Ius Mentis

Mag ik om kwaliteitsredenen een transparante image proxy draaien van het auteursrecht?

Geplaatst op 30 juni 202125 juni 2021 in Intellectuele rechten, 8 reacties

Een lezer vroeg me:

Als geschiedenisblogger gebruik ik veel afbeeldingen. Om opslag te besparen en auteursrechtheffingen te kunnen vermijden, gebruik ik daarbij embedding van externe bronnen. Alleen merk ik dat de kwaliteit van veel bronsites te merken overlaat. Daarom heb ik een kleine proxy op mijn site gebouwd, die transparant test of de afbeelding er is, en zo niet een gecachte kopie van klein formaat. Tevens kan ik zo via versleutelde http (SSL) de afbeelding leveren, iets dat bij veel bronsites helaas nog ontbreekt. Mag dit?

Nee, ik ben bang dat dit auteursrechtelijk problematisch is. Je mag inderdaad externe legaal gepubliceerde afbeeldingen embedden (of iframen, hoe je het maar wilt noemen). Maar dan moet je wel echt zuiver embedden, zeg maar <img src=https://example.com/img.png>. Zo verwijs je de browser naar die externe site en wordt de afbeelding daar opgehaald.

Een transparante proxy wil grofweg zeggen:

Jouw eigen server server probeert de afbeelding op te halen.
Als de afbeelding er is, wordt de data daarvan doorgegeven naar jouw bezoeker.
Bovendien sla je dan een kopie van die afbeelding op (kennelijk in kleiner formaat).
Als de afbeelding er niet is, wordt een bij jou opgeslagen kopie (kennelijk in kleiner formaat) doorgegeven naar jouw bezoeker.

In deze situatie heb je dus een kopie op je eigen site. En als die er niet is, dan wordt de originele afbeelding opgehaald en als kopie doorgegeven.

We noemen dit technisch een proxy, een tussenschakel die het bij A ophaalt en bij B aflevert. Juridisch bestaat die term ook, maar alleen als je informatie van tweeden aan derden geeft. Zodra het je eigen informatie is, of je informatie aan je eigen bezoekers geeft dan ben je per definitie geen proxy of tussenpersoon meer.

De basis hiervoor is art. 6:196c lid 3 BW dat spreekt van “van een ander afkomstige informatie” die “aan anderen op hun verzoek” gegeven wordt. Als je dat doet, dan ben je juridisch een tussenpersoon en niet aansprakelijk voor wat je doorgeeft (of wat je tussentijds opslaat).

Hier zou het argument dan zijn dat de plaatjes van een ander komen en dat jij die aan de lezers geeft met alleen wat technische kwaliteitsverbetering. Echter, dat is dan niet op verzoek van de lezers maar op jouw instructie, jij stopt die plaatjes in je proxy. Dus dat gaat niet op.

Ook met artikel 13a Auteurswet kom je er niet, want dat eist “de doorgifte in een netwerk tussen derden door een tussenpersoon”. Jij bent dan geen tussenpersoon vanwege het argument uit de vorige alinea. Dus nee, dit gaat niet werken.

Arnoud

Nieuw wetsvoorstel maakt einde aan ‘desastreuze’ fiscale regels voor start-ups

Geplaatst op 29 juni 202120 juni 2021 in Ondernemingsvrijheid, nog geen reacties

Om werken bij jonge, veelbelovende bedrijven aantrekkelijker te maken komen er fiscaal vriendelijkere regels voor medewerkers die betaald worden in aandelen. Dat meldde het FD onlangs. Het tot nu toe onderbelichte wetsvoorstel (internetconsultatie, sluit morgen) moet “meer bedrijven laten uitgroeien tot een Europese kampioen en Nederland concurrerender maken”. Deze kwam ook bij veel van mijn klanten langs, dus ik dacht ik licht hem er even uit ondanks dat het natuurlijk niet echt ICT-specifiek is.

De aanleiding voor het voorstel is dat je momenteel bij het krijgen van aandelenopties meteen een belastingheffing erbij krijgt, terwijl je opties op dat moment nog niets waard zijn – je startupwerkgever is nog niet naar de beurs, of je zit met een lockup periode die je uit moet zitten voordat je ze mag uitoefenen. Zoals het FD uitlegt:

Werknemers maken nu geen gebruik van opties, omdat ze de belasting erover niet kunnen betalen. Het alternatief is een lening afsluiten. Maar dit is riskant, aangezien de meeste start-ups mislukken en de aandelen vervolgens waardeloos zijn.

De bedoeling is dat de belastingheffing begin volgend jaar verschuift naar het moment dat aandelen verhandelbaar worden door een verkoop, investeringsronde of beursgang. Een punt van kritiek is wel dat het nieuwe systeem duurder uitpakt:

Wie nu onder de huidige regels meteen loonbelasting betaalt, valt daarna in box 3, waarin het rendement uit de aandelen wordt belast. Dat is per jaar maximaal 1,76% van het vermogen, en minder bij vermogens onder €950.000. Maar het ministerie wil straks ook over de latere waardestijging van de aandelen tot 49,5% loonbelasting rekenen, waarmee alles in box 1 valt.

(Het blijft ergens cynisch grappig dat het FD altijd met die “Stel u heeft €950.000 aan opties” rekenvoorbeelden komt.) Dit is in tegenstelling tot andere landen waar zulke aandelen direct als vermogen belast worden, dus daar pakt dat gunstiger uit. Maar wie dat niet wil, kan aldus de minister de oude regeling blijven gebruiken.

Arnoud

Mag een website admin mijn username afpakken?

Geplaatst op 28 juni 202120 juni 2021 in Ondernemingsvrijheid, 12 reacties

Bij Tweakers las ik:

Al acht jaar zit ik op een grote commerciële website waar je ook kan reageren, hier ben ik actief en heb ik heel veel berichten gepost en mensen geholpen. Ook heel veel waarde toegevoegd. Nu willen de administrators mijn gebruikersnaam hebben en dreigen met dat als ik dit niet verander, zij dit binnenkort doen. Ik baal hier van, ik vermoed dat de site admin mijn naam wil hebben. Kan dit zomaar?

Praktisch natuurlijk wel: wie gaat er in hemelsnaam procederen over zoiets raars waar ook nog eens geen echt financieel belang bij te bedenken is? Dus het praktische antwoord is: ja, dat kan zomaar.

Maar laten we eens doen alsof je voor financiële bagatels wel naar de internetvrederechter zou kunnen stappen. Want dan wordt het interessant, het is namelijk net iets te makkelijk om te zeggen, hun forum hun regels of “als het in de voorwaarden staat dan mag het”.

De kern is natuurlijk mijn mantra dat online dingen dienstverlening zijn en geen producten. Je account is dus niets, zelfs niet een papieren bioscoopkaartje waarvan je nog kunt zeggen dat het zowel bewijs van toegang tot de dienst (voorstelling) is als een stukje papier dat je eigendom is geworden. Je account is een serie tekens dat wordt gebruikt om toegang aan te vragen en gegevens over jouw gebruik van de dienst bijeen te houden.

De enige zijdelings relevante wet is de AVG: een accountnaam is een persoonsgegeven, omdat deze gekoppeld is aan gegevens over de accounthouder. Of sterker nog: omdat dit een náám is van die betrokkene, en dus een direct identificerend gegeven is. (Het is een misverstand dat de AVG pas geldt als je gegevens kunt herleiden tot een paspoortnaam.) Alleen staat er in de AVG niets over het niet mogen wissen van persoonsgegevens omdat de betrokkene eraan gehecht is. Wissen moet als de gegevens verouderd zijn, wissen mag niet als je belangen nodeloos schaadt, maar geen van die situaties gaat hier op.

Blijven dan alleen de huisregels over? Nee. De wet bevat namelijk een algemene regeling over hoe een contract of overeenkomst. Art. 6:248 BW, lid 1:

Een overeenkomst heeft niet alleen de door partijen overeengekomen rechtsgevolgen, maar ook die welke, naar de aard van de overeenkomst, uit de wet, de gewoonte of de eisen van redelijkheid en billijkheid voortvloeien.

Dingen die je niet afgesproken hebt maar die wel normaal zijn in jouw branche (“gewoonte”) zijn dus gewoon ook afspraak bij jou, bijvoorbeeld. Idem voor wat gewoon redelijk is, dat geldt dan ook voor jou. Daar kun je in principe omheen met een expliciete afspraak, maar daar zit ook weer een grens aan, lid 2:

Een tussen partijen als gevolg van de overeenkomst geldende regel is niet van toepassing, voor zover dit in de gegeven omstandigheden naar maatstaven van redelijkheid en billijkheid onaanvaardbaar zou zijn.

Met ‘onaanvaardbaar’ wil de wetgever aangeven dat het niet alleen maar “raar” of “ongebruikelijk” of zelfs “sterk nadelig voor één partij” is. Het moet echt onacceptabel zijn, echt niet kunnen.

Speciaal bij websitevoorwaarden waarbij gewone mensen (“consumenten”) de klant zijn, geldt nog een extra regel (art. 6:233 sub a BW):

Een beding in algemene voorwaarden is vernietigbaar … a.indien het, gelet op de aard en de overige inhoud van de overeenkomst, de wijze waarop de voorwaarden zijn tot stand gekomen, de wederzijds kenbare belangen van partijen en de overige omstandigheden van het geval, onredelijk bezwarend is voor de wederpartij

(Websitevoorwaarden zijn algemene voorwaarden in de ogen van de wet, of ze nou bij de KVK liggen of niet en ongeacht hoe je ze noemt.) Dit criterium is iets lichter dan het “onaanvaardbaar” uit 6:248 BW, het is goed mogelijk dat een algemene voorwaarde onredelijk bezwarend is terwijl die niet óók naar maatstaven van redelijkheid en billijkheid onaanvaardbaar is. Ook geldt dat een AV meer abstract getoetst wordt, omdat bij art. 6:233 niet staat “in de gegeven omstandigheden”.

Het Europese Hof van Justitie heeft in 2013 een arrest gewezen (Aziz) waar een heel mooi criterium in staat of een beding “onredelijk bezwarend” is (in EU-termen “een oneerlijk beding”):

de nationale rechter [dient] na te gaan of de verkoper redelijkerwijs ervan kon uitgaan dat de consument een dergelijk beding zou aanvaarden indien daarover op eerlijke en billijke wijze afzonderlijk was onderhandeld.

Dan wordt de vraag in dit geval dus: als je als beginnend poster had gesproken over “wat als het beheer het account wil”, was je dan in alle eerlijkheid en goede trouw uitgekomen met “prima, mag je hebben, ook als ik acht jaar postgeschiedenis en goodwill heb opgebouwd”? Dat lijkt me niet heel sterk. Daarmee zou een dergelijke eis dus onredelijk bezwarend zijn, en als lid mag je dat dan naast je neerleggen.

Complicatie is natuurlijk dat een beheerder wel vrij snel in zijn recht staat als deze je account wist inclusief alle bijdragen. Zeker bij een bedrijfsovername is dat geen onlogische stap. Dus dan wordt je account niet overgenomen maar wel weggegooid, een tikje zuur.

Blijft natuurlijk de vraag, waaróm wil het beheer dat? Uit de draad wordt het mij niet duidelijk. De suggestie komt langs dat de naam erg lijkt op die van het forum: “Ik heb Smurf en zij hebben Smurf!, daar komt het op neer.” Ik kan me iets voorstellen bij een beheerder die denkt, waarom heeft deze meneer een naam die 83,3% gelijk is met onze merknaam. Maar als je dat acht jaar laat gaan, dan vind ik dat niet heel sterk meer (en als je het juridisch speelt dan is je merkenclaim ondertussen wel verjaard, art. 3:310 lid 1 BW).

Een andere mogelijkheid kan zijn dat het met de fusie te maken heeft: men wil forums samenvoegen en ontdekt dan meerdere gebruikers met dezelfde naam. Daar smurf, pardon moet je iets mee, maar dan is “Smurf_Oudforum” ook een prima optie lijkt me.

Mogelijk bedoelt het beheer iets anders: men wil niet zozeer de usernaam als wel alle posts die aan die naam hangen. Bij een verkoop is het hebben van alle rechten op alle berichten immers van groot belang. Maar dan had ik verwacht dat dit met een algemeen bericht was medegedeeld, en niet gericht op één specifieke poster. Dus voor mij blijft het een raadsel.

Arnoud

EU gaat Verenigd Koninkrijk adequaat verklaren voor export persoonsgegevens

Geplaatst op 25 juni 202118 juni 2021 in Privacy, 7 reacties

De EU-lidstaten hebben zich achter besluiten geschaard om het belemmeren van gegevensstromen na het vertrek van Groot-Brittannië uit de EU te voorkomen. Dat las ik bij Tweakers, en ik moest het ook twee keer lezen. Voor de juristen: we zijn een stapje dichterbij een adequaatheidsbesluit voor het Verenigd Koninkrijk, wat zou betekenen dat er zonder aanvullende bijzondere maatregelen persoonsgegevens in die unie mogen worden opgeslagen. De keuze roept wel vele vragen op, vooral omdat het VK bekend staat om haar massadataspionage die ze deelt met onder meer de Verenigde Staten.

Het plan hiertoe werd al in februari opgevat als een logisch gevolg van de Brexit: zonder een besluit als dit mogen in principe geen persoonsgegevens vanuit de EU naar het VK. Je moet dan gaan werken met de ingewikkelde Standard Contractual Clauses én je moet dan zelf nagaan of het VK veilig genoeg voor jou is. Een adequaatheidsbesluit lost dat op, omdat de Europese Commissie dan zelf verklaart dat het wel goed zit in het VK. De AVG zegt dat je dan niet zelf nog aanvullende controles uit hoeft te voeren. (Een verwerkersovereenkomst bij een Engelse IT-leverancier blijft wel vereist, maar dat is niet anders dan bij een Duitse of Italiaanse.)

De parallel met de Verenigde Staten doet zich meteen voor. Op grond van de Privacy Shield overeenkomst mocht je ook zonder nadere maatregelen data in de VS stallen (dat was geen adequaatheidsbesluit maar dat is iets voor de echte puristen). Daar is natuurlijk een streep door gehaald waarna iedereen met de handen in het haar zit hoe het gebruik van Amerikaanse diensten (van zeg Mailchimp tot Amazon) nog recht te breien.

De belangrijkste reden voor die streep was het uitgebreide spionageprogramma van de VS dat door Edward Snowden werd onthuld. In mei oordeelde het Europese Hof voor de Rechten van de Mens nog dat de Britse inlichtingendienst GCHQ met haar bulkdatagraaien de Europese grondrechten schendt. Nou is formeel het EVRM een ander verdrag dan de EU, maar deze rechten gelden wel gewoon in Europa én ze komen overeen met EU-grondrechten zoals in het Handvest vastgelegd. Het ligt dus laten we zeggen niet voor de hand dat het Europese Hof van Justitie anders zal oordelen. En een land dat zulke dingen structureel doet, kun je niet adequaat noemen.

Je zou je dan ook de vraag kunnen stellen waarom de EU nog verder gaat met deze procedure, want het voelt een weinig kansrijke papieren constructie. Nou ben ik nog wel eens cynisch over die dingen, dus mijn idee is dat men het doet zodat er een papieren constructie is (zodat de handel door kan) totdat het HvJ er een keer aan toekomt (over een jaar of drie) om dit af te schieten. Met als bijkomend voordeel dat het dan niet jóuw politieke keuze was om dit tegen te houden, maar een uitspraak van een onafhankelijke rechter waar niemand jou op aan hoeft te kijken.

Arnoud

Vrouw staat vaker voor dichte deur bij gemeenteportaal dan man

Geplaatst op 24 juni 202118 juni 2021 in Innovatie, 51 reacties

Vrijwel standaard hebben alleen mannen bij gemeenten toegang tot belangrijke privégegevens over hun huishoudens, las ik bij de Stentor. Dat blijkt uit onderzoek van de krant. Steeds vaker schuiven gemeentes burgers naar online portalen voor persoonlijke informatie, belastingaanslagen (hond, huis), heffingen (riool, reiniging) en betalingsafspraken. Detail: slechts een persoon per huishouden (de belastingplichtige) krijgt toegang en dat de gemeente bepaalt wie dat is. Die keuze is onder meer gebaseerd op ‘veronderstelde betalingscapaciteit, doelmatigheid en doeltreffendheid van heffing en invordering’. Vandaar: de man.

Oké, dat was flauw. Afgezien van Staphorst (serieus) maakt geen gemeente de bewuste keuze om de man in een huishouden als enige de toegang tot de gezamenlijke belastinginformatie en dergelijke te geven. Er is gekozen voor toegang door één persoon, en daarbij wordt per gemeente een voorkeursvolgorde ingesteld. Voorheen stond “de man” daarbij als een van de criteria, maar dat is al even weg (behalve dus in Staphorst):

In de model-beleidsregels van de VNG voor het aanwijzen van een belastingplichtige is de gemene deler in de volgorde van kiezen nu zo: degene die het meeste eigendom heeft, een natuurlijk persoon boven een niet-natuurlijk persoon en de oudste ingeschrevene op het adres.

U mag nu even alle samenwonenden in uw omgeving langs deze lat leggen: wedden dat bij 80% of meer daarvan de man hier uit komt? In de meeste relaties is het huis of van de man of gezamenlijk en is de man ouder dan de vrouw. Een mooi voorbeeld van onbewuste bias zoals we die ook in de AI kennen: niemand bedóelt dat de man als enige die gegevens moet kunnen beheren, het komt alleen er zo uit (meestal) en omdat niemand heeft nagedacht dat dat onwenselijk is, is er dus geen procedure om dit eerlijker te maken:

Ook al ben je geboren en getogen in deze gemeente, en al 33 jaar getrouwd met dezelfde partner, woon je al die tijd samen in een huis dat gemeenschappelijk eigendom is en betaal je keurig op tijd de rekeningen, als jij de uitverkorene niet bent, is het systeem niet aardig tegen je en meldt het doodleuk: de ingelogde gebruiker is niet bekend.

Wat is dan wel de reden? Het lijkt een IT-keuze te zijn geweest, maar er zit iets juridisch achter. Beschikkingen zoals een aanslag onroerendezaakbelasting moeten op naam gesteld worden, je kunt niet aan “de familie Ten Brink” een aanslag richten want juridisch bestaat niet. Juridisch gezien hebben we op de Terwekselsestraat 1 de burgers Wim en Kornelia Ten Brink wonen, die een gedeelde huishouding hebben. Aan twee personen dezelfde aanslag uitreiken leidt tot gedoe zoals dubbele betalingen (of erger nog: burgers die gaan klagen dat ze twee keer moeten betalen). Daarom is zo veronderstel ik het IT-systeem ontworpen met een keuze welke van de twee burgers aangeslagen wordt.

Ja, ik zou ook denken dat enkel kíjken naar de status van een en ander geen probleem moet zijn. Je weet via de BRP of mensen gehuwd/GP zijn, en dan kun je ze (na inloggen met DigiD) toegang geven tot de informatie waartoe ze gerechtigd zijn. Je zou dan zelfs iets kunnen bouwen waarbij de eerste van het stel die de aanslag ‘pakt’ als enige ermee verder mag, of een algemene keuze inbouwen “wie van u gaat de financiën doen”. Maar dat is complex en vereist vele, vele koppelingen en dubbelchecks. Weinig dingen zo vervelend als dergelijke IT-projecten. Dus ik snap wel dat gemeenten kiezen voor de iets simpeler oplossing van zelf iemand aanwijzen.

Arnoud

Mijn kinderen staan tegen mijn wil op de Whatsapp profielfoto van mijn ex

Geplaatst op 23 juni 202117 juni 2021 in Privacy, 22 reacties

Een lezer vroeg me:

Sinds kort heeft mijn ex-partner een nieuwe profielfoto op WhatsApp, waar deze poseert met onze twee kinderen. Die zijn zo herkenbaar voor iedereen. Ik wil dat niet, gezien hoe wij uit elkaar gegaan zijn. Welke juridische opties heb ik om dit aan te pakken?

Juridisch gezien zou het eenvoudigste zijn als de foto gemaakt was door de vraagsteller of een ander meewerkend familielid of kennis. Die kan dan op basis van zijn of haar auteursrecht als maker een claim indienen bij WhatsApp. Eventueel kun je ook de auteursrechten naar jezelf laten overdragen (op papier met handtekening) en dan zelf die claim doen.

Blijkt de fotograaf dat niet te willen, of liggen de rechten bij de ex-partner, dan is dit geen optie. Dan moet je het gooien op privacy of schending van de AVG. De meest logische route is dan het profiel rapporteren bij WhatsApp, maar in mijn ervaring is dat bij enkel een profielfoto met een gewoon uitziende scene een langdurig verhaal.

Natuurlijk kun je een advocaat (die je vaak al hebt bij zo’n kennelijk vervelende scheiding) vragen om een boze brief te sturen. Die kan dan een beroep doen op portretrecht en/of AVG. Omdat het hier gaat om een geposeerde foto, zou je wellicht het ‘strenge’ portretrecht in kunnen roepen (art. 20 Auteurswet). Bij een geposeerde foto “in opdracht” is namelijk toestemming nodig van alle geportretteerden voor de publicatie, en in tegenstelling tot de AVG kun je je dan niet op een belangenafweging beroepen.

Gaat het om gewoon een snapshot, dan komt portretrecht op hetzelfde neer als de AVG: een belangenafweging van enerzijds de privacy van het kind en anderzijds het belang van die expartner om zichzelf en zhaar kinderen te mogen tonen (de vrijheid van meningsuiting). Ik zou normaal zeggen dat je dan uitkomt bij het belang van het kind en dus de foto weg moet halen, zeker als het ouderlijk gezag enkel bij de vraagsteller ligt. Zie mijn blog van april over een vonnis met die strekking.

Arnoud

De AI Hall of Shame laat zien waarom AI compliance officers nodig zijn

Geplaatst op 22 juni 202117 juni 2021 in Innovatie, 4 reacties

Heb je je wel eens afgevraagd hoe deze innovatie bijdraagt aan een afschuwelijke dystopie? Zo prikkelt machine learning engineer Sean McGregor zijn collega’s als die weer eens enthousiast doen over de inzet van AI voor het een of ander. Want maar al te vaak blijkt een goed idee uiteindelijk vooral nadelen voor kwetsbare mensen op te leveren of nodeloze rechtlijnigheid te introduceren in een op zich prima werkend menselijk proces. En om dat kracht bij te zetten, onderhoudt hij sinds een tijdje de AI Incident Database.

Zoals de site het zelf toelicht:

The AI Incident Database is a collection of harms or near harms realized in the real world by the deployment of intelligent systems. You are invited to submit reports to the database, whereupon accepted incidents will be indexed and made discoverable to people developing and deploying the next generation of AI technology to the world. Artificial intelligence will only be a benefit to people and society if we collectively record and learn from its failings. Learn more about the database, or read about it on the PAI Blog, Vice News, Venture Beat, and arXiv among other outlets.

Soms gaat het om gewoon hilarische storingen, zoals een surveillancerobot die zichzelf de fontein in rijdt omdat hij water niet van tegels kon onderscheiden. Wat ook weer heel naar kan uitpakken, zoals bij de lasrobot die niet geprogrammeerd was om mensen te vermijden – en iemand doodde toen die een losgelaten metalen plaat wilde verwijderen.

De pijn zit hem vaker niet in zulke extreme dingen, maar in de vaak schimmige manier waarop een AI tot haar conclusie komt. Bijvoorbeeld omdat je geen uitleg krijgt, zoals bij incident 96 waar een door de fabrikant geheimgehouden algoritme leraren beoordeelt en laat ontslaan. Of bij incident 78, waar een studente geweigerd werd bij geneeskunde in Duitsland omdat de AI had ingeschat dat ze lage cijfers zou halen. Of bij incident 95 waarin gezichts- en stemanalyse ertoe leidt dat sollicitanten geweigerd worden.

Die laatste is interessant omdat de gebruikte data is geanalyseerd en vrij van bias zou zijn bevonden. Ja, ik ben skeptisch want ik geloof dat niet – bijvoorbeeld omdat ik me niet kan voorstellen dat men bij stemanalyses de moeite neemt om stotteraars of mensen met slokdarmspraak te vragen om een representatieve hoeveelheid data aan te leveren. (De kans is groter dat men het ding op porno getraind heeft, daar is immers veel sneller een grote hoeveelheid data voor te krijgen.)

Dat gebrek aan representativiteit zie je vaak opduiken. Bijvoorbeeld in incident 48, waarbij paspoortfoto’s worden gescreend op “ogen volledig open” wat natuurlijk misgaat bij Aziatische mensen. Die overigens ook niet hoog scoren in beauty contests waarbij een AI de jury speelt. Op het gorilla-incident van Google hoef ik al helemaal niet op in te gaan. Het aantal voorbeelden is talrijk.

De vraag is, hoe moet het dan wel. Daar zijn alweer eventjes geleden de EU Ethics Guidelines for trustworthy AI voor geformuleerd. Deze bevatten geen juridische eisen (die komen er wel aan, de Verordening AI) maar juist ethische kaders: hoe moet het wel, wat mag de burger verwachten en wat moet een bouwer of gebruiker van AI aan verplichtingen op zich nemen.

Wie wil leren hoe dat werkt: op 20 september start mijn tienweekse cursus AI Compliance in de praktijk weer. Leer in je eigen tijd (ongeveer 4 uur per week) de techniek én de ethische kaders rondom AI, met echte cases en echte data. Ik laat je zoeken naar bias in een dataset met leningaanvragen of puzzelen over waarom een snel en vrijwillig AI-loket bij de gemeente in strijd is met de mensenrechten. En ondertussen zet je je ook in om de gemeente Juinen met haar miljoenen kostende AI initiatieven hoog in de wereldranglijst te krijgen. Wees er snel bij!

Arnoud

Kabinet wil telecomproviders verplichten om telefoonspoofing aan te pakken

Geplaatst op 21 juni 202116 juni 2021 in Ondernemingsvrijheid, 17 reacties

Het kabinet komt later dit jaar met een voorstel om de Telecommunicatiewet zo aan te passen dat telecomproviders worden verplicht om telefoonspoofing aan te pakken. Dat las ik bij Security.nl, dat zich baseert op een brief aan de Tweede Kamer van demissionair minister Grapperhaus. Een logische maatregel lijkt me dat je niet zomaar toestaat dat iedere klant ieder nummer als afzender kan sturen, waar ik vorig jaar over blogde. Eind vorig jaar besloten banken na overleg met minister Hoekstra om slachtoffers van telefoonspoofing met terugwerkende kracht te vergoeden. 96 procent van de slachtoffers is inmiddels vergoed. Dat voelt als een stuk meer geld dan zo’n maatregeln.

Helaas komt het steeds vaker voor dat oplichters (“phishers”, in het jargon) gebruik maken van gespoofte telefoonnummers. Dat is logisch, want als een slachtoffer het werkelijke nummer van een bank als beller ziet, zal hij eerder het verhaal geloven natuurlijk. En technisch is dit simpel: telecomproviders hanteren in de praktijk geen enkele beperking , zoals dat het ingestelde nummer ergens aan jouw bedrijf gekoppeld moet zijn in de administratie van de telecomprovider. Ik weet niet waarom dat niet gebeurt.

Nu is er dus een plan om de wet aan te passen om hier regels voor te maken:

De regels voor nummerdoorgifte (de afzenderinformatie van een oproep of bericht) zullen daarbij worden aangepast en ook zal het gebruik van alfanumerieke informatie worden betrokken door hieraan passende voorwaarden te verbinden. Het wetsvoorstel omvat voorts een beperking van het extraterritoriale gebruik van nummers uit het nummerplan. Bij de regels voor nummerdoorgifte zullen concrete verplichtingen bij telecomaanbieders worden gelegd, en zal nadrukkelijk ook de rol van de aanbieder van de telecomdienst van waaruit de oproep plaatsvindt of het bericht wordt gestuurd, worden geadresseerd.

De kern van het probleem – als ik het ondertussen goed begrijp – is dat telecomproviders vaak geen eigen infrastructuur hebben, maar deze inkopen bij een grotere partij. Dat kan zelfs bij meerdere lagen (ik koop bij A, die inkoopt bij B, die weer bij C, enzovoorts tot ergens bij X of Y). En als je dan als X of Y dat mogelijk wil maken, dan is controleren of de klanten van A wel gerechtigd zijn tot die nummers wel héél veel rompslomp. Zeker omdat het dan gaat om A1 t/m A9001 bij wijze van spreken.

Desondanks lijkt me een check als deze de enige mogelijkheid. Het enige alternatief dat ik kan bedenken is een zwarte lijst – gij zult niet toestaan dat er met deze nummers outbound gebeld wordt, behalve provider K want die hééft de bank als klant – maar dan moet dat continu geupdate worden en is er discussie over wie er wel of niet op mag. Alleen banken, ook betalingsproviders, en hoe zit het met pakketbedrijven zoals DHL waar ook veel oplichting plaatsvindt (“Uw pakketje vereist inklaringskosten”)?

Arnoud

Wat moet je met privacygevoelige informatie bij een bedrijfsovername?

Geplaatst op 18 juni 202115 juni 2021 in Ondernemingsvrijheid, 12 reacties

Een lezer vroeg me:

Als een bedrijf een afdeling/onderdeel verkoopt, hoe moet er dan worden omgegaan met privacygevoelige informatie? Ik denk dan aan niet alleen de personeelsadministratie maar ook bijvoorbeeld backups van oude klantgegevens.

De eerste vraag is altijd op wat voor manier zo’n verkoop juridisch vormgegeven wordt. Er zijn grofweg twee vormen: de betreffende organisatie krijgt een nieuwe eigenaar, of de “assets” oftewel bezittingen et cetera die horen bij de organisatie krijgen een nieuwe eigenaar.

In het eerste geval blijft de organisatie bestaan maar komen de aandelen in nieuwe handen. Dat is juridisch dan heel simpel: dat verandert helemaal niets. Het bedrijf is er nog steeds, heeft dezelfde rechtsvorm en rechten en plichten. Alles gaat dan gewoon door zoals het was.

In het tweede geval is het juridisch een stuk ingewikkelder, omdat je dan al snel in ongeregeld gebied terechtkomt. Zo is het bijvoorbeeld niet zo dat als je een computer verkoopt, de ontvanger eigenaar (of verwerkingsverantwoordelijke) wordt van de persoonsgegevens die daar op staan. Softwarelicenties of databases overdragen zijn nog weer ingewikkelder, en of personeel meegaat is ook weer een vraag.

Daarnaast moet je ook inderdaad backups en andere ‘extra’ kopieën van persoonsgegevens goed in de gaten houden. Een extreem geval hiervan zagen we in mei: in een kelder in Schiedam bleken cd’s met de gevoelige dossiers van duizenden cliënten van ggz-instelling Riagg Rijnmond opgeslagen te zijn. De curator die het faillissement afhandelt ging ervan uit dat Parnassia ook de verantwoordelijkheid over de dossiers van Riagg Rijnmond kreeg. De cd’s zijn daarbij over het hoofd gezien.

En als laatste is bij zo’n verkoop natuurlijk de vraag of de AVG dit überhaupt toestaat. Met name curatoren hebben er nog wel eens een handje van om klantenlijsten te verkopen aan de hoogste bieder, dat is eenvoudigweg niet mogelijk onder de AVG. Als je de garantiecontracten overdraagt, dan moeten de klantgegevens natuurlijk mee, dat is dan wel legaal.

Helaas kan ik dus geen algemeen antwoord geven dat verder gaat dan “dat hangt er vanaf, maar let heel goed op”. Ik merk wel dat het vaak een ondergeschoven kindje is of dat mensen vergeten de backups te controleren.

Arnoud

Wat betekent de nieuwe Telecommunicatiewet voor telemarketing?

Geplaatst op 17 juni 202114 juni 2021 in Regulering, 9 reacties

Een lezer vroeg me:

Per 1 juli wijzigt de Telecommunicatiewet. Ik begrijp uit de wetsteksten dat de wet eigenlijk bedoeld is voor consumenten. Maar kan ik bijvoorbeeld straks nog wel zonder toestemming te hebben gegeven en zonder een klantrelatie te hebben als medewerker van bedrijf X (niet ZZP of eenmanszaak) voor verkoopdoeleinden worden gebeld door bedrijf Y op mijn rechtstreekse werktelefoonnummer? Of alleen via het algemene telefoonnummer van mijn bedrijf X?

In januari van dit jaar heeft de Eerste Kamer inderdaad een aantal wijzigingen aan de Telecommunicatiewet doorgevoerd. Deze wet bevat een aantal belangrijke bepalingen voor telemarketing, zowel per telefoon als via e-mail (of, juristen zijn ouderwets, per fax).

De belangrijkste wijziging is dat er nu een algemeen opt-in regime geldt voor telemarketing. Ja, dus ook voor ongevraagd bellen. Het bel-me-niet register wordt dan ook opgeheven, dat was immers een opt-out systeem dat nu overbodig wordt. Alleen (betalende) klanten mag je ongevraagd blijven bellen (of mailen), mits je maar bij het klant-worden ze expliciet hierop hebt gewezen en ze een bezwaaroptie bood. Let op: dat is dus niet “bij ieder belletje zeggen we dat je je kunt afmelden” maar op het bestelformulier een “ik wil niet gebeld worden” vinkje.

Nieuw is dat ideële organisaties je mogen bellen of mailen nadat je een schenking of donatie deed. Dat is natuurlijk geen “bestelling”, maar de wet vermeldt nu expliciet dat ook dan er een opt-out regime geldt. Ook als je vrijwilliger bent of naar een manifestatie gaat, dan mag men op deze opt-out basis je benaderen.

Naast consumenten hebben ook bedrijven veel last van ongevraagde telefonische reclame. Ook daar worden de spelregels aangetrokken, zowel voor rechtspersonen (zoals een bv) als voor natuurlijke personen die bedrijfsmatig handelen (zoals een vof of eenmanszaak). Hoofdregel is ook hier toestemming oftewel opt-in. De uitzondering is nu zeer beperkt:

de verzender gebruik maakt van elektronische contactgegevens die door de desbetreffende eindgebruiker voor het ontvangen van ongevraagde communicatie voor commerciële, ideële of charitatieve doeleinden zijn bestemd en bekendgemaakt en deze worden gebruikt in overeenstemming met de door de eindgebruiker aan de contactgegevens verbonden doeleinden, of [de ontvanger zit buiten de EU].

Ja, daar staat echt dat je alleen ongevraagde reclame mag sturen naar een adres dat voor ongevraagde reclame opengesteld is. Het algemene info@ adres (inclusief de hippe varianten hallo@, welkom@, zeghetmaar@ en kopjekoffiedoen@) voldoet niet aan die eis. Ik vind het moeilijk een concreet voorbeeld uit het wild te noemen, maar je komt uit bij zaken als reclame@ of aanbiedingen@ en ik kan me niet voorstellen dat iemand daarop zit te wachten.

Geheel overbodig en tot mijn ergernis staat er dan in de Memorie van Toelichting nog:

Het tonen van contactgegevens in het Handelsregister van de Kamer van Koophandel kan expliciet niet worden aangemerkt als een situatie waarin er vanuit mag worden gegaan dat er op deze manier toestemming is gegeven.

Ik hoop dat er niemand was die serieus meende van wel.

Belangrijk is wel dat voor oude contactgegevens de oude regels blijven gelden. Bedrijven hoeven hun opt-out zakelijke database dus niet te wissen en opnieuw op te bouwen (art. 20.7). Wel moet je natuurlijk bij iedere communicatie mensen wijzen op de afmeldmogelijkheid.

Arnoud