporter. Die staat op GitHub, maar de maker heeft inmiddels ook een webapp gemaakt. Wie zijn accountgegevens niet op een server van iemand anders wil hebben, kan een eigen instance maken om dat te voorkomen. Ook de Belgische VanMoof-concurrent Cowboy heeft een app uitbracht om VanMoof-sleutels offline op te slaan.
Het voelt tegelijkertijd wel heel raar om dat soort trucs uit te moeten halen om gewoon je eigendom te kunnen blijven gebruiken. Maar het is een ‘gewoon’ uitvloeisel uit de diensteconomie dat je dit soort dingen kunt krijgen: de fiets is wel van jou, de software (en dienst) niet en die kan gewoon lekker uit.

Zou de curator de server zomaar uit mogen zetten? Vanuit kostenbesparing is dat een logische stap, de hoster van dat systeem wil immers geld voor zijn dienstverlening. Heeft de curator dat niet in de pot, dan kan de hoster de stekker eruit trekken. Dit is het juridische vraagstuk van continuïteit in de cloud, waar al langer over gediscussieerd wordt. Mijn collega Bram legt de standaardarresten uit:

Uitgaande van Berzona leek het er sinds 2014 al op dat een curator niet zomaar een softwarelicentie kan beëindigen, want ‘actief’ wanpresteren mag volgens de Hoge Raad niet. Een belangrijk punt is echter dat het zowel in Nebula als Berzona helemaal niet ging over licenties op software, maar over de huur van onroerend goed. Volgens de meeste juristen zouden voor softwarelicenties dezelfde principes kunnen worden toegepast, maar helemaal zeker was dat niet. Sinds het arrest Credit Suisse uit 2018 is er aan die onzekerheid een eind gekomen. In dat arrest maakte de Hoge Raad expliciet dat de positie van een licentienemer op één lijn kan worden gesteld met die van een huurder.
Een curator mag dus niet actief een dienst opzeggen of beëindigen. Uit kostenoogpunt de hostingovereenkomst opzeggen mag dus bijvoorbeeld niet. Maar er is ook weer geen plicht om de hostingrekening te blijven betalen, zeker niet als er gewoon geen geld is in de boedel om dat te kunnen doen. Dus hoe dan ook is wat er nu gebeurt, een tijdelijke oplossing zonder zekerheid dat je je fiets kunt blijven gebruiken.

Arnoud

 

Hoe sterk is een geluidsopname als bewijs in een strafzaak?

Geplaatst op in Regulering, 6 reacties

Verdachte heeft zich schuldig gemaakt aan aanranding van aangeefster door haar onverhoeds over haar buik te wrijven en haar een kus op haar voorhoofd te geven tijdens haar rijles. Nee, dat vonnis is geen internetrecht maar zijdelings wel interessant voor hier: de aangeefster had een audio-opname ingebracht als bewijs. Laten we eens kijken hoe de strafrechter dat gebruikt.

In deze zaak was de verdachte een rij-instructeur die een jonge vrouw les gaf, en daarbij diverse ongepaste handelingen verrichte. De vrouw had dat opgenomen, en gebruikte de opname als bewijs. Probleem bij zulke zaken is immers altijd vast te stellen wat er is gebeurd: de aangever zegt het ene, de verdachte het andere en dan kom je er niet uit.

In het strafrecht geldt de regel dat er altijd twee vormen van bewijs nodig zijn (art. 338 Strafvordering). Dus alleen een verklaring van een getuige (zoals de aangever) is niet genoeg, net zo min als alleen een bekentenis. Er moet nog iets anders zijn.

De audio-opname wordt in dit geval gebruikt om de geloofwaardigheid van de verklaring van de getuige te versterken, en is daarmee zo’n ander middel:

Op basis van de hierboven genoemde bewijsmiddelen stelt de rechtbank allereerst vast dat de verklaring van aangeefster gedeeltelijk steun vindt in wat verdachte zelf verklaart. Verdachte bekent de context waarin het aanraken van de buik en het zoenen van het voorhoofd heeft plaatsgevonden. Daarnaast wordt de verklaring van aangeefster ondersteund door de audio-opname, waar verdachte zegt dat hij één keer heeft gevoeld aan de buik van aangeefster en dat hij dat lekker vond. De verklaring van verdachte, dat hij dat hypothetisch heeft bedoeld of als grapje, acht de rechtbank niet geloofwaardig. Daarbij betrekt de rechtbank de verklaring van de vader van aangeefster die zijn dochter na afloop van de gebeurtenis in tranen aan de telefoon had waarbij zij vertelt dat haar rijinstructeur aan haar buik heeft gezeten. De rechtbank ziet gelet op dit alles geen enkele reden om te twijfelen aan de verklaringen van aangeefster. Deze vindt voldoende steun in andere bewijsmiddelen en de rechtbank acht daarom wettig en overtuigend bewezen dat de tenlastegelegde handelingen zoals door aangeefster beschreven hebben plaatsgevonden.
Natuurlijk had het gekund dat de verdachte de echtheid van de opname had betwist. Dat was hier niet gebeurd, in het politieverhoor is genoteerd “Dat wat op de geluidsopname te horen is, heb ik puur gezegd om haar haar zin te geven. Het was als grapje bedoeld.”

Maar als het wel was betwist, had dat dan veel uitgemaakt? Dan zou de discussie zich verplaatsen naar waarom de aangeefster zo’n opname zou hebben gefabriceerd, en mede ook waarom. Gezien de overige omstandigheden voelt dat niet bepaalt realistisch.

Arnoud