Categorie: Regulering

About Regulering

Subscribe Feeds

Hoe zwaar weegt gezichtsherkenning in het strafrecht?

Geplaatst op in Regulering, 17 reacties

Het lijkt erop dat degene die op 5 augustus 2017 om 2.31 uur bij de geldautomaat is gefilmd, ook in de politiedatabase staat: Thomas. Zo introduceert Nu.nl een strafzaak waarin gezichtsherkenning door het politiesysteem CATCH centraal stond in het bewijs. Nadat ook twee onderzoekers de gezichten met elkaar vergelijken, concludeert het Centrum voor Biometrie namelijk dat Thomas veel overeenkomsten en geen significante verschillen vertoont met de persoon die om half drie ’s nachts pint. Hebbes, zegt de statistiek. Nope, zegt de rechtbank Den Bosch.

De strafzaak (vonnis) gaat over een hele trits feiten, niet alleen een keer pinnen met andermans pinpas, maar ook witwassen en lidmaatschap van een criminele organisatie. De rechtszaak is namelijk onderdeel van een groter onderzoek naar een bende die bankrekeningen plundert. En kennelijk is ‘Thomas’ (de naam is nep) de leider van dat netwerk want hij heeft statistisch gezien gepind met een gestolen pas?

Herkennen van mensen van foto’s is natuurlijk altijd lastig. Maar hier werd niet door menselijke getuigen of rechercheurs gekeken; het gaat om een automatisch gezichtsherkenningssysteem dat CATCH heet. De cijfers zijn schokkend: jaarlijks gaan zo’n duizend foto’s van verdachten door de database met 1.3 miljoen mensen. En dat levert dan 98 keer een match op. Nee, niet 980 of 98%, acht-en-negentig. Net geen honderd. Ja, ik val ook van mijn stoel.

Waarschijnlijk komt dat lage aantal omdat de meeste beveiligingscamera’s de kwaliteit van een aardappel hebben, als ik de beelden van Opsporing Verzocht mag geloven. Plus, veel criminelen weten natuurlijk dat ze hun gezicht moeten bedekken om niet te makkelijk herkend te worden. En men zal vast ook alleen een match willen geven als het systeem het heel zeker weet.

Maar hoe zeker is zeker? Dat weten we niet, en dat is ook fundamenteel lastig. Al is het maar vanwege de vraag of de werkelijke dader wel in het systeem zit. Anders krijg je gewoon “de best matchende persoon is deze” en als dat ook een hoog percentage betrouwbaarheid geeft, dan is de conclusie “dit is hem” snel gelegd. Natuurlijk kijken er dan nog mensen naar, maar “even checken, dit is hem toch” is heel wat anders dan “hier zijn duizend gezichten, welke is het”.

De rechtbank is er dan ook héél snel klaar mee:

De rechtbank is van oordeel dat in dit geval de ‘hit’ op verdachte in het zgn. CATCH-systeem (Centrale Automatische Technologie voor herkenning) onvoldoende is om te concluderen dat verdachte – buiten redelijke twijfel – als pinner kan worden aangemerkt. De opmerking dat twee onderzoekers zagen dat er veel overeenkomsten waren en geen significante afwijkingen, acht de rechtbank niet zodanig overtuigend dat de ‘hit’ als basis voor een bewezenverklaring kan dienen. Nu er buiten de herkenning geen andere bewijsmiddelen voorhanden zijn die verdachte verbinden aan een van de ten laste gelegde feiten, is de rechtbank van oordeel dat verdachte dient te worden vrijgesproken.

Bij een strafzaak moet het gaan om wettig en vooral overtuigend bewijs. Oftewel, geen redelijke twijfel. Enkel “hij lijkt best goed” is niet hetzelfde als “er is geen twijfel dat dit hem is”. Tussen de regels door lees ik dat de rechtbank alléén een fotoherkenning te weinig vindt. Had zijn telefoon even uitgepeild, een vingerafdruk genomen of iets anders dat hem op de plaats delict zet. Maar dit is echt te weinig.

Arnoud

Gaat het om open source of open API’s bij de overheid?

Geplaatst op in Regulering, 6 reacties

De overheid heeft een moeizame relatie met ict, zo poneert een interessant Tweakers-artikel over openbaarheid bij overheids-ICT-projecten. Al geruime tijd (sinds 2002, Motie-Vendrik) worstelt men met het idee van openheid bij software en data die door de overheid wordt ontwikkeld. Het sterkst is het pleidooi geweest voor het openen (bevrijden) van software. Maar zelf neig ik er steeds meer naar om te zeggen: het gaat om de data en de API’s. Dat ga ik uitleggen.

Het Tweakers-artikel gaat in op een recente rechtszaak om vrije (vrij als in vrijheid) toegang te krijgen tot de broncode van de “Debat Direct”-app, waarmee het mogelijk is om debatten in het parlement live te bekijken of achteraf terug te kijken. Er is alleen geen Linux versie, uitsluitend MacOS en Windows worden ondersteund. In maart bepaalde de rechtbank dat deze app wettelijk niet openbaar hoeft te zijn, onder meer omdat de Wet openbaarheid van bestuur niet geldt voor de Tweede Kamer en de Wet hergebruik overheidsinformatie niet geldt voor apps.

Vervolgens blijkt dat de app gewoon Javascript is, niet eens obfuscated, zodat je je kunt afvragen wat er dan niet openbaar is aan die broncode. En het gevolg is natuurlijk dat alleen een licentie nodig is, want zonder licentie mag je niets met software, hoe openbaar of publiek beschikbaar de broncode ook is.

Vanaf 2021 moet alle nieuwe software van de overheid openbaar zijn, maar dat helpt natuurlijk niet voor al die legacy software die er al is. Of voor al die data en protocollen die er achter zitten. Gelukkig is er het Open Data portaal, waar je alvast een hoop overheidsdata in kunt vinden. Maar nog lang niet alles.

En ja die API’s dus. De Application Programming Interfaces dus, de manier waarop je als applicatie tegen een andere zegt wat ‘ie moet doen of geven. Die zijn de kern van het samenwerken tussen applicaties – en van het kunnen herimplementeren van functionaliteit, zoals bij die Debat Direct app. Als je weet hoe je moet vragen om een lijst van debatten en de livestream van debat 23, dan hoef je die hele app niet meer te hebben. Dat integreer je dan zelf in je dashboard of eigen app.

Wat mij betreft is dat de kern van vrije informatie: dat je overal bij kunt en alles kunt gebruiken waar je bij kunt. Of je dat nou doet met een bijgeleverde app of dat je er zelf eentje maakt, dat hoort niet ter zake te doen. Daarom: het gaat om de data (en de API).

Arnoud

Waarom is ransomware losgeld betalen eigenlijk niet strafbaar?

Geplaatst op in Regulering, 20 reacties

Een lezer vroeg me:

Zoals iedereen kan zien komt het steeds vaker voor dat organisaties worden getroffen door een ransomware aanval waarbij er losgeld moet worden betaald om weer toegang te krijgen tot de gegevens. Veel organisaties kiezen hiervoor omdat het in veel gevallen goedkoper is om te betalen, maar is dit eigenlijk niet tegen de wet? Er zijn toch strenge regels over “ongebruikelijk” betalingsverkeer en betalen aan verdachte landen?
Het is niet expliciet verboden om losgeld te betalen wanneer je data gegijzeld wordt. Nergens in het Wetboek van Strafrecht is bepaald dat dit niet mag.

Dat is hetzelfde als bij ‘gewone’ gijzeling, ook daar is nooit gezegd dat het verboden is de gijzelnemers te betalen. De reden is vrij simpel, de mensen die dat zouden doen zijn de slachtoffers, de mensen die onder extreme emotionele druk staan om hun geliefden terug te krijgen. Dat ga je niet strafbaar stellen.

Bij ransomware voelt het allemaal iets zakelijker, en het gemak waarmee de gijzelnemers optreden versterkt dat gevoel nog eens. Vaak gaat het om bedrijven of instellingen, niet om privépersonen, en om data die te backuppen was geweest (althans, zo lijkt het vaak). Dat maakt het een heel ander verhaal dan een miljonair wiens man of kind wordt ontvoerd en dreigingen over vermoorden ontvangt tenzij er wordt betaald.

Daar komt bij dat veel verzekeraars cyberverzekeringen verkopen waarbij schade door ransomware gedekt is. Dan krijg je helemaal het beeld dat een verzekeraar gewoon kan kiezen te betalen, omdat dat goedkoper is dan de data proberen te herstellen en de systemen schoon te schrobben. (Het risico blijft overigens dat er achterdeurtjes zijn blijven zitten, of dat de gijzelnemers later opnieuw betaald willen hebben, want waarom zouden ze dat niet doen.)

Desondanks is er op dit moment geen wet tegen. Er wordt wel met enige regelmaat voor gepleit, maar van een concreet wetsvoorstel is het (nog) niet gekomen.

Wel is het inderdaad zo dat een betaaldienstverlener zoals banken of Paypal ongebruikelijke transacties moeten melden, en dat dit kan leiden tot blokkades van bankrekeningen of audits van toezichthouders. Maar omdat losgeld vaak via bitcoin en dergelijk wordt betaald, valt dit vaak buiten dergelijk toezicht.

In theorie overtreed je overigens wel sanctiewetgeving als de gijzelnemers in een sanctieland zitten zoals Noord-Korea. Daar mag je geen zaken mee doen, en dus ook geen geld aan betalen. Maar ik heb dat altijd een ietwat overdreven interpretatie gevonden: losgeld betalen is geen “zaken doen”, nog los van dat je niet wéét waar de gijzelnemers zitten.

Arnoud

T-Mobile deelde herleidbare locatiegegevens met CBS voor bouwen van algoritme

Geplaatst op in Ondernemingsvrijheid, Privacy, Regulering, 11 reacties

T-Mobile heeft jarenlang niet-anonieme gebruikersgegevens gedeeld met het Centraal Bureau voor de Statistiek, meldde Tweakers onlangs. Deze werden gebruikt om een algoritme te bouwen waarmee mensenstromen in kaart werden gebracht. NRC Handelsblad onderzocht een overeenkomst uit 2017 tussen de twee, waarbij het slechts „een pilot-project”, zou zijn waarbij alleen met „geanonimiseerde” gegevens zou zijn gewerkt. Dat blijkt dus niet waar, zo ontdekte de krant met een beroep op de Wet Openbaarheid van Bestuur, die daarmee een verontrustend inkijkje gaf in de manier waarop het CBS en T-Mobile met de privacy van bellers omgingen.

In 2017 ging het CBS een samenwerking met T-Mobile aan. Het doel was een algoritme ontwikkelen dat op basis van de locatiedata van één mobiele provider het mobiliteits- en verblijfsgedrag van Nederlanders kan meten. En dat noemen we dan wel “algoritme” maar het gaat natuurlijk om big data machine learning: gooi een grote bak met data in een opgevoerde versie van Excel en kijk hoe de grafiekjes lopen. En ja, dat werkt alleen met hele grote bergen data, en daarbij moet je per datapunt zo veel mogelijk informatie hebben. Het CBS aasde daarom niet alleen op telecomgegevens, maar ook op „data over betalingen” van banken en op andere informatie, wat je ‘verrijking’ kunt noemen of ‘datagraaien’ afhankelijk van aan welke kant je staat.

In het contract met het CBS staat dat T-Mobile „de methode voor het bepalen van locatiegegevens ook voor eigen doeleinden” mag gebruiken, „zowel tijdens als na de pilot”. Maar geen zorgen, „De data zijn zo privacygevoelig dat als er één partij vertrouwd kan worden om dit te analyseren … dan is dat het CBS”, aldus het businessplan.

En dan val ik van mijn stoel want dan blijkt men het verschil tussen pseudoniem en anoniem niet te kennen. Cruciaal, want de AVG is van toepassing op pseudonieme data – maar niet op anonieme. Dus wat krijg je dan, dat iedereen zegt dat de data anoniem is. Maar ik heb hier een AI die met 95% accuratesse voorspelt dat jouw data niet anoniem is maar alleen gepseudonimiseerd*. En ja hoor: “de unieke IMSI-nummers van mobiele toestellen zijn vervangen door andere nummers.” Dat is klassiek pseudonimiseren en nadrukkelijk niét anonimiseren. Ook niet als die andere nummers random zijn. Met de rest van de data is nog méér dan genoeg analyse te doen om over personen uitspraken te kunnen doen.

Gebruikers werden niet op de hoogte gehouden van de plannen. Wel werd de samenwerking besproken met de toezichthouders, maar daarbij werd niet verteld dat er toegang was tot niet-anonieme gegevens. Het Agentschap Telecom gaat, samen met de Autoriteit Persoonsgegevens, nu onderzoek doen naar het datadelen.

Arnoud * De AI zegt altijd “dit is pseudonimiseren” en dat klopt 95% van de tijd. Waar haal ik mijn VC funding voor deze GDPR Compliance Lawyerbot?

Wanneer is mijn reclamemail voor “gelijksoortige” producten toegestaan zonder opt-in?

Geplaatst op in Ondernemingsvrijheid, Regulering, 12 reacties

Een lezer vroeg me:

Ik heb een webwinkel en wil meer reclame maken. Nu las ik dat je daarvoor normaal toestemming nodig hebt, maar niet als je “soortgelijke” producten adverteert aan je klant. Wanneer is het volgens de wet “soortgelijk”?
Voor veel ondernemers is deze uitzondering interessant, omdat het verzamelen van toestemming voor reclame toch vaak best pittig blijkt. Maar het is een heel beperkte, en ik denk dat je er weinig aan hebt. Zeg ik maar even vooraf.

De wet (art. 11.7 Telecommunicatiewet) staat toe om klanten (dus mensen die jou betalen) reclame te sturen zonder opt-in als het gaat om “eigen gelijksoortige producten of diensten” volgens de wet. Er is nooit een rechtszaak geweest waarin definitief hét criterium is toegelicht. Dat is ergens ook wel logisch, want wat zou dat dan moeten zijn in het algemeen? Je komt dan niet verder dan synoniemen voor die term.

De ACM heeft in haar richtsnoeren gezegd dat je vooral moet kijken naar de verwachting van de ontvanger: zou die gek opkijken als hij voor dát product reclame krijgt gezien zijn bestelling? Dat vind ik wel een mooie. Het idee van “gelijksoortig” is immers dat je iets relevants, iets logischerwijs erbij horends meestuurt.

In de Memorie van toelichting van de wet is gezegd dat je ook moet meewegen wat er is gecommuniceerd, hoe de winkel zich presenteert. Ben ik een brillenwinkel dan is reclame voor schoenen raar, ben ik de Bijenkorf dan kan het wel. Dan gaat het immers om mode in het algemeen, en bij een bril is een bijpassend paar schoenen niet zo raar als advies in een modewinkel.

De angel zit hem bij deze constructie in een ander aspect: je mag weliswaar zonder toestemming mailen, maar je moet het bij de bestelling hebben gemeld op het formulier en een áfmeldmogelijkheid (optout) hebben geboden. Dus na een paar jaar bedenken “ik wil meer reclame maken” is gewoon niet genoeg, je hebt dan nooit mensen dit gezegd laat staan ze een afmeldmogelijkheid gegeven. En dan kun je je niet op deze uitzondering beroepen.

Deze uitzondering is dan weer wel de reden waarom de “Ik wil de nieuwsbrief ontvangen”-aanvinkvakjes vooraf aangevinkt mogen zijn bij bestelformulieren. Het weghalen van dat vinkje is dan de opt-out.

Arnoud

Zweedse politie beboet voor gebruik gezichtsherkenning Clearview

Geplaatst op in Regulering, 8 reacties

De Zweedse politie heeft van de Zweedse privacytoezichthouder een boete van 250.000 euro opgelegd gekregen wegens het onrechtmatig gebruik van het gezichtsherkenningssysteem van het bedrijf Clearview AI. Dat meldde Security.nl onlangs. “De politie heeft onvoldoende organisatorische maatregelen ingevoerd om ervoor te zorgen dat het verwerken van persoonlijke data in dit geval volgens de wet plaatsvond”, aldus de Integritetsskyddsmyndigheten (IMY). Zo ontbrak een DPIA. Maar, zo lees ik op diverse plekken, wat is nu het probleem want de politie gebruikt dit toch alleen als hulpmiddel voor eerste leads?

De database van Clearview is opgebouwd door het scrapen van zo ongeveer alle social media sites, van Facebook tot Instagram en Venmo. En omdat die allemaal een Real Name Policy hebben, heb je een handige herkenningstool. Overheden leken de aantrekkelijkste doelgroep voor de dienst, dus daar is men heen gepivot en daarom lezen we nu dat er al tientallen zaken zijn opgelost van het soort waarvan je denkt “als ze nou toch de foto eens door Facebook heen konden halen dan hadden ze ‘m zo, de naarling”.

Nou ja, zoals ik vorig jaar zei:

[V]an bronnen blijf je af tenzij je kunt bewijzen dat je erin mag en dat je mag doen wat je van plan bent. En dat gaat natuurlijk hartstikke mis: die gegevens staan daar niet zodat Clearview er een matching tool mee kan maken maar omdat mensen zichzelf op social media willen presenteren. Dat is dus een doelbindingsprobleem, in het jargon. Ook gaat het mis met de informatieplicht: Clearview vertelt niemand dat hun foto in hun bestand verwerkt wordt en dat er matches zijn gedaan door politiediensten of andere snuffelaars. Dat is onderdeel van de transparantie die de AVG eist.
Dit zijn natuurlijk fundamentele bezwaren, maar ze zijn ook vrij abstract. En dat is lastig want het tegenargument is natuurlijk, als het de politie helpt een lead te vinden dan is dat toch mooi? Wat Clearview doet, is immers ‘gewoon’ dertig matches geven van mensen die lijken op de verdachte, met naam en Facebookprofiel er bij. Die namen trek je dan alsnog zelf door de politiesystemen. Hoe is dat anders dan een buurtonderzoek waarbij iemand zei dat zhij Wim ten Brink had gezien op de plaats delict?

Nou ja, dat is anders omdat je bij buurtonderzoek als agent zelf filtert. Je vraagt het aan mensen uit de buurt, je weet dat wat je binnenkrijgt een tip is zonder onderbouwing en je gaat dat zelf combineren met andere informatie. Dat in tegenstelling tot Clearview, dat pretendeert ‘echte’ matches te geven en daarmee hoge betrouwbaarheid suggereert.

Ook is het met zulke systemen mogelijk dat een vals positief wordt gegeven, waar je dan geen indicatie van hebt. Want die persoon lijkt wel natuurlijk, dus die moeten we het toch maar eens even gaan vragen. En dan krijg je een bekende valkuil, namelijk dat als je iemand als mogelijke verdachte benadert, je eerder bevestiging ziet van dat beeld.

Dit nog los van het feit dat Clearview zelf ook weer met de informatie aan de slag gaat – en hoezo mag een privaat bedrijf weten welke personen de politie zoekt?

Arnoud

Ja, je mag een verdachte (licht) dwingen zijn vinger op zijn telefoon te zetten

Geplaatst op in Regulering, 32 reacties

Levert onder dwang gebruikmaken van vingerafdruk van verdachte ter ontgrendeling van bij hem in gebruik zijnde smartphone met het oog op bewijsgaring inbreuk op het o.m. in art. 6 EVRM vervatte nemo tenetur-beginsel op? Die vraag kreeg de Hoge Raad onlangs voorgelegd in een strafzaak, en het antwoord is nu gegeven: nee

We hebben het vaker over onder dwang ontgrendelen gehad. Lagere rechters hebben tot nu toe eigenlijk steeds gezegd dat dat mag, verdachte in de handboeien en dan de vinger gedwongen op de sensor om de telefoon zo te openen. (Wat je daarna mag doorzoeken, is weer een andere discussie. Maar open gaat ‘ie, want die agent is sterker dan jij.)

Het ging in deze zaak om de biometrische ontgrendeling van een in beslag genomen smartphone van een verdachte om ten behoeve van het opsporingsonderzoek (kort gezegd: diefstal in vereniging en oplichting) toegang te krijgen tot de inhoud daarvan. De iPhone die verdachte bij zijn aanhouding bij zich had, is in beslag genomen en door de politie meteen in ‘Flight Mode’ gezet, zodat de telefoon niet van afstand kon worden gewist.

Tijdens zijn verhoor heeft verdachte verklaard dat de in beslag genomen iPhone zijn toestel is en dat niemand anders dat toestel gebruikt. Aan verdachte is gevraagd, en daarna bevolen, de toegangscode van zijn telefoon te geven. Dat wilde hij niet.  Vervolgens is verdachte geboeid en is zijn rechterduim met fysieke dwang maar zonder geweld op de vingerafdrukscanner van de iPhone geplaatst. Hierdoor werd de iPhone ontsloten.

Nu dus bij de Hoge Raad de vraag: mocht dit, op deze manier? Voorop staat, aldus de HR, dat het mogelijk moet zijn om in beslag genomen voorwerpen te doorzoeken bij verdenkingen van misdrijven. Dat geldt ook voor de inhoud van smartphones, dus die moeten open kunnen als ze dicht zijn. Daarbij mag dwang worden toegepast: het afpakken van dingen die iemand vasthoudt, bijvoorbeeld. Idem voor vingers op smartphones zetten.

Alleen, dan loop je ook tegen dat rechtsbeginsel aan dat mensen niet tegen zichzelf hoeven te getuigen, of meer algemeen mee te werken aan zijn eigen veroordeling (artikel 6 EVRM, nemo tenetur voor de juristen). Maar dat is geen absoluut recht

In artikel 6 EVRM ligt besloten dat, indien ten aanzien van een verdachte sprake is van een “criminal charge” in de zin van die bepaling, deze het recht heeft “to remain silent” en “not to incriminate oneself”. Beslissend voor de vraag of in een strafrechtelijke procedure het nemo tenetur-beginsel is geschonden, is of het gebruik tot het bewijs van het onder dwang van de verdachte verkregen materiaal in een strafzaak zijn recht om te zwijgen en daarmee zijn recht om zichzelf niet te belasten van zijn betekenis zou ontdoen.
Men citeert vervolgens een zaak van een verdachte die gedwongen braakmiddelen toegediend kreeg, om zo doorgeslikte drugs uit diens spijsverteringskanaal te krijgen. Dat was géén overtreding van artikel 6, want de verdachte hoefde zelf niets te zeggen of doen. (Wel was het een overtreding van het martelverbod uit artikel 3 EVRM, omdat dit veel te invasief is voor het beoogde doel en niet vergelijkbaar met bijvoorbeeld bloed of dna afnemen.)

De HR concludeert dan ook instemmend dat de verdachte hier ook niets hoefde te zeggen of doen, zodat hij niet gedwongen werd mee te werken aan zijn veroordeling. De mate van dwang was zeer beperkt, zodat ook artikel 3 niet overtreden werd. Deze werkwijze was dus legaal.

Arnoud

Banken gaan namen en adressen van internetoplichters geven

Geplaatst op in Privacy, Regulering, 18 reacties

De Nederlandse banken gaan op verzoek de namen en adressen van internetoplichters verstrekken aan slachtoffers van internetfraude. Dat las ik bij Privacynieuws. Slachtoffers kunnen dan via een civiele procedure proberen hun gestolen geld terug te vorderen. Na een gesprek met justitieminister Grapperhaus hebben banken eind vorig jaar besloten om onder voorwaarden de NAW-gegevens te overhandigen.

Het probleem van fraude en oplichting via internet is zo oud als, eh, internet: je weet niet met wie je aan de andere kant zaken doet, dus een fraudeur kan eenvoudig je geld of spullen afhandig maken en ondanks vele beloftes zijn wederprestatie niet nakomen. Of dat oplichting is, is de vraag, maar wie beroep of gewoonte maakt van via internet handelen zonder te leveren is in ieder geval strafbaar. Net als die Whatsappfraudeurs met hun “hoi mam ik ben mijn telefoon kwijt”-oplichterij.

Kom je bij het vervolgpunt: wie moet je hebben? Een anoniem mailadres of snel Marktplaats-account met prepaid 06 is zo gemaakt, en dan sta je dus nergens. Het bankrekeningnummer is vaak het enige aanknopingspunt, alleen blijken banken zich op het (op zich begrijpelijke) standpunt te stellen dat zij niet kunnen zien of er een strafbaar feit is gepleegd en dat ze vanuit privacyoogpunt niet zomaar persoonsgegevens afgeven. Ook stichting Brein kreeg ongelijk toen zij in 2013 deze probeerde te krijgen (ja, met Lycos/Pessers).

In november meldde minister Grapperhaus aan de Kamer dat er over deze situatie gesproken is, en dat er nu een doorbraak is gekomen:

De Nederlandse banken hebben mij naar aanleiding van deze gesprekken recent laten weten te hebben besloten een procedure in het leven te roepen om de NAWgegevens van een fraudeur aan slachtoffers van fraude te verstrekken. Het doel van de procedure is om benadeelden in de gelegenheid te stellen om, onder voorwaarden en met inachtneming van privacywetgeving (zoals de hierna genoemde 21 dagen termijn), met de vermeende fraudeur in contact te kunnen komen. De procedure houdt in dat de fraudeur eerst gevraagd wordt om het geld terug te storten. Als dat niet binnen 21 dagen is gebeurd, worden de NAWgegevens van de vermeende fraudeur verstrekt.
De procedure start nadat het slachtoffer aangifte heeft gedaan. Zo is bekend wie de gegevens eist, en zit er enige check op: valse aangifte is strafbaar, en vanwege de keten slachtoffer-politie-bank-rekeninghouder is het eenvoudig om daar op terug te komen. Ook bij eigenrichting weet je nu snel wie de (mogelijke) dader is.

Blijf je zitten met het probleem van de geldmuilezels: mensen die hun bankrekening verhuren “omdat er toch niets op staat en ik rood staan heb uitgezet”. En dan inderdaad 30% krijgen van het bedrag dat er op gestort wordt. Want met deze procedure kom je daar uit, en niet bij de werkelijke dader. Maar wellicht dat deze nieuwe procedure helpt om katvangers af te schrikken.

Arnoud

Autoriteiten verwijderen Emotet-malware op 25 april van besmette pc’s

Geplaatst op in Regulering, 3 reacties

Autoriteiten zullen de Emotet-malware waarvan de hoofdservers zijn overgenomen op 25 april van besmette computers verwijderen, las ik bij Security.nl, dat weer afging op een beveiligingsonderzoeker op Twitter. Vorige week lieten politie en het Openbaar Ministerie weten dat het gelukt was om het Emotet-netwerk over te nemen en de malware te deactiveren. Het ontmantelen is dan een logische actie, maar natuurlijk komt dan ook meteen de vraag: mag je het botnet zelf deïnstalleren bij mensen op hun computer?

“De Emotet-besmetting is niet langer actief op de computers van ruim 1 miljoen slachtoffers wereldwijd”, zo meldt de politie. Op twee van de hoofdservers van het Emotet-botnet, die zich in Nederland bevinden, wordt een software-update geplaatst voor alle besmette machines. Deze computers zullen de update automatisch binnenhalen, waarna de Emotet-besmetting in quarantaine wordt geplaatst, zo lieten het OM en de politie verder weten.

Dat verwijderen gaat an sich vrij eenvoudig: de software heeft een deïnstallatie-routine ingebouwd. Een en ander gaat op 25 april gebeuren, zodat tot die tijd het netwerk kan worden gemonitord op verkeer om de aanwezigheid van Emotet aan te tonen.

De vraag is dus vooral, welke bevoegdheid kan de politie hierbij inzetten? Deze vraag hebben we vaker gehad (2014: Blackshades, 2010 Bredolab) maar nu zijn er meer mogelijkheden. Sinds de Wet computercriminaliteit III hebben we namelijk onder meer dit wetsartikel 125o erbij in Strafvordering:

Indien bij een doorzoeking in een geautomatiseerd werk gegevens worden aangetroffen met betrekking tot welke of met behulp waarvan het strafbare feit is gepleegd, kan de officier van justitie dan wel indien deze de doorzoeking verricht, de rechter-commissaris bepalen dat die gegevens ontoegankelijk worden gemaakt voor zover dit noodzakelijk is ter beëindiging van het strafbare feit of ter voorkoming van nieuwe strafbare feiten.

De doorzoeking vond hier plaats in de centrale server, en daarbij werd dus de command&control software aangetroffen. Die mag dan ontoegankelijk worden gemaakt. Maar de strekking kun je breder lezen: ook de clientsoftware bij de slachtoffers thuis zijn “gegevens met behulp waarvan het strafbare feit is gepleegd” natuurlijk. En die mogen dan ook ontoegankelijk worden gemaakt.

De toe te passen methode van ontoegankelijkmaking, bijvoorbeeld wissen of versleutelen, zal volgens de memorie van toelichting moeten afhangen van de effectiviteit daarvan alsmede van de beginselen van proportionaliteit en subsidiariteit. Daarbij weegt zwaar dat het gaat om computers van derden. Maar daar staat in dit geval voor mij tegenover dat het kennelijk een eenvoudige instructie is, die een ingebouwde deactivatie uitvoert. Dat is heel wat anders dan met een zelfgebakken ingreep iets proberen weg te halen dat mogelijk een logische bom aan boord heeft als het dat merkt.

Arnoud

ParkeerWekker verboden, dat krijg je ervan als je de giecheltoets negeert

Geplaatst op in Ondernemingsvrijheid, Regulering, 24 reacties

De ParkeerWekker-app, waarmee gebruikers scanauto’s van een gemeentelijke parkeerdiensten detecteren, is verboden. Dat meldde Tweakers gisteravond. De dienst herkent met AI scanauto’s van gemeentelijke parkeerdiensten en geeft een seintje zodra zo’n controleur je geparkeerde auto passeert. Nee, dat is voor vergeetachtige mensen, aldus de directeur met een braaf gezicht. “Nee, we knipoogden niet, er zat iets in ons oog. Knipoog.” aldus even later bij Top Gear. Kijk, dan verlies je het dus ondanks je mooie juridische argumenten.

Want ja, juridisch gezien is dit – in Nederland – een legale, zij het wat vervelend geurende dienst. Dat zei ik in september, want volgens mij is het legaal om de locatie van scanauto’s door te geven, net zoals de locaties van mobiele flitsers. Natuurlijk mág dat worden verboden, maar dat moet dan wel in een wettelijke regeling zijn opgenomen. Zo’n verbod beperkt immers het grondrecht van de uitingsvrijheid, en dat vereist een wettelijke grondslag, naast noodzaak en proportionaliteit.

Mooie woorden, en ik zie een beetje advocaat daar ook wel een leuk pleidooi van maken. Alleen, mijn mond viel open toen ik het vonnis las met daarin de opsomming van hoe ParkeerWekker ondertussen verkocht werd. Leest u even mee?

  1. Op je site tellen hoe vaak en tot welk bedrag je je users aan boetes bespaart (“Katsjing!”, ja letterlijk)
  2. Bij Top Gear in het nieuws: “Handig voor mensen die ‘vergeten te betalen’ bij het parkeren. Nee, we knipoogden niet, er zat iets in ons oog. Knipoog.”
  3. Bij Autoblog (kennelijk weggehaald) “De organisatie achter Parkeerwekker heeft een advocaat aangesteld en zegt zich van geen kwaad bewust te zijn. Ze doen het enkel om ‘onnodige boetes’ te voorkomen. Juist, Viagra helpt ook tegen rugpijn, maar men gebruikt het voornamelijk ergens anders voor”
En zo is er nog wel meer berichtgeving te vinden waarin het eigenlijke doel van de app wordt gepresenteerd als “even snel de meter aan om de boete te ontlopen”.

De rechter vat de kern van het falen van het concept in één zin samen met de constatering dat

[Klanten van ParkeerWekker] pas parkeerbelasting betalen nadat een scanauto is gesignaleerd en ook alleen indien er een scanauto wordt gesignaleerd.
Want hoe precies ben jij dan een dienst die zich richt op het netjes betalen van parkeerbelasting?

Toegegeven, een app die bij het 5 minuten stilstaan in een betaaldparkerengebied een bericht stuurt “vergeet je parkeer-app niet aan te zetten” zal niet heel commercieel succesvol zijn, maar dat is een ander verhaal.

De conclusie is dan ook dat Vector Wise met Parkeerwekker aanzet tot onrechtmatige gedragingen, te weten het niet betalen (ontduiken) van de (volledige) verschuldigde parkeerbelasting, hetgeen in strijd is met wat in het maatschappelijk verkeer betaamt, althans neemt zij bewust het risico dat zij ‘vergeetachtige’ parkeerders daarbij faciliteert. Dit gedrag levert een onrechtmatige daad op jegens de Gemeente. Het is aannemelijk dat de Gemeente hierdoor schade lijdt [namelijk gemiste parkeerbelasting].
Het systeem van Parkeerwekker mag niet langer in Amsterdam worden aangeboden. Het ligt voor de hand dat andere gemeenten gaan vragen om een verbod met deze argumentatie.  Natuurlijk kondigt men onder heilige verontwaardiging hoger beroep aan. Maar laten we eerlijk zijn, die geur van de belastingontduiking, die raak je niet meer kwijt.

Arnoud