Een rondgemaild Excelbestand kan je zomaar 250 euro per persoon kosten van de AVG

Geplaatst op in Privacy, 14 reacties
tomfield / Pixabay

Het standaardvoorbeeld van een “datalek in het klein”: een Excelbestand met een berg mensen hun gegevens, rondgemaild naar die hele berg. Ergerlijk, vervelend maar “in het klein” want het zal zelden meer zijn dan een paar honderd mensen en gaat meestal om basale gegevens. Zoals je naam, 06 en huisadres naar de dertig mede-ouders van de schoolklas. Maar wat nu als het gaat om 1100 mensen en dan ook je jaarinkomen, eigen vermogen en hypotheek van een te kopen huis? Dat kan dus 250 euro kosten, aldus de rechtbank Rotterdam.

Aanleiding was het nieuwbouwproject ‘Koningskwartier’ in Zevenhuizen in 2021. Ongeveer 1100 mensen hadden zich met interesse gemeld, en daarbij allerlei financiële gegevens verstrekt zoals gewenste koopsom, maximaal te lenen bedrag en jaarinkomen, naast natuurlijk naam en contactgegevens. En toen kwam een dikke vinger:

Op 12 april 2021 heeft [gedaagde] een e-mail verzonden aan alle personen die zich hebben ingeschreven voor het project Koningskwartier. Bij deze e-mail heeft [gedaagde] een onbeveiligd Excelbestand gevoegd met daarin de gegevens van alle ongeveer1100 personen die zich hebben ingeschreven voor het nieuwbouwproject.
Auw. Ja, een minuut later probeerde men dit in te trekken maar dat werkt eigenlijk nooit buiten de eigen organisatie. Datalek dus. Diezelfde avond is iedereen nagemaild met de vraag het bestand te wissen, maar dan is het kwaad natuurlijk al geschied.

Een van de getroffenen ondervoer naar eigen zeggen zo veel overlast dat hij een nieuwe mobiele telefoon moest aanschaffen. De kosten daarvan (750 euro) claimde hij als schade bij de organisatie. Die wilde dat niet betalen, waarop een rechtszaak ontstond. Kern van die zaak was natuurlijk hoe je de schade nu precies onderbouwt. Die 750 euro wordt bijvoorbeeld afgewezen, omdat een nieuwe telefoon het probleem niet oplost (immers met nummerbehoud overgestapt) en het nummer van de man bovendien op onder meer zijn Linkedin vermeld stond.

Eerder hadden we een duidelijke afwijzing, geen 500 euro schadeclaim enkel omdat de AVG is geschonden. Je moet nog steeds aantonen dat er schade is. Dat lukte in één zaak, omdat het daar ging om medische gegevens en het dan “voor de hand lag” dat dit tot schade zou lijden. De rechtbank hier noemt deze zaken niet, maar lijkt wel hetzelfde te redeneren: omdat het gaat om gevoelige financiële gegevens die ook nog eens bij (waarschijnlijk) toekomstige buren terechtgekomen zijn. Dan is schade (reputatieschade, lastig gevallen worden met verzoeken om geld, kwetsbaarheid) wel te voorzien. Daarom kent de rechtbank hier 250 euro schadevergoeding toe.

Een kleine opsteker dus weer voor al die mensen die dachten dat schadevergoeding er onder de AVG niet in zit. Het kan wel, maar het moet wel echt om een pijnlijk datalek gaan. En hoe je dat precies onderbouwt, dat blijft nog onduidelijk.

Arnoud

Tweede Kamer stemt in met verbod op online nepreviews

Geplaatst op in Ondernemingsvrijheid, 14 reacties

De Tweede Kamer heeft ingestemd met een verbod op het plaatsen van nepreviews bij webwinkels en digitale platforms. Dat meldde Tweakers onlangs. Als ook de Eerste Kamer deze implementatiewet goedkeurt, moet rond 22 mei het niet langer toegestaan zijn om gekochte (of anderszins nep)recensies te tonen als handelaar. Ook moet je transparant zijn over hoe je hebt nagegaan dát recensies echt zijn. De ACM zal toezicht houden.

Het probleem van neprecensies is al zo oud als ongeveer de online recensie. Niets is makkelijker dan zelf een berg toprecensies verzinnen en zo je restaurant, winkel of slechtverkopend product een boost te geven. Maar al te evidente nep wordt er ondertussen wel uitgefilterd, zeker bij de grote recensiesites. Een veel voorkomende truc is dan ook nu om mensen tegen betaling een recensie te laten plaatsen, al dan niet na aankoop bij je eigen site.

Een Europese Richtlijn uit 2019 moet daar verandering in brengen. Deze wijzigt de regels over oneerlijke handelspraktijken, onder meer door extra regels over hoe om te gaan met “consumentenbeoordelingen” want een juridische term moet altijd langer zijn dan de gewone.

Het voorstel kent twee belangrijke aspecten:

  1. Het wordt een misleidende handelspraktijk (zwarte lijst) om valse beoordelingen te plaatsen (of laten plaatsen) of valse promotie via social media te organiseren om je handel te promoten. Hieronder vallen ook het verzamelen van neplikes.
  2. Wie recensies publiceert, moet daarbij transparant zijn over hoe de echtheid daarvan is geverifieerd. In het bijzonder: dat ze echt van kopers afkomstig zijn als je zegt dat het consumentenbeoordelingen zijn. (Een professionele review zoals op Tweakers of bij de Consumentenbond valt er dus buiten.)
Wat ik niet kan vinden, zijn hoe je moet of mag omgaan met negatieve recensies. Een makkelijke truc is immers dat je alleen positieve reviews toont, en de negatieve reviews weghaalt. Ik kwam dat laatst tegen: “wilt u ons product reviewen” zei de mail met een stemformulier. Wie 4 of 5 sterren gaf, ging door naar een online recensieplatform. Wie 1, 2 of 3 sterren gaf, ging naar een contactformulier van de winkel zelf met een “wat vervelend, graag helpen wij u”.

Ik zou zeggen dat je dit via punt 1 aanpakt door te zeggen dat hier sprake is van een misleidende voorstelling van zaken. Het wetsartikel wordt namelijk:

aa. het plaatsen of doen plaatsen van valse beoordelingen of aanbevelingen van consumenten of op misleidende wijze voorstellen van consumentenbeoordelingen of sociale media-aanbevelingen, teneinde producten te promoten.
Het weglaten (of voorkomen) van negatieve beoordelingen levert dan een misleidende voorstelling op van hoe de consument je product beoordeelt.

De regels gelden ook voor recensieplatforms zoals Google of Trustpilot, de definitie van “handelaar” is immers breed genoeg. Zij moeten dus transparant zijn over de verificatie dat een recensie echt is. Dit zal zich wel vertalen naar contractuele eisen “u garandeert dat uw recensies niet nep/misleidend zijn”, maar de wet zal meer vereisen dan enkel een luie garantiebepaling. Ik weet alleen niet meteen hoe je dit inbouwt. Ja, je kunt ordernummers eisen maar ik zou niet weten hoe ik naga dat een ordernummer echt is.

Blijft over de restcategorie van negatieve recensies door mensen die bang zijn voor repercussies / geen zin hebben de ondernemer hier op aan te spreken. Die willen geen koppeling met hun aankoop, dus dan vervalt de bewijsmogelijkheid die de wet eist. Dit is een lastige, maar het zou een kleine categorie moeten zijn die eigenlijk misschien niet eens een productbeoordeling te noemen is.

Arnoud

Zijn de boekenrecensiebots van NBD Biblion een goede ontwikkeling? #legaltechtuesday

Geplaatst op in Informatiemaatschappij, Ondernemingsvrijheid, 13 reacties
ahmedgad / Pixabay

De beslissing van bibliotheekorganisatie NBD Biblion om boekrecensies voortaan uitsluitend te laten produceren door AI leidt tot heftige reacties. Dat las ik in tijdschrift Neerlandistiek. Niet in het minst omdat de 700 menselijke recensenten nogal onverwacht met ontslag werden gestuurd, maar ook omdat het voelt als een verschraling: de handgeschreven recensies in bloemrijke taal worden nu vier schuifjes: activiteit (van relax naar concentratie); stemming (van vrolijk naar duister); seks (van geen naar veel); geweld (van geen naar veel). Wie wordt daar blij van?

Wie een paar voorbeelden wil: klik hier. De achterliggende boosheid lijkt met name op de gedachte te rusten dat het recenseren van boeken toch een zuiver menselijke activiteit is, die je niet aan een robot/AI kunt overlaten. Het raakt aan de fundamentele discussie of een AI nu wel of niet goed een tekstanalyse kan maken.

Een aantal lezers vroeg me dan ook, geldt ditzelfde niet ook voor jouw contractenrobot? Niet helemaal, denk ik. Bij analyseren van een zakelijke tekst zoals een contract zoek je naar concreet wat er staat. Welke looptijd heeft dit, wordt hier AVG compliant afgesproken, wat is het plafond qua aansprakelijkheid. Daar zit natuurlijk een stukje interpretatie in (denk aan “hoe streng zijn de security-eisen”) maar dat gaat op een vaste manier, en je kunt dat meten.

Een boekrecensie is naar zijn aard een stuk persoonlijker. Zoals ze bij Neerlandistiek schrijven:

Presteert een groep van om en nabij de zevenhonderd mensen beter dan een paar digitale bots die boeken beschrijven? In de zevenhonderd menselijke hoofden in deze groep zitten allerlei cultureel bepaalde aannames over wat een goed geschreven boek is. Er zitten ook allerlei subjectieve meningen in over welke onderwerpen belangrijk en interessant zijn, over welke verhalen saai zijn, wat cliché-beeldspraak is en over wat een mooie stijl is.
Het laat wel zien hoe moeilijk het dan is om uit zo’n dataset de relevante informatie te halen waarmee je goede uitspraken kunt doen. Bij Tzum citeren ze bijvoorbeeld het boek Alexandra:
De computer vindt dat er niet heel veel geweld in Aleksandra voorkomt en je vraagt je af hoe de computer de communistische terreur, de Tweede Wereldoorlog, de oorlog op de Krim met plunderingen en moorden beoordeelt met een schuifje bij geweld dat in het midden staat.
Het gevaar dat hier achter zit, is dat het systeem getraind is op boeken waarbij geweld een heel andere rol speelt, denk aan Scandinavische moord-detectives. Dan is een verhaal met als achtergrond de oorlog op de Krim niet zo gewelddadig inderdaad.

Het zou een mooie case zijn, zoals ze bij Neerlandistiek bepleiten, om dit algoritme eens helemaal door te lichten. Op welke data is getraind, hoe zijn de labels tot stand gekomen, hoe worden uitkomsten periodiek bijgesteld? Omdat het om boeken gaat, is daarbij geen AVG-risico (zoals vaak bij AI het probleem is).

Arnoud

Kansspelautoriteit heeft EA onterecht dwangsom opgelegd om FIFA-lootboxen

Geplaatst op in Ondernemingsvrijheid, 7 reacties

De Kansspelautoriteit (Ksa) had FIFA-maker Electronic Arts (EA) en zijn Europese dochterbedrijf in 2019 geen dwangsom mogen opleggen, las ik bij Nu.nl. Dit blijkt een uitspraak van de Raad van State te zijn, die kort gezegd oordeelt dat een lootbox in een groter spel niet als een zelfstandig gokspel gezien hoeft te worden. Dat is nogal verrassend.

De Raad legt uit hoe lootboxen bij EA werkt:

Een speler begint met een starterspakket en hij kan zijn team vervolgens aanpassen en verbeteren. Dat kan door virtuele voetballers of in-game items op de virtuele transfermarkt voor FUT-munten te verhandelen of te ruilen met andere spelers. Daarnaast kan een speler een pack (een digitaal pakketje) verwerven, waarvan de precieze inhoud niet vooraf bekend is en dat virtuele voetballers of andere in-game items bevat. De inhoud van de packs kan worden verhandeld op de virtuele transfermarkt. Deze zaak gaat over deze packs (ook wel “loot boxes” genoemd) en de vraag of deze moeten worden aangemerkt als een kansspel in de zin van de Wok.
De Ksa meende van wel, en had EA dan ook een last onder dwangsom opgelegd die bij de rechtbank in stand werd gehouden. Daar was de discussie of je wel iets van waarde kon winnen. Dat bleek het geval, onder meer omdat EA via haar virtuele muntsysteem een officiële markt had gecreëerd.

Bij de hoogste bestuursrechter (waar je bij boetes van toezichthouders uiteindelijk uitkomt, dus niet bij de Hoge Raad) ging het ineens over een ander onderwerp:

De Afdeling volgt EA in haar betoog dat de praktijk is dat gamers de packs alleen openen met het oog op het spelen van virtuele voetbalwedstrijden. Daarbij neemt de Afdeling in aanmerking dat de packs worden verkregen en geopend in de FUT-modus. EA betoogt dat 92 procent van de packs wordt verkregen door spelbetrokkenheid. Gamers kunnen door hun behendigheid FUT-munten verdienen, die zij verkrijgen door wedstrijden te spelen en in-game opdrachten te voldoen.
Oftewel, het is niet zo dat je tijdens een potje voetbal even naar het casino gaat. Je neemt een gok tijdens het spel om je prestaties in de wedstrijd (hopelijk) te verbeteren. Dat je de packs ook los kunt kopen buiten wedstrijden om, maakt dat niet anders: dat is een beperkte kleine groep, en niet de hoofdmoot van het spel. Vanwege deze integratie tussen het kanselement en de wedstrijd, mag je de packs, de loot boxen dus, niet als een apart kansspel benoemen.

Gevolg is dat het besluit van de Ksa geheel onderuit gaat, en EA dus vrolijk door mag gaan met haar lootboxen. Dat betekent niet automatisch dat álle lootboxen in alle games nu weer legaal zijn. De Raad van State geeft immers nadrukkelijk aan dat het gaat om kansspelen die verweven zijn in een behendigheidsspel, waardoor het gokken echt ondergeschikt is aan het werkelijke spel. Ik zou bij bijvoorbeeld een open world RPG een hier en daar te koopstaande schatkist met niet te voorspellen inhoud nog steeds een verboden kansspel noemen. Dat is echt een gok op zich, en er is dan geen directe relatie met het rollenspel dat je aan het spelen bent.

Arnoud

Moet ik mijn contracten herzien als mijn leverancier wordt overgenomen?

Geplaatst op in Ondernemingsvrijheid, 3 reacties

Een lezer vroeg me:

Een IT-leverancier van ons bedrijf is overgenomen door een grotere concurrent. Prima, maar hoe zit dat met onze contracten met deze leverancier? Moeten we bijvoorbeeld opnieuw een verwerkersovereenkomst sluiten, blijft onze SLA doorlopen en ga zo maar door?
Deze vraag krijg ik in vele variaties met enige regelmaat, dus ik ga proberen hier een algemeen antwoord op te geven. Er zijn namelijk vele manieren waarop een bedrijf kan worden overgenomen, en dat maakt uit voor de status van contracten met dat bedrijf.

De simpelste manier is dat de koper eigenaar wordt van een meerderheid van de aandelen in het bedrijf. Dan verandert er namelijk niets: het bedrijf is nog precies dezelfde bv (of nv), dus alle contracten blijven gewoon van kracht.

Alleen als het contract expliciet een zogeheten “change of control” clausule bevat, dan kan dat anders liggen. Want een verkrijging van de meerderheid is een verandering van controle in de zin van die bepaling. De standaardversie van zo’n CoC clausule bepaalt dan dat de wederpartij (de vraagsteller dus) mag opzeggen als zhij dat wil. Dus ook dan verandert er niet perse iets, hooguit kun je dan zeggen dat de vraagsteller dan van de contracten af mag.

De andere veel voorkomende manier is dat de overnemende partij goederen overneemt, dus geen controle krijgt in het IT-bedrijf maar juist bepaalde assets verkrijgt. Dan is sprake van contractsovername, de dienstverlening wordt overgenomen door de overnemende partij. Dit vereist medewerking van de wederpartij (de vraagsteller dus), maar dat is iets dat in het contract / de algemene voorwaarden kan zijn geregeld.

Ook de verwerkersovereenkomst (die hoort bij het contract) wordt dan mee overgenomen en ook daarbij is dan zo’n regeling mogelijk. Echter, de kans lijkt me groot dat de overnemende partij op een andere manier gaat werken dan de oude IT-dienstverlener, dus dat zal herziening van de verwerkersovereenkomst vergen.

In de IT zie ik ook wel dat men software verkoopt en dan stilzwijgend veronderstelt dat “de licenties” meegaan. Dat is dus niet perse zo: een licentie is ook een contract (of het nou desktop is of SaaS) en dat vereist dus contractsovername zoals hierboven aangegeven.

Arnoud

Grootste internetproviders blokkeren sites RT en Sputnik, moet dat eigenlijk wel?

Geplaatst op in Informatiemaatschappij, 28 reacties

Internetproviders VodafoneZiggo, T-Mobile en KPN blokkeren vanaf vandaag de websites van RT (voorheen Russia Today) en Sputnik News. Dat meldde de NOS dinsdag. De blokkade is een uitvloeisel van de maatregel waarover ik vorige week blogde, want daarin werden ook internetproviders aangemerkt als “exploitanten” die deze twee media moeten blokkeren. Provider Freedom gaat al in bezwaar. Niet heel raar, want naast dat dit érg vergaand is, kun je ook gerust juridische vraagtekens stellen bij de interpretatie.

De kern van het verbod is een brede volzin:

Het is exploitanten verboden inhoud die door de in bijlage XV vermelde rechtspersonen, entiteiten of lichamen wordt verstrekt, uit te zenden of de uitzending van die inhoud mogelijk te maken, te faciliteren of anderszins daartoe bij te dragen, onder andere door transmissie of distributie, ongeacht het middel, bijvoorbeeld via kabel, satelliet, IP-TV, internetproviders, internetplatforms of applicaties voor het delen van video’s, ongeacht of deze nieuw of voorgeïnstalleerd zijn.
Ik heb twee woorden vet gemaakt die essentieel zijn voor de blokkade door VodafoneZiggo en consorten. Allereerst dat verbod. Logisch voelt dat een internetprovider door de ACM wordt gecontroleerd, maar dat staat dus anders in de Telecommunicatiewet (artikel 15.3a):
Ingeval bij of krachtens deze wet regels worden gesteld ter uitvoering van het Internationaal Telecommunicatieverdrag dan wel ter uitvoering van verordeningen, richtlijnen of besluiten als bedoeld in artikel 288 van het Verdrag inzake de werking van de Europese Unie op het gebied van openbare elektronische communicatienetwerken en -diensten, kan overtreding van die regels ook als strafbaar feit worden aangemerkt dan wel worden bestraft met een bestuurlijke sanctie indien deze regels in de Engelse taal zijn gesteld en bekend gemaakt.
We hebben het hier immers over een verordening die uit de EU komt (dat artikel 288 VWEU) en het betreft dienstverleners op zulke netwerken. Dus mag het als strafbaar feit aangemerkt worden, en logisch dat het OM daar dan op handhaaft.

En waarom is het een strafbaar feit? Daarvoor moeten we terug naar de Verordening uit 2014, ingevoerd bij de eerste inval van Rusland. Daar hoort een Nederlands Besluit bij verbiedt in Nederland wat de Europese Verordening allemaal opdraagt te verbieden, en dan gaan we weer een stapje omhoog naar de Sanctiewet 1977 (die Nederland toestaat zo’n besluit in te voeren) en van daaruit opzij naar de Wet op de economische delicten, die in artikel 1 de Sanctiewet noemt en in artikel 2 zegt dat het overtreden daarvan een misdrijf oplevert. Waartegen het OM dus in actie kan komen.

Dan het begrip ‘uitzenden’. Dat is natuurlijk een klassieke media-term, een kabelprovider mag dus RT niet meer in haar pakketten aanbieden. Maar we hebben het hier over internettoegangsproviders, die verlenen toegang tot internet en verzorgen geen uitzendingen. Men blokkeert nu een website, in plaats van een uitzending. Valt dat wel onder het bereik van het sanctieverbod?

Dit is nog een heel gepuzzel, waar ik eerlijk gezegd nog niet helemaal uit kom. De kern is dat een ‘uitzending’ gedefinieerd wordt gericht op de klassieke manier: een transmissie naar het publiek die het dan kan bekijken. On-demand valt er niet onder, en alleen al daarom zouden internetdiensten (zoals een website met een videoplayer) er niet bij moeten horen. Dit staat ook nog eens in de e-commerce richtlijn, overweging 18:

Televisieomroepactiviteiten in de zin van Richtlijn 89/552/EEG en radio-omroepactiviteiten zijn geen diensten van de informatiemaatschappij omdat zij niet op individueel verzoek verricht worden. Diensten daarentegen die van punt tot punt worden doorgegeven, zoals video op verzoek of het verlenen van commerciële communicatie via elektronische post, zijn wel diensten van de informatiemaatschappij.
Tegelijk blijf je dan zitten met de vraag: wat doen die internetproviders dan in de lijst, als zij niets langskrijgen dat een “uitzending” is en dus niets te blokkeren hebben?

Een mogelijke oplossing is dat je zegt, het gaat er niet om dat internetproviders ‘uitzenden’, maar dat ze “bijdragen” aan uitzendingen doordat ze terugkijken via de website mogelijk maken, of omdat je een livestream kunt bekijken die gelijk is aan de klassieke uitzending. Toegang tot een livestream van een televisie-uitzending geven kun je immers op één lijn stellen met het doorgeven van de uitzending zelf.

Helemaal bevredigend is het niet. Het helpt niet dat de betrokken overheidspartijen – ACM en OM met name – geen toelichting geven. De ACM komt niet verder dan “dit is niet in strijd met netneutraliteit” en dat is inderdaad zo, want iets blokkeren op basis van een wettelijk verbod is gewoon een vaste uitzondering op netneutraliteit. Maar het helpt niet bij de vraag wat en waarom men moet blokkeren.

Arnoud

Is de eigenaar (of fabrikant) van een Internet of Things-apparaat aansprakelijk voor de schade?

Geplaatst op in Ondernemingsvrijheid, 7 reacties

Een lezer vroeg me:

Stel dat je als consument een IoT-apparaat aanschaft en dit apparaat wordt gehackt. Is de fabrikant dan aansprakelijk voor de schade? Kan in sommige gevallen de consument zelf aansprakelijk zijn?
Het blijft om te huilen, die brakke beveiliging van internet-enabled apparaten zoals camera’s, videorecorders, televisies, thermostaten en ga zo maar door. Slechts weinig fabrikanten leveren updates bij zulke apparaten, en vaak is het apparaat uit de doos zó achterhaald dat het binnen een kwartiertje gehackt is en als botnet-zombie kan worden gehuurd door wie maar een paar cent beschikbaar heeft.

Recente wetgeving gaat hier hopelijk iets van verbetering in brengen, al blijft het in eerste instantie bij duidelijke informatie tot wanneer je updates krijgt. Maar een wettelijke plicht dat je als consument zelf een wachtwoord moet instellen, die is er nog steeds niet. Dus de kans dat je brakke apparaat met internettoegang (de Nederlandse vertaling van IoT-apparaat) ergens schade aanricht, is er nog steeds.

Waar schade is, ruiken advocaten aansprakelijkheid. En terecht, want in de wet staat immers dat je schade moet vergoeden – tenminste, als die door een “onrechtmatige daad” is toegebracht. Dat is een daad die niet hoorde te gebeuren, zeg maar even, iets dat tegen de wet is of tegen wat we de “maatschappelijke zorgvuldigheid” noemen.

Een hele lastige is natuurlijk hoe je de eigenaar van zo’n apparaatje achterhaalt, want dat is wel een voorwaarde voordat je schadeclaims kunt indienen. Met een IP-adres uit een botnetaanval bijvoorbeeld kan dat in theorie (via de provider) maar dat is een hoop, duur werk en of je de héle schade bij die ene bot z’n onwetende baasje kunt neerleggen, daar zijn juridische scripties over te schrijven. Dus praktisch gezien zie ik dit niet echt gebeuren.

De fabrikant is iets makkelijker aansprakelijk te stellen, al krijg je daar het probleem dat de schade ook door andere dingen veroorzaakt kan zijn. Updates niet bijgewerkt, de firewall niet conform de handleiding dichtgezet, ga zo maar door. En natuurlijk de vraag of het fair is dat een stilgevallen elektriciteitscentrale (door een ddos-aanval met brakke koelkasten) voor rekening van de koelkastfabrikant moest komen.

Praktisch gezien zie ik het dus niet echt gebeuren, niet tegen consumenten in ieder geval. Bij fabrikanten zal er vast over een paar maanden een interessante zaak komen, maar verwacht geen kortetermijnuitkomsten.

Arnoud

Wie belasting ontduikt met cryptomunten, moet snel aangiftes verbeteren

Geplaatst op in Regulering, 20 reacties

Advocaten adviseren cliënten die stiekem bitcoins bezitten om oude belastingaangiftes te verbeteren. Dat meldde Trouw een tijdje terug. De fiscus kan binnenkort namelijk zelf nagaan of iemand cryptomunten bezit, en aangezien ze vanwege een nieuwe Europese wet kunnen ontdekken dat je die niet opgegeven had als bezit, is het maar beter om dat nu zelf te doen en zo de naheffing voor te zijn.

Er bestaan al geruime tijd regels over informatiedelen tussen belastingdiensten. Europa wil deze nu uitbreiden tot ook cryptovaluta:

Door de aanpassing van de richtlijn zouden exchanges (handelsplatformen voor cryptomunten, red.) en digitale banken zoals het Luxemburgse Bitstamp verplicht worden informatie door te geven. Welke gegevens dat concreet zullen zijn, is nog niet definitief vastgelegd, maar wellicht gaat het over de aan- en verkopen en de saldi op de wallets (elektronische portemonnees, red.) aan het begin en het einde van het jaar.
De richtlijn die men bedoelt staat in het jargon bekend als DAC8:
Met DAC8 wenst de Europese Commissie de bestaande regels te versterken en het kader voor de uitwisseling van informatie op belastinggebied uit te breiden naar cryptovaluta en e-money. De openbare consultatie op DAC8 is inmiddels afgerond. De beoogde publicatie van het richtlijnvoorstel had in het derde kwartaal van 2021 klaar moeten zijn maar deze is voorzover ik heb kunnen zien nog niet gepubliceerd.
De laatste zin lijkt nog steeds waar: het laatste dat ik kon vinden, is een persbericht van december waarin men “werkt aan de routekaart” om tot DAC8 te komen. Het zal dus hoe dan ook nog even duren. Want na aankondiging van het eerste concept ben je al gauw een jaar verder tot deze aangenomen is. En daarna hebben lidstaten zoals Nederland 2 jaar om hun eigen wetgeving aan te passen zodat deze voldoet aan de Richtlijn. En pas daarna kan dus onze Belastingdienst die gegevens vorderen bij exchanges en andere relevante punten.

Maar, en daar ging het om in het Trouw-artikel, de fiscus kan met navorderingen 5 jaar terug in de tijd gaan. De aangifte 2021 valt dus zeker te controleren met wat men straks in 2025 of 2026 te pakken weet te krijgen. Misschien zelfs 2020 ook nog als implementatie wat vlot gaat. En dat is misschien even slikken, zo lees ik bij Trouw:

“Veel van mijn cliënten hebben ooit een paar duizend euro ingelegd”, zegt Marco Bik, partner bij Jongbloed Fiscaal Juristen in Enschede. “Zij zitten nu boven de ton met dat vermogen, en enkelen hebben zelfs meer dan een miljoen.” Ook Bik zegt dat veel van deze beleggers niet weten dat zij die bedragen moesten invullen op de aangifte.

Volgens mij was het al sinds 2018 bekend dat bitcoins fiscaal bezit zijn en in box 3 aangegeven moeten worden. Maar dat terzijde.

Arnoud

Mag ik na mijn laatste werkdag nog even in de zakelijke mail kijken voor de zekerheid?

Geplaatst op in Ondernemingsvrijheid, 19 reacties

Een lezer vroeg me:

Ik ga op 1 maart met pensioen na 35 jaar bij dit bedrijf. Per die dag wordt mijn wachtwoord ook geblokkeerd en alle toegang tot online diensten. Ik heb daar wel moeite mee, want wellicht zijn er de komende dagen nog relaties die mij iets willen zeggen of wil ik voor mijn autobiografie nog wat oude stukken inzien. Is de wet echt zo hard, of heb ik (bijvoorbeeld via de GDPR) recht op toegang?
Ik moest gelijk denken aan de situatie van een ex-directeur die op vrijdag zijn laatste dag met afscheidsborrel had (met 250 aanwezigen), op maandag nog even een vergeten doos ging ophalen en toen een identiteitsbewijs moest laten zien en contactpersoon moest noemen. Ja, de receptioniste had net haar eerste dag en de procedure was streng maar raar is het wel.

Maar om de vraag te beantwoorden, nee, je hebt geen recht op voortgezette toegang tot je mailbox. Net zo min als je recht hebt op toegang tot het pand na je laatste werkdag, ook niet om nog even te kijken of er nagekomen post op je bureau ligt of om gemiste collega’s even de hand te schudden. (Oké, als je dus een afspraak met die mensen maakt dan mag het wel, maar dat is wat anders.)

Tegelijk snap ik het wel, het voelt natuurlijk heel onwennig en raar om ineens niet meer aan het infuus van nieuwe berichten te liggen, zeker na zo veel jaren en in een senior positie. Maar de wet kan je daarbij niet helpen, sympathieke collega’s wel.

Gepensioneerde lezers, hoe zijn jullie van dit gevoel van “ik mis vast nog een mail” afgekomen?

Arnoud

EU-sancties tegen Russische staatsmedia RT en Sputnik van kracht

Geplaatst op in Regulering, Uitingsvrijheid, 24 reacties
mohamedhassan / Pixabay

De Europese Commissie verbiedt per direct de toegang in de EU tot de zenders van het Russische RT en het persbureau Sputnik. Dat meldde RTL Nieuws afgelopen woensdag. De gestrafte media zijn volgens de EU ‘instrumenten van het Kremlin’ om Russische propaganda in de oorlog tegen Oekraïne te verspreiden. De wettelijke maatregel geldt voor de transmissie en distributie via satelliet, kabel, onlinevideokanalen en zowel nieuwe als bestaande apps. Uniek volgens mij, zo’n Europese maatregel om twee specifieke media uit de lucht te krijgen. Maar welke juridische basis heeft het?

De formele basis is makkelijk te vinden: Verordening 2022/350, met superspoed aangenomen en per direct van kracht. De verordening bevat een wijziging van de Verordening uit 2014 met anti-Rusland maatregelen vanwege diens “illegale inlijving van de Krim en Sebastopol”. De wijziging komt neer op één toevoeging:

Het is exploitanten verboden inhoud die door de in bijlage XV vermelde rechtspersonen, entiteiten of lichamen wordt verstrekt, uit te zenden of de uitzending van die inhoud mogelijk te maken, te faciliteren of anderszins daartoe bij te dragen, onder andere door transmissie of distributie, ongeacht het middel, bijvoorbeeld via kabel, satelliet, IP-TV, internetproviders, internetplatforms of applicaties voor het delen van video’s, ongeacht of deze nieuw of voorgeïnstalleerd zijn.
(Lid 2 beveelt schorsing van uitzendlicenties, niet relevant omdat op de Nederlandse kabel geen RT of Sputnik te ontvangen is.)

Dit is uniek bij mijn weten: nog nooit heeft de Europese wetgever een specifieke informatiebron op deze formele manier verboden in Europa. En het is een breed verbod ook, niemand mag behulpzaam zijn bij de toegang tot deze bronnen. Geen kabelzenders, maar ook geen internetproviders en “applicaties voor het delen van video’s” waarmee denk ik Youtube bedoeld wordt. Dat is nogal wat, en geen wonder dat een hoop mensen nu toch hun censuurgezicht trekken.

Er zijn heel weinig precedenten, dat maakt het lastig in te schatten waar de EU staat. Maar wat er is, is weinig hoopvol voor de advocaat die hier (als dat mag van de Orde) bezwaar tegen gaat maken. De meest relevante uitspraak is uit 1999 toen het Europese Hof voor de Rechten van de Mens Turkije veroordeelde. In die zaak werden een wetenschapper en een uitgever strafrechtelijk veroordeeld vanwege publicatie van “propaganda”, namelijk een publicatie over de Koerdische onafhankelijkheidswens. Die zou ingaan tegen het beginsel van de ondeelbaarheid van de Turkse staat en dus staatsondermijnende propaganda zijn.

Het Hof erkende dat er voor de veroordeling een wettelijke grondslag was (net als hier) en die wet als doel had de bescherming van de nationale veiligheid en de territoriale integriteit (net als hier). Maar een verbod moet echt een uiterste middel zijn, immers ook meningen die dienen om te shockeren, beledigen en aanstoot geven zijn legale vrijheid van meningsuiting. Het Hof vond de veroordeling te ver gaan, met name omdat de straffen erg zwaar waren en er geen sprake was van oproep tot geweld of zelfs maar het steunen van de Koerden.

Er zijn er meer, ook over de Armeense genocide, allemaal dezelfde strekking: een breed verbod met als doel het tegengaan van ‘propaganda’ kan eigenlijk niet. Ook onwelgevallige meningen moeten kunnen, ook als men de staatsopvatting tegenspreekt of zelfs een gehate partij steunt die zich wil afscheiden.

Nou kun je natuurlijk wat RT zegt ook “maar een mening” noemen, maar volgens mij is er ondertussen overtuigend bewijs genoeg dat het bij RT niet alleen gaat om een andere politieke stellingname. Zoals het US Department of State het zegt:

RT and Sputnik are key state-funded and directed global messengers within this ecosystem, using the guise of conventional international media outlets to provide disinformation and propaganda support for the Kremlin’s foreign policy objectives. RT and Sputnik also interact with other pillars of the ecosystem by amplifying content from Kremlin and Kremlin-aligned proxy sites (some of which are connected to Russian intelligence), weaponizing social media, and promoting cyber-enabled disinformation.
Dat is voor mij wel andere koek dan de bestaande jurisprudentie, waarbij ook de term “propaganda” wordt gebruikt door de overheid maar wel tegen meer oprecht onderzoekend of reflecterende publicaties. In ieder geval niet waarbij de publicisten door een vreemde mogendheid werden gefinancierd met het doel om het land te beïnvloeden. Dat maakt RT en Sputnik echt wel uniek, en ook gevaarlijk. Zoals de EU het formuleert in de Verordening, overweging 6:
De Russische Federatie voert een systematische internationale campagne waarbij de media worden gemanipuleerd en feiten verdraaid om haar strategie van destabilisering van haar buurlanden, en van de Unie en de idstaten van de Unie te ondersteunen. De propaganda richt zich met name herhaaldelijk en consequent op Europese politieke partijen, met name tijdens de verkiezingsperioden, alsook tegen het maatschappelijk middenveld, asielzoekers, Russische – etnische minderheden, genderminderheden, en de werking van democratische instellingen in de Unie en haar lidstaten.
En ondertussen staat ook echt wel vast dat van zo’n campagne sprake is. Dat maakt zware maatregelen zoals een verbod eerder gerechtvaardigd. Hierbij weegt voor mij dan mee dat er weinig andere middelen zijn; ze bij de bron verbieden of ingrijpen gaat niet, ze zitten immers in Rusland. Eigen tegeninformatie publiceren is geen doen, flooding the zone with shit is vele malen makkelijker dan alles netjes debunken. Ook is belangrijk dat er geen strafmaatregelen volgen tegen de journalisten of uitgevers (zoals in die jurisprudentie dus wel gebeurde), er zitten geen boetes of celstraf in de lucht.

Daarmee is het voor mij wel duidelijk: dit verbod zal standhouden, gezien de unieke situatie en positie van deze twee partijen. (Ik zie dus weinig in een glijdende-schaalargument dat straks iedereen alleen nog maar de EU-propaganda mag nakauwen, want deze regels gáán niet over iedereen, en de jurisprudentie is duidelijk dat dat ook onmogelijk is.)

Arnoud