Categorie: Regulering

About Regulering

Subscribe Feeds

Nederlandse politie arresteert man om maken van deepfakeporno van BN’er

Geplaatst op in Regulering, 29 reacties

De politie heeft onlangs een 38-jarige Amersfoortse man opgepakt omdat hij een deepfakeporno zou hebben gemaakt van de NPO-presentatrice Welmoed Sijtsma. Dat meldde Tweakers vorige week. De journalist en presentatrice van Goedemorgen Nederland en Op1 maakte er voor omroep WNL een vierdelige docuserie van, Welmoed en de seksfakes. Tijdens het maken van de docuserie is ook de maker van haar nep-filmpje opgespoord, die na verhoor weer is vrijgelaten. Dat roept de vraag op of en hoe deze man strafbaar is.

Een deepfake is een techniek voor het samenstellen van videobeelden met machine learning, meer specifiek een generatief antagonistennetwerk of generative adversarial network (GAN). Heel simpel uitgelegd bestaat een GAN uit twee AI systemen, de een genereert plaatjes en de ander probeert te zien of die gegenereerd zijn. Pas als die laatste ze niet herkent, zijn ze af. Maar los van de technische details, de omschrijving uit het AD “Mijn hoofd is op het lichaam van een pornoactrice gemonteerd.” laat prima zien waar het om gaat. Er zijn immers genoeg andere manieren om dit resultaat te bereiken, ze zijn alleen duurder of arbeidsintensiever dan een GAN.

Is dat strafbaar? Ja. Sinds een paar jaar hebben we een nieuw wetsartikel over onvrijwillige porno, namelijk art. 139h Strafrecht:

Met gevangenisstraf van ten hoogste een jaar of geldboete van de vierde categorie wordt gestraft: a.hij die opzettelijk en wederrechtelijk van een persoon een afbeelding van seksuele aard vervaardigt; b. hij die de beschikking heeft over een afbeelding als bedoeld onder a terwijl hij weet of redelijkerwijs moet vermoeden dat deze door of als gevolg van een onder a strafbaar gestelde handeling is verkregen.
Dit artikel is ingevoerd vanuit de wens om ‘wraakporno’ te bestrijden, zeg maar stiekem je partner filmen tijdens seks en dat publiceren om haar (het is vrijwel altijd een haar) pijn te doen of te vernederen. Maar ik zie geen reden waarom een GAN-gegenereerd beeld hier niet onder zou vallen.

De discussie gaat dan namelijk over de vraag of het een ‘afbeelding’ is. Dat lijkt mij wel: die persoon is herkenbaar in beeld, dat is het hele punt van de deepfake. Dat er geen beeldbewerking is gebruikt en dat je het portret wellicht niet zelf hebt gemaakt, is dan geen argument.

Ditzelfde woord ‘afbeelding’ staat namelijk in het wetsartikel dat kindermisbruikafbeeldingen (csam) strafbaar stelt. Daarbij is door de minister gezegd:

Voorts is sprake van vervaardigen van kinderporno als bijvoorbeeld een verdachte foto’s van kinderhoofdjes op pornografische foto’s van volwassenen plakt, realistische tekeningen of computeranimaties maakt, maar ook als (heimelijk) beeldmateriaal gemaakt wordt van (naakt) spelende kinderen, met een kenbaar seksuele strekking.
In het strafrecht betekenen dezelfde woorden dezelfde dingen. Als dus ‘afbeelding’ in 139h staat, dan geldt die uitleg van de minister ook voor artikel 139h. Dus is een “realistische tekening of computeranimatie” een vorm van “afbeelding”, en je kunt van een deepfake veel zeggen maar “tekening of animatie” dekt de lading prima. En dat de afbeelding een tekening is, is geen bezwaar om het een portret van iemand te noemen, zie het strafbareportretrecht (art. 31 Auteurswet). Ik zie dus het probleem niet.

Werkte ik bij de politie dan was ik een minderheid, want in NRC schrijft onderzoeker Marthe Goudsmit:

De huidige wettekst biedt wel ruimte voor een interpretatie waarbij deepfakes ook strafbaar zijn, maar is daar niet duidelijk over. Daardoor komt een slachtoffer dat aangifte wil doen in een soort lekkende pijpleiding terecht: allereerst zal de politie moeten inschatten dat pornografische deepfakes onder de huidige strafwet vallen. Als de politie denkt van niet, kan geen aangifte worden gedaan. Als de politie de aangifte echter wel opneemt, is voor vervolging nodig dat er een officier van justitie is die er brood in ziet. Als dat dan ook het geval is, zal uiteindelijk de rechter moeten bepalen of in art. 139h Sr met ‘beeldmateriaal’ ook nepfoto’s bedoeld worden. In het beste geval zegt de rechter ‘ja’. Maar de rechter kan ook ‘nee’ zeggen, en dan heeft Nederland geen wet die pornografische deepfakes strafbaar stelt.
De huidige richtlijnen van het OM gaan inderdaad niet in op het aspect “is een foto van werkelijk gebeurde seks” versus “een hoofd is op andermans lijf geplakt”. Ik vermoed omdat de aandacht twee jaar geleden vooral ging over dat eerste, deepfakes bestonden wel maar waren nog geen maatschappelijk fenomeen. Dat is wel een héél frustrerende opstelling.

Persoonlijk zou ik bij zo’n onduidelijkheid juist zeggen, forceer een uitspraak. Hoe dan ook is duidelijkheid beter dan gedraai en “mja wie weet”, toch?

Arnoud

Vraag om interieurfoto’s op te sturen voor WOZ-waarde valt slecht

Geplaatst op in Privacy, Regulering, 27 reacties
bedrck / Pixabay

De gemeenteraad van Enschede wil dat zijn inwoners niet meer om foto’s van de binnenkant van hun huis worden gevraagd. Dat meldde de NOS onlangs. Wethouder Marc Teutelink wordt volgens 1Twente als verantwoordelijke bestuurder op pad gestuurd, om alles in het werk te stellen om de proef met huis- en keukenfoto’s te beëindigen. Dit is raar, denken veel mensen, hoezo moet men het interieur zien voor de WOZ waarde? Maar het is een proef en daarom kan het niet stoppen. Eh.

Traditioneel wordt de WOZ-waarde van je huis bepaald door taxatie. Zoals expertisecentrum Waarderingskamer het uitlegt:

Gemeenten gebruiken hiervoor een vergelijkingsmethode, ook wel bekend onder de naam modelmatige waardebepaling. Zowel verkoopcijfers als de kenmerken van een woning spelen daarbij een rol. De WOZ-waarde is de marktwaarde rekening houdend met enkele waarderingsvoorschriften. … Een gemeente beoordeelt in hoeverre woningen onderling vergelijkbaar zijn op basis van de bij de gemeente bekende objectkenmerken. Dit zijn bijvoorbeeld het woningtype, de grootte van de woning, de grondoppervlakte en het bouwjaar maar ook het onderhoudsniveau en de ligging.
In Twente ligt die taak bij het Gemeentelijke Belastingkantoor Twente, die nog een stapje verder gaat dan de uiterlijke kenmerken zoals hierboven geciteerd: ook van binnen moeten er kenmerken gedocumenteerd worden, oftewel je moet foto’s van je interieur opsturen.
De gegevens van de binnenkant van een woning (bijv. de staat van de badkamer/keuken, onderhoud, etc. ) zijn lastiger te beoordelen.  Hiervoor vragen wij de hulp van de inwoner. … Via een QR-code in de brief, wordt de inwoner door een foto-tool geleid. Stapsgewijs kan er van iedere relevante leefruimte een foto worden gemaakt. Ook kunnen er vragen over bijvoorbeeld de leeftijd van de keuken of badkamer worden beantwoord. Zo kan de onderhoudstoestand van de woning verduidelijkt worden.
Het zal theoretisch vast uit kunnen maken, dat ik een afgeleefde dertig jaar oude badkamer heb en de buren twee jaar terug een superdeluxe moderne badkamer met jetstream bubbelbad, of dat de balken bij mijn buren zwaar doorhangen en de zwammen de muur hebben overgenomen. Maar hoe je dat ook wendt of keert, het betekent dat je als burger de gemeente in je huis moet laten kijken zodat die de hoogte van een belasting op het pand kan vaststellen en dat gaat wel érg ver.

Geen zorgen, er worden geen persoonsgegevens verwerkt, aldus die brief met QR code. Eh ja haha, een huis is natuurlijk geen persoonsgegeven maar als je het administreert bij een belastingplichtige en er diens WOZ-aanslag op baseert dan natuurlijk wel. Dus op grond van artikel 5 AVG: kom nou.

Men lijkt de analogie te trekken met de menselijke taxateur, die ook in sommige gevallen verzoekt om het huis van binnen te mogen bekijken voor de waardebepaling. Alleen: je bent dus -precies vanwege privacy- niet verplicht die binnen te laten. Dat kan wel effect hebben op je WOZ waarde, want de taxateur zal dan pessimistischer taxeren. Weigeren de app te gebruiken “mag niet”, al is dus onduidelijk waarom niet. Op de ChristenUnie na steunden alle gemeentepartijen vervolgens een motie waarin het college, meer specifiek wethouder Teutelink, wordt gevraagd om bij het GBT aan te dringen op het beëindigen van de proef.

Dat blijkt echter ingewikkeld op een manier die alleen in de lokale politiek kan:

De wethouder heeft namelijk ook twee andere petten op: die van algemeen bestuurslid en – sinds afgelopen vrijdag – die van lid van het dagelijks bestuur van het GBT. En vanuit die rollen schetst Teutelink de context van het vragen naar interieurfoto’s. Die zit volgens hem in de *opkomst van zogenaamde ‘no cure no pay bedrijfjes’. Kantoren die bezwaren indienen voor woningeigenaren en geen vergoeding vragen als er geen succesvolle afronding is. “Die komen aan de deur en zeggen dat ze de WOZ-waarde lager kunnen krijgen door een bezwaar in te dienen. Dat kan tot wel 10 euro aan ozb schelen”, aldus Teutelink. Als de bezwaren gegrond worden verklaard, draait het GBT – en uiteindelijk de belastingbetalers – op voor de juridische proceskosten. “Dat kan wel oplopen tot 1,5 miljoen euro. En dat was niet nodig geweest als de WOZ-waarde vooraf duidelijk was geweest.”
Wat de foto’s hieraan veranderen, snap ik niet helemaal. Kennelijk bedoelt men, als de interieurfoto’s in het dossier zitten, dan is de WOZ-waardebepaling hélemaal correct en kan zo’n bureau het niet aanvechten met “de taxateur is niet eens binnen geweest!!1!” Dat is een niet te verwaarlozen argument, getuige bijvoorbeeld dit vonnis uit Den Haag (2007):
Ter zitting heeft verweerder verklaard dat de taxateur bij de taxatie niet in de woning is geweest; hij heeft volstaan met een buitenopname. Derhalve berust de stelling van verweerder, dat hem van scheurvorming in de woning niet is gebleken, niet op een concrete waarneming. Immers, niet valt in te zien hoe een taxateur zich, zonder in de woning te zijn geweest, een beeld heeft kunnen vormen van de aanwezigheid en de ernst van scheuren in de binnenmuren en de plafonds, laat staan van de invloed die de scheurvorming heeft op de waarde van de woning. Het vorenstaande brengt mee dat verweerder niet aannemelijk maakt dat met de verschillen tussen de woning en de vergelijkingsobjecten in voldoende mate rekening is gehouden. Niet kan worden geoordeeld dat de vastgestelde waarde van de woning in een juiste verhouding staat tot de behaalde verkoopprijzen van de vergelijkingsobjecten.
En ik vond ook nog nieuws uit 2020 waarin gemeenten aangeven ‘miljoenen’ kwijt te zijn aan WOZ-bezwaren. De kern is dus: er komt geen taxateur (want onderbemenst), je wacht op je WOZ-waarde en je gaat in bezwaar omdat je muren vol scheuren en zwammen zitten, waarna je én een lagere WOZ waarde krijgt én de gemeente de proceskosten betaalt (die dat bureau dus no-cure-no-pay mag houden). Ik citeer:
Van alle bezwaarschriften wordt gemiddeld 40 procent gegrond verklaard. Gemeenten zitten er dus vaak naast. Het is voor burgers vrij moeilijk om te achterhalen hoe een waarde precies tot stand is gekomen. De waarde wordt door een computer berekend en het huis wordt zelden door een taxateur bezocht om in detail te kijken hoe de staat is.
Dus ja, ik zie wel ergens hoe de gemeente tot dit beleid heeft kunnen komen. Tegelijk is dat een probleem als je er nu mee gaat stoppen: dan hanteer je een ongelijke methodiek (de waarde van voor en na het stoppen met de proef) en daar zullen die aasgieren, pardon bezwaarbureaus ook weer bovenop springen (gok ik dat de wethouder zou zeggen, maar hij is vast niet zo cynisch als ik). Dus dat is dan even ingewikkeld, juridisch gezien. Maar de oplossing kan dan niet zijn, iedereen moet z’n huis van binnen fotograferen met een aardappelcamera, pardon Samsung C3050. Is er capaciteit om al die foto’s dan wél te beoordelen?

Arnoud

 

Bunq mag AI inzetten voor controleren van klanten op witwassen

Geplaatst op in Ondernemingsvrijheid, Regulering, 30 reacties
RyanMcGuire / Pixabay

Internetbank Bunq mag AI inzetten om witwaspraktijken en het financieren van terrorisme te voorkomen, las ik bij Tweakers. De Nederlandsche Bank had de bank opgedragen om een traditionele, checklist-gebaseerde controle van haar klanten uit te voeren, maar de hoogste financiële bestuursrechter (het CBb) zegt nu dat dit te kort door de bocht was. DNB heeft niet bewezen dat bunq met haar methode van het vaststellen van het doel en de beoogde aard van de zakelijke relatie en de monitoring daarvan niet voldoet aan de open normen van de Wwft, aldus het CBb. De term “inzet van AI” is voor mij dan weer wat voorbarig.

De Wet ter voorkoming van witwassen en financieren van terrorisme (Wwft) bevat een controversiële eis, namelijk dat banken in de strijd tegen witwassen en financiering van terrorisme hun (nieuwe en bestaande) klanten moeten indelen in risicoprofielen, en op die basis ze meer of minder indringend monitoren. Zoals het FD schrijft: DNB vraagt om een analysemethodiek die een vaste set regels volgt en heel precies voorschrijft hoe banken dat moeten doen.

Bunq deed het anders: zij verdeelde haar klanten in twee groepen, de ‘gewone’ klanten en de ‘ongewone’ klanten noem ik ze maar even. De bank had namelijk een profiel van “regular users” gedefinieerd, en je kon daar binnen of buiten vallen:

  • Age: 18-60 year
  • Country of residence: NL, BE, DE, AT, IT, ES, FR
  • Purpose: Standard Payment Account
  • Monthly outgoing transaction volume: EUR 10.000
  • Maximum balance: EUR 10.000
  • Number of payments per month: Up to 150
Onderzoek van Bunq toonde aan dat de “overgrote meerderheid van de particuliere klanten” in dit profiel past en een klein risico met zich meebrengt. Standaard komen nieuwe klanten in dit profiel, en door monitoring van klantgedrag wordt gekeken of de klant er binnen blijft.
Op het moment dat dit niet (langer) het geval is, stelt bunq – afhankelijk van het risicoprofiel van de betreffende klant en de afwijkingen van de klant ten opzichte van het regular user profiel – automatisch een aantal vragen aan de klant. Als een klant deze vragen niet binnen de gestelde periode beantwoordt, wordt de klant toegang tot de rekening (tijdelijk) ontzegd.
Op basis van de antwoorden wordt het profiel van de klant bijgesteld, wat dus meestal zal leiden tot intensievere monitoring. Dat is binnen doel en strekking van de wet, want die schrijft geen specifieke techniek voor. Maar de DNB had er wel grote moeite mee, want Bunq onderzoekt nieuwe klanten niet in detail maar noemt iedereen “regular” totdat er risicosignalen komen. Zoals het CBb het samenvat:
In het bestreden besluit heeft DNB uiteengezet dat uit het gegeven dat bunq een standaardprofiel aan nieuwe particuliere klanten toekent kan worden opgemaakt dat dit profiel niet is gebaseerd op specifiek bij de klant ingewonnen informatie. Een standaardprofiel stelt een instelling verder niet in staat om te bepalen wat nu het doel en de beoogde aard van de zakelijke relatie is, maar leidt enkel tot een aanname van bunq daarover. Dat bunq heeft vastgesteld dat haar particuliere klanten een homogene groep vormen, maakt dat niet anders.
Het CBb concludeert echter dat Bunq wél adequaat handelt. De wet bevat een open norm, en DNB heeft niet inhoudelijk aangetoond waarom Bunq’s methode leidt tot foute of tekortkomende classificaties of monitoring. De standaardrekening is beperkt in wat je ermee kunt doen, de kans op risico op witwassen of financiering is derhalve klein. En bovendien corrigeert Bunq dus snel het beeld zodra de klant de grenzen opzoekt. Dat laatste is precies wat traditionele banken ook doen, want weliswaar moet je daar gedetailleerde formulieren invullen, daar kúnnen mensen immers liegen dus je moet toch continu monitoren wat er gebeurt dat afwijkt van het verwachte.

Het is dat continue monitoring waar die AI – machine learning – een rol speelt, als ik het zo lees. Ik zie wel hoe je met ML makkelijker patronen en uitschieters kunt detecteren, zodat je sneller en met minder handwerk kunt zien waar mensen rare dingen aan het doen zijn. Dit “behoeft geen bespreking meer”, aldus het CBb, want het bezwaar van DNB is kort gezegd dat als je aan de poort te makkelijk bent, je dús tekort schiet bij je continue controle:

Op de zitting van het College heeft DNB ook uiteengezet dat het ontoereikende cliëntenonderzoek aan de poort doorwerkt in de transactiemonitoring. Uit wat hierover onder 8.5.5 en 8.6.4 is overwogen, volgt dat dit uitgangspunt onjuist is. Daarom moet worden geoordeeld dat DNB niet het bewijs heeft geleverd dat bunq geen adequate voortdurende controle op haar zakelijke relatie met haar klanten uitoefent.
Wel was Bunq terecht op de vingers getikt voor het niet opvolgen van vier concrete dossiers met signalen, en het niet goed onboarden van politiek prominente personen (politically exposed persons of PEP). PEPs zijn extra kwetsbare categorieën burgers, zoals directeuren, landelijke politici of rechters. Signalen bij een PEP moeten dus gevoeliger en sneller worden opgepakt.

Bunq is erg blij natuurlijk, een ‘overwinning voor de vooruitgang’ noemt men het in het FD. En ja, het is zeker een goede zaak dat bevestigd is dat de Wwft open normen kent en dat de inzet van ML niet perse ontoereikend genoemd moet worden. Maar de strijd is nog niet gestreden: DNB kan nieuw beleid maken en een nieuw besluit nemen op de onderzoeksmethode van Bunq.

Arnoud

 

 

Soevereine-menstheorieën nu doorgedrongen tot Hoge Raad, natuurlijk wel afgewezen

Geplaatst op in Regulering, 83 reacties

Plaats van zetel regering tijdens WOII leidt niet tot onbevoegdheid raadsheren hof, zo las ik ineens bij de toch zeer degelijke TaxLive-blog van WoltersKluwer. Dat betrof een arrest van de Hoge Raad over een belastingzaak waarin de aangever had geprobeerd zijn loonbelasting op te voeren als een aftrekbare gift aan het ministerie van Financiën. Met het argument dat “de beslissing om de zetel van de regering gedurende de oorlogsjaren 1940-1945 buiten het Rijk te vestigen een ongrondwettige daad is geweest die niet zonder gevolgen kan [blijven]”, een wacht-wat-hoe argument dat mij meteen triggerde: dit zijn inderdaad die mensen die vinden dat ze het sociaal contract kunnen opzeggen, dat de Staat geen rechtsmacht over ze heeft enzovoorts.

Het is niet direct internetrecht als zodanig maar deze juridische theorieën zijn wel fors in opmars dankzij internet en haar unieke manier van informatie aanwakkeren en verspreiden. Bovendien erger ik me eraan dus dan mag ik erover bloggen: de soevereine burger. Het concept is over komen waaien uit Amerika, en is gebaseerd op de samenzweringstheorie dat lang geleden overheden zichzelf hebben omgezet naar bedrijven en hun burgers als onderpand (menselijk kapitaal) hebben opgevoerd, om zo handel met elkaar te kunnen drijven en zodat buitenlandse investeerders geld kunnen verdienen.

De precieze details wisselen met enige regelmaat, maar vaak wordt het opgehangen aan het moment dat de VS de goudstandaard voor geld losliet. Ik denk omdat de waarde van geld toch érgens aan gekoppeld moet zijn, en als het niet aan je goudvoorraad is dan zal het wel je burgers zijn, zoiets. Daarbij hoort dan de constructie dat er voor iedere burger een stropop (“masker” of “rechtspersoon”) wordt aangemaakt, een juridische fictie die het onderpand vertegenwoordigt. Jij als mens wordt dan met trucs voorgehouden dat je hetzelfde bent als die stropop, zodat jij boetes moet betalen en andere juridische plichten hebt te dragen. Maar zodra je die verbinding weet te verbreken, ben je weer soeverein en kunnen ze je niets maken. Dus.

Een uniek bijkomend argument voor Nederland is dat de regering (de Staat) eigenlijk sowieso geen legitimiteit heeft, omdat bij het begin van de Tweede Wereldoorlog de zetel van het Koninkrijk naar Londen verplaatst zou zijn – in strijd met artikel 21 Grondwet (1938). (Wat in 1922 voorzien was en afgedaan met de opmerking dat in noodsituaties als oorlog toch alles anders komt te liggen. Nood breekt wet, zelfs Grondwet.) Daarom hoef je dus eigenlijk niets met eisen die de overheid aan je stelt.

Bij loonbelasting is dat lastig, die eis kun je niet negeren want je werkgever houdt die in en maakt het over naar de Belastingdienst. Deze meneer had daar dus een truc voor: voer het bedrag op als een gift aan het ministerie van Financiën, in de taal van soevereinen een dochterbedrijf van de bv Nederland, ingeschreven bij de Amerikaanse Kamer van Koophandel waarmee die handel in burgers en kapitaal internationaal gefaciliteerd kan worden. Het zal geen lezer hier verbazen dat die truc niet ging vliegen en het beroep niet-ontvankelijk werd verklaard.

Dit is bij mijn weten de eerste keer dat zo’n argument doorgedrongen is tot de Hoge Raad (zij het de artikel 80a–afdoening). Eerder moest al wel het Hof Arnhem uitleggen dat zo’n stropop-masker niet bestaat en de regels gewoon gelden. Wrakingsverzoeken komen regelmatig voor, vrijwel altijd met het punt dat de rechtbank het onderscheid tussen henzelf en het masker niet maakt en dat die daarmee vooringenomen is. Niet dus. Het lijken wel incidenten te zijn, in sommige staten in de VS spreekt men van een ‘plaag’ aan juridische verzoekschriften, bezwaren en dergelijke.

Arnoud

Minister: digitale berichten overheid vergelijkbaar met aangetekende post

Geplaatst op in Regulering, 5 reacties
Pexels / Pixabay

Digitale berichten die de overheid naar de berichtenbox van burgers met een MijnOverheid-account stuurt hebben dezelfde waarborgen als aangetekende fysieke post, zo stelt minister Bruins Slot van Binnenlandse Zaken. Dat las ik bij Security.nl onlangs. Dit in reactie op een discussie over de status van digitale boodschappen in uw Mijn Overheid-berichtenbox tijdens het plenaire debat over de Wet modernisering elektronisch bestuurlijk verkeer. Deze zal in 2023 in werking treden en het onder meer mogelijk maken dat je digitaal berichten naar de overheid stuurt.

De status van aangetekende post in het recht is vrij hoog: al snel neemt de rechter aan dat post is aangekomen als je een PostNL-ontvangstbevestiging kunt laten zien. Niet altijd, zeker bij “geen gehoor” en geen bewijs van door de bus duwen. Het is dus een fijne procedurele stap die je kunt nemen bij dossieropbouw, je kunt dan in ieder geval het verweer “hebben we nooit gehad” aftikken als er een handtekening van de receptioniste of postkamer ligt dat het is aangenomen. (Dat de envelop wellicht leeg was, heb ik nooit als verweer in een vonnis aangetroffen.)

Bij digitale berichten is de aankomstbevestiging zeer kwetsbaar, er is geen breed gedragen technische standaard en in formele procedures vragen om een mail met ontvangstbevestiging voelt toch niet helemaal wenselijk. Dus het is fijn te bevestiging te krijgen dat een bericht in de berichtenbox telt als een aangetekend stuk. Waarbij dan twee situaties gelden: berichten van de overheid, en berichten aan de overheid. Zoals de minister het uitlegt:

Officiële elektronische berichten van de overheid worden doorgaans geplaatst in de berichtenbox van MijnOverheid. Het tijdstip van ‘bezorgen’ wordt daarbij vastgelegd en kan daarmee gemakkelijk worden bewezen. Problemen doen zich voor als iemand te laat in de berichtenbox kijkt en daarmee niet tijdig op het bericht heeft gereageerd. Hierom wordt verplicht om bij het plaatsten van een bericht binnen 48 uur aan de geadresseerde een (eveneens digitale) notificatie te sturen, tenzij deze heeft laten weten geen notificaties te willen ontvangen.
Dit is natuurlijk al de huidige situatie. De logging door het overheidsorgaan is cruciaal, en we vertrouwen erop dat de loggende instantie dat eerlijk doet. (Ik zie bij Security.nl de suggestie dat een slinkse ambtenaar het bericht achteraf kan wijzigen en/of de gelogde gegevens aan kan passen. Dit lijkt me sterk maar ik kan geen informatie vinden over de beveiliging van deze procedures.)

De omgekeerde situatie wordt heel simpel geschetst:

Bij elektronische berichten aan de overheid is voorgeschreven dat het bestuursorgaan de ontvangst van een bericht moet bevestigen.Het wetsvoorstel gaat er van uit dat dit een geautomatiseerde bevestiging is. De ontvangstbevestiging vormt voor de afzender het bewijs dat diens bericht is ontvangen.
Dat is leuk en aardig, maar betekent nu dus dat je toch moet hengelen om een bevestiging per e-mail, en maar moet afwachten wanneer de ontvangende ambtenaar dit gaat doen. Ja, ik heb altijd weinig hoop in autoreplies, helemaal als die enkel zeggen “uw mail is ontvangen” zonder bijvoorbeeld aan te geven of de bijlagen zijn aangekomen.

Het wetsvoorstel regelt het iets uitgebreider, art. 2:13 lid 1 en 2 Awb gaat luiden:

  1. Een ieder kan een bericht dat deel uitmaakt van een procedure over een besluit of een klacht of een ander krachtens wettelijk voorschrift voorgeschreven bericht elektronisch aan een bestuursorgaan zenden.
  2. Bij wettelijk voorschrift of bij besluit van het bestuursorgaan wordt voor ieder type bericht als bedoeld in het eerste lid, gelet op de aard en de inhoud van het type bericht en het doel waarvoor het wordt gebruikt, een voldoende betrouwbare en vertrouwelijke wijze van verzenden aangewezen.
Het overheidsorgaan moet dus een elektronisch kanaal openstellen voor deze formele communicaties van de burger, en moet zorgen dat dit betrouwbaar en veilig is. Daar hoort dus logging van ontvangst bij. (Voor andere systemen mág het overheidsorgaan iets dergelijks doen, maar dat moet dan apart als keuze gemeld worden, art. 2:14 nieuw.)

Een ontvangstbevestiging wordt apart verplicht gesteld in art. 2:18:

  1. Een bestuursorgaan bevestigt de ontvangst van een elektronisch bericht als bedoeld in artikel 2:13, eerste lid, dat is verzonden overeenkomstig het tweede lid van dat artikel en met inachtneming van de nadere eisen, gesteld krachtens het derde lid van dat artikel, tenzij:

    • a.het bestuursorgaan en de verzender gebruikmaken van hetzelfde systeem voor gegevensverwerking en de verzender in dat systeem kan zien dat het bericht voor het bestuursorgaan beschikbaar is; of

    • b.van de verzender geen elektronisch adres beschikbaar is.

  2. 2.Indien een bericht als bedoeld in artikel 2:13, eerste lid, aan een bestuursorgaan wordt verzonden door de rechtstreekse invoer van gegevens in een systeem voor gegevensverwerking van het bestuursorgaan, stelt het bestuursorgaan de ingevoerde gegevens aan de verzender ter beschikking op een voldoende betrouwbare en vertrouwelijke manier.

In veel gevallen zal de communicatie verlopen via een berichtenbox. Dan moet het overheidsorgaan een notificatie sturen van de plaatsing (of afkeuring) van het bericht dat de burger uploadde:
In dat geval zal van de in de berichtenbox geplaatste ontvangstbevestiging op grond van het voorgestelde artikel 2:10 een notificatiebericht moeten worden gezonden (zie paragraaf 3.4.3). Een andere mogelijkheid is de bevestiging op het scherm waarin het bestuursorgaan meedeelt dat het bericht is ontvangen. Om de archieffunctie van de ontvangbevestiging te waarborgen, zou in dat geval een te downloaden versie hiervan ter beschikking kunnen worden gesteld.
Die downloadbare bevestiging lost dus het probleem op van de achterdochtige Security.nl reageerder, want als jij een digitaal getekende PDF hebt dat je bericht met inhoud X op datum Y ontvangen is, dan kan geen slinkse ambtenaar daar inhoud X’ van maken of het bericht weghalen.

Arnoud

Rechtbank Breda veegt zaak met Sky-Ecc bewijs van tafel

Geplaatst op in Regulering, Security, 9 reacties

Een man die werd verdacht van handel in 40 kilo MDMA, 300.000 xtc-pillen en ruim twintig kilo ketamine is door de rechtbank in Breda geheel vrijgesproken omdat de rechtbank het enkele bewijs van een reeks door de politie ontsleutelde pgp-berichten van Sky-ECC niet voldoende vindt. Dat meldde Crimesite onlangs. De uitspraak is opmerkelijk, omdat in tientallen rechtszaken zwaar is geleund op Sky-ECC berichten zonder dat rechters daar moeite mee hadden.

In 2016 wist de Nederlandse politie een gouden greep te doen in afluisterland: men kreeg de sleutels te pakken waarmee versleutelde communicatie tussen criminelen te ontcijferen was – de app Sky ECC van het bedrijf Ennetcom. Sindsdien zijn de betreffende berichten in vele zaken gebruikt, een snelle zoekopdracht geeft 84 uitspraken waarbij het mede ging om Sky ECC berichten.

In vrijwel al die zaken maakte de advocaat een punt van de toelaatbaarheid van dit bewijs. Meestal ging het dan om inzage in de hele dataset die hoorde bij het account van de verdachte, omdat je berichten in de context wil kunnen beoordelen. Dat is een principieel punt, in het kader van een eerlijk proces (artikel 6 EVRM) moet je als verdediging het gebruikte bewijs kunnen beoordelen:

De rechtbank stelt vast dat er verschillende niveaus van onderzoek aan data te onderscheiden zijn. Op het eerste niveau gaat het om het onderzoek naar de ruwe, ongefilterde data (de primaire dataset). … In de praktijk kan dit betekenen dat de verdediging zelf trefwoorden kan aandragen waarop zij de data wil laten onderzoeken. In dit stadium mag wat het EHRM betreft echter wel het nodige van de verdediging verwacht worden om te specificeren wat en te motiveren waarom daarnaar gezocht moet worden.
Een Excelsheet met de relevante conversatiedraden kun je krijgen, en voor de rest kun je spelen met het systeem van het NFI. Wie om meer vraagt (zoals alle ruwe data over de zaak, alle gesprekken waar je aan deelnam, of documentatie over hoe alles precies is verkregen) krijgt al snel het verwijt van “fishing expedition” om de oren:
Aan verzoeken die neer zouden komen op “fishing expeditions” van de zijde van de verdediging hoeft niet tegemoet te worden gekomen. Ook schrijft het EHRM niet voor dat de verdediging dit onderzoek zelf zou moeten kunnen uitvoeren. De mogelijkheid om aan te geven hoe de data onderzocht moeten worden is in deze fase voldoende.
In de zaak waar deze blog mee begon, zit de rechter er zelf ook mee dat ze niet alle berichten kan inzien:
De rechtbank stelt vast dat de verdenkingen tegen verdachte gebaseerd zijn op de in het procesdossier aanwezige Sky ECC-berichten. Deze berichten komen naar het oordeel van de rechtbank allemaal uit één bron, namelijk de gekraakte berichtendienst Sky ECC. Dat door het Openbaar Ministerie wordt verwezen naar meerdere chatsessies van het account [accountnummer] met verschillende andere gebruikers van Sky ECC maakt dit niet anders. In het procesdossier zijn geen bewijsmiddelen opgenomen die de inhoud van de berichten ondersteunen. Hierdoor is de inhoud van de berichten niet te toetsen. De rechtbank is van oordeel dat hierdoor het wettige bewijs voor de tenlastegelegde feiten ontbreekt. Zij spreekt verdachte daarom vrij van alle tenlastegelegde feiten.
Bij Crimesite lees ik dan als conclusie dat “[z]onder context van alle berichten zouden de Sky-berichten die het Openbaar Ministerie heeft aangedragen [] moeten worden uitgesloten van het bewijs.” Dat gaat me dan weer wat ver. Ik haal uit deze uitspraak dat er geen ander bewijs was tegen de verdachte, zoals bij hem gevonden drugs (deze of deze zaak). Ik zie in de tenlastelegging bijvoorbeeld dat de verdachte enorme hoeveelheden xtc en mdma zou hebben gehad en verhandeld, maar niets over een huiszoeking waar dat gevonden zou zijn of een getuige die de verkoop heeft gezien bijvoorbeeld.

Maar het punt is op zich wel heel belangrijk: hoe stel je vast dat een chatlog een betrouwbare weergave is van wat de verdachte gechat heeft? Natuurlijk zit er een hele bewijsketen aan vast om precies dit vast te stellen, bij instanties als TNO (de Hansken-tool, waarmee deze berichten worden doorzocht, komt van TNO) mag je er wel op vertrouwen dat die het goed op orde hebben. Maar als het gaat om vragen als “hebben we alle relevante berichten” of “wat is er gezegd óver de verdachte” dan ontstijg je dat niveau.

Arnoud

 

Laadpaalkleven mag in principe, oordeelt de Hoge Raad

Geplaatst op in Regulering, 29 reacties

Het is niet verboden een elektrische auto bij een laadpaal te laten staan als die al is opgeladen, meldde de NOS onlangs. De Hoge Raad oordeelde namelijk dat het niet relevant is of je accu daadwerkelijk aan het laden is, het gaat om het doel van daar staan. Ziet een gemeente dat anders, dan moeten ze hun APV maar aanpassen, als ik het goed begrijp.

Het probleem van laadpaalkleven is bij veel elektrischeautobezitters bekend: iemand staat op een laadplek maar de accu is geheel vol (te zien aan het groene lampje), terwijl jij die net wil laden nu niet terecht kan. Steeds meer gemeenten doen daar wat aan, meestal met het verkeersbord E04 met onderbord ‘opladen elektrische voertuigen’.

In de zaak die tot dit arrest leidde, had een man in Den Haag bij zo’n plek geparkeerd met het doel om te laden, maar had zijn auto dus laten staan nadat de accu vol was. Hij kreeg daarop een naheffing parkeerbelasting, die hij aanvocht met het argument dat hij helemaal niet aan het laden was. Eh, pardon? Ja, dat is een goed argument: op een parkeerplaats parkeren in strijd met het onderbord is verboden, en alleen op plekken waar je toegestaan parkeert, kun je een naheffing parkeerbelasting krijgen. (Hij had een parkeerboete van 95 euro kunnen krijgen inderdaad, maar dat is niet gebeurd.)

In april blogde ik over een zaak van het Hof Arnhem waarin men het wél boetewaardig (die 95 euro) vond om op een laadplek te blijven staan nadat de accu vol was. Dat deden ze in juni nog eens over, met een niet mis te verstane formulering:

Het hof stelt voorop dat geen sprake is van parkeren met het doel “opladen elektrische voertuigen” wanneer het voertuig niet daadwerkelijk wordt opgeladen. Dat een voertuig gedurende enige tijd wordt opgeladen nadat het op een daarvoor bestemde parkeerplaats wordt neergezet, doet er niet aan af dat het parkeren niet (meer) met dit doel plaatsvindt wanneer de batterij vol is (vergelijk het arrest van dit hof van 17 maart 2022, ECLI:NL:GHARL:2022:2105).
De gemeente Den Haag had natuurlijk belang bij die naheffing, en stelde zich dan ook op het standpunt dat hij wél geparkeerd stond met het doel om te laden, immers de auto was aangesloten en had kunnen laden. Dat de auto feitelijk geen stroom afneemt, is een detail: het had gekund. De auto stond dus geparkeerd om te laden, en die status houd je tot je wegrijdt. En de Hoge Raad gaat daarin mee:
De omstandigheid dat de accu van een elektrische auto die is aangesloten op een laadpaal op enig moment niet of niet meer wordt opgeladen, dwingt, anders dan het middel veronderstelt, niet tot de gevolgtrekking dat de auto op de desbetreffende parkeerplaats is geparkeerd met een ander doel dan het opladen van de accu van die auto. De heffingsambtenaar is in een dergelijk geval niet gehouden nader onderzoek te doen naar het doel waarmee de auto is geparkeerd.
Bijgevolg mogen paalklevers dus inderdaad voor onbepaalde tijd blijven staan, zolang ze maar parkeerbelasting betalen. Een gemeente die dat vervelend vindt, moet dus andere maatregelen nemen zoals een eindtijd voor überhaupt daar parkeren.

Arnoud

 

Cloudflare blokkeert stalkerforum wegens ‘acute dreiging voor mensenlevens’, dit blijkt controversieel

Geplaatst op in Regulering, Uitingsvrijheid, 5 reacties

Cloudflare blokkeert websites normaal niet, maar ziet in de website Kiwifarms een ‘acuut noodgeval en een onmiddelijke dreiging voor mensenlevens’. Dat meldde Tweakers vorige week. De site is berucht vanwege haar veelvuldige intimidatie van online persoonlijkheden en gemeenschappen, met meerdere zelfmoorden tot gevolg. Ze zouden zich daarbij vooral richten op minderheden, vrouwen, lhbt-personen of neurodiverse personen. Nadat ook een Russische collega (DDoS-Guard) de dienstverlening staakte, lijkt het daarmee voorbij met deze site. Het gaf veel ophef, vooral van het soort “waar bemoeit een bedrijf zich mee” en “waar trek je dan de lijn”. Als jurist vind ik daar wat van.

De term “stalkerforum” die ik in diverse media zie, doet niet echt recht aan wat Kiwifarms is. Wikipedia heeft een wat uitgebreidere beschrijving, maar ik krijg algemeen de indruk dat iedereen wel vindt dat deze site echt niet moet kunnen. Toch is ‘ie er nog, althans tot voor kort omdat een serie protesten bij Cloudflare (en de ophef daarover, die ook bij DDoS-Guard aankwam) ertoe leidde dat men de site niet langer wilde faciliteren. En daarmee was het einde verhaal. Althans voorlopig, dit soort clubs heeft er een handje van elders weer terug te komen. Maar dat moet maar blijken.

De eerste vraag van veel mensen is dan natuurlijk, waarom doet Justitie hier niets aan. Het is evident dat hier ernstige strafbare feiten worden begaan, dus ligt vervolging voor de hand. Althans, in de traditionele opvatting: Kiwifarms is natuurlijk niet een clubje uit één land waarbij de betrokken personen direct aan te spreken zijn door oom agent. Dit is een klassiek probleem in het technologierecht, het grensoverschrijdende aspect waardoor de land-georiënteerde politieapparaten moeilijker in kunnen grijpen. Daarnaast is intimidatie natuurlijk een notoir lastig onderwerp om strafrechtelijk tegen op te treden. Om diezelfde reden is een civielrechtelijke aanpak – de slachtoffers slepen de club voor de rechter met eis tot schadevergoeding – niet echt haalbaar.

Als je dan structureel grof ongepast gedrag ziet en de overheid lijkt niet bij machte daar wat aan te doen, dan krijg je tegenkrachten. Zoals een doelwit van de site –  Clara Sorrenti – die besloot georganiseerd tegengas te geven. Wat er onder meer toe leidde dat iedereen die op Twitter of Linkedin had vermeld bij Cloudflare te werken, een berg berichten kreeg met het dringend verzoek te stoppen om stalkers te hosten. Iets dat deze mensen nogal overlastgevend vonden, wat bij slachtoffers van stalking dan weer tot weinig sympathie leidde. Na enig gedraai hakte Cloudflare dan toch de knoop door en verwijderde ze de site.

Oké, de term ‘gedraai’ was niet heel aardig; Cloudflare zoekt naar een opstelling waarmee zij als centrale internet-infrastructuur-partij een balans vindt tussen een neutrale dienstverlener zijn en de maatschappij beschermen. Het voornaamste argument is dan dat zij niet in een positie moet zijn om te oordelen of een klant de wet overtreedt, dat hoort bij de overheid te liggen. Die hebben we vaker gehoord: ik zie het principe, maar er zijn genoeg gevallen waarin we van private partijen vragen om zelf juridische afwegingen te maken en knopen door te hakken. Zoals met notice/takedown in de hostingwereld: je moet onderzoeken of een klacht juist is, en “ik wacht het gerechtelijk bevel wel af” is gewoon geen argument. De reden is simpel: het juridisch systeem kan het niet aan dat we voor iedere klacht een rechtszaak beginnen, en dat hoort ook niet te hoeven gezien de hoeveelheid slimme juristen die bedrijven in kunnen schakelen.

Reageerder Jeroen wees me recent op een artikel bij Techdirt, waarin men de fundamentele discussie samenvat:

The reality is not that simple. Whether content is good or bad is not a clear thing. Lots of people think it is, but it’s not. What’s good to some people is bad to others. It’s not like there are obvious decisions here. Everything involves judgment calls, and even if you can point to something like Kiwi Farms and say that the only people who can see any good in it are sociopathic, it still leaves you with other questions and challenges with no easy answer.
Men trekt de analogie naar een schaal van 0 tot 100: 0 is onbevlekt goed, en 100 is Kiwifarms. Dan is het begrijpelijk dat je ingrijpt bij die partij, maar waar leg je dan de grens? Bij 95? 90? 75? Maar hier zit volgens mij een principieel punt verkeerd: je hoeft niet eerst het algemene probleem op te lossen voordat je in een concrete situatie mag zeggen “nu moet je ingrijpen”. In het Nederlands recht is er bijvoorbeeld geen allesomvattende definitie van wat “fraude” is, maar dat Sywert en consorten die begaan hebben, daar zijn we het wel over eens.

Techdirt voegt toe:

The real question should be why have we set up this world where it’s Cloudflare’s decision to make in the first place? And, once again, that leads us back to what seems to be at the heart of so many of these content moderation debates: there are larger societal issues at play here, and the one party that is supposed to be dealing with larger societal issues, the government, continues to fail to deal with anything… and then leaves it up to private corporations to shoulder the burden — and the widespread hate.
Ik weet alleen niet of dit het probleem zou oplossen. Het lijkt me namelijk onmogelijk om alles zo ver uit te schrijven dat een bedrijf bij iedere klacht eenvoudig kan bepalen of ze in moet grijpen. En bij iedere klacht een rechtszaak beginnen is eenvoudigweg te veel werk en kost de maatschappij te veel.

Arnoud

Man die persoonsgegevens stal uit GGD-coronasysteem veroordeeld door rechtbank

Geplaatst op in Regulering, Security, 27 reacties

De rechtbank in Utrecht heeft een 23-jarige Rotterdammer veroordeeld voor de diefstal van persoonsgegevens uit het coronasysteem van de GGD in 2020. Dat meldde Tweakers vorige week. Het is een vervolg op een ontdekking uit januari vorig jaar, toen grootschalig bleek te worden gehandeld in GGD-gegevens uit deze systemen. Er werden toen ook twee mensen aangehouden, waarvan er nu dus een veroordeeld wordt voor computervredebreuk met datadiefstal. Dat is in zoverre opmerkelijk omdat deze meneer wel degelijk in het betreffende systeem mocht zijn.

De kern van hoe dit kon gebeuren haal ik uit dit stukje proces-verbaal:

Op 7 januari 2021 was ik met medeverdachte en toenmalig GGD-collega [medeverdachte] in [plaats] . Hij was aan het werk. Ik zat samen met [medeverdachte] op de bank en hij zat achter de laptop. Hij kwam erachter dat de persoonsgegevens van iedereen met een coronatest-afspraak konden worden geraadpleegd. Wij waren onder de indruk. [medeverdachte] heeft de persoonsgegevens van BN’ers opgezocht, vastgelegd en deze aan mij doorgestuurd.
Een zeer gebrekkige beveiliging dus. De gegevens werden in appgroepen gedeeld, hoewel ik niets lees over het verhandelen daarvan. Maar dat maakt voor de strafbaarheid op zich niet uit. We hebben het delict computervredebreuk – binnendringen waar je niet mag zijn – en een verzwarende omstandigheid is het downloaden of overnemen van gegevens.

Maar wat het dus is met dat ‘binnendringen’, je moet dan wel ergens gaan waar je niet mocht komen. En deze verdachte mócht inloggen in het systeem en die gegevens opzoeken. Dat kon door een gebrekkige (veel te grofmazige) autorisatie, maar hij heeft op zich geen rare dingen gedaan. Het sluit aan bij een zaak uit 2019, waar ook het vér buiten het gewone werk gaan tot strafbaar binnendringen leidde:

De rechtbank is daarom van oordeel dat verdachte bij de niet werk gerelateerde bevragingen de grenzen van zijn autorisatie ver te buiten is gegaan. Die autorisatie was verdachte immers juist uitsluitend ter beschikking gesteld met betrekking tot de uitoefening van zijn werk binnen de politie. … Door zijn inloggegevens te gebruiken voor doeleinden die ver buiten de grenzen van zijn autorisatie vallen, heeft verdachte onbevoegd gebruik gemaakt van de servers van de politie. Naar het oordeel van de rechtbank is verdachte daarmee opzettelijk en wederrechtelijk binnengedrongen in een geautomatiseerd werk (…)
In deze zaak motiveert de rechtbank het beperkt:
door het inloggen met een onrechtmatig gebruikt account en/of wachtwoord, althans met een ander doel dan waarvoor hem dat account en/of wachtwoord ter beschikking stond en waarvoor hem die toegang was toegestaan
Dit voelt voor mij wat kort door de bocht. Niet ieder “ander doel” is direct computervredebreuk.

Wat betreft de recente discussie over “geautomatiseerd werk”, dat gaat hier goed, de tenlastelegging vermeldt “computersyste(e)m(en) en/of server(s) van de GGD (het zogenaamde CoronIT-systeem)”. Dus door in te loggen op je account en persoonsgegevens op te zoeken die je absoluut niet hoorde op te zoeken, dring je ongeautoriseerd binnen in de hardware van de GGD.

Arnoud

Mag de staat Californië gerechtelijke databevelen uit andere staten aan banden leggen?

Geplaatst op in Regulering, 4 reacties
webandi / Pixabay

Met een nieuwe wet wil de staat Californië een “data haven” worden voor gegevens over reproductieve gezondheid. De wet verbiedt het verstrekken van gegevens aan politiediensten uit de hele VS wanneer het onderzoek een mogelijke abortus betreft die in Californië legaal zou zijn. Dit is opmerkelijk, omdat in de VS de staten eigenlijk altijd elkaars politievorderingen zonder discussie erkennen. De discussie past in een breder kader van internationale soevereiniteit versus internet.

De nieuwe Californische wet is een reactie op een politievordering uit de staat Nebraska, die privéchats tussen een moeder en dochter via Facebook opeiste in het kader van een strafrechtelijk onderzoek naar een vermoeden van aldaar illegale abortus. Facebook werkte daar zonder problemen aan mee, wat de nodige ophef gaf omdat uit de chats bleek dat de besproken abortus bij 23 weken zou plaatsvinden, wat in Californië legaal is.

Het is in zoverre opmerkelijk omdat de Amerikaanse Grondwet (de Full Faith and Credit clause, Article IV, Section 1) met zich meebrengt dat staten onder normale omstandigheden zonder discussie elkaars vonnissen en gerechtelijke bevelen erkennen. Nebraska had dus het volste recht om van Facebook die data te verlangen.

Het creëert natuurlijk meteen een enorm probleem: de wet van Nebraska zou Facebook verplichten de data te geven, de wet van Californië verbiedt precies dat. Dan zit je dus klem als bedrijf. Net zoals wanneer je een Europees bedrijf bent dat onder de US CLOUD Act blijkt te vallen (zoals een Europese dochter van Microsoft). Dat kan zomaar gebeuren, zo liet de NCSC onderzoeken. Maar daar staat tegenover dat als je in Europa zit, je dus onder de Europese AVG valt. Tegelijkertijd met de CLOUD Act, en als die elkaar tegenspreken dan heb je een probleem.

Wie wint er dan? Daar doet het recht geen uitspraak over. In het geval van de Californische versus de Nebraskaanse wet is er wellicht nog een oplossing, omdat de federale grondwet boven de nationale wetten gaat. Dan komt het conflict dus neer op wanneer die Full Faith clausule opgaat in gevallen als deze, iets waar het ultraconservatieve Supreme Court vast een antwoord op heeft. Een dergelijke internationale rechtbank is er niet voor de AVG versus CLOUD Act.

Arnoud