Categorie: Uitingsvrijheid

About Uitingsvrijheid

Subscribe Feeds

Wat is er aan de hand met de nieuwe merkenregels van programmeertaal Rust?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, Uitingsvrijheid, 2 reacties

De nieuwe trademark-regels van het open source Rust project doen nogal wat stof opwaaien, las ik bij DevClass. Rust is een relatief populaire programmeertaal, die problemen met andere talen oplost. De taal wordt vanuit de opensourcegedachte aangeboden inclusief alle benodigde tooling, en in 2020 werd een stichting opgericht waarbij de naam als merk werd vastgelegd. De nieuwe voorgestelde regels over merkgebruik maken nogal wat los. Wat is hier aan de hand?

Zoals vrijwel iedere opensourceorganisatie heeft ook Rust een merkbeleid. Daar staat weinig controversieels in. De kern van zulk beleid is altijd een balans tussen enerzijds mensen de naam laten gebruiken (de software is immers open source) en anderzijds grip krijgen op ongewenst gebruik. Dat gaat met name over commercieel misbruik, zoals bij conferenties die zich al te officieel voordoen of herverpakte software die onder de merknaam wordt verkocht waarbij de naleving van de licentie hooguit een vage wens is, zal ik maar zeggen.

Het nieuwe beleid leek vooral bedoeld om wat puntjes op de i te zetten. Maar het gaf enorme heisa, onder meer vanuit de eerste ontwikkelaar Graydon Hoare die erover zegt:

Announcing “common practice in the community is now forbidden” is why everyone’s upset. If that’s not what’s intended, it needs a rewrite, because that’s what it says.
De oude policy was vrij simpel van opzet: je mag de merken en logo’s gebruiken zolang je dat maar niet zo doet dat een vluchtig oplettend iemand zou denken dat jouw ding van de Rust Foundation komt. Ook mag je geen verwarring creëren over het vrije en open karakter van de taal en de tooling, of (buiten kleinschalige events om) geld verdienen met de logo’s an sich, zoals bij merchandise. Dat is natuurlijk volledig standaard, en dat is dan ook wat graydon bedoelt met “common practice”.

De nieuwe policy bevat enkele opmerkelijke zaken, zoals artikel 4.3.1 over zelfgeschreven programma’s in die taal:

Using the Marks in the name of a tool for use in the Rust toolchain, a software program written in the Rust language [AE], or a software program compatible with Rust software, will most likely require a license. The “RS” abbreviation can be used instead.
Het is merkenrechtelijk volstrekt geen inbreuk als je bij een programma geschreven in Rust wil aangeven dat het in Rust geschreven is. Idem voor compatibiliteit, aangeven wat de aard of bestemming van de waar is, is al zo ongeveer sinds de uitvinding van het merkenrecht een toegestane handeling. Ik snap dus werkelijk niet wat hier de bedoeling van moet zijn geweest.

Ook over gebruik van het grafische logo staan er nieuwe regels, die neerkomen op “je mag niets veranderen behalve de grootte of het zwartwit maken”. Het is toch ook vrij gebruikelijk dat logo’s worden bijgekleurd in de huisstijl van een event of website. Dat zou niet automatisch een probleem moeten zijn. En natuurlijk kun je dan zeggen, laat die mensen gewoon even snel toestemming vragen. Maar dat is nogal een hindernis, ik ken geen bedrijf of stichting waar je snel even een merkenrechtelijke toestemming kunt vragen en dan een eenduiding antwoord in de mail zou krijgen. Dus dat zal mensen zeker hinderen.

Het kan wel, want er staat “contact us” bij – ik citeer even het voorbeeld van conferenties:

Events and conferences are a valuable opportunity to grow your network and learning. Please contact us at ‘Where to go for further information’ below if you would like to hold an event using the Marks in the event name. We will consider requests to use the Marks on a case by case basis, but at a minimum, would expect events and conferences using the Marks to be non-profit-making, focused on discussion of, and education on, Rust software, prohibit the carrying of firearms, comply with local health regulations, and have a robust Code of Conduct.
Het is voor mij de eerste keer in m’n leven dat ik merkbeleid lees dat als voorwaarde voor een licentie eist dat de ontvangende organisatie het dragen van vuurwapens verbiedt. Maar ik snap het wel: diverse Amerikaanse staten hebben tegenwoordig regels waarmee je zonder wapenvergunning met een (vaak ook nog verborgen) vuurwapen mag rondlopen. En er zijn ook genoeg mensen die er een punt van willen maken en met een zeer zichtbaar wapen naar zo’n conferentie gaan. Dat verbieden is dan de standaardmanier om een veilige omgeving te creëren. Dit in aansluiting op de Code of Conduct, een verwijzing naar typische regels bij conferenties die lastigvallen, beledigende opmerkingen over bijzondere persoonsgegevens, stiekem fotograferen en dergelijke aan banden leggen. Allebei deze onderwerpen zijn controversieel bij conferenties in de VS, dus een deel van de discussie gaat dan meteen over het al dan niet ‘woke’ karakter van het merkbeleid.

Bij DevClass verzekert het Rust-stichtingsbestuur iedereen dat er echt niets aan de hand is en men teleurgesteld is in sommige reacties:

The goal of the Trademark Policy consultation phase is to involve interested members of the public so we can surface actionable comments, questions, and suggestions and apply them to the next draft. To do this effectively, we needed to set up a system to gather feedback from the Rust Project and community in an organized fashion, hence the form. We were disheartened to see misinterpretations of this intention.
Men kondigt wel aan om direct na sluiting van de consultatieronde al feedback te geven, wat een positief signaal moet zijn. Ik ben benieuwd!

Arnoud

Rechter: xHamster moet porno die zonder toestemming is geüpload verwijderen

Geplaatst op in Ondernemingsvrijheid, Privacy, Uitingsvrijheid, 40 reacties

Pornosite xHamster moet pornobeelden die zonder toestemming van de herkenbare, gefilmde mensen zijn geüpload, verwijderen. Dat las ik bij Tweakers. De rechtbank Amsterdam beveelt de site op straffe van een dwangsom (30k per film) alle beeldmateriaal met personen die in Nederland woonachtig zijn, offline te halen wanneer er geen aantoonbare toestemming. De zaak is in lijn met een eerdere uitspraak uit 2022, waarbij dezelfde stichting als eiser optrad.

De site xHamster is een user generated content site, waarbij geregistreerde gebruikers (porno)videos mogen uploaden en delen in de advertentie-opbrengsten bij hun materiaal. Uiteraard staat in de voorwaarden dat er toestemming moet zijn van alle acteurs, en men spreekt van “zero tolerance” naar overtreders. Toch bleek de Nederlandse stichting Expertisebureau Online Kindermisbruik (EOKM) diverse voorbeelden te kunnen vinden van beeld dat zonder toestemming is gemaakt, net zoals in die zaak uit 2022.

De voorbeelden werden direct weggehaald, inclusief nog 3 uit 4 nadere voorbeelden – bij dat vierde was wél een toestemmingsformulier aanwezig. Dat wijst niet direct op een adequaat moderatiebeleid, maar hooguit op een efficiënt piepsysteem. En dat is natuurlijk niet hoe het hoort. Ook niet bij xHamster, want die moesten al in 2021 van hun creditcardmaatschappijen nadere regels treffen. (Idem voor collega Pornhub.) Dat was op papier goed geregeld: je moet je met een identiteitsbewijs aanmelden, en van elke performer ook een ID en een toestemmingsformulier inleveren. De dienst “is dan ook verbaasd dat EOKM juist haar dagvaardt”, aldus het vonnis.

Een bijkomend verweer was dat de site op Cyprus gevestigd is, en zich dus niet direct op Nederland richt. Weliswaar is er een Nederlandse subdomeinnaam, een Nederlandstalige interface en zijn er Nederlandse filmpjes, maar die zijn niet perse echt in Nederland gefilmd en alle Nederlandse teksten zijn via machinevertaling gegenereerd. Daar gaat de rechter niet in mee: mede door de (automatische) vertaling zijn de filmpjes duidelijk voor het Nederlandse publiek bedoeld.

XHamster gaat vervolgens keihard onderuit: zij had ook na die beleidswijziging in 2021 en na het vonnis uit 2022 niets gedaan met bestaande content, de nieuwe regels golden alleen voor nieuwe content. De site staat dus nog steeds vol met video’s waarbij de toestemming niet adequaat is geregeld. Het is echt de bedoeling dat je na zo’n vergaande uitspraak teruggaat en je héle site aanpast aan de nieuwe regels.

Ook het verweer dat men slechts een UGC site is die niet aansprakelijk is, is de rechter snel klaar:

Geoordeeld wordt dat [xHamster-eigenaar] Hammy Media niet voldoet aan het vereiste van een neutrale dienstverlener, wiens rol beperkt blijft tot louter technische, automatische en passieve handelingen. Filmpjes worden voorafgaand aan publicatie gecontroleerd (in de eigen woorden van Hammy Media: “strictly moderated”). Hammy Media kijkt daarbij naar de inhoud van de filmpjes. Het is dus niet de uploader die bepaalt welke filmpjes op xhamster.com zijn te zien. Hammy Media is geen neutrale tussenpersoon en zij is zelf verantwoordelijk voor wat er op haar website openbaar wordt gemaakt. Het hebben van een Notice and Takedown procedure is niet voldoende. Dit voorkomt niet dat onrechtmatig materiaal wordt geplaatst, hooguit dat het (snel) wordt verwijderd na een melding.
Als je iedere video inhoudelijk controleert, op het grondige niveau dat hier geschetst is, dan kun je daarna moeilijk zeggen dat je van niets meer weet. Het doet denken aan de al wat oudere 123video-zaak uit 2012, waar de rechter het controleren en in de juiste categorie plaatsen een vorm van inhoudelijke bemoeienis vond. Ik blijf dit een lastig spanningsveld vinden. In de aankomende Digital Services Act is hier iets meer ademruimte voor de hoster trouwens (art. 7):
Aanbieders van tussenhandeldiensten worden niet geacht te zijn uitgesloten van de in de artikelen 4, 5 en 6 bedoelde aansprakelijkheidsvrijstellingen louter omdat zij te goeder trouw en zorgvuldig vrijwillige onderzoeken op eigen initiatief uitvoeren naar of andere maatregelen nemen die zijn gericht op het opsporen, identificeren en verwijderen van, of het uitschakelen van de toegang tot illegale inhoud, of omdat zij de nodige maatregelen nemen voor de naleving van de vereisten van het Unierecht en het met het Unierecht in overeenstemming zijnde nationale recht, waaronder de in deze verordening uiteengezette vereisten.
Voor xHamster zit er nu niets anders op dan alle video’s nogmaals te gaan beoordelen en alsnog toestemmingsformulieren te gaan halen. Ze krijgt daarvoor drie weken. Vanaf daarna mag de stichting individuele video’s aanwijzen die zonder toestemming zouden zijn geplaatst. De site krijgt dan drie werkdagen om hetzij te bewijzen dat er toestemming is, hetzij de video te verwijderen, hetzij aan te tonen dat geen van de performers in Nederland woonachtig is.

Arnoud

 

Wanneer kun je ChatGPT uitvoer als smaad benoemen?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 41 reacties
AlexandraKoch / Pixabay

Je zult klokkenluider zijn in  een wereldwijd omkopingschandaal en dan teruglezen dat jij een van de hoofdschuldigen was. Het overkwam de Australische burgemeester Brian Hood dankzij ChatGPT, dat deze “alternatieve feiten” uit haar statistische duim zoog. Of ook heel vervelend: rechtenprofessor Jonanthan Turley die van seksuele intimidatie werd beschuldigd, compleet met nepverwijzing naar de Washington Post. Categorie erger dan samen met Rian van Rijbroek een artikel schrijven, maar de juridische vraag blijft dezelfde: kun je bij ChatGPT uitvoer spreken van smaad, of wat zou er meer nodig zijn voordat we daar zijn?

Op Titter lees ik twijfel: als er duidelijk bij staat dat de uitvoer nep kan zijn en dat je toch vooral de feiten moet controleren, dan kun je toch nog moeilijk stellen dat hier sprake is van smaad? En zelfs als je de huidige disclaimer ietwat klein vind (ik ken zwembaden met grotere disclaimerbordjes inderdaad) dan nog, het is al zo vaak in de pers geweest dat ChatGPT feiten verzint waar je bij staat, dat je toch moeilijk nog onwetendheid kunt claimen.

Mijn juridische hoela voor dat argument, om het even formeel te zeggen. Het is en blijft een krankzinnig idee dat je eender welke dienst kunt opzetten en aankleden zoals je goed uitkomt in de reclame, en dan daaronder in de kleinst drukbare letters “Nee, bovenstaande klopt niet” zou kunnen zeggen. Niet als je een betaalde garderobe aanbiedt. Niet als je onbeperkt internet aanbiedt. En niet als je een chatbot aanbiedt die pretendeert conversaties te voeren en daarbij feitelijke informatie oplepelt. Ik geloof er dus ook niets van dat mensen “wel weten dat het een robot is” of “dat het statistische correlaties betreft”. Sorry, nee, dat zijn allemaal geen argumenten waarom mensen de informatie als, eh, gewoon-voor-de-lol-klopt-niets-van-waarom-vraag-ik-dit-eigenlijk-aan-deze-bot informatie zullen beschouwen.

Natuurlijk, als “iedereen” weet dat het nep is, dan zal er geen sprake zijn van smaad. Maar ik ben er bij lange na niet van overtuigd dat dat het geval is, ChatGPT heeft nog lang niet de mate van bekendheid die zeg Koefnoen of De Speld heeft, en dat is wel een beetje het niveau waarop je kunt zeggen “ja kom nou, dit is satire mensen”. Ja, de 350 mensen die nu deze blog lezen wel maar met excuses voor uw gewaardeerde bijdrage: u bent niet de maatman voor wat men hoort te weten.

Je kunt je dan weer wel afvragen of er sprake is van “ruchtbaarheid geven” in de zin van strafbare smaad (art. 261 Strafrecht) als je iets voorgeschoteld krijgt in de specifieke chatinterface waarmee jij met die bot chat. Dit is met name in de Engelse en Amerikaanse context een belangrijke: er moet daar sprake zijn van een publicatie aan een onbepaalde groep, aan “het publiek”. In Nederland is de lat van ‘ruchtbaarheid’ een stuk sneller gehaald. Zoals de HR het in 2015 formuleerde:

Ruchtbaarheid krijgt een gegeven als het bekend wordt binnen een bredere kring van betrekkelijk willekeurige derden, als het ter kennis van het publiek wordt gebracht. Van het kennelijke doel om ruchtbaarheid te geven kan ook al sprake zijn als de mededeling slechts aan één persoon of aan enkele personen wordt gedaan.
Het achterliggende argument heet wel ‘kruipsmaad’, ook als jij het aan één persoon doorvertelt die het weer aan een ander doorvertelt enzovoorts, kan het bij genoeg personen terechtkomen om jou reputatieschade te berokkenen. En dat kan hier ook spelen: als ChatGPT deze informatie aan één persoon oplepelt, dan zal het dat dus ook doen bij alle andere personen die vergelijkbare vragen stellen. En dát is het probleem.

Arnoud

 

Rechter: burgemeester van Utrecht mocht geen online gebiedsverbod opleggen

Geplaatst op in Regulering, Uitingsvrijheid, 5 reacties

De burgemeester van Utrecht mocht een jongen uit Zeist in 2021 niet verbieden om online een oproep te doen om in opstand te komen tegen het coronabeleid en het vuurwerkverbod. Dat las ik bij Security.nl. De rechtbank Midden-Nederland had de primeur om te oordelen over de online gebiedsverboden, en is (terecht) kritisch. Het onderwerp is al ingewikkeld genoeg zonder dat termen als “plaats” worden opgerekt naar wat we ooit cyberspees noemden.

De jongen had in november 2021 opgeroepen: “Utrecht in opstand, nee 2G & nee vuurwerkverbod! 26-11-21, 19.30, Kanaalstraat, Be there!!! Neem je matties & vuurwerk mee.” Dit is typisch een voorbeeld van “aanzetten tot openbare-ordeverstoring” waar APV’s voor gemaakt zijn en burgemeesters bevelen tegen uit kunnen delen. Om nou te zeggen dat dit strafbaar is nee, maar het idee dat een club matties met vuurwerk gaat rondlopen vrijdagavond 19.30 (vlak na een coronapersconferentie, u weet wel toen alles dicht was), ja dat neigt wel naar verstorend.

Ingrijpen dus. Alleen: de jongen stond niet op een bankje in het park te roepen, waar de politie hem zonder twijfel had kunnen oppakken voor zo’n ordeverstoring. Hij zei dit namelijk in een Telegramgroep, terwijl hij fysiek in de naburige gemeente Zeist was op dat moment. Dan komen we dus bij de online ordeverstoring, waar Almelo in december haar APV voor aanpaste. Utrecht dacht dat men het met het ‘gewone’ ordeverstoringsartikel 2:2 APV aankon:

Onverminderd het bepaalde in de artikelen 424, 426 bis en 431 van het Wetboek van Strafrecht is het verboden op of aan een openbare plaats of in een voor publiek toegankelijk gebouw, op enigerlei wijze: … de orde te verstoren; … deel te nemen aan een samenscholing … door uitdagend gedrag aanleiding te geven tot wanordelijkheden.
De Telegram-oproep was dus het “uitdagend gedrag” dat aanleiding zou geven tot wanordelijkheden, voornoemde jeugdige matties die explosief materiaal ongecontroleerd tot ontploffing brengen buiten de daartoe aangewezen tijden. De burgemeester had gesteld dat je dit zo moet lezen dat de wanordelijkheden op die openbare plaats of dat gebouw plaats zouden vinden, maar dat het uitdagend gedrag ook elders mag gebeuren. De rechtbank leest het anders:
De APV-bepaling is duidelijk bedoeld voor de situatie dat er op de openbare plaats uitdagend gedrag wordt vertoond dat aanleiding geeft tot wanordelijkheden. Dit blijkt in de eerste plaats uit de tekst van artikel 2:2, eerste lid, onder g, van de APV zelf. Er staat namelijk dat het verboden is op of aan een openbare plaats op enigerlei wijze door gedrag aanleiding te geven tot wanordelijkheden. In de tweede plaats volgt uit de toelichting op het artikel ook niet dat het gedrag digitaal zou kunnen plaatsvinden. De bewoording ‘op enigerlei wijze’ in het artikel doet daar niet aan af, aangezien het gaat om gedrag op of aan een openbare plaats dat op enigerlei wijze kan worden geuit.
Alleen al daarom is het gedrag van de jongen niet aan te pakken met dit 2:2 APV. Maar de rechtbank gaat verder, stel dat er wél iets van “of via een elektronisch communicatiemiddel” of “op social media” in de APV had gestaan. Had het dan wel gemogen? Nee:
Als de uitleg van de burgemeester van artikel 2:2, eerste lid, onder g, van de APV vervolgens zou worden gevolgd, is er dus sprake van een verbodsbepaling in de APV om op social media uitdagende uitlatingen te doen die aanleiding geven tot wanordelijkheden. Dit is niet toegestaan, want in een gemeentelijke verordening mag de inhoud van uitlatingen niet aan banden worden gelegd. Het is een lokale regelgever (in dit geval de gemeenteraad) namelijk niet toegestaan om grondrechten te beperken wanneer een dergelijke beperking niet kan worden teruggevoerd op een wet in formele zin.
De vrijheid van meningsuiting (oproepen tot wanordelijkheden is óók een mening) staat in de Grondwet, en mag alleen worden beperkt als het parlement daar een wet (“wet in formele zin”) over aanneemt. Denk aan de strafwet over smaad, of de AVG over meningen met andermans persoonsgegevens. De APV is geen wet in formele zin, en mag dus niet over de inhoud gaan. Een APV mag wel “na 22:00 lawaai maken” verbieden, en hard je mening roepen is dan aan te pakken, maar dat is dan vanwege het volume en niet vanwege de inhoud.

Hoe had dit nu uitgepakt onder de Almelose APV? Die verbiedt immers:

Het is verboden om via digitale middelen, onder andere via internet, virtuele ruimtes en sociale media, uitingen te doen, te delen en/of in stand te laten, die kunnen leiden tot een fysieke verstoring van de openbare orde binnen het grondgebied van de gemeente Almelo, dan wel voor het ontstaan van een ernstige vrees daarvoor.
Aan de letter van dit verbod is mutatis mutandis (zoals juristen zeggen, techneuten zeggen s/Almelo/Utrecht/) wel voldaan. Maar je komt meteen bij hetzelfde probleem uit: dit verbod verbiedt het doen van uitingen, oftewel het geven van meningen. Hoewel het iets subtieler is geformuleerd: niet “uitdagende uitingen” (wat iets zegt over hun inhoud/karakter) maar “uitingen die leiden verstoring”, dus het gevolg. Dat mag je in de fysieke wereld ook reguleren, dus waarom niet online?

Eind januari kwamen er antwoord op Kamervragen over het Almelose online verbod, met daarin deze nadere nuancering:

Er is daarmee pas aanleiding om op te treden wanneer er sprake is van een verstoring (of een ernstige vrees daarvoor) van de openbare orde binnen de gemeente Almelo. Overigens is het opleggen van bestuurlijke maatregelen wegens het verstoren van de openbare orde aan personen die niet woonachtig zijn in de betreffende gemeente niet ongebruikelijk.
Dat lijkt er dus op dat de rechter het Almelose verbod wél in stand zou houden bij een vergelijkbare casus.

Arnoud

Mag je gelekte software doorspitten om te zien of deze tegen jou gebruikt is?

Geplaatst op in Security, Uitingsvrijheid, 2 reacties

Activistische hackers hebben 1,8 terabyte aan software en broncode online gezet van het Israëlische spionagebedrijf Cellebrite. Dat meldde Tweakers vorige week. Onder meer ons NFI gebruikt deze software om mobiele telefoons te kraken, bijvoorbeeld in een strafrechtelijk onderzoek. De discussie in de comments focuste op een interessante vraag: mag je in deze publicatie snuffelen als je vermoedt dat deze software ook tegen jou gebruikt zou (kunnen) zijn?

Hoe ernstig het lek is, is nog wel de vraag. Reageerder Eltweako meldt bijvoorbeeld dat “verreweg de meeste files gewoon te downloaden van de Cellebrite portal als je hun software afneemt.”

Het grootste deel van de 1.7TB zijn de offline map packages. Die zijn bedoeld om in te laden in de Physical Analyzer als je “in het veld” aan het werk bent. Grofweg zijn er 2 tools die je gebruikt en die ook in deze leak zitten: De Physical Analyzer en UFED4PC. UFED4PC is de tool die je gebruikt voor het uitlezen van mobiele apparaten, en is gelijk aan de software die op hun hardware draait.
De software is vrij breed beschikbaar onder vakgenoten, er zitten geen spectaculaire 0day inbraaktools tussen. Dat is relevant, want de zorg over of je erin mag kijken komt vanwege het recente wetsartikel tegen helen van gegevens, artikel 139g Wetboek van Strafrecht, dat het verwerven, hebben of verspreiden van “niet-openbare gegevens” strafbaar stelt. Dus of het nou software is of data, persoonsgegevens of niet, je mag ze niet verspreiden – als je wist of moest weten dat de gegevens door misdrijf zijn verkregen uit de originele bron.

Er is een uitzondering in lid 2:

Niet strafbaar is degene die te goeder trouw heeft kunnen aannemen dat het algemeen belang het verwerven, voorhanden hebben, ter beschikkingstellen, bekendmaken of gebruik van de gegevens, bedoeld in het eerste lid, vereiste.
Deze uitzondering is met name bedoeld voor journalisten, die zouden willen publiceren over misstanden en daarbij deze gegevens als brongegevens nodig hadden. Stel tussen die gelekte gegevens zat ook een klantenlijst en men ziet daarop allerlei onfrisse geheime diensten in schurkenstaten, dan zou dat nieuwswaarde hebben om te publiceren en dan is het ongewenst dat het OM de nieuwsmedia kan vervolgen wegens “heling van informatie”.

De vraag die hier opdook, was echter of je zelf mag kijken of die software iets kan waardoor jou onrecht kan zijn aangedaan. Een soort van terughacken, zeg maar. Want dat is dan in jouw eigen belang, maar is dat hetzelfde als het algemeen belang, zeker als je niet publiceert? Indirect denk ik toch wel, want dat belang dat jij nastreeft is een belang voor het algemeen, het bestrijden van onrecht dat jou is aangedaan zodat je juridische stappen kunt nemen lijkt me daar wel aan te voldoen.

Arnoud

 

Hoe aansprakelijk wordt OpenAI voor de zakelijke versie van ChatGPT?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, Uitingsvrijheid, 12 reacties

OpenAI werkt aan een zakelijke, betaalde versie van zijn chatbot ChatGPT. Dat meldde Tweakers onlangs. Momenteel is de chatbot gratis maar niet voor bedrijfsdoeleinden inzetbaar (wat natuurlijk geen hond tegenhoudt om er zakelijk gebruik van te maken). Het onderscheid zal vooral zitten in beschikbaarheid, snelheid en meer berichten per minuut. Het riep wel vele vragen op, die in de comments mooi samengevat werden als “Hoe wordt er in de professionele variant rekening gehouden met data die proprietary is of waar, op zijn minst, een copyright op berust?”

Het GPT-3 taalmodel waar de chatbot mee werkt, is getraind op vele miljarden tekstvoorbeelden. Het doel is leren wat het meest logische volgende woord is – kort gezegd – op basis van een prompt en de reeds gegeven woorden. Dat is met genoeg voorbeelden prima mogelijk, zeker op het niveau van chats waarbij je een vraag moet beantwoorden. ChatGPT produceert dan ook verbluffend goede resultaten, hoewel er ook volkomen waanzinnige reacties tussen zitten die met de grootste overtuiging worden gebracht.

Die tekstvoorbeelden komen natuurlijk van internet, ‘gewoon’ met een crawler die heel internet downloadt en daar machine-leesbare chocola van maakt. De makers leggen uit dat ze meer dan een biljoen (Amerikaans trillion, 1012) woorden hebben verwerkt. Dat kan niet anders dan zonder toestemming, maar iedereen stelt dat dit onder fair use te rechtvaardigen is en weet bovendien dat het ontzettend moeilijk is aan te tonen dat specifiek iemands werk opgenomen is in de dataset, plus dat een rechtszaak om dít punt uit te vechten veel te duur is voor iedere individuele rechthebbende. Uitgesloten is het niet – zie de rechtszaak over CoPilot, waarbij software-eigenaren wel degelijk zagen hoe deze AI-tool herkenbare fragmenten uit hun werk reproduceerde als “AI-generated”.

In de VS zou er misschien nog een lichtpuntje zijn wanneer je aannemelijk kunt maken dat jouw werk is gebruikt, omdat je dan via de zogeheten discovery procedure inzage kunt krijgen in documentatie rondom de bronbestanden. Dan heb je in ieder geval het feitelijke bewijs dat jouw werk is gebruikt. Vervolgens zit je nog met het juridische punt of het inbreuk is om een AI te trainen op jouw data, of dat het pas inbreuk is als de AI jouw werk reproduceert (dat laatste lijkt me evident).

In het auteursrecht geldt nu eenmaal de regel dat het bronwerk herkenbaar terug moet komen in het beweerdelijk inbreukmakende werk. Als ik iemands artikel lees en me laat inspireren tot een hoofdstuk in een boek, dan schend ik geen auteursrechten, hooguit pleeg ik academisch plagiaat. Maar als ik het artikel min of meer naschrijf, dan komt het auteursrecht wel om de hoek kijken. De academische grap is dan ook: één bron gebruiken is plagiaat, honderd bronnen gebruiken is onderzoek. En laat AI nou dus heel duidelijk die laatste kant op gaan: als honderd bronnen gebruiken mag, dan zal varen op honderd miljoen bronnen toch zeker ook wel mogen.

Het nieuwe aan de discussie is vooral dat we nu een betaalde dienst krijgen met een SLA. Afnemers daarvan zullen meer garanties gaan eisen, waaronder dus met name een vrijwaring (indemnification) tegen claims van derden. Want als ik als rechthebbende lees dat er ergens een adviesbureau komt dat een juridische chatbot heeft, dan ga ik die natuurlijk aanklagen en niet OpenAI uit San Francisco. Want ik durf de stelling wel aan dat mijn blog ergens in die dataset zit. Dat bureau heeft dan een probleem, want die is zelfstandig aansprakelijk. Dus dan moeten ze OpenAI zo ver krijgen de verdediging te gaan voeren, en dan wordt het een groot verhaal waar best wat nuttige puntjes uit te slepen zijn.

Arnoud

Almelo past APV aan voor online ordeverstoringen

Geplaatst op in Regulering, Uitingsvrijheid, 21 reacties

Burgemeester Gerritsen van Almelo kan binnenkort eisen dat een opruiend bericht op social media wordt weggehaald. Dat meldde Gemeente.nu onlangs. Hij kreeg deze bevoegdheid op grond van een aanpassing aan de Algemene Plaatselijke Verordening (apv) van de gemeente. Naast dwangmiddelen tegen de plaatser van zo’n bericht kan de gemeente ook de beheerder van websites of sociale mediaplatforms sommeren de uitingen te verwijderen. Kan dat zomaar? Ja en nee.

De problematiek van online ordeverstoringen is al vaker langsgekomen hier. De burgemeester is verantwoordelijk voor de openbare orde in de gemeente, en heeft daarvoor bijzondere bevoegdheden onder de Gemeentewet. Zo oefent hij toezicht uit op openbare evenementen, kan hij gebouwen sluiten (ook woningen) en mag hij gebieden tot risicogebied verklaren zodat de politie vergaande maatregelen mag nemen.

Oproer in de kiem smoren is daarbij een logische optie, niet verrassend dus dat de burgemeester op kan treden tegen mensen die oproepen tot ordeverstoringen of anderen daartoe aanzetten. En let wel: het is dan niet nodig dat het gaat om strafbare feiten, het gaat om ordeverstoring en dat is een lagere lat dan het strafbare feit opruiing – daarbij roep je op tot geweld. “Laten we met zijn alleen voor de deur van het gemeentehuis gaan zitten, dan kan niemand er langs” is een ordeverstoring maar niet strafbaar.

Op Twitter of Feesboek gaan roepen is natuurlijk veel effectiever dan in het park, onder meer omdat je dan mensen vanuit het hele land kunt bereiken. Dan maakt je oproep sterker, maar de aanpak is lastiger: wat nou als jij niet in de gemeente zit waar je tegen oproept? Of als je niet kunt achterhalen wie het is, wat dan. Dat wringt voor burgemeesters, die verwachten dat het kanaal waarmee de oproep wordt gedaan, niet uitmaakt als de oproep de orde verstoort.

Almelo wil dat aanpakken en regelt dat in de APV, de plek waar je als gemeente regels stelt over de openbare orde. De basisregel is simpel:

Het is verboden om via digitale middelen, onder andere via internet, virtuele ruimtes en sociale media, uitingen te doen, te delen en/of in stand te laten, die kunnen leiden tot een fysieke verstoring van de openbare orde binnen het grondgebied van de gemeente Almelo, dan wel voor het ontstaan van een ernstige vrees daarvoor.
Beheerders van dergelijke platforms en ruimtes is het eveneens verboden dergelijke berichten te laten staan en moeten op last van de burgemeester deze weghalen. Dat is simpel genoeg opgeschreven, maar is het handhaafbaar?

Een eerste praktisch punt is natuurlijk hoe de burgemeester de in Almelo geldende regels kan handhaven als iemand in het aangrenzende Wierden via Facebook opruiiende berichten verspreidt. De politie kan niet in Wierden iemand arresteren op grond van een regel uit het Almelose wetboek, immers.

Een meer fundamenteel tweede punt is dat het hier gaat om berichten, om uitingen. En dan komen we in de vrijheid van meningsuiting terecht, die in de Grondwet geregeld is en daarmee niet zomaar in een lokale wet ingeperkt kan worden. Art. 121 Gemeentewet zegt dan ook:

De bevoegdheid tot het maken van gemeentelijke verordeningen blijft ten aanzien van het onderwerp waarin door wetten, algemene maatregelen van bestuur of provinciale verordeningen is voorzien, gehandhaafd, voor zover de verordeningen met die wetten, algemene maatregelen van bestuur en provinciale verordeningen niet in strijd zijn.
De vraag is dan ook hoe een verbod op dergelijke (niet strafbare, wel tot onlusten aanzettende) berichten te rijmen is met de wettelijk vastgelegde uitingsvrijheid. Een gemeente mag bijvoorbeeld niet het roken op straat verbieden omdat de regels voor waar je mag roken al in de Tabakswet staan (art. 10 met name). Om dezelfde reden mag een gemeente geen eigen verkeersregels maken, maar alleen de regels toepassen uit de landelijke Wegenverkeerswet.

Punt is natuurlijk dat er ook weer nergens staat dat je alles mag zeggen tenzij dat strafrechtelijk verboden is. Er zijn genoeg andere wetten die uitspraken verboden kunnen maken. Dus het is niet heel hard gegeven dat een burgemeester geen uitingen kan verbieden – sterker nog, het hele punt begon met dat de burgemeester wel uitingen mag verbieden als die aanzetten tot oproer of gedoe, en vanuit dat perspectief moet het er helemaal niet toe doen of die uiting op een zeepkist, TikTok of sms-bom plaatsvond.

De discussie blijft op zeker moment hangen bij “het zou kunnen misschien wel misschien niet”. Daarom is het goed dat Almelo heeft doorgepakt, nu is er een basis waar proefprocessen over gevoerd kunnen worden. Ik moet zeggen dat ik zelf geen betere insteek had kunnen bedenken in de formulering: geen internetverbod, maar een gericht verbod op de berichten en een last tot weghalen van die berichten en niet meer.

Arnoud

Google moet zoekresultaten met overduidelijk onjuiste informatie verwijderen

Geplaatst op in Ondernemingsvrijheid, Privacy, Uitingsvrijheid, 23 reacties

Google moet zoekresultaten verwijderen als gebruikers kunnen aantonen dat de gelinkte informatie overduidelijk niet klopt. Dat las ik bij Nutech.nl. In zaak C-460/20 oordeelde het Hof van Justitie dat je je als zoekmachine niet kunt beroepen op de uitingsvrijheid als een uiting feitelijke onjuistheden bevat.

Twee directeuren van een groep investeringsmaatschappijen zagen in Google hun naam gekoppeld aan artikelen waarin kritiek werd geuit op het investeringsmodel van de groep. Dat kan, maar er leken ook fouten in die artikelen te staan. Daarop diende men klachten in om de informatie verwijderd te krijgen, maar zoals u zult verwachten gaf Google niet thuis: zij kan vanuit haar positie niet oordelen of de gelinkte berichten (op zoekopdracht op hun naam) wel of niet juist waren en kon dus niet ingrijpen.

Een bekend maar frustrerend standpunt, daarop stapte men naar de rechter. Die besloot -in hoger beroep- de zaak aan het Hof van Justitie voor te leggen, omdat hier zowel de AVG als de uitsluiting van aansprakelijkheid van informatieproviders aan de orde is.

Het Hof begint met te herhalen dat Google zelf verwerkingsverantwoordelijke is voor zoekresultaten die als persoonsgegevens gelden. Dat was al in het bekende vergeetrecht-arrest uit 2014 uitgemaakt, maar het kan geen kwaad dat ter herhalen omdat mensen nog te vaak redeneren dat Google alleen maar een vergaarbak is van andermans informatie. Google kiest zelf wat op nummer 1 staat, met haar eigen criterium van “relevantie” en neemt daarmee de verantwoordelijkheid voor de koppelingen die ze aldus legt.

Dat wil niet zeggen dat Google dus automatisch aansprakelijk is voor alle fouten in de gekoppelde artikelen. Daarvoor moeten ze – zo beslist het Hof nu – eerst een beoordeling maken van de aard van die fouten. Er is hier namelijk sprake van een botsing tussen informatievrijheid en gegevensbescherming, waarbij een belangenafweging moet worden gemaakt die uitgaat van twee gelijkwaardige rechten. Maar de factor “de informatie is onjuist” weegt wel zwaar richting “weghalen”.

Waar zit je dan met de bewijslast? Iedereen kan immers wel zeggen dat berichten onjuist zijn. Als verweer daarop zie je de reflex bij nogal wat bedrijven om bij alles te zeggen “kom maar terug met een gerechtelijk bevel”, wat natuurlijk in de praktijk betekent “hoepel op”. Het Hof introduceert nu de juridische meetlat van “kennelijk onjuist” oftewel “overduidelijk onjuist”, het criterium dat we al kennen bij notice/takedown door hostingproviders. (En ja, die moeten dus ook overduidelijk onjuiste informatie van hun site halen, dat moesten ze al sinds 2000.)

Maar hoe bewijs je “kennelijk onjuist”?

Om te vermijden dat deze persoon een buitensporige last krijgt opgelegd die het nuttig effect van het recht op verwijdering van links kan ondermijnen, hoeft hij alleen bewijzen aan te leveren als, gelet op de omstandigheden van het geval, redelijkerwijs van hem kan worden verlangd dat hij ze opzoekt om die kennelijke onjuistheid aan te tonen.
Het gaat om een hoge lat, “overduidelijk” is niet iets dat je aantoont met een steekwagentje met dossierstukken. Sterker nog, als je meer dan een halve a4 nodig hebt dan is het volgens mij per definitie niet overduidelijk, maar ik zit er altijd vrij cynisch in.

Het is gelukkig ook weer niet zo dat je een hele discussie aan moet gaan met Google over hoe het dan wel precies zit:

Bij de behandeling van een dergelijk verzoek kan de exploitant van de betrokken zoekmachine er dus niet toe worden verplicht om de feiten te onderzoeken en daartoe een contradictoire dialoog met de aanbieder van inhoud aan te gaan teneinde ontbrekende gegevens te verkrijgen over de juistheid van de gelinkte inhoud.
Voor mij lijkt dit evenzo vanzelfsprekend: als er van alles nader onderzocht moet worden, dan is het niet bepaald overduidelijk. Even klikken of de gelinkte bronnen vermelden wat wordt geclaimd zou al de grens moeten zijn, heel misschien nog nagaan wat het voor bronnen zijn, maar je hoeft als zoekmachine zeker niet na te zoeken of er tegen-bronnen zijn die wat anders beweren.

Natuurlijk blijven er dan nog genoeg gevallen over van onjuiste informatie die in Google terechtkomt als je zoekt op een persoon. Maar voor die restcategorie zal je dan echt eerst naar de rechter moeten (dus de website dagen) om aan te tonen dat de informatie onjuist is, en pas daarna naar de zoekmachine zelf.

Arnoud

 

Nederlandse overheid overweegt te stoppen met pagina’s op Facebook

Geplaatst op in Privacy, Uitingsvrijheid, 12 reacties

De Nederlandse overheid overweegt zijn pagina’s op Facebook te sluiten, las ik bij Tweakers. In een Kamerbrief meldt staatssecretaris Alexandra van Huffelen dit als conclusie van een dpia van de datapraktijken van moederbedrijf Meta, die zeven grote risico’s liet zien op het gebied van transparantie en controleverlies. Een goede zaak dat dit eindelijk op de politieke agenda staat, voor mij is vooral de vraag waarom het zo lang moest duren.

De Kamerbrief legt uit dat recent in Duitsland overheden wederom zijn gevraagd hun Facebookpagina’s te sluiten, omdat zij juridisch mede verantwoordelijk zijn voor wat er op die pagina’s gebeurt met data van bezoekers. Naar aanleiding daarvan heeft zij onderzoek laten uitvoeren, een data protection impact assessment: 

In de DPIA worden 7 hoge risico’s en 1 laag risico gevonden voor de gegevensverwerking. Volgens het onderzoek informeert Facebook niet duidelijk wat ze met de gegevens van burgers op overheidspagina’s doet, en hoe ze bepaalt welke berichten bezoekers in hun nieuwsoverzicht zien. Het onderzoek concludeert ook dat Facebook volgcookies op een misleidende (“Facebook makes deceptive use of tracking cookies”) manier gebruikt. Gegevens over het gedrag van de paginabezoekers worden verzameld, zonder dat voldoende inzage wordt gegeven in de logica van het gebruik van die gegevens om gepersonaliseerde berichten, aanbevolen andere content en advertenties te tonen. Ook zijn er zorgen over de doorgifte van persoonsgegevens aan derde landen en derde partijen.
De vaste lezer van deze blog zal weinig niets halen uit bovenstaande alinea, behalve misschien dat dit óók bij specifieke Facebookpagina’s van overheidsinstanties gebeurt. En tot voor vrij kort geleden kon je als instantie nog doen alsof dit niet jouw probleem was, maar in 2018 bepaalde het Hof van Justitie dat je als beheerder van een Facebookpagina mede-verwerkingsverantwoordelijke bent voor alles dat onder water gebeurt bij bezoek aan die pagina. Dat volgt uit de systematiek van de AVG.

Uit mijn blog van toen:

De belangrijkste implicatie van het arrest is dat je als persoon kunt eisen dat gegevens van jou worden verwijderd bij zo’n fanpagina, en dat de beheerder zich niet mag verschuilen achter Facebook. Je moet dus echt zelf aan de bak en ook zelf aangeven welke gegevens je verzamelt en wat je daarmee doet.

Maar pijnlijke bijkomstigheid is dat je dus óók (mede-) aansprakelijk bent voor datalekken, slechte beveiliging en andere fouten die je zakenpartner Facebook vergaart. Oké, dat mag je wettelijk gezien op haar verhalen maar dat is natuurlijk niet helemaal realistisch.

De overheid is nu in gesprek met Facebook met als doel álle pijnpunten weg te doen nemen. Leuk, maar persoonlijk zie ik dat niet snel gebeuren. De daarop volgende stap zou dan moeten zijn dat de overheid weggaat van Facebook. Daarop kwam op vele plekken de reactie, waarom zit de overheid op Facebook als zij zelf al websites te over heeft?

De reden daarvoor is vrij simpel: de overheid wil zo veel mogelijk mensen bereiken, en er is nu eenmaal een significante groep mensen die niet op Rijksoverheid.nl kijkt voor nieuws vanuit de overheid, maar alleen dergelijke informatie via de social media tot zich neemt. Die groep bereik je dus alleen met een Facebookpagina zeg maar, en daarom is die pagina er. Vanuit dat perspectief is het dus niet zo simpel als je zou denken om die informatievoorziening ook weer te stoppen.

Arnoud

Geldt een OSS licentie ook voor de data in de repository?

Geplaatst op in Intellectuele rechten, Uitingsvrijheid, 5 reacties

Een lezer tipte me over een interessante discussie bij het ChirpStack project. Een project waar men gebruik van maakte, The Things Network’s Device Repository, bleek niet meer importeerbaar, waarbij men zich beriep op databankrechten voor die data en tevens aangaf dat de opensourcelicentie op hun software niet zou gelden voor deze data. Toevallig was de licentie ook net een uur eerder weggehaald, wat erg raar aandoet. Wat is hier aan de hand?

Die repository is deel van The Things Network, “a global collaborative Internet of Things ecosystem that creates networks, devices and solutions using LoRaWAN®.” Dat laatste is dan weer een netwerkarchitectuur, maar daar hoeft het verder niet over te gaan. De kern is dat TTN een device repository heeft, een databank met belangrijke technische informatie over apparaten die op dit IoT-ecosysteem aan te sluiten zijn. En omdat er fors wat inspanning is gaan zitten in die repository, en The Things Industries (dat daarachter zit) een Nederlands bedrijf is dat het financiële risico draagt voor al die inspanningen, kan zij daar een databankrecht op claimen.

ChirpStack biedt net als TTN een open-source LoRaWAN Network Server aan. Inlezen van die repository is dan erg handig, maar dat maakte TTN recent onmogelijk onder verwijzing naar twee argumenten. Allereerst zou haar databankrecht worden geschonden, en ten tweede ging het importeren uit van een technische structuur die binnenkort zou veranderen, dus het zou alleen maar onhandig zijn voor de toekomst om dit te laten staan.

De beheerder van ChirpStack snapte van dat eerste niets: hij haalde de informatie uit het project op Github dat TTN zelf actief heeft. Daar stond (tot voor kort) een Apache licentie boven, een simpele OSS licentie die alles toestaat zonder copyleft-eisen of andere ingewikkelde dingen. En dan kun je wel een databankrecht hebben, maar licentie is licentie. De reactie van TTN:

There is and was no open data license on the concerning repository. We spend a lot of time and resources on the content of that database. In this instance, GitHub is a great channel to receive contributions from the device maker community and to contribute ourselves, verify, review and validate. But a GitHub repository doesn’t provide a license to reuse and extract it in its entirety. Sure, if you want to copy paste a payload codec that you are missing from the Device Repository, that is fine.
Oftewel: die licentie geldt alleen voor de software, niet voor de data. Dat vind ik raar in het algemeen. Het gebruik is dat je op sites als Github één licentie kiest, die dan voor alles geldt. (Of in ieder geval in de directory en daaronder van de plek waar je die neerzet.) Uitzonderingen kunnen, maar die documenteer je dan in de LICENSE file. Dat is hier niet gebeurd. Vroeger was er wel kritiek dat OSS licenties te specifiek op software geschreven waren, maar bij de Apache 2.0 licentie kun je dat moeilijk volhouden. De definitie van ‘werk’ is keurig generiek:
“Work” shall mean the work of authorship, whether in Source or Object form, made available under the License, as indicated by a copyright notice that is included in or attached to the work (an example is provided in the Appendix below).
Hiermee is het dus volkomen logisch dat ook databestanden als ‘work’ kunnen worden aangemerkt, zodat de rechten en plichten uit de Apache licentie gewoon gelden voor afnemers van die databestanden. Althans, als de licentie daarop van toepassing is. Want tegenover wat ik hierboven schetst, staat dat men in de README (die iedereen ook geacht wordt te lezen) een beperkte verklaring had staan:
The API is distributed under Apache License, Version 2.0. See LICENSE for more information.
De bedoeling van deze software was namelijk dat je voor een gegeven stuk hardware de informatie opvraagt, met die aangeboden API. Wat ChirpStack deed, was dus niet helemaal hun bedoeling: zij maakten een kopie van alle data zodat je niet steeds via de API deze op hoefde te vragen. Die API is er alleen nooit van gekomen, het werd ‘gewoon’ software met alle data in die repository beschikbaar. Dat maakt de term “The API” onduidelijk, als die API er niet is wat bedoelde men dan wel?

Ik denk dat je dan toch uitkomt bij “alles op deze site”, omdat dat nu eenmaal de meest voor de hand liggende interpretatie is gezien het gebruik in de softwarewereld. Bijgevolg kan TTN dus het gebruik van de data niet verbieden mits dat binnen de regels van de Apache licentie gebeurt. Daar staat dan weer tegenover dat de Apache licentie heel expliciet alleen over “copyright” en “patent” toestemming spreekt, en dus niets over databankrechten. In die lezing heb je dus nog steeds niets.

Daartegen heb ik dan alleen nog het argument dat in die situatie de genoemde licentie vrijwel geen betekenis heeft, want er is verder niets van waarde onder die licentie te krijgen en dat is raar. Als je daarbij optelt dat die licentie door Amerikaanse juristen is geschreven (waar databankrecht niet bestaat) en dus best om die reden genegeerd kan zijn, dan kom ik bij de conclusie dat deze overname gewoon mag.

Arnoud