Gemeente Enschede naar rechter wegens AVG-boete Autoriteit Persoonsgegevens

Geplaatst op in Ondernemingsvrijheid, Regulering, 9 reacties

De gemeente Enschede stapt naar de rechter wegens de AVG-boete van 600.000 euro die de Autoriteit Persoonsgegevens vorig jaar wegens wifi-tracking oplegde. Dat meldde Security.nl vorige week. In april 2021 kreeg de gemeente de boete omdat zij “wifitracking gebruikte in de binnenstad op een manier die niet mag.” Weliswaar was het niet de intentie van Enschede om mensen te volgen, maar het kon gewoon gebeuren bij lang genoeg tellen. De wethouder: “Het feit dat de AP die suggestie wel heeft gewekt in haar boetebesluit en in haar media-uitingen, vindt het college van Enschede zeer kwalijk”.

Bij wifi-tracking wordt het signaal van mobiele telefoons gebruikt om groepen mensen in de gaten te houden. In de praktijk gebruiken bedrijven deze techniek bijvoorbeeld in en rond winkelcentra of andere (semi-)openbare plekken. Meestal gaat het dan om via Bluetooth verkregen gegevens, maar ook Wifi signalen kunnen worden gebruikt om tot een identifier te komen.

De kern is dat je vervolgens telt op basis van die identifiers, maar dat zo’n identifier tegelijk ook een persoonsgegeven is dat ook nog eens gebruikt kan worden om iemand te volgen. Dit omdat het gebruikte algoritme om van telefoongegevens tot de identifier te komen altijd hetzelfde resultaat gaf bij dezelfde telefoon. En ja, als je dat gedurende bijna twee jaar allemaal vastlegt dan gaat er iets mis:

De AP heeft vervolgens vastgesteld dat er uit de langetermijntabel van na 1 januari 2019 duidelijke leefpatronen te destilleren zijn. Gezien de regelmatigheid van de patronen kan redelijkerwijs worden geconcludeerd dat de bij het patroon horende registraties toebehoren aan één mobiel apparaat. De leefpatronen kunnen bijvoorbeeld iemands woon- of werkplek prijsgeven, maar ook gevoeligere gegevens zoals bezoeken aan medische instellingen.
Natuurlijk had de gemeente alleen het doel om algemene cijfers over drukte vast te stellen, zodat je bijvoorbeeld weet wanneer je de straatvegers kunt sturen (als het rustig is) of dranghekken (waar het straks niet rustig is) om eens een paar onschuldige toepassingen te noemen. Ik zou ook niet direct weten wat ik als wethouder zou moeten met gedetailleerde logs over al mijn burgers en hun wandelpaden in het centrum.

De boosheid van de gemeente verrast me een beetje. Het lijkt erop dat hier zich het vage concept ‘persoonsgegeven’ wreekt. Dat zijn natuurlijk gegevens waarmee iemand identificeerbaar is, maar dat is niet hetzelfde als weten wie iemand is. Beter gezegd: het serienummer van je mobiele telefoon is natuurlijk niet hetzelfde als de naam in je identiteitskaart. Volgens de AVG zijn beide echter gelijk – identificatoren. Enschede wist met haar systeem natuurlijk totaal niet welke namen er bij die passanten hoorden, en ik geloof graag dat het kwalijk is om te horen dat je dat wél zou doen. Wat de AP zegt, is dat ze dat serienummer niet mochten bijhouden, en dat is natuurlijk iets anders.

Er is ook nog iets met afgeknipte MAC adressen waardoor men denk ik wilde anonimiseren, maar dat ging niet helemaal goed want de resultaten konden nog steeds gekoppeld worden. Ik denk omdat het aantal Enschedeërs met dezelfde MAC prefixen op dezelfde tijden in de zelfde buurt erg klein is.

Arnoud

Minister stuurt wetsvoorstel dat doxing strafbaar moet maken naar Tweede Kamer

Geplaatst op in Regulering, 10 reacties

De Nederlandse minister van Justitie en Veiligheid Dilan Ye?ilgöz-Zegerius heeft een wetsvoorstel dat doxing strafbaar moet stellen, naar de Tweede Kamer gestuurd. Dat meldde Tweakers vorige week. Doxing is de wat merkwaardige internetterm voor “iemands identiteit achterhalen”, waarbij het eigenlijk altijd gaat, zoals het wetsvoorstel zegt, om het gebruik van persoonsgegevens voor intimiderende doeleinden. De maximale straf moet een jaar cel of 9000 euro boete worden.

Het wetsvoorstel is breed geformuleerd maar focust nadrukkelijk op – wat Grapperhaus al zei – het onthullen van identiteit of woonadres van politie of andere ambtenaren:

Degene die zich persoonsgegevens van een ander of een derde verschaft, deze gegevens verspreidt of anderszins ter beschikking stelt met het oogmerk om die ander vrees aan te jagen dan wel aan te laten jagen, ernstige overlast aan te doen dan wel aan te laten doen of hem in de uitoefening van zijn ambt of beroep ernstig te hinderen dan wel ernstig te laten hinderen, wordt gestraft met gevangenisstraf van ten hoogste een jaar of geldboete van de derde categorie.
Het Tweakers-artikel meldt “Niet alleen daders vallen onder de wet. In het voorstel wordt ook gesproken over faciliterende partijen zoals internetplatforms. ” Maar voor de duidelijkheid: er is geen aparte nieuwe strafbaarstelling of medewerkplicht voor zulke partijen. Het mechanisme is gewoon notice-takedown, immers als een klant iets evident strafbaars doet en de provider wordt daarvan op de hoogte gesteld, dan moet deze dat bericht offline halen of blokkeren. En nu doxing dus strafbaar wordt, dienen providers ook daarbij in te grijpen.

Wel nog belangrijk is dat voorlopige hechtenis mogelijk is bij verdenking van dit misdrijf, het komt op de lijst van artikel 67 Strafvordering. Dat heeft meer effecten, zoals dat huiszoeking mogelijk is (art. 55a Sv) en vingerafdrukken mogen worden afgenomen (art. 55c). Ook is pseudokoop of -dienstverlening mogelijk (art. 126i), wat handig kan zijn als de verdachte in het openbaar alleen zegt dat hij de gegevens heeft maar ze alleen op individueel verzoek verstrekt. Dan kan een undercoveragent ze kopen, iets dat normaal lastig kan liggen vanwege uitlokking.

Natuurlijk blijven er bewijsproblemen, zoals dat oogmerk: als iemand een adres online zet met alleen knipogende smileys of “wie stuurt er een bloemetje”, kun je daar dan uit afleiden dat het gaat om vrees aanjagen of overlast aandoen? Dat is geen nieuw probleem in het strafrecht, hoe je een oogmerk bewijst.

Wat in ieder geval niet van belang is, is of de gegevens al ergens in het openbaar staan. Waar het om gaat, is of de verdachte ze publiceert met dat oogmerk van vrees aanjagen. Dat kan net zo goed als je de gegevens van de KVK ophaalt of uit een door het slachtoffer zelf gepubliceerd document, of voor mijn part het online telefoonboek.

En als laatste: ik lees her en der dat mensen de straf nogal laag vinden als maximum. Dat snap ik, maar realiseer je dat dit bedoeld is voor een situatie waarin alleen een publicatie met dreigend oogmerk te vinden is. Als er meer gebeurt, zoals dat mensen daadwerkelijk langsgaan, dan kun je het ook spelen via medeplichtigheid aan opruiing of bedreiging. En de opsporingsmiddelen in kunnen zetten is denk ik het werkelijke voordeel voor Justitie: de kans is groot dat er meer te vinden is als je langsgaat.

Arnoud

Britse waakhond start onderzoek naar overname Activision Blizzard door Microsoft

Geplaatst op in Regulering, 7 reacties

De Competition and Markets Authority (CMA) is een onderzoek gestart naar Microsofts overname van Activision Blizzard, las ik bij Tweakers. Tot die overname ter waarde van 68,7 miljard dollar werd in februari besloten, maar vanwege de grootte van beide bedrijven op de game-markt startten diverse markttoezichthouders een onderzoek. Naast de Amerikaanse Federal Trade Commission dus ook de Britten. Wat natuurlijk de vraag opriep: Hoe kan een Brits bedrijf zich bemoeien met de overname van een Amerikaans bedrijf door een Amerikaans bedrijf?

Het juridische antwoord is heel simpel: de CMA gaat over marktmacht op de Britse markt, en als een overname door Microsoft invloed heeft op die markt dan mag de CMA daar wat van vinden. Om precies diezelfde reden zou onze ACM ook een onderzoek mogen doen (en een bindend besluit zoals een verbod mogen geven) naar deze zelfde overname.

Dat voelt natuurlijk raar, omdat de overnameovereenkomst naar Amerikaans recht is. Maar dat is niet echt een argument in deze discussie, want het gaat dus om de effecten op andere markten zoals Groot-Brittannië of Nederland. Dat kun je niet buitenspel zetten door een rechtskeuze in je overeenkomst, of zelfs de vestigingsplaats van de partijen.

De interessante vraag is: wat gaat er gebeuren als de Amerikaanse FTC zegt dat de overname prima is maar de CMA deze afkeurt vanwege te grote negatieve effecten in het perfide Albion? Het ligt voor de hand dat MS en AB dan doorzetten, maar dat kan tot boetes en/of dwangsommen leiden in Groot-Brittannië. Handhaven van de incasso kan dan leiden tot verstoring van de bedrijfsvoering in het land, met als extreme consequentie dat men weg kan gaan. Maar dat is zeldzaam. In februari hadden we discussie over Facebook, dat zou hebben gedreigd uit Europa weg te gaan als er niet snel een nieuw Privacy Shield zou komen. Ik zie het niet gebeuren.

Arnoud

Elon Musk wil niet langer Twitter kopen, ja ik wil ook wel eens wat

Geplaatst op in Ondernemingsvrijheid, 12 reacties

Elon Musk wil niet langer Twitter kopen, zo hebben zijn advocaten duidelijk gemaakt. Dat meldde Tweakers dit weekend. Musk zou de disclosures over Twitterbots van het bedrijf niet geloven, en Twitter zou bovendien niet meegewerkt hebben aan haar plicht om relevante bedrijfsinformatie te verstrekken. Twitter gaat naar de rechter om Musk aan zijn getekende contract te houden. Normaal zou ik zeggen: ik heb zo veel vragen. Maar nu, eh, vooral verbijstering.

In april maakte Musk bekend het spambot-probleem van Twitter te gaan aanpakken: hij ging Twitter kopen en zou ze allemaal opruimen. Ja, ook iets met free speech en een vrije marktplaats van ideeën, zie voor het hele verhaal deze handige timeline van AP. Na de koop – zonder due diligence of inhoudelijke onderhandeling – begon hij te draaien: de deal zou “on hold” zijn, toen toch weer niet, en nu dus een rechtszaak in Delaware omdat er van alles mis is.

Delaware is een beetje het Nederland van de VS, vol met handige zakelijke en belastingvoordelen voor grote ondernemingen en bovendien een snelle rechtbank gespecialiseerd in zakelijke geschillen. Dat zal schelen, want gebruikelijk mag je bij een Amerikaanse rechtszaak rustig de nodige jaren uittrekken tot je een vonnis hebt. Ook als het gaat om een relatief simpel contractueel geschil. Niet zo gek dus dat heel veel bedrijven zich in Delaware vestigen of contractueel bepalen dat de rechtbank in Delaware het geschil moet oplossen.

In de aangespannen rechtszaak spelen drie dingen:

  1. Het aantal bots zou hoger zijn dan Twitter had gemeld, in strijd met wat Twitter tegen de SEC zegt
  2. Twitter geeft te weinig informatie, in strijd met het contract
  3. Twitter heeft haar bedrijf verwaarloosd, onder meer omdat mensen weglopen sinds de aankoop door Musk.
Wat dat eerste betreft, het enige bewijs tot dusverre lijkt ‘welles’ te zijn:
[P]reliminary analysis by Mr. Musk’s advisors of the information provided by Twitter to date causes Mr. Musk to strongly believe that the proportion of false and spam accounts included in the reported mDAU count is wildly higher than 5%.
Ik merk daarbij op dat een advocaat niet zonder hard feitelijk bewijs zou zeggen “analysis has shown the proportion is widly higher”, maar melden wat je cliënt meent is natuurlijk altijd prima. Het voelt erg raar, met name omdat Musk dus al vanaf het begin bezig was over het botprobleem. Wat logisch is – volgens vele onafhankelijke onderzoeken heeft hij zelf enorm last van bots, meer dan 50% van zijn volgers is een bot en Tesla’s koers zou ook regelmatig door bots gemanipuleerd worden.

Maakt het enige kans, dit argument? Nee. Twitter heeft de disclosure van dit probleem altijd zo mooi in juridisch-wollige taal gecamoufleerd dat er werkelijk niets tegenin te brengen valt. Ze hebben nooit gezegd “het aantal bots ligt rond de 5%”, maar een specifieke definitie van gebruiker (monetizable daily active users) gehanteerd en daar via een specifieke methodologie én eigen interpretatie (staat er letterlijk) mee geconcludeerd dat het rond de 5% is. Dus het is goed mogelijk dat op geheel Twitter het aantal bots 80% is terwijl de statement van Twitter toch geheel waar is.

Los daarvan: dit had je in een due diligence (boekenonderzoek) voorafgaand aan de aankoop kunnen – en naar Delawarees recht dus ook móeten – onderzoeken. Doe je dat niet, dan heb je pech als het achteraf anders blijkt. Oh ja, en naar Delawarees recht is het ook nog eens zo dat wanneer zo’n statement onjuist blijkt, je er alleen wat mee kan als het een “materially adverse effect” heeft op het bedrijf. Gezien de omzetcijfers en populariteit tot nu toe zou het weinig uit moeten maken als ineens 80% van de totale gebruikers bot blijkt te zijn. Sorry, een robot blijkt te zijn.

Het tweede argument is iets ingewikkelder. In het contract staat dat Musk redelijke verzoeken om data mag doen als dat relevant is “for any reasonable business purpose related to the consummation of the transactions contemplated by this Agreement.” Dus als hij relevante cijfers of achtergronddata wil opvragen, dan moet Twitter daar aan meewerken. Twitter heeft het nodige gegeven, maar niet alles. Daarmee kan Musk’s advocaat Ringler nu claimen dat het contract geschonden wordt:

And in fact Ringler’s letter makes it pretty clear that that’s what Musk was up to: He’d ask for information about bots, and they’d give it to him, and he’d ask for more, and he’d keep trying to get information that he could use to undermine Twitter’s SEC reports. He buried Twitter in an avalanche of demands for data.
Wat het derde argument betreft, daar valt weinig over te zeggen. Ja, Twitter moet van het contract het bedrijf blijven runnen als voorheen, maar dat lijken ze ook gewoon te doen. Je kunt het Twitter moeilijk kwalijk nemen dat mensen een andere baan zoeken nadat ze van de overname hoorden.

Twitter stapt dus naar de rechter, met als doel Musk aan de deal te houden. Oftewel, kom maar door met die gehele aankoopsom, je moet ons kopen zoals je hebt beloofd. Dat is een dure grap, 33.5 miljard dollar. Je kunt je afvragen of een rechter zo’n extreme deal zo zou verplichten. Enerzijds ja: de Chancery Court is zakenvriendelijk en volgt contracten – getekend is getekend, dat is zeg maar de basis van het commercieel recht. Anderzijds: dat is wel héél veel geld, en wat als Musk vervolgens niet betaalt? Ga je hem dan in de cel stoppen wegens contempt? Het kan, maar is zeldzaam. Als rechter kun je ook denken, als meneer Musk zó hard niet wil dan is het onzin hem te verplichten, ik ken een mooie schadevergoeding toe en dan is het klaar. In het Amerikaans recht zou zo’n equity oplossing best voor de hand liggen. Punt hierbij is ook dat Musk niet hoeft te betalen als de banken hun geld terugtrekken. En hoewel die dus harde garanties hebben afgegeven, zouden ze die wellicht kunnen intrekken in het licht van deze rechtszaak.

Ik ben benieuwd naar de volgende stap, want juridische popcorn is dit wel zeg maar. Ik zou bijvoorbeeld graag zien wat er gebeurt als Twitter nu Musk eraf gooit onder het mom van “wij hebben een juridisch geschil en kunnen dus niet met elkaar een zakelijke relatie onderhouden”. Of als Musk nu zegt: als jullie de deal afdwingen dan sluit ik het hele bedrijf voorgoed zodra ik de CEO ben.

Arnoud

Minister gaat DNS-providers en datacenters aanmerken als vitale infrastructuur

Geplaatst op in Ondernemingsvrijheid, 2 reacties
ananitit / Pixabay

Grote datacenters en DNS-providers worden in Nederland in de toekomst aangemerkt als vitale infrastructuur, las ik bij Tweakers. Dat betekent dat er strengere veiligheidseisen voor gaan gelden en dat ze betere bescherming krijgen. Dit gaat niet om SIDN – zie zijn al vitaal – maar om de partijen die domeinnamen technisch beheren, of op grote schaal hosting- en aanverwante diensten leveren. Maar wat is “vitaal” dan en waarom is het juridisch van belang?

Sinds oktober 2018 hebben we de Wet beveiliging netwerk- en informatiesystemen, een uitwerking van de Europese Richtlijn voor netwerk- en informatiebeveiliging (NIB). Doel van die laatste was een Europees minimum te stellen voor beveiliging van informatie-infrastructuur. De Richtlijn regelt ook samenwerking binnen lidstaten en het nemen van maatregelen om beveiligingsrisico’s te beheersen en gevolgen van incidenten te voorkomen en minimaliseren en ernstige incidenten te melden.

In Nederland bevat de Wbni onder meer een zorgplicht voor aanbieders van essentiële diensten en digitaledienstverleners. En dat is een belangrijke term, want je valt onder deze wet als je essentiële of vitale diensten aanbiedt. Beide termen zijn niet gedefinieerd, maar dat hoeft ook niet want je valt er alleen onder als je op een lijst gezet bent.

Het Besluit beveiliging netwerk- en informatiesystemen bevat de lijst van de essentiëledienstaanbieders, met niet verrassend de landelijke netbeheerders van elektriciteit en gas om meteen twee voorbeelden te noemen. Voor internet relevant: de “bij besluit van Onze Minister van Economische Zaken en Klimaat aangewezen aanbieders van internetknooppunten, bedoeld in bijlage II van de NIB-richtlijn”, wat in de Regeling aanwijzing aanbieders essentiële diensten EZK is gebeurd:

  • Een aanbieder van een internetknooppunt als bedoeld in artikel 4, onder 13, van Richtlijn (EU) 2016/1148 waarop meer dan 300 autonome systemen zijn aangesloten [een AS is een apart stukje internettransport, dus als een aanbieder die routeert tussen 300 of meer AS stukgaat is dat Heel Erg]
  • Een beheerder van een register voor topleveldomeinnamen die bij de Internet Assigned Number Authority (IANA) is geregistreerd en die meer dan 1.000.000 geregistreerde domeinnamen in beheer heeft [dit is dus met name SIDN, AE]
  • Een beheerder van een register voor topleveldomeinnamen die bij de IANA is geregistreerd, meer dan 1.000.000 geregistreerde domeinnamen in beheer heeft en ten behoeve van die domeinnamen DNS-diensten verleent als bedoeld in artikel 4, onder 14 en 15, van Richtlijn (EU) 2016/1148 [in technospeak: authoritative zijn voor die domeinnamen]
De minister is nu van plan deze regeling te herzien, zo schrijft zij aan de Kamer. Die 1 miljoen van de derde bullet gaat omlaag naar 400.000, zodat een forse hap van de grote hostingbedrijven (zie pagina 33 van dit onderzoeksrapport) onder de regels gaat vallen. De minister legt uit:
Voor deze aanbieders gaan dan de zorg- en meldplicht uit de Wbni gelden. Dat betekent dat zij ernstige incidenten moeten melden bij zowel het Nationaal Cyber Security Centrum (NCSC) van het Ministerie van Justitie en Veiligheid als bij de toezichthouder (meldplicht) en dat zij passende maatregelen moeten treffen ter beveiliging van hun netwerk- en informatiesystemen (zorgplicht). Het Agentschap Telecom zal toezicht houden op de naleving hiervan. Ook kunnen aanbieders terecht bij het NCSC voor advies en ondersteuning bij digitale dreigingen en incidenten.
Hetzelfde zal gaan gelden voor grote datacenters. De brief omschrijft deze op zeer creatieve wijze als “stroomcapaciteit hebben van meer dan 50 megawatt”, het criterium uit de Wet ongewenste zeggenschap telecommunicatie (Wozt).  En ja 50 MW is veel.

Arnoud

Ubisoft schakelt in september online-diensten 15 games uit, mag dat?

Geplaatst op in Ondernemingsvrijheid, 11 reacties
OpenClipart-Vectors / Pixabay

Ubisoft gaat op 1 september de online-diensten van 15 games ontoegankelijk maken, meldde Tweakers zondag. Zeven PC-titels verliezen ook al hun downloadbare content (dlc), zelfs als die al gekocht is. Opvallend is daarbij dat een aantal van deze games momenteel met korting aangeboden wordt, inclusief aanprijzing van hun ‘innovatieve multiplayermodus’ en extra dlc. Je gaat dan dus terug naar enkel single player modus met de basiscontent. Dat roept natuurlijk de vraag op, eh wat krijgen we nou, kan dat zomaar?

Het afsluiten van diensten voor oudere games kan een manier zijn om het bedrijf in korte tijd financieel gezonder en daarmee aantrekkelijker voor een overname te maken, zo sluit het artikel af. En dat is ook niet zo raar, want het in de lucht houden van online games is een dure kwestie met al die servers en bijbehorende infrastructuur. Maar vanuit spelersperspectief is dit wél raar, want je betaalt voor een spel met de belofte van online tegen anderen spelen (én dlc) en die belofte wordt dan eenzijdig ingetrokken.

Mijn cynische opener is dan altijd, welkom in de diensteneconomie. Want zo’n online game is een dienst, en diensten mag je op zeker moment stoppen. Daar hoef je niet eens een reden voor te hebben (zoals dat het onrendabel is), een voldoende lange opzegtermijn en/of een schadevergoeding is juridisch gezien eigenlijk al genoeg.

Maar sinds een tijdje is een online game juridisch gezien wel iets meer dan alleen een dienst. Er is speciale wetgeving in Boek 7 van het Burgerlijk wetboek voor zogeheten overeenkomsten voor de levering van digitale inhoud en digitale diensten tussen handelaren en consumenten. Dat wil zeggen (art. 7:50ab lid 1 sub a BW):

overeenkomsten waarbij de handelaar digitale inhoud of een digitale dienst aan de consument levert of zich ertoe verbindt die te leveren en de consument een prijs of een digitale weergave van waarde betaalt of zich ertoe verbindt die te betalen ongeacht of de digitale inhoud of digitale dienst volgens zijn specificaties is ontwikkeld;
Hierbij geldt een eigen conformiteitsvereiste, art. 7:50ad BW:
De afgeleverde digitale inhoud of digitale dienst moet aan de overeenkomst beantwoorden.
Deze zin kennen we van conformiteit van gewone producten, wat mensen ook wel de “wettelijke garantie” noemen. Het volgende artikel noemt een aantal criteria om te bepalen of een game voldoet:
  • wat betreft de beschrijving, hoeveelheid en kwaliteit, functionaliteit, compatibiliteit, interoperabiliteit en andere kenmerken, voldoen aan de overeenkomst;
  • van updates worden voorzien als bepaald in de overeenkomst;
  • beschikken over de hoeveelheid, kwaliteit en prestatiekenmerken, onder meer met betrekking tot functionaliteit, compatibiliteit, toegankelijkheid, continuïteit en beveiliging, waarover de digitale inhoud of digitale diensten van hetzelfde type gewoonlijk beschikken en die de consument gezien de aard van de digitale inhoud of digitale dienst redelijkerwijs mag verwachten, rekening houdend met publieke mededelingen die zijn gedaan door of namens de handelaar of andere personen in eerdere schakels van de transactieketen, in het bijzonder in reclameboodschappen of op etikettering.
Die laatste is natuurlijk interessant (hoe langer de tekst, hoe meer een jurist er uit kan halen natuurlijk). Want die term continuïteit gaat precies over dit soort situaties: je moet zo’n dienst kunnen afnemen gedurende de tijd die je mag verwachten bij dit soort games, dit platform et cetera. Daar valt dus heel veel over te discussiëren, maar gezien het doel van de achterliggende Europese regels ligt het voor mij voor de hand dat wat Ubisoft van plan is, er voor zorgt dat de games nonconform worden.

Alleen: wat dan? Artikel 7:50ai (haha, hij zei ai; BW) noemt het in mooi juridische taal:

Beantwoordt de afgeleverde digitale inhoud of digitale dienst niet aan de overeenkomst, dan is de consument bevoegd om nakoming te eisen, de prijs te verminderen in evenredigheid met de mate van afwijking van hetgeen is overeengekomen, of de overeenkomst te ontbinden.
Je geld terug is dus een optie, al zullen weinig mensen gaan procederen over deze bedragen – de proceskosten zijn ordegroottes hoger dan de aanschafprijs. Nakoming eisen is interessanter, er is vast een principiële strijder die maatschappelijke gerechtigdheid wil afdwingen. Dan kom je uit bij lid 2:
De consument is bevoegd om nakoming te eisen overeenkomstig lid 1 tenzij dat onmogelijk is of voor de handelaar onevenredige kosten met zich brengt, rekening houdend met alle omstandigheden van het geval, waaronder: a.de waarde die de digitale inhoud of digitale dienst zou hebben wanneer er geen gebrek zou zijn geweest; b.de omvang van het gebrek.
Ubisoft zal bij de online multiplayer variant meteen wijzen op die “onevenredige kosten”, ze zullen vast kunnen aantonen dat gezien het aantal spelers de kosten van de infrastructuur niet redelijk meer zijn. En dat lijkt dus een winnend argument te zijn op grond van de wet.

Afdwingen dat die gekochte dlc gewoon blijft werken lijkt me dan weer niet iets dat “onevenredige kosten” zou moeten kosten. Ik kan niet echt achterhalen waarom dit überhaupt nodig is, het moet te maken hebben met een serverside controle of je nog recht hebt op die dlc lijkt me. Dan zou het uitzetten van die check de simpele oplossing zijn die Ubisoft dan moet maken. Dat is zeker te verdedigen als “herstellen van het gebrek”, maar ook hier zal echt een principezaak nodig zijn bij de rechter om dat af te dwingen.

(De EULA van Ubisoft is hierbij volledig irrelevant gezien art. 7:50ap BW dat bepaalt dat alle bovengenoemde artikelen dwingend recht zijn en dus niet in de overeenkomst uitgesloten mogen worden. En dat Europees recht geldt, volgt weer uit andere Europese regels.)

Arnoud

Eindelijk! Zzp’ers kunnen straks vestigingsadres afschermen in Handelsregister KVK

Geplaatst op in Ondernemingsvrijheid, 18 reacties

Alle zzp’ers en eenmanszaken kunnen straks altijd hun vestigingsadres volledig laten afschermen in het Handelsregister van de Kamer van Koophandel (KVK). Dat meldde Security.nl vorige week. Minister Adriaansens van Economische Zaken heeft een Kamerbrief hierover naar de Tweede Kamer gestuurd. Het is vele, vele ondernemers (waaronder mijzelf) al jaren een stevige doorn in het oog dat je als zelfstandige je huisadres moet opgeven, helemaal omdat dat óók nog vrijelijk wordt doorverkocht.

Een van mijn eerste gastposts betrof precies dit onderwerp. Ook toen al stond in de publiciteit dat er in KvK-gegevens gehandeld werd. De KvK wist de hartekreet van de gastposter mooi bureaucratisch te pareren:

Het handelsregister is een openbaar register dat door derden geraadpleegd kan worden. Derden die het handelsregister raadplegen kunnen wij niet beletten om die openbare gegevens in hun bestand op te nemen.
Het oorspronkelijke idee van het handelsregister was natuurlijk een betrouwbare plek te hebben waar je bedrijfsinformatie kon vinden. Handig als je officiële brieven naar ze wil sturen, of ze wilt aanklagen of iets in die richting. Want, zo staat in de wet, het adres in het handelsregister is het juiste – als je dat dagvaardt dan zit je goed, ook al is de ondernemer verhuisd.

Aandacht voor privacy was nooit echt een ding. Het handelsregister van de Kamer van Koophandel en Fabrieken is uit 1921. Veel bedrijven hadden een vestiging (los van het woonadres van de directeur), en de zelfstandigen zonder personeel hadden vaak ondernemingen aan huis dus dan is het niet erg als iemand weet waar je huis woont, zeg maar. En voor de meer artistieke beroepen – zoals fotografen of tekstschrijvers – was er heel lang geen inschrijfplicht.

De opkomst van internet en datahandel heeft dit alles fors veranderd, sprak hij met typische juristenclichés. Mensen ontdekten eerder dat er gouden handel in adresgegevens zat dan dat de betrokkenen ontdekten wat voor risico’s dat met zich meebracht. En tegen de tijd dat dat laatste aandacht kreeg, was het al te laat: “wij doen dit al jaren en we verdienen er goud geld mee” is klaarblijkelijk een juridisch argument.

Nu gaat dit toch veranderen door een standaard afscherming, waarbij wel de mogelijkheid open blijft voor deurwaarders, advocaten en vergelijkbaren (de details zijn nog niet duidelijk) om bij een concrete aanleiding de gegevens op te vragen. Het zal wel nog even duren, getuige zinnen als “te komen tot een beleidskader voor integer gebruik van de Handelsregistergegevens voor de samenleving.” Maar toch.

Arnoud

Juridisch gezien is een Excelfilter een algoritme en dat is maar goed ook

Geplaatst op in Informatiemaatschappij, 44 reacties

Vier Utrechtse gemeenten, Nieuwegein, IJsselstein, Houten en Lopik, hebben bij de bestrijding van bijstandsfraude gebruikgemaakt van een verboden overheidsalgoritme. Dat meldde Security.nl onlangs. Het betreft hier de “Fraudescorekaart”, een Excelsheet die in 2003 werd ontwikkeld (en nooit werd bijgewerkt, wat op zich ook nog opmerkelijk is). Omdat het ophef in de pers (dank u Argos) besloot men er alsnog mee te stoppen. Dit gaf ophef in de compliance hoek: hoezo is een Excelsheet een “algoritme”?

De Fraudescorekaart is het waanzinnig idee dat je met een serie punten over iemands achtergrond kunt inschatten of diegene een fraudeur is:

De kaart profileerde bijvoorbeeld op beroep, woonsituatie, opleidingsniveau, geslacht en de wijk waarin burgers woonden. Woonwagenbewoners kregen 700 punten, huiseigenaren 0 punten. Bij een score van 950 punten was er volgens het systeem, dat door 158 gemeenten werd gebruikt, sprake van fraude. In 2020 besloten gemeenten met het systeem te stoppen.
Wie zichzelf langs de lat wil leggen (doe me een lol en zet je score bij je reactie) kan dat dankzij Lighthouse Reports doen, en dan zien je meteen hoe raar het werkt. Neem bijvoorbeeld de beroepenlijst: horeca, bouw, taxi of kapper en anders “overig”. Hoe lager je inkomen hoe hoger je fraudekans. En ga zo maar door.

Is dat nu een algoritme? Wie de gebruikelijke definities erbij pakt, komt bij termen als “stappenplan” of “recept om een wiskundig of informaticaprobleem op te lossen”, al dan niet onder verwijzing naar de naam van de Perzische wiskundige Al-Chwarizmi. Die termen zijn zo breed dat dit er zeker ook wel onder valt, “beantwoord de vragen en tel de punten uit de bijlage op conform onderstaand schema” is best wel een stappenplan of recept te noemen, zij het voor het juridisch probleem “hoe rechtvaardig je een vermoeden van fraude zonder een heel dossier door te hoeven”.

In de praktijk wordt de term algoritme vooral gebruikt voor complexe stappenplannen of recepten, zeg maar waar je zonder computer er zeer zeker niet uit komt. Vaak gaat het dan specifiek over machine learning of artificial intelligence, waarbij een wiskundige formule datapunten classificeert of positioneert op basis van patronen die in een enorme bak data zijn aangetroffen. (Terzijde, dat is volgens informatici dan weer géén algoritme omdat het statistiek is en dus geen recept.) Het staat dan wat raar dat je een Excel filter of een formule die twintig cellen optelt en =if(C88>=950;"Fraudeur";"Geen fraudeur") laat zien dan met diezelfde term aanduidt.

Voor juristen zou deze hele definitiekwestie niet aan de orde moeten zijn. Waar het namelijk uiteindelijk om gaat, is of je geautomatiseerd een beslissing neemt (AVG artikel 22) of een hoog-risico AI systeem in gebruik hebt (artikel 6(2) concept AI Act). Dat je met zo’n Excelsheet een beslissing neemt, lijkt me vrij voor de hand liggend. Ik verwacht weinig tot geen nader menselijk onderzoek als je zo’n mooie Excel hebt.

Voor de AI Act is dan de definitie van AI relevant (art. 3 lid 1, concept):

‘artificial intelligence system’ (AI system) means software that is developed with one or more of the techniques and approaches listed in Annex I and can, for a given set of human-defined objectives, generate outputs such as content, predictions, recommendations, or decisions influencing the environments they interact with;
En dan noemt Annex I deze drie elementen:
  1. Machine learning approaches, including supervised, unsupervised and reinforcement learning, using a wide variety of methods including deep learning;
  2. Logic- and knowledge-based approaches, including knowledge representation, inductive (logic) programming, knowledge bases, inference and deductive engines, (symbolic) reasoning and expert systems;
  3. Statistical approaches, Bayesian estimation, search and optimization methods.
Voldoen aan eentje van deze drie is genoeg om je systeem “AI” te mogen noemen. Dus ja, als woning=woonwagen en beroep=autohandelaar dan fraudeur=true anders fraudeur=false is dan een AI. Net zoals die Excel dus. Dat is óók weer raar want dat bedoelen we normaliter niet met “AI”. Maar in de context klopt het, de vraag is niet zozeer “is dit volgens de beroepsbeoefenaars wel of geen AI” maar “levert dit systeem risico’s op voor mensen omdat er met dit soort technieken naar conclusies wordt gesprongen”. En dát is natuurlijk zeker het geval met die ene regel van mij, en met die Excel.

Arnoud (vermogensfraude 458, samenlevingsfraude 229; had ik in een woonwagen gewoond was dit 1526 en 534 geweest dus dikke fraudeur en wekelijks gecontroleerd)

Mag een bezorgdienst mij wel e-mailen van de AVG?

Geplaatst op in Ondernemingsvrijheid, 19 reacties
mohamedhassan / Pixabay

Een lezer vroeg me:

Als ik iets online bestel wordt ik vaak door de bezorgdienst gemaild, terwijl ik niet expliciet toestemming heb gegeven aan de webwinkel om mijn e-mailadres aan de bezorgdienst door te geven. Hoe is dat geregeld onder de AVG?
Expliciete toestemming is lang niet altijd nodig om persoonsgegevens zoals mailadressen te mogen gebruiken onder de AVG. Er zijn nog vijf andere grondslagen (zoals dat juridisch heet), waarbij voor deze vraag het meest relevant is de “uitvoering van de overeenkomst” (art. 6 lid 1 sub b AVG).

Kort gezegd, als bepaalde gegevens nodig zijn om een overeenkomst te sluiten of uit te voeren, dan is dat gewoon mogelijk. Apart toestemming vragen is dan dus niet aan de orde. De enige eis is dat je kunt onderbouwen waarom het “noodzakelijk” is dat je die gegevens gebruikt.

Voor “noodzaak” geldt een hoge lat. De gebruikelijke vuistregel is dat het nakomen van de overeenkomst niet haalbaar is als je die gegevens niet hebt. Dat naam en bezorgadres naar de bezorgdienst gaan, lijkt me een mooi voorbeeld: hoe moet dat pakket anders bij de juiste persoon aankomen? Maar een geboortedatum van de klant verstrekken is zelden relevant, behalve wellicht bij levering van alcohol.

Jouw bedrijfsbelang als ondernemer is zeker nog geen noodzaak. Maar een hoop zit daar tussenin. In 2012 oordeelde de rechtbank Utrecht dat het in- en uitchecken bij de ov-chipkaart een “noodzaak” was, hoewel je goed kunt twisten over of dit nou echt de enige manier was om studenten (met vrij reizen product) per trein te vervoeren.

Bij de vraagsteller gaat het om het e-mailadres van de ontvanger. Die krijgt daarop berichten van de vervoerder, zoals “we komen morgen bij u langs” of wellicht opties voor neerzetten of afleveren bij een servicepunt. Erg handig, maar kun je daar spreken van een noodzaak? Ook zonder die mails kan de bezorger prima langskomen zou je zeggen.

Toch valt er goed wat te zeggen voor een noodzaak: anno 2022 is het voor veel mensen zeer wenselijk dat ze een pakket kunnen omleiden of op andere datum kunnen bestellen. Dan moet een goede bezorgdienst daar aan tegemoet komen en dus die opties communiceren, en per e-mail is dan de enige reële manier.

Terzijde, er zijn vele websites die je bij een bestelformulier toestemming laten geven om je gegevens te gebruiken voor de levering. Die hebben het dus niet begrepen. Probeer voor de grap eens na levering en vóór facturatie je toestemming in te trekken, dan komt de boodschap misschien wel over.

Kun je levering weigeren van een bestelling die je al hebt geannuleerd?

Geplaatst op in Ondernemingsvrijheid, 10 reacties

Via Reddit:

2 weken geleden heb ik een motorhelm besteld bij een webshop. Echter heb ik in de tussentijd een andere, in mijn ogen betere, helm bij een winkel in de buurt gekocht. Hierna heb ik bij de webshop meerdere keren geprobeerd de order (die overigens nog niet verstuurd was) te annuleren. Echter gingen ze hier niet op in, ik kreeg alleen gisteravond een mailtje in de trant van ‘Wat moeten we doen om je niet te laten annuleren’. [Nu] krijg ik alleen toch een verzendbevestiging, terwijl ik deze niet meer wil hebben.
Wat een rare winkel.

De wet zegt dat je tot 14 dagen na ontvangst van de bestelling deze mag annuleren. Letterlijk “tot een termijn van veertien dagen is verstreken” (art. 6:230o lid 1 BW). Dat sluit niet uit dat je ook vóór de ontvangst al mag annuleren. Dat blijkt uit de rechtspraak en dat is ook bevestigd bij invoering van de wet:

De formulering «tot een termijn van veertien dagen is verstreken» verduidelijkt dat een consument kan ontbinden totdat de specifiek gestelde termijn is verstreken. Dit betekent bij een consumentenkoop dat een consument kan ontbinden voordat hij de zaak heeft ontvangen (overweging 40).
Verder is het zo dat je een annulering op iedere manier mag mededelen. De enige uitdaging is bewijzen dat je mededeling van annulering is aangekomen bij het bedrijf. Vaak wordt gewerkt met formulieren of sites waar je annulering “aanvraagt”, maar dat is juridisch gezien alleen een stukje gemak, en zeker geen verplichting. Zie lid 3: “een andere daartoe strekkende ondubbelzinnige verklaring te doen aan de handelaar.”

Deze motorhelmshop heeft zo te lezen een stukje verdiepende customer journey analyse gemaakt, en geconcludeerd dat als je annuleerders vraagt “wat kunnen we doen om je over te halen het toch te kopen”, je een aantal spijtoptanten krijgt die dan de retour laten schieten. Het doet me denken aan bepaalde kranten waar je alleen mag opzeggen bij de telefonische klantenservice, waar dan getrainde “oh maar dan mag ik nu een eenmalig aanbod doen om u te overtuigen”-medewerkers paraat staan.

Vervelend, maar juridisch gezien in dit geval in het geheel niet bindend: bij koop op afstand is die mededeling precies dat, op het moment dat het bericht is aangekomen dan is de koop ontbonden. Het maakt niet uit wat de winkel daarvan vindt en hoe hard ze nog “Wat moeten we doen om je te houden” gaan roepen of wat ze namailen. (Dus ook niet “wilt u het formulier invullen”, ik zeg het maar even.)

Blijft het punt, die helm is onderweg en de meneer (m/v) van DHL gaat aanbellen. En de zorg is dan dat je zelf voor de retourkosten opdraait, omdat dat de regel is bij deze webshop. Dat mag, als het duidelijk gemeld is dan moet je de terugzending zelf betalen. Weigeren lijkt het meest logisch, want dan komt zowel praktisch als juridisch gezien de retourkosten voor rekening van de verkoper. Maar wat nu als een buurman of huisgenoot het aanneemt? Want dat wordt gezien als voor jouw rekening. De wet zegt dan (art. 7:10 lid 4 BW):

De koper moet echter van het ogenblik af dat hij redelijkerwijs rekening moet houden met het feit dat hij de zaak zal moeten teruggeven, als een zorgvuldig schuldenaar voor het behoud ervan zorgen; artikel 78 van Boek 6 is van overeenkomstige toepassing.
Dit is echter niet hetzelfde als “je moet het meteen terugsturen en de retourkosten betalen”. Omdat de koop al rechtsgeldig ontbonden was – en dus niet meer bestaat – moet je alleen meewerken aan het terugbezorgen. Dat kan dus ook zijn een mailtje sturen met dat de helm hier bij jou ligt, en het verzoek een retourlabel te sturen of iemand langs te laten komen zodat het ding veilig terug kan. Het ding in de kelder leggen en wachten tot de winkel piept is dan weer niet zorgvuldig, je zult wel even aan de bel moeten trekken.

Ik zie bij Reddit in de comments verwijzing naar artikel 7:29 lid 2 BW:

De koper die voornemens is een aan hem verzonden en op de plaats van bestemming te zijner beschikking gestelde zaak te weigeren, moet, zo dit geen betaling van de koopprijs en geen ernstige bezwaren of onredelijke kosten meebrengt, deze in ontvangst nemen, tenzij de verkoper op de plaats van bestemming aanwezig is of iemand aldaar bevoegd is zich voor zijn rekening met de zorg voor de zaak te belasten.
De achterliggende gedachte van dit artikel is dat als het bestelde bij de koper is aangekomen, deze feitelijk de enige is die er voor kan zorgen. Het is te onredelijk dat die het dan gewoon in de regen kan laten liggen, ook al wilde hij het eigenlijk weigeren. Dus dan mag je niet weigeren maar moet je er goed op passen. Uitzondering is dan als de verkoper (of een gemachtigde van de verkoper) ook aanwezig is, die kun je dan sommeren het mee te nemen. En als de vervoerder natuurlijk vrijwillig zegt “dan stuur ik het terug”, dan is dat prima – ik vat dat op als een kennelijk gemachtigde namens de verkoper.

Ik denk alleen dat dit artikel niet opgaat, omdat door die mededeling van ontbinding de koop al is opgehouden te bestaan (art. 6:271 BW). Weliswaar ontstaan dan verplichtingen tot ongedaanmaking van wat er al was uitgevoerd, maar je bent dan als consument géén koper meer want er is geen koopovereenkomst meer. Desondanks: als je dan toch in het bezit van die helm bent gekomen, dan moet je er op passen en de winkel iets laten weten zodat die stappen kan nemen om het ding terug te krijgen. Op kosten van de winkel.

Arnoud