Categorie: Regulering

About Regulering

Subscribe Feeds

Moet de overheid zerodays wel of niet gebruiken in de handhavings- en inlichtingendiensten?

Geplaatst op in Regulering, 7 reacties
qimono / Pixabay

Op Twitter las ik deze inhaker op een NRC-column van jurist Vincent de Haan over gebruik van zero-days. “Zonder 0days wordt onze overheid nog machtelozer online dan ze nu al zijn en dat kunnen we ons niet veroorloven. Als de overheid niet digitaal kan optreden loopt onze privacy en veiligheid een groot gevaar”, aldus Ronald Prins daar. Daar stelde De Haan dus tegenover “Met behulp van [zerodays] houden autoritaire regimes journalisten, activisten en advocaten in de gaten. … Maar we moeten ons realiseren dat de Nederlandse overheid, door het gebruiken van zero-days – één van de belangrijkste ingrediënten van de Pegasus software – medeverantwoordelijk is.”

Een zeroday is security-jargon voor een kwetsbaarheid waarvan misbruik te maken is, maar die nog niet bekend is bij de maker van de software of dienst. (De etymologie is wat vaag maar lijkt afkomstig uit de warez scene waar het ging over de zeer prestigieuze actie om gekraakte software dezelfde dag als het origineel te publiceren. Het heeft dus niet perse te maken met dat de bug zero days geleden ontdekt of gemeld is of iets dergelijks.)

Wie een dergelijke kwetsbaarheid heeft, kan bij de betreffende software inbreken en bijvoorbeeld gegevens aftappen, eigen software (zoals spyware) installeren of wat je maar zou willen doen. Dat is voor criminelen aantrekkelijk maar ook voor opsporings- en inlichtingendiensten die op die manier interessante personen kunnen volgen. Of dus journalisten kunnen volgen en dan arresteren wanneer deze al te irritant worden. Zoals bij de Pegasus-software, waar deze heisa mee begon.

Het punt is dan dat overheden niet perse zelf kwetsbaarheden gaan ontdekken, maar deze ook op de vrije markt gaan inkopen. En vooral, dat die overheden vervolgens de makers niet informeren maar het gat lekker laten bestaan:

Het Pegasusschandaal is immers precies waarvoor gevreesd werd bij de invoering van de hackbevoegdheid: onschuldige mensen worden gehackt met kwetsbaarheden die bij de overheid reeds bekend waren, maar die voor het gemak van het boevenvangen niet gedicht zijn.
Prins stelt daar tegenover dat “Als duidelijk is dat 0days misbruikt worden door criminelen of andere staten moeten ze onmiddellijk gemeld worden. In het algemeen geldt dat software altijd meerdere kwetsbaarheden zal hebben. Het melden van niet gebruikte 0days maakt een product niet significant veiliger”. Dat is natuurlijk waar, maar waar het om gaat is of het ethisch is dat de overheid weet van grote kwetsbaarheden en die dan voor zich houdt omdat ze die nodig heeft voor de inlichtingen- en veiligheidsdiensten.

Natuurlijk kun je dan zeggen, als die dit nodig hebben dan is dat in het landsbelang. Maar het is nooit zo dat een dergelijk gat alléén bekend is bij de AIVD, zeker niet als het op de vrije markt is ingekocht. Want reken maar dat zo’n bedrijf diezelfde informatie verkoopt aan wie dan ook, dus de criminelen hebben dit snel genoeg te pakken. Is het dan niet juist je maatschappelijke plicht als overheid om deze lekken zo snel mogelijk dicht te krijgen?

Arnoud

Zijn de Encrochat-berichten bruikbaar als bewijs?

Geplaatst op in Regulering, Security, 5 reacties

Europese speurders hebben de berichtendienst EncroChat gekraakt en zo ongeveer 1.800 vermoedelijke misdadigers kunnen arresteren. Dat meldde HLN een tijdje geleden. In het rechercheonderzoek 26Lemont kon de politie maanden live meekijken met bij criminelen razend populaire, versleutelde communicatie. Dit dankzij Nederlands/Franse samenwerking waarbij men een backdoor via de server van Encrochat ongezien op telefoons van alle 50.000 Encro-klanten wist te installeren. Een recent vonnis laat zien hoe de Nederlandse rechter daar tegen aankijkt.

De Encrochat-hack gaat niet zo ver als de Amerikaanse FBI truc waarbij men als politiedienst zogenaamd veilige telefoons verkocht (Anom) om vervolgens op het gemak mee te lezen. Er was daadwerkelijk een inbraak door politie op de servers van het bedrijf achter de Encrochat dienst gepleegd. Encrochat begon ooit als veilige dienst voor celebrities die bang waren voor hackende journalisten (met name in Engeland een reëel risico) maar werd ook veel door criminelen gebruikt.

De precieze details van de hack zijn nog steeds onduidelijk, maar het komt erop neer dat de Franse Justitie in samenwerking met de Nederlandse politie binnen wist te dringen in de infrastructuur van Encrochat en van daaruit malware op de telefoons wist te pushen. Althans, malware voor de criminelen – voor de politie was het natuurlijk een legitieme afluister- en kopieertool. Aldus wist men vele, heel vele criminele transacties en overleggen te pakken te krijgen, wat tot een golf aan arrestaties en strafzaken leidde.

Maar is dat nu legaal, zo’n actie? De operatie was goedgekeurd door de opsporingsdiensten en rechter-commissaris, maar dat is natuurlijk voor een beetje advocaat geen argument. Allereerst zit je met het punt dat de actie was gebracht als een onderzoek tegen het bedrijf van Encrochat, en hoezo mag je dan chats van gebruikers lezen? Dat staat buiten dat onderzoek, zou je zeggen. En ten tweede, hoezo mag de Franse justitie toestemming geven om chats van Duitse figuren te lezen die in Duitsland snode plannen maken?

In Nederland kwam dit voor het eerst begin juli in een vonnis terug. Acht verdachten stonden terecht in een grote strafzaak, en hadden onder meer bezwaar gemaakt tegen gebruik van Encrochat-data als bewijs tegen hen. Het eerste punt van bezwaar was dat in die Frans/Nederlandse samenwerking er geen bevel was van de Nederlandse rechter-commissaris. Maar dat hoeft niet, aldus de rechter: de feitelijke inbreuk op de privacy was door de Franse autoriteiten begaan, niet (ook) door de Nederlanders.

Je moet dan toetsen onder het Franse recht, en dat bleek goed gegaan te zijn:

In het dossier zitten (vertalingen van) een zestal Franse processen-verbaal waaruit afgeleid kan worden dat een Franse rechter toestemming heeft gegeven voor het onderscheppen van Encrochatgegevens en dat er periodieke rechterlijke controle heeft plaatsgevonden.
De Duitse rechter zag dat dus anders: die eist dat als het gaat om Duitse burgers, de Duitse rechter om toestemming wordt gevraagd.

Maar hoe zit dat dan met dat ‘bijvangst’-argument? Hoezo mocht men chats van gebruikers lezen als het onderzoek tegen het bedrijf gericht was en niet tegen verdachte gebruikers?

Voorafgaand aan de interceptie, zo stelt het openbaar ministerie, is ingezien dat een inbreuk op de persoonlijke levenssfeer van gebruikers van Encrochat voorzienbaar was, maar dat dit noodzakelijk was om bewijs tegen het bedrijf Encrochat te verzamelen. De verdediging stelt daar tegenover dat de Encrochat hack in werkelijkheid bedoeld was om bewijs te verkrijgen tegen individuele gebruikers van de Encrochat telefoons en ziet dit vermoeden bevestigd in de zogenaamde Britse stukken. De rechtbank acht deze stelling van de verdediging vooralsnog onvoldoende onderbouwd nu die Britse stukken op zichzelf niet onverenigbaar zijn met het standpunt van het openbaar ministerie dat het onderzoek zich richtte op het bedrijf Encrochat.
Het argument daar achter is dus dat als je legitiem bezig bent met een bedrijf te onderzoeken, en je vindt dan ook bewijs tegen gebruikers, dat dat als ‘bijvangst’ gewoon gebruikt mag worden. Het zou raar zijn als je dat moest laten liggen, terwijl je geen regel overtrad bij het vinden. Bijvangst is legaal verkregen bewijs. Dat wordt anders als dat onderzoek niet echt naar dat bedrijf was, maar een smoesje om eigenlijk de gebruikers te kunnen volgen.

Uit de Engelse stukken blijkt niet dat de Franse/Nederlandse samenwerking daarop gericht was. Oké, denk ik dan, maar een backdoor op al die telefoons pushen voelt niet als een heel logische actie bij een onderzoek naar het bedrijf.

Een volgend probleem was dat de verdediging al die berichten moeilijk kan onderzoeken. Dit is altijd een probleem in het strafrecht: het OM kan in theorie met onbeperkte middelen technisch onderzoek doen en deskundigen laten opdraven, en de advocaat van de verdachte moet maar hopen dat hij iemand vindt die het voor een leuk bedragje wil doen.

De rechter hier is bereidwillig:

Nu de verdediging in dit dossier voor de informatie over het onderzoek voor een belangrijk deel is aangewezen op de door het openbaar ministerie door onder nummer bekend zijnde officieren van justitie opgestelde processen-verbaal, is de rechtbank van oordeel dat in het licht van een eerlijk proces aan de verdediging de mogelijkheid moet worden geboden tot het uitoefenen van meer directe controle. Om die reden zal de rechtbank beslissen dat het verzoek tot het horen van de officier van justitie van het landelijk parket bekend als LAP 0797 zal worden toegewezen.
Kennelijk zijn de meeste stukken geheim, wat natuurlijk logisch is gezien de enorme scope van de vangst, maar wel wringt met het idee van openbaarheid in de strafrechtspleging. “We hebben bewijs maar u mag er niet te lang naar kijken want dan gaan andere onderzoeken stuk” is niet echt de bedoeling.

Ondertussen werkt het NFI aan meer gedegen rapporten over de werking van Encrochat en de hack, en ook deze documenten zullen met de verdachten worden gedeeld. Het is dus sowieso nog even afwachten, en de kans lijkt me groot dat we (net als in Duitsland) hoger beroep gaan krijgen. Ik ben heel benieuwd.

Arnoud

Man aangehouden voor stiekem opnemen rechtszaak

Geplaatst op in Regulering, Uitingsvrijheid, 29 reacties
ds30 / Pixabay

Tijdens een zitting bij het Gerechtshof in Leeuwarden is dinsdagochtend een 71-jarige man uit Assen aangehouden, las ik in de Leeuwarder Courant (spiegel). Hij maakte daar heimelijk geluidsnames van een zitting, en wel ten behoeve van het slachtoffer dat thuis was. Het Hof noemt het een “unieke situatie”; de verdachte en zijn advocaat hebben allebei aangifte gedaan. Ik moet zeggen, dit voelt erg raar aan.

Een medewerker van de parketpolitie zag tijdens de hogerberoepzitting van een diefstalzaak dat een man op de publieke tribune bezig was met opnames maken op zijn iPhone. Dat is verboden onder de huisregels van de rechtbanken. De reden daarvoor is niet dat rechters heel ouderwets zijn, maar omdat kort gezegd het de waarheidsvinding niet ten goede komt.

De Raad voor de Rechtspraak publiceert regelmatig motivaties waarom zij pers of opnames niet toestaat. Een korte selectie:

  • “De rechtbank heeft aanwijzingen dat de opnames verdachtes vrijheid om open en eerlijk te verklaren zeer waarschijnlijk belemmert.”
  • “Vanwege veiligheidsrisico’s heeft de voorzitter in deze specifieke zaak het verzoek van het Openbaar Ministerie ingewilligd en daarom mogen de officieren van justitie niet in beeld worden gebracht. “
  • “Dat bezwaar honoreert de voorzitter gelet op de zorgen van de verdediging over stigmatisering of negatieve beeldvorming bij die media-aandacht.”
  • “Het verzoekschrift dat tijdens de zitting besproken wordt, gaat over het houden van een getuigenverhoor in een in veel opzichten gevoelige kwestie waarmee grote financiële en andere belangen gemoeid zijn. Het is van belang om die bespreking in alle rust te kunnen laten plaatsvinden. “
Voor mij is de kern dat het de voortgang van de rechtszaak verstoort. Als mensen weten dat ze opgenomen worden, leidt dat ze af. Misschien willen ze dan niets meer zeggen, misschien worden ze boos omdat ze zich verspreken en dat nu opgenomen is. En misschien zijn ze bang dat de opname verkeerd in de media komt zodat ze (hoewel ze onschuldig zijn) als grote crimineel afgeschilderd gaan worden.

Bij een geheime opname zou dat niet moeten spelen, je weet per definitie niet dat dat gebeurt. Maar die risico’s van misbruik en dergelijke spelen dan net zo goed, daarom is het stiekem afluisteren en opnemen van gesprekken strafbaar gesteld (art. 139a en 139b Strafrecht).

Mijn eerste gedachte was wel: hoezo is dit afluisteren, je kunt moeilijk volhouden dat je een privégesprek aan het voeren bent in een openbare rechtszitting. Maar de wet gaat verder dan alleen met een richtmicrofoon twee babbelaars op een bankje op band krijgen. Het wetsartikel is al wat ouder, bij invoering (1967) zei de minister:

[Overigens] moet in het wetsontwerp het woord „afluisteren” niet worden opgevat in de beperkte zin van: „ongemerkt of heimelijk luisteren”, zoals dit in het gewone spraakgebruik wel geschiedt. Onder „afluisteren” wordt in het wetsontwerp, evenals trouwens in wetsontwerp no. 8911, verstaan elk luisteren naar een gesprek door een buitenstaander, het „beluisteren” dus.
Ik zie wel hoe je “beluistert” door op de publieke tribune te zitten en dan een opname te maken.

Natuurlijk voelt het behoorlijk paradoxaal: een rechtszitting is openbaar, je mag van alles verslag doen achteraf dus hoezo ben je dan aan het “afluisteren” als je dat verslag niet maakt door meeschrijven maar door opnemen. Maar de kern is dus dat het opnemen de rechtszaak verstoort en daarom niet mag.

Arnoud

Nee, er is geen officiële bewaartermijn voor beveiligingscamerabeelden

Geplaatst op in Privacy, Regulering, 21 reacties

De Nederlandse politie heeft bijna 280.000 camera’s opgenomen in de Camera In Beeld-database. Dat meldde Tweakers onlangs. De meeste zijn van bedrijven, zo’n 15% is van particulieren. De database is handig als start voor opsporing: je weet precies waar je met je vordering afgifte camerabeelden moet zijn als agent (er is geen live toegang op afstand natuurlijk). En dan het ergerlijke stukje: “Publieke camerabeelden worden gemiddeld langer bewaard dan wettelijk toegestaan.” Dit is niet waar en ik wou dat men ophield dit te zeggen.

De motivatie is dan dat zowel politie als Autoriteit Persoonsgegevens ergens mompelen dat 28 dagen de maximale bewaartermijn is:

Het valt op dat de bewaartijd van beelden van de publieke camera’s langer is dan die van particuliere camera’s en mogelijk zelfs de wet overtreedt. Particulieren en bedrijven bewaren camerabeelden gemiddeld 21 dagen. Bij beelden van de overheid gaat het om 38 dagen. Dat is langer dan toegestaan. De politie verwijst zelf naar zijn eigen regels, waarin staat dat camerabeelden maximaal 28 dagen mogen worden bewaard. Ook de Autoriteit Persoonsgegevens noemt een maximale bewaartermijn van vier weken voor camerabeelden ‘van de politie’.
Alleen, volgens mij hebben politie en AP het over bewaartermijnen van overheids-camera’s, zoals die een gemeente op zou hangen voor toezicht in de openbare ruimte. In deze database zitten vooral particuliere camera’s (van burgers, zowel bedrijven als personen dus) en dat is juridisch iets heel anders. Die particulieren moeten zich aan de AVG houden, althans als de camera ook de openbare weg filmt. En in de AVG staat géén 28 dagen, daar staat alleen “niet langer dan nodig”.

Oftewel: het hele punt is dat wie een camera ophangt die meer dan eigen terrein filmt, zélf moet gaan bedenken hoe lang zhij de beelden bewaart. Dat moet gemotiveerd en gedocumenteerd (op zijn minst in je privacyverklaring). Er is geen vuistregel of basistermijn.

Heel, heel lang geleden was er een Wet bescherming persoonsgegevens. Die vermeldde ergens dat camerabeelden maximaal 28 dagen bewaard mochten worden. Dat was alleen in de context van de registratieplicht, in die tijd moest je je camera aanmelden bij de AP anders mocht deze er niet hangen. Maar wie de beelden binnen 28 dagen wiste, hoefte de camera niet te melden. Om mij nog steeds volstrekt onverklaarbare redenen zijn hele hordes mensen dit vrijstellingsbesluit gaan lezen als een toestemming om beelden 28 dagen te bewaren. En deze waanzinnige mythe leeft nog steeds door, ik zie ook in publicaties van overigens respectabele juristen anno 2021 doodserieus nog dat vrijstellingsbesluit als bron genoemd voor een bewaartermijn.

Het enige relevante juridische document is deze publicatie van de European Data Protection Board, de samenwerkende toezichthouders. Deze werkt het AVG-kader voor cameratoezicht nader uit, en vermeldt op pagina 28:

Taking into consideration the principles of Article 5 (1) (c) and (e) GDPR, namely data minimization and storage limitation, the personal data should in most cases (e.g. for the purpose of detecting vandalism) be erased, ideally automatically, after a few days. The longer the storage period set (especially when beyond 72 hours), the more argumentation for the legitimacy of the purpose and the necessity of storage has to be provided. If the controller uses video surveillance not only for monitoring its premises but also intends to store the data, the controller must assure that the storage is actually necessary in order to achieve the purpose. If so, the storage period needs to be clearly defined and individually set for each particular purpose.
De kern is dus: je beelden moeten zo snel mogelijk weg, en het liefst automatisch. En dat “zo snel mogelijk” druk je eerder uit in uren dan in dagen. Als jij iets anders wil, leg maar uit waarom jij in jouw situatie met die beelden voor jouw doeleinden meer nodig hebt. En dan willen we geen dooddoeners horen dat security-randvoorwaarden dit vereisen, dat je ISO auditor in het model 28 dagen had staan (ik citeer een vraagsteller) of dat je wellicht na enkele weken oude beelden wil terugkijken om incidenten te correleren.

Oké, dat was even erg cynisch allemaal. Laat ik het eens positief doen. Hier zijn een aantal voorbeelden van motivaties voor bewaartermijnen, met het verzoek aan jullie om aanvullende tekstvoorstellen te doen!

  • Bij dit woonhuis gebruiken wij camera’s om huis, erf en bewoners te beschermen en (pogingen tot) diefstal, braak en dergelijke vast te leggen. Wij kunnen dan aangifte doen of via de verzekeraar claims indienen. De beelden bewaren wij 72 uur omdat we niet meteen alles zullen opmerken. Periodes van vakantie rekenen we hierin niet mee.
  • Onze winkel is met camera’s beveiligd en we filmen ook de winkelruit in verband met ramkraken en inbraken. De beelden worden aan het einde van elke werkdag vernietigd.
  • Op deze camperstalling wordt met cameratoezicht gewaakt over de geplaatste caravans en campers. Omdat het terrein niet dagelijks door mensen gecontroleerd wordt, worden camerabeelden bewaard tot het einde van de betreffende huurperiode. Camerabeelden waar ook de openbare weg in beeld is, worden wekelijks uitgekeken en vernietigd tenzij incidenten zichtbaar zijn.
In het bijzonder ben ik op zoek naar een voorbeeld van een ‘gewoon’ bedrijf dat camerabeelden 28 dagen mag bewaren. Omdat je normaliter incidenten sneller opmerkt dan dat (de bekraste auto, de inbraak, de vechtpartij bij de personeelsingang) zie ik het niet. De angst voor een stakeout door georganiseerde criminelen die dan eens in de week komt posten om de geldloper te bespringen zodra ze het patroon door hebben voelt een vrij specifiek risico?

Arnoud

 

Grapperhaus wil delen privégegevens om te intimideren strafbaar maken

Geplaatst op in Regulering, 31 reacties

Demissionair minister Grapperhaus van Justitie heeft een wetsvoorstel ingediend om het delen van privégegevens van een persoon met als doel om diegene te intimideren, strafbaar te stellen. Dat las ik bij de NOS. Het zogeheten doxing is nu nog moeilijk aan te pakken, maar als het aan Grapperhaus ligt gaat dat veranderen. Het wetsvoorstel bevat een strafbaarstelling van het gebruik van persoonsgegevens voor intimiderende doeleinden.

Doxing is de wat merkwaardige internetterm voor “iemands identiteit achterhalen”. Veel mensen op internet zijn anoniem, en het kan dan een sport zijn te achterhalen wie dit werkelijk is. En soms heeft dat vervelende gevolgen voor die persoon, variërend van rare brieven bij de buren of stapels pizza’s tot de buurt moeten ontvluchten. Maar omdat bij het publiceren van die gegevens vaak niet direct wordt opgeroepen om de betrokkene iets aan te doen, blijkt het in de praktijk moeilijk om doxing strafrechtelijk aan te pakken.

Het nieuwe wetsvoorstel introduceert een lagere strafrechtelijke lat:

Hij die zich identificerende persoonsgegevens van een ander of een derde verschaft, deze gegevens verspreidt of anderszins ter beschikking stelt met het oogmerk om die ander vrees aan te jagen dan wel aan te laten jagen, ernstige overlast aan te doen dan wel aan te laten doen of hem in de uitoefening van zijn ambt of beroep ernstig te hinderen dan wel te laten hinderen, wordt gestraft met gevangenisstraf van ten hoogste een jaar of geldboete van de derde categorie.
Er is een uitzondering opgenomen voor het geval je te goeder trouw mocht denken dat de publicatie in het algemeen belang was. (Dat is de standaardtruc om klachten over censuur te pareren.)

Het achterliggende probleem is dat er vaak wel sprake is van intimidatie of angst aanjagen (gericht op mensen weg te jagen of ergens mee te laten stoppen) maar dat dat niet op het niveau van strafbare bedreiging met geweld komt. Of in ieder geval, het is een stuk moeilijker: als iemand een foto van je dochter publiceert en zegt “wie weet waar ze naar school gaat, en is daar een drukke weg vlakbij” dan is dat geen evidente bedreiging maar wie dit ziet over zichzelf, zal daar toch van schrikken. Dat is dus een vorm van intimidatie die niet strafbaar is.

Het gaat niet zo ver dat iedere vorm van publiceren van persoonsgegevens als doxing aangemerkt kan worden. Het doel van de publicatie moet wel die intimidatie, vrees aanjagen zijn. En daar zit hem natuurlijk de kneep: bij een politicus langsgaan met zes man met hooivorken en een fles wijn voelt intimiderend, maar je kunt natuurlijk zeggen “haha ja nee we komen net van het werk en wilden even een fles wijn geven, gewoon gezellig”. Nou heb ik de stelregel dat wie een juridisch argument begint met “haha ja nee”, automatisch verloren heeft, maar gelukkig werkt het Nederlands recht niet zo.

Juridisch is wel nog van belang dat het niet uitmaakt of je werkelijk bang wérd van de intimidatie, van de doxing. Als de dader de bedoeling had je bang te maken, dan is dat genoeg. Hiermee wil men voorkomen dat vervolging niet zou kunnen bij mensen die in het openbaar zeggen er boven te staan, bijvoorbeeld. Om diezelfde reden is er geen aangifte van het slachtoffer vereist: het OM kan optreden op basis van enkel de publicaties, en als ze dan het oogmerk rond krijgen dan zou dat genoeg moeten zijn.

Het wetsvoorstel ligt ter internetconsultatie en moet daarna nog door Tweede en Eerste Kamer. Dus het zal nog even duren voor het echt van kracht is.

Arnoud

 

Eh nee, een stiekeme geluidsopname is in beginsel rechtmatig

Geplaatst op in Privacy, Regulering, 20 reacties

Het hof stelt voorop dat een heimelijk gemaakte gespreksopname in beginsel onrechtmatig is verkregen. En ik viel van mijn stoel, want hoezo. Deze zin in een recent arrest (dank tipgever) steekt me buitengewoon, en niet alleen omdat het niet klopt: het is onrechtvaardig om dat zo te zeggen.

De zaak komt uit het jeugdrecht, en gaat over een gedwongen voogdij waarbij de ouders graag een bredere omgangsregeling met hun kind willen. Daarbij zijn vele gesprekken gevoerd, en op zeker moment hebben de ouders een stiekeme geluidsopname gemaakt van een persoon die werkt bij de voogdij-instelling. Die wilde men aan het dossier laten toevoegen, en daar gaat het Hof dus voor liggen.

En kijk. Ik snap best dat je als Hof zegt,

… dat in zaken waarbij jeugdzorginstanties zijn betrokken, terughoudend dient te worden omgegaan met het toestaan van het overleggen van dergelijke heimelijk gemaakte geluidsopnames. Dergelijke opnames stroken niet met belangrijke waarden als transparantie en vertrouwen. Kernwaarden die van belang zijn om tot een goede samenwerking te komen en in dit geval om hulp te kunnen verlenen in het belang van de betrokken kinderen.
Want ja, natuurlijk ontstaat er een vertrouwensbreuk als jij stiekem een gesprek opneemt. Dat het mág (en het mag, punt uit) maakt het natuurlijk niet meteen moreel oké of iets waarvan de wederpartij het maar moet accepteren. En ik weet heus dat er genoeg zaken zijn waarbij zulke opnames op Youtube belanden als het vervolgtraject niet naar de zin van de boze ouders is, al dan niet met geknip en geplak en diverse insinuaties.

De reden dat ik er zo boos over ben, is dus meer dan die echt foute zin dat “een heimelijk gemaakte gespreksopname in beginsel onrechtmatig is”. Want dat is dus niet waar, het is uitdrukkelijk niet strafbaar – en dat was ook de bedoeling van de strafwetgever. Wat niet strafbaar is, is in beginsel ook juist rechtmatig.

Nee, wat me eraan steekt is dat je op deze manier mensen in een kwetsbare positie de mogelijkheid ontzegt een misstand aan de kaak te stellen. Want het gaat hier om een enorm heftige situatie, waarbij mensen zich vaak niet gehoord voelen of het idee hebben dat zij toezeggingen kregen die niet nagekomen worden. Een gespreksopname is in zo’n ongelijke situatie dan de enige manier om daar tegenop te boksen. En als je dan een gerechtshof krijgt dat dat van tafel veegt, dan is dat gewoon buitengewoon onrechtvaardig.

Afijn. Ik ben alweer rustig. Wat je de volgende keer dus doet, is niet de gespreksopname inbrengen of melden dat die is gemaakt. Je maakt zelf een transcriptie, en je verwerkt dat in je verzoekschrift of verweer alsof je uit je hoofd zo letterlijk mogelijk reproduceert wat er is gezegd. Doe dat uitgebreid, zodat je laat doorschemeren dat je écht weet wat er gezegd is en er niet makkelijk gezegd kan worden “u trekt een zin uit zijn verband”.

Vervolgens laat je de wederpartij rustig reageren op de tekst. Erkennen ze wat er staat (“Dat is wel zo gezegd maar”) dan is dat mooi, en ga je verder op de interpretatie. Ontkent men dat dat zo gezegd is, dan ga je eerst doorprikken op wat er dan wél gezegd zou zijn, dat je je het héél goed herinnert en of men zéker weet dat er echt iets anders is gezegd. Pas als er dan een keiharde ontkenning ligt, dan zeg je “goh heel raar, ik blijk dus een gespreksopname te hebben waarin u echt iets heel anders zegt”. Op die manier forceer je de discussie naar het rechtzetten van de onjuistheid van de wederpartij, en dat is precies de reden waarom een eventuele onrechtmatigheid van het opnemen gepasseerd mag worden.

En natuurlijk publiceer je geen opnames.

Arnoud

 

Politie overtreedt opnieuw regels voor inzet hackingtools

Geplaatst op in Regulering, 6 reacties

De politie heeft zich opnieuw niet aan de regels gehouden bij het inzetten van hackingtools. Dat las ik bij Tweakers, dat zich baseert op een rapport van de Inspectie Justitie en Veiligheid. In dit rapport concludeert de inspectie dat de politie zich niet hield aan de gestelde voorwaarden houdt voor het inzetten van hacking tools. De politie is in 2020 vier keer een apparaat binnengedrongen waar geen goedkeuring voor werd verleend. Wat de vraag opriep, wat zou er gebeuren met die agenten die dat deden? Zijn die zelf strafbaar?

Nou ja, vrij weinig eigenlijk. Zoals in de comments ook al gezegd wordt, het gaat hier om ambtenaren die een overheidstaak uitvoeren. De Hoge Raad bepaalde in de zogeheten Pikmeer-arresten dat publiekrechtelijke rechtspersonen niet vervolgd kunnen worden als het de uitvoering betreft van een specifieke overheidstaak. Dat betekent ook dat individuele ambtenaren die zo’n taak uitvoeren, daarvan gevrijwaard blijven.

Een “specifieke overheidstaak” is kort gezegd een taak die niet geprivatiseerd kan worden, iets dat de overheid niet ook een burger kan laten doen. Bij die laatste categorie taken kan de ambtenaar die het doet dus wél vervolgd worden als de uitvoering strafbare feiten oplevert. En we hebben het hier natuurlijk over het opsporen van strafbare feiten of het zogeheten “terughacken”, oftewel inbreken bij derden in de hoop daders, bewijs of controle over softwarediensten te pakken te krijgen. Dat is echt een unieke politietaak. Ja, ik weet dat je ook hackers kunt inhuren maar die verrichten dan geen opsporingstaken.

Natuurlijk heeft zo’n situatie wel gevolgen voor de strafzaak waarbij zo gehandeld blijkt. Dergelijk bewijs zal al snel uitgesloten worden, juist omdat de politie zich aan bepaalde regels moet houden bij opsporing. En omdat vaak de zaak sterk wordt opgehangen aan zulk bewijs, is de zaak daarmee vrij snel ‘stuk’.

Wat ik zelf ernstiger vindt, uit het rapport:

Evenals in 2019 gebruikte zij commerciële software, nu zelfs in het merendeel van de zaken. De leverancier hiervan heeft toegang tot deze software en de hiermee verkregen gegevens.
Ik snap best dat je als politie je tools inkoopt, je maakt ook niet zelf dienstwagens of pistolen. Maar dat de leverancier bij de gegevens kan, de telemetrie of logs neem ik aan, dat is voor mij te bizar voor woorden?

Arnoud

Wat betekent de nieuwe Telecommunicatiewet voor telemarketing?

Geplaatst op in Regulering, 9 reacties

Een lezer vroeg me:

Per 1 juli wijzigt de Telecommunicatiewet. Ik begrijp uit de wetsteksten dat de wet eigenlijk bedoeld is voor consumenten. Maar kan ik bijvoorbeeld straks nog wel zonder toestemming te hebben gegeven en zonder een klantrelatie te hebben als medewerker van bedrijf X (niet ZZP of eenmanszaak) voor verkoopdoeleinden worden gebeld door bedrijf Y op mijn rechtstreekse werktelefoonnummer? Of alleen via het algemene telefoonnummer van mijn bedrijf X?
In januari van dit jaar heeft de Eerste Kamer inderdaad een aantal wijzigingen aan de Telecommunicatiewet doorgevoerd. Deze wet bevat een aantal belangrijke bepalingen voor telemarketing, zowel per telefoon als via e-mail (of, juristen zijn ouderwets, per fax).

De belangrijkste wijziging is dat er nu een algemeen opt-in regime geldt voor telemarketing. Ja, dus ook voor ongevraagd bellen. Het bel-me-niet register wordt dan ook opgeheven, dat was immers een opt-out systeem dat nu overbodig wordt. Alleen (betalende) klanten mag je ongevraagd blijven bellen (of mailen), mits je maar bij het klant-worden ze expliciet hierop hebt gewezen en ze een bezwaaroptie bood. Let op: dat is dus niet “bij ieder belletje zeggen we dat je je kunt afmelden” maar op het bestelformulier een “ik wil niet gebeld worden” vinkje.

Nieuw is dat ideële organisaties je mogen bellen of mailen nadat je een schenking of donatie deed. Dat is natuurlijk geen “bestelling”, maar de wet vermeldt nu expliciet dat ook dan er een opt-out regime geldt. Ook als je vrijwilliger bent of naar een manifestatie gaat, dan mag men op deze opt-out basis je benaderen.

Naast consumenten hebben ook bedrijven veel last van ongevraagde telefonische reclame. Ook daar worden de spelregels aangetrokken, zowel voor rechtspersonen (zoals een bv) als voor natuurlijke personen die bedrijfsmatig handelen (zoals een vof of eenmanszaak). Hoofdregel is ook hier toestemming oftewel opt-in. De uitzondering is nu zeer beperkt:

de verzender gebruik maakt van elektronische contactgegevens die door de desbetreffende eindgebruiker voor het ontvangen van ongevraagde communicatie voor commerciële, ideële of charitatieve doeleinden zijn bestemd en bekendgemaakt en deze worden gebruikt in overeenstemming met de door de eindgebruiker aan de contactgegevens verbonden doeleinden, of [de ontvanger zit buiten de EU].
Ja, daar staat echt dat je alleen ongevraagde reclame mag sturen naar een adres dat voor ongevraagde reclame opengesteld is. Het algemene info@ adres (inclusief de hippe varianten hallo@, welkom@, zeghetmaar@ en kopjekoffiedoen@) voldoet niet aan die eis. Ik vind het moeilijk een concreet voorbeeld uit het wild te noemen, maar je komt uit bij zaken als reclame@ of aanbiedingen@ en ik kan me niet voorstellen dat iemand daarop zit te wachten.

Geheel overbodig en tot mijn ergernis staat er dan in de Memorie van Toelichting nog:

Het tonen van contactgegevens in het Handelsregister van de Kamer van Koophandel kan expliciet niet worden aangemerkt als een situatie waarin er vanuit mag worden gegaan dat er op deze manier toestemming is gegeven.
Ik hoop dat er niemand was die serieus meende van wel.

Belangrijk is wel dat voor oude contactgegevens de oude regels blijven gelden. Bedrijven hoeven hun opt-out zakelijke database dus niet te wissen en opnieuw op te bouwen (art. 20.7). Wel moet je natuurlijk bij iedere communicatie mensen wijzen op de afmeldmogelijkheid.

Arnoud

Politie arresteert man op verdenking ‘pump en dump’ met zelfgemaakte cryptocoins

Geplaatst op in Innovatie, Regulering, 17 reacties

De Nederlandse politie heeft een man van 39 uit Deventer aangehouden op verdenking van grootschalige oplichting met zelfgemaakte cryptovaluta. Dat las ik bij Tweakers. In het jargon heet dit een “pump and dump scheme”: je praat de koers omhoog en daarna verkoop je snel je eigen voorraad, waarna je er met het geld vandoor gaat en iedereen ineens door een koersdaling gedupeerd is. Dat is niet hetzelfde als speculeren, omdat de koers hier kunstmatig opgedreven werd. En dat kan dus ook bij cryptomunten, hoewel die niet onder de Wet financieel toezicht vallen.

De cryptowereld kent ondertussen een heleboel shady figuren, die op allerlei manieren proberen mensen geld afhandig te maken door ze te pushen “nu in te stappen”. De NOS had er een mooi achtergrondartikel over. Nou is dat op zich natuurlijk legaal – handig naïeve mensen bespelen is moreel niet echt netjes maar dat is wat anders. Maar dit soort trucs evolueren snel tot “koop zelf goedkoop, laat anderen instappen en verkoop zodra de koers omhoog gegaan is door hun aankopen”. En dát is wel een juridisch probleem.

In eerste instantie dacht ik, waarom is het de politie en niet de AFM die ingrijpt. Maar bij nader inzien logisch natuurlijk: cryptomunten vallen buiten de Wft omdat ze geen financiële instrumenten in de zin van die wet zijn. En dan valt dus handhaving op grond van art. 5:58 Wft af.

In het persbericht spreekt de politie van oplichting, wat me een tikje verrast omdat er gewoon een specifiek artikel in het Wetboek van Strafrecht is dat hierover gaat, namelijk art. 334:

Hij die, met het oogmerk om zich of een ander wederrechtelijk te bevoordelen, door het verspreiden van een leugenachtig bericht de prijs van koopwaren, fondsen of geldswaardig papier doet stijgen of dalen, wordt gestraft met gevangenisstraf van ten hoogste twee jaren of geldboete van de vijfde categorie.
Mogelijk dat men twijfelt of een cryptomunt een “koopwaar of fonds” is? In ieder geval is er jurisprudentie dat het verspreiden van half-ware berichten ook “leugenachtig” oplevert – zeggen dat de koers aan het stijgen is door een groot aantal aankopen, waarbij je niet zegt dat jij de persoon bent die die aankopen doet.

Wanneer je het oplichting noemt, kom je volgens art. 326 Strafrecht aan de vraag of je handelt

door het aannemen van een valse naam of van een valse hoedanigheid, hetzij door listige kunstgrepen, hetzij door een samenweefsel van verdichtsels.
Ik zou het dan op dat laatste gooien, daarmee wordt namelijk grofweg bedoeld zo veel mooie verzonnen praatjes dat mensen je gaan geloven en doen wat je zegt. De vaste jurisprudentie is dat je laat meewegen:
de vertrouwenwekkende aard, het aantal en de indringendheid van de (geheel of gedeeltelijk) onware mededelingen in hun onderlinge samenhang, de mate waarin de in het algemeen in het maatschappelijk verkeer vereiste omzichtigheid degene tot wie de mededelingen zijn gericht aanleiding had moeten geven de onwaarheid te onderkennen of zich daardoor niet te laten bedriegen en de persoonlijkheid van het slachtoffer.
Omdat bitcoins en andere cryptovaluta ‘goederen’ zijn in de zin van het strafrecht (de Runescape-zaak), voldoe je ook aan de eis dat men iemand beweegt tot afgifte van “enig goed”.

De tegenwerping is natuurlijk dat iedereen die met crypto bezig gaat, moet weten dat het gaat om speculatie op zeer snel op en neer bewegende koersen. Het kan bij iedere munt gebeuren dat je net instapt voor een crash, pardon dipje, al dan niet veroorzaakt doordat Elon Musk een emoji twittert. Dat is dan gewoon pech, en dat je adviseur wél net goed in- en uitstapte dat is dan wrang, meer niet.

Het gaat uiteindelijk echter om het oogmerk van de adviseur en om het kunstmatig karakter van de koersstijging. Dat is wat het oneerlijk maakt. De koers van die cryptomunt stijgt niet omdat de markt deze meer waard vindt, maar omdat iemand allemaal mensen voor het lapje houdt waardoor die gaan kopen. Zo’n self fulfilling prophecy is geen marktwerking maar oplichting. En als dat ook nog eens de bedóeling was van de adviseur, dan overtreedt zhij de strafwet.

Dit bewijs zal natuurlijk lastig zijn, als deze verdachte slim is en de mond houdt over motieven. Je houdt dan over dat er afgezien van deze persoon geen kopers waren tot het moment dat de reclame begon, en toen eigenlijk alleen de door deze persoon benaderde mensen aan het kopen sloegen, waarna de verdachte als eerste én grootschalig de cryptomunt verkocht. Ik kan dat niet anders zien dan lekker de winst pakken die je zelf gecreëerd hebt met je mooie praatjes, en dat is dus een vorm van oplichting.

Arnoud