Categorie: Regulering

About Regulering

Subscribe Feeds

Je krijgt je geld niet terug als het casino zonder vergunning blijkt te opereren

Geplaatst op in Innovatie, Ondernemingsvrijheid, Regulering, 14 reacties
Photo by Kaysha on Unsplash

Je geld terugkrijgen bij een online casino omdat ze zonder vergunning opereren, is juridisch (toch) niet mogelijk. Dat bepaalde de Hoge Raad onlangs. Dit was een open vraag, omdat lagere rechtspraak nog wel eens de gokker zijn geld teruggaf met dit argument.

De Hoge Raad deed uitspraak op prejudiciële vragen van de rechtbank Amsterdam. Met die route kun je hoger beroep bij het Gerechtshof overslaan, om zo sneller een antwoord van onze hoogste rechter te krijgen. En dat was nodig, want als meerdere rechters verschillend antwoorden op dezelfde vraag dan moet de Hoge Raad daar een lijn in trekken.

Kern van het argument van de vele consumenten was dat de gokovereenkomst nietig is, op grond van artikel 3:40 BW om precies te zijn:

Een rechtshandeling die door inhoud of strekking in strijd is met de goede zeden of de openbare orde, is nietig.
Een overeenkomst sluiten terwijl dat in het geheel niet mag (want geen vergunning) is prima onder dit verbod te rekenen. En als de overeenkomst dan nietig is, dan heb je betaald zonder rechtsgrond en dan moet dat geld terug. Eventuele schulden (verliezen) hoef je niet te betalen. (Ook niet via ongerechtvaardigde verrijking of iets dergelijks.)

Probleem: lid 3 van dit artikel heeft een uitzondering voor “wetsbepalingen die niet de strekking hebben de geldigheid van daarmede strijdige rechtshandelingen aan te tasten”. Oftewel, heeft de Wok de strekking het zonder vergunning aanbieden van online kansspelen aan te tasten?

In die andere zaken wezen rechters daarbij op de grote gevolgen voor de maatschappij, waarbij ook meewoog dat strafrechtelijk en bestuursrechtelijk optreden een “hachelijke zaak” zou zijn. Dan is “de consument kan gewoon zijn geld terugkrijgen” een effectief afschrikwekkend instrument.

De Hoge Raad ziet het echter anders:

Er is geen grond om aan te nemen dat overeenkomsten met een aanbieder van online kansspelen die in strijd handelt met dat verbod, reeds daardoor door inhoud of strekking in strijd zouden zijn met de openbare orde of de goede zeden. Daarbij is van belang dat het voor de inhoud van een door een speler aangegane overeenkomst geen verschil behoeft te maken of de aanbieder beschikt over een vergunning als bedoeld in art. 1 lid 1, aanhef en onder a, Wok. Ook is van belang dat de Nederlandse kansspelregulering niet wordt gekenmerkt door een categorisch verbod op kansspelen (zie hiervoor in 3.1.3) en dat kansspelovereenkomsten niet op zichzelf ontoelaatbaar worden geacht.
Omdat we een vergunningsstelsel hebben, kun je niet zeggen dat kansspelen als zodanig dús tegen de openbare orde of goede zeden zijn. De aard van de overeenkomst is hetzelfd, met of zonder vergunning bij de aanbieder.

Dit is vrij ontnuchterend, en slaat categorisch alle mogelijkheden dood om als consument je geld terug te krijgen. Gezien de geciteerde redenen vind ik dat wel een tikje frustrerend.

Arnoud

Van de AVG mag je onrechtmatig verkregen bewijs gewoon gebruiken

Geplaatst op in Regulering, Security, 3 reacties
Photo by Zoshua Colah on Unsplash

Ook van de AVG mag je onrechtmatig verkregen bewijs gebruiken in een juridische procedure. Dat oordeelde de hoogste Europese rechter in het NTH-arrest (C-484/24) vorige week. Het verbaast me niets, maar ik ben er toch blij mee.

In Nederland is de hoofdregel dat onrechtmatig verkregen bewijs in principe wél gewoon gebruikt mag worden. Althans in civiele rechtszaken; in het strafrecht moeten politie en Justitie volgens het wetboek van strafvordering werken, op straffe van uitsluiting van het bewijs.

De Hoge Raad oordeelde al in 1987 dat voor uitsluiting van bewijs sprake moet zijn van een “rechtens ontoelaatbare inbreuk op de privacy, zulks op basis van bijkomende omstandigheden die deze conclusie rechtvaardigen”. Oftewel: een inbreuk op zich is niet genoeg, het moet wel een hele erge zijn.

Met enige regelmaat zijn er rechtszaken (opvallend vaak arbeidsrecht, maar dat ligt vast aan mij) waarin een partij iets evident onrechtmatigs doet maar het bewijs wél mag gebruiken. Met dan de aanvullende consequentie van een schadevergoeding naar de ander. Zoals in in een zaak over inbreken op de e-mail van de werknemer. De werkgever moest € 7500 schadevergoeding betalen, maar het verkregen bewijs werd desondanks gebruikt en het ontslag kwam er door.

In deze zaak had een Duitse werkgever het vermoeden dat een werknemer goederen van de werkgever verkocht op eBay. De werkgever wist dat te bewijzen door in het eBay-account van de werknemer te kijken:

[De werkgever gebruikte] dat platform door de browsegeschiedenis te raadplegen van de computer die [werkgever] toebehoort en die door [werknemer] werd gebruikt, en dat hij het wachtwoord heeft achterhaald door een „familiedossier” te raadplegen dat op haar server was aangemaakt. [Werknemer] verklaart echter dat zij dat wachtwoord niet had opgeslagen in de digitale opslag van [werkgever]. [Werknemer] stelt daarentegen dat de mobiele telefoon die zij gebruikte en op naam van het bedrijf was geregistreerd door de directeur van [werkgever] als verloren werd opgegeven teneinde een nieuwe simkaart (subscriber identity module-kaart, abonnee-identiteitsmodulekaart) bij de betrokken telefoonmaatschappij te kunnen aanvragen.
Het recovery-nummer van het account was dus verbonden aan de zakelijke telefoon, zodat de werkgever een reset kon doen nadat deze een nieuwe simkaart had verkregen.

Mogelijk onrechtmatig, aldus de Duitse rechter. Met de vervolgvraag: dit is een verwerking van persoonsgegevens, dus staat de AVG dan in de weg aan het alsnog gebruiken van dat bewijs? Dit mede omdat de werknemer op grond van artikel 17 AVG onmiddellijke vernietiging van die gegevens had geëist, want immers onrechtmatig verkregen.

Persoonsgegevens hoeven echter niet gewist als zij “nodig” zijn voor de instelling, uitoefening of onderbouwing van een rechtsvordering, aldus lid 3 van dat artikel. Maar de algemene aanname is natuurlijk dat je alleen voor rechtmatige doelen persoonsgegevens verwerkt, en irrelevante of illegale persoonsgegevens direct wist (minimale gegevensbescherming).

Tijd voor vragen aan het Hof van Justitie. Dat zegt nu: als het enkel gaat om “het eenvoudigweg aantonen van de door [een partij] aangevoerde feiten”, dan is het geen probleem dat de rechter bewijzen gebruikt die persoonsgegevens bevatten en die in strijd met de wet zijn verkregen door die partij. Wel moet de rechter nagaan of die gegevens beperkt zijn tot het absoluut noodzakelijke en minimale. En als dat nodig is, ook maatregelen nemen om de privacy van betrokkenen te beschermen.

Voor mij niet verrassend. De AVG is nooit absoluut, maar juist pragmatisch. Het algemene principe dat we in Nederland (en grofweg ook in België, de Antigoon-jurisprudentie) hebben, is ook pragmatisch: het gaat om de waarheid, en de negatieve impact van die onrechtmatige handeling kun je separaat oplossen.

Arnoud

Britse kinderen onder de 16 jaar mogen vanaf 2027 niet meer op sociale media

Geplaatst op in Ondernemingsvrijheid, Regulering, 15 reacties
Peggy_Marco / Pixabay

Het Verenigd Koninkrijk komt met een verbod op sociale media voor kinderen onder de zestien jaar. Dat meldde Nu.nl vorige week. Voor de duidelijkheid: dit is een wetsvoorstel, dat de minister-president “hopelijk voor Kerstmis” aangenomen wil krijgen, waarna het dan voorjaar 2027 in werking moet treden.

Het persbericht verduidelijkt:

The government plans to use the same model for a social media ban as Australia. This would capture user-to-user platforms, whose purpose is to enable social interaction and?which allow users to post material, alongside algorithms. The ban will therefore include platforms like Snapchat, TikTok, YouTube, Instagram, Facebook and X. We do not intend for messaging services like WhatsApp and Signal to be included in the social media ban.
Hij verwijst naar de Australische Online Safety Amendment (Social Media Minimum Age) Act 2024 die op 10 december 2024 van kracht werd. Die definiëren “social media” als volgt:
  1. the sole purpose, or a significant purpose, of the service is to enable online social interaction between 2 or more end?users;
  2. the service allows end?users to link to, or interact with, some or all of the other end?users; en
  3. the service allows end?users to post material on the service.
Het gaat om drie cumulatieve criteria: dus én je hoofddoel is sociale shizzle, én je kunt connecten met anderen, én je kunt zelf dingen plaatsen. Een nadere regel voegt toe dat het platform ook een recommender en/of een loginfeature moet hebben. (Daarnaast kan er een lijst worden gemaakt waar partijen keihard “social media” verklaard kunnen worden.)

Volgens de toezichthouder omvat dit alle bekende spelers, hoewel ze er gelijk bij zeggen dat opname in hun overzicht niet impliceert dat die partijen het er mee eens zijn.

De Britten geven aan deze definitie te willen volgen, want die lijkt prima te werken. De hamvraag is natuurlijk: hoe handhaaf je dat, oftewel welke maatregelen leg je op om leeftijdsverificatie te doen. In Australië mogen partijen dat zelf bepalen, en kopietje paspoort is populair naast diensten zoals bankrekening-gebaseerde verificatie. Wat dan weer niet mag, is eisen dat de Australische DigiD wordt gebruikt.

De resultaten in Australië vallen tegen: 78 procent van de jongeren onder de zestien jaar heeft nog steeds toegang tot sociale media, en 41 procent weet de nieuwe regels te omzeilen. Belangrijk probleem lijkt te zijn dat de handhaving grotendeels bij de ouders ligt, en u kent mijn mening over die gemakzuchtige ontkenning van een maatschappelijk probleem. Ik citeer even uit dat gelinkte artikel:

Het Nederlands Jeugdinstituut vindt dat een verbod wel een optie is, maar niet zonder aanvullende maatregelen. “We moeten niet alleen ouders en scholen betrekken, maar er moet vooral iets in de platforms veranderen”, zegt expert Vivian den Blanken. “Zolang de verslavende werking blijft en er extreme content wordt geplaatst, is een verbod onvoldoende.”
Een totaalverbod, aangenomen dat het handhaafbaar is, heeft vooral als effect dat een jongere in het geheel niets meer doet met die social media. Word je dan 16, dan krijg je het geheel en ongefilterd om je heen. En dát werkt niet.

Nee, dat is niet hetzelfde zoals bij alcohol, waarbij je ook tot 18 geen druppel mag en dan ineens los met bier. Als je nou op elke straathoek onbeperkt gratis bier kreeg en onze levens draaiden om “welk bier hijst Wim vanavond”, dan misschien. Social media is alomtegenwoordig en verweven met zo veel aspecten van de maatschappij, en dat maakt het zo lastig aan te pakken.

Arnoud

 

 

Je pincode moeten geven aan Justitie is géén schending van je zwijgrecht

Geplaatst op in Regulering, Security, 58 reacties
Photo by rc.xyz NFT gallery on Unsplash

Had ik even gemist: vorige maand bepaalde het Europees Hof voor de Rechten van de Mens dat het gehoor moeten geven aan een decryptiebevel géén schending oplevert van je zwijgrecht – het recht niet tegen jezelf te hoeven getuigen. Een pincode is geen bekentenis, zeg maar.

In deze zaak (Minteh v. Frankrijk) werd een man door de politie gecontroleerd in zijn auto. Daarbij werd veel contant geld met drugssporen, cannabis en een mobieltje gevonden. Bij een daarop volgende huiszoeking werden meer telefoons en een tablet gevonden.

In Frankrijk mag Justitie dan volgens de wet je pincode of decryptiesleutel vorderen van die apparaten, maar meneer weigerde medewerking. Daarop werd hij vervolgd voor het strafbare feit die gegevens niet te geven, en dat kwam bij het Hof met de vraag of dat geen schending van het nemo tenetur beginsel oplevert: het recht om niet aan zijn eigen veroordeling mee te werken.

Al langer weten we dat een biometrisch kenmerk gedwongen gebruikt mag worden. Dat is geen schending van dat beginsel, omdat je vingerafdruk, iris en dergelijke gewoon dingen zijn. Die bestaan los van jouw wil, net als het slot van je voordeur. Daar mag Justitie dus mee aan de slag.

Een bekentenis afdwingen mag niet, want bekentenissen geef je omdat je dat wilt. Je mag wel uit het weigeren te verklaren dingen afleiden, zoals dat iemand het met opzet deed en dat geheim wil houden.

Van pincodes en wachtwoorden wordt vaak gezegd dat ze op één lijn staan met bekentenissen. Het mensenrechtenhof denkt daar nu anders over in deze context:

[D]e bepalingen van artikel 434-15-2 van het Wetboek van Strafrecht [zijn] niet bedoeld om een ??bekentenis van de verdachte te verkrijgen en geen vermoeden van schuld inhouden. Ze zijn uitsluitend bedoeld om de gegevens te ontcijferen en zo het plegen van strafbare feiten te voorkomen en de daders te identificeren. Het Hof voegt hieraan toe, zoals hieronder zal worden aangetoond (paragraaf 58), dat de gegevens op een telefoon onafhankelijk van de wil van de gebruiker bestaan.
Het argument is dus: de gegevens op je telefoon zijn er gewoon, en die mag je dus niet vergelijken met een bekentenis die er alleen is als jij dat wil. Omdat het zwijgrecht gaat over getuigen tegen jezelf, is dat recht dus niet van toepassing als je iets moet zeggen dat geen getuigenis is.

De achterliggende gedachte hierbij is dat mensen dwingen tot verklaringen zoals bekentenissen leidt tot valse verklaringen. “Het slaan stopt als je bekent” is een recept voor vele bekentenissen, maar niet voor kwaliteit. Maar dat risico bestaat niet bij pincodes: die werkt, of niet, en dat weet je drie seconden later. En dan vraag je het opnieuw.

Het helpt dat de Franse wet diverse waarborgen kent, namelijk:

de tussenkomst van een rechterlijke autoriteit, het informeren van de verdachte dat zijn weigering waarschijnlijk tot een strafvervolging zal leiden, het aantonen van het gebruik van het apparaat in het kader van het plegen van het misdrijf en de kennis bij de verdachte van zijn decryptiemiddelen.
Met name dat “dit apparaat is gebruikt bij het misdrijf waar we voor vervolgen” is hier belangrijk: dat voorkomt fishing expeditions waarbij allerlei apparaten open moeten in de hoop dat er iets strafbaars wordt gevonden. Het begint dus bij een redelijk vermoeden van schuld én bewijs dat de telefoon meer bewijs daarvan gaat geven.

Arnoud

 

 

Hof van Justitie: Algoritmische invloed op contentpresentatie maakt dat je er aansprakelijk voor wordt

Geplaatst op in Ondernemingsvrijheid, Regulering, 9 reacties
Photo by ?????? ????? on Unsplash

Wie met een algoritme bepaalt onder welke voorwaarden, op welke wijze en in welke volgorde van prioriteit andermans content wordt verspreid, kan zich niet achter de bescherming van hosters verschuilen. Dat bepaalde het Hof van Justitie afgelopen dinsdag (zaak C-188/24). Een aardverschuiving in het aansprakelijkheidsrecht?

Het Hof kwam tot deze uitspraak in twee gevoegde zaken uit Frankrijk. De een ging over een pornosite die te weinig deed om minderjarigen te weren, de ander over een radarcontrole-waarschuwingsdienst. Dat lijkt weinig met elkaar gemeen te hebben, behalve dat beiden platforms waren waar gebruikers content plaatsten, en beiden stelden dat de Franse overheid ze dwong tot een algemene controleplicht. Dat is in strijd met artikel 15 van de E-commercerichtlijn (en nu artikel 8 DSA).

Uit de vraag maakt het Hof op dat de Franse rechter mede wil weten of deze partijen onder de beperking van aansprakelijkheid voor hosters valt (artikel 14 richtlijn). Daarvoor geldt namelijk dat je geen controle of invloed over de content moet uitoefenen. Het klassieke voorbeeld is voorafgaande moderatie – dan kies je wat er op je site mag komen. Idem voor de foto van de dag die je op de homepage zet.

Zo handmatig gebeurt het al lang niet meer. De meeste platforms werken met een omgekeerd-chronologische feed en/of thematische categorieën. Dat is volgens de standaardjurisprudentie geen probleem (Google/Vuitton), zolang je maar geen dingen doet waarmee je inhoudelijke kennis of controle over de content krijgt (Youtube/Cyando).

In die zaken ging dat goed (voor het platform), omdat die alleen keken naar metadata van de content. Bij deze platforms was er meer inhoudelijke bemoeienis, hoewel puur algoritmisch. Maar door dat algoritme kon de aanbieder zelf bepalen

onder welke voorwaarden, op welke wijze en in welke prioriteitsvolgorde deze informatie wel of niet wordt verspreid, [zodat] de exploitant zeggenschap over die informatie uitoefent (…).
Met name woog daarin zwaar dat de exploitant in haar eigen belang handelde. Dit in tegenstelling tot enkel het belang van de uploader, denk aan een virusscan.

Voor mij is dat “prioriteitsvolgorde” de kern: je bepaalt dan niet alleen waar de content moet staan, maar ook of de content überhaupt in beeld komt. Bij een omgekeerd-chronologische feed kom je alles tegen als je lang genoeg scrollt, maar dat is zeker niet zo bij een “Relevant voor jou”-feed.

Dan is die feed dus een “foto van de dag” (de seconde?) selectie van de redactie. Dat je dat uitbesteedt aan een algoritme, is daarbij irrelevant.

Het Hof formuleert alleen de regels, het is aan de nationale (hier dus Franse) rechter om te bepalen of die platforms er aan voldoen. Maar dit is wel een sterke voorzet dát dit het geval gaat zijn.

Betekent dit nu dat íeder platform met een recommender zijn beperking van aansprakelijkheid kwijtraakt? Een strakke lezing zegt van wel: je gebruikt een algoritme, en dat zegt hoe en in welke prioriteit content wordt getoond. En intuïtief is dat ook passend: je bént geen neutraal doorgeefluik als je zelf rangschikt wat het beste/mooiste/interessantste is.

Dat wil tegelijkertijd niet zeggen dat je automatisch mag betalen als er iets onrechtmatigs op je site staat. Een platform met duidelijke regels en actieve moderatie handelt niet onrechtmatig door af en toe per abuis iets door te laten dat tegen de wet is.

Arnoud

 

Politie haalt criminele vpn-dienst offline en identificeert duizenden gebruikers

Geplaatst op in Regulering, Security, nog geen reacties
Photo by Daniel Jerez on Unsplash

De Nederlandse en Franse politie hebben de vpn-dienst First VPN offline gehaald, las ik bij Tweakers. Deze dienst was populair onder cybercriminelen, maar velen zetten vraagtekens bij de ingreep “want de Gamma verkoopt ook koevoeten”. Mag ik daar even hard bij ingrijpen?

Samenwerkingsverband Europol legt in een persbericht uit wat de reden voor de actie was:

For years, the service, known as ‘First VPN’, was promoted on Russian-speaking cybercrime forums as a trusted tool for remaining beyond the reach of law enforcement. It offered users anonymous payments, hidden infrastructure, and services designed specifically for criminal use.
Het is dat stukje “designed specifically for criminal use” dat hier essentieel is, en dat altijd gemakshalve wegvalt in de vergelijkingen met de Gamma, Audi-dealers en de Hema-keukenmessencollectie.

Nee, dat mag niet, dingen specifiek ontwerpen en aanprijzen voor crimineel gebruik; je komt dan al snel bij medeplichtigheid uit, of bij speciale wetsartikelen die vervaardigen of aanprijzen van hulpmiddelen strafbaar stellen.

Bij TechCruch lees ik dat men vervolgens ook nog duizenden criminele gebruikers wist aan te wijzen:

Europol, however, said that First VPN users were notified of the shutdown and “informed that they have been identified.” Investigators said they did this by obtaining the service’s user database and identifying VPN connections, which “exposed thousands of users linked to the cybercrime ecosystem.”
Uiteraard gaat het hier om een inval en hebben we alleen de kant van de politie. De rechter moet zich er nog over buigen. Maar alleen kijken naar de techniek en dan zeggen “het is maar een tool” is écht te kort door de bocht bij deze zaak.

Arnoud

‘Microsoft deelt namen van Nederlandse ambtenaren die werken aan DSA met VS’

Geplaatst op in Ondernemingsvrijheid, Regulering, 16 reacties
Photo by CHUTTERSNAP on Unsplash

Namen van Nederlandse ambtenaren zijn door Microsoft doorgespeeld aan de Amerikaanse overheid, aldus Vrij Nederland onlangs. Deze personen werken aan handhaving en beleid van de Digital Services Act. Veel ophef en ik hoor veel CLOUD Act verwijzingen. Maar dat klopt niet.

Het bericht sluit aan op eerdere berichten dat de VS sancties overwegen tegen personen die de VS onwelgevallige wetgeving maken of ondersteunen. Logisch dat je dan wil weten wie het zijn: zo kun je hen inreisvisa naar de VS weigeren bijvoorbeeld. Of hun bankrekening/creditcard blokkeren.

Maar hoe komt Microsoft aan de gegevens? De wuifverwijzingen naar de CLOUD Act wekken de indruk dat Microsoft in de accounts van allerlei partijen heeft zitten grasduinen en daar NAW-gegevens uit kon vissen. Maar nergens lees ik dat dat echt is gebeurd. “Dit specifieke verzoek betrof gegevens van Microsoft, geen klantgegevens“, claimt het bedrijf bijvoorbeeld in een reactie tegen Tweakers dat eerst ook het over CLOUD Act verzoeken had.

Wat er precies is gedeeld, is eigen data van Microsoft. Het bedrijf verleent medewerking aan een onderzoek van het Huis van Afgevaardigden over buitenlandse inmenging in Amerikaanse media zoals X. Daarbij geeft men zaken af zoals brieven met Europese instanties over de DSA, en dáár staan dan namen van ambtenaren in. (Waarom die niet zijn weggelakt, weet ik niet.)

Arnoud

 

Banken eisen meer actie van sociale media tegen internetcriminelen

Geplaatst op in Ondernemingsvrijheid, Regulering, 11 reacties
GDJ / Pixabay

Nederlandse grootbanken eisen actie van Meta, TikTok en Google tegen de explosieve toename van fraude via sociale media. Dat meldde het FD onlangs (€). Meer dan 70% van alle fraudepogingen kent zijn oorsprong op deze kanalen, zo blijkt uit onderzoek. En ik zie inderdaad vrij weinig gebeuren bij de grote sociale media-diensten.

De aanleiding klinkt nogal dringend:

Banken doen de oproep naar aanleiding van de jaarlijkse publicatie van de fraudecijfers, waaruit blijkt dat de schade als gevolg van bankhelpdeskfraude steeg met ruim 3 miljoen euro en in 2025 uitkwam op 25,8 miljoen euro. Ook de schade als gevolg van phishing steeg met 1,8 miljoen euro, naar bijna 2,6 miljoen euro. Ondanks de stijging van de schade nam het aantal slachtoffers van bankhelpdeskfraude wel af: met 14% naar iets minder dan 5.900 personen.
Het onderzoek waarnaar men verwijst is een rapport uit 2025 van UK Finance, de Britse brancheorganisatie voor de financiële sector. Zij onderzochten data van hun leden over gemelde fraudezaken en hun oorzaken, en concluderen daarbij inderdaad dat in 2024 70% van de fraudezaken ‘online sources’ kennen. Het gaat dan meestal om “lower-value scams” zoals aankoopfraude (ik denk dan aan Marktplaatsoplichting-achtige zaken)

Het rapport spreekt van “online fraud” en denkt daarbij aan zaken als Authorised Push Payment (APP)-fraude, waarbij oplichters via social engineering slachtoffers manipuleren om real-time betalingen te autoriseren. Dit kunnen investeringsscams zijn, malafide advertenties (hoi Jort) of de nog steeds werkende romance scams.

Moeten social media hier wat mee? Zeker. Artikel 34 en 35 Digital Services Act verplichten grote platforms (VLOPs) tot een algemene mitigatie op “systeemrisico’s”, dingen die de maatschappij raken door hun omvang en impact. In september deed de Europese Commissie een informatieverzoek aan platforms zoals Apple, Booking, Bing en Google over hoe zij omgaan met oplichters die hun platform misbruiken. Ik heb nog geen resultaten daarover gelezen.

Vermoedelijk zullen de oplossingen uitkomen bij betere know-your-customer analyse van zakelijke accounts, trusted flaggers uit de financiële sector die direct takedowns kunnen bevelen en het beter publiceren van advertenties in een repository zodat onderzoekers er patronen in kunnen vinden om detectie te automatiseren. Maar ik gok zomaar dat men dit niet vrijwillig gaat doen.

Arnoud

Moet het delen van beelden van slachtoffers strafbaar worden?

Geplaatst op in Privacy, Regulering, 17 reacties
Photo by Igor Omilaev on Unsplash

Ik wil graag een nieuwe regel introduceren. Steeds vaker maken jongeren bij ongelukken en geweld foto’s of filmpjes die ze daarna delen via sociale media. Dat meldde NRC onlangs. Gevaarlijk en schadelijk, het zou verboden moeten worden. Nee: dan moet er meer geld naar handhavers.

Recent verzuchtte ik dit elders al, maar ik vind het zó zó vermoeiend die reflex “er is iets vervelends, laten we het verbieden”. Online is alles al strafbaar, niets mag van de AVG en anders had dit allang onder artikel 34 Digital Services Act aangepakt moeten zijn. En anders is het gewoon maatschappelijk onaanvaardbaar.

Maar serieus. Het probleem is eigenlijk nooit dat het niet mag. Hooguit dat de bestaande regels wat algemener zijn dan wat hier misgaat, zodat niet meteen 100% duidelijk is welke regel je nodig hebt en er dan altijd iemand jamaar-hangt-er-van-af kan roepen.

Het probleem is eigenlijk heel simpel: er is te weinig geld voor toezicht. Politie en OM of toezichthouders – ze moeten er tegen optreden, handhaven en duidelijk aangeven hoe de regels geïnterpreteerd worden. En dat kan niet. Ook niet als er een nieuwe strafbaarheidstelling komt voor delen van foto’s van “een afbeelding van iemand die dringend hulp behoeft” (wetsvoorstel).

Natuurlijk, dan komen er vanzelf ook gaten aan het licht. Was het toch een keer niet strafbaar. Maar dán is er het moment om gericht een nieuwe wet hierop aan te nemen.

Arnoud

Mag je nog zeuren als je in de algemene voorwaarden akkoord ging met gebruik van je data?

Geplaatst op in Ondernemingsvrijheid, Privacy, Regulering, 2 reacties
Photo by Markus Winkler on Unsplash

Een lezer vroeg me:

In discussies over hoeveel informatie sociale media van je mogen gebruiken, wordt er vaak gezegd dat je niet moet zeuren dat ze je gegevens gebruiken en doorspelen naar derden, omdat je daarmee akkoord bent gegaan op het moment dat je op ‘agree’ klikte toen de gebruikersvoorwaarden werden gepresenteerd.

Zitten er aan die gebruikersvoorwaarden nog grenzen over wat redelijk is, vooral op het gebied van privacy en bescherming van persoonsgegevens, of mag een bedrijf min of meer alles van je verkopen omdat je nou eenmaal in hebt gestemd met hun voorwaarden?

Voor deze vraag moeten we het concept ‘gegevens’ in twee splitsen, omdat het Europese juridische kader onderscheid maakt tussen persoonsgegevens (gegevens over mensen) en niet-persoonsgegevens (alle andere).

Voor niet-persoonsgegevens zijn er vrij weinig regels, afgezien van de recente Datawet (Data Act), een Europese verordening uit 2025 over toegang tot data. Dit raakt aan data uit slimme apparaten, maar ook voor data opgeslagen in clouddiensten. De Datawet zegt echter niets over wat de dienstverlener met je data mag, behalve enkele specifieke verboden:

  • Alleen doen wat je in de voorwaarden hebt gezegd (en ‘alles dat ik wil’ zeggen is niet toegestaan)
  • Geen gebruik om de commerciële positie van de gebruiker te ondermijnen (het Amazon-jat-je-product probleem)
  • Geen doorverkoop of verstrekking aan derden behalve voor zover nodig voor de dienst zelf
Hier zijn dus de voorwaarden inderdaad leidend, en bestaat er een redelijkheidstoets bij wat die voorwaarden mogen zeggen. Jurisprudentie daarover is er (nog) niet.

Voor persoonsgegevens is het hard en simpel: het is juridisch niet mogelijk om in gebruiksvoorwaarden, terms of service of hoe je wilt noemen toestemming te bedingen voor welk gebruik van persoonsgegevens dan ook. Volgens de AVG moet een dergelijke toestemming ‘specifiek’ worden gegeven, en een toestemmingsbeding in voorwaarden is dat haast per definitie niet. Daarnaast eist artikel 7 lid 2 dat

het verzoek om toestemming in een begrijpelijke en gemakkelijk toegankelijke vorm en in duidelijke en eenvoudige taal zodanig gepresenteerd dat een duidelijk onderscheid kan worden gemaakt met de andere aangelegenheden.
Een juridisch artikel in voorwaarden haalt deze lat eigenlijk nooit. Je ontkomt dus niet aan een apart vinkje. En dat moet specifiek zijn ook “Wij mogen je gegevens verkopen” is dat niet – er moet bij staan aan wie.

De vervolgreactie in discussies als deze is dan “je moet sowieso de voorwaarden lezen, en als je dan zulke rare -of zelfs verboden- dingen toch leest, dan moet je de dienst niet gebruiken”. Begrijpelijk, maar ik heb daar structureel moeite mee: we zijn compleet doodgegooid als maatschappij met zulke voorwaarden, het is irreëel te verwachten dat mensen dat allemaal lezen. En dat zeg ik als jurist.

Belangrijker: het wettelijk systeem in Europa is dat je het  niet hoeft te lezen. Voorwaarden gelden ook als je ze niet leest, maar daar tegenover staat dat ze makkelijk van tafel te vegen zijn (“vernietigbaar”) wanneer ze rare dingen bevatten (“onredelijk bezwarend”). De regel is dus niet “je moet ze lezen en dan gewoon niet gebruiken” maar “rare dingen in de voorwaarden mag je negeren, zijn niet bindend”.

Natuurlijk zal zo’n bedrijf zich daar niets van aantrekken, ook niet na een formele brief van een advocaat die hierbij per direct de vernietiging uitspreekt van het onredelijk bezwarend beding krachtens relevante Europese richtlijnen en artikel 6:233 Burgerlijk Wetboek. Maar dat is een algemener probleem: het uitoefenen van je juridische rechten, zeker als consument, is duur en tijdrovend, en toezichthouders zitten hier niet altijd bovenop. Dat kan ook niet altijd, zeker niet bij niet-Europese bedrijven.