Categorie: Regulering

About Regulering

Subscribe Feeds

Boekhouder die illegaal inlogde op server kan zich niet beroepen op noodtoestand

Geplaatst op in Regulering, Security, 14 reacties

Een boekhouder die illegaal inlogde op de server van het bedrijf waarvoor hij de boekhouding verzorgde, om zo gevoelige informatie te verzamelen voor de ontslagprocedure van een collega, kan zich niet beroepen op een noodtoestand, zo las ik bij Security.nl. Wacht, een noodtoestand in het strafrecht, is dat een ding? Jazeker. De Hoge Raad oordeelt alleen helaas voor de boekhouder dat die situatie niet opgaat, en veroordeelt hem gewoon voor computervredebreuk.

Tijdens het ontslagproces van een medewerker van het bedrijf werd ontdekt dat die over vertrouwelijke informatie beschikte, waaronder financiële stukken, offertes, correspondentie, privé mails en zeer geheime stukken. Dat bleek (zoals ik uit het arrest haal) te herleiden tot deze boekhouder, die maar liefst 45 keer had ingelogd op de server en daar informatie had opgehaald die niets met zijn eigenlijke werk te maken had. Weliswaar mocht hij op die server zijn, maar zeker niet bij die bestanden.

Het verweer van de boekhouder was opmerkelijk:

Toegespitst op deze gedragingen, is het beroep op overmacht in de zin van noodtoestand, als volgt nader toegelicht: de verdachte bevond zich tussen conflicterende belangen; hij voelde dat hij de maatschappelijke plicht had om de waarheid van de feiten in de ontslagprocedure van [betrokkene 1] in te doen brengen; [betrokkene 1] had hem hier om verzocht; de verdachte stelt dat [het bedrijf] de financiële positie van het bedrijf doelbewust en valselijk te negatief aan de kantonrechter had gepresenteerd om zo een zo laag mogelijke ontslagvergoeding te moeten betalen; dit moest in hoger beroep worden rechtgezet.
Heel erg meedenkend in de richting van de boekhouder: als je ziet dat een collega bij een ontslagprocedure een te lage vergoeding krijgt op basis van bedrijfsomzetgegevens waarvan jij (als boekhouder dus) weet dat ze niet kloppen, dan snap ik best dat je daar boos om wordt en dat onrecht wilt corrigeren. En ja, het is juridisch erkend dat je vanuit een toestand van nood kunt handelen en dat je dan straffeloos bent:
“uitzonderlijke gevallen kunnen meebrengen dat gedragingen die door de wetgever strafbaar zijn gesteld, niettemin gerechtvaardigd kunnen worden geacht, onder meer indien moet worden aangenomen dat daarbij is gehandeld in noodtoestand, dat wil zeggen -in het algemeen gesproken- dat de pleger van het feit, staande voor de noodzaak te kiezen uit onderling strijdige plichten en belangen, de zwaarstwegende heeft laten prevaleren”. [HR 23 juli 2011, ECLI:NL:HR:2011:BP5967]
De lat ligt alleen wel heel erg hoog, er moet echt op dat moment geen andere optie zijn. Meelezende juristen moeten nu wellicht denken aan het opticien-arrest, waarin een opticien niet strafbaar was door na openingstijd een zeer slechtziende man een bril te verkopen. Die persoon had zó zeer op dat moment een bril nodig, dat het (geringe) belang van de Winkelsluitingswet moet wijken. Maar omdat het hier om een langere periode aan gedragingen ging, ziet de HR dat niet van toepassing:
Het gestelde rechtvaardigheidsgevoel is in deze niet voldoende dwingend, en wordt overigens ook vertroebeld met hetgeen de verdachte zelf bij de politie heeft verklaard: “voor mij geldt het motto: Het doel heiligt de middelen” en “eigen schuld dikke bult”. Daar komt bij dat de omstandigheden die zouden hebben genoopt tot wetsovertreding al geruime tijd speelden. Gesteld noch gebleken is dat niet-strafbare alternatieven om het beoogd doel te bereiken voldoende zijn onderzocht en kennelijk volkomen ineffectief zouden zijn geweest. Van enige geestelijke “worsteling” leidende tot een kennelijk onvermijdelijke wetsovertreding is niet gebleken.
Ik moet zelf wel zeggen dat ik niet meteen weet wat dan die niet-strafbare alternatieven zouden moeten zijn. Het lijkt me erg moeilijk om als buitenstaander informatie aan te dragen over de financiële positie van een bedrijf, dus daarmee kun je die ontslagen medewerker niet echt helpen.

Arnoud

 

Britse politie komt duizenden cybercriminelen op het spoor via loksites, mag dat bij ons ook?

Geplaatst op in Regulering, Security, nog geen reacties

Britse rechercheurs hebben meerdere sites opgezet waar cybercriminelen zogenaamd ddos-aanvallen konden bestellen. Dat meldde Nu.nl onlangs. De politie kon zo duizenden aanvragers noteren en gaat ze allemaal een bezoekje brengen. Het riep bij een paar lezers de vraag op: is dat geen uitlokking, zou dat ook mogen naar Nederlands recht?

DDOS-bestelsites, in het jargon booter sites, zijn Justitie al lang een doorn in het oog. Europol haalde  in 2022 vijftig ddos-booters offline, mede dankzij de inzet van de Nederlandse politie. Zoals ik toen blogde:

Dergelijke diensten leveren DDoS-aanvallen op verzoek en tegen betaling, met het dunne excuus dat bedrijven wellicht hun netwerk willen testen maar dan geen behoefte hebben aan contracten, facturen of betalingen met ouderwets fiatgeld. Of zoiets.
Anders gezegd, er lopen dus veel mensen rond die graag geld uitgeven om een DDoS-aanval uit te laten voeren die in strijd is met de wet. Die mensen eruit pikken voor ze écht schade hebben aangericht, is een legitiem doel van de politie. Alleen kom je dan snel terecht in de discussie over ‘uitlokking’.

De discussie over uitlokking speelde in 2013 bij een nepvuurwerkwinkel, opgezet door de politie met als doel mensen waarschuwingen te geven die daar illegaal vuurwerk meenden te bestellen.

Van uitlokking is in ons strafrecht sprake als je iemand op andere gedachten brengt, hem overhaalt het strafbare feit te plegen terwijl hij dat zelf niet van plan was. In het lokfiets-arrest bepaalde de Hoge Raad dat je iemand niet uitlokt door een onafgesloten fiets neer te zetten op een plek waar vaak fietsen steelt. Een fiets is een fiets, en de dief kiest er nog altijd zelf voor om die te stelen. Zou een agent na het plaatsen naar een stel junks toegaan en zeggen “hee daar staat me een mooie fiets, en onafgesloten ook nog”, dan wordt het al twijfelachtiger.
Ik had er toen een kléin beetje moeite mee, omdat een winkel naar zijn aard producten promoot. Iemand die toevallig aan komt waaien en dan de strijkers, Bengaals vuur en mortierbommen in het gezicht geduwd krijgt, die kan denk ik goed verdedigen op andere gedachten gebracht te zijn door die reclame: hij kwam alleen voor legaal vuurwerk en werd door de reclame effectief overtuigd deze te kopen.

Bij DDoS-aanvallen zie ik dat niet. Natuurlijk, het standaardexcuus van die sites is dat ze zich richten op mensen die hun eigen netwerk willen testen. Maar hier worden de kopers van de diensten aangesproken. En die hebben geen mooi CRA-compliant bedrijfsnetwerk, laat staan dat het opgegeven target IP-adres behoort tot hun eigen serverpark. Dus daar is geen enkel excuus.

Het volgende argument zou zijn dat de koper-in-spe eigenlijk nooit van plan was een DDoS-aanval te bestellen, maar door de site werd overgehaald: het is makkelijk, niet duur, ze zeggen hier “niet te traceren” en dergelijke aanprijzingen. Zonder de precieze site te zien is het lastig te zeggen hoe hard de website mensen probeerde over te halen.

Maar ik zou zeggen: als men de site niet actief adverteerde bij derden, maar ‘gewoon’ als een beschikbare dienst neerzette, dan wordt er niemand op andere gedachten gebracht. Het is immers een bestaande site die de politie overnam, dus eventuele reclame of bekendheid moet je de vorige eigenaar toerekenen. Ik zie er daarom dus juridisch geen uitlokking in.

Arnoud

Organisaties informeren consumenten onvoldoende over datalekken, hoe moet het dan wel?

Geplaatst op in Privacy, Regulering, Security, 7 reacties

De Nederlandse Consumentenbond concludeert op basis van een steekproef dat veel organisaties consumenten niet goed genoeg informeren bij datalekken. Dat meldde Tweakers onlangs. In de steekproef bleken 37 van de 69 onderzochte waarschuwingen voor datalekken onduidelijk: er staat te weinig concrete informatie in, en vaak ontbraken ook de stappen die je zelf kunt nemen om de schade te beperken. Het riep de vraag op: hoe zou het dan wel moeten, nog meer informatie?

Ik kreeg even juridische jeuk van de passage over modebedrijf Livera, die ik jullie dan ook niet wil onthouden:

In het bericht met de kop ‘Bescherming van persoonsgegevens bij Livera hoogste prioriteit’ wordt eerst de bedrijfsstructuur en de aandacht van Livera voor gegevensbescherming beschreven; pas in de derde alinea wordt vermeld dat het moederbedrijf is gehackt en dat persoonsgegevens van klanten mogelijk zijn ingezien.
Deze is wel erg cru, maar berichten met koppen als “Mededeling naar aanleiding van publiciteit” zie ik ook met enige regelmaat voorbij komen. Gelukkig zijn er ook bedrijven die mensen wel adequaat informeren, door een keurig bericht met uitleg wat er is gelekt, welke stappen men nu heeft genomen en op welke risico’s je nu in het bijzonder zou kunnen letten. Een mooi voorbeeld blijft voor mij het datalek bij de Philips-personeelsadministratie, waarbij men zowaar een dark net monitoring service inhuurde om in de gaten te houden of NAW+bsn gegevens werden verhandeld op het nietdoorzoekbareweb.

Het achterliggende punt blijft natuurlijk: wat zou je nog meer, of nog anders moeten doen? Dan kom je al snel uit bij een schadevergoeding, wat juridisch lastig ligt omdat de schade moeilijk te kwantificeren is. Als de Shell diesel verkoopt vanuit de benzine-pomp, dan kun je vrij eenvoudig je factuur voor het reinigen van je injectiesysteem bij de pomp indienen. Maar bij persoonsgegevens? Ja, je bent kwetsbaarder voor phishing en er zal vast een AI op je profiel worden getraind, maar welk bedrag zet je daar op?

Er zijn vele stichtingen bezig met allerlei massaclaims, waarbij vaak 500 euro opduikt omdat dat eenmalig is toegekend (bij een concreet lek van medische gegevens). Het voelt ergens wat hoog, want is een datalek bij een klanttevredenheidsenqueteur nu dat echt waard? Ook is er altijd die weerstand dat die stichting dan “al dat geld pakt” terwijl het gaat om vergoeding van andermans schade. Maar als de wetgever de bal laat liggen, dan springen particuliere partijen in het gat.

Ik blijf erbij: er moet een staatje komen, het liefst door de AP, net zoals we bij letselschade al lange tijd het Smartengeldboek hebben. Want zelfs als daarin 5 euro had gestaan per betrokkene, dan had de NS nu dus een half miljoen moeten uitkeren en dát maakt niveautje-dassenburcht indruk in de Boardroom.

Arnoud PS: Vergeet je niet in te tekenen voor mijn boek? Zie onder!

Ook Hoge Raad oordeelt dat Deliveroo-koeriers geen zzp’ers waren. Heeft dat grote gevolgen?

Geplaatst op in Ondernemingsvrijheid, Regulering, 37 reacties
mohamedhassan / Pixabay

De fietskoeriers van Deliveroo waren werknemers en geen zzp’ers, zo zegt ook de Hoge Raad. Dat meldde NRC vorige week. Heeft dat gevolgen voor alle 1,2 miljoen zzp’ers in Nederland, vraagt men er direct achteraan. Naar goed journalistiek gebruik moet het antwoord dan “nee” zijn, maar laten we eens kijken wat de Hoge Raad nu echt vond.

De uitspraak is de laatste in een lange reeks van discussies en rechtszaken over de status van bezorgers die voor een bedrijf met een app, pardon een participant in de platformeconomie, aan het werk zijn. In 2018 vonniste de rechtbank Amsterdam nog dat een Deliveroo-bezorger freelancer was, mede omdat deze zeer parttime werkte en het contract keurig “ZZP-overeenkomst” heette.

De zaak waar het nu om gaat, startte in 2019: Deliveroo-bezorgers zijn toch werknemers, was de uitkomst. Wat was nu het verschil?

In juli vorig jaar concludeerde de rechtbank nog op basis van de tekst van een freelancer-contract dat de fietskoerier een zzp’er was, maar dat was wat kort door de bocht: je mag aan een contract met een hulppersoon alleen waarde hechten als er inhoudelijk onderhandeld is. Is het een standaardcontract dat de hulppersoon opgelegd kreeg (“alsjeblieft, hier tekenen graag”) dan is daaraan geen aanwijzing te ontlenen dat partijen samen beiden wilden dat de koerier zzp’er was. Ook de andere stappen die de rechter vorig jaar zag – het inschrijven bij de KvK, het zelf kopen van kleding en vervoersboxen – tellen niet mee in zo’n situatie.
De rechter liet alle mooie woorden uit die tijd over platformeconomie, flexwerken en wat dies meer zij voor wat ze waren, en legde de definitie van “arbeidsovereenkomst” er letterlijk tegenaan. En die is onafhankelijk van hoe je het noemt of wat futurologen zeggen dat werk in de 21e eeuw gaat zijn. Niet raar dus dat hij uitkwam bij “wél arbeidsovereenkomst”.

Deliveroo ging natuurlijk in hoger beroep, want je zou het eens een keer eens zijn met een vonnis als groot bedrijf, kom nou. Maar ook daar kreeg men ongelijk: ook als Deliveroo zelf zegde géén maaltijdbezorgplatform te zijn (dat is serieus met droge ogen verdedigd door een overigens zeer competente advocate) maar slechts een IT-bedrijf, dan nog kun je best werknemer zijn van dat bedrijf.

Het was bij het Hof ook voor een deel de IT die ervoor zorgde dat Deliveroo werkgever was:

Het GPS-systeem geeft Deliveroo daarmee een vergaande controlemogelijkheid op de werkwijze van de bezorger. FNV heeft erop gewezen, en zulks komt het hof ook aannemelijk voor, dat deze GPS-bekendheid ook een druk op de bezorger uitoefent. De klant rekent op bezorging van een maaltijd op een bepaald tijdstip; wanneer een bezorger bijvoorbeeld langzamer gaat fietsen, dan zal de klant (en daarmee Deliveroo) hierover teleurgesteld zijn, hetgeen een bezorger menselijkerwijs zal willen proberen te voorkomen. Het GPS-systeem geeft Deliveroo (al dan niet via haar klanten) dus een vergaande controlemogelijkheid, die eveneens als een vorm van gezag is aan te merken.
De Hoge Raad had in 2020 al uiteengezet wanneer je een contract een arbeidsovereenkomst noemt. Bedoelingen doen er niet toe, het gaat om de feitelijke situatie. Je kijkt er objectief naar: werkt iemand ‘in dienst’, krijgt zhij ‘loon’ om ‘gedurende zekere tijd’ bepaalde ‘arbeid’ te verrichten en is er ‘gezag’ (die IT dus, bijvoorbeeld). Zo ja, dan is het een arbeidscontract.

Men voegt daar nu aan toe dat je uiteindelijk wel gewoon naar alle omstandigheden van het geval moet kijken. Als iemand zich bijvoorbeeld nadrukkelijk profileert als zelfstandige (eigen ondernemersnaam/logo, reputatie, aantal opdrachtgevers, fiscale kwalificatie) dan is dat een factor die meeweegt. Maar er is geen hard criterium “doe x en je bent zzp’er”.

Deliveroo had dat namelijk geprobeerd met het argument dat je niet hóefde te werken. Je mag als IT-medewerker-met-maaltijdtas (de Capgemini-bezorgers, wie kent ze niet) immers weigeren een maaltijd te bezorgen, waar een gewone 9-tot-5 medewerker een probleem zou hebben als die besluit vandaag gewoon even thuis te blijven. De HR trekt de vergelijking met de appelplukkers en vakantiewerkers, en concludeert dat dit geen keiharde eis is om van een arbeidsovereenkomst te kunnen spreken. Het kan, een arbeidscontract waarbij je soms thuis mag blijven. Als je dat allebei zo wil, waarom niet.

Er blijft dus niets over van de stellingen van Deliveroo, en onvermijdelijk is dan ook dat de fietsbezorgers aangemerkt worden als werknemers. Wellicht zou dat anders kunnen of mogen zijn (zie onder meer dit artikel uit alweer 2017), maar dat verklaart de HR tot nadrukkelijk een politieke discussie.

De HR wilde niet zelf een harde lijn trekken: velen waren bang dat de hoogste rechter zou bepalen dat je alleen moest kijken naar het soort werk – wie hetzelfde doet als de werknemers, is automatisch en ongeacht de omstandigheden óók een werknemer. Dat zou heel vervelend zijn voor alle bedrijven en instellingen die met een flexschil werken.

Heeft dat gevolgen voor alle 1,2 miljoen zzp’ers in Nederland, zo vroeg NRC zich af. Antwoord dus: nee. Ook niet direct voor de Deliveroo-bezorgers, want in oktober 2022 vertrok het bedrijf, naar eigen zeggen omdat het niet meeviel de markt te veroveren. Men deed wel een aanbod tot vergoeding:

De vaste werknemers van Deliveroo in Nederland krijgen compensatie voor het verlies van hun baan. De bezorgers zijn echter niet in dienst, maar krijgen ook een bedrag uitgekeerd. ‘Dat maakt dit sociaal heel uniek. Deliveroo heeft zelf contact met ons opgenomen, en dat heeft geleid tot deze afspraken’, zegt Anja Dijkman, FNV-bestuurder Platformwerk. ‘Ik denk dat zij op een nette manier uit Nederland willen vertrekken.’
Toch blijft de gedachte hangen dat men mede vertrok omdat deze HR-uitspraak grote financiële gevolgen zou hebben, en daar hadden de investeerders natuurlijk geen zin in.

Arnoud

 

 

TikTok wil zorgen over spionage wegnemen door gegevens in Europa te bewaren

Geplaatst op in Privacy, Regulering, 6 reacties
ananitit / Pixabay

TikTok wil ervoor zorgen dat gegevens van Europese gebruikers niet zomaar naar het moederbedrijf in China gaan. Dat meldde Nu.nl onlangs. Het is een reactie op het TikTok-verbod voor medewerkers van de Europese Commissie en het Europees Parlement, en meer algemeen de zorg bij veel bedrijven over wat de Chinese app-exploitant (en de staat) doet met de gegevens. Al in 2022 kondigde men iets dergelijks aan, wat gaat men nu doen en wat gaat het opleveren?

Vorig jaar november blogde ik al over de verrassende ontdekking dat data van de Chinese app naar China gaat. Zelden zorgde een juridische frase voor zo veel ophef als deze:

Standard contractual clauses: Certain entities in our Corporate Group located in countries without an adequacy decision are granted, under standard contractual clauses, limited remote access to information described in What Information We Collect to provide important functions. These entities are located in Brazil, China, Malaysia, Philippines, Singapore, and the United States.
De SCC zijn een standaardconstructie onder de AVG. Deze lap tekst met juridische eisen aan je niet-EU ontvanger is door de Europese Commissie voorgeschreven; je kwakt het in een contract en de wederpartij tekent, waarna de weg open is om ze data te geven. Dat is dus wat TikTok net als iedereen doet (hoi Meta, Twitter en collega’s), maar omdat “China” in de lijst staat werd het ineens spannend. Het droeg in ieder geval bij aan een discussie waarin steeds meer partijen overwegen TikTok te verbannen, of dat al gedaan hebben. Zoals dus de EC en het Europees Parlement.

In het nieuwe plan (dat Clover heet) zal TikTok haar data van Europese gebruikers alleen nog in Europa (Ierland en Noorwegen) opslaan, waarna een onafhankelijke derde partij iets vindt van opslag elders:

Under Clover, TikTok’s data controls and transfer of data outside of the continent will be monitored by a third-party European cybersecurity firm, although the company has yet to disclose the name of its security partner. TikTok said it would introduce “pseudonymisation” of personal data so an individual could not be identified without additional information.

Ik word altijd een tikje zenuwachtig van “pseudonimisering”, want zelden betekent dat wat men denkt dat het betekent. Maar het is alvast een hele stap vooruit dat men niet -zoals de rest van de wereld- liegt dat men anonimiseert. Bij anonimiseren heb je niets meer aan de data omdat hij niet meer te koppelen is aan personen, en het hele punt van al die data is nu juist dat je dingen over personen weet en daar wat mee doet. Wie “anonimiseren” zegt, bedoelt vrijwel altijd “ik haal de namen en contactgegevens weg” en dat is dus wat de AVG alleen maar “pseudonimiseren” noemt.

Het klinkt allemaal heel mooi:

Wij nemen ons voor om samen te werken met andere derde partijen aan de integratie van de nieuwste geavanceerde technologieën die een aanvulling vormen op deze reeds degelijke procedures. Dit omvat, maar is niet beperkt tot, het pseudonimiseren van persoonsgegevens, zodat een persoon niet kan worden geïdentificeerd zonder aanvullende informatie en het samenvoegen van individuele datapunten tot grote datasets om de privacy van personen te beschermen.
Als dit ook zo gerealiseerd wordt, dan zouden de zorgen objectief bekeken een heel eind weggenomen moeten worden. Bij een normaal bedrijf zou ik daarom ook optimistisch zijn over deze ontwikkeling. Echter, bij TikTok is er nog steeds een grote zorg over mogelijke spionage door de Chinese overheid. Ondanks de stappen die het bedrijf nu neemt, blijft het risico bestaan dat gevoelige informatie van Europese gebruikers toch in handen komt van de Chinese staat. En, belangrijker: dat de app gebruikt kan worden om mensen in Europa te beïnvloeden met Chinese propaganda.

Arnoud

[insert code as law joke here] of hoe de EU Cyber Resiliency Act softwareontwikkeling gaat veranderen

Geplaatst op in Innovatie, Ondernemingsvrijheid, Regulering, Security, 9 reacties
USA-Reiseblogger / Pixabay

“The EU’s new Cyber Resilience Act is about to tell us how to code”, las ik op de blog van Bert Hubert (aanrader). De CRA is een concept-Verordening over cyberbeveiligingseisen voor producten met digitale elementen, zeg maar alles dat we IoT (internet of [st]hi[nt]g?s?) noemen, maar dan breder want netwerkverbinding is niet perse een eis. Dergelijke apparaten moeten eindelijk, eindelijk een goede cyberbeveiliging hebben, maar dat zal nogal wat voeten in de aarde krijgen, zo laat Hubert overtuigend zien. Hoe gaat de toekomst van cybersecurityrecht eruit zien?

De CRA (originele concepttekst) maakt deelt uit van de Europese Digitale Decade, het grote strategieplan van Europa om de wereld te transformeren. Veiligheid van digitale apparaten hoort daar natuurlijk bij, ik zou het zelfs een van de speerpunten van iedere serieuze ict-strategie durven te noemen. En met boetes tot 15 miljoen (of 2% wereldwijde omzet indien hoger) maakt deze Verordening het echt wel een belangrijk onderwerp. Toch is het ook een hele spannende, want afbakenen wat er nu écht allemaal gebeurt is nog razend ingewikkeld.

Neem bijvoorbeeld de uitzondering voor open source, wat een terecht aandachtspunt is omdat je vrijwilligers niet hetzelfde wilt behandelen als commerciële bedrijven. Alleen, hoe baken je dat op een beetje rechtlijnige manier af? Want als ik als bedrijf apparaten gratis weggeef (met alle broncode open source) en geld vraag voor een gekoppelde, verplichte SaaS-dienst dan wil je wel dat die apparaten aan de CRA voldoen. En dan heb je ook nog bedrijven die werknemers opdragen aan open source projecten te werken, omdat ze daar indirect voordeel uit halen bij het implementeren van ict-oplossingen bij klanten. De CRA zegt nu (overweging 10):

In the context of software, a commercial activity might be characterized not only by charging a price for a product, but also by charging a price for technical support services, by providing a software platform through which the manufacturer monetises other services, or by the use of personal data for reasons other than exclusively for improving the security, compatibility or interoperability of the software.
Vervolgens val je onder de CRA als je een product (dus hardware met “digitale elementen” erin) op de markt brengt vanuit een “commercial activity”. Je zou zeggen dat die vrijwilliger die alleen een stuk software op internet zet, hier buiten valt alleen al omdat hij geen producten op de markt brengt. Maar let op: de definitie van een product is “software or hardware product”, dus ook enkel software online zetten kan er al onder vallen, als je daarmee een commerciële activiteit ontplooit. Dat dat bij Microsoft geldt wanneer die gratis software online zetten is dan één ding, een vrijwilliger met een “doneer nu”-knop voelt toch heel anders. Gezien de aard van de verplichtingen is dit wel een zwaar ding, dat echt nog fors op de schop moet. Gelukkig hebben een hoop partijen zich al hierover uitgelaten, dus ik ben benieuwd wat de volgende versie van de tekst gaat zeggen.

Waarom is het dan zo zwaar? De kern is dat ieder “product met digitale elementen” voldoet aan een serie basiseisen, en als je product op een aparte lijst staat dan ben je “critical” en krijg je nog een extra set eisen op je ontwerp-bord. (Stop je er AI in dan krijg je nóg meer eisen, waarover een andere keer.) Het is jouw taak als fabrikant aan te tonen dat je voldoet aan die eisen, en om dat vooraf schriftelijk uitgewerkt te hebben (een cybersecurity risk assessment). Maar alleen een papieren gaapdocument is niet genoeg: je moet gedurende 5 jaar (of levensduur indien korter) een proces hebben om kwetsbaarheden op te lossen (art. 10 lid 6).

Maar er is meer, in die lijst met basiseisen staan namelijk deze twee heel belangrijke componenten:

  1. Products with digital elements shall be designed, developed and produced in such a way that they ensure an appropriate level of cybersecurity based on the risks;
  2. Products with digital elements shall be delivered without any known exploitable vulnerabilities;
Die tweede klinkt meteen héél erg sterk: een product mag niet worden verkocht als er bekende kwetsbaarheden in zitten. Hoe ga je dat doen met een productielijn waarbij het zeg drie maanden duurt van fabriek tot schap in de winkel? Dat kun je zien als een bug, maar ik zie het als een feature: ontdekt men een fout dan moet je dus meteen een update realiseren die direct bij verkoop beschikbaar komt. Of inderdaad je distributeurs instrueren dat apparaat niet te verkopen tot het is opgelost, zeg maar een recall net zoals bij glasscherven in de pindakaas. Ik zou dat wel een goeie vinden, dat we cybersecurity net zo ernstig vinden als glasscherven.

Om dit alles vorm te geven, wordt het aloude CE-keurmerk opgepoetst. Wie dit keurmerk voert, geeft aan dat zijn producten voldoen aan de CRA. Dat maakt aansprakelijkheid een heel stuk makkelijker, zeker in combinatie met de recent besproken AI Liability Directive die gewoon de bewijslast omkeert: wie het CE keurmerk voert en een onveilig product blijkt te hebben verkocht, moet bewijzen dat er niets aan de hand was anders moet hij alle schade vergoeden.

De grote uitdaging, zoals Hubert ook opmerkt, is wie dit alles gaat overzien. Zonder standaarden gaat het niet, maar wie zal de standaard maken over cybersecurity? Hubert:

I have personally been part of a few standardisation processes, and it is extremely worrying how these are dominated by just a few parties, most of them non-European and with strong commercial goals to get a standard passed that works for them.
Dit beeld zal herkenbaar zijn voor iedereen (ikzelf ook) die ooit met standaardisatie heeft meegekeken. Dit zou wel eens het grootste struikelblok kunnen gaan worden. Tegelijkertijd: alleen met een open norm eisen dat een product veilig genoeg is, gaat hem ook niet worden. Dan verzint iedereen eigen criteria en krijgen we jarenlange discussie over waar welke lat zou moeten liggen. Een standaard set eisen is de enige optie. Dus dit gaat nog erg pijnlijk worden, en ik ben bezorgd dat het hierdoor veel langer gaat duren dan nodig is.

Arnoud

 

Brussel tikt Apple op de vingers om App Store-regels kosten abonnementen

Geplaatst op in Ondernemingsvrijheid, Regulering, 2 reacties
LoboStudioHamburg / Pixabay

Apple mag appontwikkelaars niet verbieden om klanten over prijsverschillen binnen en buiten de appstore te informeren, las ik bij Nu.nl. Brussel heeft het techbedrijf daarvoor op de vingers getikt: een Formele Boze Brief oftewel statement of objections, de eerste stap in een mededingingsonderzoek dat kan uitmunten in een forse boete voor het elektronicabedrijf.

Wanneer een betaling via de App Store van Apple loopt, krijgt het bedrijf daar 30% van (soms minder). Dat is op zichzelf prima, zegt de Commissie: dat is geen onredelijk tarief voor dit betaalmiddel en er worden ook kosten voor de App Store mee gefinancierd. Maar wat Apple daarbij doet, is bedrijven verbieden in de app (of elders) te melden dat men goedkoper uit is door de betaling op een andere manier te doen, zoals via de eigen site.

Apple mag verplichten dat alle appbetalingen op bijvoorbeeld iPhones via de App Store gaan. Maar het techbedrijf mag niet verbieden dat appontwikkelaars mensen informeren dat er goedkopere betaalopties buiten de App Store om bestaan. Dit is onwenselijk:

The Commission’s preliminary view is that Apple’s rules distort competition in the market for music streaming services by raising the costs of competing music streaming app developers. This in turn leads to higher prices for consumers for their in-app music subscriptions on iOS devices. In addition, Apple becomes the intermediary for all [in-app purchase] transactions and takes over the billing relationship, as well as related communications for competitors.
Het hier specifiek over muziekstreaming omdat het onderzoek volgt uit een klacht van muziekstreamer Spotify, die natuurlijk concurreert met Apple Music en nu op het Apple-platform duurder is dan Music of minder winst zou mogen maken als ze de prijzen verlaagt om wél concurrerend te zijn. De uitspraak zal dan ook over muziekstreaming gaan, maar omdat het gaat om een algemene regel is de kans natuurlijk groot dat hetzelfde gaat gelden in andere gebieden.

Apple wordt nu in de gelegenheid gesteld te reageren. Ze hebben het druk; in januari startte de Japanse markttoezichthouder een vergelijkbaar onderzoek maar dan gericht op het niet toelaten van alternatieve betaaltechnieken vanuit de app.

Arnoud

Tesla past filmen met Sentry Mode-camera’s in Nederland aan na AP-onderzoek

Geplaatst op in Privacy, Regulering, 14 reacties

Tesla gaat voor Nederlandse gebruikers aanpassen hoe de Sentry Mode werkt, las ik bij Tweakers. De vier camera’s op de auto’s filmen voortaan niet meer standaard, en de bewaartermijn gaat omlaag. Dit op last van de Autoriteit Persoonsgegevens. Maar Tesla krijgt geen boete of andere sanctie: men ziet de bestuurder als de verwerkingsverantwoordelijke.

In 2019 blogde ik over de toen-net-ingevoerde Sentry Mode:

Deze modus zorgt ervoor dat verscheidene camera’s worden gebruikt om een beeld van 360 graden rondom de auto op te nemen. De nieuwere Tesla’s hebben acht camera’s rondom het voertuig en kunnen daarmee dus worden ingezet om bijvoorbeeld onvoorzichtige fietsers of doelbewuste bekrassers vast te leggen, zodat er bewijs is van hoe schade is ontstaan.
Mensen vroegen zich toen af of dat strafbaar was. Nee dus, dit is geen ‘aangebrachte’ camera in de zin van het strafrecht omdat een Tesla regelmatig verplaatst wordt. Een privacyschending is het ook niet, dat volgt uit jurisprudentie uit alweer 2009 over een camera die vanuit huis de auto in de gaten houdt.

Maar de AP gaat over de AVG, en komt daarbinnen terecht tot de conclusie dat het hier gaat om verwerking van persoonsgegevens – mensen komen herkenbaar in beeld, en dat valt onder de Europese regels over verwerking van persoonsgegevens. Dit dus los van de vraag of mensen hun privacy wordt geschonden als ze op de openbare weg langs een Tesla lopen.

Gegevensbescherming gaat over zaken als transparantie, weten dat iemand gegevens verzamelt en wat er dan gebeurt. De AP legt uit wat er zoal veranderd is:

Zo komt de Sentry Mode nu alleen in actie als de auto aangeraakt wordt. En niet zodra de camera’s een ‘verdachte’ beweging rond de auto zien. Ook gaat de auto op zo’n moment niet standaard filmen, maar krijgt de eigenaar alleen een tekstbericht op de telefoon.

De auto kan nog steeds camerabeelden maken, maar alleen wanneer de gebruiker die functie zelf inschakelt. Als de camera’s beelden opnemen, geeft de auto dit aan op het scherm in de auto. Ook geven de koplampen dan een speciaal lichtsignaal. Zo weten mensen dat zij gefilmd worden.

De AP ziet de eigenaar/bestuurder van de auto als verwerkingsverantwoordelijke. Dat is logisch vanuit de AVG, want de bestuurder beslist over het aanzetten van deze modus en over wat er met de beelden gebeurt. Tesla zegt namelijk dat ze niet voor hen toegankelijk zijn en ze ook niet zelf aan of uit kan zetten.

Een privépersoon kan zeker ook onder de AVG vallen. Er is een uitzondering voor persoonlijk/huishoudelijk gebruik van persoonsgegevens, maar die geldt niet bij het verzamelen van persoonsgegevens in het openbaar. Dat is een grijs gebied bij camera’s rond je huis, maar een auto parkeer je gewoonlijk op de openbare weg – in ieder geval als je Sentry Mode meent nodig te hebben lijkt me.

Het mooie van deze uitspraak is voor mij vooral dat de AP het bedrijf Tesla aanspreekt, hoewel die dus niet de verantwoordelijke voor de opnames zijn. Tesla maakt ‘slechts’ middelen, en onder de AVG is niet duidelijk in hoeverre dergelijke partijen gehouden zijn AVG compliant middelen op te leveren. Gezien de praktische impact van deze vorm van camerasurveillance is het dus goed dat Tesla deze kant kiest.

Arnoud

 

Rechter: burgemeester van Utrecht mocht geen online gebiedsverbod opleggen

Geplaatst op in Regulering, Uitingsvrijheid, 5 reacties

De burgemeester van Utrecht mocht een jongen uit Zeist in 2021 niet verbieden om online een oproep te doen om in opstand te komen tegen het coronabeleid en het vuurwerkverbod. Dat las ik bij Security.nl. De rechtbank Midden-Nederland had de primeur om te oordelen over de online gebiedsverboden, en is (terecht) kritisch. Het onderwerp is al ingewikkeld genoeg zonder dat termen als “plaats” worden opgerekt naar wat we ooit cyberspees noemden.

De jongen had in november 2021 opgeroepen: “Utrecht in opstand, nee 2G & nee vuurwerkverbod! 26-11-21, 19.30, Kanaalstraat, Be there!!! Neem je matties & vuurwerk mee.” Dit is typisch een voorbeeld van “aanzetten tot openbare-ordeverstoring” waar APV’s voor gemaakt zijn en burgemeesters bevelen tegen uit kunnen delen. Om nou te zeggen dat dit strafbaar is nee, maar het idee dat een club matties met vuurwerk gaat rondlopen vrijdagavond 19.30 (vlak na een coronapersconferentie, u weet wel toen alles dicht was), ja dat neigt wel naar verstorend.

Ingrijpen dus. Alleen: de jongen stond niet op een bankje in het park te roepen, waar de politie hem zonder twijfel had kunnen oppakken voor zo’n ordeverstoring. Hij zei dit namelijk in een Telegramgroep, terwijl hij fysiek in de naburige gemeente Zeist was op dat moment. Dan komen we dus bij de online ordeverstoring, waar Almelo in december haar APV voor aanpaste. Utrecht dacht dat men het met het ‘gewone’ ordeverstoringsartikel 2:2 APV aankon:

Onverminderd het bepaalde in de artikelen 424, 426 bis en 431 van het Wetboek van Strafrecht is het verboden op of aan een openbare plaats of in een voor publiek toegankelijk gebouw, op enigerlei wijze: … de orde te verstoren; … deel te nemen aan een samenscholing … door uitdagend gedrag aanleiding te geven tot wanordelijkheden.
De Telegram-oproep was dus het “uitdagend gedrag” dat aanleiding zou geven tot wanordelijkheden, voornoemde jeugdige matties die explosief materiaal ongecontroleerd tot ontploffing brengen buiten de daartoe aangewezen tijden. De burgemeester had gesteld dat je dit zo moet lezen dat de wanordelijkheden op die openbare plaats of dat gebouw plaats zouden vinden, maar dat het uitdagend gedrag ook elders mag gebeuren. De rechtbank leest het anders:
De APV-bepaling is duidelijk bedoeld voor de situatie dat er op de openbare plaats uitdagend gedrag wordt vertoond dat aanleiding geeft tot wanordelijkheden. Dit blijkt in de eerste plaats uit de tekst van artikel 2:2, eerste lid, onder g, van de APV zelf. Er staat namelijk dat het verboden is op of aan een openbare plaats op enigerlei wijze door gedrag aanleiding te geven tot wanordelijkheden. In de tweede plaats volgt uit de toelichting op het artikel ook niet dat het gedrag digitaal zou kunnen plaatsvinden. De bewoording ‘op enigerlei wijze’ in het artikel doet daar niet aan af, aangezien het gaat om gedrag op of aan een openbare plaats dat op enigerlei wijze kan worden geuit.
Alleen al daarom is het gedrag van de jongen niet aan te pakken met dit 2:2 APV. Maar de rechtbank gaat verder, stel dat er wél iets van “of via een elektronisch communicatiemiddel” of “op social media” in de APV had gestaan. Had het dan wel gemogen? Nee:
Als de uitleg van de burgemeester van artikel 2:2, eerste lid, onder g, van de APV vervolgens zou worden gevolgd, is er dus sprake van een verbodsbepaling in de APV om op social media uitdagende uitlatingen te doen die aanleiding geven tot wanordelijkheden. Dit is niet toegestaan, want in een gemeentelijke verordening mag de inhoud van uitlatingen niet aan banden worden gelegd. Het is een lokale regelgever (in dit geval de gemeenteraad) namelijk niet toegestaan om grondrechten te beperken wanneer een dergelijke beperking niet kan worden teruggevoerd op een wet in formele zin.
De vrijheid van meningsuiting (oproepen tot wanordelijkheden is óók een mening) staat in de Grondwet, en mag alleen worden beperkt als het parlement daar een wet (“wet in formele zin”) over aanneemt. Denk aan de strafwet over smaad, of de AVG over meningen met andermans persoonsgegevens. De APV is geen wet in formele zin, en mag dus niet over de inhoud gaan. Een APV mag wel “na 22:00 lawaai maken” verbieden, en hard je mening roepen is dan aan te pakken, maar dat is dan vanwege het volume en niet vanwege de inhoud.

Hoe had dit nu uitgepakt onder de Almelose APV? Die verbiedt immers:

Het is verboden om via digitale middelen, onder andere via internet, virtuele ruimtes en sociale media, uitingen te doen, te delen en/of in stand te laten, die kunnen leiden tot een fysieke verstoring van de openbare orde binnen het grondgebied van de gemeente Almelo, dan wel voor het ontstaan van een ernstige vrees daarvoor.
Aan de letter van dit verbod is mutatis mutandis (zoals juristen zeggen, techneuten zeggen s/Almelo/Utrecht/) wel voldaan. Maar je komt meteen bij hetzelfde probleem uit: dit verbod verbiedt het doen van uitingen, oftewel het geven van meningen. Hoewel het iets subtieler is geformuleerd: niet “uitdagende uitingen” (wat iets zegt over hun inhoud/karakter) maar “uitingen die leiden verstoring”, dus het gevolg. Dat mag je in de fysieke wereld ook reguleren, dus waarom niet online?

Eind januari kwamen er antwoord op Kamervragen over het Almelose online verbod, met daarin deze nadere nuancering:

Er is daarmee pas aanleiding om op te treden wanneer er sprake is van een verstoring (of een ernstige vrees daarvoor) van de openbare orde binnen de gemeente Almelo. Overigens is het opleggen van bestuurlijke maatregelen wegens het verstoren van de openbare orde aan personen die niet woonachtig zijn in de betreffende gemeente niet ongebruikelijk.
Dat lijkt er dus op dat de rechter het Almelose verbod wél in stand zou houden bij een vergelijkbare casus.

Arnoud

Hoezo moet je je ID laten zien maar mag de politie je niet dwingen daartoe?

Geplaatst op in Regulering, 24 reacties

Een lezer vroeg me:

Ik las bij Security.nl een citaat van de minister van Justitie en Veiligheid: “Burgers zijn verplicht om hun identiteitsbewijs te tonen als de politie hier om vraagt. Het is echter niet mogelijk om iemand te dwingen om zijn of haar identiteit prijs te geven.” Kun jij als jurist duiden hoe je deze twee uitspraken met elkaar moet rijmen? Als je iets verplicht moet tonen, dan is dat toch dwang?
Dit bericht ken ik ook en ik moest het ook drie keer lezen. Dus ik ga even terug naar de wet, om precies te zijn artikel 2 van de Wet op de identificatieplicht (WID):
Een ieder die de leeftijd van veertien jaar heeft bereikt, is verplicht op de eerste vordering van een ambtenaar als bedoeld in artikel 8 van de Politiewet 2012 of artikel 6a van de Wet op de bijzondere opsporingsdiensten, een identiteitsbewijs als bedoeld in artikel 1 ter inzage aan te bieden. Deze verplichting geldt ook indien de vordering wordt gedaan door een toezichthouder.
In het jargon noemen we dit een toonplicht, en geen draagplicht: nergens staat dat je altijd een identiteitsbewijs bij je moet hebben, je moet het alleen op eerste vordering ter inzage geven. De grens hiertussen is subtiel, en de Rijksoverheid zegt heel praktisch dan ook dat het op hetzelfde neerkomt. Maar in theorie zou je partner jouw ID-bewijs bij zich kunnen hebben, zodat je het direct kunt pakken. (“Ik ga hem snel thuis halen, loopt u even mee” is géén “op eerste vordering tonen”.)

De politie moet een redelijke grond hebben om de vordering te mogen doen. Maar als die er is, en je werkt niet mee, dan is dat een strafbaar feit (art. 447e Strafrecht). En nu komt ‘ie: omdat je dan verdachte bent van een strafbaar feit, mag men onderzoek plegen om je identiteit vast te stellen. Zie de Aanwijzing uitbreiding identificatieplicht:

Degene die zich niet conform artikel 2 van de WID identificeert, maakt zich ingevolge artikel 447e Sr. schuldig aan een strafbaar feit. Daarmee worden vanzelf ook de bevoegdheden toepasselijk die het Wetboek van Strafvordering (Sv.) biedt om de identiteit van een verdachte te achterhalen. De aanleiding voor de vordering speelt hierbij een rol. In geval van een zwaar strafbaar feit zal toepassing van dwangmiddelen eerder aangewezen zijn dan in geval van een bekeuringssituatie.
Die dwangmiddelen kunnen omvatten het (onder dwang) afnemen van je vingerafdruk en je insluiten tot nader onderzoek is afgerond. Maar, en nu ben ik even een héél formele overheidsjurist, dit zijn allemaal middelen die buiten jouw wil om worden uitgevoerd. Jij wordt dus niet gedwongen zelf te zeggen wie je bent. Dat zoekt de politie zelf wel uit, het enige is dat jij in een cel blijft zitten totdat men klaar is. Zoiets denk ik dat de minister bedoelt.

Arnoud