Het is een mythe dat je auteursrechten (of merken en patenten) moet verdedigen of ze kwijtraken

Geplaatst op in Intellectuele rechten, 2 reacties
ooceey / Pixabay

Een Amerikaanse rechter eist dat de eigenaar van RomUniverse, een website waar mensen illegaal Nintendo-games konden downloaden, al zijn ‘ongeautoriseerde kopieën’ van dergelijke games permanent vernietigt. Dat meldde Tweakers onlangs. De site zag zich onder meer als archief voor oude, niet meer verkrijgebare spellen voor de Nintendo gamecomputer, waar de rechter ze keihard ongelijk in gaf. Toch riep het veel vragen op van het soort “het gaat om oude spellen, laat ze toch”. En daar komt dan elke keer de reactie op “ja nee Nintendo moet wel want anders raakt ze haar auteursrechten kwijt”. Die zie ik elders ook wel met merken en octrooien (patenten), dus ik dacht ik maak daar eens een uitstapje over.

Er is geen algemene regel dat een recht vervalt of onafdwingbaar wordt als je een aantal schenders laat gaan. Ja, specifiek bij eigendom kan het zo zijn dat als iemand twintig jaar jouw eigendom als de zijne behandelt, dat het dan vanwege verjaring zijn eigendom wordt. Maar dat soort situaties is hier niet aan de orde. Het argument “je hebt tien mensen willens en wetens weg laten komen met inbreuk” is gewoon geen juridisch argument als jij de elfde bent en wél aangeklaagd wordt.

Natuurlijk zijn er altijd leuke omstandigheden te bedenken, zoals dat je die tien hebt weg laten komen en daarbij in het openbaar iets zei van “wij willen de fandom niet dwarszitten”. Dan kan nummer elf claimen “wij zijn óók fandom”, en moet je als rechthebbende gaan uitleggen dat er een verschil is tussen pubermeiden die fanfic schrijven en gratis weggeven, en een stel handige jongens die een site vol advertenties en premiumabonnementsmodel neerzetten. Specifieker kan ook: als nummer elf kan laten zien dat de indruk werd gewekt dat er naar hen toe niet gehandhaafd zou worden, dan kunnen ze misschien zich daarop beroepen achteraf. Maar zekerheid is dat niet.

Specifiek bij merken is er een complicatie. Wanneer een merk verwordt tot een soortnaam, dan is het geen geldig merk meer. Dat risico vergroot je door niet in te grijpen als mensen je merk als generieke term gebruiken, bijvoorbeeld een concurrent die ook ‘hagelslag’ gaat verkopen terwijl dat jouw gedeponeerde merk is (ooit, van Venz). Als je dat de nodige concurrenten toelaat, en ook receptenboeken laat zeggen “strooi daarna wat hagelslag over de taart”, dan wordt op zeker moment die term een algemene aanduiding voor kleine staafjes chocola, en niet meer jouw merk.

Vanuit die angst zie je met name merkhouders erg agressief optreden tegen van alles en nog wat. Maar vergis je niet: het gaat dan vaak genoeg ook over het exclusief houden van het merk, want genoeg ‘concurrenten’ gebruiken een merk niet zozeer als generieke term maar eerder juist als de ‘echte’ term, om zo aan te haken. “Bij ons ook Hagelslag® maar de helft goedkoper”. En dan is er dus geen discussie over verwatering (de vakterm) veroorzaken, dat is gewoon een inbreuk op het merk.

Maar hoe dan ook is er bij geen enkel recht een juridische verplichting om te handhaven op straffe van verval van het recht. Het kan natuurlijk zakelijk een verstandige keuze zijn, zeker als die concurrenten of kopieerders te groot worden en je eigen business ondergraven, maar dat is en blijft een afweging, geen verplichting.

Arnoud

 

Mijn klant wil medische gegevens laten mailen, welke zorgplicht heb ik?

Geplaatst op in Privacy, 28 reacties
OpenClipart-Vectors / Pixabay

Een lezer vroeg me:

Ik ontwikkel een website voor een zorgverlener. Daarin zit ook een intake-formulier, waarin cliënten zich aanmelden en daarbij medische gegevens (bijvoorbeeld klachten of voorgeschiedenis) kunnen opgeven. De zorgverlener is een eenmanszaak en wil graag dat de gegevens naar hem gemaild worden vanuit het formulier. Ook moet de cliënt de optie krijgen om een kopie naar zichzelf te laten sturen ter bevestiging. Ik vind dat nogal onveilig, maar de klant staat erop. Hoe moet ik hiermee omgaan juridisch gezien?
De kern van de vraag is of e-mail wel een veilig medium is voor het transporteren van medische persoonsgegevens. De AVG stelt hoge eisen aan de beveiliging, en e-mail is natuurlijk niet inherent voorzien van de hoogste beveiliging. Het kan, maar je moet er wel je best voor doen. Denk aan situaties waarin de mailserver binnen hetzelfde domein draait als de website met het formulier, als die omgeving als geheel veilig is dan is natuurlijk dat mailtje ook beveiligd.

Vaak zie je echter dat men een oplossing inzet die voor ‘gewone’ bevestigingsmails (aanvraag offerte, inschrijving nieuwsbrief et cetera) gebruikt. De inhoud van het formulier wordt in een mailtje geplakt en via een standaardfunctie van je websitesoftware verstuurd. Ik zou dat een risico vinden, en daar dus aandringen op end-to-end encryptie of een gespecialiseerde oplossing. Een simpel alternatief kan zijn dat de medewerker een mailtje krijgt met een link naar de informatie, en dan moet inloggen op de backend van de website om de informatie te zien.

Specifiek bij de kopie naar de klant kan het anders liggen. Je kunt dan zeggen, de zorgvrager verzoekt met dat vinkje zelf om de kopie, en daarmee valt het versturen buiten de verantwoordelijkheid van de zorgaanbieder. Dan is er dus niets aan de hand. Alleen: weet de zorgvrager wel wat zhij vraagt met dat vinkje, of gaat die er vanuit dat de zorgaanbieder het veilig ingeregeld heeft? Dat laatste lijkt mij vrij waarschijnlijk. Bovendien ontkom je niet aan het feit dat de zorgaanbieder toch een en ander doet met die persoonsgegevens – en wel in opdracht, dus als verwerker namens de zorgvrager. En dan blijf je zitten met de beveiligingseisen.

Het lastige is natuurlijk dat e-mail over het algemeen wordt gezien als een handig en snel middel, en dat mensen de risico’s lastig kunnen inschatten. Want laten we wel wezen, de meeste mail infrastructuur is vandaag de dag voorzien van TLS verbindingen en stevige security op de transportservers. Het klassieke scenario dat iemand meeleest met de mail in transport, of een admin van een tussenliggende mailserver even koekeloert in de wachtrij lijkt mij ondertussen wel een beetje achterhaald. Maar met alleen het abstracte verhaal “je moet voorzichtig zijn met mail” kom je er niet als dienstverlener.

Wat is voor jullie het meest aansprekende risico dat je loopt met dit soort systemen?

Arnoud

Het op schoot of op het been hebben van een mobiele telefoon, ook al internetrecht

Geplaatst op in Regulering, 27 reacties
DariuszSankowski / Pixabay

Een automobilist die vorig jaar een bekeuring kreeg omdat hij een telefoon op zijn schoot had tijdens het rijden hoeft de bekeuring niet te betalen, las ik bij Tweakers. Het Gerechtshof Arnhem-Leeuwarden oordeelde namelijk dat dit geen “vasthouden” in de zin van de wet is, hoewel je natuurlijk nog steeds het verkeer behoorlijk in gevaar brengt door naar je schoot te kijken. Nu is bellen in de auto maar heel zijdelings ICT- of internetrecht, maar het is een mooi voorbeeld van hoe rechters de wet wikken en wegen.

Artikel 61a van het Reglement verkeersregels en verkeerstekens 1990 (RVV 1990) verbiedt immers bestuurders van een motorvoertuig tijdens het rijden een mobiele telefoon vast te houden. Een ‘telefoon’ is “een apparaat dat bestemd is voor het gebruik van mobiele openbare telecommunicatiediensten”, dus het geldt ook voor tablets en laptops met 4G verbinding. Maar wat is “vasthouden”?

De wetgever had bij invoering opgemerkt dat “Onder vasthouden wordt verstaan het in de hand houden, het tussen oor en schouder geklemd houden etc.” In 2013 was het Gerechtshof dan ook erg ruimdenkend: Het plaatsen van een mobiele telefoon achter een hoofddoek valt ook onder het begrip ‘vasthouden’. Het bedienen van telefoon in houder was in 2018 dan weer géén vasthouden: de wetgever wilde immers niet het aanraken van telefoons verbieden maar het vast houden.

De achterliggende motivatie van deze wet is natuurlijk de verkeersveiligheid. Wie aan zijn telefoon zit, let niet op de weg, en genoeg studies laten zien dat daar ongelukken van kunnen komen. Het verbod is dus zeer begrijpelijk. Waarom men niet uitgebreid voor “mag geen telefoon bedienen” of “moet twee handen aan het stuur” is gekozen, dat weet ik niet. De reden voor specifiek “vasthouden” is omdat de bewijslast voor de politie dan makkelijker is: je kunt zien of iemand een telefoon vast heeft (en agent 40404 een plak ontbijtkoek) en dan doet het er niet toe of men belde, smste, de navigatie instelde, muziek zocht of thuis de slimme oven alvast aanzette.

Als je naar die motivatie kijkt, dan is het heel logisch dat deze agenten ingrepen bij de man met de telefoon op schoot (of op de bijrijdersstoel). Want onveilig is het, laat dat duidelijk zijn. Maar vasthouden is het niet:

Het op schoot of op het been hebben van een mobiele telefoon kan niet worden aangemerkt als vasthouden in de zin van voornoemd artikel. Dat zou een zodanige extensieve interpretatie zijn dat dit de rechtsvormende taak van het hof te buiten gaat.
Mogelijk weegt hierin door die uitspraak uit 2018 dat het bedienen van je telefoon géén vasthouden is, want het soort handeling is hetzelfde. Je raakt je telefoon aan, je kijkt niet naar de weg et cetera maar in de hand heb je de telefoon niet. Bij de hoofddoek vond het Hof relevant dat je tussen het bellen door de telefoon moet pakken, bijvoorbeeld om op te hangen.
Uit de verklaring van de ambtenaar volgt wel dat de betrokkene in dit geval zodanig verkeersgedrag vertoonde dat dit mogelijk als overtreding van artikel 5 van de Wegenverkeerswet 1994 kan worden aangemerkt. Bij het constateren van een dergelijke overtreding kan de ambtenaar een proces-verbaal opmaken.
Eigenlijk zegt het Hof hier dus: beste agenten, kunt u de volgende keer in zulke situaties gewoon inzetten op gevaar op de weg? Want dat is een open norm (Koos z’n kapstok) en dan hoeven we deze hele discussie over vasthouden niet te voeren.

Arnoud

 

Een domeinnaam valt toch wél onder de Wet Van Dam

Geplaatst op in Intellectuele rechten, 22 reacties
JanBaby / Pixabay

Valt een domeinnaam onder de Wet Van Dam, oftewel kun je die per maand verlengen als consument? Die vraag houdt de gemoederen al een tijdje bezig. Niet zo raar: voor hostingbedrijven zijn domeinnamen kleine dingen om te verkopen, maar de winst per jaar is altijd wel mooi. Alleen wil je dan wel per jaar verlengen, en daar zijn alle bedrijfsprocessen ook op ingesteld. Wat dan weer lastig is als een kleine groep van je klanten (de consumenten) ineens het recht blijkt te hebben om per maand op te zeggen. Een recent vonnis laat echter zien dat de rechter tegenwoordig domeinnamen wél onder de Wet Van Dam ziet vallen.

Het vonnis mocht ik inclusief de voorbereidende stukken publiceren van de eiser (dank!). Het geheel is zeer lezenswaardig. Even wat achtergrond om te beginnen: sinds 2011 is er dus consumentenwetgeving die bepaalt dat consumenten (niet-zakelijk handelende privépersonen) een stilzwijgend verlengd contract per maand mogen opzeggen, ongeacht wat er in het contract staat. Eveneens sinds 2011 is er herrie over wie daar dan onder valt, waaronder dus ook domeinnaamaanbieders en webhosters.

De wettelijke formulering waarbinnen domeinnaamovereenkomsten onder de Wet Van Dam vallen, is dat het moet gaan om “het geregeld doen van verrichtingen” – het leveren van diensten dus. En dan kom je bij de vraag wat je dóet als domeinnaamaanbieder. Dus niet de SIDN (die beheert haar registry en de DNS domeinnaamservers) maar bijvoorbeeld een webhostingbedrijf dat voor haar klant een site online zet achter een specifieke domeinnaam. Dien je dan eenmalig een aanvraag/registratie in bij SIDN om daarna niets meer te doen, of moet je toch meermalen iets actiefs doen als hoster?

In 2017 oordeelde de rechter nog dat het bij domeinnamen gaat om een eenmalige handeling, zodat de Wet Van Dam niet geldt. Deze rechter keek naar de handeling van het registreren en concludeerde dat die slechts eenmalig was. Andere dingen, zoals er een website of mail aan gekoppeld houden, waren niet aangevraagd. Daarom was er niets “geregeld” (periodieks) waarmee de Wet Van Dam van toepassing zou zijn. Ik heb dat altijd wat gek gevonden, en in deze nieuwe zaak zie ik dan ook een betere redenering van de eiser:

Naast kale registratie en de mogelijkheid om de registratie via het controlepaneel te updaten is het ook een wezenlijk onderdeel van de dienstverlening dat klanten van TransIP de nameservers van TransIP mogen gebruiken. Elke klant maakt hier standaard gebruik van. In het controlepaneel (Productie 3, “Nameserverinstellingen”) zijn standaard de nameservers van TransIP ingevuld. …  Nagenoeg elke partij die domeinregistratie aanbiedt, biedt deze diensten aan als één geheel, en nagenoeg elke klant maakt gebruik van elk aspect van deze dienst. Bij TransIP is het niet mogelijk om deze diensten afzonderlijk af te nemen.
De hoster (TransIP) stelt daar tegenover dat “het gebruik van nameservers en relay servers geen aparte dienst is waar een overeenkomst voor wordt afgesloten”. Wat een slimme is qua juridische spitsvondigheid, nergens in de AV staat dat u een nameserverdienst afneemt dus die dienst heeft u niet dus wordt er niets periodiek afgenomen. Alleen, in een arrest uit 2011 over een sportschool werd geoordeeld dat dit niet opgaat:
Een overeenkomst, waarbij ruimte, personeel en apparatuur ter beschikking wordt gesteld om te sporten, kan daarom worden aangemerkt als een overeenkomst tot het geregeld doen van verrichtingen.
Ook sportapparatuur wordt immers niet voor één persoon specifiek neergezet. Als jij periodiek kunt gaan sporten, dan wordt er periodiek een verrichting gedaan door de sportschoolhouder. Idem, als jouw website continu bereikbaar is via een DNS server van TransIP dan verricht deze een periodieke verrichting.

Opmerkelijk genoeg laat TransIP het er dan bij, op deze aangehaalde jurisprudentie van de eisende consument stuurt zij geen weerwoord (dupliek). De rechtbank vindt de argumenten van de eiser dan ook overtuigend en wijst de vordering toe: TransIP moet € 5,35 terugbetalen – plus een slordige 200 euro proceskosten. En wij weten nu: als je als hoster niet alleen een domeinnaam registreert maar ook zorgt voor DNS, dan val je onder de Wet Van Dam.

(En ik zeg het toch maar even, dit is alléén relevant als je als consument een domeinnaam bij een Nederlandse webhoster hebt lopen. Een zzp’er of eenmanszaak kan zich hier niet op beroepen.

Arnoud

Moet de overheid zerodays wel of niet gebruiken in de handhavings- en inlichtingendiensten?

Geplaatst op in Regulering, 7 reacties
qimono / Pixabay

Op Twitter las ik deze inhaker op een NRC-column van jurist Vincent de Haan over gebruik van zero-days. “Zonder 0days wordt onze overheid nog machtelozer online dan ze nu al zijn en dat kunnen we ons niet veroorloven. Als de overheid niet digitaal kan optreden loopt onze privacy en veiligheid een groot gevaar”, aldus Ronald Prins daar. Daar stelde De Haan dus tegenover “Met behulp van [zerodays] houden autoritaire regimes journalisten, activisten en advocaten in de gaten. … Maar we moeten ons realiseren dat de Nederlandse overheid, door het gebruiken van zero-days – één van de belangrijkste ingrediënten van de Pegasus software – medeverantwoordelijk is.”

Een zeroday is security-jargon voor een kwetsbaarheid waarvan misbruik te maken is, maar die nog niet bekend is bij de maker van de software of dienst. (De etymologie is wat vaag maar lijkt afkomstig uit de warez scene waar het ging over de zeer prestigieuze actie om gekraakte software dezelfde dag als het origineel te publiceren. Het heeft dus niet perse te maken met dat de bug zero days geleden ontdekt of gemeld is of iets dergelijks.)

Wie een dergelijke kwetsbaarheid heeft, kan bij de betreffende software inbreken en bijvoorbeeld gegevens aftappen, eigen software (zoals spyware) installeren of wat je maar zou willen doen. Dat is voor criminelen aantrekkelijk maar ook voor opsporings- en inlichtingendiensten die op die manier interessante personen kunnen volgen. Of dus journalisten kunnen volgen en dan arresteren wanneer deze al te irritant worden. Zoals bij de Pegasus-software, waar deze heisa mee begon.

Het punt is dan dat overheden niet perse zelf kwetsbaarheden gaan ontdekken, maar deze ook op de vrije markt gaan inkopen. En vooral, dat die overheden vervolgens de makers niet informeren maar het gat lekker laten bestaan:

Het Pegasusschandaal is immers precies waarvoor gevreesd werd bij de invoering van de hackbevoegdheid: onschuldige mensen worden gehackt met kwetsbaarheden die bij de overheid reeds bekend waren, maar die voor het gemak van het boevenvangen niet gedicht zijn.
Prins stelt daar tegenover dat “Als duidelijk is dat 0days misbruikt worden door criminelen of andere staten moeten ze onmiddellijk gemeld worden. In het algemeen geldt dat software altijd meerdere kwetsbaarheden zal hebben. Het melden van niet gebruikte 0days maakt een product niet significant veiliger”. Dat is natuurlijk waar, maar waar het om gaat is of het ethisch is dat de overheid weet van grote kwetsbaarheden en die dan voor zich houdt omdat ze die nodig heeft voor de inlichtingen- en veiligheidsdiensten.

Natuurlijk kun je dan zeggen, als die dit nodig hebben dan is dat in het landsbelang. Maar het is nooit zo dat een dergelijk gat alléén bekend is bij de AIVD, zeker niet als het op de vrije markt is ingekocht. Want reken maar dat zo’n bedrijf diezelfde informatie verkoopt aan wie dan ook, dus de criminelen hebben dit snel genoeg te pakken. Is het dan niet juist je maatschappelijke plicht als overheid om deze lekken zo snel mogelijk dicht te krijgen?

Arnoud

Mag een zoekmachine het World-Wide Web scannen op securitykwetsbaarheden?

Geplaatst op in Security, Uitingsvrijheid, 2 reacties

Een lezer vroeg me:

Ik las dat in augustus tijdens de Defcon-hackerconferentie de zoekmachine Punkspider opnieuw gelanceerd zal worden. Deze zal dan dagelijks miljoenen websites op kwetsbaarheden scannen. De resultaten zijn vervolgens via de zoekmachine te vinden, wat volgens de ontwikkelaars voor een veiliger web moet zorgen. Hoe is dat in vredesnaam legaal, laat staan ethisch verantwoord?
Het voelt inderdaad een tikje raar als je het zo leest: dan kun je dus als crimineel-in-spe even naar die zoekmachine om te kijken welke sites eenvoudig kwetsbaar zijn. Zal ik ook maar de “goedkope voordeurslotenspider” beginnen, keyPunk.darkweb?

Of het legaal is, komt echter neer op de vraag wat Punkspider precies doet met hun doorzoekactie. Het leest als een vorm van portscannen, men toetst op bekende kwetsbaarheden zoals SQL injectie of cross-site scripting.

Zo te lezen publiceert men niet in detail welke kwetsbaarheid gevonden is, alleen grofweg “deze site is kwetsbaar voor gegevensdiefstal vanwege SQL injectie, laat hier niets achter alsjeblieft”. (Ik zag al de categorie “dumpster fire” dus ik hoop dat de boodschap overal in zulke duidelijke taal gecommuniceerd wordt.)

Portscannen en onderzoeken naar kwetsbaarheden is strafbaar wanneer je het doet met de bedoeling (het “oogmerk”, juridisch gezegd) om daarna computervredebreuk te plegen, of om anderen aan te zetten dat te doen. De Punkspider-eigenaren zijn dat zeker niet zelf van plan, zij publiceren immers deze rapporten juist zodat brakke sites de beoel eindelijk eens repareren en er dus géén computervredebreuk gaat plaatsvinden.

Blijft dus over, zetten zij criminelen aan tot misbruik van de gevonden kwetsbaarheden? Dat lijkt me op het eerste gezicht niet het geval. Ik zie dus niet meteen het strafbare aan deze zoekmachine, tenzij blijkt dat men het wel héél eenvoudig maakt om met een gegeven exploit direct een inbraak uit te voeren. Daarvoor moeten we de definitieve publicatie afwachten, maar het lijkt me sterk.

Arnoud

Zijn de Encrochat-berichten bruikbaar als bewijs?

Geplaatst op in Regulering, Security, 5 reacties

Europese speurders hebben de berichtendienst EncroChat gekraakt en zo ongeveer 1.800 vermoedelijke misdadigers kunnen arresteren. Dat meldde HLN een tijdje geleden. In het rechercheonderzoek 26Lemont kon de politie maanden live meekijken met bij criminelen razend populaire, versleutelde communicatie. Dit dankzij Nederlands/Franse samenwerking waarbij men een backdoor via de server van Encrochat ongezien op telefoons van alle 50.000 Encro-klanten wist te installeren. Een recent vonnis laat zien hoe de Nederlandse rechter daar tegen aankijkt.

De Encrochat-hack gaat niet zo ver als de Amerikaanse FBI truc waarbij men als politiedienst zogenaamd veilige telefoons verkocht (Anom) om vervolgens op het gemak mee te lezen. Er was daadwerkelijk een inbraak door politie op de servers van het bedrijf achter de Encrochat dienst gepleegd. Encrochat begon ooit als veilige dienst voor celebrities die bang waren voor hackende journalisten (met name in Engeland een reëel risico) maar werd ook veel door criminelen gebruikt.

De precieze details van de hack zijn nog steeds onduidelijk, maar het komt erop neer dat de Franse Justitie in samenwerking met de Nederlandse politie binnen wist te dringen in de infrastructuur van Encrochat en van daaruit malware op de telefoons wist te pushen. Althans, malware voor de criminelen – voor de politie was het natuurlijk een legitieme afluister- en kopieertool. Aldus wist men vele, heel vele criminele transacties en overleggen te pakken te krijgen, wat tot een golf aan arrestaties en strafzaken leidde.

Maar is dat nu legaal, zo’n actie? De operatie was goedgekeurd door de opsporingsdiensten en rechter-commissaris, maar dat is natuurlijk voor een beetje advocaat geen argument. Allereerst zit je met het punt dat de actie was gebracht als een onderzoek tegen het bedrijf van Encrochat, en hoezo mag je dan chats van gebruikers lezen? Dat staat buiten dat onderzoek, zou je zeggen. En ten tweede, hoezo mag de Franse justitie toestemming geven om chats van Duitse figuren te lezen die in Duitsland snode plannen maken?

In Nederland kwam dit voor het eerst begin juli in een vonnis terug. Acht verdachten stonden terecht in een grote strafzaak, en hadden onder meer bezwaar gemaakt tegen gebruik van Encrochat-data als bewijs tegen hen. Het eerste punt van bezwaar was dat in die Frans/Nederlandse samenwerking er geen bevel was van de Nederlandse rechter-commissaris. Maar dat hoeft niet, aldus de rechter: de feitelijke inbreuk op de privacy was door de Franse autoriteiten begaan, niet (ook) door de Nederlanders.

Je moet dan toetsen onder het Franse recht, en dat bleek goed gegaan te zijn:

In het dossier zitten (vertalingen van) een zestal Franse processen-verbaal waaruit afgeleid kan worden dat een Franse rechter toestemming heeft gegeven voor het onderscheppen van Encrochatgegevens en dat er periodieke rechterlijke controle heeft plaatsgevonden.
De Duitse rechter zag dat dus anders: die eist dat als het gaat om Duitse burgers, de Duitse rechter om toestemming wordt gevraagd.

Maar hoe zit dat dan met dat ‘bijvangst’-argument? Hoezo mocht men chats van gebruikers lezen als het onderzoek tegen het bedrijf gericht was en niet tegen verdachte gebruikers?

Voorafgaand aan de interceptie, zo stelt het openbaar ministerie, is ingezien dat een inbreuk op de persoonlijke levenssfeer van gebruikers van Encrochat voorzienbaar was, maar dat dit noodzakelijk was om bewijs tegen het bedrijf Encrochat te verzamelen. De verdediging stelt daar tegenover dat de Encrochat hack in werkelijkheid bedoeld was om bewijs te verkrijgen tegen individuele gebruikers van de Encrochat telefoons en ziet dit vermoeden bevestigd in de zogenaamde Britse stukken. De rechtbank acht deze stelling van de verdediging vooralsnog onvoldoende onderbouwd nu die Britse stukken op zichzelf niet onverenigbaar zijn met het standpunt van het openbaar ministerie dat het onderzoek zich richtte op het bedrijf Encrochat.
Het argument daar achter is dus dat als je legitiem bezig bent met een bedrijf te onderzoeken, en je vindt dan ook bewijs tegen gebruikers, dat dat als ‘bijvangst’ gewoon gebruikt mag worden. Het zou raar zijn als je dat moest laten liggen, terwijl je geen regel overtrad bij het vinden. Bijvangst is legaal verkregen bewijs. Dat wordt anders als dat onderzoek niet echt naar dat bedrijf was, maar een smoesje om eigenlijk de gebruikers te kunnen volgen.

Uit de Engelse stukken blijkt niet dat de Franse/Nederlandse samenwerking daarop gericht was. Oké, denk ik dan, maar een backdoor op al die telefoons pushen voelt niet als een heel logische actie bij een onderzoek naar het bedrijf.

Een volgend probleem was dat de verdediging al die berichten moeilijk kan onderzoeken. Dit is altijd een probleem in het strafrecht: het OM kan in theorie met onbeperkte middelen technisch onderzoek doen en deskundigen laten opdraven, en de advocaat van de verdachte moet maar hopen dat hij iemand vindt die het voor een leuk bedragje wil doen.

De rechter hier is bereidwillig:

Nu de verdediging in dit dossier voor de informatie over het onderzoek voor een belangrijk deel is aangewezen op de door het openbaar ministerie door onder nummer bekend zijnde officieren van justitie opgestelde processen-verbaal, is de rechtbank van oordeel dat in het licht van een eerlijk proces aan de verdediging de mogelijkheid moet worden geboden tot het uitoefenen van meer directe controle. Om die reden zal de rechtbank beslissen dat het verzoek tot het horen van de officier van justitie van het landelijk parket bekend als LAP 0797 zal worden toegewezen.
Kennelijk zijn de meeste stukken geheim, wat natuurlijk logisch is gezien de enorme scope van de vangst, maar wel wringt met het idee van openbaarheid in de strafrechtspleging. “We hebben bewijs maar u mag er niet te lang naar kijken want dan gaan andere onderzoeken stuk” is niet echt de bedoeling.

Ondertussen werkt het NFI aan meer gedegen rapporten over de werking van Encrochat en de hack, en ook deze documenten zullen met de verdachten worden gedeeld. Het is dus sowieso nog even afwachten, en de kans lijkt me groot dat we (net als in Duitsland) hoger beroep gaan krijgen. Ik ben heel benieuwd.

Arnoud

Oostenrijks hof vraagt EU-hof of Facebook met gebruikersdata GDPR ‘ondermijnt’

Geplaatst op in Ondernemingsvrijheid, Privacy, 9 reacties

Het Oostenrijkse Hooggerechtshof heeft het Hof van Justitie van de Europese Unie gevraagd of Facebook juridisch gezien wel gebruikersdata mag verwerken. Dat las ik bij Tweakers. De vraag draait om het verschil tussen toestemming en een contract als grondslag om persoonsgegevens te mogen verwerken. Sinds de AVG van kracht is, houdt Facebook namelijk vol dat mensen bij hen een dienst met gepersonaliseerde advertenties bestellen (als in: een daartoe strekkende overeenkomst sluiten) zodat je het niet over toestemming hoeft te hebben. Eh, wat.

De vragen van het Hof komen (hoe kan het ook anders) uit een rechtszaak die de privacyvoorvechters van None Of Your Business hebben aangespannen. NOYB verzet zich op alle mogelijke manieren tegen de Amerikaanse dataplundering van Facebook en consorten, en dan is dit een logische stap.

Facebook had in het verleden altijd gezegd dat het zich beriep op toestemming. Maar sinds de AVG is toestemming een heikele, zo niet onmogelijke grond om mee te werken: toestemming kan op ieder moment worden ingetrokken en dat mag geen vervelende consequenties hebben. Logisch dus dat de Facebook-juristen al snel bedachten dat je beter op uitvoering overeenkomst kon gaan zitten, want dat is niet zomaar intrekbaar. Besteld is besteld, zeg maar.

De vraag is alleen: wát is er dan besteld. Waren dat die advertenties (graag met een onsje extra personalisatie en hee wat leuk, de doorverkoop voor militaire gezichtsherkenning is afgeprijsd, doe maar) of was dat de communicatiedienst, het kunnen chatten en lezen wat mijn vrienden online doen? Mijn idee was altijd het laatste, maar omdat de Facebook-juristen zo nadrukkelijk hameren op het eerste, moeten we daar een juridische discussie over gaan voeren.

Het Oostenrijkse Hof citeert allereerst een berg literatuur die hier vrij negatief over is: Facebook is steeds het standaardvoorbeeld van een dienst met het niet-essentiële aspect van advertenties erbij. Dat helpt niet voor de beeldvorming, zullen we maar zeggen. En dan concludeert men:

The objective purpose of the contract is decisive for the definition of “necessary” in the sense of Art. 6(1)(b) of the GDPR. Artificially or unilaterally imposed services cannot be subsumed under this. The necessity of data processing for the performance of a contract depends on whether there is a direct factual connection between the intended data processing and the specific purpose of the legal obligation. … The fact that the purposes of the processing are covered by contractual clauses formulated by the provider does not automatically mean that the processing is necessary for the performance of the contract.
Dat laatste is denk ik de kern: dat een partij zegt dát het hoort bij de dienst, maakt het nog niet écht noodzakelijk voor de dienst. Daarvoor is een objectieve toets nodig. Alleen: hoe ziet die toets eruit, en hoe veel speelruimte mag je daar dienstverleners in gunnen? Is bijvoorbeeld bij WhatsApp het noodzakelijk dat iedereen mijn profielfoto ziet, of is enkel de door mij ingevulde naam noodzakelijk om te tonen aan contacten? Of ook dat niet?

Tijd dus om de hoogste Europese rechter hier een uitspraak over te laten doen. Helaas duurt dat altijd wel een dik jaar.

Arnoud

Wat als je altijd al een internetrijbewijs nodig had gehad? #itlawwhatif

Geplaatst op in Informatiemaatschappij, 7 reacties
jambulboy / Pixabay

Deze week ben ik met vakantie. Daarom vandaag nog eenmaal een bijzondere terugblik naar het internetrecht. 

De suggestie is niet nieuw, maar ik wil er toch eens op terugkomen: het internetrijbewijs. Oftewel je mag pas internet gebruiken nadat je een proeve van bekwaamheid hebt afgelegd, een of andere praktijktoets bijvoorbeeld gericht op online veiligheid, awareness op scams, goed gedrag op forums en dat soort zaken.

Er wordt al volgens mij sinds begin jaren nul gepleit voor zo’n digitaal bewijs van bekwaamheid het internet te kunnen gebruiken. En het klinkt natuurlijk heel logisch en aantrekkelijk, want wat is er nou mis met mensen een paar praktijkcriteria te laten doorlopen voordat ze iets groots en potentieel gevaarlijks mogen gebruiken? We doen dat met auto’s ook, en met werk waar we ongekwalificeerde mensen niet willen hebben.

De crux is natuurlijk dat je alleen een internetrijbewijs uitgeeft als je het ook kunt handhaven. En dat betekent in de praktijk in ieder geval dat je iedereen moet kunnen identificeren, net zoals auto’s en brommers een kenteken hebben.

Internet is natuurlijk begonnen als volledig vrij en anoniem medium. Daar even een identificatieplicht tegenaan timmeren is erg lastig. Zeker in de VS, waar anoniem je pleidooi doen gezien wordt als een kernaspect van de free speech waar het land groot mee geworden is.

Ik zou zo geen Amerikaanse gebeurtenis weten waardoor men zou zeggen, en nu mag je alleen internet op als je ISP je kan identificeren. Ik las eens een verhaal die dit koppelde aan de Morris worm (1988), een van de vroegste vormen van computercriminaliteit die bovendien leidde tot de eerste veroordeling onder de Amerikaanse cybercrimewet. Meer opsporingsbevoegdheden gekoppeld aan identificatie van burgers, het kan. Of wellicht onder Section 230 toegevoegd als quid pro qui voor geen aansprakelijkheid.

In Europa waren we wat later met wetgeving, de E-commerce richtlijn van 2000 is dan het meest logische punt. Wederom gekoppeld aan beperkte aansprakelijkheid voor providers. Het is besproken eind jaren negentig maar nooit van de grond gekomen. Diverse partijen (waaronder stichting BREIN en hun buitenlandse collega’s) hebben met rechtszaken zo’n verplichting af willen dwingen, maar tot aan de hoogste Europese rechter is het er nooit van gekomen. Die uitspraak uit 2016 over inbreuken via open wifi kwam nog het dichtste bij.

Had het veel uitgemaakt, zo’n plicht in de Richtlijn uit 2000? Grote providers weten toch al wie je bent, en werken mee met bevelen van Justitie. Als de plicht zo ver was gegaan dat je ook de NAW gegevens aan private partijen moest geven (zeg maar een Lycos/Pessers light) of zelfs dat je naam meegestuurd had moeten worden met elk internetbezoek (dus ieder forum moet ook registreren wie je bent) dan was het denk ik een stuk rustiger geweest op internet.

Specifiek een identificatieplicht gekoppeld aan een toegangsbewijs was voor providers extra, eh, interessant geweest. Het had de groei van internet behoorlijk beperkt natuurlijk. Of daar tegenover had gestaan dat je ook minder overlast had gehad, betwijfel ik. Natuurlijk waren er minder mensen geweest die overlast konden veroorzaken (want lang niet iedereen had dat rijbewijs kunnen halen) maar vaak zie je dat de stugge trol of volhardende stalker echt de moeite wel neemt om door zo’n hoepel te springen. En daarna direct een VPN aanslingert en vanuit Azië verder gaat.

Wat denken jullie, wat was er gebeurd?

Arnoud

Wat als een stel hackers de verkiezingen in 2006 hadden geclaimd? #itlawwhatif

Geplaatst op in Informatiemaatschappij, 19 reacties
jambulboy / Pixabay

Deze week ben ik met vakantie. Daarom de komende dagen eens een bijzondere terugblik naar het internetrecht. 

In 2006 was er veel te doen over stemcomputers. Waarom we willen stemmen met computers is mij nog steeds een raadsel; afgezien van “dan heb je meteen de uitslag” heb ik nog geen fatsoenlijk argument voorbij zien komen. Toch gebruikten we die dingen sinds 1991. In 2006 creëerde de stichting Wij vertrouwen stemcomputers niet forse ophef door te onthullen hoe slecht deze beveiligd waren. De minister besloot daarna zonder die krengen verder te gaan. Maar wat dacht je hiervan?

Op 22 november 2006 gaat Nederland naar de stembus. Ondanks kritiek hier en daar wordt de stemcomputer grootschalig ingezet, zodat diezelfde avond nog de eerste uitslagen gegeven kunnen worden. Rond 23:37 volgt de definitieve uitslag. Dezelfde als echt gebeurde, maar om 23:39 meldt zich actiegroep nedappwn die claimt de verkiezingen ingeprogrammeerd te hebben. Zij wijzen op een publicatie op de bekende site Pastebin van een dag eerder, waar exact de stemverdeling staat van de grootste vijf partijen.

Wat denken jullie dat er zou zijn gebeurd in dit scenario?

(Plot twist: de actiegroep heeft een paar miljoen publicaties gedaan met alle waarschijnlijke permutaties van die top 5 en hun zetelverdeling, maar omdat er geen centrale index is, zijn die andere onvindbaar. De groep koos simpelweg de publicatie die het beste pastte bij de werkelijkheid.)

Arnoud