Categorie: Regulering

About Regulering

Subscribe Feeds

OM eist 5 jaar van winkelier die breekijzer verkoopt, pardon tegen leverancier PGP Safe-telefoons

Geplaatst op in Regulering, Security, 19 reacties

Het Openbaar Ministerie heeft een gevangenisstraf van vijf jaar geëist tegen een 56-jarige Huizenaar die wordt verdacht van het leveren van versleutelde PGP Safe-telefoons. Dat meldde Security.nl onlangs. Ik kreeg er veel mails over: bij de GAMMA koop je toch ook breekijzers, zaklampen en handige rugzakken, hoezo zijn die dan niet aansprakelijk als inbrekers daar inslaan en de buurt leeghalen? Wat is het verschil tussen een cryptofoon en een breekijzer, juridisch gezegd?

Er staat al een belangrijke hint in het artikel: de verdachte wist dat zijn producten en diensten vooral door criminelen bij strafbare feiten werden gebruikt, aldus het Openbaar Ministerie. En dat maakt het wel anders dan een bouwmarkt die wellicht een strafbaar feit kan vermoeden als iemand loog, een plastic badkuip en grote vuilniszakken komt kopen. Die kán daaruit wel vermoeden dat hier een misdrijf gepland wordt, maar echt zekerheid heb je niet.

Als je het echt wéét, dan wordt het een ander verhaal. We komen dan bij medeplichtigheid terecht namelijk (art. 48 Sr), in de vorm van opzettelijk gelegenheid, middelen of inlichtingen verschaffen tot het plegen van het misdrijf. Als de bouwmarktklant dus vraagt, hoe maak ik het beste een lijk weg, en de winkel wijst op de hierboven genoemde producten, dan is de winkel strafrechtelijk een medeplichtige wanneer dat misdrijf ook werkelijk wordt gepleegd.

Weinig criminelen zullen in zo’n situatie echter letterlijk zeggen “ik wil een lijk wegmaken kunt u helpen”, precies om deze reden. En bij de bouwmarkt is “ik ben een huis aan het opknappen, de badafvoer is volkómen verstopt” natuurlijk een reële reden om loog en een badkuip te kopen.

Voor cryptofoons valt eenzelfde redenering ook op te zetten, er zijn genoeg redenen om zo’n ding te hebben. Industriële spionage, persoonlijke veiligheid, het leuk vinden om zoiets te hebben, bezorgd zijn over tracking door Google of Apple, noem ze maar op. Enkel verkopen van zo’n product maakt dus zeer zeker niet dat je medeplichtig bent, zelfs niet als de koper als naam een bekende crimineel opgeeft.

In januari blogde ik over een VPN-dienst die door Justitie werd aangepakt wegens medeplichtigheid. Het ging om een vpn aanbieder die nadrukkelijk zichzelf profileert als handige dienst voor criminelen, bijvoorbeeld door te adverteren op hackfora en andere plekken waarvan bekend is dat crimineeltjes (‘scriptkiddies’ en dergelijke) er actief zijn. Ook zouden reclameberichten nadrukkelijk wijzen op het niet gevonden kunnen worden door opsporingsdiensten.

Eenzelfde argumentatie zou hier moeten opgaan. De vraag is natuurlijk waaruit dat “daadwerkelijk weten” gaat blijken, dat zullen we als bewijs naar voren zien komen in de rechtszaak. Ik ben benieuwd, hebben jullie ideeën?

Arnoud

 

 

Mag ik een snelheidsboete bij de gemeente declareren als hun bordje verkeerd was afgesteld?

Geplaatst op in Regulering, 31 reacties

Automobilisten die 20 kilometer per uur te hard over de Wittevrouwensingel in Utrecht rijden krijgen toch een lachend gezichtje te zien op een display langs de weg. Dat meldde de lokale Utrechtse krant DUIC onlangs (dank, Utrechtse tipgever). De snelheidsmeter van de gemeente, zo’n rood/groen gezicht-matrixbord, bleek namelijk verkeerd ingesteld: hoewel de maximumsnelheid daar 30 is, was het bord afgesteld op 50. Wat de tipgever me deed vragen, als ik dan een verkeersboete krijg, mag ik die dan verhalen op de gemeente wegens foute voorlichting?

Wa dâchie zelluf, zouden ze in Utrecht zeggen. Want natuurlijk is zo’n matrixbord geen verkeersbord (bord A3) en dus bepaalt het niet wat de maximumsnelheid is aldaar. Daar is het ook niet voor bedoeld, het bord geeft immers jouw actuele snelheid aan en niet de toegestane snelheid. In combinatie met de kleuren en het gezichtje is het in de praktijk een effectief middel om mensen hun snelheid te laten matigen.

Desondanks, je rijdt daar 50, het bordje is groen, jij denkt dat je goed zit en 5 meter verderop staat Agent Patrick en die bekeurt je voor te hard rijden. Waar sta je dan, juridisch? De boete is op zich terecht want de maximumsnelheid van 30 km/uur is daar rechtsgeldig tijdig aangekondigd (bord A01-30ZB). De uitweg is dan: de gemeente heeft deze boete te vergoeden, want zij heeft onjuist advies gegeven (“je rijdt 50, keurig”).

Een overheidsorgaan is in theorie aansprakelijk te stellen voor onjuist advies. De lat ligt wel erg hoog, hoewel het antwoord altijd afhankelijk van het geval is:

Eerst indien de belanghebbende in de gegeven omstandigheden redelijkerwijs erop heeft mogen vertrouwen dat hem juiste en volledige inlichtingen met een bepaalde inhoud werden gegeven, kan plaats zijn voor het oordeel dat het verstrekken van die inlichtingen, indien deze onjuist of onvolledig zijn, onrechtmatig is jegens de belanghebbende en dat de gemeente deswege jegens de belanghebbende aansprakelijk is doordat deze door die onjuiste of onvolledige inlichtingen, kort gezegd, op het verkeerde been is gezet.
In gewoon Utrechts, pardon Nederlands: was het redelijk om te denken, dit bord klópt, de groene vijftig is een juist advies? Ik zou zeggen van niet, zelfs niet als je redeneert dat de gemeente toch wel weet hoe hard je in een bepaalde straat mag.

De belangrijkste reden voor mij daarbij is dat je net 500 meter terug een bord “zone 30” bent gepasseerd en dus zélf moet weten dat je er 30 mag. Dat is immers sowieso de regel in het verkeer, en er is geen verkeerssituatie waarin je binnenin een zone 30 toch 50 mag. Het bord kan dus niet kloppen, en ik zie dan ook geen redelijke grond om te denken “zou het dan tóch”.

Arnoud

Kan iemand me uitleggen waar de NCTV ook weer goed voor is?

Geplaatst op in Regulering, 10 reacties
OpenClipart-Vectors / Pixabay

De Autoriteit Persoonsgegevens heeft zware kritiek op het wetsvoorstel dat de Nationaal Coördinator Terrorismebestrijding (NCTV) toestaat om burgers online te volgen en gevoelige persoonsgegevens te verzamelen, analyseren en met binnen- en mogelijk ook buitenlandse partijen te delen. Dat meldde Security.nl onlangs. Na het lezen van het stuk kan er voor mij maar een conclusie mogelijk zijn (en dat zie je niet vaak bij de AP): waarom wilden we ook weer een NCTV?

De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) is een instantie van de Nederlandse overheid die in 2012 werd ingesteld “om Nederland te beschermen tegen bedreigingen die de maatschappij kunnen ontwrichten. Samen met partners binnen overheid, wetenschap en bedrijfsleven zorgt de NCTV ervoor dat de Nederlandse vitale infrastructuur veilig is én blijft.” Van zo veel ambtenarenjargon ontgaat je meteen de lust om er wat van te vinden, met name die “én” met accent is een plastic lipje in je toetje van 220 euro.

En wat dóen ze nou precies? Nederlanders volgen op social media, wat dus een probleem is omdat dat niet mag zonder nadere bevoegdheden. Die ze niet hadden, vandaar een wetsvoorstel – wat sowieso al raar is, als een dienst tegen de wet handelt dan zou ik zeggen dat je die dienst vijf jaar lang niet in de búúrt laat komen van die activiteiten in plaats van het te legaliseren. Maar ja, wie ben ik.

“Als je bij de geheime diensten en politie ziet met hoeveel randvoorwaarden het verwerken van dergelijke gevoelige informatie omgeven is, dan valt toch niet te verdedigen dat dit bij de NCTV niet nodig is? Dat bij de NCTV een enkele, door de NCTV zelf uit te voeren toets voldoende zou zijn? Dat is de slager die zijn eigen vlees keurt”, zegt AP-voorzitter Aleid Wolfsen.
Minister Grapperhaus liet onlangs weten dat het kabinet het wetsvoorstel snel wil behandelen, en doet daarbij zonder enige ironie een beroep op de nationale veiligheid. Oké. Maar mij is nog steeds niet duidelijk waarom we een NCTV nodig hebben naast de bestaande diensten?

Arnoud

Onder welk recht vallen misdrijven in de Metaverse eigenlijk?

Geplaatst op in Ondernemingsvrijheid, Regulering, 16 reacties

Via Twitter:

als je straks in het #Metaverse van Facebook een misdrijf begaat, onder welke wetten valt dat dan?
Ik zou zelf de Metaverse zeggen, maar dat terzijde. De vraag is natuurlijk relevant omdat de Metaverse een nieuwe manier is om via internet te interacteren en dingen te doen. Dat kunnen ook strafbare dingen zijn, en omdat de Metaverse nadrukkelijk wordt vormgegeven als een driedimensionale virtuele wereld, ontstaat dan het beeld van een ‘nieuw’ land, een nieuwe wereld. Hoe past dat bij oude wetten?

“Governments of the Industrial World, you weary giants of flesh and steel, I come from Cyberspace, the new home of Mind”, aldus ooit John Perry Barlow, die al in 1996 voorzag dat internet breed gezien zou worden als een nieuwe wereld. Helaas voor hem trok niemand zich wat aan van deze onafhankelijkheidsverklaring-1.0.html, met name niet als het gaat om strafrecht: landen, hoe vermoeid of ouderwets ook, zien het kunnen reguleren van hun burgers en hun grondgebied als een kerntaak waar andere mensen van af moeten blijven.

Het korte antwoord is dan ook: De wetten van de landen waar je handelingen criminele impact hebben. Dit is niet uniek, bij Web 1.0 en 2.0 ook al zo. Er is immers geen wereldstrafhof.

Het iets langere antwoord: omdat wetgeving het concept van virtuele werelden niet erkent, althans niet in de zin van “niet ons terrein, vriend”, moet je bij het bepalen van jurisdictie dus daar doorheen prikken. Wat gebeurt er juridisch gezien, en wáár gebeurt dat? Slaat iemand ergens data op, wordt er een bericht verstuurd of ontvangen, ondervindt er iemand schade en zo ja waar zit die iemand?

Onbevredigend is dat wel. Als je in het Metaverse actief bent, dan wil je eigenlijk niet weten in welk fysiek land je handelen zich nu afspeelt, zeker niet als landen rare dingen gaan doen als “de server staat bij ons” of “iemand die hier woont, kan het lezen”. Maar toch werkt het zo. En dat kan dus betekenen dat je de strafwetgeving van meerdere landen tegelijk moet respecteren, ook van landen waar je nooit gehoord hebt. Als Meta vanwege fiscale redenen een belangrijk deel van de dienst in een belastingparadijs als Nederland parkeert, dan valt iedereen onder Nederlands recht. En tegelijk misschien ook wel onder dat van Thailand, als die wereldwijde verboden hebben op het beledigen van hun staatshoofd.

Daar staat tegenover dat het meestal “alleen maar” om uitingsdelicten gaat. Smaad, laster, aanzetten tot haat, dat werk. Bij strafrecht denken we eerder aan moord en vernieling, maar in de Metaverse vind ik het moeilijk voor te stellen hoe je iemand zou vermoorden. Het kan zeer interessante en unieke lectuur (<- lees dit) opleveren, maar je komt echt niet in het terrein van het strafrecht. Hooguit bij virtuele diefstal, waar Nederland relatief unieke jurisprudentie over heeft.

Arnoud

Netflix wil niet betalen voor toegenomen dataverbruik na hits als Squid Game

Geplaatst op in Regulering, 28 reacties
3844328 / Pixabay

Jaja, en u maar denken hoe je als jurist een haakje verzint naar het immens populaire Koreaanse Netflixprogramma. De Zuid-Koreaanse internetprovider SK Broadband eist dat Netflix betaalt voor de groei van het dataverkeer als gevolg van populaire series als Squid Game. Al een paar jaar is de videostreamer verantwoordelijk voor een van de grootste delen van het internetverkeer, iets waar providers zoals SK extra investeringen voor moeten maken.

Netflix-topman Dean Garfield zegt tegen Bloomberg dat zulke betalingen voor netwerkgebruik leiden tot een “oneerlijke, concurrentiebeperkende omgeving” waarin providers bedrijven kunnen laten betalen voor wat ze maar willen.

Toch oordeelde een Zuid-Koreaanse rechtbank eerder dat Netflix gehouden zou zijn deze kosten te vergoeden:

On Friday, the court ruled against Netflix, saying, “According to the principle of freedom of contract, whether to conclude a contract and what price to pay is a matter to be decided through the negotiations of the concerned parties.”
Oftewel: als een ISP besluit om een bedrijf niet meer te laten streamen naar haar klanten, dan is dat haar goed recht. Eh, oké. (Terzijde: Netflix blijkt 4.8% van het Koreaans netwerkverkeer te veroorzaken.)

Wij hebben in Europa daar wat meer moeite mee, en daarom hebben we ook een Verordening tegen dit soort dingen: dit is natuurlijk het probleem van netneutraliteit. Artikel 3 van de Verordening is simpel en duidelijk:

Eindgebruikers hebben het recht om toegang te krijgen tot informatie en inhoud en deze te delen, toepassingen en diensten te gebruiken en aan te bieden, en gebruik te maken van de eindapparatuur van hun keuze, ongeacht de locatie van de eindgebruiker of de aanbieder, en ongeacht de locatie, herkomst of bestemming van de informatie, inhoud, toepassing of dienst, via hun internettoegangsdienst.

Het is dus niet toegestaan als een ISP de toegang tot Netflix afknijpt of blokkeert omdat Netflix weigert de gevraagde vergoeding te betalen.

Nergens staat expliciet dat het verboden is dat ISPs en contentleveranciers afspraken maken over het onderling verdelen van kosten of investeringen. Dat lijkt gek, want dan zou de Europese collega van SK dus zo’n zelfde eis kunnen neerleggen en dan is daar geen juridisch verweer tegen. Maar die fictieve collega heeft natuurlijk geen onderhandelpositie, want ze mogen Netflix niet afknijpen of blokkeren als die weigert een kostenvergoeding te betalen.

Dit laat in zoverre de vraag open of het wel fair is dat Netflix zo’n enorm deel van het internetverkeer mag veroorzaken en de kosten voor de infrastructuur (+upgrades daarvan) mag parkeren bij de internetproviders, die dat uit eigen zak mogen betalen. Maar dat is geen juridische vraag.

Arnoud

Mag de politie je Tesla leegslurpen bij een strafrechtelijk onderzoek?

Geplaatst op in Regulering, Security, 23 reacties
webandi / Pixabay

De data die in Tesla’s is opgeslagen bevat een schat aan informatie voor strafrechtelijke onderzoeken, las ik bij Security.nl, op gezag van het Nederlands Forensisch Instituut (NFI). Dat was erin geslaagd  gecodeerde rijgegevens die Tesla opslaat in haar auto’s uit te lezen, te vertalen en te publiceren. Volgens de onderzoeker is het belangrijk om te weten welke data de auto allemaal opslaat, zodat justitie weet welke gegevens het kan vorderen en hoe exact die gegevens kloppen met de werkelijkheid. Maar mag dat?

Het artikel meldt meteen al hoe het nu gaat: de politie komt met een bevel van de officier van justitie bij Tesla en die lezen het op afstand uit. Dat moet ook wel, want Tesla’s zijn niet zo eenvoudig toegankelijk dat je ze met standaardspullen open kunt maken en de data naar een USB-stick kunt halen.

De experts van het NFI is het dus wel gelukt, en bij het lezen van het paper viel op dat het dus wél een kwestie is van auto openmaken en SD-kaart uitnemen:

Acquiring this micro-SD card requires access to the ‘car computer’ located in the passenger footwell, behind the glovebox. On Autopilot generation 2 and 2.5 systems, there is a metal cover on  the bottom left corner (when viewing it from the footwell) that can be unscrewed to reach the PCB and subsequently the SD card as shown in Figure 2.
Vervolgens blijk je de kaarten gewoon te kunnen lezen als typische Linux-logbestanden, dus platte tekst en je kunt met een beetje raden al achterhalen wat er staat. De onderzoekers hebben dit geverifieerd door de logs te vergelijken met wat ze met een bevel bij Tesla hadden gekregen. Identiek, alleen beperkt Tesla de resultaten tot exact het gevraagde interval en de genoemde gegevens uit het bevel.

Logisch, maar wel lastig voor Justitie want je moet wel weten wat je kunt vragen. Dat is dan ook de meerwaarde van dit onderzoek: weten wat een Tesla allemaal logt, zodat je gerichter kunt vragen.

Maar mij bekruipt dan de gedachte, móet je Tesla nog wel wat vragen als je die SD-kaart gewoon uit de auto kunt halen?

Dit is een open vraag volgens mij. In 2017 bepaalde de Hoge Raad dat de politie smartphones van verdachten niet zomaar mag doorzoeken, omdat deze een zeer persoonlijk voorwerp van mensen vertegenwoordigen:

Indien dat onderzoek zo verstrekkend is dat een min of meer compleet beeld is verkregen van bepaalde aspecten van het persoonlijk leven van de gebruiker van de gegevensdrager of het geautomatiseerde werk, kan dat onderzoek jegens hem onrechtmatig zijn.
Er is geen expliciete wettelijke regeling, het mag als er bewijs te verwachten valt maar hoe breder de scope van het onderzoek, hoe meer waarborgen men moet nemen bij het onderzoeken. En het maakt daarbij niet uit of je de telefoon moest ontgrendelen of kunstgrepen moest uithalen om bij de data te kunnen.

Ik zou zeggen dat een auto gelijk te stellen is aan een telefoon qua persoonlijk en wat je over iemand te weten kunt komen. Dan kom je dus in hetzelfde kader terecht als wat de Hoge Raad voor smartphones schetste, en zal al te gretig uitlezen van allerhande logs dus onrechtmatig verkregen bewijs opleveren. Maar omgekeerd: als je heel gericht gaat zoeken op basis van een concrete verdenking, dan is dat niet perse een probleem.

Een interessante is dan nog in hoeverre “je kunt het ook aan Tesla vragen met een bevel” relevant is. Dit voelt gek, maar door het via Tesla te spelen maak je het zorgvuldiger. Dat bedrijf maakt dan als professionele partij immers een afweging, er zit zo een extra check op.

Arnoud

Politie stuurt waarschuwingsbrief naar vermeende afnemers ddos-dienst

Geplaatst op in Regulering, 10 reacties
geralt / Pixabay

De politie heeft afgelopen maandag een waarschuwingsbrief gestuurd naar 29 mensen die in verband worden gebracht met het afnemen van ddos-diensten. Dat meldde Security.nl onlangs. “We hebben je geregistreerd in ons systeem en je krijgt nu een laatste waarschuwing. Als zich in de toekomst nieuwe soortgelijke feiten voordoen, gaan we over tot vervolging. Houd in dat geval rekening met een veroordeling, strafblad en het kwijtraken van je computer en/of laptop”, zo staat in de brief vermeld.

De briefontvangers zouden via de website MineSearch ddos-diensten hebben afgenomen, waarmee het mogelijk was om tegen betaling ddos-aanvallen te laten uitvoeren. Vorig jaar juli doorzocht politie de woningen van twee verdachten die vermoedelijk bij de website betrokken zijn. Daarbij kwamen deze klantgegevens (ik moet nu zeggen: allegedly-klant) kennelijk naar boven, en dan is het logisch dat je die mensen eens héél serieus aanspreekt.

Maar mag het, is dan gelijk de vraag die ik her en der zie. Het deed me denken aan die zaak uit januari waarbij de politie sms-berichten had gestuurd naar contacten die in de telefoons van vermeende drugsdealers werden aangetroffen. Logisch zou je zeggen, dat zullen vermoedelijk wel klanten zijn en het kopen van drugs is strafbaar, dus dat geeft een redelijk vermoeden van schuld.

De hoofdregel uit strafvordering (opsporing en bestrijding van strafbare feiten) is dat de politie alleen mag doen wat in het wetboek geregeld is. Ja, behalve wat geen of geringe inbreuk maakt op de grondrechten. Een praatje maken op straat is dus bijvoorbeeld gewoon prima, dat kun je moeilijk een inbreuk op je grondrechten noemen. Iemand meenemen naar het bureau voor een verplicht praatje is dat wel, en dat is dan ook wettelijk geregeld. Idem voor het doorzoeken van een in beslag genomen administratie of C&C server van een botnet.

Voor mij speelt hier ook mee dat er meer aanwijzingen zijn dan “je staat in de telefoon van een dealer”: je gegevens van een betaalde transactie voor een criminele dienst staan in de administratie van de (vermoedelijke) crimineel die deze verzorgde. Je bent onschuldig tot het tegendeel bewezen is, maar hier de vermoorde onschuld bepleiten is toch wel erg ingewikkeld in deze omstandigheden.

We hebben je geregistreerd in ons systeem en je krijgt nu een laatste waarschuwing. Als zich in de toekomst nieuwe soortgelijke feiten voordoen, gaan we over tot vervolging. Houd in dat geval rekening met een veroordeling, strafblad en het kwijtraken van je computer en/of laptop.
Er lijkt mij gezien die feiten eigenlijk al genoeg aanleiding te zijn om direct tot onderzoek en aanhouding over te gaan, dus dan is deze brief volgens mij juist een tegemoetkoming en niet een juridisch probleem.

Arnoud

Wacht even, die Telegram takedown was een telefoon takeover

Geplaatst op in Regulering, 5 reacties
ernestoeslava / Pixabay

Vorige week blogde ik dat het Openbaar Ministerie twee kanalen van complotdenkers op chatapp Telegram had laten blokkeren. Dat leek een inzet van het logische bevel te zijn (art. 54a Strafrecht) waarmee een officier van Justitie een tussenpersoon bepaalde content offline kan laten halen – na machtiging rechter-commissaris. Maar dat bevreemdde wel, want Telegram zit niet in Nederland en staat niet bekend om zijn inschikkelijkheid naar buitenlandse autoriteiten. En nu is uitgekomen dat het gewoon een handig gebruik van de telefoon van een verdachte was.

Zoals in het oorspronkelijke bericht stond:

Afgelopen week werd er aangekondigd dat op een nieuw kanaal video’s zouden worden geplaatst met bedreigende, opruiende en lasterlijke inhoud. Daarop heeft het OM besloten om maatregelen te nemen.
Het persbericht ging daar iets nader op in:
De rechter-commissaris heeft vrijdag toestemming gegeven om de kanalen af te sluiten, zowel Bataafse Republiek en Bataafse Nieuws. Daarop heeft de politie de kanalen afgesloten, leden kunnen geen nieuwe berichten meer plaatsen.
Die ene zin had ik denk ik even gemist, als je Telegram een bevel geeft dan zeg je niet dat “de politie” de kanalen afsluit maar dat “Telegram op bevel heeft afgesloten”. Bedenk ik me nu. Want nu is het bevel zelf gepubliceerd, en daaruit blijkt dat het net iets anders ligt dan “er is een bevel aan Telegram gegeven”:
De rechter-commissaris: verleent aan de officier van justitie een machtiging tot het bevel aan een medewerker van de politie om via de telefoon van de verdachte de gegevens in de Telegram-groepen [naam groep 1], [naam groep 2] en [naam groep 3] ontoegankelijk te maken; [en] daarvan verslag te doen in een proces-verbaal en een afschrift hiervan te verstrekken aan de rechter-commissaris.
Er was dus een telefoon van een verdachte in het bezit van de politie, en vanaf die telefoon was kennelijk nog een beheerdersaccount actief voor deze Telegram-kanalen. Technisch gezien is het dan niet zo moeilijk om de kanalen te sluiten. En dit is ook een stuk effectiever dan het bedrijf in een ver buitenland (Londen en Dubai) gaan sommeren om dingen te sluiten.

Het laat wel weer zien dat in Nederland de politie best veel kan; zowel technisch als juridisch. Want voor de juristen, dit valt onder artikel 125p Wetboek van Strafvordering, het op bevel ontoegankelijk maken van gegevens, en daaronder vallen dus ook chatkanalen.

Arnoud

 

 

Wacht even, nu gaan privacytoezichthouders ook al notice/takedown verzoeken doen?

Geplaatst op in Privacy, Regulering, 15 reacties

De Ierse privacytoezichthouder DPC heeft noyb, de organisatie van privacyactivist Max Schrems, een take down request gestuurd waarin wordt verzocht een document te verwijderen. Dat meldde Security.nl vorige week. Het document is het conceptbesluit op noyb’s handhavingsverzoek tegen Facebook, waarin een opmerkelijke interpretatie van de AVG wordt geïntroduceerd die een joekel van een loophole oplevert. De DPC wil deze publicatie offline omdat ze interfereert met het overlegproces om het besluit te finaliseren.

Er is al jaren kritiek op de Ierse privacytoezichthouder omdat het niet zou optreden tegen techbedrijven, die vaak in Ierland hun Europees hoofdkantoor hebben. Iets wat de DPC ontkent. De nieuwe kritiek gaat over de opmerkelijke draai die Facebook op 25 mei 2018 maakte: vanaf toen hoefde niemand meer toestemming te geven onder de AVG voor wat Facebook deed, dat was sindsdien namelijk allemaal een noodzakelijk deel van de dienstverlening en voor verwerkingen die nodig voor een contractsuitvoering zijn, is geen toestemming nodig.

Ik ken werkelijk niemand behalve Facebook die met een serieus gezicht volhoudt dat “als wij in de voorwaarden zetten dat het nodig is, dan is het nodig” een valide interpretatie van de AVG is. Maar goed, nu dus de Ierse toezichthouder ook. Ik snap dus wel dat iemand als Schrems daar een publicatie over doet.

Dat valt juridisch een beetje slecht, want formeel is deze interpretatie van de DPC (disclaimer: er zijn geen aanwijzingen dat Facebook het conceptbesluit heeft voorgekookt of geschreven) slechts een concept, dat nu gedeeld wordt met belanghebbenden en andere toezichthouders, die dan commentaar mogen leveren, waarna er een definitief, openbaar besluit komt. Het is niet heel gebruikelijk dat conceptbesluiten in de pers komen, want er kunnen immers fouten in staan, slordigheden en ga zo maar door. Precies daarom wil je feedback verwerken voor je het besluit oplegt.

In veel procedures zijn dan ook expliciete geheimhoudingsregels opgenomen. De AVG kent die niet, en ook in de Ierse Uitvoeringswet AVG kan ik zoiets niet vinden. De DPC verwijst naar artikel 26 daarvan, maar zo te lezen gaat dat alleen over medewerkers van de DPC. Desondanks is de takedownbrief heel stellig: weg met die publicatie, en wel meteen. Maar wie als cynische jurist leest, komt tot de conclusie dat er veel bangmakerij staat maar géén “op grond van artikel 26 van de wet beveel ik u”. En reken maar dat een jurist die zin opneemt als hij daar aanleiding toe ziet, weinig dingen zo heerlijk als keihard in je recht te staan en met wapperende toga de wederpartij tot de orde te roepen.

De discussie wordt wat complex omdat noyb in de eerdere onderzoeksfase had toegezegd documenten vrijwillig geheim te houden om het onderzoek niet te schaden. De DPC citeert passages van noyb die zonder voorbehoud lijken te zeggen dat men die documenten gewoon, altijd geheim zal houden. noyb stelt daar tegenover dat de volledige toezeggingsmails duidelijk maken dat het alleen ging om de onderzoeksfase, die ondertussen allang is afgerond.

Ondertussen is het mij een raadsel wat de DPC dacht te bereiken nu hun conceptbesluit al wereldnieuws bleek te zijn geworden toen men de boze brief ging sturen.

Arnoud

Mag het OM Telegram-groepen van complotdenkers laten blokkeren?

Geplaatst op in Regulering, Uitingsvrijheid, 12 reacties

GDJ / Pixabay

Het Openbaar Ministerie heeft twee kanalen van complotdenkers op chatapp Telegram laten blokkeren, las ik bij de NOS. Daar werden onder andere complottheorieën gedeeld over satanisch-rituele kindermoorden, door de blokkade kunnen er geen nieuwe berichten worden geplaatst. Het is voor zover bekend voor het eerst dat justitie met succes Telegram-groepen heeft laten blokkeren. En dat riep vragen op bij lezers, want hoezo is er dan geen gerechtelijk bevel nodig eerst?

Om daarmee maar gelijk te beginnen: nee, in Nederland is geen gerechtelijk bevel nodig voor het blokkeren van zo’n online kanaal. Het Wetboek van Strafrecht (art. 54a) bepaalt namelijk dat
Een tussenpersoon die een communicatiedienst verleent bestaande in de doorgifte of opslag van gegevens die van een ander afkomstig zijn, wordt bij een strafbaar feit dat met gebruikmaking van die dienst wordt begaan als zodanig niet vervolgd indien hij voldoet aan een bevel als bedoeld in artikel 125p van het Wetboek van Strafvordering.
En dat artikel 125p bepaalt dan weer dat de officier van justitie (bij verdenking van ernstige misdrijven) mag bevelen dat een tussenpersoon informatie tegenhoudt of offline haalt. Wel is dan een machtiging van de rechter-commissaris nodig, en de wet bepaalt dat deze de aanbieder van het kanaal moet horen als dat relevant is.

Dit is een behoorlijke verbetering ten opzichte van het ‘oude’ artikel 54a, dat eigenlijk niet meer bepaalde dan dat de officier zo’n bevel kon geven op machtiging van de rechter-commissaris (zie de discussie over het meervoud daarvan).

De directe aanleiding in dit geval betreft zo te lezen het ernstig soort misdrijven waarbij deze bevoegdheid inderdaad mogelijk is:

Afgelopen week werd er aangekondigd dat op een nieuw kanaal video’s zouden worden geplaatst met bedreigende, opruiende en lasterlijke inhoud. Daarop heeft het OM besloten om maatregelen te nemen. De rechter oordeelde eerder al dat die video’s verboden inhoud bevatten en niet meer online mogen komen. Ook stond er op de nu geblokkeerde kanalen oudere content die strafbaar en bedreigend is.
Voor mij is vooral opmerkelijk dat Telegram kennelijk snel meewerkte. In andere landen kent niet iedereen de constructie van een district attorney die bevelen mag geven tot blokkade van informatie.

Arnoud