Wat als de Wbp tanden had gehad? #itlawWhatIf

Geplaatst op in Informatiemaatschappij, 1 reacties
jambulboy / Pixabay

Deze en volgende week ben ik met vakantie. Daarom de komende dagen eens een bijzondere terugblik naar het internetrecht.

De AVG is alweer drie jaar oud, en lijkt zowaar indruk te maken bij bedrijven. Dat is bij diens voorganger de Wet bescherming persoonsgegevens (Wbp) en het eukaryootje de Wet persoonsregistratie wel anders geweest. Ja natuurlijk, iedereen schreef braaf een privacyverklaring en inzage in je dossier kon, maar echt hándhaven, zeker op internet, was vrijwel afwezig.

De Wbp is in 2001 ingevoerd als uitvloeisel van de Europese Richtlijn Dataprotectie uit 1995. De Wbp verving de Wet persoonsregistratie uit 1989. Beiden hadden als kern misbruik van persoonsgegevens voorkomen, maar ze hadden allebei een groot nadeel: de toezichthouder (Registratiekamer, later College bescherming persoonsgegevens en nu dus Autoriteit Persoonsgegevens) kon geen boetes uitdelen voor misbruik.

In mijn beleving is de Wbp vooral vanwege die reden een grote papieren tijger gebleven. Natuurlijk, op grote lijnen hield iedereen wel ongeveer netjes zich aan de regels, maar dan hebben we het vooral over bedrijven met een FG of grote hoeveelheid persoonsgegevens en een gevoel van verantwoordelijkheid daarvoor (zoals verzekeraars of salarisadministraties). Internetbedrijven, die in 2001 net een beetje opkwamen, keken meer naar de Amerikaanse manier van werken; plak een mooi klinkende privacyverklaring op je site en alles mag.

Wat nu als dat anders was geweest, en er stevige boetebevoegdheden waren geweest voor de Registratiekamer?

Alles staat of valt natuurlijk met de handhaving, en gezien de beperkte bezetting van de toezichthouder was het niet meteen reëel dat er grootschalig tegen Nederlandse internetbedrijven zou zijn opgetreden. Maar met het Lindqvist-precedent (persoonsgegevens op internet zetten valt onder de Wbp) en een adequate bemensing zou dat wel eens heel anders hebben kunnen uitpakken.

Ik vermoed dat dit alleen had gewerkt als er op Europese basis gehandhaafd zou worden, want het zou te raar zijn dat Nederland heel streng optrad tegen zeg Google Analytics terwijl in Duitsland dat geen probleem zou zijn geweest.

Het voornaamste effect zou denk ik zijn geweest dat webdevelopers in Europa zich meer hadden aangetrokken van die Europese regels. Wat ik heel veel zag in die tijd, was dat mensen vooral focusten op de Amerikaanse regels, met name omdat vrijwel alle “cyberlaw” publicaties uitgingen van Amerikaans recht.

Wat denken jullie dat er zou zijn gebeurd in dit scenario?

Arnoud

Wat als Section 230 nooit had bestaan? #itlawWhatIf

Geplaatst op in Informatiemaatschappij, 13 reacties
jambulboy / Pixabay

Deze en volgende week ben ik met vakantie. Daarom de komende dagen eens een bijzondere terugblik naar het internetrecht.

De zesentwintig woorden die het internet hebben gemaakt, zo wordt Section 230 van de Communications Decency Act wel genoemd. Dit artikel zegt kortweg dat platforms zoals Facebook (maar ook webhostingbedrijven) niet aansprakelijk zijn voor wat hun gebruikers plaatsen. Dat gaat een stapje verder dan bij ons in Europa, waar dat ook de basisregel is maar

De CDA was een controversiële wet. Al bij invoering in 1996 was er veel kritiek op haar “obscenity” bepalingen: het was een ieder verboden om “patently obscene” materiaal via een netwerk te verspreiden als men wist dat minderjarigen het zouden kunnen lezen. Een van de vele parental scares in die periode, zullen we maar zeggen. Als onderdeel van de discussie om deze wet door het parlement te krijgen, werd section 230 ingevoerd met haar bescherming van tussenpersonen.

Enkele jaren later besliste de Supreme Court dat die obscenity-bepalingen in strijd waren met artikel 1 van de Amerikaanse Grondwet. Die term was zo breed dat er heel wat legale speech onder kon vallen, niet alleen pornografie en uitsluitend aanstootgevende inhoud. Section 230 bleef bestaan, want dat betrof een ander onderdeel van de wet.

Wat nu als section 230 er nooit was geweest, of samen met de obscenity-provisions ten onder was gegaan?

Dan waren we allereerst teruggevallen op de common law regels die in die tijd in ontwikkeling waren bij de diverse rechtbanken. Met name in New York was het interessant in 1996: wie helemaal niets deed (“anything goes”, zeg maar de pure hoster) was nergens voor aansprakelijk, maar wie zich ook maar met de komma’s bemoeide die was volledig redactioneel aansprakelijk alsof hij zelf de inhoud had geplaatst.

Niet dat dat betekende dat iedereen elkaar elke dag aanklaagde, zo erg was het zelfs in de VS niet. Maar we hadden wel véél beperktere ruimte gehad voor user generated content. Ik voorzie dat het Compuserve-model populair was geweest: gemodereerde chats en forums op allerlei onderwerpen, onderworpen aan uitgebreide terms of service (uitgevonden door Compuserve) en weinig ruimte om zelf eigen dingen te beginnen.

In Europa hebben we zoals gezegd sinds 2000 vergelijkbare wetgeving, op basis van een Richtlijn uit dat jaar. Het essentiële verschil is dat onze wet weliswaar zegt dat je niet aansprakelijk bent, maar ook dat je in moet grijpen op klachten. Deze notice/takedown constructie geldt niet alleen voor auteursrecht (zoals in de VS, sinds de DMCA) maar voor alle soorten onrechtmatige inhoud: ook smaad, privacyschending, tips voor computervredebreuk en ga zo maar door.

De oorspronkelijke plannen vermeldden niets over aansprakelijkheid van tussenpersonen, maar er zal ongetwijfeld goed gekeken zijn naar de Amerikaanse regels. Als er niet zo’n Section 230 was geweest, was men denk ik nog steeds uitgekomen bij een notice/takedown constructie, maar zeker is dat niet.

Hadden de Amerikanen dan weer onze regels gekopieerd? Die kans is nihil. Allereerst omdat not invented here ook bij wetgevers daar zwaar weegt, maar ten tweede omdat takedown bij alle soorten klachten al veel sneller in strijd is met het first amendment. Je mag in de VS véél meer zeggen dan elders, en een klachtprocedure bij je uitgever/hoster had dat recht dan vrij snel doorkruist.

Wat denken jullie dat er zou zijn gebeurd in dit scenario?

Arnoud

 

 

Wat als IBM haar softwaredivisie nooit had ontbundeld? #itlawWhatIf

Geplaatst op in Informatiemaatschappij, 2 reacties
jambulboy / Pixabay

Deze en volgende week ben ik met vakantie. Daarom de komende dagen eens een bijzondere terugblik naar het internetrecht.

In oktober vorig jaar maakte IBM bekend haar services-divisie af te splitsen, zodat IBM als een pure cloudservicedienstverlener verder kon gaan. Dit is opmerkelijk, omdat IBM juist een van de grootste dienstverleners is (of was) op het gebied van enterprise IT. En het deed me denken aan een oude, vrij fundamentele ontwikkeling. In 1969 was het namelijk eveneens IBM die haar hardware en softwaredivisies ontbundelde. Maar wat nu als ze dat niet hadden gedaan?

Tot 1969 was de IT markt eigenlijk vooral een hardwaremarkt. Bedrijven kochten grote dikke kasten in het kader van automatisering, en kregen de software er vaak gratis bij. Er waren ook hele actieve groepjes gebruikers die software onderhielden of zelfs verbeterden. Wat niemand erg vond, want daar kochten alleen maar meer mensen hardware van. (En je had niets aan de software zonder die hardware, die je alleen bij de leverancier kon kopen.)

De ontbundeling door IBM was het gevolg van een aanklacht van het ministerie van Justitie: al die gratis software die zo ontstond (en waarbij men afhankelijk was van IBM) was een inbreuk op de vrije mededinging, IBM speelt vals. De aanklacht werd jaren later ingetrokken, maar IBM had zich al bedacht en een aparte markt voor software gecreëerd. (Andere bronnen leggen de overwegingen voor de ontbundeling eerder bij de kosten van software.)

Wat nu als ze dat niet hadden gedaan? Stel die aanklacht was er nooit gekomen, en IBM kon omgaan met de kosten van marktspecifieke software. Dan was het dus véél lastiger geweest voor concurrenten om met enkel software de markt te betreden (dat is dus het antitrust-argument) en hadden we naar alle waarschijnlijkheid ook niet snel algemene personal computers gezien. Juridisch gezien: het had bevestigd dat bundelen van hardware en software géén misbruik van je machtspositie is en had dus leveranciers grote macht over die software gegeven (let op: dit was pre-auteursrecht op software).

De meest logische extrapolatie zou zijn dat IBM zelf was gaan inzetten op kleinere computers, omdat de grote mainframe markt (waar dit met name speelde) al aan zijn eind leek te zijn. IBM had dan het model van “software er gratis bij” gekopieerd, zodat ook die kleinere computers meer op slot hadden gezeten. Concurrenten hadden dan met eigen hardware moeten komen, wat natuurlijk velen enkele decennia later deden: de Commodore, Amiga en natuurlijk de Mac. Maar die markt had dan veel later en kleiner ontstaan.

Ondertussen was er weinig behoefte geweest aan bescherming van software, dus de kans wordt een stuk kleiner dat er auteursrechtelijke bescherming komt voor computerprogramma’s. En dat had weer mooie ripple effecten gehad op zaken als open source.

Wat denken jullie dat er zou zijn gebeurd in dit scenario?

Arnoud

Man aangehouden voor stiekem opnemen rechtszaak

Geplaatst op in Regulering, Uitingsvrijheid, 29 reacties
ds30 / Pixabay

Tijdens een zitting bij het Gerechtshof in Leeuwarden is dinsdagochtend een 71-jarige man uit Assen aangehouden, las ik in de Leeuwarder Courant (spiegel). Hij maakte daar heimelijk geluidsnames van een zitting, en wel ten behoeve van het slachtoffer dat thuis was. Het Hof noemt het een “unieke situatie”; de verdachte en zijn advocaat hebben allebei aangifte gedaan. Ik moet zeggen, dit voelt erg raar aan.

Een medewerker van de parketpolitie zag tijdens de hogerberoepzitting van een diefstalzaak dat een man op de publieke tribune bezig was met opnames maken op zijn iPhone. Dat is verboden onder de huisregels van de rechtbanken. De reden daarvoor is niet dat rechters heel ouderwets zijn, maar omdat kort gezegd het de waarheidsvinding niet ten goede komt.

De Raad voor de Rechtspraak publiceert regelmatig motivaties waarom zij pers of opnames niet toestaat. Een korte selectie:

  • “De rechtbank heeft aanwijzingen dat de opnames verdachtes vrijheid om open en eerlijk te verklaren zeer waarschijnlijk belemmert.”
  • “Vanwege veiligheidsrisico’s heeft de voorzitter in deze specifieke zaak het verzoek van het Openbaar Ministerie ingewilligd en daarom mogen de officieren van justitie niet in beeld worden gebracht. “
  • “Dat bezwaar honoreert de voorzitter gelet op de zorgen van de verdediging over stigmatisering of negatieve beeldvorming bij die media-aandacht.”
  • “Het verzoekschrift dat tijdens de zitting besproken wordt, gaat over het houden van een getuigenverhoor in een in veel opzichten gevoelige kwestie waarmee grote financiële en andere belangen gemoeid zijn. Het is van belang om die bespreking in alle rust te kunnen laten plaatsvinden. “
Voor mij is de kern dat het de voortgang van de rechtszaak verstoort. Als mensen weten dat ze opgenomen worden, leidt dat ze af. Misschien willen ze dan niets meer zeggen, misschien worden ze boos omdat ze zich verspreken en dat nu opgenomen is. En misschien zijn ze bang dat de opname verkeerd in de media komt zodat ze (hoewel ze onschuldig zijn) als grote crimineel afgeschilderd gaan worden.

Bij een geheime opname zou dat niet moeten spelen, je weet per definitie niet dat dat gebeurt. Maar die risico’s van misbruik en dergelijke spelen dan net zo goed, daarom is het stiekem afluisteren en opnemen van gesprekken strafbaar gesteld (art. 139a en 139b Strafrecht).

Mijn eerste gedachte was wel: hoezo is dit afluisteren, je kunt moeilijk volhouden dat je een privégesprek aan het voeren bent in een openbare rechtszitting. Maar de wet gaat verder dan alleen met een richtmicrofoon twee babbelaars op een bankje op band krijgen. Het wetsartikel is al wat ouder, bij invoering (1967) zei de minister:

[Overigens] moet in het wetsontwerp het woord „afluisteren” niet worden opgevat in de beperkte zin van: „ongemerkt of heimelijk luisteren”, zoals dit in het gewone spraakgebruik wel geschiedt. Onder „afluisteren” wordt in het wetsontwerp, evenals trouwens in wetsontwerp no. 8911, verstaan elk luisteren naar een gesprek door een buitenstaander, het „beluisteren” dus.
Ik zie wel hoe je “beluistert” door op de publieke tribune te zitten en dan een opname te maken.

Natuurlijk voelt het behoorlijk paradoxaal: een rechtszitting is openbaar, je mag van alles verslag doen achteraf dus hoezo ben je dan aan het “afluisteren” als je dat verslag niet maakt door meeschrijven maar door opnemen. Maar de kern is dus dat het opnemen de rechtszaak verstoort en daarom niet mag.

Arnoud

Nee, er is geen officiële bewaartermijn voor beveiligingscamerabeelden

Geplaatst op in Privacy, Regulering, 21 reacties

De Nederlandse politie heeft bijna 280.000 camera’s opgenomen in de Camera In Beeld-database. Dat meldde Tweakers onlangs. De meeste zijn van bedrijven, zo’n 15% is van particulieren. De database is handig als start voor opsporing: je weet precies waar je met je vordering afgifte camerabeelden moet zijn als agent (er is geen live toegang op afstand natuurlijk). En dan het ergerlijke stukje: “Publieke camerabeelden worden gemiddeld langer bewaard dan wettelijk toegestaan.” Dit is niet waar en ik wou dat men ophield dit te zeggen.

De motivatie is dan dat zowel politie als Autoriteit Persoonsgegevens ergens mompelen dat 28 dagen de maximale bewaartermijn is:

Het valt op dat de bewaartijd van beelden van de publieke camera’s langer is dan die van particuliere camera’s en mogelijk zelfs de wet overtreedt. Particulieren en bedrijven bewaren camerabeelden gemiddeld 21 dagen. Bij beelden van de overheid gaat het om 38 dagen. Dat is langer dan toegestaan. De politie verwijst zelf naar zijn eigen regels, waarin staat dat camerabeelden maximaal 28 dagen mogen worden bewaard. Ook de Autoriteit Persoonsgegevens noemt een maximale bewaartermijn van vier weken voor camerabeelden ‘van de politie’.
Alleen, volgens mij hebben politie en AP het over bewaartermijnen van overheids-camera’s, zoals die een gemeente op zou hangen voor toezicht in de openbare ruimte. In deze database zitten vooral particuliere camera’s (van burgers, zowel bedrijven als personen dus) en dat is juridisch iets heel anders. Die particulieren moeten zich aan de AVG houden, althans als de camera ook de openbare weg filmt. En in de AVG staat géén 28 dagen, daar staat alleen “niet langer dan nodig”.

Oftewel: het hele punt is dat wie een camera ophangt die meer dan eigen terrein filmt, zélf moet gaan bedenken hoe lang zhij de beelden bewaart. Dat moet gemotiveerd en gedocumenteerd (op zijn minst in je privacyverklaring). Er is geen vuistregel of basistermijn.

Heel, heel lang geleden was er een Wet bescherming persoonsgegevens. Die vermeldde ergens dat camerabeelden maximaal 28 dagen bewaard mochten worden. Dat was alleen in de context van de registratieplicht, in die tijd moest je je camera aanmelden bij de AP anders mocht deze er niet hangen. Maar wie de beelden binnen 28 dagen wiste, hoefte de camera niet te melden. Om mij nog steeds volstrekt onverklaarbare redenen zijn hele hordes mensen dit vrijstellingsbesluit gaan lezen als een toestemming om beelden 28 dagen te bewaren. En deze waanzinnige mythe leeft nog steeds door, ik zie ook in publicaties van overigens respectabele juristen anno 2021 doodserieus nog dat vrijstellingsbesluit als bron genoemd voor een bewaartermijn.

Het enige relevante juridische document is deze publicatie van de European Data Protection Board, de samenwerkende toezichthouders. Deze werkt het AVG-kader voor cameratoezicht nader uit, en vermeldt op pagina 28:

Taking into consideration the principles of Article 5 (1) (c) and (e) GDPR, namely data minimization and storage limitation, the personal data should in most cases (e.g. for the purpose of detecting vandalism) be erased, ideally automatically, after a few days. The longer the storage period set (especially when beyond 72 hours), the more argumentation for the legitimacy of the purpose and the necessity of storage has to be provided. If the controller uses video surveillance not only for monitoring its premises but also intends to store the data, the controller must assure that the storage is actually necessary in order to achieve the purpose. If so, the storage period needs to be clearly defined and individually set for each particular purpose.
De kern is dus: je beelden moeten zo snel mogelijk weg, en het liefst automatisch. En dat “zo snel mogelijk” druk je eerder uit in uren dan in dagen. Als jij iets anders wil, leg maar uit waarom jij in jouw situatie met die beelden voor jouw doeleinden meer nodig hebt. En dan willen we geen dooddoeners horen dat security-randvoorwaarden dit vereisen, dat je ISO auditor in het model 28 dagen had staan (ik citeer een vraagsteller) of dat je wellicht na enkele weken oude beelden wil terugkijken om incidenten te correleren.

Oké, dat was even erg cynisch allemaal. Laat ik het eens positief doen. Hier zijn een aantal voorbeelden van motivaties voor bewaartermijnen, met het verzoek aan jullie om aanvullende tekstvoorstellen te doen!

  • Bij dit woonhuis gebruiken wij camera’s om huis, erf en bewoners te beschermen en (pogingen tot) diefstal, braak en dergelijke vast te leggen. Wij kunnen dan aangifte doen of via de verzekeraar claims indienen. De beelden bewaren wij 72 uur omdat we niet meteen alles zullen opmerken. Periodes van vakantie rekenen we hierin niet mee.
  • Onze winkel is met camera’s beveiligd en we filmen ook de winkelruit in verband met ramkraken en inbraken. De beelden worden aan het einde van elke werkdag vernietigd.
  • Op deze camperstalling wordt met cameratoezicht gewaakt over de geplaatste caravans en campers. Omdat het terrein niet dagelijks door mensen gecontroleerd wordt, worden camerabeelden bewaard tot het einde van de betreffende huurperiode. Camerabeelden waar ook de openbare weg in beeld is, worden wekelijks uitgekeken en vernietigd tenzij incidenten zichtbaar zijn.
In het bijzonder ben ik op zoek naar een voorbeeld van een ‘gewoon’ bedrijf dat camerabeelden 28 dagen mag bewaren. Omdat je normaliter incidenten sneller opmerkt dan dat (de bekraste auto, de inbraak, de vechtpartij bij de personeelsingang) zie ik het niet. De angst voor een stakeout door georganiseerde criminelen die dan eens in de week komt posten om de geldloper te bespringen zodra ze het patroon door hebben voelt een vrij specifiek risico?

Arnoud

 

‘Belgische providers moeten fup verhogen als 1 op 10 klanten deze overschrijdt’

Geplaatst op in Ondernemingsvrijheid, 8 reacties

De Belgische toezichthouder BIPT heeft een nieuw richtsnoer geïntroduceerd over hoe mobiele en vaste providers om moeten gaan met onbeperkt internet. Dat meldde Tweakers onlangs. Een van de maatregelen is dat providers gebruikers niet mogen blokkeren als zij over de fair use policy oftewel FUP gaan. De BIPT noemt dit een “beleid van redelijk gebruik” en doet een goede poging deze misstand aan banden te leggen.

De FUP is een bekende truc om “onbeperkt” te kunnen zeggen zonder onbeperkt aan te bieden. Al heel lang maak ik me druk over deze benadering, die vaak immers neerkomt op een harde datalimiet. Alleen dan niet uitgedrukt in een keihard getal (2GB/maand) maar als een relatief getal: u verbruikt meer dan 10x het gemiddelde deze maand, bijvoorbeeld. Dat klinkt redelijk, maar is natuurlijk ontzettend onduidelijk, én variabel bovendien. En hoezo 10?

Er zijn ook varianten die andere criteria gebruiken, zoals T-Mobile dat in 2016 het tetheren oftewel via je mobiel internetten met je laptop als ‘onredelijk’ aanmerkte. Maar in België heeft de BIPT het onderzocht en komen eigenlijk alleen problemen voor met FUPs die getalsmatige limieten hebben, en vaak ook bij overschrijding leiden tot afsluiting.

Dat laatste is natuurlijk gewoon niet wat ‘onbeperkt’ betekent, geen internet als je 500GB verbruikt hebt is met geen mogelijkheid “onbeperkt internet” maar gewoon een databundel van 500GB.

Wat ik het mooiste vind, is de basislijn die men trekt:

Het beleid van “redelijk gebruik” moet een aanzienlijke proportie van de eindgebruikers de mogelijkheid geven om zonder beperkingen toegang te hebben tot het Internet.
Er zijn dus in België kennelijk situaties waarin de meerderheid van de abonnees allemaal over de FUP heengegaan is en dan afgesloten werd. Nou is de redelijkheid heel redelijk maar, eh, hoe zeg je dat juridisch: kóm nou toch.

De remedie die men dus aangeeft in dit richtsnoer, is dan ook dat de FUP limieten moeten worden opgehoogd wanneer 10% van de klanten de FUP aantikt. Dat kan inderdaad een congestieprobleem zijn (want die limieten zijn er natuurlijk niet voor niets) maar dat is dan jouw probleem omdat je onbeperkt internet aanbiedt.

Verder is het essentieel dat je als provider duidelijk communiceert over wat je limieten zijn. Ik denk dat je daarmee niet ontkomt aan getalsmatige limieten, want je moet ze vóóraf aangeven en ook nog eens uitdrukken in bijvoorbeeld “dat komt overeen met 24 uur per week video streamen vanaf Netflix”.

Het BIPT “verwacht dat aanbieders van internettoegangsdiensten op de Belgische markt de eerste aanpassingen die voortvloeien uit deze Richtsnoeren uiterlijk 6 maanden na de publicatie ervan doorvoeren”, aldus de laatste zin van de richtsnoeren. Ik ben benieuwd wat de Nederlandse concullega’s gaan doen. Vooral omdat dit allemaal geen verrassing zou moeten zijn: we praten er nog net geen twintig jaar over volgens mij.

Arnoud

Wat hebben we aan menselijk toezicht op AI?

Geplaatst op in Innovatie, 17 reacties

Algoritmes zijn neutraal, dus het is beter om algoritmes beslissingen te laten nemen. Met die waangedachte wordt met allerlei Artifical Intelligence (AI) systemen geëxperimenteerd. Voor de vorm is er dan menselijk toezicht, en zoals een recent Slate-artikel betoogt, daar heb je dus helemaal niks aan. Het lijkt me beter om eens wat harder in te grijpen, zoals de Europese Commissie van plan is.

Het idee van neutraliteit “omdat het algoritmes zijn” of “omdat het uit de data volgt” vind ik absurd. De voornaamste reden is omdat de data vrijwel nooit zelf neutraal is, maar vooral de bestaande vooroordelen of aannames uit de maatschappij reflecteert. Een AI is eerder een spiegel van hoe je maatschappij functioneert, maar dan zonder de flexibiliteit of menselijke redelijkheid die in de praktijk de scherpste randjes eraf haalt.

Mooi recent voorbeeld: een bedrijf dat met gezichtsherkenning de deur bedient, maar iemand in een rolstoel zit te laag volgens het algoritme en diens hoofd wordt dus niet als hoofd aangemerkt. De deur kan dus niet open.

In april publiceerde de Europese Commissie een concept-Verordening tot regulering van artificiële intelligentie. De kern: hoe meer risico de technologie met zich meebrengt, hoe strikter de regels die ervoor gelden. Er wordt daarom een verschil gemaakt tussen vier AI-systemen:

  1. Onaanvaardbaar risico. Hierbij gaat het onder meer om AI-systemen bij de overheid die burgers “sociale scores” geven, of biometrie voor grootschalige opsporing en surveillance. Dergelijke systemen zijn gewoon verboden.
  2. Hoog risico. Denk hierbij aan systemen die mensen selecteren bij sollicitatieprocedures en de toegang van burgers tot sociale zekerheid bepalen. Deze moeten aan hoge eisen voldoen voordat ze op de markt mogen.
  3. Beperkt risico. Dit is bijvoorbeeld het geval wanneer er een duidelijk risico op manipulatie bestaat, zoals bij het gebruik van chatbots. Voor deze systemen geldt een transparantieverplichting.
  4. Minimaal risico. Dit zijn bijvoorbeeld spamfilters. Deze AI-systemen mogen blijven worden ontwikkeld en gebruikt.
Bij de niveau’s 2 en 3 is het van belang dat er mensen meekijken, die dan ook “betekenisvol toezicht” uitoefenen. Aan mensen die alleen maar constateren

Zoals je in mijn elearning AI Compliance & Governance kunt leren, staan drie begrippen dan centraal: Human in the Loop (HITL), Human on the Loop (HOTL) en Human in Control (HIC). Bij HITL loopt een mens in elke stap mee. HOTL wil zeggen dat de mens op de achtergrond meekijkt en in kan grijpen waar nodig, en HIC betekent meer toezicht op afstand op het systeem als geheel. Dus zeg maar: de portier die naast de deur zit en gauw opendoet voor die persoon in rolstoel, de portier die een verdieping verderop de bel hoort en open komt doen, en de gebouwbeheerder die achteraf de klacht per email leest.

Klinkt leuk, maar er is een probleem. Zoals Slate schrijft:

People presented with the advice of automated tools are prone to “automation bias” (through which they defer to the automated system without proper scrutiny), struggle to evaluate the quality of algorithmic advice, often discount accurate algorithmic recommendations, and exhibit racial biases in their responses to algorithms.
Voor mij is die eerste het belangrijkste. Output van computers voelt voor veel mensen als doordacht en zeker, het algoritme zal erover nagedacht hebben zeg maar. Daar wordt dus niet snel van afgeweken. En dat speelt des te meer in situaties van toezicht en handhaving, omdat daar altijd wel iets te vinden is om nader te onderzoeken. Je krijgt daardoor niet snel het gevoel dat de computer het fout had, en je onthoudt vooral de gevallen waarin de computer spectaculair gelijk had.

Een bijkomend probleem is het kunnen inschatten wat de AI bedoelt. Dan kom je bij uitlegbaarheid terecht, en daar zit ook een enorme valkuil. Een AI kan met uitleg komen, maar dat is niet meer dan een verklaring van wat voor de AI de relevante factoren zijn. Zoals ik in 2017 schreef:

Je krijgt bijvoorbeeld te horen “als Venue bevat niet Californië en lengte < 800 woorden en Aansprakelijkheid bevat niet Dientengevolge dan goedgekeurd”. Ja, dat is een uitleg maar geen mens die ooit op die manier zou uitleggen waarom het contract goedgekeurd is. Plus je mist zo wat er met andere informatie is gebeurd, was die niet belangrijk?
De valkuil is dan dat je als mens een verklaring gaat verzinnen dat een korte tekst zonder dat woord en een rechtskeuze buiten Californië een logische tekst is. Wat een jurist prima kan. Maar die verklaring is dus niet waarom het systeem het contract goedkeurde. Het systeem hééft geen verklaring, alleen correlaties, dingen die horen bij een goedgekeurd contract. Wie dan zinvolle menselijke toelichting verwacht, zal ernstig teleurgesteld worden. Of erger nog: trappen in de verklaring die de mens erbij geeft.

Arnoud

Mag ik een game op CD (ja, op CD) twee maal installeren op twee computers?

Geplaatst op in Ondernemingsvrijheid, 34 reacties

Via Reddit:

Hello, I own the physical copy (bought legally from a store over 10 years ago) of a game that (for those who never bought games during the CD era) installs the game files on the computer and allows the game to be run without disk. I was wondering: Is installing the game using the disk on a laptop A and then moving the game files on a computer B considered illegal?
In de tijd van games streamen en alles maar online is het verfrissend zo’n ouderwets aandoende vraag aan te treffen. En het is juridisch nog iets gecompliceerder dan je zou denken.

Hoofdregel van de Auteurswet is natuurlijk dat je werken niet mag kopiëren zonder toestemming. Maar we hebben daar een uitzondering op, en die heet de thuiskopie. Je mag van een legaal verkregen werk (dus niet illegaal downloaden) een kopie maken, dat is ook waar je de thuiskopieheffing voor betaalt die op je laptop en andere lege muziek- en filmopslagmedia wordt berekend. Een film mag je dus rippen van dvd naar een digitaal bestand om op je laptop af te spelen, bijvoorbeeld.

Specifiek bij software was de lobby iets succesvoller: daar geldt het recht op thuiskopie namelijk niet, zo staat expliciet in de Auteurswet (artikel 45n). Weliswaar mag je een reservekopie maken (artikel 45k) maar dat is niet bedoeld voor een apart speelbare kopie van een spel. Wat de vraagsteller wil, mag dus binnen dat kader alleen als de ‘move’ naar B bedoeld is om van laptop A over te stappen naar computer B, met name wanneer laptop A kapot is gegaan of iets dergelijks.

Als het erom gaat om het spel op twee computers tegelijk te kunnen spelen (de laptop op het werk, de computer thuis) dan kan dat alleen als de licentie het toestaat. Daarvoor zul je dus terug moeten naar de verpakking die je tien jaar geleden weggegooid hebt, of kijken of de bij installatie langskomende EULA hier wellicht wat over zegt. Sommige spelaanbieders waren redelijk inschikkelijk, dus het is niet uitgesloten.

(Het maakt niet uit of de vraagsteller het spel twee maal installeert vanaf CD of de geïnstalleerde versie op A kloont naar computer B.)

Arnoud

Consumentenbonden EU dienen klacht in tegen WhatsApp wegens ‘druk op gebruikers’

Geplaatst op in Innovatie, Ondernemingsvrijheid, 10 reacties

Verschillende Europese consumentenorganisaties hebben een klacht ingediend tegen WhatsApp, las ik bij Tweakers. Volgens de organisaties oefent de chatapp te veel druk uit op zijn gebruikers om de nieuwe gebruiksvoorwaarden en het vernieuwde privacybeleid te accepteren: ‘Je kunt niet volledig gebruikmaken van WhatsApp totdat je de updates aanvaardt. Voor een korte periode kun je nog wel oproepen en meldingen ontvangen, maar je kunt geen berichten lezen of verzenden via de app.’

Volgens de consumentenorganisaties zorgt de inhoud van de meldingen en herhaling voor onnodige druk op consumenten en belemmeren ze hun keuzevrijheid. Daarmee zijn ze in strijd met de Europese regels. Uit het persbericht:

Sandra Molenaar, directeur Consumentenbond: ‘WhatsApp dreigt consumenten de toegang tot de app te weigeren als ze de voorwaarden niet accepteren. Terwijl helemaal niet duidelijk is waar ze toestemming voor geven. WhatsApp beperkt consumenten in hun keuzevrijheid: als je niet accepteert, kun je Whatsapp niet meer gebruiken. De contractvoorwaarden zijn bovendien niet transparant. En dat is in strijd met de wet.
Dat riep vele vragen op, want hoezo mag je niet gewoon als dienstverlener je voorwaarden wijzigen en afdwingen dat men ermee akkoord gaat. Nou ja, in principe mág dat ook (contractsvrijheid) maar specifiek bij zo’n groot bedrijf die zo massaal nieuwe voorwaarden er doorheen drukt en dan ook nog eens bij consumenten, dan komt dat anders te liggen. Bij consumenten hebben we namelijk extra regels die deze zwakke marktpartij moet beschermen tegen grote kolossen zoals WhatsApp.

Het meest voor de hand ligt om het op de agressieve marktpraktijk te gooien (art. 6:193h BW):

Een handelspraktijk is in haar feitelijke context, al haar kenmerken en omstandigheden in aanmerking genomen, agressief indien door intimidatie, dwang, waaronder het gebruik van lichamelijk geweld, of ongepaste beïnvloeding, de keuzevrijheid of de vrijheid van handelen van de gemiddelde consument met betrekking tot het product aanzienlijk wordt beperkt of kan worden beperkt, waardoor de gemiddelde consument een besluit over een overeenkomst neemt of kan nemen, dat hij anders niet had genomen.
Dit is primair geschreven voor fysiek agressieve praktijken, maar zeg me dat WhatsApp niet het virtuele equivalent van deze doet:
De volgende handelspraktijken zijn onder alle omstandigheden agressief: … de indruk geven dat de consument het pand niet mag verlaten alvorens er een overeenkomst is opgesteld;
En dat is dan ook precies wat men in de formele klacht (p. 9) heeft genoemd als grond. Wat ze daarbij (terecht, denk ik) zwaar laten wegen is dat de gebruiker de melding niet weg kan klikken. Je krijgt een groot scherm met alléén een “Accepteer” knop, en afgezien van de app dan afsluiten heb je geen opties.

Nog een hele mooie is wat men in de Richtlijn oneerlijke bedingen uit 1993(!) wist te vinden:

In het geval van overeenkomsten waarvan alle of bepaalde aan de consument voorgestelde bedingen schriftelijk zijn opgesteld, moeten deze bedingen steeds duidelijk en begrijpelijk zijn opgesteld. In geval van twijfel over de betekenis van een beding, prevaleert de voor de consument gunstigste interpretatie.
U ziet daar “duidelijk en begrijpelijk” en u moet meewarig lachen, dit is niet echt een op internet gehandhaafde regel zullen we maar zeggen. Maar het staat er en is gewoon bindend Europees recht. Dus als de update van WhatsApp (inclusief haar uitleg met mooie wollige taal) niet voldoet aan die eis, dan is die niet rechtsgeldig.

Arnoud