Vrouw loopt blijvend oogletsel op door ongeluk met drone in Katwijk

Geplaatst op in Regulering, 25 reacties
AlLes / Pixabay

Een 42-jarige man uit het Valkenburg heeft op 4 mei vorig jaar met zijn drone blijvend oogletsel veroorzaakt bij een fietsster in Katwijk, die in haar gezicht werd geraakt door het apparaat. Dat meldde het Leidsch Dagblad vorige week. De kantonrechter verklaarde de man schuldig, maar legde hem geen straf op. Bovendien bleek dat de man geen idee had van de regels voor het besturen van een drone en daar ook nooit onderzoek naar heeft gedaan.

De bestuurder kon niet voorkomen dat zijn drone ter hoogte van een basisschool neerstortte en terechtkwam op een fietser, die als gevolg daarvan zwaar lichamelijk letsel heeft opgelopen. Dat meldt het OM in een persbericht. Het vonnis lijkt niet gepubliceerd te zijn, wat gezien aard en soort zaak niet erg raar is.

De uitspraak (schuldigverklaring zonder straf) is ook logisch: omdat de bestuurder zich schuldbewust opstelde en met het slachtoffer een betalingsregeling had getroffen, eiste het OM geen nadere boete of celstraf. Dat zou hier helemaal niets toevoegen.

Een lezer vroeg me naar aanleiding van deze uitspraak of dat wel kan, schuldig zijn maar geen straf. Ja, dat staat in de wet (art. 9a Wetboek van Strafrecht). Het is immers goed denkbaar dat je wel vindt dat iets strafbaar is en de dader het gedaan heeft, maar dat je toch het opleggen van straf nergens goed voor vindt.

Dit is dus wat anders dan bijvoorbeeld overmacht. Als de rechter had geoordeeld dat die drone door een windvlaag de vrouw had geraakt, en de windvlaag was geheel buiten de macht en risicosfeer van de bestuurder, dan was de man naar huis gestuurd met “ontslag van alle rechtsvervolging”. En nog weer anders is vrijspraak: als de rechter niet bewezen vindt dat de man het strafbare feit gepleegd heeft, geheel los van overmacht of noodweer, dan volgt vrijspraak.

Het Openbaar Ministerie (OM) had de zaak niet alleen vanwege het ongeval voorgelegd aan de rechter. De man heeft zijn drone ook te dicht in de buurt van het zweefvliegveld Valkenburg laten vliegen. Daarvoor is speciale toestemming nodig, die de man niet had. Wat dus niet gek is, gezien hij de regels in het geheel niet bleek te kennen over drones.

Arnoud

Sonos wint van Google in zaak over patenten

Geplaatst op in Intellectuele rechten, 1 reacties
DarkmoonArt / Pixabay

Speakerfabrikant Sonos heeft een zege behaald op Google in een juridisch gevecht over patenten. Dat las ik bij RTL Nieuws onlangs. Het bedrijf wist bij de Federal Trade Comission een voorlopige voorziening te krijgen die bepaalt dat Google (Alphabet dan) inbreuk maakt op vijf van haar octrooien. Google had toegang tot Sonos-technologie gekregen toen Sonos in 2013 muziekdienst Google Play Music met zijn systeem wilde laten samenwerken. Het laat zien wat de échte reden is om patenten op software te willen.

Sonos leek mij altijd een grote jongen – market cap 1.5 miljard – maar valt natuurlijk in het niet bij Google en haar moederbedrijf Alphabet. Samenwerken met zo’n grote partij is dan aantrekkelijk, maar komt met een bekend risico:

To hear Sonos tell the story, Google got a behind-the-scenes look at Sonos’ hardware in 2013, when Google agreed to build Google Play Music support for Sonos speakers. Sonos claims Google used that access to “blatantly and knowingly” copy Sonos’ audio features for the Google Home speaker, which launched in 2016.
Dat kopiëren gebeurt dan niet zo letterlijk dat je van auteursrechtinbreuk (copypasten van code) kunt spreken. Het gaat om algoritmes, werkwijzes, hardware-inrichting. En dat is waar patenten voor bedacht zijn. Die beschermen op een net hoger niveau van abstractie dan auteursrecht, en waren dus precies wat Sonos nodig had om deze “overname” van hun technologie tegen te houden. (Google ontkent maar gebruikt alleen marketingblabla zonder feitelijke weerlegging.)

Natuurlijk zijn er – zeker in de ICT – ook vele octrooien die onmogelijk breed zijn verleend. Dat komt omdat een abstract idee en een algoritme niet ver van elkaar liggen, en omdat patentbureaus decennia lang hebben geaccepteerd dat je “middelen om een cursor die aan een rechterkant van het scherm wordt bewogen, te laten verschijnen aan een linkerkant van voornoemd scherm, zijnde een zijde welke tegenover voornoemde rechterzijde ligt bekeken langs een verticale as” als definitie van een uitvinding kunt opnemen. Wat dus niet de bedoeling is.

De definitieve uitspraak volgt in december, en kan betekenen dat Google haar eigen speakers van de markt moet halen.

Arnoud

 

Beheerder usenet-site Nzbxs.com schikt met Brein en geeft userdata

Geplaatst op in Intellectuele rechten, 28 reacties

Stichting Brein heeft een schikking getroffen met de beheerder van usenet-indexsite Nzbxs.com. Dat meldde Tweakers vorige week. De site bevatte nzb-bestanden voor het downloaden van onder andere films, muziek en games. De beheerder van de site heeft volgens Brein informatie verschaft over bij de site aangemelde leden. Deze zijn ondertussen benaderd door de auteursrechtenwaakhond: “Bij toekomstige inbreuken kan BREIN vervolgonderzoek doen naar uw activiteiten en uw naam-, adres- en woonplaatsgegevens opvragen bij uw internet dienstverleners om een onthoudingsverklaring af te spreken of een rechterlijk bevel te vorderen.” Woef. Mag dat van de AVG?

Allereerst is natuurlijk de vraag of Brein van de beheerder van Nzbxs de usergegevens kan vorderen. Het is onderdeel van een schikking, een vrijwillig aangegane afspraak waarmee een juridisch geschil opgelost moet zijn. Als de wederpartij van Brein meende dat dit niet mocht, dan had zhij de afspraak niet moeten aangaan. Zou ik zeggen. En natuurlijk zal er best wat druk achter zitten vanuit Brein, maar dat maakt het voor mij niet fundamenteel anders.

Verder denk ik dat de AVG wel degelijk ruimte biedt om zo’n afgifte toe te staan. Hetzelfde geldt voor het gebruik van Brein om een (redelijk netjes geformuleerde) blafbrief te sturen.

Ik zou zeggen dat onder het Lycos/Pessers arrest die afgifte toch wel had gemoeten (het is een misverstand dat dat via de rechter vooraf getoetst moet worden). En de inhoudelijke afweging onder het Lycos/Pessers arrest komt voor mij neer op grofweg dezelfde analyse als artikel 6 lid 1 sub f AVG (het gerechtvaardigd belang) vereist:

  1. Een recht of legitiem belang van Brein: het auteursrecht (van hun achterban) verdedigen.
  2. Noodzaak, je kunt niet echt anders: dit is de enige lijst van downloaders (van nzb bestanden) dus enige manier ze te bereiken.
  3. Proportioneel, je doet ze geen Dutch Filmworks-claim aan maar alleen een “hee let op” mail. En ik denk/gok dat ze daarna de gegevens weggooien.
  4. Privacybelangen daar tegenover: privacy van accounthouder/IP-adresgebruiker, mogelijk niet de feitelijk downloader, maar het gaat om een e-mail en niet een rechtszaak of publiciteit.
  5. Afweging: Dan komt het neer op “als ik een mailadres heb van een geregistreerd NZB-site gebruiker, mag ik die dan mailen “niet van Usenet downloaden want dat is illegaal, grtz tkuik”?
Om die redenen kom ik dus tot de conclusie dat dit gewoon mag. Het belangrijkste verschil met Dutch Filmworks zit hem voor mij bij 3: Brein gaat geen slecht onderbouwde schadeclaims doen maar alleen een “let op dit mag niet” mail. Die ruimte is er volgens het Gerechtshof in de DFW-zaak. Natuurlijk pakt men (getuige het citaat uit de openingsalinea) wel door met “de vólgende keer kom je er niet zo vanaf”, maar dat is vaag genoeg om mee weg te komen.

Je kunt je natuurlijk afvragen hoe realistisch het is om te denken dat iemand die op een NZB site zich registreert, ook daadwerkelijk illegaal downloadt van Usenet (waar je NZB-bestanden bij kunt gebruiken, praktisch gezien is zonder NZB vrij ingewikkeld). Het klinkt voor mij als een I Read it for the Articles-verweer.

Arnoud

Stevige kritiek cyberbeveiligers op plan voor jaarlijkse IT-audit

Geplaatst op in Ondernemingsvrijheid, 15 reacties

Vorige week werd bekend dat de Nederlandse vereniging van it-auditors (Norea) werkt aan een certificaat waarmee bedrijven kunnen aantonen dat hun netwerken veilig zijn. Experts in cybersecurity keuren het plan af, maar niet iedereen kan zich in de kritiek vinden. De discussie is met name of zo’n certificaat iets toevoegt, maar het punt “we zijn hier te vroeg mee” is ook wel een hele leuke.

Norea werkt aan een it-auditverklaring, schrijft het op de website. De Nederlandse Orde van Register EDP-Auditors is de beroepsorganisatie van IT-auditors in Nederland, en je zou dus verwachten dat die wel iets weten van het auditten van IT-0mgevingen. Security is daar een onlosmakelijk deel van, dus niet gek dat men ook daar een slag wil slaan.

Het verslag van de Norea-auditor, vaak een accountant, geeft een breed oordeel: zowel over de weerbaarheid van een organisatie tegenover hackers, als over de kwaliteit van de digitalisering in een organisatie. En het is dat “vaak een accountant” waar de security-pro’s over vallen. Want, zoals Alex Bik, technisch directeur van BIT zegt: Een echte techneut die de techniek snapt, staat over het algemeen niet te trappelen om bij een accountantskantoor te gaan werken.

Waar ik dan weer tegenover wil stellen dat zulke slimme mensen toch ook juridische adviesbureaus binnenstappen, en dat we toch ook al geruime tijd werken met ISO certificeringen rondom security. Als deze certificeringsorganisaties capabele mensen kunnen vinden, waarom dan niet de it-auditbedrijven?

Fundamenteler vind ik de kritiek dat een jaarlijkse verklaring te statisch is. Security verandert immers een stuk sneller dan je jaarrekening, en een bedrijf dat in januari gecertificeerd is kan prima in februari gehackt worden zonder dat dat iets afdoet aan de waarde van het certificaat. Maar wat heb je er dan aan, aan zo’n momentopname?

Daarentegen vind ik de stap verder die Norea wil nemen weer wél een goeie:

Volgens Vettewinkel-Raymakers van Norea zijn [certificeringen als ISO27001 en NEN7510] hiervoor juist onvoldoende: ‘Bij deze certificering wordt niet gekeken naar wat er daadwerkelijk gebeurt bij een organisatie. Wij kijken ook in hoeverre bedrijven zich aan de regels houden.
En zeker bij de bedrijven die ict niet als core business hebben, lijkt het me echt een goede om niet alleen de papieren checks af te gaan maar ook daadwerkelijk met je toetsenbord in de modder te gaan zitten. Daar kan de Norea aanpak dus wel degelijk meerwaarde bieden.

Het komt voor mij dan uiteindelijk neer op ‘beter iets dan niets’ versus ‘dit is onvolledig dus je houdt jezelf voor de gek’. Maar gezien het belang van security heb ik echt liever kleine stapjes vooruit en zeer basale verbeteringen (zoals dat mensen eindelijk pátchen, backups maken en wachtwoorden als welkom123 tegenhouden) dan dat we nog een paar jaar wachten op een mooi Europees framework.

Arnoud

Mag ik mijn klanten scannen op kwetsbaarheden zoals ProxyShell?

Geplaatst op in Security, 9 reacties
GDJ / Pixabay

Een lezer vroeg me:

Wij zijn een ISP die honderden bedrijven heeft ontsloten. We weten van een kwetsbaarheid in Exchange die we kunnen scannen en detecteren. Mogen wij onze eigen klanten nu hierop scannen, ondanks dat ze geen toestemming hebben gegeven en bij ons geen dienst van softwarebeheer afnemen?
Ik heb al een aantal keer gepubliceerd over scannen op veiligheidslekken, waarbij dan het hele internet wordt gescand. Je zou zeggen dat dat dus ook moet kunnen voor het kleinere deel van internet dat jouw klant is. Zeker als het gaat om actuele lekken zoals (denk ik) de recente ProxyShell lekken.

Toch zou ik het afraden om als internettoegangsprovider of hostingprovider ongevraagd en zonder overleg je klanten te scannen. Je zit namelijk in een iets andere positie dan een partij die internet scant vanuit de motivatie het publiek te willen waarschuwen. Je hebt een contractuele relatie met die klanten, en dat brengt een aantal verantwoordelijkheden met zich mee.

Anders gezegd: je hebt een zorgplicht naar je klanten toe, en dat betekent extra zorgvuldigheid in hoe je met hun systemen omgaat. Ook hoort daarbij dat je vertrouwelijkheid in acht neemt en extra oplet dat je niets stukmaakt.

Tegelijk kan ik me voorstellen dat je juist bij gaten met grote impact expliciet wél wil handelen. Dat kun je vanuit diezelfde zorgplicht juist heel goed rechtvaardigen. En als je als provider kwalificeert als een “aanbieder van een openbare elektronische communicatiedienst” (wat de term ISP impliceert) dan moet je zelfs vanuit de wet (art. 11.2 Telecomwet) zorgen voor een goede beveiliging van je netwerk. Dat is natuurlijk dan afhankelijk van de beveiliging van je klanten, dus meekijken of waarschuwen is dan zelfs met enige goede wil je wettelijke plicht te noemen.

Alleen: voor mij blijft overeind staan dat je dit moet aankondigen, en ik denk zelfs ook laten accorderen. Dat kun je natuurlijk prima automatiseren, denk aan een regeling in je algemene voorwaarden met wat uitleg in de SLA (of op je site, zoals in de FAQ) en een bezwaarmogelijkheid voor klanten die hier niet op zitten te wachten.

Wel zou ik dan eerst de vraag beantwoord willen wat je zou doen met de scanresultaten. Ga je dat gewoon naar het contactadres van de klant mailen? En wat doe je dan als die niet reageert (of hooguit “eh, oké bedankt”) en de kwetsbaarheid blijft bestaan? Je kunt namelijk klanten niet gaan afsluiten als ze een kwetsbaar systeem hebben, tenzij je daar héle duidelijke afspraken over hebt. Of ga je de klant aanbieden het voor ze te repareren? Dat zullen ze niet willen, dan hadden ze wel een supportcontract afgenomen.

Arnoud

Kun je een CISO persoonlijk aansprakelijk stellen voor prutserniveau beveiliging?

Geplaatst op in Ondernemingsvrijheid, 14 reacties
Courtany / Pixabay

Bij het bedrijf Solarwinds, waardoor vorig jaar een enorme cyberaanval mogelijk bleek, is nu de CEO en CISO persoonlijk aangeklaagd door aandeelhouders. Dat las ik bij Secureworld, dankzij Henri Koppen’s Linkedin-discussie. Een CISO persoonlijk aansprakelijk stellen maakt het beroep nu niet bepaald aantrekkelijker, zegt deze terecht. Tegelijkertijd, als het wáár is wat ik lees (wachtwoord: solarwinds123, geen UAC, geen securityteam onder de CISO, geen documentatie) dan snap ik wel dat je die CISO meer wilt verwijten dan “wat jammer dat je gehackt bent”.

Het gaat hier om een rechtszaak door aandeelhouders. Die zagen de koers van hun aandelen omlaag duikelen na de hack, en zij menen dat dat onterecht is omdat zij mochten rekenen op een sterk securitybeleid uitgevoerd door een daadkrachtige CISO. Dat noemen we dan aandelenfraude: mensen misleiden over de kwaliteit van je bedrijf zodat ze je aandelen kopen (of niet verkopen). Everything is securities fraud, elk probleem met je bedrijf is ergens wel te herleiden tot “en daardoor gingen de aandelen ten onrechte omlaag en dat is misleiding”.

Hoe je het bedrijf daarvoor aansprakelijk stelt, dat zie ik wel. Prutswerk in je core business én daarover niet eerlijk zijn, dat is ergens wel misleidend of frauduleus te noemen. Prima. Maar om een bestuurslid persoonlijk aansprakelijk te stellen voor wanprestatie van het bedrijf, daar is wel meer voor nodig zou je zeggen.

En dat is ook zo, zowel in Nederland als in de VS. Bij ons is het criterium kort gezegd dat

in het algemeen, alleen dan kan worden aangenomen dat de bestuurder jegens de schuldeiser van de vennootschap onrechtmatig heeft gehandeld wanneer hem persoonlijk, mede gelet op zijn verplichting tot een behoorlijke taakuitoefening als bedoeld in artikel 2:9 BW, een voldoende ernstig verwijt kan worden gemaakt.
In de praktijk gaat het dan meestal om bestuurders die verplichtingen aangaan waarvan ze weten dat het bedrijf die niet kan dragen, bijvoorbeeld door vlak voor een faillissement nog even dingen te kopen of schuldeisers onder druk zetten om te betalen (wetende dat er dan niet meer geleverd gaat worden vanwege dat faillissement). Dit heet de Beklamel-norm. Daarnaast zijn er meer mogelijkheden, zoals IE-inbreuk of het opzettelijk en willens en wetens aansturen op het schenden van contractuele afspraken:
Van een persoonlijk ernstig verwijt kan ook sprake zijn indien de bestuurder heeft bewerkstelligd of toegelaten dat de vennootschap haar wettelijke of contractuele verplichtingen niet nakomt (zie Hoge Raad 8 december 2006, HR:2006:AZ0758 (Ontvanger/Roelofsen) en Hoge Raad 18 februari 2000, NJ 2000/295 New Holland-arrest).
Hier gaat het echter niet om contractuele tekortkomingen of schendingen van specifieke rechten, maar om het verstrekken van misleidende informatie aan aandeelhouders. Dat ligt een stuk moeilijker:
… aansprakelijkheid van een bestuurder op grond van onbehoorlijk bestuur is een interne aansprakelijkheid jegens de vennootschap en niet tevens een aansprakelijkheid jegens de individuele aandeelhouder. Dit laat echter onverlet dat een aandeelhouder een falende bestuurder zou kunnen aanspreken op grond van onrechtmatige daad.
De eis bij dat laatste is echter dat de bestuurder van plan was die aandeelhouders te benadelen. En dat is nogal lastig te bewijzen als je gewoon in het algemeen zegt “onze security is top” terwijl die bestond uit een wachtwoord “solarwinds123”, nul personeel op security en een Documentatie.pdf van nul bytes.

In de VS is er wellicht meer mogelijk, maar vaak zie je dat zulke claims worden gemaakt puur om het bedrijf meer onder druk te zetten. Als de CISO (en de CEO natuurlijk) hun eigen vermogen onder druk zien staan, dan zal men wellicht sneller aansturen op een schikking vanuit het bedrijf.

Arnoud

DNB: cryptobeurs Binance biedt illegaal diensten aan in Nederland

Geplaatst op in Regulering, 20 reacties

Binance, de grootste cryptobeurs ter wereld, is illegaal in Nederland actief, zo waarschuwt De Nederlandsche Bank (DNB) volgens Security.nl. Volgens de toezichthouder biedt de cryptobeurs zonder wettelijk verplichte registratie cryptodiensten in Nederland aan. Het gaat om de diensten voor wisselen tussen virtuele valuta en fiduciaire valuta en het aanbieden van wallets voor het bewaren van cryptovaluta. Binance kwam in mei ook in de VS negatief in het nieuws. Opmerkelijk detail: Binance is natuurlijk niet in Nederland gevestigd, dus hoezo kan een Nederlandse toezichthouder dan handhaven?

De waarschuwing van DNB lijkt een voorschot te zijn op handhaving. Gek is het wel, als een partij de wet overtreedt dan zou je zeggen dat handhavend optreden voor de hand ligt. Maar dat duurt natuurlijk even, en mensen kunnen in de tussentijd de dienst blijven gebruiken (want een onderzoek/handhaving is vertrouwelijk tot het besluit er is).

Met name bij Tweakers zie ik veel reacties over het punt dat Binance op de Kaaimaneilanden gevestigd is, en dat er ook geen servers in Nederland staan. Maar dat is dus géén argument, totaal niet. De Wwft verbiedt het actief werven van klanten in Nederland, en je vestigingsplaats doet er daarbij niet toe. Dat is vrijwel nooit zo trouwens, ook niet bij bijvoorbeeld productverkoop of AVG compliance. In Europa gaat het er eigenlijk altijd om of je actief bent in dat land, of je je richt op mensen hier.

En dat is zo bij Binance: men heeft op maat gemaakte pakketdiensten voor Nederlanders, je kunt (kon) met iDeal betalen en men werkt met Nederlandse partners. Ook liet men registratie van Nederlanders (dus hier wonen) toe en werden Nederlandse identiteitsbewijzen geaccepteerd voor de know-your-customer intake. Voor mij is dat duidelijk genoeg dat dit bedrijf actief met Nederland bezig is.

Veel interessanter dan “richt Binance zich op Nederland” vind ik de vraag van Simon Lelieveldt op Twitter:

Why didn’t DNB issue a warning on the 21st of May with respect to Binance. Was Binance trying to register at that point in time? Why did DNB allow other market players registrations from which they might have known they could indirectly service binance with ideal functionality?
DNB heeft de registratieplicht uit de Wwft namelijk lange tijd ingevuld als een vergunningsplicht, oftewel een stevige inhoudelijke controle van je aanvraag. Het moet ze dus opgevallen zijn dat Binance (vie een partner) toegang tot iDeal betalen zou hebben gekregen, en je zou verwachten dat er dan een verdere check gehouden wordt waarom dat kan terwijl Binance geen registratie had.

Arnoud

Waarom heeft een social media dienst een reglement nodig om mensen te mogen bannen?

Geplaatst op in Ondernemingsvrijheid, Uitingsvrijheid, 22 reacties
GDJ / Pixabay

Een lezer vroeg me:

Toevallig vond ik een vonnis waarin Youtube vrijgesproken wordt vanwege hun weghalen van een antivax video met een interview met Tweede Kamerlid Wybren van Haga. De video’s werden van YouTube verwijderd omdat deze in strijd zouden zijn met het Covid-beleid van het platform. Omdat dit conform beleid was gegaan, mocht Youtube dit doen. Maar hoezo heeft een platform een reglement nodig? Een café mag toch ook zonder schriftelijk beleid mij eruit gooien als ik irritant doe?
De rechter oordeelt inderdaad dat Google terecht heeft gemeend dat de video het Covid-beleid van Youtube schond. Zo werden de bepalingen over mondkapjes en de vergelijking met griep overtreden, alsmede de bepaling die verbiedt te beweren dat vaccins het risico op corona niet verkleinen en de bepaling die verbiedt te beweren dat kinderen geen corona kunnen krijgen.

Het is inderdaad zo dat een social media dienst gewoon een privaat bedrijf is en dus mag weigeren diensten te leveren, net zoals een café je een biertje mag weigeren te verkopen omdat je kop hen niet aanstaat of je eruit zetten omdat je irritant doet naar andere mensen.

Alleen is hier een complicatie: bij Youtube héb je al een dienst, een duurovereenkomst zeggen we dan in juridische taal. En dat is iets anders dan aanwezig mogen zijn in een caféruimte en steeds een productaankoop doen. Een aanbod (verzoek tot offerte, handopsteken) weigeren is juridisch een stuk simpeler dan een bestaande overeenkomst opzeggen. Voor dat laatste heb je een goede reden nodig, en “deze server is mijn eigendom net als dat café” is niet goed genoeg.

Werk je met huisregels (algemene voorwaarden), dan kom je al een stuk sneller aan die goede reden, want overtreding van de voorwaarden van een overeenkomst noemen we juridisch een tekortkoming en op grond daarvan mag de wederpartij een overeenkomst opzeggen.

Heb je geen expliciete regel, dan wordt het lastiger maar niet onmogelijk. Je doet dan juridisch gezien een beroep op de aanvullende werking van redelijkheid en billijkheid: dit stáát nergens maar kom op, je snapt dat dit gewoon deel van de afspraken is. Dat je niet off-topic mag gaan, is bij veel forums geen expliciete regel maar afgezien van hardnekkige trollen snapt iedereen het als ze daarop aangesproken worden.

De lastiger vraag is of zo’n regel zelf redelijk is. In principe mag je zelf je regels maken, maar hoe groter je platform hoe groter je verantwoordelijkheid naar de maatschappij toe. Zeg maar net zoals de Consumentenbond niet zomaar een mening mag blèren over een product zonder onderbouwing vanwege hun maatschappelijke omvang.

Aansluiten bij wetenschappelijke consensus en overheidsbeleid lijkt mij voor een op algemeen publiek gericht forum een prima keuze. Waarmee ik niet wil zeggen dat ieder algemeen forum dat zou moeten, of dat een andere keuze onredelijk is, maar het lijkt me niet onredelijk dat Youtube die keuze maakt.

Arnoud

Zijn robotlawyers nuttig of juist niet voor de rechtspraktijk?

Geplaatst op in Innovatie, 14 reacties
mohamedhassan / Pixabay

Slecht nieuws voor juristen, maar goed voor hun klanten: het blijkt niet nodig om juridisch werk volledig te automatiseren voordat een robot het over kan nemen. Een deel met machine learning laten doen is al genoeg. Die stelling las ik in The Conversation, dat daarmee een onderzoek afrondde naar het automatisch zoeken naar jurisprudentie om een geschil in je voordeel te bepleiten. Op zijn minst kun je de zwaar overbelaste legal aid worker (zeg maar medewerker Juridisch Loket) daarmee een flinke hand helpen. Goed idee, of niet?

Al vaak schreef ik over legal tech, maar in de praktijk gaat dat vooral over de transactiepraktijk: het samenstellen, onderhandelen, screenen en beheren van contracten, meestal zakelijk. Hier gaat het over een ander aspect, namelijk het oplossen van geschillen via rechtspraak. Dat is waar de maatschappij als geheel het meeste aan zal hebben, zeker nu we zien dat de rechtspraak meer en meer verstopt raakt, zeker in het strafrecht. Maar gaat het er ooit van komen?

Tussen 2030 en 2040 zullen computers het merendeel van de vonnissen voor hun rekening nemen, aldus professor Jaap van den Herik in 2016. Alleen bij ingewikkelde gevallen zullen nog mensen rechtspreken. Het basisidee is dan hetzelfde als wat The Conversation had bedacht: neem een berg bestaande vonnissen of pleitnota’s, en destilleer daaruit wat in een gegeven casus het beste antwoord hoort te zijn. Dit idee had e-Court trouwens in hun robotrechter gestopt specifiek voor incassozaken. En in 2018 bleek men best aardig het Europese Hof voor de Rechten van de Mens te kunnen voorspellen.

Het is alleen dat “best aardig” (bij die laatste zaak: 79% accuraat) dat in de praktijk het probleem gaat zijn. Natuurlijk maken ook menselijke rechters fouten, daar is hoger beroep immers voor. Bij grote strafzaken gaat men in 41% van de gevallen in hoger beroep, maar ik kan geen cijfers vinden over het succespercentage (als in: Hof vernietigt uitspraak rechtbank). Ik heb echter sterk het vermoeden dat mensen een foutpercentage van zeg 20% van de strafzaken (de helft van die 41%) door menselijke rechters eerder accepteren dan een robotrechter die in 80% een rechtvaardig vonnis wijst.

Het onderzoek van The Conversation laat nog een ander probleem zien: dit soort systemen drijft eigenlijk altijd op bestaande data en kan dus die data niet overstijgen. Zoals ik in 2018 al blogde, AI rechters en het juridische novum:

Uiteindelijk is de kern echter wel dat een AI alléén afgaat op de eerdere dataset. Hij leert immers alleen daaruit hoe er recht gesproken moet worden. Een afwijking van die dataset is daarbij niet te verwachten. Computers zijn immers niet creatief, en niet gevoelig voor ongewone omstandigheden, nieuwe feiten of het overtuigendste pleidooi. Dat is ook de reden waarom robotrechters alleen voor standaardwerk ingezet moeten kunnen worden, én dat er altijd ruimte moet zijn om die ongewone omstandigheden te kunnen stellen waarna een mensenrechter er naar kijkt.
Het ontlasten van die arme legal aid workers is dus in zoverre reëel dat de standaardvragen sneller gedaan kunnen worden, waardoor standaardverzoeken minder gedoe opleveren en mensen dus eerder daarmee terecht kunnen. Maar dan help je dus alleen de standaardgevallen waarvan al bekend is dat ze succes gaan opleveren. Dat is vaak toch een beperktere groep dan je denkt, zeker wanneer de maatschappij in de tussentijd verandert en je dataset nog steeds uit 2004 is.

Het lastige daarvan is natuurlijk dat dit zelden opvalt. Mensen kunnen nu al vaak niet terecht met een rechtsvraag, dus je merkt nergens aan dat mensen wegvallen. De standaardzaken gaan goed, maar dat is geen verrassing. Het zijn de rare zaken die misgaan, maar dat merkt het systeem niet. Hoe dát op te lossen?

Arnoud

 

Lotto moet 10.000 euro boete betalen voor gokreclame op tienersite Girlscene

Geplaatst op in Ondernemingsvrijheid, Regulering, 18 reacties

harshahars / Pixabay

Lotto moet 10.000 euro boete betalen voor advertenties op tienerwebsite Girlscene, maakt de Kansspelautoriteit (Ksa) vrijdag bekend. Dat las ik bij Nu.nl. Logisch, adverteren in media gericht op minderjarigen is gewoon keihard verboden. Het was ook geen eerste keer, al in 2017 is men hiervoor op de vingers getikt en toen werd een last onder dwangsom afgegeven. Door nu weer de fout in te gaan, is dan die dwangsom verbeurd. Lotto’s verweer? “Buiten onze wil om, wij hadden geen idee”. Eh ja, maar zo werkt het niet. Ook al werken online advertenties zo wel.

Uit het besluit van de Ksa zie je ook enig onbegrip bij de autoriteit voor dit excuus:
Lotto stelt dat de reclame-uiting van het kansspel EuroJackpot buiten haar wil om op de website Girlscene.nl is getoond. Lotto stelt geen enkel belang te hebben bij de zichtbaarheid van de reclame-uitingen op de desbetreffende website.

…

Nog afgezien van het feit dat Lotto niet nader toelicht wat zij hiermee bedoelt, laat dit onverlet dat Lotto met het plaatsen van de reclame-uitingen op de desbetreffende website artikel 4a, vijfde lid, van de Wok jo. artikel 2, derde lid, van het Besluit heeft overtreden. Lotto is als vergunninghouder er aan gehouden al haar reclame-uitingen te monitoren en zo nodig in te grijpen als deze in strijd zijn met wet- en regelgeving.

Toch snap ik hem wel. In de online advertentiewereld werkt het net even anders. Vrijwel niemand zoekt zelf de sites om specifiek advertenties te plaatsen, daar werk je met tussenpersonen. En die hebben vaak ook weer tussenpersonen, en zo enige niveaus diep. Iedereen heeft eigen bereik, eigen publishers en eigen manieren van meten waar de advertenties het beste zou moeten komen. En dat gaat ook nog eens volautomatisch op basis van bieden (dit is waar al die dataprofielen van mensen voor nodig zijn).

De kans is dus groot dat de Lotto een algemene campagne heeft uitgezet, en wellicht heeft bedacht dat “jonge vrouwen” een relevante doelgroep zou zijn. Daar kon een tussenpersoon best eens goede kliks of conversie voor leveren, dus die ging aan de slag en kocht weer bij een aantal mediapartijen ruimte in, of deed mee aan biedingen bij die mediapartijen. En eentje daarvan was het bedrijf achter Girlscene, EEN Media. Deze is immers “een multimediaal bedrijf met activiteiten op het gebied van (digital) publishing, events, formats waaronder Fashionscene TV, Girlsfair (gericht op jonge meiden tussen de 14 en 30 jaar) en Yourscene, e-commerce concepten gericht op jongeren, vrouwen, fashion, beauty en lifestyle.”

Natuurlijk gaf Lotto aan dat de tussenpartij waarschijnlijk niet goed opgelet heeft en dacht dat het allemaal om sites gericht op meerderjarige vrouwen zou gaan. Maar ook dat is geen excuus, zelfs niet als je in je contract daar een keiharde garantie over opneemt met een boete en vrijwaring. Uiteindelijk blijf je zelf verantwoordelijk voor het resultaat.

(Dit is natuurlijk niet uniek voor gokken en minderjarigen, bij iedere vorm van verboden reclame geldt dat de adverteerder uiteindelijk aan te spreken is op een advertentie met verboden inhoud of in een verboden mediakanaal.)

Arnoud