VK wil zelfrijdende auto’s vanaf 2025 toestaan, houdt fabrikant aansprakelijk

Geplaatst op in Informatiemaatschappij, Innovatie, 30 reacties
ooceey / Pixabay

De Britse overheid heeft details van een nieuwe wet onthuld waardoor autonome voertuigen vanaf 2025 toegestaan zijn op de openbare weg in het Verenigd Koninkrijk. Dat las ik bij Tweakers. In het geval van een ongeluk wordt de fabrikant van de auto wel aansprakelijk gesteld, niet de eventuele ‘bestuurder’. Dat klinkt als een mooie stap, met natuurlijk wel de vraag hoe je dan “zelfrijdend” definieert en hoe je de aansprakelijkheid construeert.

Om maar met dat eerste te beginnen: het gaat als ik het goed begrijp om een definitie van “zelfrijdend” die ergens tussen SAE niveau 3 en 4 in zit:

Each specified ADS [Automated Driving System] feature must be able to control the vehicle so as to drive safely and legally, even if an individual is not monitoring the driving environment, the vehicle or the way that it drives. This test should apply to all ADS features, whether or not they require a user-in-charge. … Vehicles should not be authorised as self-driving if an individual is expected to respond to objects or events in the external environment (such as low impact collisions and emergency vehicles) in the absence of a transition demand.
Dit is juridisch gezien een hele mooie: iedere feature moet gewoon veilig werken, ook als er geen mens nodig is. Benieuwd hoe jullie techneuten dat gaan invullen, we horen het graag. Maar het biedt de industrie natuurlijk de meeste ruimte om daadwerkelijk aan de slag te gaan. Je kunt “veilig” immers op veel manieren invullen, inclusief dat het voertuig snel naar een gecontroleerde stop gaat als het er niet meer uit komt. Gaat er dan iets mis, dan was het product niet veilig en is de fabrikant dus aansprakelijk.

Inderdaad, men hangt het op aan het bekende begrip van productveiligheid, dat we al langer kennen. De fabrikant is aansprakelijk voor onveilige aspecten van een product, kort gezegd. Dat kan niet met een EULA of handtekening worden gepasseerd, maar je kunt je er wel tegen verzekeren. En dat is dan ook hoe het moet gaan werken. (Gaat er iets mis maar blijkt het product gewoon veilig, dan valt dat dus buiten de productaansprakelijkheid.)

Het moet daarbij gaan om een beperkte set taken, de “dynamic driving task” (DDT). Sturen, versnellen en remmen, daarbij reagerend op objecten en gebeurtenissen van buitenaf zoals overstekende passanten, gaten in de weg of verkeerslichten op rood. Dit moet het systeem autonoom kunnen. Zaken als parkeerregels uitzoeken of stoppen na een ongeluk omdat je verzekeringspapieren moet invullen valt erbuiten, dat is en blijft de verantwoordelijkheid van de mens-de-baas. Verder geldt het alleen wanneer het voertuig in overeenstemming met haar terms of use wordt gebruikt. Maar gelukkig is men daarbij wel realistisch:

We do not think that it is realistic to expect users to check detailed lists of terms of use before engaging an ADS. Instead, an ADS should not operate if it is outside its Operational Design Domain (ODD). We see this “safe by design” principle as essential to the successful introduction of AVs.
Als de auto bijvoorbeeld niet goed kan omgaan met ’s nachts rijden in stevige regen, dan moet deze dus weigeren naar autonome modus te gaan als het donker is en stevige regen wordt gedetecteerd, in plaats van gewoon te starten en in artikel 13.7 sub a lid 4 Algemene Gebruiksvoorwaarden op te merken dat zulks niet toegestaan is. Dat lijkt me een gezonde en logische stap. Natuurlijk is de fabrikant niet aansprakelijk als men die sensor gaat misleiden, bijvoorbeeld door met een lampje te schijnen op de lichtsensor of de regensensor af te plakken.

Als laatste moet er een fonds komen van waaruit schadeclaims worden betaald als een autonome auto een ongeluk veroorzaakt waarvoor de fabrikant niet aan te spreken blijkt. Dat is een slimme achtervang, die lijkt op ons Waarborgfonds Motorverkeer.

Dan krijg je natuurlijk meteen de Tesla-truc: zet de ADS één seconde voor de crash uit, zodat je kunt claimen dat het voertuig niet onder autonome besturing was ten tijde van het voorval. Ook hieraan is gedacht: je moet na een omschakeling genoeg tijd hebben om feitelijk de controle terug te winnen, want uitgangspunt is dat jij tijdens het autonoom rijden gerust wat anders moet kunnen doen. Een hard getal wil men echter niet noemen, omdat dat afhangt van de situatie (een lange snelwegrit om 3 uur ’s nachts versus een complexe navigatie door de binnenstad van Milton Keynes tijdens de ochtendspits). En het mooie is: de bewijslast ligt bij de fabrikant dat het door hen gehanteerde getal een veilige transitie gaf, in een situatie waarin na die transitie een ongeval is gebeurd.

Arnoud

Mag een site je dwingen de nieuwe voorwaarden per direct te accepteren?

Geplaatst op in Ondernemingsvrijheid, 32 reacties

Een lezer vroeg me:

Als je inlogt op accounts, zoals bijvoorbeeld bij social media, komt het zo nu en dan voor dat sites je hun nieuwe voorwaarden tonen en dan om je akkoord vragen. Ben je het niet eens met die voorwaarden dan ontbreekt echter de optie om meteen je account op te heffen. Je moet de nieuwe voorwaarden dus accepteren voor je het account weg kunt gooien. Is dat juridisch wel in de haak?
Het is op zich toegestaan dat een dienstverlener van tijd tot tijd de voorwaarden aanpast. Meestal staat dit expliciet in de voorwaarden, maar ook als het er niet staat, is het in principe mogelijk: een dienstverlener mag immers de dienst stoppen wanneer hij dat wil. Hij kan dan gewijzigde voorwaarden afdwingen door te zeggen “akkoord of ik stop met de dienstverlening”.

De wet stelt hier maar beperkte grenzen aan, met name in de vorm van onze zwarte en grijze lijst van algemene voorwaarden. Het is bijvoorbeeld niet toegestaan om de dienst wezenlijk te veranderen met zo’n wijziging van voorwaarden, dus bijvoorbeeld het omzetten van een gratis dienst naar een dure betaalde dienst kan niet op deze manier.

Er is geen specifieke regel die zegt hoe ver van tevoren de nieuwe voorwaarden moeten worden getoond voor akkoord. De enige eisen die de wet noemt, is dat ook deze in te zien zijn en te downloaden. Maar dus niet dat je bijvoorbeeld een maand moet hebben om erover na te denken.

Ik kan dus niets bedenken waarom het verboden is dat een site je bij inloggen confronteert met een dwingende mededeling “Dit zijn de nieuwe voorwaarden, klik OK om verder te gaan” zonder zelfs maar de optie om per direct op te zeggen. Hooguit de juridische noodrem van de redelijkheid en billijkheid (art. 6:248 BW), het voelt niet heel erg eerlijk om mensen zo voorwaarden op te dringen. Maar er is nog nooit een rechtszaak over geweest.

Arnoud

FIOD arresteert 29-jarige ontwikkelaar wiens software verdacht wordt van witwassen met cryptovaluta

Geplaatst op in Regulering, 23 reacties
stevepb / Pixabay

De fiscale inlichtingen- en opsporingsdienst FIOD heeft op woensdag in Amsterdam een 29-jarige man aangehouden die verdacht wordt van betrokkenheid bij het verhullen van criminele geldstromen door Tornado Cash, een cryptovalutamixingservice. Dat meldde Tweakers onlangs. Het gaf veel ophef: Tornado Cash is niet een dienst van deze man, zelfs niet een stuk software dat hij runt, maar een distributed autonomous organization oftewel een autonoom draaiende dienst waar hij zich niet actief mee bemoeit. Ben je daar wel (strafrechtelijk) aansprakelijk voor?

Tornado Cash is een zogeheten cryptomixer, een dienst waar je meerdere cryptomunten in stopt om dan andere cryptovaluta en/of eenheden terug te krijgen. Daarmee wordt het een stuk moeilijker om iemands cryptobezit terug te traceren tot de historische transacties, zeg maar zoals wanneer je ongezien al je contant geld om zou ruilen voor andere biljetten met andere serienummers. Traceer dat maar eens tot die koffer met gijzelsom van vorig jaar.

Oké, dat was een onaardig voorbeeld want zo schilder ik natuurlijk cryptomixers meteen negatief af als instrument voor criminele activiteiten: witwassen van crimineel geld, verhullen van sporen naar een misdrijf en ga zo maar door. Maar als ik heel eerlijk ben, ik heb grote moeite een legitieme toepassing hiervoor te bedenken. Want ja ik vind dan “het is een neutrale tool waarmee je je privacy beschermt” toch een tikje te generiek als verweer. Of nou ja: naïef. Zeker als ik dan lees dat “minimaal één miljard dollar” (FIOD) van de zeven miljard doorvloeiend cryptogeld vrij zeker crimineel is (14%, andere bronnen komen bij 25%). Dan verwacht je iets meer in de reactie dan obligate opmerkingen over grondrechten.

Bijzonder aan Tornado Cash is dat het niet een dienst is die deze man zelf runt. Het is opgezet als een DAO, zeg maar een softwareapplicatie die op de Ethereum blockchain draait. De ontwikkelaar heeft geen beslissende invloed op wat de software doet, hij kan deze bijvoorbeeld niet aanpassen, ook niet om bugs te fixen. Dat noemen we een “smart contract”, software die zelf beslist wat er gebeurt. In dit geval dan dat alles kan en mag, waaronder witwassen van gestolen geld door Noord-Koreaanse hackergroepen (Lazarus) en de buit van online oplichtingen. Hier botsen dan code as law en statute as law want begin augustus werd Tornado Cash op een sanctielijst gezet vanwege precies zulk witwassen.

De vraag is dan vooral hoe je zoiets kunt handhaven, want een autonoom stuk software juridisch aanpakken, dat gaat niet. Haha, denken techneuten dan, de wet verslagen met een slimme technische truc. Eh nee, denken juristen dan, dan pakken we gewoon de man achter het gordijn en dan houdt het vanzelf op. Vandaar de arrestatie. Ik geef toe: het is een interessante vraag waar jij staat als je iets maakt dat je vervolgens buiten jouw macht vrij laat opereren. Dat gebrek aan controle is een argument waarom jou de gevolgen niet te verwijten zijn.

Ik moest vanwege de vakantie denken aan de Strandbeesten van kunstenaar Theo Jansen: autonome, door de wind voorgedreven constructies die beoogd zijn om autonoom te leven op het strand. Stel zo’n Strandbeest loopt over een slapende zonne-aanbidder heen, met verwondingen tot gevolg. Zouden we dan zeggen dat het Beest aansprakelijk is, of zou de politie toch bij Jansen uitkomen als schuldige aan mishandeling?

Oh, en alvast vooraankondiging: dit soort issues leren begrijpen inclusief wat code as law nu echt betekent? Dan voorintekenen voor ons nieuwe boek!

Arnoud

Hof vindt website geen geautomatiseerd werk en spreekt verdachte vrij

Geplaatst op in Regulering, Security, 13 reacties

Een man uit Tiel die voor het inbreken op de website van een Haagse huisartsenpost werd veroordeeld tot een gevangenisstraf van twee maanden, waarvan één maand voorwaardelijk, is in hoger beroep vrijgesproken, las ik bij Security.nl. Dit omdat een website volgens het gerechtshof Den Haag niet als geautomatiseerd werk kan worden aangemerkt. Is dat een pietluttig zoeken naar spijkers op laag water of zit hier meer achter?

Eerst een organisatie hacken, en vervolgens voor veel geld aanbieden om het ‘lek’ te dichten. Dat was volgens het OM het business model van de 29-jarige man uit Tiel. Hem werd computervredebreuk ten laste gelegd, het OM kon zijn beroep op “white hat hacken” niet serieus nemen. Het was een mooie casus om eens te bepalen wat er wel en niet kan als je tegen lekken aanloopt en het je werk is die te dichten.

Die kans is gemist, want na een veroordeling in eerste instantie ging de man in hoger beroep. En daar werd hij vrijgesproken vanwege de semantische discussie dat een website geen “geautomatiseerd werk” is zoals de wet dat bedoelt, namelijk “een inrichting die bestemd is om langs elektronische weg gegevens op te slaan, te verwerken en over te dragen”. In 2013 hadden we nog een discussie over die term ‘inrichting’, dat mag best een samenstel van fysieke dingen zijn maar er moeten wel fysieke ding(en) gehackt zijn, uiteindelijk. (Ook de tegenwoordige definitie, die nog niet gold ten tijde van dit feit, vereist een of meer stukken hardware.)

In 2020 deed ditzelfde Hof ook zoiets, toen het ging om het hacken van een Facebook-account: “Een account op Facebook bestaat feitelijk slechts uit een samenstel van gegevens en heeft daarmee geen fysieke vorm. ” Het OM was daar destijds op voorbereid, door subsidiair “de server achter het account” op te nemen als voorwerp van hack, maar dat mocht dan ook weer niet:

Dat geldt eveneens ten aanzien van het tweede en derde gedachtestreepje, aangezien de webserver en/of het netwerk en/of de computer(s)(systemen) achter het Facebook-account waarop de verdachte trachtte in te loggen niet toebehoren aan [slachtoffer 2]. Het tweede en het derde gedachtestreepje uit de tenlastelegging kunnen naar het oordeel van het hof daarom evenmin wettig en overtuigend bewezen worden verklaard.
Nou weet ik dat men in het strafrecht van de precieze is, en het is inderdaad fout om te zeggen dat er bij Jansen is ingebroken als men bij een pand in eigendom Pietersen naar binnen ging. Maar ik snap in deze situatie niet welk belang het Hof probeert te beschermen. Had in die Facebook-zaak Meta als mede-slachtoffer moeten zijn opgevoerd? Dat voelt raar: als Jansen de huurder was van dat pand van Pietersen, dan is “inbreken bij Jansen” toch gewoon juist?

Een jaar later kwam de Hoge Raad met een arrest over ddos-aanvallen, die ook alleen op geautomatiseerde werken kunnen worden uitgevoerd. Daar was in de tenlastelegging alleen opgenomen dat “gegevens toegezonden naar de website “[internetsite 2]” waren, wat kennelijk genoeg was:

Het hof heeft vastgesteld dat de verdachte via de website ‘[internetsite 1]’ zestien Distributed Denial of Service-aanvallen (hierna: DDoS-aanvallen) heeft laten uitvoeren op de website ‘[internetsite 2]’, en dat de toegang tot de website ‘[internetsite 2]’ door deze aanvallen daadwerkelijk (tijdelijk) belemmerd is geweest. Op grond hiervan heeft het hof bewezenverklaard dat de verdachte de toegang tot en/of het gebruik van een geautomatiseerd werk heeft belemmerd. In het licht van de onder 2.5 en 2.6 weergegeven wetsgeschiedenis en gelet op wat hiervoor onder 2.7 is vooropgesteld, geeft dit oordeel niet blijk van een onjuiste rechtsopvatting.
De HR lijkt dus “website” zo te lezen dat “onderliggende serverhardware en netwerkinfrastructuur” er gewoon bij hoort, en heeft er geen moeite mee dat de website-eigenaar een andere entiteit is dan de eigenaar of exploitant van die hardware. Het belang van de strafbaarheid zit hem erin dat die website offline was, of hier dat de verdachte is gegaan waar hij niet mocht zijn. Niet of er een complete lijst bijgevoegd is van de eigenaren van alle componenten.

Dus nee, ik zie niet hoe het Hof in enige redelijkheid tot deze conclusie kan komen.

Arnoud

Via Airdrop verspreiden van vliegtuigcrashfoto’s in een vliegtuig, ja ik zie wel hoe ze dat bedreiging noemen juridisch gezien

Geplaatst op in Informatiemaatschappij, 9 reacties
mohamedhassan / Pixabay

De Marechaussee heeft opnieuw een vliegtuigpassagier aangehouden die via Apples AirDrop een foto van een neergestort vliegtuig met andere passagiers deelde. Dat meldde Security.nl vorige week maandag. Hetzelfde gebeurde een paar dagen eerder, in het AD is de Marechaussee streng: “we tolereren dit absoluut niet en nemen het heel serieus. Voor mensen die zo’n foto zien kan een foto van een neergestort toestel heel bedreigend overkomen.” Is dat juridisch genoeg?

AirDrop is een feature van Apple waarmee je foto’s (en andere bestanden) naar andere Apple-telefoons kunt sturen. Handig: de hele wereld kan – mits binnen Bluetooth-bereik – zo op jouw telefoon bestanden zetten. En omdat 80% van de mensen nooit een default wijzigt, en dankzij tienduizend cookiepopups overal op “ja ik wil” klikt, krijgt zo een heel vliegtuig vol ineens een vliegtuigcrashfoto voor de neus vlak voordat ze op gaan stijgen. Daar word je niet vrolijk van.

Het opsporen van de dader was niet zo heel moeilijk, zo legt het AD uit:

De man werd opgespoord met hulp van enkele medepassagiers die de foto voorbij zagen komen. Zij wilden achterhalen wie die foto had gedeeld en verspreidden vervolgens via AirDrop ook foto’s. Ze zagen de man telkens naar zijn telefoon grijpen en zo kon hij getraceerd worden.
Het incident had gevolgen: het vliegtuig vertrekt uren later, de man moest een nacht in de cel blijven en er wordt ook gegooid met vliegverboden vanuit de luchtvaartmaatschappij. Dat laatste is nog ergens begrijpelijk, maar is het ook strafbaar?

De Marechaussee (of het OM) is dit aan het onderzoeken, voor de hand ligt bedreiging (art. 285 Strafrecht). Het argument is dan dat je dreigt die foto’s werkelijkheid te laten worden voor deze vlucht, en dat is inderdaad een vorm van bedreiging. Omdat het enkel gaat om een foto zonder tekst, is natuurlijk het tegenargument “haha was een grapje” maar ik gok dat je op de Kunstacademie dan je tentamen Humor 1 nogmaals moet gaan volgen.

Interessant zou het worden als het OM eens grijpt naar artikel 162a Strafrecht, het verstoren van de dienstverlening op een luchthaven. Daar staat namelijk negen jaar cel op in plaats van een theoretische twee zoals bij bedreiging. Dat artikel is wel gebruikt bij het ‘aanlaseren’ van vliegtuigen, maar ik zie wel hoe dat iets serieuzer is dan een foto delen onder passagiers. De link met de verstoring is indirecter, met de foto maak je andere passagiers onrustig en dáár komt de verstoring dan van. Desondanks lijkt het me genoeg, althans in theorie.

Dat gezegd hebbende verwacht ik niet dat er echt serieus wat zal gebeuren. Je vlucht missen en een nacht in de cel is al afschrikwekkend genoeg in deze situatie.

Arnoud

Hoe de curator toegang kan krijgen tot een administratie in de cloud

Geplaatst op in Ondernemingsvrijheid, 10 reacties

“De curatoren hebben te maken met een grote en machtige Amerikaanse partij die elk risico dat zij mogelijk wereldwijd loopt als gevolg van de sancties, hoe klein ook, koste wat kost wil zien te vermijden en zich daarbij alleen door haar eigen belangen laat leiden.” Oh kijk, dat was een gezellige boel in Amsterdam: cloudleverancier Microsoft weigerde de curatoren van een dochter van de Russische Alfa Bank toegang te geven tot de bedrijfsadministratie, onder meer onder verwijzing naar de EU-sanctieregels tegen Russische bedrijven. Een dilemma zoals we dat vaker horen, de Nederlandse wet zou tot iets verplichten maar vanwege altijd schimmig blijvende “US law” zouden bedrijven daar dan geen gehoor aan hoeven geven.

In april ging de betreffende dochter – de Amsterdam Trade Bank – failliet, mede vanwege sanctieregels: “Leveranciers van bijvoorbeeld software konden door de strafmaatregelen niet langer zaken doen met ATB, waardoor het heel moeilijk was om nog verder te gaan met bankieren”, zo meldde het AD. Dat is op zich een begrijpelijke consequentie van sancties, maar creëert hier wel een bijzonder probleem bij de afwikkeling van datzelfde faillissement.

Je zou zeggen dat dit een klaar klontje was. De Faillissementswet zegt immers in artikel 105b letterlijk dat iedereen die administratie van een failliet heeft, die moet geven:

Derden met inbegrip van accountantsorganisaties en een externe accountant, die in de uitoefening van hun beroep of bedrijf, op welke wijze dan ook, de administratie van de gefailleerde geheel of gedeeltelijk onder zich hebben, stellen die administratie en de daartoe behorende boeken, bescheiden en andere gegevensdragers desgevraagd volledig en ongeschonden aan de curator ter beschikking, zo nodig met inbegrip van de middelen om de inhoud binnen redelijke tijd leesbaar te maken.
Microsoft weigerde echter, en dat ging zelfs zo ver dat niet eens duidelijk was welke partij eigenlijk de administratieve dienstverlening verricht. Daardoor ontstond het basale probleem van wie te dagvaarden, waarop de curatoren maar gewoon een vaste advocaat van Microsoft aanschreven. Men belandde uiteindelijk toch in de rechtszaal, en de ergernis van de rechter spat van het vonnis:
In de aanloop naar dit kort geding heeft (de advocaat van) Microsoft verstoppertje gespeeld door niet kenbaar te maken welke Microsoft-vennootschap moest worden gedagvaard en door nog niets van haar verweer prijs te willen geven.
Ook met de inhoudelijke vraag heeft de rechter weinig moeite. In de Nederlandse wet staat dat de curatoren recht hebben op de administratie, dus die moet Microsoft geven. Dat ze dan wellicht klem komt te zitten met andere wetgeving uit andere landen is haar probleem, maar geen excuus om onze wet te negeren als je in Nederland zaken wilt doen. Bovendien valt het inhoudelijk wel mee, als je die Sanctieverordening goed leest:
Evenmin is aannemelijk dat Microsoft bij het voldoen aan het gevorderde strafrechtelijke of financiële risico’s van enige betekenis loopt. Het verlenen van toegang tot de Microsoft-omgeving in het kader van een faillissement kan voorshands niet worden aangemerkt als een door de EU Sanctieverordening verboden handeling (het ter beschikking stellen van “economische middelen” die kunnen worden gebruikt om “tegoeden, goederen of diensten te verkrijgen”). Ook ten aanzien van het Amerikaanse sanctieregime geldt dat voorshands niet aannemelijk is dat het verlenen van toegang tot de Microsoft-omgeving in het kader van een faillissement strijd oplevert met de verplichting eigendommen van gesanctioneerde (rechts)personen te blokkeren en/of strijd oplevert met het verbod die eigendommen over te dragen, waarbij het nog de vraag is of gedaagde sub 3 (Microsoft Ireland Operations Limited) al dan niet (indirect) gebonden is aan het Amerikaanse sanctieregime.
Die laatste is ook een leuke in AVG-verband: de discussie over gebondenheid aan de US Cloud Act versus de Europese AVG gaat over precies hetzelfde probleem, namelijk of je gebonden bent aan beide wetten tegelijk en welke dan wint. Het antwoord is dus: mogelijk ben je aan beiden tegelijk gebonden, en je kunt dus tegenstrijdige vonnissen krijgen uit de VS en Europa en dan is dat even heel vervelend voor jou maar je gaat er wel aan voldoen:
veroordeelt gedaagde sub 3 (Microsoft Ireland Operations Limited) om al hetgeen noodzakelijk is te doen, zodat gegarandeerd is dat de Stichting Vereffening binnen 48 uur na het wijzen van dit vonnis ongehinderde toegang tot, en gebruik van, de volledige Microsoft-omgeving heeft en blijft houden, op straffe van een dwangsom van EUR 10 miljoen voor elke 24 uur na betekening van dit vonnis dat de Stichting Vereffening die ongehinderde toegang tot, of gebruik van, niet of niet volledig (meer) heeft, met een maximum van EUR 100 miljoen.
Een dwangsom van (maximaal) 100 miljoen euro is bij mijn weten in Nederland nog niet voorgekomen, en het is minstens zo opmerkelijk dat deze al na tien dagen aangetikt wordt. Dat onderstreept wel de haast die de rechtbank ziet. En terecht: 23.000 particuliere spaarders van de bank kunnen nu niet bij hun geld.

Arnoud

Mag ik een slimme deurbel ophangen als ik met vakantie ga?

Geplaatst op in Informatiemaatschappij, 14 reacties

Wie op vakantie gaat doet er verstandig aan om een “slimme deurbel” te installeren, zo adviseert de politie. Dat las ik bij Security.nl. Het is deel van een serie adviezen, waaronder ook de bekende “zet je vakantie niet op Instagram” en “laat je planten in de vensterbank”. Het is opmerkelijk, omdat we al een paar jaar discussie hebben over slimme deurbellen versus privacy. Dit soort adviezen maakt het dan niet makkelijker.

Het is mij niet helemaal duidelijk hoe dat inbrekers afschrikt, een zichtbare beveiligingscamera zou net zo goed moeten werken. (Almere mat in 2018 een daling van 0.2%, niet significant.) Hooguit dat een zeker deel van de inbrekers aanbelt voordat ze een deur of raam kraakt, want dat is de snelste manier om erachter te komen of er iemand thuis is. Maar dan moet je dus niet aan de bel komen en zeggen “sorry ik zit in Thailand”.

Het grote probleem met deurbelcamera’s is dat ze de openbare weg filmen, meestal dan. Nieuwssite VPNGids onderzocht dat 87,6 procent van de 230.000 camera’s die geregistreerd staan in de politie-databank ‘Camera in Beeld’ de openbare weg filmt. Dat mag als dat onvermijdelijk is, en daar kom je toch al snel aan met een deurbel, gezien de meeste voordeuren uitkomen op de stoep. Maar voor mij is daarbij wel essentieel dat je deurbelcamera alleen aangaat als iemand aanbelt, en niet omgetoverd wordt tot een beveiligingscamera-die-eruit-ziet-als-deurbel.

De beste beveiliging tegen inbrekers is overigens technisch/fysiek: goede sloten, ook de achterdeur, verlichting die automatisch aangaat, anti-inbraakfolie op raampjes, zulke dingen.

Arnoud PS vanwege mijn vakantie heb ik twee weken zomerstop. En nee, geen permanent actieve slimme deurbel.

 

Raad van State vernietigt AVG-boete VoetbalTV van 575.000 euro

Geplaatst op in Ondernemingsvrijheid, 5 reacties

Streamingdienst VoetbalTV van Talpa en de KNVB hoeft een boete van 575.000 euro die het van de Autoriteit Persoonsgegevens kreeg opgelegd voor het overtreden van de AVG niet te betalen, zo heeft de Raad van State geoordeeld. Dat meldde Security.nl onlangs. De hoogste bestuursrechter volgt daarmee de rechter die in 2020 hetzelfde bepaalde. Jammer voor juristen is wel dat de uitspraak puur op een formaliteit is beslist, zodat we nog steeds geen inhoudelijke discussie hebben over wat nu een “commercieel belang” is en hoe dat meeweegt in de afweging van persoonsgegevens versus persvrijheid.

Privacytoezichthouder AP was in 2018 geleden een onderzoek gestart naar het videoplatform, waarvan de bedoeling was dat men amateurvoetbalwedstrijden uit heel Nederland zou uitzenden. Maar omdat men onzekerheid voelde of dat wel mag van de AVG, kwam het niet op gang. VoetbalTV vond dat zij die beelden mocht maken zonder iedere voetballer individueel toestemming te vragen. Dat zou immers ook een onvoorstelbare administratieve ramp zijn geweest,  zeker omdat je toestemming op ieder moment kan intrekken – zeg, 30 seconden na een achterstand. VoetbalTV moest het hebben van het zogeheten gerechtvaardigd belang, waarmee je in beginsel de privacy mag passeren als je genoeg waarborgen neemt en jouw belang zo inkleedt dat het zwaarder weegt.

Alleen, wat voor belangen moet het dan om gaan? De AVG zwijgt hierover, en noemt alleen indirect een aantal zaken. Vrijheid van meningsuiting (journalistiek) is enerzijds een voorbeeld, anderzijds worden specifieke dingen als ‘bewaking’ en ‘direct marketing’ genoemd. De AP was er eens goed voor gaan zitten en kwam met een principieel standpunt:

Wat ook niet als een gerechtvaardigd belang kwalificeert, is bijvoorbeeld: het enkel dienen van zuiver commerciële belangen, winstmaximalisatie, het zonder gerechtvaardigd belang volgen van het gedrag van werknemers of het (koop)gedrag van (potentiële) klanten, etc.
Om als “gerechtvaardigd” belang te tellen, moest het belang eigenlijk gewoon tot een wettelijk recht te herleiden zijn. Vrijheid van meningsuiting dus, dat is een grondrecht dus daar kun je op gaan zitten. Vervolgens krijg je dan een belangenafweging die al dan niet pro-uitingsvrijheid kan uitvallen. Maar als je komt met “ik wil heel amateurvoetballend Nederland filmen en dat uitzenden als betaal-tv” dan is dat zuiver commercieel en dan gaan we het niet eens hébben over een belangenafweging. Bah, commercie, dat telt niet.

In 2020 gaf de rechter VoetbalTV gelijk: niet alleen juridische, maar ook allerhande feitelijke, economische en ideële belangen kunnen dus als gerechtvaardigd belang kwalificeren. Je moet dat natuurlijk wel onderbouwen, en dat zal niet meevallen, maar het kán. De Raad van State ziet het ook zo. En vooral, je moet als toezichthouder ook daadwerkelijk de discussie aangaan op basis van wat de verwerkingsverantwoordelijke stelt:

Het is aan de verwerkingsverantwoordelijke om te stellen wat het belang bij de verwerking is, waarom die verwerking noodzakelijk is en dat hij hiernaar moet handelen. Het is aan de AP om te beoordelen wat de verwerkingsverantwoordelijke werkelijk doet, te bezien of gestelde belangen daarmee overeenkomen en ook werkelijk worden behartigd door de verwerking en of deze gerechtvaardigd zijn.
Alleen al omdat de AP alles “zuiver commercieel” had genoemd en VoetbalTV ook een paar niet-commerciële, is het besluit van de AP niet goed onderbouwd. Voor wie het wil weten:
a. de vergroting van de betrokkenheid en het spelplezier van voetballiefhebbers, inclusief dat van spelers die in beeld worden gebracht, b. het kunnen uitvoeren van technische analyses voor/door trainers en/of analisten van de voetbalclubs en derde partijen en c. het bieden van de mogelijkheid aan onder andere spelers, vrienden en familieleden om wedstrijden op afstand (terug) te kunnen kijken, bijvoorbeeld als zij daarbij niet fysiek aanwezig kunnen zijn.
Dat mag je niet sterk vinden, maar de RvS zegt dus dat je niet op voorhand kunt zeggen “het is alleen maar commercieel dus wegwezen”. Je moet toetsen of deze belangen worden gehaald en in welke mate, en op basis daarvan pas je oordeel vellen. Hiermee blijft de deur voor VoetbalTV dus een klein beetje op een kier staan, hoewel het faillissement nog steeds niet is opgeheven.

Arnoud

Kun je op staande voet worden ontslagen als je de verkeerde coronatest hebt opgestuurd?

Geplaatst op in Ondernemingsvrijheid, 31 reacties
AlexandraKoch / Pixabay

Op staande voet ontslagen omdat je een van internet geplukte coronatest had opgestuurd naar je werkgever, kan dat? Een tandarts uit Spijkenisse dacht van wel, en gooide de assistente die een dergelijke test opstuurde meteen buiten. Die stapte naar de rechter om dit aan te vechten, en het vonnis geeft haar gelijk.

De werknemer had in januari dit jaar een foto van een positieve coronatest naar de werkgever gestuurd, alleen was die niet van haar. Brononderzoek (gokje: Google omgekeerd afbeeldingen zoeken) liet zien dat die foto al gepubliceerd was. Dat riekt naar kwade opzet: je wilt een dagje vrij, je googelt een positieve coronatest en stuurt die op als ziekmelding.

Door [verweerster01] is echter aangevoerd dat zij deze foto per ongeluk naar [de werkgever] heeft gestuurd. Ter zitting heeft [verweerster01] verklaard dat zij op 26 januari 2022 een zelftest op het werk heeft gedaan, dat die zelftest weliswaar wazig was, maar wel een positieve uitslag gaf, dat zij een foto van de zelftest had gemaakt maar de zelftest niet mee naar huis had genomen en dat zij door haar manager naar huis was gestuurd om een afspraak bij de GGD te maken. Terwijl ze telefonisch in de wacht stond bij de GGD ontving [verweerster01] het volgende Whatsappbericht van mevrouw [naam01] : “Hi, ineens was jij weg. Kun jij vandaag wel de pcr test zo snel mogelijk inplannen?? Heb jij een foto van de test?” . [verweerster01] heeft vervolgens de verkeerde foto toegestuurd .
Nader onderzoek aan de telefoon liet zien dat de werknemer acht foto’s van zelftesten op haar telefoon had staan, allemaal op diezelfde dag verkregen. Zij gebruikte deze foto’s naar eigen zeggen om een blog over corona mee te illustreren. Eén van de foto’s was op 26 januari 2022 om 08:49 uur gemaakt in de praktijk, hoewel deze foto er nogal vaag uitzag was dat nog wel te herkennen.

De rechter laat dan doorwegen dat de werkgever in een stress-situatie (wachtend bij de GGD op een coronatest) een vrij dringend beroep deed om nu een foto te sturen, en dat ze dan vanaf haar telefoon de verkeerde selecteert. Dat is een slordigheid, maar zeker niet op het niveau dat een ontslag op staande voet gerechtvaardigd zou moeten zijn.

Arnoud

 

Half miljoen boete voor man die overstapte naar concurrent

Geplaatst op in Ondernemingsvrijheid, 11 reacties
PeggyMarco / Pixabay

Een werknemer van een handelsbedrijf die overstapte naar een concurrent moet een half miljoen euro aan boetes betalen. Dat meldde RTL Nieuws dinsdag. Volgens de rechter schond hij zijn concurrentie-, relatie- en geheimhoudingsbeding. Dat was even schrikken voor vele lezers die in de ICT werken, want daar zijn zulke bedingen schering en inslag. Kan dat dan zomaar? Nou ja, dit is het recht: er kan veel, maar zelden zomaar. En dit is wel een uitzondering.

De man werkte sinds 2017 bij het Leidse handelsbedrijf West Coast Supply, dat twee jaar eerder was ontstaan na splitsing van het Amsterdamse handelsbedrijf Van Caem Klerks Group (VCKG). Hij stapte in 2020 over naar de andere helft van de splitsing, Van Caem, en benaderde vanuit daar oude zakenrelaties. Dat kwam bij de oude werkgever terecht, die daarop erg boos werd en met de boeteclausule ging zwaaien.

Het vonnis laat zien dat dit niet eeen heel normale zaak was. Zo lees ik dat de man de bedrijfscontacten meegenomen had op een usb-stick, wat toch iets anders is dan toevallig een oud contact tegenkomen op Linkedin of een klant die je mailt omdat hij je bij de nieuwe werkgever op de site zag staan. Ook zie ik dat na een bewijsbeslag de man vroeg een urgent privételefoontje te mogen plegen, waarna hij de bedrijfsjurist van zijn nieuwe werkgever belde, die een Sanderinkje deed: de laptop en telefoon van het werk bleken volledig gewist. Na de proeftijd werd er nog wat gegoocheld met een holding en een verkapt zelfstandige-constructie, als ik het goed lees.

Dat zijn allemaal dingen waardoor rechters niet heel goed gestemd je rechtszaak ingaan, zeg maar. De ex-werkgever zette dan ook grof geschut in: niet alleen het concurrentiebeding overtreden, maar ook de relatie-, geheimhoudings- en antironselbedingen en de boetes daarbij maximaal doorberekend. De verweren waren zeg maar niet heel sterk, ik lees in het vonnis alleen gepiep over formaliteiten zoals dat het beding in het Engels was geschreven en dat de bedingen zo onduidelijk zijn dat ze tegen de openbare orde zouden zijn (art. 3:40 BW). Ook kwam ineens het verwijt naar boven dat hij weggepest was, iets dat in tegenspraak bleek met wat bij het exitgesprek was besproken.

Toch gaat de rechter een stukje mee: het concurrentiebeding was wel erg lang, en wordt dus beperkt naar 12 maanden. (Normaal is het raar dat een onredelijk beding van een arbeidscontract zo wordt beperkt in plaats van geschrapt, want als werkgever heb je dan geen prikkel om iets netjes te regelen. Maar hier was het beding uitgebreid onderhandeld en besproken.) Voor de rest is er weinig genade: het optellen van de overtredingen levert volgens de letter van het contract een totale boete op van een miljoen euro.

Dat is alleen niet billijk voor de rechter, dus moet de man een half miljoen betalen. Dit is waar techneuten en juristen uit elkaar gaan: dat je met een keurige formule tot bedrag M komt en vervolgens vanwege je onderbuik dat door twee doet. Maar dat is wel hoe het recht werkt. De rechter laat meewegen dat de impact van een en ander (de indirecte schade, zeg maar) niet heel sterk is onderbouwd, hoewel wel duidelijk is dat er enige schade is berokkend met dit overtreden van het contract. Wat ook van belang is, is dat de nieuwe werkgever al had toegezegd de boete op zich te nemen, in het jargon hem had gevrijwaard.

Voor al die ICT’ers die ook dergelijke bedingen hebben: ja, het is dus handhaafbaar maar realiseer je ook dat het pas zo hoog oploopt als je zelf ook bewust dingen doet die écht niet de bedoeling zijn. Dat ene als bewijs naar je privé geforwarde mailtje omdat je bang was voor een arbeidsgeschil of die oude usbstick van het werk die nog in een la op zolder ligt, dat is echt niet hetzelfde als wat deze meneer had uitgehaald. Maak je je zorgen of je aan zo’n beding gehouden kan worden, overleg dan (bij voorkeur na voorspraak met je rechtsbijstand of advocaat) met je werkgever of er een uitzondering op papier gezet kan worden. En je nieuwe werkgever kan ook zeker vaak bereid zijn het beding af te kopen.

Maar vooral: speel het volgens de juridische regels, en ga dus géén rare trucs uithalen zoals het op afstand wissen van de gegevensdrager waar de meegenomen informatie op staat. Neem sowieso geen informatie mee, want hoewel concurrentiebedingen (niet werken bij de concurrent) vaak onderuit gaan, blijven relatiebedingen (geen contact met deze klanten/leveranciers) en met name geheimhouding (niet meenemen wat je van werkgever kreeg) eigenlijk altijd overeind.

Arnoud