Categorie: Uitingsvrijheid

About Uitingsvrijheid

Subscribe Feeds

Almelo past APV aan voor online ordeverstoringen

Geplaatst op in Regulering, Uitingsvrijheid, 21 reacties

Burgemeester Gerritsen van Almelo kan binnenkort eisen dat een opruiend bericht op social media wordt weggehaald. Dat meldde Gemeente.nu onlangs. Hij kreeg deze bevoegdheid op grond van een aanpassing aan de Algemene Plaatselijke Verordening (apv) van de gemeente. Naast dwangmiddelen tegen de plaatser van zo’n bericht kan de gemeente ook de beheerder van websites of sociale mediaplatforms sommeren de uitingen te verwijderen. Kan dat zomaar? Ja en nee.

De problematiek van online ordeverstoringen is al vaker langsgekomen hier. De burgemeester is verantwoordelijk voor de openbare orde in de gemeente, en heeft daarvoor bijzondere bevoegdheden onder de Gemeentewet. Zo oefent hij toezicht uit op openbare evenementen, kan hij gebouwen sluiten (ook woningen) en mag hij gebieden tot risicogebied verklaren zodat de politie vergaande maatregelen mag nemen.

Oproer in de kiem smoren is daarbij een logische optie, niet verrassend dus dat de burgemeester op kan treden tegen mensen die oproepen tot ordeverstoringen of anderen daartoe aanzetten. En let wel: het is dan niet nodig dat het gaat om strafbare feiten, het gaat om ordeverstoring en dat is een lagere lat dan het strafbare feit opruiing – daarbij roep je op tot geweld. “Laten we met zijn alleen voor de deur van het gemeentehuis gaan zitten, dan kan niemand er langs” is een ordeverstoring maar niet strafbaar.

Op Twitter of Feesboek gaan roepen is natuurlijk veel effectiever dan in het park, onder meer omdat je dan mensen vanuit het hele land kunt bereiken. Dan maakt je oproep sterker, maar de aanpak is lastiger: wat nou als jij niet in de gemeente zit waar je tegen oproept? Of als je niet kunt achterhalen wie het is, wat dan. Dat wringt voor burgemeesters, die verwachten dat het kanaal waarmee de oproep wordt gedaan, niet uitmaakt als de oproep de orde verstoort.

Almelo wil dat aanpakken en regelt dat in de APV, de plek waar je als gemeente regels stelt over de openbare orde. De basisregel is simpel:

Het is verboden om via digitale middelen, onder andere via internet, virtuele ruimtes en sociale media, uitingen te doen, te delen en/of in stand te laten, die kunnen leiden tot een fysieke verstoring van de openbare orde binnen het grondgebied van de gemeente Almelo, dan wel voor het ontstaan van een ernstige vrees daarvoor.
Beheerders van dergelijke platforms en ruimtes is het eveneens verboden dergelijke berichten te laten staan en moeten op last van de burgemeester deze weghalen. Dat is simpel genoeg opgeschreven, maar is het handhaafbaar?

Een eerste praktisch punt is natuurlijk hoe de burgemeester de in Almelo geldende regels kan handhaven als iemand in het aangrenzende Wierden via Facebook opruiiende berichten verspreidt. De politie kan niet in Wierden iemand arresteren op grond van een regel uit het Almelose wetboek, immers.

Een meer fundamenteel tweede punt is dat het hier gaat om berichten, om uitingen. En dan komen we in de vrijheid van meningsuiting terecht, die in de Grondwet geregeld is en daarmee niet zomaar in een lokale wet ingeperkt kan worden. Art. 121 Gemeentewet zegt dan ook:

De bevoegdheid tot het maken van gemeentelijke verordeningen blijft ten aanzien van het onderwerp waarin door wetten, algemene maatregelen van bestuur of provinciale verordeningen is voorzien, gehandhaafd, voor zover de verordeningen met die wetten, algemene maatregelen van bestuur en provinciale verordeningen niet in strijd zijn.
De vraag is dan ook hoe een verbod op dergelijke (niet strafbare, wel tot onlusten aanzettende) berichten te rijmen is met de wettelijk vastgelegde uitingsvrijheid. Een gemeente mag bijvoorbeeld niet het roken op straat verbieden omdat de regels voor waar je mag roken al in de Tabakswet staan (art. 10 met name). Om dezelfde reden mag een gemeente geen eigen verkeersregels maken, maar alleen de regels toepassen uit de landelijke Wegenverkeerswet.

Punt is natuurlijk dat er ook weer nergens staat dat je alles mag zeggen tenzij dat strafrechtelijk verboden is. Er zijn genoeg andere wetten die uitspraken verboden kunnen maken. Dus het is niet heel hard gegeven dat een burgemeester geen uitingen kan verbieden – sterker nog, het hele punt begon met dat de burgemeester wel uitingen mag verbieden als die aanzetten tot oproer of gedoe, en vanuit dat perspectief moet het er helemaal niet toe doen of die uiting op een zeepkist, TikTok of sms-bom plaatsvond.

De discussie blijft op zeker moment hangen bij “het zou kunnen misschien wel misschien niet”. Daarom is het goed dat Almelo heeft doorgepakt, nu is er een basis waar proefprocessen over gevoerd kunnen worden. Ik moet zeggen dat ik zelf geen betere insteek had kunnen bedenken in de formulering: geen internetverbod, maar een gericht verbod op de berichten en een last tot weghalen van die berichten en niet meer.

Arnoud

Google moet zoekresultaten met overduidelijk onjuiste informatie verwijderen

Geplaatst op in Ondernemingsvrijheid, Privacy, Uitingsvrijheid, 23 reacties

Google moet zoekresultaten verwijderen als gebruikers kunnen aantonen dat de gelinkte informatie overduidelijk niet klopt. Dat las ik bij Nutech.nl. In zaak C-460/20 oordeelde het Hof van Justitie dat je je als zoekmachine niet kunt beroepen op de uitingsvrijheid als een uiting feitelijke onjuistheden bevat.

Twee directeuren van een groep investeringsmaatschappijen zagen in Google hun naam gekoppeld aan artikelen waarin kritiek werd geuit op het investeringsmodel van de groep. Dat kan, maar er leken ook fouten in die artikelen te staan. Daarop diende men klachten in om de informatie verwijderd te krijgen, maar zoals u zult verwachten gaf Google niet thuis: zij kan vanuit haar positie niet oordelen of de gelinkte berichten (op zoekopdracht op hun naam) wel of niet juist waren en kon dus niet ingrijpen.

Een bekend maar frustrerend standpunt, daarop stapte men naar de rechter. Die besloot -in hoger beroep- de zaak aan het Hof van Justitie voor te leggen, omdat hier zowel de AVG als de uitsluiting van aansprakelijkheid van informatieproviders aan de orde is.

Het Hof begint met te herhalen dat Google zelf verwerkingsverantwoordelijke is voor zoekresultaten die als persoonsgegevens gelden. Dat was al in het bekende vergeetrecht-arrest uit 2014 uitgemaakt, maar het kan geen kwaad dat ter herhalen omdat mensen nog te vaak redeneren dat Google alleen maar een vergaarbak is van andermans informatie. Google kiest zelf wat op nummer 1 staat, met haar eigen criterium van “relevantie” en neemt daarmee de verantwoordelijkheid voor de koppelingen die ze aldus legt.

Dat wil niet zeggen dat Google dus automatisch aansprakelijk is voor alle fouten in de gekoppelde artikelen. Daarvoor moeten ze – zo beslist het Hof nu – eerst een beoordeling maken van de aard van die fouten. Er is hier namelijk sprake van een botsing tussen informatievrijheid en gegevensbescherming, waarbij een belangenafweging moet worden gemaakt die uitgaat van twee gelijkwaardige rechten. Maar de factor “de informatie is onjuist” weegt wel zwaar richting “weghalen”.

Waar zit je dan met de bewijslast? Iedereen kan immers wel zeggen dat berichten onjuist zijn. Als verweer daarop zie je de reflex bij nogal wat bedrijven om bij alles te zeggen “kom maar terug met een gerechtelijk bevel”, wat natuurlijk in de praktijk betekent “hoepel op”. Het Hof introduceert nu de juridische meetlat van “kennelijk onjuist” oftewel “overduidelijk onjuist”, het criterium dat we al kennen bij notice/takedown door hostingproviders. (En ja, die moeten dus ook overduidelijk onjuiste informatie van hun site halen, dat moesten ze al sinds 2000.)

Maar hoe bewijs je “kennelijk onjuist”?

Om te vermijden dat deze persoon een buitensporige last krijgt opgelegd die het nuttig effect van het recht op verwijdering van links kan ondermijnen, hoeft hij alleen bewijzen aan te leveren als, gelet op de omstandigheden van het geval, redelijkerwijs van hem kan worden verlangd dat hij ze opzoekt om die kennelijke onjuistheid aan te tonen.
Het gaat om een hoge lat, “overduidelijk” is niet iets dat je aantoont met een steekwagentje met dossierstukken. Sterker nog, als je meer dan een halve a4 nodig hebt dan is het volgens mij per definitie niet overduidelijk, maar ik zit er altijd vrij cynisch in.

Het is gelukkig ook weer niet zo dat je een hele discussie aan moet gaan met Google over hoe het dan wel precies zit:

Bij de behandeling van een dergelijk verzoek kan de exploitant van de betrokken zoekmachine er dus niet toe worden verplicht om de feiten te onderzoeken en daartoe een contradictoire dialoog met de aanbieder van inhoud aan te gaan teneinde ontbrekende gegevens te verkrijgen over de juistheid van de gelinkte inhoud.
Voor mij lijkt dit evenzo vanzelfsprekend: als er van alles nader onderzocht moet worden, dan is het niet bepaald overduidelijk. Even klikken of de gelinkte bronnen vermelden wat wordt geclaimd zou al de grens moeten zijn, heel misschien nog nagaan wat het voor bronnen zijn, maar je hoeft als zoekmachine zeker niet na te zoeken of er tegen-bronnen zijn die wat anders beweren.

Natuurlijk blijven er dan nog genoeg gevallen over van onjuiste informatie die in Google terechtkomt als je zoekt op een persoon. Maar voor die restcategorie zal je dan echt eerst naar de rechter moeten (dus de website dagen) om aan te tonen dat de informatie onjuist is, en pas daarna naar de zoekmachine zelf.

Arnoud

 

Nederlandse overheid overweegt te stoppen met pagina’s op Facebook

Geplaatst op in Privacy, Uitingsvrijheid, 12 reacties

De Nederlandse overheid overweegt zijn pagina’s op Facebook te sluiten, las ik bij Tweakers. In een Kamerbrief meldt staatssecretaris Alexandra van Huffelen dit als conclusie van een dpia van de datapraktijken van moederbedrijf Meta, die zeven grote risico’s liet zien op het gebied van transparantie en controleverlies. Een goede zaak dat dit eindelijk op de politieke agenda staat, voor mij is vooral de vraag waarom het zo lang moest duren.

De Kamerbrief legt uit dat recent in Duitsland overheden wederom zijn gevraagd hun Facebookpagina’s te sluiten, omdat zij juridisch mede verantwoordelijk zijn voor wat er op die pagina’s gebeurt met data van bezoekers. Naar aanleiding daarvan heeft zij onderzoek laten uitvoeren, een data protection impact assessment: 

In de DPIA worden 7 hoge risico’s en 1 laag risico gevonden voor de gegevensverwerking. Volgens het onderzoek informeert Facebook niet duidelijk wat ze met de gegevens van burgers op overheidspagina’s doet, en hoe ze bepaalt welke berichten bezoekers in hun nieuwsoverzicht zien. Het onderzoek concludeert ook dat Facebook volgcookies op een misleidende (“Facebook makes deceptive use of tracking cookies”) manier gebruikt. Gegevens over het gedrag van de paginabezoekers worden verzameld, zonder dat voldoende inzage wordt gegeven in de logica van het gebruik van die gegevens om gepersonaliseerde berichten, aanbevolen andere content en advertenties te tonen. Ook zijn er zorgen over de doorgifte van persoonsgegevens aan derde landen en derde partijen.
De vaste lezer van deze blog zal weinig niets halen uit bovenstaande alinea, behalve misschien dat dit óók bij specifieke Facebookpagina’s van overheidsinstanties gebeurt. En tot voor vrij kort geleden kon je als instantie nog doen alsof dit niet jouw probleem was, maar in 2018 bepaalde het Hof van Justitie dat je als beheerder van een Facebookpagina mede-verwerkingsverantwoordelijke bent voor alles dat onder water gebeurt bij bezoek aan die pagina. Dat volgt uit de systematiek van de AVG.

Uit mijn blog van toen:

De belangrijkste implicatie van het arrest is dat je als persoon kunt eisen dat gegevens van jou worden verwijderd bij zo’n fanpagina, en dat de beheerder zich niet mag verschuilen achter Facebook. Je moet dus echt zelf aan de bak en ook zelf aangeven welke gegevens je verzamelt en wat je daarmee doet.

Maar pijnlijke bijkomstigheid is dat je dus óók (mede-) aansprakelijk bent voor datalekken, slechte beveiliging en andere fouten die je zakenpartner Facebook vergaart. Oké, dat mag je wettelijk gezien op haar verhalen maar dat is natuurlijk niet helemaal realistisch.

De overheid is nu in gesprek met Facebook met als doel álle pijnpunten weg te doen nemen. Leuk, maar persoonlijk zie ik dat niet snel gebeuren. De daarop volgende stap zou dan moeten zijn dat de overheid weggaat van Facebook. Daarop kwam op vele plekken de reactie, waarom zit de overheid op Facebook als zij zelf al websites te over heeft?

De reden daarvoor is vrij simpel: de overheid wil zo veel mogelijk mensen bereiken, en er is nu eenmaal een significante groep mensen die niet op Rijksoverheid.nl kijkt voor nieuws vanuit de overheid, maar alleen dergelijke informatie via de social media tot zich neemt. Die groep bereik je dus alleen met een Facebookpagina zeg maar, en daarom is die pagina er. Vanuit dat perspectief is het dus niet zo simpel als je zou denken om die informatievoorziening ook weer te stoppen.

Arnoud

Geldt een OSS licentie ook voor de data in de repository?

Geplaatst op in Intellectuele rechten, Uitingsvrijheid, 5 reacties

Een lezer tipte me over een interessante discussie bij het ChirpStack project. Een project waar men gebruik van maakte, The Things Network’s Device Repository, bleek niet meer importeerbaar, waarbij men zich beriep op databankrechten voor die data en tevens aangaf dat de opensourcelicentie op hun software niet zou gelden voor deze data. Toevallig was de licentie ook net een uur eerder weggehaald, wat erg raar aandoet. Wat is hier aan de hand?

Die repository is deel van The Things Network, “a global collaborative Internet of Things ecosystem that creates networks, devices and solutions using LoRaWAN®.” Dat laatste is dan weer een netwerkarchitectuur, maar daar hoeft het verder niet over te gaan. De kern is dat TTN een device repository heeft, een databank met belangrijke technische informatie over apparaten die op dit IoT-ecosysteem aan te sluiten zijn. En omdat er fors wat inspanning is gaan zitten in die repository, en The Things Industries (dat daarachter zit) een Nederlands bedrijf is dat het financiële risico draagt voor al die inspanningen, kan zij daar een databankrecht op claimen.

ChirpStack biedt net als TTN een open-source LoRaWAN Network Server aan. Inlezen van die repository is dan erg handig, maar dat maakte TTN recent onmogelijk onder verwijzing naar twee argumenten. Allereerst zou haar databankrecht worden geschonden, en ten tweede ging het importeren uit van een technische structuur die binnenkort zou veranderen, dus het zou alleen maar onhandig zijn voor de toekomst om dit te laten staan.

De beheerder van ChirpStack snapte van dat eerste niets: hij haalde de informatie uit het project op Github dat TTN zelf actief heeft. Daar stond (tot voor kort) een Apache licentie boven, een simpele OSS licentie die alles toestaat zonder copyleft-eisen of andere ingewikkelde dingen. En dan kun je wel een databankrecht hebben, maar licentie is licentie. De reactie van TTN:

There is and was no open data license on the concerning repository. We spend a lot of time and resources on the content of that database. In this instance, GitHub is a great channel to receive contributions from the device maker community and to contribute ourselves, verify, review and validate. But a GitHub repository doesn’t provide a license to reuse and extract it in its entirety. Sure, if you want to copy paste a payload codec that you are missing from the Device Repository, that is fine.
Oftewel: die licentie geldt alleen voor de software, niet voor de data. Dat vind ik raar in het algemeen. Het gebruik is dat je op sites als Github één licentie kiest, die dan voor alles geldt. (Of in ieder geval in de directory en daaronder van de plek waar je die neerzet.) Uitzonderingen kunnen, maar die documenteer je dan in de LICENSE file. Dat is hier niet gebeurd. Vroeger was er wel kritiek dat OSS licenties te specifiek op software geschreven waren, maar bij de Apache 2.0 licentie kun je dat moeilijk volhouden. De definitie van ‘werk’ is keurig generiek:
“Work” shall mean the work of authorship, whether in Source or Object form, made available under the License, as indicated by a copyright notice that is included in or attached to the work (an example is provided in the Appendix below).
Hiermee is het dus volkomen logisch dat ook databestanden als ‘work’ kunnen worden aangemerkt, zodat de rechten en plichten uit de Apache licentie gewoon gelden voor afnemers van die databestanden. Althans, als de licentie daarop van toepassing is. Want tegenover wat ik hierboven schetst, staat dat men in de README (die iedereen ook geacht wordt te lezen) een beperkte verklaring had staan:
The API is distributed under Apache License, Version 2.0. See LICENSE for more information.
De bedoeling van deze software was namelijk dat je voor een gegeven stuk hardware de informatie opvraagt, met die aangeboden API. Wat ChirpStack deed, was dus niet helemaal hun bedoeling: zij maakten een kopie van alle data zodat je niet steeds via de API deze op hoefde te vragen. Die API is er alleen nooit van gekomen, het werd ‘gewoon’ software met alle data in die repository beschikbaar. Dat maakt de term “The API” onduidelijk, als die API er niet is wat bedoelde men dan wel?

Ik denk dat je dan toch uitkomt bij “alles op deze site”, omdat dat nu eenmaal de meest voor de hand liggende interpretatie is gezien het gebruik in de softwarewereld. Bijgevolg kan TTN dus het gebruik van de data niet verbieden mits dat binnen de regels van de Apache licentie gebeurt. Daar staat dan weer tegenover dat de Apache licentie heel expliciet alleen over “copyright” en “patent” toestemming spreekt, en dus niets over databankrechten. In die lezing heb je dus nog steeds niets.

Daartegen heb ik dan alleen nog het argument dat in die situatie de genoemde licentie vrijwel geen betekenis heeft, want er is verder niets van waarde onder die licentie te krijgen en dat is raar. Als je daarbij optelt dat die licentie door Amerikaanse juristen is geschreven (waar databankrecht niet bestaat) en dus best om die reden genegeerd kan zijn, dan kom ik bij de conclusie dat deze overname gewoon mag.

Arnoud

Is het toegestaan om persoonsgegevens te delen in WhatsApp groepen?

Geplaatst op in Privacy, Uitingsvrijheid, 2 reacties

Een lezer vroeg me:

Is het toegestaan om persoonsgegevens te delen in WhatsApp groepen?(zowel zonder als met toestemming van die persoon). Ik weet bijna zeker van niet, maar kun jij mij helpen in welke artikel van de AVG dit is weergeven?
Persoonsgegevens verspreiden via digitale kanalen is een elektronische verwerking daarvan. De AVG is dan van toepassing. Het maakt niet uit of je dit als bedrijf of als particulier doet, en ook niet of het grootschalig of incidenteel gebeurt.

Als een verwerking onder de AVG valt, moet je een grondslag hebben. Toestemming is zo’n grondslag, dus in het geval dat er (specifiek en duidelijk) toestemming is verkregen, dan mag het. Maar ook zonder toestemming kan het, bijvoorbeeld als de verstrekking nodig is om een overeenkomst uit te voeren. Denk aan het adres van je Marktplaats-koper appen naar je broer die de vaas gaat brengen.

Bij delen in een groep kom je meestal uit bij grondslag van het gerechtvaardigd belang (art. 6 lid 1 sub f AVG). Je zegt dan eigenlijk, zowel ik als deze groep hebben er recht op deze informatie te delen, en we hebben rekening gehouden met de privacy van deze persoon. De vraag is dan wat dat recht is en hoe je dan rekening hebt gehouden.

Een veel voorkomende situatie is dat je wilt waarschuwen voor een verdacht persoon (de buurtapp, het is 4 uur en alles heit wel). Dan zijn de persoonsgegevens dus het signalement (of kenteken) van die persoon en waar die zich dan bevindt. Hierover had ik in 2016 ook al een vraag, het antwoord is eigenlijk ongewijzigd. Zie ook de comments!

Een andere optie is dat iemand in een groep vraagt om contactgegevens, bijvoorbeeld of iemand een oppas of klusser weet. In dat geval zou ik eerder kiezen voor een privéreactie, gezien die vraag is het niet nodig om de hele groep die gegevens te verstrekken.

Een derde optie is dat die persoon lid moet worden van de groep. Dat zou AVG-technisch beter via een privébericht naar een beheerder kunnen, waarbij die bij de persoon navraagt of die het echt wil.

En zo kan ik nog wel even doorgaan. Waarmee ik maar wil zeggen, er is niet één antwoord maar het is een beredeneerde keuze waarbij je met genoeg randzaken rekening moet houden.Arnoud

Bloggen over de huizenbouwperikelen van een BN’er is geen AVG overtreding

Geplaatst op in Privacy, Uitingsvrijheid, 5 reacties

Gedaagde hoeft artikel over woning niet te verwijderen, las ik bij ITenRecht.nl. Een lokale website had een artikel geplaatst over de bouwperikelen van de directeur en oprichter van het bedrijf Prijsvrij vakanties, inclusief foto en straatnaam. De directeur in kwestie maakte bezwaar en beriep zich op privacyschending en de AVG. De rechter wijst de eisen af (mede naar aanleiding van het inkorten van het artikel en weghalen foto) en bevestigt daarbij dat zo’n artikel onder de journalistieke exceptie valt.

Mag je als nieuwssite schrijven dat de bouw van een woning ‘niet wil vlotten’? En dat de opdrachtgever een bekende ondernemer is die het ‘hoog in zijn kop’ heeft? Zo vatte het AD in september de zaak samen. Heel aardig is dat inderdaad niet, maar feit was – zoals uit het vonnis blijkt – dat de verbouwing lang niet zo snel ging als verwacht. Weliswaar door overmacht (personeels- en materiaaltekorten, coronazorgen bij het bedrijf) maar nog steeds vlot het dan bepaald niet.

De verbouwing was trouwens erg grondig, zo grondig dat de journalist sprak van een ‘kaalslag’. Dat klinkt ook onaardig, maar mag gezegd: het is een mening, een waardeoordeel, en niet volledig onjuist want het oude huis (gebouwd 1923) was geheel gesloopt.

De AVG komt om de hoek kijken bij het argument van de publicatie van relevante lokatiedetails:

[Eiser] heeft er daarnaast bezwaar tegen dat in de aangehaalde passage zijn persoonlijke gegevens in het artikel worden genoemd: zijn naam, onderneming en de straatnaam. Dat zou volgens [eiser] een onnodige inbreuk op zijn privacy maken.
Die gegevens opgenomen op een website vormen daarmee tevens een verwerking van persoonsgegevens, immers ze identificeren de eisende directeur en onthullen ook zijn woonadres. Het privacy-aspect sneuvelt snel:
[eiser] betwist weliswaar dat hij een publiek figuur is, maar uit de (mede ook door hemzelf) overgelegde stukken is voldoende aannemelijk geworden dat [eiser] zelf met enige regelmaat actief in de media optreedt (in de vorm van interviews en televisie-optredens) als directeur van Prijsvrij, waaronder ook in landelijke, op een breed publiek gerichte media. Onweersproken is in dat kader gesteld dat [eiser] zich bij deze mediaoptredens niet altijd beperkt tot louter zakelijke aspecten van zijn leven, maar in voorkomend geval ook meer persoonlijke aspecten uit zijn leven niet onbesproken laat.
Bij lokale media is het dan gerechtvaardigd dat je hierop terugkomt, en ook privé aspecten van een BN’er betrekt in publicaties als daar (lokaal) nieuws in zit. Dat mag, ook van de AVG:
Zoals [gedaagde] terecht stelt is het ook niet in strijd met de AVG om die gegevens te melden omdat het onweersproken gaat om de verwerking van persoonsgegeven voor journalistieke doeleinden.
Dit klopt maar gaat natuurlijk wel wat snel. Het is niet zo dat publiceren met een colofon of NVJ-perskaart je een vrijbrief geeft onder de AVG. De “journalistieke uitzondering” zegt in feite dat een trits aan rechten van betrokkenen niet ingeroepen kunnen worden tegen een publicatie met uitsluitend journalistiek oogmerk. Dit om te voorkomen dat een journalistiek rechtmatige publicatie alsnog via de AVG tegengehouden kan worden. In dit geval had de eiser zich beroepen op recht van verwijdering (“vergetelheid”) en/of correctie, en dat recht geldt dus niet bij journalistieke publicaties.

Natuurlijk moet de journalist nog steeds een AVG-grondslag hebben; toestemming had hij uiteraard niet, maar dat hoeft ook niet want een journalistieke uiting past binnen het eigen gerechtvaardigd belang (artikel 6 lid 1 sub f AVG) op grond van de vrijheid van meningsuiting / persvrijheid.

Arnoud

 

Welke verantwoordelijkheid heb je als (kleine) forumbeheerder als een draadje ontspoort?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 20 reacties
WikiImages / Pixabay

In hoeverre handel je onrechtmatig door een forum te faciliteren waarin iemands goede naam zou worden aangetast, die vraag kreeg de rechtbank Overijssel onlangs. Het is een onderwerp dat bij mij vaak langskomt, hoewel het zelden tot een rechtszaak leidt: op een forum – in dit geval over mountainbiking – worden twijfelachtige dingen gezegd over een bedrijf, dat bedrijf laat een advocaat dreigen, en wat moet je dan als beheerder? De beheerder van dit forum wilde duidelijkheid en liet het op een rechtszaak aankomen. Waarbij hij wat mij betreft netjes won: weliswaar waren sommige berichten onrechtmatig, maar meer dan die weg moeten halen gebeurt er niet.

Op de website Mountainbike.nl houdt de gedaagde een forum actief dat “een levendig en onafhankelijk mountainbike-platform” moet bieden. Weliswaar wordt dit door een bedrijf gerund, maar de activiteit zelf wordt gepositioneerd als onafhankelijk en met eigen sponsoring om de boel in de lucht te kunnen houden. Ik zeg dit omdat het nogal uitmaakt of je een groot professioneel forum bent dan wel een hobby of een bij-activiteit van een ander bedrijf.

In januari 2021 werd een topic geopend over H&B Exclusive, een (web)winkel in tweedehands mountainbikes. Op zich niet raar, bespreken van ervaringen met leveranciers is natuurlijk normaal in zo’n community, maar voor (zo te lezen kleine) bedrijven is dit wel altijd een spannende: een negatieve sfeer kan véél invloed hebben op je bedrijfsvoering, ook al is het onzin. Zeker bij grote communities komen dat soort berichten vaak weer langs, en ze beïnvloeden hoe anderen tegen je aan kijken.

Niet zo gek dus dat toen H&B negatieve berichten zag (volgens hen: zij werden zwart gemaakt en ten onrechte beticht van het niet naleven van garantieverplichtingen en het niet uitvoeren van technisch onderhoud), ze meteen in de juridische pen klom en eiste dat berichten werden weggehaald. In eerste instantie haalde het forumbeheer wel enkele berichten weg, maar liet ze het topic als geheel wel staan. Dat vond H&B niet genoeg, vandaar dat men bij de rechter uitkwam. De eis was fors: alle berichten over haar bedrijf offline, het liefst eigenlijk de gehele website(!), domeinnaam door SIDN laten afkoppelen(!?), rectificatie en 15.300 euro schadevergoeding. Eh ja, zou ik ook van schrikken.

De rechter kijkt koeltjes naar de gewraakte berichten, uiteindelijk bleek het concreet om tien mogelijk onrechtmatige uitlatingen te gaan. (Ze staan onderaan in het vonnis.) De eerste vier berichten zijn rechtmatig, want onderbouwd en gebaseerd op eigen ervaringen. Het vijfde bericht wordt wél onrechtmatig verklaard, omdat daar “ene gijsje” zegt dat je beter een winkel mét garantie kunt vinden. Dit terwijl H&B wel degelijk garantie geeft. Dat is dan te kort door de bocht (haha, want mountainbike) en moet dus worden verwijderd. Berichten zes en zeven mogen ook blijven staan. Bericht acht dan weer niet: dit verwijt H&B dat zij liegen over de status van onderdelen (een cassette ‘verre van nieuw’) en ‘[H&B] je op voorhand al willen oplichten’. Na bericht negen goed te keuren, valt ook bericht tien: de niet-onderbouwde opmerking dat H&B niets van zich laat horen als er iets mis blijkt te zijn met een fiets. Terecht merkt de rechter op dat een algemeen verbod op verwijdering van álle berichten over een bedrijf niet kan, omdat je per bericht moet oordelen of het rechtmatig is of niet.

Had het beheer meer moeten doen? Er was een geschiedenis: al in 2020 waren berichten over H&B weggehaald na klachten van het bedrijf, daarna weer nieuwe berichten – dit alles hield “een sfeer in stand die H&B in een kwaad daglicht heeft gesteld”, aldus het bedrijf. Ook hier weer: rustig kijken naar wat er nu concreet ligt.

Aan de orde is daarom alleen nog de vraag of eGate onrechtmatig handelde door de hiervoor onrechtmatig geachte berichten (nummers 5, 8 en 10) niet te verwijderen. In dat kader is van belang dat deze berichten ná 21 juli 2021 zijn geplaatst en dat H&B niet eerder dan bij dagvaarding de verwijdering van deze berichten heeft gevraagd van eGate. Van belang is derhalve of eGate een actieve verwijderingsplicht heeft. De kantonrechter volgt het standpunt van H&B dat daar sprake van zou zijn, niet.
Discussie volgde over de vraag of het forumbeheer – eGate dus – wel of niet beschermd is onder de regels voor tussenpersonen, art. 6:196c BW. Zijn ze direct aansprakelijk of alleen als ze niet adequaat reageren? Dat maakt niet uit, in geen van beide situaties (wel of niet beschermd) heb je immers een actieve plicht om berichten te gaan screenen en verwijderen als ze onrechtmatig lijken te zijn. Althans, bij dit type forum:
Daartoe is van belang dat sprake is van een forum op een algemeen toegankelijke website, waarop in beginsel een ieder die een profiel aanmaakt direct berichten kan plaatsen; dat sprake is van een hobbymatige handelswijze, waarbij eGate geen personeel in dienst heeft om berichten te controleren; en dat eGate snel en adequaat reageert op verzoeken tot verwijdering van geplaatste berichten. De omstandigheden dat er eerder onrechtmatige berichten zijn geplaatst en verwijderd – zoals H&B aanvoert – maken naar het oordeel van de kantonrechter niet dat eGate ten aanzien van H&B wel een actieve rol op zich had moeten nemen om berichten zelfstandig te censureren, mede omdat een groot deel van de door H&B gewraakte berichten niet onrechtmatig zijn gebleken.
Een heleboel factoren, die echter wél van groot belang zijn want ik ken zo nog tientallen ‘kleine’ forums die vrijwel op dezelfde manier opereren én af en toe blaffende advocaten in de inbox hebben. Pas als je forum verschuift naar een grootschalig bedrijfsmatig gerund forum met personeel dat professioneel modereert, kom je dus in een andere categorie. Een goede zaak, wat mij betreft.

Arnoud

Een NDA in je bug bounty stoppen is een heel slecht idee, ook voor Uber

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 7 reacties
OpenClipart-Vectors / Pixabay

Het hoofd security van Uber hangt strafvervolging boven het hoofd voor de manier waarop hij een datalek wilde verstoppen, las ik bij Ars Technica. Dat deed hij namelijk door de hackers een ton in bitcoins te geven en ze een bug bounty contract met geheimhoudingscontract (NDA) te laten tekenen, waarna hij in het openbaar verwees naar het lek als een “geplande securitytest”. En dat is dan net nadat ik twee bedrijven (zakelijk) heb moeten overtuigen dat je ethical hackers géén NDA moet voorleggen als ze je ongevraagd een potentieel datalek komen melden.

In 2016 liet Uber een fors datalek gebeuren, met kort daarna nog eentje. (Ik vind “was hit by a data breach” geen gepaste tekst, het is geen meteoor maar nalatigheid, kom nou.) Bij die laatste wilden de hackers een ton aan losgeld, anders zouden ze de data op internet zetten. “Information is extremely sensitive and we need to keep this tightly controlled,” zo besloot men intern. Toenmalig Uber security chief Joe Sullivan handelde ook daarnaar: hij onderhandelde met de hackers en liet ze een bug bounty contract tekenen, in ruil voor een ton die in bitcoin werd betaald.

Dat was in zoverre onhandig dat de FTC na dat eerste datalek een onderzoek had ingesteld en van plan was Uber met een schikking weg te laten komen. Toen dat tweede datalek een jaar later alsnog uitkwam, kwam daar natuurlijk weinig meer van terecht.

Nu kan het natuurlijk gebeuren dat iemand een datalek ontdekt en dat meldt, om aanspraak te maken op de financiële beloning – bug bounties – die een bedrijf uitlooft. Ook Uber doet dat: tot tienduizend dollar kun je verdienen met je tip over een datalek. Maar daar is een aparte website en procedure voor, en je krijgt het geld dan ook gewoon overgemaakt. Deze manier van afhandelen riekt dan dus ook niet naar een gewone bountyclaim.

Het blijkt echter wel staande praktijk om tipgevers aan een dikke geheimhouding te binden, en ik vind dat dus raar. Ja, als je iemand inhuurt dan kun je voorwaarden onderhandelen en geheimhouding is dan een prima onderhandelpunt. Maar wanneer iemand van buitenaf komt aanwaaien, dan moet dat zeker geen voorwaarde zijn. (Een tijdelijke, redelijke periode zodat je het lek kunt dichten is natuurlijk wél prima.) Het schrikt mensen af, ondanks dat het niet bindend is, en het laatste wat je zou moeten willen als organisatie is dat een tipgever liever de pers belt dan jouw organisatie.

Arnoud

Cloudflare blokkeert stalkerforum wegens ‘acute dreiging voor mensenlevens’, dit blijkt controversieel

Geplaatst op in Regulering, Uitingsvrijheid, 5 reacties

Cloudflare blokkeert websites normaal niet, maar ziet in de website Kiwifarms een ‘acuut noodgeval en een onmiddelijke dreiging voor mensenlevens’. Dat meldde Tweakers vorige week. De site is berucht vanwege haar veelvuldige intimidatie van online persoonlijkheden en gemeenschappen, met meerdere zelfmoorden tot gevolg. Ze zouden zich daarbij vooral richten op minderheden, vrouwen, lhbt-personen of neurodiverse personen. Nadat ook een Russische collega (DDoS-Guard) de dienstverlening staakte, lijkt het daarmee voorbij met deze site. Het gaf veel ophef, vooral van het soort “waar bemoeit een bedrijf zich mee” en “waar trek je dan de lijn”. Als jurist vind ik daar wat van.

De term “stalkerforum” die ik in diverse media zie, doet niet echt recht aan wat Kiwifarms is. Wikipedia heeft een wat uitgebreidere beschrijving, maar ik krijg algemeen de indruk dat iedereen wel vindt dat deze site echt niet moet kunnen. Toch is ‘ie er nog, althans tot voor kort omdat een serie protesten bij Cloudflare (en de ophef daarover, die ook bij DDoS-Guard aankwam) ertoe leidde dat men de site niet langer wilde faciliteren. En daarmee was het einde verhaal. Althans voorlopig, dit soort clubs heeft er een handje van elders weer terug te komen. Maar dat moet maar blijken.

De eerste vraag van veel mensen is dan natuurlijk, waarom doet Justitie hier niets aan. Het is evident dat hier ernstige strafbare feiten worden begaan, dus ligt vervolging voor de hand. Althans, in de traditionele opvatting: Kiwifarms is natuurlijk niet een clubje uit één land waarbij de betrokken personen direct aan te spreken zijn door oom agent. Dit is een klassiek probleem in het technologierecht, het grensoverschrijdende aspect waardoor de land-georiënteerde politieapparaten moeilijker in kunnen grijpen. Daarnaast is intimidatie natuurlijk een notoir lastig onderwerp om strafrechtelijk tegen op te treden. Om diezelfde reden is een civielrechtelijke aanpak – de slachtoffers slepen de club voor de rechter met eis tot schadevergoeding – niet echt haalbaar.

Als je dan structureel grof ongepast gedrag ziet en de overheid lijkt niet bij machte daar wat aan te doen, dan krijg je tegenkrachten. Zoals een doelwit van de site –  Clara Sorrenti – die besloot georganiseerd tegengas te geven. Wat er onder meer toe leidde dat iedereen die op Twitter of Linkedin had vermeld bij Cloudflare te werken, een berg berichten kreeg met het dringend verzoek te stoppen om stalkers te hosten. Iets dat deze mensen nogal overlastgevend vonden, wat bij slachtoffers van stalking dan weer tot weinig sympathie leidde. Na enig gedraai hakte Cloudflare dan toch de knoop door en verwijderde ze de site.

Oké, de term ‘gedraai’ was niet heel aardig; Cloudflare zoekt naar een opstelling waarmee zij als centrale internet-infrastructuur-partij een balans vindt tussen een neutrale dienstverlener zijn en de maatschappij beschermen. Het voornaamste argument is dan dat zij niet in een positie moet zijn om te oordelen of een klant de wet overtreedt, dat hoort bij de overheid te liggen. Die hebben we vaker gehoord: ik zie het principe, maar er zijn genoeg gevallen waarin we van private partijen vragen om zelf juridische afwegingen te maken en knopen door te hakken. Zoals met notice/takedown in de hostingwereld: je moet onderzoeken of een klacht juist is, en “ik wacht het gerechtelijk bevel wel af” is gewoon geen argument. De reden is simpel: het juridisch systeem kan het niet aan dat we voor iedere klacht een rechtszaak beginnen, en dat hoort ook niet te hoeven gezien de hoeveelheid slimme juristen die bedrijven in kunnen schakelen.

Reageerder Jeroen wees me recent op een artikel bij Techdirt, waarin men de fundamentele discussie samenvat:

The reality is not that simple. Whether content is good or bad is not a clear thing. Lots of people think it is, but it’s not. What’s good to some people is bad to others. It’s not like there are obvious decisions here. Everything involves judgment calls, and even if you can point to something like Kiwi Farms and say that the only people who can see any good in it are sociopathic, it still leaves you with other questions and challenges with no easy answer.
Men trekt de analogie naar een schaal van 0 tot 100: 0 is onbevlekt goed, en 100 is Kiwifarms. Dan is het begrijpelijk dat je ingrijpt bij die partij, maar waar leg je dan de grens? Bij 95? 90? 75? Maar hier zit volgens mij een principieel punt verkeerd: je hoeft niet eerst het algemene probleem op te lossen voordat je in een concrete situatie mag zeggen “nu moet je ingrijpen”. In het Nederlands recht is er bijvoorbeeld geen allesomvattende definitie van wat “fraude” is, maar dat Sywert en consorten die begaan hebben, daar zijn we het wel over eens.

Techdirt voegt toe:

The real question should be why have we set up this world where it’s Cloudflare’s decision to make in the first place? And, once again, that leads us back to what seems to be at the heart of so many of these content moderation debates: there are larger societal issues at play here, and the one party that is supposed to be dealing with larger societal issues, the government, continues to fail to deal with anything… and then leaves it up to private corporations to shoulder the burden — and the widespread hate.
Ik weet alleen niet of dit het probleem zou oplossen. Het lijkt me namelijk onmogelijk om alles zo ver uit te schrijven dat een bedrijf bij iedere klacht eenvoudig kan bepalen of ze in moet grijpen. En bij iedere klacht een rechtszaak beginnen is eenvoudigweg te veel werk en kost de maatschappij te veel.

Arnoud

Amazon Prime vertraagt reviews met drie dagen bij Amazon’s Rings of Power

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 46 reacties
aitoff / Pixabay

Streamingdienst Amazon Prime Video heeft stilletjes een vertraging ingebouwd in zijn reviewsysteem voor films en series, las ik bij RTL Nieuws. Zo moeten neprecensies, bots en internettrollen worden afgevangen die met review bombing hun ongenoegen willen uiten over  de artistieke vrijheid die de schrijvers nemen met het verhaal en de inzet van acteurs van kleur. Bij filmsite IMDB zouden zelfs reviews en scores weggehaald worden voor de serie, en dat is opmerkelijk omdat IMDB van dezelfde eigenaar is als de serie. Wat dus de vraag opriep: mag dat, negatieve recensies over je eigen series weren van een reviewplatform?

Het nieuwe systeem met 72 uur vertraging is al enkele weken gelezen uitgerold, maar valt nu pas op omdat de nieuwe Lord of the Rings-serie in première is gegaan en een hoop mensen dus boos zijn over een en ander. Review bombing – massaal slechte recensies of scores achterlaten – is dan een beproefd recept om je ongenoegen te uiten, Wikipedia heeft een mooie serie voorbeelden. Voor de duidelijkheid: het gaat dan niet over werkelijk de serie inhoudelijk slecht vinden, maar om boosheid over iets anders. Bijvoorbeeld een vervelende kopieerbeveiliging in een game, raar gedrag van de directie of zoals in dit geval het vermeende te progressieve karakter van de serie.

Rings of Power maakt al sinds de eerste aankondigingen veel los: hoezo kunnen elfen ineens een getinte huid hebben of van Aziatische afkomst zijn? (De opmerking dat een dwerg weliswaar een vrouw van kleur kan zijn maar toch zeker wel een báárd heeft, daar sta ik helemaal achter.) Het versterkte het beeld dat Hollywood (en de tech-contentproducenten) zich laten leiden door politieke correctheid. En dan is de score van de serie saboteren een makkelijke vorm van protest.

In reactie op deze oneigenlijke reviews heeft Amazon dus die vertraging ingebouwd, waardoor onder meer tijd gecreëerd wordt om reviews te controleren voordat ze live gaan en de echte reviews wegspoelen. Het is in zoverre wel lastig omdat een recensie sinds een tijdje ook beschermd is, in ieder geval in Europa, waar art. 6:193g sub aa BW het een oneerlijke handelspraktijk noemt:

het plaatsen of doen plaatsen van valse beoordelingen of aanbevelingen van consumenten of op misleidende wijze voorstellen van consumentenbeoordelingen of sociale media-aanbevelingen, teneinde producten te promoten.
Het idee hierachter is natuurlijk het verzinnen van recensies of ze zo bijknippen dat ze positief lijken. Maar recensies en negatieve cijfers weghalen zodat het gemiddelde hoog uitkomt, kun je zien als een vorm van misleiding. Ik kan bij Prime Video geen specifieke regels vinden over wat er wel en niet mag in je recensie, maar alleen al uit de redelijkheid volgt dat een recensie gebaseerd moet zijn op wat je gezien hebt, een inhoudelijke beoordeling van het gebodene zeg maar. Het weghalen van recensies die daar niet aan voldoen, kan ik moeilijk “misleiding” door Amazon noemen.

Arnoud