Opnieuw hoeft Ziggo waarschuwing van Brein niet naar klant door te sturen

Geplaatst op in Ondernemingsvrijheid, Privacy, 19 reacties

De rechtbank Midden-Nederland heeft opnieuw geoordeeld dat Ziggo geen waarschuwingsbrief van Stichting Brein hoeft door te sturen naar een klant die mogelijk illegaal downloadde. Dat meldde Tweakers onlangs. De vorige keer ging het om mensen die meehielpen beschermde werken te torrenten, deze keer ging het om een open directory met meer dan 200 e-books. Maar in beide gevallen vindt de rechter het niet nodig dat Ziggo het mogelijk moet maken dat Brein de klant kan waarschuwen.

Zoals het vonnis het uitlegt:

Een open directory is een database die staat opgeslagen op de computer van de gebruiker of op een externe server. De gebruiker heeft die database [met Calishot, AE] toegankelijk gemaakt voor iedereen via het IP-adres waarmee de gebruiker toegang heeft tot het internet. Onder de e-books in de database die via het IP-adres [IP-adres] toegankelijk wordt gemaakt, bevinden zich werken van Nederlandse auteurs. … Het gaat om illegale kopieën en om legaal aangekochte boeken die zonder toestemming van de rechthebbenden openbaar worden gemaakt.
Brein eiste dat Ziggo de klant achter dat IP-adres een waarschuwingsbrief zou doorsturen, zodat deze (hopelijk) met zijn of haar gedrag zou stoppen. Dat was een minder ingrijpende vraag dan waar het die vorige keer om ging, omdat daar Brein zélf de NAW-gegevens van torrentende klanten wilde hebben om ze brieven te sturen. Met dat laatste ging de rechter in februari niet mee, onder meer omdat het zou gaan om strafrechtelijke persoonsgegevens (auteursrechtinbreuk is immers een misdrijf) en Ziggo die niet mag verzamelen ten behoeve van Brein zonder vergunning privédetective.

Brein had zich op het Lycos/Pessers arrest beroepen, maar tot mijn verrassing zegt de rechter nu dat dat niet kan: de Uitvoeringswet AVG zegt namelijk dat alléén de in artikelen 32 en 33 genoemde uitzonderingen het mogelijk maken om strafrechtelijke persoonsgegevens te verzamelen. Lycos/Pessers is gebaseerd op artikel 6:162 BW, dat artikel staat niet in artikel 32 of 33 UAVG en is dus geen grondslag.

Dit is erg raar omdat zeg maar het punt van Lycos/Pessers is dat persoonsgegevens soms mogen worden afgegeven, waaruit volgt dat ze ook mogen worden verzameld in die gevallen. De redenering van de voorzieningenrechter kan ik in ieder geval niet volgen:

Overigens gaat het arrest Lycos/ [naam] zelf ook niet over de verwerking van strafrechtelijke persoonsgegevens, maar over persoonsgegevens in het algemeen. In het arrest Lycos/ [naam] wordt dus ook geen antwoord gegeven op de vraag hoe artikel 6:162 BW zich verhoudt tot artikel 10 AVG en de uitzonderingsbepalingen van artikel 32 en 33 UAVG.
In de zaak van [naam] (Pessers zelf dus) ging het om het misdrijf smaad gepleegd door een Lycos-klant, dat handelaar Pessers civielrechtelijk wilde aanpakken. Het was mij ontgaan dat de AVG zo streng was dat dit arrest niet meer toepasbaar zou zijn in haar eigen geval.

Binnen de uitzonderingen van de UAVG komt Brein er niet. Weliswaar staat daar een uitzondering voor het mogen starten van rechtszaken (artikel 33 lid 2 sub b UAVG), maar die geldt dus alleen voor verwerkingen door Brein zelf. Ziggo wil geen rechtszaak starten en mag de gegevens niet verzamelen. (Wie nu denkt, dan tekent Ziggo een verwerkersovereenkomst en dan mag het wel – nope, zo werken VO’s niet, en bovendien mag Ziggo-de-verwerker niet bij de administratie van Ziggo-de-dienstverlener dus daar valt dan weinig te verwerken).

De rechter ziet dus geen andere optie dan de zaak afwijzen, met (beperkte) kostenveroordeling voor Brein. Terecht? Ik heb enorme moeite met de redenering, hoewel ik wel zie dat Lycos/Pessers aan z’n houdbaarheid zit.

Arnoud

 

Onze softwareleverancier eist dat mijn personeel hun vingerafdruk gebruikt om in te loggen, wat nu?

Geplaatst op in Ondernemingsvrijheid, Privacy, 20 reacties

Een lezer vroeg me:

Ik ben CTO van een dienstverlenend bedrijf. Wij maken gebruik van een externe tool voor gevoelige bedrijfsgegevens, en nu komt de leverancier met een security-update: mijn mensen moeten nu met vingerafdruk zich aanmelden, alle andere authenticatiemethoden zijn afgeschaft. Ik snap dat zij als verwerkingsverantwoordelijke zelf moeten afwegen wat veilig is, maar wat is mijn positie als werkgever nu? Ik zie de discussie al voor me.
Het is vrijwel nooit toegestaan om biometrie in te zetten voor authenticatie, de AP en de wet leggen de lat heel hoog. Ik weet niet om wat voor gegevens het gaat maar tenzij je in de nucleaire energievoorziening of defensie-ondersteuning zit, zie ik dus niet hoe de leverancier Y dit kan rechtvaardigen. Uit de Manfield-zaak weten we dat die lat voor gewone bedrijfstoepassingen te hoog ligt.

Het is inderdaad zo dat zo’n bedrijf als verwerkingsverantwoordelijke optreedt, zij beslissen zelf hoe hun applicatie werkt en welke beveiligingsmechanismen ze inzetten. (Slimmeriken die nu roepen, laat ze een verwerkersovereenkomst tekenen en eis dan een andere authenticatie: nee, zo werkt het niet.) Als klant van zo’n dienstverlener is het dus kiezen of delen of je dit wil doen.

De complicatie hier is natuurlijk dat je als goed werkgever je personeel niet mag verplichten om illegale biometrie te ondergaan. Dat het een keuze is van zo’n bedrijf om het zo te doen, staat daar los van. Als het bedrijf je personeel fouilleert en eist dat je je ontkleedt daarbij, dan zou ook vrij evident zijn dat jij je personeel daar niet aan mag onderwerpen, ook al is dat de keuze van die leverancier.

Conclusie zou dus zijn dat je de tool niet mag gebruiken. Ik zie hoe dat vervelend is, want waarschijnlijk ben je als bedrijf al enige tijd op deze tool en dan is overstappen niet eenvoudig. Maar ik zie geen andere optie, als men werkelijk tot iedere prijs weigert anders te authenticeren dan met biometrie dan houdt het op.

Arnoud

Man krijgt drie jaar cel voor grootschalige datahandel

Geplaatst op in Regulering, Security, 1 reacties

Een 35-jarige man uit Heerenveen is dinsdag veroordeeld tot drie jaar cel, las ik bij Nu.nl. Hij verkocht op internet lijsten met niet openbaar beschikbare persoonsgegevens, die door criminelen misbruikt konden worden voor verschillende vormen van fraude. Bij de strafmaat zit ook hennepbezit en witwassen van 70k, maar toch: dat zie je niet vaak, persoonsgegevenshandel.

Het vonnis bevat voor mij weer een leuke hoeveelheid verbalisantenproza, ditmaal gespekt met cybercrimejargon:

Ik, verbalisant, opende de map ‘ [naam 2] ’ en opende het bestand messages.html met een internetbrowser. Ik zag een export van Telegramgesprekken tussen de accounts [naam 2] en [naam 7]. … Tijdens een gesprek op 6 september 2020 om 16:44 uur zag ik dat [naam 7] aan [naam 2] vroeg of deze nog ’20k nl’ had, [naam 2] reageerde hierop met ‘sws’.
Verbalisant was ambtshalve bekend met het feit dat “20k nl” betekent “Heb jij wellicht een tekstbestand met telefoonnummers van 20.000 Nederlanders”. Dat werd verstrekt in ruil voor betaling met een barkie bol (een meier als Bol.com cadeaubon). Later bleek verdachte ook te handelen in ‘leads’, hier kennelijk bankgegevens van orra (ING) klanten, die na gooien van btc ook daadwerkelijk werden verstrekt.

Na de arrestatie werd de laptop van verdachte doorzocht en werd een verzameling gegevens aangetroffen van malware-data:

Deze verzameling bevat gegevens uit de periode van januari 2021 tot en met maart 2021, is samengesteld op 10 april 2021 en omvat gegevens van ruim 6700 geïnfecteerde computersystemen. De verzamelde gegevens betreffen veelal gebruikersnamen en wachtwoorden voor verschillende internet websites en platformen als ook “autofill” waardes en cookies uit de webbrowser en in enkele gevallen ook bestanden afkomstig van het bureaublad van de geïnfecteerde computers. Per geïnfecteerd computersysteem kan het aantal buitgemaakte wachtwoorden oplopen tot enkele tientallen. Dat geeft deze verzameling een potentieel toegang tot meer dan 100.000 online accounts.
Dit is strafbaar onder artikel 234 Strafrecht:
Hij die stoffen, voorwerpen of gegevens vervaardigt, ontvangt, zich verschaft, verkoopt, overdraagt, verwerft, vervoert, invoert, uitvoert, verspreidt, anderszins ter beschikking stelt of voorhanden heeft waarvan hij weet dat zij bestemd zijn tot het plegen van [oplichting, afpersing of verduistering] voor zover deze feiten betrekking hebben op de verkrijging van een niet-contant betaalinstrument, wordt gestraft met gevangenisstraf van ten hoogste vier jaar of geldboete van de vierde categorie.
Tevens werd diverse keren het misdrijf witwassen gepleegd, door het omzetten van de aldus verkregen cadeaubonnen naar Euro’s en leguanen (ik dacht eerst nft’s maar het ging om levende reptielen). En daarnaast dus 334 gram hennep, alles bij elkaar goed voor vier jaar cel.

Arnoud

Mag ik als securitytester phishingmails versturen met andermans logo?

Geplaatst op in Intellectuele rechten, Ondernemingsvrijheid, Security, 10 reacties
mohamedhassan / Pixabay

Een lezer vroeg me:

Ik ben security consultant en deel van mijn werk is het organiseren van phishing tests bij organisaties. Daarvoor moet ik natuurlijk logo’s en huisstijlen van bekende dienstverleners (zoals Microsoft of Apple, maar ook Nederlandse bedrijven zoals salarisadministrateurs) gebruiken om de testmails en nepsites echt te laten lijken. Nu maakt een klant zich zorgen dat dit merkinbreuk op zou kunnen leveren. Heeft die een punt?
Gebruik van andermans merk om naar producten of diensten te verwijzen die niet van de merkhouder zijn, is in principe merkinbreuk als je het formeel bekijkt. En dat is hier het hele punt, je wilt nu juist verwarring creëren bij mensen over de afzender/eigenaar van die site zodat ze in je phish-truc trappen. Het merkenrecht kent geen expliciete uitzondering zoals fair use in het (Amerikaanse) auteursrecht.

Daar staat tegenover dat merken bedoeld zijn om producten of diensten mee te onderscheiden. Dat doe je niet met zo’n test. Je bent niet je eigen producten aan het verkopen als zijnde Microsoft Authentic of de laatste AFAS vakantiedagen-app of zo. En als je niets verkoopt, of je eigen bedrijf mooier laat lijken door die merken, dan pleeg je per definitie geen merkinbreuk.

Voor mij geeft de doorslag dat je het merk wel móet gebruiken voor een goede test, je kunt geen tests doen als het er niet een beetje realistisch uitziet. Dat is maatschappelijk aanvaard en ook echt nodig om mensen op te voeden / alert te houden. Dat zie ik als een zwaarwegend en wat de merkenwet een “eerlijk” gebruik noemt, en dan kom je in deze categorie (art. 2.23 lid 1 sub c BVIE):

[Gebruik van] het merk met het oog op de identificatie van of de verwijzing naar waren of diensten als die van de houder van dat merk, in het bijzonder indien het gebruik van dat merk noodzakelijk is om de bestemming van een waar of dienst aan te duiden, met name als accessoire of onderdeel; één en ander voor zover het gebruik door de derde plaatsvindt volgens de eerlijke gebruiken in nijverheid en handel.
Dit artikel is normaal bedoeld voor mensen die bijvoorbeeld accessoires verkopen (“past in alle Miele-stofzuigers”) of anderszins naar de merkhouder willen vermijden (“wij gebruiken Google Analytics”). Dat doe je hier eigenlijk niet, want je verwijst naar een phishingsite. Maar je kunt ook zeggen dat je juist wél naar die merkhouders verwijst, met dus in het achterhoofd dat dat nodig is om mensen phishings te leren herkennen.

Ik zou dus zeggen; dit kan, maar vermijd zo veel mogelijk in openbare materialen deze logo’s, of maak ze dan klein en alleen voor de herkenning “oh ja phishing mails van Microsoft”. Ga zeker niet adverteren met “Wij testen op phishing met onder meer nep-loginsites van Google of AFAS, zie screenshots”.

Voor deze klant is dit waarschijnlijk wat weinig zorg. Je kunt dan alleen nog aanbieden dat je de klant zult vrijwaren van claims mochten deze merkhouders zich werkelijk melden bij de klant met een rekening voor merkinbreuk. Die situatie lijkt mij namelijk nogal onwaarschijnlijk – sowieso is de kans klein dat zo’n claim er komt, en als die er komt dan komt die toch al bij jou want jij bent degene die de phishingsite beheert.

Arnoud

 

OM wil makkelijker gegevens van resellers Nederlandse hosters hebben

Geplaatst op in Regulering, 23 reacties
geralt / Pixabay

Het Openbaar Ministerie wil dat het makkelijker wordt om klantgegevens en andere informatie op te vragen van bedrijven die serverruimte in Nederland doorverhuren. Dat las ik bij Security.nl. Men citeert hightechcrime-officier Esther Baars in OM-bedrijfsblad Opportuun die signaleert dat cybercriminelen vaak servers van Nederlandse datacentra gebruiken met tussenkomst van een reseller. Optreden daartegen vereist een rechtshulpverzoek, terwijl de data gewoon hier in Nederland staat. “Dat is werkelijk idioot”.

Baars legt uit waar de kern van het probleem zit:

Vaak gebruiken [cybercriminelen] servers van datacentra in Nederland. Zo’n datacenter verhuurt een server aan een tussenpersoon, een ‘reseller’. Dat mag gewoon. En die reseller verhuurt dan die serverruimte in Nederland weer door aan zijn eigen klanten. Dat maakt het voor ons ingewikkeld om verdachte klanten op te sporen.
Dus zeg maar, het Nederlandse bedrijf verhuurt een opslagbox aan een ondernemer, die daar vervolgens mooie opslagkasten in zet en buitenlandse klanten elk in diens eigen kast wat laat opslaan. Het probleem is dan: waar in de gewone wereld de politie gewoon die kast mag openmaken, moet de cyberpolitie per kast nagaan wat de identiteit van de reseller of de eindklant is om vervolgens in dat land een rechtshulpverzoek te doen – in “Rusland, de Seychellen, de Verenigde Arabische Emiraten, of een ander land waarmee wij geen, of een trage rechtshulprelatie hebben.”

Het punt is natuurlijk, bij zo’n gewone kast in een opslagbox kun je een slotenmaker meenemen en het ding openmaken, of je neemt hem (de kast, niet de slotenmaker) mee naar het bureau om daar rustig na te gaan wat er in zit. Bij een digitale kast, de vps van de klant van een reseller, is dat een stuk complexer:

[Dan] is het niet onmogelijk om een kopie te maken, maar kan dat kopiëren schade veroorzaken voor onbekende klanten die die server ook gebruiken maar niks met de criminaliteit te maken hebben. … [O]nze wet is zo ingericht dat we dan eigenlijk rechtshulpverzoeken moeten doen om die gegevens te krijgen. Dat is werkelijk idioot, want het is gewoon data die in Nederland staat en de plaats delict is dus gewoon Nederland.
Ik denk dat het issue is dat om zo’n kopie te maken je de server even uit moet zetten (‘bevriezen’), maar een typische resellermachine – de opslagbox met de kasten – kan vele tientallen klantensystemen tegelijk hebben. Dan gaan die dus allemaal even uit, en als eentje daarvan dan toevallig de betalingsdiensten van Alibaba in Nederland doet dan wordt het een ongezellige middag.

Ja, ik kan me ook niet direct voorstellen dat dezelfde reseller én een berg pittige cybercriminelen én Alipay Nederland als klant heeft, maar dit is het voorbeeld dat men noemt dus dat zal ergens op gebaseerd zijn. Maar goed ook als het gaat om gewoon een doorsnee gamingdienst of betaald forum, je dupeert een onschuldige ondernemer enkel omdat die bij dezelfde reseller wat afneemt als een crimineel.

De reseller kan gericht servers afsluiten of kopieën helpen maken, maar die is daar zelden toe bereid zonder bevel van de lokale overheid, vandaar die route van het rechtshulpverzoek. En dat gaat inderdaad vaak traag, als men in zo’n land al bereid is om überhaupt iets te doen tegen een reseller wiens klanten in dat land geen directe rottigheid uithalen.

Wat dan wel?

De reseller [weet precies] waar wij moeten zijn. Het zou zo logisch zijn als we de Nederlandse partij kunnen verplichten die exacte locatie te achterhalen en aan ons door te geven.
Komen de kasten weer: de verhuurder van de opslagbox moet een reservesleutel van de box en liefst ook van elke kast hebben. Zo kan gericht de juiste kast meegenomen worden. Het is technisch niet héél moeilijk om dit zo in te richten, de reseller (de huurder) kan vrij eenvoudig aan de hoster (de verhuurder) welke vps van welke klant is en dan desbevolen een kopie daarvan af te geven aan het OM.

Een lastige is, hoe dwing je resellers om dit te doen. Je komt dan al snel bij administratieve procedures uit, zoals dat de hoster moet kunnen meekijken in het VPS controlepaneel maar dan zonder de overige, commercieel zeer interessante, gegevens over de klanten. Of dat de hoster een beperkte set informatie krijgt maar wel moet kunnen nagaan dat dat overeenkomt met de werkelijke configuratie. Het kan allemaal maar praktisch is anders.

Arnoud

Geen updates installeren = geen juridische eisen meer stellen?!

Geplaatst op in Ondernemingsvrijheid, 7 reacties

Via Twitter een leuke melding van informatiemanager Joël de Bruin:

Je apps werken misschien niet zonder updates Als je updates niet installeert, is het mogelijk dat de app of belangrijke functies niet meer werken en raak je je recht kwijt om juridische eisen te stellen.
Nee, die had ik ook nog niet eerder gezien. Het lijkt een standaard Android foutmelding, maar ook zoeken op die tekst of de Engelse vertaling ervan gaf me geen nadere inzichten over waar men precies op doelt.

Het stukje van “misschien niet meer werken” wil ik nog wel geloven, het lijkt me vrij evident dat updates dingen toevoegen of herstellen zodat de werking zal verbeteren. Maar “raak je je recht kwijt om juridische eisen te stellen”?

Ik gok dat dit een vertaling is van “lose your right to make legal claims”. Dat is niet precies hetzelfde als een eis, een claim is ook het uitoefenen van een wettelijk recht. Ik vermoed dan ook dat dit gaat over het AVG recht om je data te kunnen exporteren uit een app. Als je niet update, kan het zijn dat je data niet meer goed te lezen is en daarom een export niet zal kunnen.

De formulering is dan alleen bepaald onhandig: je raakt juridische rechten niet kwijt vanwege het onvermogen van software om die rechten te ondersteunen. Hooguit is het lastiger die rechten uit te oefenen, maar dat is primair het probleem van de app-ontwikkelaar. Maar goed, ik zie wel hoe het installeren van een update een redelijke eis is om zo’n functie werkend te houden.

Iemand een idee waar dit (nog meer) over kan gaan?

Arnoud

Ziggo krijgt last onder dwangsom vanwege ontbreken van vrije modemkeuze

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, 12 reacties
USA-Reiseblogger / Pixabay

De Autoriteit Consument en Markt heeft VodafoneZiggo een last onder dwangsom opgelegd omdat niet alle eindgebruikers van de vrije modemkeuze gebruik kunnen maken. Dat meldde Tweakers vorige week. Vrije modemkeuze moet al geruime tijd mogelijk zijn, en om dat nu eindelijk voor elkaar te krijgen neemt de ACM deze stap. Als het niet op 1 juli mogelijk is, kan de last tot een half miljoen oplopen.

Je zou zeggen dat dit anno 2022 geen discussie meer moet zijn. De basis voor vrije modemkeuze komt uit deze Europese Richtlijn uit 2008. Vanaf dit moment wist iedereen (in theorie) dat uiterlijk in 2010 er in Nederland wetgeving moest zijn die hiermee overeenstemt. Dat is gewoon algemeen Europees recht. En in 2015 kwam er nog een Verordening (2015/2120) over hetzelfde onderwerp, dat is direct een Europese wet.

Nederland had nog even nodig, maar in 2016 kwam er een ministerieel besluit. Hierin staat grofweg “ga het regelen, details volgen”. Je zou dus zeggen dat iedereen dit al enige tijd in de lucht zag hangen. Maar zoals dat gaat: er gebeurde weinig, behalve een hoop gesteggel / lobbywerk / concerntrolling over wat precies een “eindapparaat” is. Daar kwam uit dat de definitie uit de Richtlijn van 2008 het gwoon goed zegt:

de apparaten die voor overbrenging, verwerking of ontvangst van informatie direct of indirect op de interface van een openbaar telecommunicatienet zijn aangesloten; in beide gevallen, direct of indirect, kan de aansluiting geschieden per draad, per optische vezel of via elektromagnetische golven; een aansluiting is indirect wanneer een apparaat geplaatst is tussen het eindapparaat en de interface van het net;
De strekking lijkt me duidelijk: het ding waar je de kabel in steekt die uit de grond komt. Maar er is ook met serieus gezicht voorgesteld dat het aansluitpunt voor de consument pas na het modem van de provider zou zijn, of zelfs na de mediabox van de provider (die op de modem aangesloten zit). De argumenten daarvoor kan ik niet met goed fatsoen samenvatten, dus laten we het erop houden dat de ACM de knoop heeft doorgehakt:
Het netwerkaansluitpunt is het fysieke punt aan het einde van de kabel dat de aanbieder van een openbaar elektronisch communicatienetwerk op locatie van de eindgebruiker binnen heeft gebracht. Het netwerkaansluitpunt is daarmee de grens van een openbaar elektronisch communicatienetwerk (…) Als er een objectieve technologische noodzaak bestaat om (radio)apparatuur als onderdeel van het openbare netwerk te beschouwen, dan moet die (radio)apparatuur deel uitmaken van het openbare netwerk.
Je kunt je natuurlijk afvragen: waarom is dit zo belangrijk? De modem van de provider werkt voor veel mensen prima, en wie meer wil kan het ding in bridge-modus schakelen en eigen routers, wifidingen en wat al niet meer erachter haken. Leuk en aardig, maar in geen enkele vorm van dienstverlening accepteren we dat je eindapparatuur van de leverancier moet gebruiken. Gas, water en elektra komen binnen bij de meter en vanaf daar mag je het zelf uitzoeken. “Het gaat om het principe”, inderdaad.

Praktische redenen te over ook, maar die zijn vooral voor de tweaker interessant. Ik zie zelf meer in het argument dat er een markt hoort te zijn voor dit soort apparatuur, zeker omdat er geen technische redenen zijn waarom een Ziggo-kabel perse in een Ziggo-modem moet gaan. Natuurlijk is er een commerciële reden: de support is lastiger als je niet bekend bent met het modem van je klant. En gewoon nee verkopen gaat niet, praktisch niet en juridisch niet (omdat vrije modemkeuze een recht is).

Arnoud

“Overheid schaadt burgers met principieel ‘nee’ tegen digitale afpersing”

Geplaatst op in Informatiemaatschappij, 13 reacties
Tumisu / Pixabay

Ransomware, kwaadaardig software waarmee criminelen digitale gegevens gijzelen, is een explosief probleem. Uit principe weigert de overheid afpersers losgeld te betalen. Zo opende een recent Follow The Money-artikel over het lastige dilemma voor slachtoffers van ransomware: als je niet betaalt, worden gestolen gegevens op straat gegooid. Dat kan anderen duperen, denk aan zorgdossiers van patiënten of financiële gegevens van je klanten. Moet je dan maar betalen? Of is dat zelfs verplicht vanuit de AVG?

Het idee achter ransomware was ooit vrij simpel: betaal en je krijgt de sleutel voor je gegevens terug. Dat werkte prima voor consumenten, maar er blijken profijtelijker doelwitten te zijn: bedrijven, grote instellingen en gemeenten. Daar kun je meer halen door niet alleen te dreigen met “anders zijn al je gegevens weg” (want men heeft vast wel iets van backups) maar ook te dreigen met “anders publiceren we je gegevens”. En dat hakt erin: bedrijfsgeheimen op straat, maar ook gevoelige informatie of gegevens waarmee men mensen kan hacken. Dat zet even wat extra druk om te betalen.

Het FTM artikel documenteert het overheidsbeleid: niet betalen, we onderhandelen niet met criminelen. Maar daar is genoeg kritiek op uit te oefenen, getuige twee geciteerde deskundigen:

[Rickey Gevers] De overheid heeft in dit soort gevallen een zorgplicht. Ze moet er gewoon alles aan doen om te voorkomen dat informatie van burgers openbaar wordt.

[Floor Terra] niet betalen ‘een mooi ideaal’. ‘Maar op de lange termijn schrikt die strategie alleen criminelen af als ieder onderdeel van de overheid zich daaraan consequent houdt.

Het is voor mij een heel lastig ethisch dilemma. Vooral omdat voor mij voorop staat dat je slachtoffers van een datalek niet gaat verwijten dat het hun schuld is, en dat ze dan maar moeten betalen. Vaak zit daar de ondertoon in van victim blaming, ja natuurlijk doen die criminelen het maar ja jij deed ook wat fout he. Daar is natuurlijk niemand mee geholpen.

Een zwaarwegend argument is voor mij dat je die criminelen niet kunt vertrouwen, ook niet als je betaalt. Want dan komen ze zes maanden later nog een keer, of je opnieuw wilt betalen anders publiceren ze alsnog. En dan lees ik in het artikel “Als data later uitlekt, of als ze zich niet aan de afspraken houden, betaalt niemand ze meer.” Maar dat geloof ik niet. Er is een sterke druk om te betalen, en maar weinig mensen kunnen écht nagaan hoe betrouwbaar ransomware-groepen nu zijn. Dan kun je geen goede beslissing maken, en “op deze site lazen wij dat deze groep onbetrouwbaar is” is dan niet heel sterk.

Ook wordt wel gesteld dat uit de AVG volgt dat je moet betalen om een datalek te voorkomen. Dit omdat je een beveiligingsplicht hebt, en als betalen van criminelen het datalek tegengaat dan is dat maar de “beveiligingsmaatregel” die je moet nemen. Ik vind dat te makkelijk, en vooral: dit is heel erg victim blaming, mensen vertellen dat ze verplicht zijn te doen wat een dader tegen ze zegt. Dat kan echt niet.

Ondertussen ligt er natuurlijk wel gevoelige informatie van je bedrijf of persoonlijke informatie van je klanten, cliënten of burgers op straat. Dat is buitengewoon ernstig, en dáár moet wat aan gedaan worden. Maar dat kan denk ik alleen de overheid: investeren in fundamenteel aanpakken van ransomware, maar ook het opbouwen van beveiligingsexpertise, het opstellen van kwaliteitseisen, randvoorwaarden voor verzekeraars (alleen cyberverzekering indien bedrijf XYZ gecertificeerd), zulke dingen. Ik denk dat het productiever is daar over na te denken dan mensen te verwijten dat ze niet betalen.

Arnoud

 

Wat is die 50 euro nietthuisboete van Albert Heijn juridisch eigenlijk precies?

Geplaatst op in Ondernemingsvrijheid, 65 reacties

Wie zijn boodschappen door Albert Heijn laat bezorgen, maar niet thuis is op het moment van levering, moet een bedrag van 50 euro betalen. De een noemt het annuleringskosten, de ander spreekt van een nietthuisboete. En sommige mensen noemen het verboden, want een koop op afstand mag je toch kosteloos annuleren? Ik ga eens een analytische poging wagen.

Allereerst: ja, natuurlijk is dit een koop op afstand, en die mag je kosteloos annuleren (ontbinden). Echter, gewoon niet thuis zijn om het bestelde aan te nemen is géén annulering, want daarvoor moet je een schriftelijke mededeling doen aan de wederpartij, waarbij een online knop of iets dergelijks in de bestel-app ook goed is (art. 6:267 BW).

De gewonemensentaaluitleg van Albert Heijn suggereert dat het om een vorm van annuleringskosten gaat:

Wordt er niet op de bel gereageerd en krijgen we je telefonisch niet te pakken?Dan laat de bezorger een kaartje achter en zal de bestelling mee retour worden genomen. Er wordt 50 euro in rekening gebracht voor de gemaakte kosten. Dit gebeurt automatisch op je volgende factuur.
Dus ik dacht, ik duik even in de algemene voorwaarden om te zien hoe het daar staat. Dat is eerst de bekende set Thuiswinkel voorwaarden, en dan een tot mijn verbazing zeer slecht lopende eigen tekst (met stijlbreuken, u/jij verschillen, taalfouten en wat dies meer zij). Maar onder “Levering van uw bestelling en boetes” vind je dan
Indien u op het overeengekomen levermoment niet aanwezig bent, wordt uw bestelling geannuleerd. Albert Heijn brengt kosten in rekening voor het annuleren. Deze bedragen € 50,00. … Als je bestelling echter al in productie is genomen, zal Albert Heijn kosten in rekening brengen voor het annuleren. Deze bedragen € 50,00.
Gezien het kopje zou sprake zijn van een boete, maar de tekst van het artikel zegt dat u/jij 50 euro kosten moet betalen. Laten we het daar dan eens op houden. Een dergelijke vergoedingsregeling staat op de grijze lijst van algemene voorwaarden (art. 6:237 sub i BW). Dat betekent dat de ondernemer moet aantonen dat het redelijk is
dat voor het geval de overeenkomst wordt beëindigd anders dan op grond van het feit dat de wederpartij in de nakoming van haar verbintenis is tekort geschoten, de wederpartij verplicht een geldsom te betalen, behoudens voor zover het betreft een redelijke vergoeding voor door de gebruiker geleden verlies of gederfde winst;
De wetgever heeft dus meteen al een voorzet gegeven: toon aan dat dat bedrag een redelijke benadering is van je nadeel als ondernemer, en dan is het goed. Dat is dus hoe Albert Heijn die 50 euro bedoelt, een grove schatting van wat gemiddeld een mislukte levering kost. De kosten van er heen rijden, de boodschappen weer terug nemen, de inmiddels onverkoopbare dingen weggooien, de rest weer in het magazijn/koeling en dat soort dingen. En dat zou dan 50 euro zijn.

Nou is het niet helemaal de bedoeling dat je gewoon een bedrag neemt, maar dat je met een onderbouwing komt. Die is er vooralsnog niet, en ik kan me ook lastig voorstellen dat die er zo kan komen. Want gezien de manier van transport is de kans vrij klein dat men echt dingen weg moet gooien (zelfs de vriezerdingen blijven volgens mij gewoon goed), de rit moest toch al gemaakt, dus dan blijft over de kosten van het gedoe voor je personeel. Maar dat zal geen 50 euro zijn.

Het riekt voor mij dan ook een tikje naar een boete, en ik voel me daarin gesterkt door dat kopje “Levering en boete” uit de algemene voorwaarden. (Gezien de rommelige tekst zou het me niets verbazen als de oude versie van de clausule ook van boetes sprak, en dat een oplettende bedrijfsjurist er een annuleringskostenbeding van heeft gemaakt maar dat het kopje is blijven staan.)

Heel veel maakt het niet uit, want boetebedingen aan consumenten opleggen is eigenlijk al snel onredelijk bezwarend. Dat komt namelijk door de Europese blauwe lijst van verboden bedingen:

de consument die zijn verbintenissen niet nakomt, een onevenredig hoge schadevergoeding op te leggen
Voor ‘schadevergoeding’ mag je ook een zelfverzonnen bedrag lezen dat als straf (“prikkel tot nakoming”) wordt opgelegd. De kern is dus: is het evenredig, is het reëel welk bedrag hier wordt gevraagd? Daarvoor moet je kijken naar de totale consequentie die de consument ondergaat. Een boetebeding is dus niet automatisch verboden, maar enkel een relatief laag bedrag is ook niet genoeg om het altijd legaal te maken.

Het Landelijk overleg van kantonrechters formuleerde in 2018 een set vuistregels voor boetebedingen (sectie 4.3), die ik hier even herformuleer in gewone taal:

  1. Het handelen van de consument is op zichzelf ernstig.
  2. Zo ernstig zelfs dat we het redelijk vinden dat het bedrijf meer mag dan alleen de wettelijke consequenties (zoals wettelijke rente of annuleren overeenkomst).
  3. De boete staat in redelijke verhouding tot de schade of het belang van het bedrijf.
  4. In zijn totaliteit bekeken is de uitkomst voor de consument niet onaanvaardbaar.
Punt 1 zie ik wel, voor mij weegt zwaar dat het om levensmiddelen gaat en gewoon niet thuis zijn is dan verspilling. En ik zie ook wel (punt 2) dat Albert Heijn meer moet kunnen doen dan alleen “dan gaan de boodschappen terug” of wettelijke rente. Want dat laat de consument niets voelen.

Bij 3 weegt zwaar dat de boete niet tot een idioot bedrag op kan lopen. Niet aan de orde hier, de 50 euro is vast ongeacht je bestelomvang. En hoewel ik dus niet weet welke schade AH precies lijdt, zie ik wel dat AH een redelijk belang heeft dat mensen zorgen thuis te zijn als ze boodschappen bezorgen. Dus in zijn totaliteit zie ik de redelijkheid.

Blijft over de vraag: wat nou als je de koop op afstand gauw annuleert als je merkt niet thuis te kunnen zijn? Want de wet zegt niet tot welk moment je mag annuleren, alleen dat je tot 14 dagen mag annuleren. Uitgezonderd zijn de houdbare producten, maar niet alles dat je in de supermarkt koopt telt als “zaken die snel bederven of die een beperkte houdbaarheid hebben” (art. 6:230p sub f lid 2 BW).

AH stelt in de voorwaarden een grens aan het moment waarop je de bestelling mag annuleren:

U kunt uw bestelling tot een uur voordat deze in productie wordt genomen kosteloos annuleren via de AH Compact app. Het moment waarop uw bestelling in productie gaat is afhankelijk van de tijd waarop de bestelling wordt geleverd: [grofweg een dag].
Waar sta je als consument als je tien minuten voordat de vrachtwagen je straat in draait gauw via de chat zegt “ik beroep me op artikel 6:230o BW en ontbind bij deze de overeenkomst”. Zoals gezegd, de wet verbiedt dat nergens letterlijk, die stelt alleen een uiterste termijn van 14 dagen na de levering.

Dit is denk ik het moment dat je uitkomt bij zaken als redelijkheid en billijkheid of misschien zelfs misbruik van recht. Het is voor mij erg onredelijk als je op zo’n laat moment dat recht inroept, omdat het dan eigenlijk alleen is om je eigen tekortkoming (het niet thuis zijn) te verhullen en die boete (die dus legaal is bij die tekortkoming) te kunnen vermijden. Dat behoort niet te kunnen.

Voor wie het daar niet mee eens is: hoe kan AH dan wel zorgen dat mensen extra hard hun best doen om thuis te zijn op het bestelmoment?

Arnoud

Oh ja, dat Parkeerwekker bestond dus nog, maar in hoger beroep niet meer

Geplaatst op in Regulering, 14 reacties

Weet u nog, Parkeerwekker? De app waarmee gebruikers scanauto’s van een gemeentelijke parkeerdiensten konden detecteren, en zo snel de parkeerapp aanzetten omdat ze giechel giechel “waren vergeten” deze aan te zetten. En ja schandalig scanauto’s zijn in strijd met de AVG dus eigenlijk beschermen we de grondrechten hahaha. Het Hof Amsterdam vond het allemaal niet grappig en deed een Kevin O’Leary: ophouden hiermee, dit is aanzetten tot belastingontduiking en uw zogenaamde argumenten nemen wij volstrekt niet serieus. Einde van de app lijkt me.

De dienst herkent met AI scanauto’s van gemeentelijke parkeerdiensten en geeft een seintje zodra zo’n controleur je geparkeerde auto passeert. Nee, dat is voor vergeetachtige mensen, aldus de directeur met een braaf gezicht. “Nee, we knipoogden niet, er zat iets in ons oog. Knipoog.” zoals ze het bij Top Gear zeiden. Kijk, dan verlies je het dus ondanks je mooie juridische argumenten – dat zei ik in 2021 en het bleek nog waar ook. De gemeente Amsterdam kreeg een verbod voor elkaar bij de rechter: Deze app zet aan tot ontduiking van parkeerbelasting.

Uiteraard was men het daarmee oneens, dus werd hoger beroep ingesteld. In mei werd zelfs een extra argument losgelaten: bekeuringen van scanauto’s worden waarschijnlijk automatisch uitgedeeld, met hooguit steekproefsgewijs een controle, en dat mag niet van de AVG. Of zoiets, tot een daadwerkelijk juridisch argument leidde dit alles niet.

Het hoger beroep was vanuit Parkeerwekker vooral een herhaling van argumenten, wat zelden een goed teken is. Het Hof had dan ook weinig geduld met de voorstelling van zaken:

Parkeerwekker [is] een systeem dat ertoe leidt dat in beginsel steeds geen of te weinig parkeerbelasting wordt betaald: de automobilist wordt immers pas gewaarschuwd als een scanauto wordt gedetecteerd. Die waarschuwing kan dus gedurende het gehele tijdvak dat de desbetreffende auto geparkeerd staat niet komen, en als die waarschuwing wel komt zal dat pas het geval zijn enige of geruime tijd na het parkeren van de auto. Daarmee wordt, ongeacht de bedoelingen van de individuele parkeerder, bewerkstelligd dat geen of te weinig parkeerbelasting wordt betaald.
Deze komt echt uit mijn tenen maar het tegenargument zou dan zijn dat je nou eenmaal een trigger moet hebben om “hee je moet betalen” te sturen, en dat het detecteren van een scanauto daar een goede trigger bij is. Nee, is ‘m niet he? U gaat door voor de koelkast:
[A]ls een automobilist die gebruik wil maken van Parkeerwekker een auto parkeert in een betaald parkeren gebied, deze (a) de camera op de weg dient te richten en (b) de app Parkeerwekker dient in te schakelen. Dit laat zich niet verdragen met de stelling dat Parkeerwekker ertoe dient automobilisten die vergeten te betalen aan die betalingsverplichting te herinneren.
Want het hele punt van Parkeerwekker was dus dat je zelf die app activeert en een camera om je heen laat kijken. Hoe je enerzijds kunt vergeten de parkeer-app aan te zetten en anderzijds wel dat allemaal doen, daar ging men nooit op in. En dan zijn we verder snel klaar.

Arnoud