Ik ben door een vriend gevraagd sfeerimpressies te maken tijdens een optreden in een café. Ze vragen geen toegangsgeld, het café is voor iedereen toegankelijk tijdens het optreden. Het komt neer op het publiek filmen vanaf de achterste rij, ik ga niet inzoomen op individuele aanwezigen. Mag dit van de AVG? Moet ik bordjes plaatsen, toestemming vragen, een bezwaarregeling optuigen?
Als je met een (digitale) camera mensen gaat filmen, en de resultaten daarvan publiceert als video, dan valt dat handelen inderdaad in beginsel onder de AVG. Vanwege het publiceren kun je je niet beroepen op de uitzondering voor strikt privégebruik. En omdat mensen gezien de context soort van herkenbaar zijn, is sprake van een verwerking van persoonsgegevens. (Als je vanuit de hoogte met een drone filmt dan wellicht niet.)
Tegelijkertijd is een videoregistratie een vorm van vrije nieuwsgaring, en dat is een beschermd grondrecht net als privacy en gegevensbescherming. Je hebt dus het recht die video te maken, en de AVG kan niet zomaar dat categorisch verbieden. Gelukkig is dat ook niet zo: in gevallen waarin een gegevensverwerking zou botsen met de informatievrijheid, moet een oplossing komen die recht doet aan beide grondrechten (art. 85 AVG).
Dat is nader uitgewerkt in art. 43 Uitvoeringswet AVG, dat een aantal zaken buiten werking stelt: geen informatieplicht of recht van inzage, correctie of verwijdering bijvoorbeeld. Ook mag je bijzondere persoonsgegevens gebruiken als dat strikt noodzakelijk is voor je journalistieke productie. Wel moet je nog steeds een AVG-grondslag hebben, dat zal hier het legitiem belang (art. 6 lid 1 sub f AVG) moeten zijn met als invulling de bijdrage aan de maatschappelijke informatiebehoefte. Je hoeft dan weer geen rekening te houden met bezwaren (art. 21 AVG geldt niet).
Bij dit soort vragen krijg je altijd de discussie wanneer een verwerking nou “voor uitsluitend journalistieke doeleinden en ten behoeve van academische, artistieke of literaire uitdrukkingsvormen” is, zoals art. 43 UAVG het noemt. Met name dat “uitsluitend” zit vaak lastig in de discussie. Maar specifiek hier heb ik er geen twijfel over, omdat het alleen gaat om een publicatie (aan het publiek bekend maken) van een verslag van een in ieder geval lokaal interessante gebeurtenis (een concert in een café). Ik weet niet waar de ondergrens zit van wat “nieuws” is, maar gevoelsmatig zit deze er boven.
Het is wel netjes en verstandig een bordje te plaatsen, ook omdat je gewoon niet zit te wachten op discussie hierover. Dat kan het concert verstoren en het is een kleine moeite.
Elon Musk heeft zijn banken beloofd Twitter winstgevend te maken, onder meer door geld te vragen voor overname van populaire tweets. Dat meldde Reuters onlangs. Voor de overname en beursverwijdering heeft Musk 44 miljard dollar nodig, waarbij een aantal banken voor de financiering zorgt. Deze eisen dan een businessplan, en deel van de visie daarover van Musk is dus zoeken naar nieuwe verdienmodellen. Zoals het verkopen van tweets, niet als NFT maar royalties op grond van auteursrecht, als ik het goed lees. Gaat niet werken. Maar of dat voor Musk relevant is, ik weet het niet.
Ik blijf me verbazen over de voorgenomen overname. En niet omdat je met dit geld de wereldhonger een fors eind terug zou kunnen dringen, maar omdat het gewoon totaal niet past bij het beeld dat ik van Elon Musk heb. Slimme ondernemer, gehaaid zakenman, visionair – ja, die zie ik, maar “voorvechter van complete vrijheid van meningsuiting” of “gedreven in het monetizeren van internetdiensten”, nee niet echt.
Twitter is natuurlijk zijn favoriete tool, ik ken niemand die zo behendig, groot en scherp is in op de rand spelen van wat er kan en mag in het medium. En als je dan het gevoel hebt dat de beheerders je speeltje verpesten én je hebt meer geld dan wie ook, dan is het wel een aardige edgelord stap om te zeggen dat je het gaat kopen. Maar ik had niet verwacht dat het ook zo ver zou komen. Juridisch zijn er nog wat hobbels, maar die worden vanzelf gladgestreken, ik zie die deal wel rondkomen.
Verkopen van Tweets, nee dat gaat hem niet worden. Je kunt eenvoudigweg geen geld vragen voor het overnemen van zo’n kort stukje tekst. Op zich zit er wel auteursrecht op een tweet, weliswaar zijn die 280 tekens en dat is vrij kort, maar juist daardoor zijn mensen vaak behoorlijk creatief in wat ze erin stoppen. Ik durf wel te zeggen dat de modale tweet auteursrechtelijk beschermd is. Maar je zit eenvoudigweg met het citaatrecht – mensen mógen belangwekkende tweets overnemen, om ze aan te kondigen, erop te reageren, ze met anderen te delen (“kijk wat Musk nou weer zegt”) en ga zo maar door. Daar kan geen contract verandering in brengen.
Mogelijk zijn dit allemaal losse flodders, pardon visionaire ideeën en gaan we vanzelf merken wat Musk van plan is. Het is straks écht zijn speeltje, en als hij dat verliesgevend wil draaien zonder enig verdienmodel dan is dat zijn goed recht. Ruzie met de bank zal vast wel weer goed komen.
Een politieagent in het Amerikaanse Santa Ana, California, erkent openlijk dat hij popmuziek uit de politiewagen-speakers laat komen als hij politiewerk verricht, las ik bij Jalopnik. Dit om te voorkomen dat burgers het filmen en op Youtube zetten – die muziek wordt immers gedetecteerd door het Youtube ContentID systeem en daarna wordt de video geweigerd. Dat riep vragen op (dank, tipgever): Als er echt iets te zien is op de video, gaat de nieuwswaarde dan niet boven het auteursrecht? En zou de agent in Nederland niet moeten betalen aan Buma voor openbaarmaking?
Deze praktijk is niet nieuw, al enkele jaren zijn er berichten van agenten die proberen het ContentID systeem in te zetten om video’s van hun werk tegen te houden. ContentID is een neutraal filtersysteem, dat muziek van de grote maatschappijen herkent en de upload dan weigert:
Video’s die naar YouTube worden geüpload, worden vergeleken met een database met bestanden die contenteigenaren aan ons hebben verzonden.Auteursrechteigenaren besluiten wat er gebeurt wanneer videocontent op YouTube overeenkomt met een werk waarop zij het recht hebben. Als er een overeenkomst wordt gevonden, krijgt de video een Content ID-claim.
Regelmatig lezen we over problemen met Content-ID, vrijwel altijd gaat dat dan over onterechte matches (vals positieven) of over gevallen waarin bijvoorbeeld een parodie of ondergeschikt gebruik speelt. Dit is dus weer zo’n geval: ja, de muziek staat in de video. Nee, dat is geen inbreuk op het auteursrecht.
Het gaat namelijk bij die video’s om het aan de kaak stellen van misstanden bij de politie (geweld bij arrestaties, met name), iets dat in de VS nogal een probleem is. Die muziek heeft daar op zich niets mee te maken, maar is hooguit achtergrond of toevallig aanwezig te noemen. Alleen dat al zou het fair use moeten maken. En daar komt bij dat de Amerikaanse agent de muziek opzettelijk inzet om het automatische filter te triggeren, iets dat je juridisch misbruik van bevoegdheid of iets dergelijks zou noemen.
Het lastige is alleen: die muziekrechthebbenden hebben niets te maken met dat maatschappelijk debat (of met de omstandigheden van de video) dus voelen zich niet geroepen om hier wat tegen te doen. De filters blijven dus gewoon werken. Dit aanvechten is vaak een lastig proces voor mensen die dit online zetten, wat natuurlijk nog lastiger is als je (of een vriend/familielid) ondertussen gearresteerd is of de gevangenis in gaat voor wat er op de video te zien was.
De Europese Commissie verbiedt per direct de toegang in de EU tot de zenders van het Russische RT en het persbureau Sputnik. Dat meldde RTL Nieuws afgelopen woensdag. De gestrafte media zijn volgens de EU ‘instrumenten van het Kremlin’ om Russische propaganda in de oorlog tegen Oekraïne te verspreiden. De wettelijke maatregel geldt voor de transmissie en distributie via satelliet, kabel, onlinevideokanalen en zowel nieuwe als bestaande apps. Uniek volgens mij, zo’n Europese maatregel om twee specifieke media uit de lucht te krijgen. Maar welke juridische basis heeft het?
De formele basis is makkelijk te vinden: Verordening 2022/350, met superspoed aangenomen en per direct van kracht. De verordening bevat een wijziging van de Verordening uit 2014 met anti-Rusland maatregelen vanwege diens “illegale inlijving van de Krim en Sebastopol”. De wijziging komt neer op één toevoeging:
Het is exploitanten verboden inhoud die door de in bijlage XV vermelde rechtspersonen, entiteiten of lichamen wordt verstrekt, uit te zenden of de uitzending van die inhoud mogelijk te maken, te faciliteren of anderszins daartoe bij te dragen, onder andere door transmissie of distributie, ongeacht het middel, bijvoorbeeld via kabel, satelliet, IP-TV, internetproviders, internetplatforms of applicaties voor het delen van video’s, ongeacht of deze nieuw of voorgeïnstalleerd zijn.
(Lid 2 beveelt schorsing van uitzendlicenties, niet relevant omdat op de Nederlandse kabel geen RT of Sputnik te ontvangen is.)
Dit is uniek bij mijn weten: nog nooit heeft de Europese wetgever een specifieke informatiebron op deze formele manier verboden in Europa. En het is een breed verbod ook, niemand mag behulpzaam zijn bij de toegang tot deze bronnen. Geen kabelzenders, maar ook geen internetproviders en “applicaties voor het delen van video’s” waarmee denk ik Youtube bedoeld wordt. Dat is nogal wat, en geen wonder dat een hoop mensen nu toch hun censuurgezicht trekken.
Er zijn heel weinig precedenten, dat maakt het lastig in te schatten waar de EU staat. Maar wat er is, is weinig hoopvol voor de advocaat die hier (als dat mag van de Orde) bezwaar tegen gaat maken. De meest relevante uitspraak is uit 1999 toen het Europese Hof voor de Rechten van de Mens Turkije veroordeelde. In die zaak werden een wetenschapper en een uitgever strafrechtelijk veroordeeld vanwege publicatie van “propaganda”, namelijk een publicatie over de Koerdische onafhankelijkheidswens. Die zou ingaan tegen het beginsel van de ondeelbaarheid van de Turkse staat en dus staatsondermijnende propaganda zijn.
Het Hof erkende dat er voor de veroordeling een wettelijke grondslag was (net als hier) en die wet als doel had de bescherming van de nationale veiligheid en de territoriale integriteit (net als hier). Maar een verbod moet echt een uiterste middel zijn, immers ook meningen die dienen om te shockeren, beledigen en aanstoot geven zijn legale vrijheid van meningsuiting. Het Hof vond de veroordeling te ver gaan, met name omdat de straffen erg zwaar waren en er geen sprake was van oproep tot geweld of zelfs maar het steunen van de Koerden.
Er zijn er meer, ook over de Armeense genocide, allemaal dezelfde strekking: een breed verbod met als doel het tegengaan van ‘propaganda’ kan eigenlijk niet. Ook onwelgevallige meningen moeten kunnen, ook als men de staatsopvatting tegenspreekt of zelfs een gehate partij steunt die zich wil afscheiden.
Nou kun je natuurlijk wat RT zegt ook “maar een mening” noemen, maar volgens mij is er ondertussen overtuigendbewijsgenoeg dat het bij RT niet alleen gaat om een andere politieke stellingname. Zoals het US Department of State het zegt:
RT and Sputnik are key state-funded and directed global messengers within this ecosystem, using the guise of conventional international media outlets to provide disinformation and propaganda support for the Kremlin’s foreign policy objectives. RT and Sputnik also interact with other pillars of the ecosystem by amplifying content from Kremlin and Kremlin-aligned proxy sites (some of which are connected to Russian intelligence), weaponizing social media, and promoting cyber-enabled disinformation.
Dat is voor mij wel andere koek dan de bestaande jurisprudentie, waarbij ook de term “propaganda” wordt gebruikt door de overheid maar wel tegen meer oprecht onderzoekend of reflecterende publicaties. In ieder geval niet waarbij de publicisten door een vreemde mogendheid werden gefinancierd met het doel om het land te beïnvloeden. Dat maakt RT en Sputnik echt wel uniek, en ook gevaarlijk. Zoals de EU het formuleert in de Verordening, overweging 6:
De Russische Federatie voert een systematische internationale campagne waarbij de media worden gemanipuleerd en feiten verdraaid om haar strategie van destabilisering van haar buurlanden, en van de Unie en de idstaten van de Unie te ondersteunen. De propaganda richt zich met name herhaaldelijk en consequent op Europese politieke partijen, met name tijdens de verkiezingsperioden, alsook tegen het maatschappelijk middenveld, asielzoekers, Russische – etnische minderheden, genderminderheden, en de werking van democratische instellingen in de Unie en haar lidstaten.
En ondertussen staat ook echt wel vast dat van zo’n campagne sprake is. Dat maakt zware maatregelen zoals een verbod eerder gerechtvaardigd. Hierbij weegt voor mij dan mee dat er weinig andere middelen zijn; ze bij de bron verbieden of ingrijpen gaat niet, ze zitten immers in Rusland. Eigen tegeninformatie publiceren is geen doen, flooding the zone with shit is vele malen makkelijker dan alles netjes debunken. Ook is belangrijk dat er geen strafmaatregelen volgen tegen de journalisten of uitgevers (zoals in die jurisprudentie dus wel gebeurde), er zitten geen boetes of celstraf in de lucht.
Daarmee is het voor mij wel duidelijk: dit verbod zal standhouden, gezien de unieke situatie en positie van deze twee partijen. (Ik zie dus weinig in een glijdende-schaalargument dat straks iedereen alleen nog maar de EU-propaganda mag nakauwen, want deze regels gáán niet over iedereen, en de jurisprudentie is duidelijk dat dat ook onmogelijk is.)
De persoon die ervan wordt verdacht dat hij op sociale media opriep om vanavond te gaan rellen in Utrecht, heeft een ‘online gebiedsverbod’ gekregen. Dat meldde de gemeente in een persbericht eind november. En een kleine week later reageert advocaat Anis Boumanjal: “zo’n online verbod gaat heel ver en haar jurisdictie te buiten, als je het mij vraagt. Zeker als meetelt dat je verworven grondrechten en vrijheden aan banden gaat leggen, terwijl er nog geen rechterlijke uitspraak is en de uitlatingen via het reguliere strafrecht zijn aan te pakken.”
We hebben het eerder gehad over online gebiedsverboden. De burgemeester is bevoegd mensen gebiedsverboden en huisverboden te geven (Gemeentewet art. 172a), maar dat gaat over fysieke verboden: blijf weg uit deze wijk of uit de buurt van dit huis. Dat kan nuttig zijn bij rellen, omdat je mensen dan makkelijk kunt ophouden of wegsturen omdat ze het verbod overtreden, zonder dat je hoeft te onderzoeken wat ze precies bijdragen aan de rellen of het strafbare aspect daarvan. Maar dat werkt niet voor een online verbod, want welk fysiek gebied kun je daar aan koppelen?
Je kunt ook de meer algemene openbare-ordeverstoring erbij pakken (art. 172):
De burgemeester is bevoegd bij verstoring van de openbare orde of bij ernstige vrees voor het ontstaan daarvan, de bevelen te geven die noodzakelijk te achten zijn voor de handhaving van de openbare orde.
Dit kun je lezen als ook een bevel “blijf van internet” als dat noodzakelijk is. De complicatie is dan dat je dan terecht komt in een doorkruising van de vrijheid van meningsuiting, in plaats van enkel “ga weg bij het winkelcentrum” of “niemand mag met oranje bandana’s voor het stadhuis staan” omdat je daarmee rellen de kop wilt indrukken.
Ik moet zeggen, ik ben wél blij dat Utrecht deze stap genomen heeft. Natuurlijk is het controversieel, maar in dit concrete geval lijkt het me niet meteen totaal onredelijk. En ik neem aan dat deze persoon naar de rechter stapt (het is mij niet bekend of Boumanjal diens advocaat is, voor de goede orde) om het aan te vechten, dus hopelijk komt er dan een duidelijke streep in het zand.
Mag ik drones die herhaaldelijk boven, voor en achter mij zijn uit de lucht schieten met een drone blaster?
Ik hoor steeds vaker dat mensen overlast ervaren in de vorm van drones die boven hun privéterrein vliegen, vaak inclusief zichtbare cameralens waardoor het erg indringend kan voelen: een spionagedrone net buiten je bereik.
Logisch dus dat mensen daar wat aan willen doen. In 2017 hadden we een rechtszaak over een buur die een drone uit de lucht schoot met een luchtbuks. Dit leverde een schadeclaim op van de piloot, die vervolgens 50/50 werd verdeeld omdat beide partijen schade hadden.
Een drone-blaster is niet een populaire naam voor een luchtbuks met antidronemunitie, maar een /jammer/ die de besturing van de drone verstoort. Een voorbeeld is de DroneBlaster MKIII:
With its fully integrated rifle style, the DroneBlaster™ MKIII Tactical Anti-Drone Gun is a hand-held tactical drone jammer which is capable of disrupting multiple RF frequency bands simultaneously without compromising safety or risking collateral damage.
Het idee is dan dat je geen fysieke schade aanricht, want de meeste drones zijn in zo’n geval geprogrammeerd om te landen (zodat je ‘m in bewaring kunt nemen) of om terug te vliegen naar het laatst bekende punt waar de piloot stond (zodat je die kunt aanspreken). Dat voelt als een pragmatische oplossing.
Lastig is natuurlijk dat de inzet van jammers als deze in Nederland in beginsel verboden is. Er zijn uitzonderingen (zoals in het Vrijstellingsbesluit IVD en nog een paar) maar die zijn gericht op specifieke organisaties of personen toestaan om jammers te gebruiken. Er is geen grond voor gewone burgers om met jammers de werking van drones te verstoren. Ook de verkoop van zulke apparaten is niet toegestaan, in de hele EU niet trouwens.
Het journalistieke platform De Correspondent heeft vandaag een deepfake-filmpje van demissionair premier Mark Rutte geplaatst, las ik bij het Algemeen Dagblad. In de neptoespraak, die amper van echt te onderscheiden is, luidt Rutte de noodklok over de klimaatveranderingen en kondigt hij aan verregaand beleid door te voeren. “Een toespraak waarvan we vinden dat de premier die zou moeten geven”, zo rechtvaardigt het medium haar stap. Er was meteen de nodige kritiek: ondergraaf je als journalist zo niet bepaalde kernbeginselen, als je meewerkt aan het normaliseren van deepfakes? Maar ook juridisch: mag dat wel, zo iemand deepfaken?
Zoals wel vaker bij juridische vragen: er mag niets zomaar, het zit hem eigenlijk altijd in de details. Er is geen specifiek wetsartikel dat het publiceren van deepfakes verbiedt, afgezien van deepfakeporno (art. 139h Strafrecht). Je moet dus eigenlijk altijd even verder kijken, wat is de inhoud of strekking van de video en wat vinden we daarvan.
Een voor de hand liggende insteek is smaad: je kunt met een deepfake iemand voor gek zetten, door hem of haar iets te laten zeggen dat niet waar is. Of door het gezicht te monteren in een aanstootgevende of beledigende context, zoals bij vervalst bewijs dat die persoon een misdrijf zou plegen. Die zal daarop aangekeken worden, en dat is in principe wel te zien als een aantasting van diens eer of goede naam.
Een andere mogelijkheid is het portretrecht en/of de AVG, door te zeggen dat er geen redelijk belang (art. 21 Auteurswet) dan wel geen gerechtvaardigd belang (art. 6 sub f AVG) is om het portret zo te manipuleren en te vertonen. Dat is iets makkelijker aan te tonen dan smaad, maar er is wel een probleem: is er inderdaad geen belang?
Specifiek bij deze deepfake zie ik dat namelijk wel, getuige de uitgebreide verantwoording van de Correspondent. Ik citeer:
Om de toekomst van ons land veilig te stellen zijn verregaande maatregelen nodig. Politiek leiderschap is daarvoor essentieel. Rutte heeft dit leiderschap tot nu toe niet getoond; integendeel, hij grijpt vaak terug op sussende uitspraken als ‘We moeten een leuk leven kunnen blijven leiden’ en ‘Ik ben niet van de sweeping statements’. Dat laatste zei hij nota bene toen hij in juli dit jaar de schade van de overstromingen in Limburg opnam.
Als je ziet dat juist dé leider van de politiek die leiderschapsrol verzaakt, en je wilt dat aan de kaak stellen na alles dat er al gezegd en gedaan is, dan is een stevig en opvallend middel wel geoorloofd lijkt mij. Het aan de kaak stellen van misstanden, het de politiek confronteren met tekortkomingen en fouten: dat is wel een taak van de pers. En dat hoeft echt niet perse met alleen geschreven artikelen of een documentaire op televisie, alle middelen zijn natuurlijk mogelijk om je mening te uiten.
Dat wil natuurlijk niet zeggen dat iedere deepfake met Rutte erin, of iedere deepfake waarin een politicus een controversieel (of tegengesteld) standpunt inneemt, automatisch legaal is. Die belangenafweging uit de wet moet je elke keer opnieuw maken, en er is geen algemene lijn.
Het Openbaar Ministerie heeft twee kanalen van complotdenkers op chatapp Telegram laten blokkeren, las ik bij de NOS. Daar werden onder andere complottheorieën gedeeld over satanisch-rituele kindermoorden, door de blokkade kunnen er geen nieuwe berichten worden geplaatst. Het is voor zover bekend voor het eerst dat justitie met succes Telegram-groepen heeft laten blokkeren. En dat riep vragen op bij lezers, want hoezo is er dan geen gerechtelijk bevel nodig eerst?
Om daarmee maar gelijk te beginnen: nee, in Nederland is geen gerechtelijk bevel nodig voor het blokkeren van zo’n online kanaal. Het Wetboek van Strafrecht (art. 54a) bepaalt namelijk dat
Een tussenpersoon die een communicatiedienst verleent bestaande in de doorgifte of opslag van gegevens die van een ander afkomstig zijn, wordt bij een strafbaar feit dat met gebruikmaking van die dienst wordt begaan als zodanig niet vervolgd indien hij voldoet aan een bevel als bedoeld in artikel 125p van het Wetboek van Strafvordering.
En dat artikel 125p bepaalt dan weer dat de officier van justitie (bij verdenking van ernstige misdrijven) mag bevelen dat een tussenpersoon informatie tegenhoudt of offline haalt. Wel is dan een machtiging van de rechter-commissaris nodig, en de wet bepaalt dat deze de aanbieder van het kanaal moet horen als dat relevant is.
Dit is een behoorlijke verbetering ten opzichte van het ‘oude’ artikel 54a, dat eigenlijk niet meer bepaalde dan dat de officier zo’n bevel kon geven op machtiging van de rechter-commissaris (zie de discussie over het meervoud daarvan).
De directe aanleiding in dit geval betreft zo te lezen het ernstig soort misdrijven waarbij deze bevoegdheid inderdaad mogelijk is:
Afgelopen week werd er aangekondigd dat op een nieuw kanaal video’s zouden worden geplaatst met bedreigende, opruiende en lasterlijke inhoud. Daarop heeft het OM besloten om maatregelen te nemen. De rechter oordeelde eerder al dat die video’s verboden inhoud bevatten en niet meer online mogen komen. Ook stond er op de nu geblokkeerde kanalen oudere content die strafbaar en bedreigend is.
Voor mij is vooral opmerkelijk dat Telegram kennelijk snel meewerkte. In andere landen kent niet iedereen de constructie van een district attorney die bevelen mag geven tot blokkade van informatie.
De researcher die een ernstige bug bij messaging dienst Telegram meldde, heeft afstand gedaan van de $1000 beloning omdat er geheimhouding aan gekoppeld was, las ik bij Ars Technica. Als verantwoordelijk security-onderzoeker had Dmitrii (geen achternaam) deze netjes gemeld. Telegram moedigt dat ook aan, en je kunt zelfs een bug bounty krijgen. Maar het was nog moeilijk genoeg om de aandacht te krijgen, en toen die kwam, zat er een NDA aan vast. Daar hoef je geen genoegen mee te nemen als onderzoeker.
De bug betrof de zogenaamd zelfvernietigende afbeeldingen: deze bleven per abuis in de cache op telefoons staan, ook nadat gemeld was dat deze berichten verwijderd waren. Iets om te melden natuurlijk, maar makkelijk ging dat niet:
But for a simple bug like this, it wasn’t easy to get Telegram’s attention, Dmitrii explained. The researcher contacted Telegram in early March. And after a series of emails and text correspondence between the researcher and Telegram spanning months, the company reached out to Dmitrii in September, finally confirming the existence of the bug and collaborating with the researcher during beta testing. For his efforts, Dmitrii was offered a €1,000 ($1,159) bug bounty reward.
Voor die beloning moest Dmitrii wel een contract tekenen (van acht pagina’s), waarin een eeuwigdurende geheimhoudingsclausule opgenomen was. Wie in het goede gelooft, zal denken dat Telegram een foutje maakte: dit contract was namelijk een standaard consultancy agreement, waarmee Dmitrii als zzp’er zou werken aan het melden van de bug zeg maar. Niet raar om daarin geheimhouding op te nemen, maar wél raar om dat contract als basis te gebruiken voor het afhandelen van een melding.
Wie niet in het goede gelooft, zal concluderen dat Telegram Dmitrii de mond wilde snoeren met een wurgcontract. (Excuses, mijn metaforen botsen soms.) Ik geloof zelf altijd meer in incompetentie: de persoon die de tip van Dmitrii kreeg, had geen idee waar het over ging en pakte toen maar het best passende contract, iemand wil wat voor ons doen en mijn baas zegt dat dat mag, dan is deze persoon dus een ingehuurde consultant.
De les voor de meelezende security researchers, ethical hackers en ander goedwillend volk: je hoeft zulke dingen niet te tekenen, ongeacht wat een bedrijf zegt. Als je ongevraagd een fout opspoort, dan is melden je goed recht maar zeker niet je plicht. Meteen naar buiten met de bug mag ook, het is vooral dat het nétjes is om even zestig dagen te wachten voordat je dat doet zodat de impact bij het bedrijf redelijkerwijs wat gedempt wordt. Natuurlijk zijn hier allemaal weer uitzonderingen op, maar geen van die komen neer op “je hebt toestemming van het bedrijf nodig om te publiceren wat er mis ging”.
Een bedrijf kan op zich een beloning koppelen aan een eeuwigdurende geheimhouding, dat dan weer wel. Want omgekeerd zijn zij niet verplicht om mensen te betalen die ongevraagd bugs komen melden. De enige echte uitzondering daarop zou zijn als er een bug bounty programma is gepubliceerd waarin staat dat je na x dagen mag publiceren, en je dan zo’n eeuwige NDA opgelegd krijgt.
LinkedIn moet het verwijderde profiel van Tweede Kamerlid Wybren van Haga van de rechter binnen drie werkdagen terugplaatsen, meldde de NOS gisteren. Negen specifieke verwijderde berichten hoeven niet te worden teruggezet, en Linkedin hoeft haar handelen niet te rectificeren. Het is voor zover ik weet de eerste keer dat een sociaal medium door de Nederlandse rechter wordt gecorrigeerd bij een accountverwijdering.
Het account van Van Haga werd verwijderd, nadat hij het sterftepercentage van corona volgens LinkedIn had gebagatelliseerd en had gezegd dat mondkapjes niet werken. Dergelijke uitspraken doen denken aan de diverse rechtszaken tegen Youtube, waarbij juist werd bepaald dat zo’n kanaal wél mensen mag weren op grond van haar beleid. Ook als dat tot eenzijdige beeldvorming zou leiden.
Uit het Linkedin-vonnis blijkt een cruciaal verschil: het sociale-medium-met-stropdas had niet of nauwelijks beleid geformuleerd over wanneer accounts worden opgeheven, maar was zo te lezen gebleven bij “ons café, daar is de deur als wij dat zeggen”:
Anders dan andere grote platforms inmiddels hebben gedaan, heeft LinkedIn haar beleid op dit gebied nauwelijks uitgeschreven. Zij heeft volstaan met de enkele mededeling in haar Beleidslijn dat een gebruiker ‘geen content mag delen die volledig ingaat tegen richtlijnen van toonaangevende, wereldwijde gezondheidsorganisaties en overheidsinstellingen voor volksgezondheid’. Die mededeling is weinig informatief. Zij maakt niet duidelijk waar volgens LinkedIn de grens loopt tussen berichten die volledig in strijd zijn met die richtlijnen en berichten die kritische kanttekeningen plaatsen bij die richtlijnen.
Dat je als zakelijk netwerk niet gewend bent aan onzakelijke berichten zoals die van Van Haga, is dan geen excuus. Als iets zó maatschappelijk relevant is en iedereen erover praat, dan heb je als grote professionele partij maar snel beleid te maken voordat je gaat handhaven.
Opmerkelijk is dat de rechter alvast aansluiting zoekt bij de Digital Services Act, een voorstelde Europese Verordening voor regulering van sociale media zoals Linkedin. Dat mag, want je kunt zo’n voorstel zien als hoe de regelgevende wind staat en dat gebruiken om open normen als redelijkheid en billijkheid mee in te vullen. Een van die aankomende regels is dat je mensen uitlegt waarom je een bericht of account weghaalt. En dat ging hier mis:
Die zorgvuldigheid houdt in ieder geval in dat bij iedere verwijdering notificatie aan de gebruiker plaatsvindt, waarbij, afhankelijk van de inhoud van het bericht, ernaar moet worden gestreefd de verwijdering zodanig te motiveren dat de gebruiker uit de beslissing lering kan trekken.
Ook lijkt het erop dat men na de opheffing van een tijdelijke schorsing het een tijdje heeft aangezien met nieuwe berichten die zogezegd tegen de regels zouden zijn, om dan te kunnen zeggen “nu is het genoeg, wegwezen”. Maar ook dat is niet redelijk. Je kunt natuurlijk zeggen “bij tien kleine overtredingen ben je af” maar daarmee mag je niet individuele kleine overtredingen bewust negeren tot je er tien hebt, zodat je van iemand af kunt.
De voorzieningenrechter is wel van oordeel dat “LinkedIn op goede gronden betoogt dat [Kamerlid] ’s misinformatie past in het standaard patroon van Covid-19 gerelateerde misinformatie en als zodanig schadelijk is.” Daarom hoeven de specifieke berichten die apart verwijderd waren, niet te worden teruggezet.
Het journalistieke platform De Correspondent heeft vandaag een deepfake-filmpje van demissionair premier Mark Rutte geplaatst, 
LinkedIn moet het verwijderde profiel van Tweede Kamerlid Wybren van Haga van de rechter binnen drie werkdagen terugplaatsen,