Categorie: Regulering

About Regulering

Subscribe Feeds

Geen last meer van gezichtsherkenning?

Geplaatst op in Privacy, Regulering, Security, 10 reacties

camera-gezichtsherkenning-surveillance-makeup.jpgCameratoezicht is ondertussen onvermijdelijk. En bij enkel gefilmd worden blijft het niet: steeds meer camera’s krijgen automatische-gezichtsherkenningssoftware zodat ook nog eens bijgehouden kan worden waar je allemaal heen gaat. maar daar heeft Adam Harvey, onderzoeker bij NYU’s Interactive Telecommunications Program, nu een oplossing (via) voor gevonden: hij heeft de algoritmes gereverse-engineerd waarmee gezichtsherkenning werkt, en vervolgens patronen ontwikkeld die die algoritmes verstoren. De voorbeeldpatronen, onderdeel van zijn scriptie, laten enkele mooie voorbeelden zien.

Gezichtsherkenning werkt aan de hand van patroonherkenning. Een roze ellipsvormig ding waarbinnen een roodachtig langwerpig item en twee wittige objecten daarboven zal wel een gezicht zijn. Een bekende techniek, in vrijwel alle camera’s met gezichtsherkenning gebruikt, is gebaseerd op de Viola-Jones techniek. Deze deelt een afbeelding op in blokjes en probeert elk blokje te classificeren als bv. “oog” of “mond” of “wenkbrauw”. Met voldoende herkende (geclassificeerde) blokjes kan een gezicht worden herkend. Deze make-up verstoort die herkenning, zo bleek uit het onderzoek van Harvey.

Ben benieuwd of ik met zulke make-up het casino in kom.

Arnoud

Beelden van bewakingscamera niet bruikbaar als bewijs?

Geplaatst op in Privacy, Regulering, Security, 25 reacties

Straatrovers, inbrekers en zakkenrollers dreigen vrijuit te gaan indien in hun strafzaak gebruik wordt gemaakt van beelden van bewakingscamera’s, las ik bij Security management. Men baseert zich op een artikel in De Telegraaf waarin wordt gemeld dat camerabeelden niet zomaar door justitie kunnen worden opgeëist als bewijs, omdat het “gevoelige informatie” kan bevatten over iemands ras. Dat zou de Hoge Raad geoordeeld hebben.

Het was even spitten, maar ik vond een arrest van 23 maart waarin de offficier van justitie persoonsgegevens had gevorderd (naam, adres, postcode, woonplaats en eventuele foto) van de gebruikers van kaarthouders van een OV-chipkaart die in een bepaalde tijdsperiode op bepaalde metrostations hadden in- en uitgecheckt. Dit op grond van artikelen 126nd en <A HREF=”http://lexius.nl/Sv/126ud.

Er staat expliciet “De vordering kan niet betrekking hebben op persoonsgegevens betreffende … ras” in lid 2 van artikel 126nd. Het is binnen de jurisprudentie rond persoonsgegevens aanvaard dat een foto van iemand kan worden gezien als een “persoonsgegeven betreffende ras”, omdat je op een foto kunt zien wat iemands ras of etnische afkomst is. Een foto van een persoon mag dus niet worden gevorderd op grond van artikel 126nd Strafvordering.

Wel een grond biedt artikel 126nf Strafvordering, dat expliciet zegt dat foto’s en andere van deze gevoelige persoonsgegevens wel mogen worden gevorderd, maar alleen:

  1. in geval van verdenking van een ernstig misdrijf waar (kort gezegd) minstens 4 jaar cel op staat, en
  2. na voorafgaande schriftelijke machtiging, op vordering van de officier van justitie te verlenen door de rechter-commissaris.

Omdat die machtiging er niet was, oordeelde de Hoge Raad dat de pasfoto’s van de ovchipkaarthouders niet mochten worden afgegeven. Zij verwerpt daarbij het standpunt dat artikel 126nf alleen zou gelden als de officier de intentie zou hebben het ras van de mensen op de foto te willen weten. Ook als ‘bijvangst’ mag een officier geen gegevens over ras of etnische afkomst opvragen zonder machtiging van de rechter-commissaris.

Hiermee is er dus een grond om tegen elk gebruik van opgeëiste camerabeelden te ageren: er is geen machtiging voor gevraagd. Bovendien zal lang niet bij elke beroving of inbraak sprake zijn van een misdrijf dat een “ernstige inbreuk op de rechtsorde” oplevert, zodat die machtiging niet altijd gegeven zal worden.

Het lijkt me niet echt een wenselijke uitkomst, want het doorkruist compleet het mogen opvragen van camerabeelden. Maar ik zie niet 1-2-3 een antwoord hierop.

Update: in dit arrest vindt Gerechtshof Arnhem juist dat

Het gaat immers om beelden die (anders dan in het geval van de Hoge Raad) niet aan [bank] waren toevertrouwd, maar om een opname van een beveiligingscamera waarvan de aanwezigheid op allerlei plekken in de publieke ruimte en in het bijzonder bij pinautomaten van algemene bekendheid is. Om meer of anders dan een foto- of videoregistratie van de (bij een duidelijke opname voor het bewijs bruikbare) fysionomie van degene die voor een bepaalde geldtransactie van de pinautomaat in kwestie gebruik heeft gemaakt, gaat het hier niet. Van een (aan de beelden of de opnamen daarvan) voorafgegane verwerking van gevoelige persoonsgegevens als bedoeld in artikel 16 Wet bescherming persoonsgegevens, is bij deze registratie geen sprake geweest. Het verbod van artikel 18 van de wet doet zich (daarom) evenmin gelden. Het beeldmateriaal in kwestie kon daarom op de voet van artikel 126nd/ud van het Wetboek van Strafvordering worden gevorderd en kan en mag om die reden voor het bewijs worden gebruikt en het hof doet dat.

Update (22 november 2012): in deze uitspraak vindt de rechtbank Rotterdam dat er wél sprake is van een vormverzuim als niet met een machtiging is gevorderd, maar verbindt daar geen gevolgen aan:

Met de raadsman oordeelt de rechtbank dat artikel 126nf WvSv de juiste rechtsgrond was. De rechtbank constateert dat er sprake is van een vormverzuim. Echter, aan de materiële criteria van artikel 67 lid 1 WvSv, te weten dat een ernstige inbreuk op de rechtsorde is gemaakt en dringende noodzakelijkheid, is wel voldaan. Om die reden volstaat de constatering van het gemaakte verzuim.

Arnoud

Machtiging rechter-commissaris bij strafbare uitingen echt nodig

Geplaatst op in Regulering, Uitingsvrijheid, 14 reacties

wetboek-strafvordering-2009-2010.pngEen webhoster hoeft smadelijke berichten niet te verwijderen als het OM dat eist, tenzij er een machtiging van de rechter-commissaris bij zit. Dat blijkt uit een recent vonnis van de rechtbank in Assen. Die rechtbank oordeelde in 2008 net zo, maar het OM was in hoger beroep gegaan en de zaak werd terugverwezen voor een nieuw vonnis, dat dus identiek is aan het vorige.

In feite is de zaak zo simpel dat ik niet snap waarom deze hele toestand nodig was. Op een website stond een vermeend lasterlijke uiting over een advocaat. Het OM had de webhoster (Budget Webhosting) gesommeerd deze te verwijderen, maar zo’n bevel mag op grond van artikel 54a Wetboek van Strafrecht alleen worden gegeven als de rechter-commissaris daar toestemming voor heeft gegeven. En die was er niet.

in het Dagblad van het Noorden zegt de Officier van Justitie boos:

“In Assen verleent de rechter-commissaris gewoon geen toestemming. Daarmee is dit wetsartikel in feite geschrapt, want dit vonnis is nu de standaard”, aldus officier van justitie Jan Hoekman.

Dat lijkt terug te komen in het vonnis als:

De officier van justitie heeft zich op het standpunt gesteld dat de vereiste machtiging wel aan de rechter-commissaris is gevraagd doch dat de rechter-commissaris op formele/principiële gronden tot niet ontvankelijkheid van het OM heeft beslist. Een inhoudelijke toetsing heeft niet plaatsgevonden door de rechter-commissaris.

Er is echter geen manier voor een OvJ om in beroep of bezwaar te gaan tegen zo’n beslissing. Dat verklaart zo te lezen waarom deze officier toch de strafzaak heeft doorgezet. Echter, de rechtbank vindt dat geen argument om dan de provider toch maar te gaan vervolgen: deze moet kunnen afgaan op de wet, en als daarin staat dat er een machtiging van de R-C moet zijn dan moet die er zijn, anders is de provider niet gehouden het bevel op te volgen.

Oftewel: jammer voor die OvJ dat men in Assen kennelijk alleen koppige Drenten als rechters-commissaris (rechter-commissarissen?) heeft zitten maar het alternatief is dat de officier in strijd met de wet bevelen mag geven tot weghalen van teksten.

Update (9 januari 2010): zie ook het TILT-rapport ‘Wat niet weg is, is gezien’ met achtergrond van art. 54a Strafrecht en de (on)mogelijkheiden voor het OM bij weigerachtige R-Cs.

Update (30 augustus 2014) de Hoge Raad beslist dat ook de provider niet in beroep of bezwaar kan als hij gehoor gaf aan het bevel en de officier vervolgens de zaak seponeert tegen de plaatser.

Arnoud

Vodafone en T-Mobile sturen SMS’jes door, WTF?

Geplaatst op in Informatiemaatschappij, Regulering, 18 reacties

mobieltje-sms-bellen-06.pngDe Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en de politie krijgen ten onrechte de inhoud van sms’jes te zien, las ik gisteren op Nu.nl. Vodafone en T-Mobile zouden deze doorsturen in het kader van hun wettelijke plicht om verkeersgegevens door te geven, omdat ze de verkeersgegevens niet los van de inhoud van SMS-berichten zouden kunnen doorsturen.

Mag dat? Nee, natuurlijk niet. En dit is niet ‘slechts’ een overtreding van de privacywet, dit is keihard een misdrijf. Artikel 273d Wetboek van Strafrecht bepaalt dat het aanbieders van openbare telecommunicatienetwerken of -diensten verboden is om opzettelijk en wederrechtelijk de inhoud van gegevens die niet voor hem zijn bestemd aan een ander bekend te maken. Strafbaar in de zin van anderhalf jaar cel.

Zijn ze gek geworden daar? Wie bedenkt er dat je je systeem zo kunt bouwen en dat het niet erg is dat die SMS’jes doorgegeven worden zonder bevoegd gegeven bevel daartoe? Trekken techneuten dan niet aan de bel, of vinden de managers de investering de moeite niet waard?

Vodafone-klanten kunnen dus aangifte doen, T-Mobile klanten (waaronder trouwens ikzelf) ook maar hebben een iets moeilijker verhaal nu T-Mobile ten stelligste ontkent dat ze SMS-berichten proactief doorgeeft.

Arnoud

Juridische vragen over beveiliging bij Security.nl

Geplaatst op in Regulering, Security, 27 reacties

security-nl-logo-column.pngSinds kort schrijf ik bij Security.nl een wekelijkse serie waarin ik juridische vragen over beveiliging beantwoord. En om de creativiteit te stimuleren, had ik bedacht dat ik elk kwartaal de meest creatieve vraag ga uitkiezen. De inzender daarvan krijgt mijn boek De wet op internet.

De vragen tot nu toe:

Hebben jullie nog creatieve beveiligingsvragen?

Arnoud

Wat is stelen (niet) (gastpost)

Geplaatst op in Intellectuele rechten, Regulering, 7 reacties

Eerder heb ik in mijn column ‘Oeps I did it again!’ gewijd aan de kritiek van Tim Kuik op een column van Hans Bousie.

Iets minder dan een week daarvoor heeft Tim de column geschreven “Stelen moet, stelen doet je goed. Stop propaganda tegen diefstal!” Het woord stelen gebruikt hij maar liefst 11 keer. En hij maakt daarin een verwijzing naar zijn plan. Dat is voor mij aanleiding om hier op terug te komen. Hij schrijft in zijn column namelijk:

Of nu weer dat idee dat je Internetverbinding gedeeltelijk afgesloten kan worden als je die gebruikt om te stelen. Dat is ook weer zoiets. Ben je eindelijk anoniem en word je niet lastiggevallen, denk je. Kan je opeens het Internet niet meer gebruiken om te stelen. Alleen maar omdat je niet naar die waarschuwingen luistert. Dat is dus fascistisch van die communistische kapitalisten. Dat moeten we niet willen, echt niet. Daarom roept de consumentenbond alle eigenaren en rechthebbenden op: maak een vriend en laat je bestelen. Het moet ook geen stelen heten eigenlijk. Dat is ook propaganda. Het is tenslotte voor je eigen gebruik. En dat het illegaal wordt aangeboden op het Internet daar heb je toch geen weet van als consument?

Jawel hier associeert Tim Kuik het plan om de internet verbinding af te sluiten met die mensen die illegaal aanboden bestanden downloaden. Ehhh, Tim, het plan ging toch alleen over uploaden?

Maar hij zegt ook iets anders namelijk dat het stelen oftewel diefstal is. En omdat Tim het belangrijk vind dat anderen zich aan de feiten houden dus dat zal ik dat deze keer maar doen.

Artikel 310 Sr:
Hij die enig goed dat geheel of ten dele aan een ander toebehoort wegneemt, met het oogmerk om het zich wederrechtelijk toe te eigenen, wordt, als schuldig aan diefstal, gestraft met gevangenisstraf van ten hoogste vier jaren of geldboete van de vierde categorie.

Tenzij hij dus doelt op mensen die hun internet verbinding gebruiken om in te breken op de bankrekening van anderen om geld (is namelijk wel een goed) weg te sluizen naar elders, zit hij er wederom naast.

Bij het gebruik van P2P wordt een bestand aangebonden en na de transactie is dat er nog altijd bij de aanbieder. Er wordt dus niks weggenomen en dus kun je niet voor diefstal worden vervolgd. Een veroordeling zou ook op een ander punt mislukken. Foto’s, films, geluid en schrift zijn gegevens en gegevens zijn geen goed. Aangezien het geen goed is kun je het dus ook niet eigendom over hebben noch houden noch bezitten. In het boek Praktisch informaticarecht derde druk (ISBN 90-68-90564-3) van Mr. van der Klaauw-Koop en Mr. Corvers staat op pagina 130 hier overgeschreven:

Onder ‘gegevens’ verstaat de wet: ‘Iedere weergave van feiten, begrippen of instructies, al dan niet op een overeengekomen wijze, geschikt voor overdacht, interpretatie of verwerking door persoon of geautomatiseerde werken.’ De wetgever hakt resoluut de knoop door wat betreft de in het computergegevenarrest opgeworpen vraag naar de kwalificatie van ‘gegeven’. Gegevens zijn in de visie van de wetgever géén ‘goed’.

Vanwege het bovenstaande gaat een beroep op verduistering (321 Sr) of heling (416 Sr) dus ook niet op.

Alex de Kruijff
Alex is een ingenieur die elektronica en informatica heeft gestudeerd en juridische interesse heeft. Op zijn website kun je artikels over het besturingssysteem FreeBSD vinden, die je helpen bij het configureren er van.

Agenten misbruiken politieinformatiesystemen voor privédoeleinden

Geplaatst op in Privacy, Regulering, Security, 12 reacties

Politieagenten in Nederland maken massaal gebruik (misbruik) van de politie informatiesystemen voor privédoeleinden, schrijft CorCom Security Analysing. Dit zou een “geaccepteerd verschijnsel” of zelfs een “beroepsvoordeel” zijn voor agenten:

Politieagenten zien het gebruik van de informatie als een beroepsvoordeeltje. Het mag eigenlijk niet, maar elke politieambtenaar doet het wel eens. Het is een grijs gebied. Het gebruik van de politiecomputer om kentekens na te trekken voor privé doeleinden is zelfs min of meer een vast praktijk bijvoorbeeld geworden bij het kopen van een tweedehands auto of om te checken of er criminelen in een bepaalde wijk wonen. Officieel mag dat niet, maar het wordt beschouwd als een onschuldig vergrijp zolang het voor eigen gebruik is. Er wordt immers niemand door benadeeld zegt men. Maar deze politie uitspraken kloppen niet. Regelmatig worden medewerkers van de politie met onmiddellijke ingang ontslagen, omdat deze zich schuldiggemaakt hebben aan contact met criminelen en het lekken van politie informatie. Dit geld zowel voor de recherche als de geuniformde dienst.

Lees verder in Agenten misbruiken massaal politie informatiesystemen voor privé doeleinden bij CorCom Security Analysing.

Arnoud

Amerikaanse verdachte hoeft PGP-decryptiesleutel niet af te geven aan politie

Geplaatst op in Privacy, Regulering, Security, 2 reacties

Een verdachte mag niet worden bevolen zijn PGP-decryptiesleutel of wachtwoord af te geven, bepaalde een een Amerikaanse magistrate judge eind november. Zo’n bevel is in strijd met de Amerikaanse Grondwet. Dat meldt onder andere Planet. In Engeland moesten diezelfde maand een groep Britse dierenactivisten nog hun decryptiesleutels afgeven. En hoe zit dat in Nederland?

Je hoeft niet mee te werken aan je eigen veroordeling. Dat heet het nemo tenetur-beginsel. Dat staat niet expliciet in onze wet, maar wordt wel erkend op grond van artikel 6 EVRM. Op grond van het Saunders-arrest van het Europese Hof geldt dat de verdachte geen verklaringen hoeft af te leggen, maar wel materiaal moet uitleveren dat onafhankelijk van zijn wil bestaat, zoals documenten en bloedmonsters. Als de verdachte in zijn dagboek een bekentenis had geschreven, en de politie vindt deze bij een huiszoeking, dan mag die gewoon worden gebruikt. Ook als het op de PC staat. Maar als de politie het dagboek niet kan vinden, mag de verdachte niet worden bevolen te vertellen waar het ligt.

Een wachtwoord zit ook in je hoofd, en het moeten vertellen is dus een “verklaring afleggen”. Vandaar dat zo’n bevel bij ons niet gegeven mag worden. Dit is expliciet vastgelegd in artikel 125k Wetboek van Strafvordering. Voor getuigen, maar ook voor andere betrokkenen (zoals een systeembeheerder) geldt deze verplichting wel – uiteraard voorzover ze het wachtwoord ook weten.

Kortom, nee, bij ons mag dit niet. Of het in de VS nu echt niet mag, is nog een open vraag. Dit is een beslissing van een magistrate judge, zeg maar een rechter-commissaris. Nog lang geen Supreme Court-arrest dus.

Zeer uitgebreid over nemo tenetur versus afgeven van sleutels is Bert-Jaap Koops, de expert op dit gebied, in Verdachte en ontsleutelplicht: hoe ver reikt nemo tenetur? (PDF). Bij de behandeling in de Tweede Kamer van het wetsvoorstel Computercriminaliteit II verklaarde de minister trouwens expliciet (RTF) dat het nemo tenetur-beginsel verbood om verdachten te bevelen hun wachtwoord af te geven.

Verder nog een heleboel discussie op Bij Tweakers en Slashdot.

Vraagje voor de toekomst: als ik nou geen wachtwoord gebruik maar een biometrische beveiliging op mijn gegevens heb, kan ik dan verplicht worden mijn vinger op de sensor te leggen? Het nemen van een vingerafdruk is namelijk geen inbreuk op nemo tenetur, maar het effect is wel hetzelfde als bevolen worden een wachtwoord af te geven. Aan de andere kant mag de politie ook de sleutelbos uit mijn broekzak halen en daarmee mijn brandkast openmaken.

Arnoud

Hyperlink naar opruiiend materiaal mogelijk strafbaar

Geplaatst op in Ondernemingsvrijheid, Regulering, Uitingsvrijheid, 6 reacties

Hyperlinks zijn legaal, behalve in bijzondere gevallen. Inbreuk op auteursrecht is de meest voorkomende uitzondering, maar ook bijvoorbeeld linken naar een smadelijke publicatie kan onrechtmatig zijn. Hyperlinken kan zelfs strafbaar zijn.

In een zaak over opruiing via internet heeft de rechter nu beslist dat een directe link naar een opruiiend geschrift strafbaar kan zijn. Het verspreiden van een “geschrift of afbeelding waarin tot enig strafbaar feit of tot gewelddadig optreden tegen het openbaar gezag wordt opgeruid” is strafbaar (art. 132 Wetboek van Strafrecht). De rechter stelt een “directe link” hiermee gelijk:

Door het plaatsen van een dergelijke link kan de lezer met slechts één handeling (te weten het klikken/dubbel klikken op de link) het onderliggende document opvragen en lezen. Het onderliggende document is daarmee zodanig verbonden met de link dat door het plaatsen van de link het onderliggende document in zekere zin onderdeel is geworden van het stuk waarin de link is geplaatst. In die zin wordt naar het oordeel van de rechtbank door het plaatsen van de link ook het onderliggende document verspreid.

Van die conclusie schrok men zelf kennelijk ook, want vervolgens wordt deze vérstrekkende bepaling meteen genuanceerd:

De vraag die vervolgens moet worden beantwoord is of het enkel plaatsen van een link ook moet vallen onder de strafbaarstelling van artikel 132 van het Wetboek van Strafrecht. Die vraag is van belang omdat de rechtbank niet aannemelijk acht dat het de bedoeling van de wetgever is geweest om het enkele plaatsen van een link in alle gevallen onder die strafbepaling te laten vallen. Gevolg daarvan zou immers onder meer zijn dat (de exploitanten van) internetzoekmachines – die links produceren naar aanleiding van ingevoerde zoektermen – ook onder deze strafbepaling zouden komen te vallen als die links leiden naar opruiende geschriften en/of afbeeldingen. Bij bepaalde zoektermen is het immers onontkoombaar dat die links opleveren naar geschriften of afbeeldingen waarin tot enig strafbaar feit of tot gewelddadig optreden tegen het openbaar gezag wordt opgeruid.

En u voelt ‘m al aankomen: het moet afhangen van de relevante concrete omstandigheden van het geval.

Arnoud