Ius Mentis

Als Microsoft je account blokkeert, moeten ze wel bewijs aandragen waarom

Geplaatst op 31 maart 202228 maart 2022 in Ondernemingsvrijheid, Regulering, 6 reacties

Microsoft heeft het e-mail- en OneDrive-account van eisende partij geblokkeerd, las ik bij ITenRecht.nl. Een verhaal dat we vaker hebben gehoord: MS scant uploads tegen een lijst van bekende kinderpornografie, en blokkeert je account wanneer men een match tegenkomt. Ook als het toevallig of onbedoeld was. Een nieuwe uitspraak voegt daar nu een nuance aan toe: MS moet je wel vertellen om welke afbeelding het gaat.

Het vonnis (rechtbank Rotterdam vorige week) leest als een kopie van de vele gevallen waarover in eerdere zaken en de pers is gerapporteerd. De kern is dat MS een dienst genaamd PhotoDNA gebruikt, die foto’s analyseert om op een slimme manier te matchen met een bestand met bekende (door politiediensten als zodanig aangemerkte) kinderporno. Wanneer een upload wordt gematcht, dan gaat je account meteen op slot. En dat kan dus een definitief slot zijn, zo wisten we van die zaak uit 2020.

In deze nieuwe zaak had de houdster van het account haar oude Samsung-telefoon gesynchroniseerd met Onedrive, zo te lezen om de data snel te redden voordat de telefoon het begaf – wat die daarna ook deed. Ergens in die upload zat een bestand dat matchte, en daarop ging het account dus dicht. Maar welk bestand, hoezo dan, zo vroeg zij? Dat mocht MS niet zeggen:

Waarschijnlijk is PhotoDNA getriggerd toen [naam eiseres] haar foto’s die opgeslagen stonden in de Samsung Cloud synchroniseerde met OneDrive. De afbeelding heeft dezelfde hash als een afbeelding in de database, zodat Microsoft er zeker van is dat de afbeelding die is gedetecteerd in het account van [naam eiseres] dezelfde is als de eerder geïdentificeerde afbeelding. Volgens Microsoft is het op grond van de wetgeving van de Verenigde Staten van Amerika (hierna: VS) niet toegestaan om de afbeelding te verstrekken of in het geding te brengen. Het is Microsoft alleen toegestaan om het file path van de afbeelding aan [naam eiseres] te verstrekken, wat zij ook gedaan heeft.

Microsoft wilde niet meer doen dan enkel de bestandsnaam en de daarboven liggende mapstructuur (“file path”) geven, zodat mevrouw het zelf kon opzoeken in haar Samsung Cloud dan wel lokaal. Maar dat ging in dit geval niet:

[eiseres] heeft ter zitting echter toegelicht, wat door Microsoft niet althans onvoldoende is weersproken, dat zij de afbeelding met de door Microsoft verstrekte informatie niet heeft kunnen vinden op haar computer en dat haar oude Samsung S8 telefoon dusdanig kapot is dat die niet meer op te starten is. Gelet hierop is het voor [naam eiseres] naar eigen zeggen nog steeds onduidelijk om welke afbeelding het gaat.

Wie moet er nu gaan zoeken? Microsoft, aldus de rechter, want die stelt dat er iets aan de hand is met een foto. De regels over bewijslevering impliceren dan dat Microsoft moet laten zien welke foto en wat er mis mee is. En dat MS dat niet zou kunnen vanwege (mij ook onbekende) Amerikaanse wetgeving, is dan haar probleem. Omdat MS dit niet kan of wil, is er dus geen geldige grond voor het afsluiten van het account.

Opvallend nog: het is niet heel gebruikelijk dat grote bedrijven een dwangsom tegen zich krijgen als een consument gelijk krijgt. Grote professionele bedrijven houden zich, zo menen rechters, immers keurig aan vonnissen. Maar deze rechter is wat argwanender:

Gelet op de principiële en onbuigzame opstelling van Microsoft en het door haar op zichzelf terecht benadrukte belang van bestrijding van seksuele uitbuiting van minderjarigen ziet de rechtbank onvoldoende reden om hier in de specifieke context van deze zaak zonder meer van uit te gaan en heeft [naam eiseres] een redelijk belang bij het opleggen van een dwangsom als prikkel om dit vonnis na te leven.

De dwangsom wordt gezet op 5000 euro per dag met een maximum van een ton. Ik wil niet meteen Apples opstelling richting dwangsommen erbij slepen maar ik behoud zelf toch enige skepsis of het account nu vrijgegeven wordt. Zeker als ik dan ook lees dat MS op dat moment dan ook begint over dat “zij niet kan uitsluiten dat het account van [naam eiseres] meer schadelijke afbeeldingen bevat”. Daar had je toch PhotoDNA voor?

Arnoud

Flink moet stoppen met flitsbezorging vanuit vestiging in Utrecht

Geplaatst op 30 maart 202229 maart 2022 in Ondernemingsvrijheid, 22 reacties

Een vestiging van de zogenoemde ‘flitsbezorger’ Flink in Utrecht moet tijdens de bezwaarprocedure gesloten blijven. Dat meldde de rechtbank Midden-Nederland onlangs. Dit bevestigt het gemeentelijk verbod uitgesproken in februari. De flitsbezorger handelt volgens de gemeente Utrecht in strijd met het bestemmingsplan: men zit in een pand waar detailhandel is toegestaan, maar gebruikt het als distributiecentrum. Flink (en de branche) noemt het een ‘darkstore’, want dat klinkt als winkel, maar dat telt juridisch dus niet.

Het vonnis is enkel mondeling gegeven en wordt daarom niet uitgeschreven. De kern is dat Flink in bezwaar ging tegen het bevel om die donkere winkel gesloten te houden, en tijdens de bezwaarprocedure gewoon open wilde blijven. (Tot bezwaar en beroep is uitgesproken, moet je je normaal aan het verbod houden.) De rechtbank ziet geen bijzondere reden waarom Flink open mag blijven totdat het bezwaar is uitgevochten.

Gelukkig is er wel een samenvatting, die de kern goed weergeeft:

De voorzieningenrechter oordeelt dat Flink weliswaar goederen aan consumenten verkoopt, maar dat Flink niet aan alle voorwaarden van het bestemmingsplan voldoet. De vestiging op de Amsterdamsestraatweg heeft namelijk geen showroom en geen afhaalpunt, terwijl dit volgens het bestemmingsplan wel zou moeten bij webwinkels. De voorzieningenrechter is van oordeel dat er sprake is van een overtreding waarop gehandhaafd mag worden.

In mijn woorden: de gemeente heeft in het bestemmingsplan gezegd dat je klanten moet ontvangen, dat gebeurt hier niet, dus dan heeft de gemeente gelijk dat ze je sluiten. Dat je het niet ééns bent met die omschrijving, daar is de bezwaarprocedure voor en de gemeente zit niet zó twijfelachtig in de wedstrijd dat je vooralsnog open mag blijven.

Pakken we even dat bestemmingsplan erbij, wie het wil opzoeken moet Amsterdamsestraatweg 255 Utrecht gebruiken. Deze heeft dus de functie Detailhandel, en daarbij gelden de volgende eisen:

de aard en inrichting van de winkel is afgestemd op de verkoop ter plaatse;
goederen worden in hoofdzaak verkocht in de winkel;
de klant kan in de winkel kiezen welke goederen hij wil kopen;
de winkel is geen bezorgdienst of distributiebedrijf, wat blijkt uit het aanbod, zoals het aanbod van een bepaald assortiment of uit de aard van de winkel, zoals bij een supermarkt of warenhuis.

Wie nu denkt, kan een gemeente gewoon zeggen “een bezorgdienst is per definitie geen detailhandel”: ja, dat kan een gemeente. Die mag immers bepalen wat er waar komt te zitten, en staat dus in haar recht als ze zegt “bezorgdiensten moeten wij niet”.

Dit handhavingsbesluit moet je in het bredere kader zien van de weerstand die in steeds meer gemeentes leeft tegen de flitsbezorgers. Zoals RTV Utrecht eerder meldde:

Overdag is de vestiging een mierenhoop. De dubbele deuren aan de voorkant staan open, door plastic lamellen die de warmte moeten binnenhouden zijn bezorgers te zien. Een door elkaar krioelende meute met grote vierkante roze rugzakken. Om de hoek komt een bezorger aangefietst, over de stoep. Aan de zijkant van het pand staan medewerkers te roken en te praten. … Meerdere keren per dag komen vrachtwagens de winkel aanvullen. ’s Ochtends vroeg, voor openingstijd, de bakker. De Makro komt vaak langs, de versleverancier.

En dit is dus niet op een industrieterrein maar in een pand gewoon in een woningstraat. In andere gemeenten zit men ook in pandjes in strakke straten in de binnenstad, wat natuurlijk de overlast nog eens versterkt. Al vorig jaar december werd bekend dat gemeenten op maatregelen zinnen, maar dat blijkt dus lastig vanwege bestemmingsplannen. Het lijkt er dan ook op dat Utrecht het voortouw wil nemen, en de uitspraak die hier bij de bestuursrechter gaat komen.

Want natuurlijk gaan flitsbezorgers met hun tegen de plinten klotsend durfkapitaal in beroep tot aan de Raad van State, om zo af te dwingen dat zij deze dienst moeten mogen leveren.

Arnoud

Een download binnen je Spotify-abonnement is géén thuiskopie, dus die heffing kan weer iets omlaag

Geplaatst op 29 maart 202227 maart 2022 in Ondernemingsvrijheid, 6 reacties

Het Gerechtshof Den Haag oordeelt dat offline opslag binnen abonnementsdiensten geen privékopieën zijn en dus niet gecompenseerd mogen worden door een thuiskopieheffing. Dat meldde ITenRecht onlangs. Het is het zoveelste deeltje in de grote puzzel omtrent de vraag: waarom betalen we ook weer een thuiskopieheffing?

De thuiskopie is ooit in de jaren zestig bedacht als oplossing voor het dilemma dat je enerzijds wil dat mensen thuis gewoon een bandopname van muziek (later ook film en televisie) kunnen maken, maar anderzijds ook geen groot gat in de inkomsten van muzikanten wilt laten ontstaan door al dat gekopieer. De invulling ging simpel: een vast bedrag per blanco opslagmedium, te betalen bij de aanschaf. Zo bleef alles ook mooi anoniem, privacy was nog een ding in die tijd.

Ondertussen is er natuurlijk wel het een en ander veranderd: zowat elk apparaat bevat opslagruimte, we streamen uit de cloud, er wordt nog steeds gedownload uit illegale bron en ga zo maar door. Het mooie beeld van “men koopt een lege drager en zet daar natuurlijk muziek op” is allang niet meer verdedigbaar.

Toch bleven de thuiskopieheffingen stijgen, en daar kwamen steeds nieuwe rechtvaardigingen bij. Zoals dat de heffing ook voor illegale kopieën dienden, iets dat in 2014 al afgeschoten werd. Een heffing mag alleen voor legaal verkregen kopieën. Toen dook er dus een nieuwe soort thuiskopie op: de cloudkopie (zeg maar je online backup) en de streamingkopie, zeker voor het geval je een liedje tijdelijk opslaat (offline cache) binnen je muziekspeler zoals Spotify.

Dit laatste voelt erg onrechtvaardig en dat is het ook: je betaalt al aan Spotify voor de muziek, en dan betaal je nóg een keer om die muziek in een offline situatie te mogen afspelen? Volgens de letter van de wet echter klopt het: je harddisk of ssd-geheugen in je laptop, tablet of telefoon ís een medium bestemd om dingen als muziek op te slaan en af te spelen, en daar is gewoon een heffing voor verschuldigd.

Het Hof Den Haag echter ziet de uitkomst anders voor zulke cache-kopieën, die men tethered downloads noemt want dat was ooit een hippe term geloof ik. Die kopieën maak jij niet, althans jij beslist niet wat en hoe er wordt gekopieerd. Dat doet de app, zoals ontworpen door de dienstverlener. Bovendien kunnen zij de kopie wissen (bijvoorbeeld na een week opslag). Dat is niet het soort kopie waar de thuiskopie-regeling over gaat. Derhalve mag het thuiskopiebesluit (de hoogte van de vergoeding) dus geen post hiervoor hebben, wat dus betekent dat deze opnieuw opgesteld mag worden.

Helemaal hoofdpijn krijg ik van de redenering over clouddiensten. Je kunt je laptop of telefoon syncen met een clouddienst. Dan moet je ook een thuiskopieheffing betalen, want je maakt dan een thuiskopie in de cloud. Dat mag wél bij de verkoop van de laptop of telefoon in rekening worden gebracht, want het is de bedoeling dat voor zo veel mogelijk soorten kopieën er heffingen betaald worden. Uit een arrest uit 2015 (Copydan) valt op te maken dat het toegestaan is om dan de heffing te leggen bij het apparaat waarmee je de kopie maakt, in plaats van bij het apparaat waarop de kopie opgeslagen wordt. Dus dat.

Arnoud

Wat kan ik doen als slachtoffer van een datalek?

Geplaatst op 28 maart 202227 maart 2022 in Security, 9 reacties

Een lezer vroeg me:

De verhuurder van mijn woning heeft mij laatst gewaarschuwd voor een datalek. Er had een cyberaanval plaatsgevonden op het bedrijf waar mijn verhuurder huurdergegevens registreert. Uit forensisch onderzoek is gebleken dat bij de cyberaanval data zoals persoonsgegevens zijn gekopieerd of onttrokken. Het gaat mogelijk om naam, e-mailadres, telefoonnummer, adresgegevens en bankrekeningnummer. Ik vraag mij af wat ik als slachtoffer hier tegen kan doen?

Het juridisch juiste maar praktisch heel frustrerende antwoord is dat je zorgvuldig bijhoudt welke schade je lijdt door dit datalek, en vervolgens de verhuurder daar aansprakelijk voor stelt.

Ik formuleer het met opzet zo omdat het voor mij een nogal schrijnend punt is dat er zo veel plekken zijn waar persoonsgegevens grootschalig worden opgeslagen (vaak zonder echte noodzaak) en vervolgens vanwege slechte beveiliging komen bloot te liggen. Waarna het slachtoffer weinig anders kan doen dan afwachten tot daar misbruik van wordt gemaakt.

Natuurlijk staat de wet je ook toe om preventieve maatregelen te nemen, als die redelijk zijn om de schade te voorkomen. Maar dat is een beetje lastig hier. Een nieuwe bankrekening nemen is nogal wat, en tegen welk concreet gevaar is dat een preventieve maatregel? Een nieuw e-mailadres voorkomt spam of gerichte phishing van criminelen die alleen het oude kennen. Maar welke financiële schade kun je daar aan koppelen?

Tegelijk moet ik daar tegenover zetten dat er heel vaak niet daadwerkelijk zich meetbare schade voordoet. Ook daarom is het lastig om kwantitatieve uitspraken te doen over wat de schade moet kosten, of welke concrete maatregelen je kunt nemen.

Een cyberverzekering nemen is bijvoorbeeld een veel geopperde mogelijkheid, hoewel je dat natuurlijk moet doen vóór de datadiefstal. Een monitoringdienst die dagelijks het dark web afsurft of je daar verhandeld wordt, het kan maar voelt een tikje overdreven. Vandaar dat ik steeds uitkom bij “afwachten maar” en ongericht “goed opletten”.

Arnoud

Mijn favoriete forum gaat sluiten, mag ik een kopietje van alles trekken?

Geplaatst op 25 maart 202221 maart 2022 in Intellectuele rechten, Ondernemingsvrijheid, Privacy, 11 reacties

Een lezer vroeg me:

Een forum waar ik lid van ben gaat verdwijnen, en daarmee ook de inhoud, honderdduizenden bijdragen van misschien wel duizend gebruikers. Nu wil ik deze inhoud graag bewaren, al was het maar om mijn eigen bijdragen terug te kunnen lezen. Is dat toegestaan? En als andere leden erom vragen, mag ik ze dan een kopie geven?

Om deze vraag te beantwoorden, moeten we naar twee wetten kijken. (De voorwaarden van het forum ga ik negeren, want als die club zich opheft dan eindigt de overeenkomst.)

Allereerst de auteurswet. Op die bijdragen zal in principe auteursrecht zitten. Ook bij korte berichten, een paar zinnen is al genoeg en zelfs één zin kan genoeg zijn, mits enigszins spitsvondig of anderszins creatief. En oké, er zullen vast “/kick” of “+1” of zo tussen zitten, maar dat is ruis in het grote geheel.

De Auteurswet staat het kopiëren van andermans berichten niet zomaar toe. Echter, er is een uitzondering voor eigen oefening, studie of gebruik (de thuiskopie-regeling, artikel 16b Auteurswet). Deze staat toe wat de vraagsteller wil, omdat hij handelt als particulier zonder winstoogmerk en de kopieën voor zijn eigen gebruik maakt.

De grens is dat je de kopie niet met mensen mag delen. Dat beantwoordt dus meteen de vraag over kopietjes geven: dat mag dus niet. Als je dát wil doen, dan is het geen thuiskopie meer maar ‘gewoon’ inbreuk op duizend gebruikers hun auteursrecht. Dat zal dus toestemming vergen van al die leden, en dat lijkt me een onhaalbare kaart.

Je kunt overwegen een poll te starten of iets dergelijks, en dan alleen de berichten te downloaden van de leden die ja zeggen. Als je dat doet, zul je ook berichten met andere mensen hun tekst meenemen. Dat zal gewoonlijk gaan om citaten (“Wim zei op 1 maart 19:09”), en dat is dan weer wél toegestaan zonder toestemming van de betrokkenen.

Oh jee, ik zei betrokkenen, daar zal je de AVG hebben. (Kijk, een korte maar creatieve zin waar auteursrecht op zit.) Want inderdaad, al dat soort berichten zijn dus persoonsgegevens, omdat er namen / pseudoniemen bij staan en wellicht nog wel meer persoonlijke gegevens ook. Dat betekent dat de AVG dus van toepassing is.

Normaal dan, want specifiek hier gaat het net goed: we hebben het over een particulier die voor zijn eigen privé archief (wat had ik ook alweer gepost in 2019) een kopie maakt van persoonsgegevens. Dat valt dan naar de letter binnen de kaders van een “zuiver persoonlijke of huishoudelijke activiteit”, een uitzondering van artikel 2 lid 2 AVG. Ik aarzel een héél klein beetje, omdat we het dus wel om honderdduizenden persoonsgegevens hebben en dat voelt wat veel voor een particuliere verwerking.

Als de AVG wel geldt, dan moet de vraagsteller dus een grondslag hebben, en daarna de opslag goed beveiligen en de hele riedel. Die grondslag is hier volgens mij dan de informatievrijheid, het bewaren van een archief met enige relevantie voor de maatschappij en in ieder geval voor de vraagsteller zelf.

Het is een misverstand dat de AVG niet geldt bij journalistieke verwerkingen (waar ook archieven onder vallen): de AVG géldt wel, maar een hoop dingen zijn niet van toepassing. Zoals het recht te worden vergeten of een kopie te mogen krijgen. Dus als die kopie dan netjes (digitaal en fysiek) beveiligd wordt en verder nergens voor ingezet, dan gaat het goed.

Wil je het archief met iedereen delen, dan is dat een lastig probleem onder de AVG. Volgens mij kom je dan alleen via toestemming (van alle betrokkenen, dus óók geciteerde Wim) van de betrokkenen bij waar je wil zijn. Of via een iets omslachtiger route: regel met het beheer van het forum dat jij het hele spul van ze overneemt, al dan niet met de afspraak dat het forum daarna op schrijfslot gaat. Want als je de rechtsopvolger bent van het forum, dan gaan alle AVG-grondslagen en dingen netjes op jou over, net als de auteursrechtelijke toestemming van iedereen.

Arnoud

Van wie is de IP op wat ik buiten werkuren programmeer?

Geplaatst op 24 maart 202221 maart 2022 in Intellectuele rechten, Ondernemingsvrijheid, 10 reacties

Via Reddit:

“All work that you create during your employment, is owned by XYZ. Check page X for details on this as well.” Page X says “If, in connection with your employment, intellectual property rights are or become vested in results from your work (‘Work’): [… the company owns it]. Dutch Law is applicable.”

De vraagsteller is programmeur, en maakt zich nu zorgen hoe dat uitpakt als hij buiten werkuren een poker-app maakt, terwijl hij tijdens werktijd werkt aan satelliet-besturingssoftware.

Om even met die uren te beginnen: dat is dus in het geheel niet relevant voor de wet. De wet (art. 7 Auteurswet) bepaalt namelijk dat het auteursrecht op wat je voor je werk maakt, aan de werkgever toekomt. Het maakt dan niet uit of het onder werktijd was, op kantoor dan wel thuis, op de eigen laptop of de pc van de zaak of ga zo maar door. Was het je werk, dat is het enige criterium.

Wanneer is iets je werk? Nou ja, als het je opgedragen wordt in ieder geval natuurlijk. Maar als je het uit eigen initiatief doet, dan ook. Mits het dus werkgerelateerd is. En ik erken meteen dat dat een heel vaag onderscheid is: als je een generiek tooltje maakt dat óók voor werk handig kan zijn, is dat werkgerelateerd of niet, als het tooltje ook past bij je hobbyproject in het weekend?

Het contract van de vraagsteller is breder: “all work”, dus kennelijk ongeacht of het met werk te maken heeft. Maar zo makkelijk gaat dat niet: het is niet redelijk om ook de kerstkaarten of die roman op te eisen. Een rechter zal dus die term binnen het redelijke invullen: niet die kerstkaart, maar wél dat tooltje omdat er een redelijke link met je werk is.

Een redelijke link tussen een iPhone-app en satellietbesturing zie ik niet, dus die zou de werknemer zelf mogen exploiteren. Wat ik daarbij altijd wel een lastige vind: hoe zou dat uitpakken als je werkt voor een concern dat beiden doet? Stel je werkt aan software voor Samsung koelkasten en je maakt spelletjes in het weekend. Samsung heeft ergens een games divisie. Is het dan redelijk om te zeggen, dit past bij het werk? Ik neig naar nee, omdat jouw divisie dat werk niet doet. Hooguit kan het in strijd met goed werknemerschap zijn om je eigen werkgever te beconcurreren met een eigen spel, maar dat is een andere discussie.

Arnoud

Van Huffelen: gebruik Europese digitale identiteit zal altijd vrijwillig zijn

Geplaatst op 23 maart 202221 maart 2022 in Privacy, 9 reacties

De Europese Commissie wil dat er een digitale identiteit komt waarmee burgers zich in de gehele Europese Unie kunnen identificeren, maar het gebruik hiervan zal altijd vrijwillig zijn. Dat meldde Security.nl onlangs. Staatssecretaris Van Huffelen van Digitalisering bevestigde dit namelijk in een reactie op Kamervragen van de FvD. De Europese Commissie meldde eerder namelijk dat het ontwerp van de Europese corona-app slechts een ‘eerste versie was van wat zich kan ontwikkelen tot een volmaakte digital wallet’, en dat gaf aanleiding te denken dat dit verplicht zou worden.

Sinds 2014 is er in Europa de zogeheten eIDAS Verordening. Deze regelt een “gemeenschappelijke grondslag voor veilige elektronische interactie tussen burgers, bedrijven en overheden”, en onaardig gezegd is dit een uitgebreidere versie van de al langer bestaande regels over digitale handtekeningen, certificaten en identificatie. De focus verschoof van authenticatie (handtekening) naar identificatie (wie is dit).

In 2020 werd een vervolg aangezegd met als doel “Een e-identiteit die wij kunnen vertrouwen en die elke burger overal in Europa kan gebruiken om van alles te doen – van belasting betalen tot een fiets huren.” Dit werd het concept van de Verordening Europese e-ID, die momenteel dus bij de Europese Commissie en Parlement liggen. De staatssecretaris legt uit:

Het voorstel beoogt dat alle lidstaten één of meer wallets uitgeven, waarin digitale bronidentiteiten en diverse attributen opgenomen kunnen worden en onder regie van burgers en bedrijven gedeeld kunnen worden op een hoog betrouwbaarheidsniveau op mobiele apparaten. … [De Digitale Bron Identiteit] is een door de overheid uitgegeven, erkende en in de wet en regelgeving verankerde, digitale identiteit voor gebruik in de publieke en private sector. Deze Digitale Bron Identiteit bevat een minimale set van identiteitsgegevens die nodig zijn in het maatschappelijk verkeer.

Eind vorig jaar waarschuwden wetenschappers in FTM dat dit een groter Europees experiment was waarin Nederland een hoofdrol speelde (als proefpersoon dus). Dit experiment roept vele vraagtekens op, zoals waar een Europees ID-bewijs echt nodig voor is en wat er met de maatschappij gebeurt als er iets misgaat:

Directeur Vincent Böhre van stichting Privacy First merkt op dat ‘het einde van anonimiteit een ramp zou zijn’ voor journalisten of activisten. ‘Zeker in bepaalde regio´s kan dat levensgevaarlijke situaties opleveren. … Maar eigenlijk moet iedere burger zich anoniem in de openbare ruimte kunnen begeven, kunnen winkelen, zijn mening kunnen uiten. Anders krijg je het chilling effect, een onbewust psychologisch gevoel dat optreedt wanneer mensen zich bespied wanen, als ze niet langer vrij en anoniem transacties kunnen doen, naar de horeca kunnen gaan, kunnen reizen.’

Een forse lobby vanuit Big Tech is natuurlijk heel logisch. Om een simpele reden te noemen, men worstel al heel lang met nepaccounts en dit is een simpele manier om die eruit te kunnen filteren. En nog eentje, je kunt zo advertentie-profielen aan elkaar koppelen met de échte identiteit van je slachtoffer, pardon je gewaardeerde consument. En nog eentje, dat bij een datalek je activiteit bij zo’n site mét naam en toenaam op straat ligt.

Reden voor Kamervragen dus: gaat dit er op deze manier komen, en vooral, wordt het verplicht? Nee, aldus de antwoorden:

Het zal altijd aan de burger zelf zijn in hoeverre ze aan de Europese Digitale Identiteit willen deelnemen. Zoals ik in de Kamerbrief hoofdlijnen beleid voor digitalisering heb benoemd zal er altijd een analoog alternatief aangeboden worden.

Lastig blijft natuurlijk hoe reëel zo’n alternatief dan echt is. Iets kan er in theorie prima uitzien maar in de praktijk een enorme hindernis opwerpen.

Zelf heb ik vooral moeite met de zo te lezen generieke opzet: het is gewoon een elektronische versie van de identiteitskaart die we nu hebben. Dat is jammer, vaak heeft een organisatie maar een beperkt deel nodig. Denk aan leeftijdscontrole bij online video of kansspelen. Dan is het niet nodig dat je eID dan je naam én geboortedatum doorgeeft.

Arnoud

Hoe laten we Legal dat broodje bedrijfscultuur eten? #legaltechtuesday

Geplaatst op 22 maart 202221 maart 2022 in Innovatie, 1 reacties

Hoewel technologie een hoop vooruit kan helpen in de juridische sector, zou het een hoop schelen als de denkwijze, de cultuur van diezelfde sector eens op de schop ging. Dat las ik bij Artificial Lawyer onlangs. Voorbeeld: een AI-tool om discovery te doen: veel sneller door bergen en bergen bewijsmateriaal heen. Leuk, maar waarom héb je dat ouderwetse proces nog, is het echt nodig in iedere juridische procedure met die berg te komen? Is elke claim een marathon die moet leiden tot een winnaar die er met de zak geld vandoor gaat?

Legal tech heeft veel last van dit probleem. “Culture eats strategy for breakfast”, aldus een quote van managementconsultant Peter Drucker. Je kunt nog zo’n mooi plan hebben bedacht, maar als de strategie niet past bij de cultuur van het kantoor dan zal deze niet werken. Ja, misschien worden voor de vorm een paar elementjes opgepakt of komt er een implementatieteam dat de boel opzet en iemand voor de interne nieuwsbrief laat poseren bij het dashboard, maar daarna moet het echt vanzelf gaan.

Deze observatie is niet nieuw, ook niet in de legal tech sector, maar hij is wel erg hardnekkig. Zoals AL verzucht:

A cultural shift toward finding a shared solution in contracts, centred around a standard, would move deals forward more rapidly. Today we have all kinds of tools to help with drafting and reviewing contracts, as well as deal management tools – and all of that software is welcome and useful, but what it can do is limited if the initial engagement between the parties is hostile, overly complex, sometimes random in direction, and where the dominant goal is to defeat the other side on every possible point.

Dit omschrijft natuurlijk mooi hoe contractsonderhandelingen vaak gepresenteerd worden, al zijn er ook vele redelijke, meedenkende en zeker niet kwaadwillende onderhandelaars (ook als advocaat, even voor de duidelijkheid). Je standpunt verdedigen is niet hetzelfde als de wederpartij in een hoek willen schoppen.

De kern is voor mij denk ik vooral dat juristerij te weinig gestructureerd is. “Stand by and let me lawyer” is een uitspraak van de 3 Geeks and a Law blog die mooi laat zien hoe veel juristen denken. Laat me met rust, ik ga dit doen, dit is moeilijk en vereist handwerk. Dát is de juridische cultuur waar je doorheen moet, die je moet veranderen om echt effectief legal tech in te zetten.

Wat ik steeds vaker zie, is een soort van tegenbeweging: organisaties die vanuit andere afdelingen met legal tech experimenteren, en zo de bedrijfsjurist “omzeilen”. Denk aan een HR-afdeling die het opzetten van arbeidscontracten automatiseert, dat is handig voor hun werk (met drie vragen het juiste contract voor de nieuwe medewerker) en je hoeft niet meer naar de jurist bij iedere variatie. Of Sales, die zelf NDA’s of inkoopvoorwaarden laat checken en pas naar Legal gaat als er gekke dingen in blijken te staan. Voor een jurist voelt dit niet helemaal de bedoeling wellicht, maar organisatorisch is het te begrijpen. Er moet iets veranderen.

Arnoud

Als ik een app met datagevangenis gebruik, is de leverancier dan verantwoordelijke onder de AVG?

Geplaatst op 21 maart 202215 maart 2022 in Ondernemingsvrijheid, Privacy, 6 reacties

Een lezer vroeg me:

Wanneer je data opslaat in een clouddienst, is de exploitant daarvan de verwerkingsverantwoordelijke. Beheer je alles lokaal, dan ben je dat zelf. Tot zo ver duidelijk. Maar wat nu als je de data in een app beheert? De data staat wel lokaal maar zit ‘opgesloten’ in de app, waar de exploitant alle controle over kan uitoefenen. Kun je ze dan onder de AVG sommeren om bijvoorbeeld data-export mogelijk te maken?

Onder de AVG is een verwerkingsverantwoordelijke de partij die beslist voor welke doelen persoonsgegevens worden verwerkt, en met welke middelen. (Een verwerker is een partij die voor een verantwoordelijke een verwerking uitvoert, maar dus niet zelf doel of middelen bepaalt.)

Het klopt dus dat als je data in de cloud opslaat, de partij aan de andere kant (“there is no cloud”) de verantwoordelijke daarvoor is. Soms de verwerker – als jij de uiteindelijke zeggenschap hebt over wat men met die persoonsgegevens mag doen. Dit is minder vaak het geval dan je zou denken.

Omgekeerd, enkel het leveren van middelen maakt je geen verwerkingsverantwoordelijke. Als je dus een lokale applicatie gebruikt en daarin persoonsgegevens verwerkt, heeft de leverancier geen rol onder de AVG. Jij (of je organisatie) bent dan zelf de verwerkingsverantwoordelijke.

De situatie met een app is iets ingewikkelder. De vraagsteller noemt het “opsluiten”, dus de data is niet even uit de app te halen zoals bij desktopapplicaties waar je gewoon databestanden naast het programma hebt staan. En natuurlijk kan een app-leverancier veel makkelijker updates forceren dan een traditionele desktopsoftwareleverancier.

Toch maakt dat hem denk ik niet direct een verwerkingsverantwoordelijke: de appleverancier bepaalt nog steeds niet wat je doet met de app, dat doe jij als gebruiker van de app. Natuurlijk wordt dat anders als er functies ingebouwd zijn die onder controle van de leverancier dingen doen (zoals adresboeken uploaden), maar dan hebben we vaak meteen ook te maken met cloudopslag.

Als verwerkingsverantwoordelijke heb je de plicht te zorgen voor de rechten van de betrokken personen. Dat kan dus betekenen dat je ze een kopie van hun persoonsgegevens moet geven, en correcties moet doorvoeren. Als zo’n app dat niet toestaat, ben jij dus niet AVG compliant. De AVG regelt alleen niet dat jij van je leverancier dan een update kunt eisen waarmee dat wel kan – die zegt, gebruik die app dan maar niet.

Europees Parlement wil niet langer bitcoin en ethereum verbieden

Geplaatst op 18 maart 202215 maart 2022 in Innovatie, 19 reacties

Dat las ik met enige verbazing bij Tweakers. Wilde men deze virtuele valuta verbieden? Nee, maar wel een onderliggende technologie, namelijk proof-of-work validatie verbieden vanwege het hoge energieverbruik. Het Europees Parlement heeft namelijk een passage over het verbieden van cryptovaluta die te minen zijn met proof-of-work geschrapt uit de regelgeving over digitale eigendommen. In plaats van een direct verbod, wil het Europees Parlement dat investeringen in cryptovaluta met proof-of-work onder niet-duurzame investeringen komen te vallen.

Al langere tijd woedt er een discussie over het energieverbruik van bitcoin specifiek en cryptovaluta in het algemeen. De New York Times meldde vorig jaar september bijvoorbeeld dat gebruikers van Bitcoin meer energie verstoken dan Finland. Het land dus. Dat komt omdat voor iedere mining van bitcoins een serie complexe berekeningen moet worden gemaakt, waarbij die complexiteit periodiek ook nog toeneemt omdat rekenkracht van computers dat ook doet. Die berekeningen vreten enorme hoeveelheden energie.

Het bekendste alternatief heet proof of stake, en dat is een stuk energiezuiniger. Het lastige is enerzijds dat nog geen enkel groot cryptocurrency-netwerk op proof of stake zit, en dat dit zeker bij Bitcoin nooit zal gebeuren vanwege de enorme investeringen die mensen in bitcoin-mining computers hebben gedaan.

Europa is bezig met een richtlijn om cryptocurrencies te reguleren, en als deel van de discussie daar omheen kwam de klimaatimpact van deze virtuele valuta’s naar boven. Dat leidde tot een amendement dat cryptocurrencies verbood te werken met proof of work, wat effectief dus de doodsteek van bitcoin zou zijn en waarschijnlijk ook van ethereum. Die werken ook met POW maar daar is de kans iets groter dat men overstapt naar POS. Maar dat is dus nu van tafel.

Het nieuwe voorstel is om deze discussie te verhuizen naar een geplande Verordening over sustainability. Effectief zal het gevolg daarvan zijn dat Bitcoin en Ethereum minder interessant worden voor grote organisaties en investeerders. Het plan hier is namelijk om technologieën te labelen naar hun milieu-impact, waarbij het gebruik van ‘slechte’ technologie wordt ontmoedigd (even heel kort gezegd). Een verbod is dat niet, maar als er geen groot geld meer komt voor ontwikkeling en productvernieuwing dan komt dat op hetzelfde neer, volgens mij.

Arnoud