Ik hoop dat die orthodontist z’n webbouwer aansprakelijk stelt voor die 12.000 euro boete

Geplaatst op in Security, 53 reacties

De Autoriteit Persoonsgegevens heeft een boete van 12.000 euro uitgedeeld aan een orthodontistenpraktijk omdat die op een aanmeldformulier geen ssl-verbinding gebruikte. Dat meldde Tweakers vorige week. Door het ontbrekende ‘slotje’ liepen patiënten de kans dat gevoelige gegevens, zoals hun BSN, in verkeerde handen zouden terechtkomen. Opmerkelijk dat die basale beveiligingsmaatregel er niet was, maar minstens zo opmerkelijk dat de AP er voor in actie kwam gezien de beperkte scope. Maar goed, ik ben dus fan van kleine boetes voor kleine overtredingen.

De betreffende website bood klanten van de orthodontist gelegenheid afspraken te maken voor een behandeling. Op zich logischerwijs vroeg men om onder meer NAW-gegevens, geboortedatum, BSN, telefoonnummers van de patiënt en de ouders, gegevens over de school, huisarts, tandarts en de verzekeringsmaatschappij.” Dat formulier werd zonder beveiliging (dus SSL-, TLS-certificaat oftewel “slotje”) opgestuurd, wat inderdaad een beveiligings-dingetje is.

Is het heel erg? Mwa. Technisch betekent het dat iedereen die in het netwerk tussen de klant en de orthodontist zit, de data kan onderscheppen. Het klassieke voorbeeld is het internetcafé of bibliotheek, waar je met de juiste software alles kunt zien dat anderen in diezelfde ruimte opsturen naar websites. Door https te gebruiken, is dit niet langer inzichtelijk – de communicatie naar de site is versleuteld en daarmee niet meer te lezen.

Het aantal scenario’s waarin dit een reëel risico is, is dus beperkt. Vanuit huis is dit bijvoorbeeld geen issue, de buren die ook bij Ziggo zitten kunnen sowieso niet meelezen. Huisgenoten mogelijk wel. Werk je met mobiel internet, dan is dit ook geen serieus risico. Maar natuurlijk is er een niet te verwaarlozen groep mensen die alleen via publieke terminals (zoals de bieb) kan werken, en ook die moet gewoon veilig internet op kunnen.

Daar komt bij: al sinds jaar en dag weet iedereen dat zo’n slotje weinig moeite is, zeker sinds initiatieven als Let’s Encrypt die je gratis certificaten geven om het slotje te realiseren. Dus het voelt als “oké beperkt risico maar het is zo gedaan, doe het dus gewoon” voor mij. Ik blogde er ooit in 2013 over en concludeerde dat het eigenlijk onvermijdelijk is, behalve wellicht bij triviale formulieren zoals de plek hieronder waarin u het hartgrondig met mij oneens gaat zijn.

In het boetebesluit kan de AP het nog simpeler houden: het gaat hier om persoonsgegevens in de zorg, daarbij is NEN 7510-2 leidend en daaruit volgt het gebruik van TLS. Punt, klaar, next. En dan gaat het om zeer gevoelige gegevens, ook nog eens (vooral) van kinderen en dan mag dat al helemaal niet gebeuren. Normaal kom je dan op een boete van een ton, maar omdat deze orthodontist dat absoluut niet kan betalen wordt deze gematigd naar 12.000 euro.

En dan gooi ik met dit citaat even de knuppel in het hoenderhok:

[Betrokkene] heeft erkend dat de oude website geen gebruik maakte van een versleutelde verbinding. De ontwikkelaar van de oude website heeft haar nooit gewezen op die mogelijkheid. Anders had zij daar zeker gebruik van gemaakt, aldus [betrokkene].
We hebben het dus over 2019. Let’s Encrypt was toen al best bekend, en het algemene idee dat SSL-certificaten verstandig waren ook. Om dus nog maar niet te spreken van die NEN-norm in de zorg. Dan wil ik van een kleine orthodontie-praktijk nog wel geloven dat die weinig verstand van internet heeft (de nieuwe site heeft geen online formulier meer maar een uit te printen pdf, ik bedoel maar)  maar van de webbouwer mag dit wel verwacht worden toch?

Oftewel, die orthodontist mag de webbouwer op grond van schending zorgplicht aansprakelijk houden voor die 12.000 euro wat mij betreft.

Arnoud

Wat moet ik me voorstellen bij een 91% accurate lawyerbot? #legaltechtuesday

Geplaatst op in Innovatie, 6 reacties

Na de lancering van lawyerbot Lynn kreeg ik veel reacties, waarbij ik één onderwerp eruit wilde lichten: hoe zit dat met die accuratesse, wat betekent het dat Lynn 91% accuraat een document screent? Hoe meet je überhaupt “accuraat” bij een juridische screening?

Om even met het getal te beginnen: die 91% is eigenlijk de F1-score of F1-maat uit de statistiek. Deze formule zoekt een balans tussen enerzijds de precisie (het percentage werkelijk correct gelabelde clausules) en de vangst of recall (het percentage correct positief gelabelde clausules), en dat zijn dan weer twee maten die iets zeggen over de kwaliteit.

De kern is dat deze maat ongevoeliger is dan bijvoorbeeld alleen kijken naar het aantal correcte labels. Computers zijn grappig wat dat betreft: als je stuurt op “ik wil 100% correcte labels” dan krijg je één label dat correct is, dat is namelijk honderd procent. En zeg je, ik wil niets missen uit categorie X, dan wordt je hele contract als X aangemerkt want dan heb je in ieder geval niets gemist. Volgens het boekje kun je dan beter naar de F1 score kijken, dus dat doe ik dan maar.

Je kunt natuurlijk nog een stapje dieper gaan. Wat is erger, een clausule missen (overslaan, niet relevant) die buitengewoon pijnlijk was, of een clausule verkeerd labelen? Of de clausule wel herkennen maar als onschuldige variant aanmerken? En maakt het dan uit of je aansprakelijkheid miste maar het wijzigingsbeding-als-de-AVG-verandert netjes aanwees, of andersom?

Wat me daarbij opvalt is dat de zorg over fouten bij lawyerbots hoog zit bij veel mensen. En dat snap ik, want we hebben allemaal een zekere onbewuste angst voor dingen die automatisch iets doen, helemaal als dat mensachtig werk is. Wat dan precies de angst is (wat is erger) dat verschilt bij personen.

Is het een gekke gedachte dat niemand dit ooit zo verifieert bij een menselijke jurist? Die wordt ook getraind met een grote trainingset, al het werk dat hij onder begeleiding van een collega/partner uitvoert. Maar niemand die ooit vraagt, laat eens zien welke NDA’s jij de afgelopen tien jaar hebt gereviewd zodat ik weet hoe goed jij bent in het inschatten van fouten en nasty clausules. Waarom moet een AI dat dan wel kunnen laten zien? Nieuwigheid dus bewijs maar dat je beter bent?

Arnoud

Zijn hashes van vingerafdrukken anoniem of mogen ze toch niet van de AVG?

Geplaatst op in Privacy, Security, 27 reacties

Een lezer vroeg me:

Ik weet dat onder de AVG het gebruik van biometrie strikt beperkt is tot hele specifieke toepassingen. Ik wil als security officer biometrie inzetten en heb daarvoor een oplossing die met templates en hashes werkt, zodat er geen vingerafdrukken hoeven te worden opgeslagen. Een nieuw genomen vingerafdruk wordt tot een hash omgezet die wordt gematcht tegen een database. Dat lijkt mij veilig en bovendien buiten de AVG vallen. Onze FG zegt dat dit nog steeds biometrische gegevens zijn en dat het dus niet mag. Klopt dat?
Het klopt dat ook zo’n systeem met templates biometrische persoonsgegevens verwerkt, maar het klopt niet dat de AVG dan automatisch zegt dat het dus niet mag.

Een vingerafdruk is een biometrisch persoonsgegeven volgens de definitie uit de AVG, “fysieke, fysiologische of gedragsgerelateerde kenmerken van een natuurlijke persoon” (artikel 4 lid 14). Of je die kenmerken nou opslaat als een plaatje of als een feature vector, dat maakt niet uit. Je blijft die kenmerken van die vinger bewaren.

De meeste systemen die werken met vingerafdrukken of andere biometrie, verwijzen naar hashes en roepen dan dat het anoniem is. Dat is AVG-technisch niet waar. Een gegeven is pas anoniem als het niet meer tot een persoon te herleiden is, maar het is niet genoeg dat namen ontbreken of iets dergelijks. Een toegangscontrolesysteem dat vingerafdrukken opslaat met enkel daarbij “mag naar binnen ja/nee” zonder namen of rugnummers valt gewoon onder de AVG.

De AVG zegt dat je geen biometrische persoonsgegevens mag gebruiken behalve in uitzonderlijke gevallen. De relevante uitzondering is in Nederland opgenomen in de Uitvoeringswet AVG, artikel 29:

… het verbod om biometrische gegevens met het oog op de unieke identificatie van een persoon te verwerken [is] niet van toepassing, indien de verwerking noodzakelijk is voor authenticatie of beveiligingsdoeleinden.
Die noodzaak is een hoge eis. Kort gezegd, je hebt eigenlijk geen andere reële optie – en je kunt onderbouwen dat andere opties niet goed genoeg werken. Vaak zie je dat men volstaat met “het is algemeen bekend dat biometrie heel veilig is” of “de kosten voor sleutels zijn hoog” maar dat is niet genoeg.

Voor mij zijn belangrijke factoren dat het echt nodig is dat je weet wélke personen naar binnen mogen (of toegang hebben), dat menselijk toezicht onhaalbaar is (bijvoorbeeld omdat men maar zelden naar binnen gaat) en dat alternatieven (zoals pasjes) geprobeerd zijn en vanwege een concreet probleem niet werken. Dus niet “we denken dat vingerafdrukken het beste zijn” maar “de rest werkt niet, zie hieronder waarom”.

Arnoud

Politie arresteert man op verdenking ‘pump en dump’ met zelfgemaakte cryptocoins

Geplaatst op in Innovatie, Regulering, 17 reacties

De Nederlandse politie heeft een man van 39 uit Deventer aangehouden op verdenking van grootschalige oplichting met zelfgemaakte cryptovaluta. Dat las ik bij Tweakers. In het jargon heet dit een “pump and dump scheme”: je praat de koers omhoog en daarna verkoop je snel je eigen voorraad, waarna je er met het geld vandoor gaat en iedereen ineens door een koersdaling gedupeerd is. Dat is niet hetzelfde als speculeren, omdat de koers hier kunstmatig opgedreven werd. En dat kan dus ook bij cryptomunten, hoewel die niet onder de Wet financieel toezicht vallen.

De cryptowereld kent ondertussen een heleboel shady figuren, die op allerlei manieren proberen mensen geld afhandig te maken door ze te pushen “nu in te stappen”. De NOS had er een mooi achtergrondartikel over. Nou is dat op zich natuurlijk legaal – handig naïeve mensen bespelen is moreel niet echt netjes maar dat is wat anders. Maar dit soort trucs evolueren snel tot “koop zelf goedkoop, laat anderen instappen en verkoop zodra de koers omhoog gegaan is door hun aankopen”. En dát is wel een juridisch probleem.

In eerste instantie dacht ik, waarom is het de politie en niet de AFM die ingrijpt. Maar bij nader inzien logisch natuurlijk: cryptomunten vallen buiten de Wft omdat ze geen financiële instrumenten in de zin van die wet zijn. En dan valt dus handhaving op grond van art. 5:58 Wft af.

In het persbericht spreekt de politie van oplichting, wat me een tikje verrast omdat er gewoon een specifiek artikel in het Wetboek van Strafrecht is dat hierover gaat, namelijk art. 334:

Hij die, met het oogmerk om zich of een ander wederrechtelijk te bevoordelen, door het verspreiden van een leugenachtig bericht de prijs van koopwaren, fondsen of geldswaardig papier doet stijgen of dalen, wordt gestraft met gevangenisstraf van ten hoogste twee jaren of geldboete van de vijfde categorie.
Mogelijk dat men twijfelt of een cryptomunt een “koopwaar of fonds” is? In ieder geval is er jurisprudentie dat het verspreiden van half-ware berichten ook “leugenachtig” oplevert – zeggen dat de koers aan het stijgen is door een groot aantal aankopen, waarbij je niet zegt dat jij de persoon bent die die aankopen doet.

Wanneer je het oplichting noemt, kom je volgens art. 326 Strafrecht aan de vraag of je handelt

door het aannemen van een valse naam of van een valse hoedanigheid, hetzij door listige kunstgrepen, hetzij door een samenweefsel van verdichtsels.
Ik zou het dan op dat laatste gooien, daarmee wordt namelijk grofweg bedoeld zo veel mooie verzonnen praatjes dat mensen je gaan geloven en doen wat je zegt. De vaste jurisprudentie is dat je laat meewegen:
de vertrouwenwekkende aard, het aantal en de indringendheid van de (geheel of gedeeltelijk) onware mededelingen in hun onderlinge samenhang, de mate waarin de in het algemeen in het maatschappelijk verkeer vereiste omzichtigheid degene tot wie de mededelingen zijn gericht aanleiding had moeten geven de onwaarheid te onderkennen of zich daardoor niet te laten bedriegen en de persoonlijkheid van het slachtoffer.
Omdat bitcoins en andere cryptovaluta ‘goederen’ zijn in de zin van het strafrecht (de Runescape-zaak), voldoe je ook aan de eis dat men iemand beweegt tot afgifte van “enig goed”.

De tegenwerping is natuurlijk dat iedereen die met crypto bezig gaat, moet weten dat het gaat om speculatie op zeer snel op en neer bewegende koersen. Het kan bij iedere munt gebeuren dat je net instapt voor een crash, pardon dipje, al dan niet veroorzaakt doordat Elon Musk een emoji twittert. Dat is dan gewoon pech, en dat je adviseur wél net goed in- en uitstapte dat is dan wrang, meer niet.

Het gaat uiteindelijk echter om het oogmerk van de adviseur en om het kunstmatig karakter van de koersstijging. Dat is wat het oneerlijk maakt. De koers van die cryptomunt stijgt niet omdat de markt deze meer waard vindt, maar omdat iemand allemaal mensen voor het lapje houdt waardoor die gaan kopen. Zo’n self fulfilling prophecy is geen marktwerking maar oplichting. En als dat ook nog eens de bedóeling was van de adviseur, dan overtreedt zhij de strafwet.

Dit bewijs zal natuurlijk lastig zijn, als deze verdachte slim is en de mond houdt over motieven. Je houdt dan over dat er afgezien van deze persoon geen kopers waren tot het moment dat de reclame begon, en toen eigenlijk alleen de door deze persoon benaderde mensen aan het kopen sloegen, waarna de verdachte als eerste én grootschalig de cryptomunt verkocht. Ik kan dat niet anders zien dan lekker de winst pakken die je zelf gecreëerd hebt met je mooie praatjes, en dat is dus een vorm van oplichting.

Arnoud

In Amerika is je computerbevoegdheid misbruiken geen computervredebreuk meer

Geplaatst op in Regulering, Security, 18 reacties

Een verjaardagscadeautje voor rechtenprofessor Lawrence Lessig, zo tweette hij: het Amerikaanse Hooggerechtshof heeft de scope van de Computer Fraude and Abuse Act fors ingeperkt. Een agent die zijn bevoegdheid misbruikt om een politiedatabase te raadplegen (hij verkocht zeg maar RDW-gegevens aan criminelen) is vast op allerlei manieren strafbaar, maar hij pleegt geen computervredebreuk. In heel veel IT-rechtszaken was een brede lezing van de CFAA altijd een mooie hamer om verdachten tot schikken te dwingen, dus dit is inderdaad nogal een opsteker.

De agent in deze zaak had op zich rechtmatig toegang tot de database met politiegegevens, maar gebruikte deze om tegen betaling aan derden NAW-gegevens die horen bij een kenteken te verschaffen. Dat is natuurlijk misbruik van je bevoegdheid als politieagent, het schendt je geheimhoudingsplicht en zo nog wel een aantal dienstplichten. Maar zijn werkgever gooide het op computervredebreuk, computer fraud. Daar staan namelijk vele jaren cel op.

Het criterium voor computerfraude in de VS is erg breed: je pleegt het misdrijf als je “intentionally accesses a computer without authorization or exceeds authorized access.” In de praktijk wordt dat laatste vaak breed uitgelegd: iedere vorm van niet-bedoeld of niet-beoogd gebruik heet dan “exceeding authorized access”, of het nou gaat om een ingewikkelde technische bug gebruiken om meer te kunnen dan je mag, of om het niet opvolgen van een instructie op een geel briefje bij de receptie. Want als daarop staat “alleen gebruiken voor politiedoeleinden” dan ga je dat te buiten door de informatie op verzoek te verkopen, en dat is dan computervredebreuk.

Dat zat velen niet lekker, want zo kun je alles wel computervredebreuk noemen (en dat gebeurt dan ook). Vandaar dat deze uitspraak een positieve opsteker moet zijn:

The term “exceeds authorized access” is defined to mean “to access a computer with authorization and to use such access to obtain or alter information in the computer that the accesser is not entitled so to obtain or alter.” … An individual “exceeds authorized access” when he accesses a computer with authorization but then obtains information located in particular areas of the computer—such as files, folders, or databases—that are off-limits to him.
In normale taal staat hier dat je pas van “exceeding” spreekt als je iets voor elkaar krijgt dat je niet zou moeten kunnen. Je doorbreekt een beveiliging of je misbruikt een technische voorziening, zouden wij in Nederlandse termen (art. 138ab Strafrecht) zeggen. Enkel tegen het beleid ingaan is geen “exceeding”, want je wás geautoriseerd om daar te zijn, je account had er toegang of privileges voor. Dat het beleid was om daar alleen soms te zijn of alleen voor bepaalde doelen, is niet relevant voor de bepaling of je onder deze strafwet toegang hebt.

In Nederland geldt deze regel al langer. Zo is het versturen van een vervalste betalingsinstructie naar een bank géén computervredebreuk: als jij bevoegd bent om betalingsinstructies te sturen, dan is ook deze bevoegd gestuurd. Dat de instructie zelf vals is (het geld gaat naar de verkeerde rekening) maakt het insturen zelf niet onbevoegd. Andermans wachtwoord gebruiken is wél computervredebreuk, want dat wachtwoord geeft niet jou maar die ander de bevoegdheid.

Een grijs gebied ligt in gebieden zoals URL-manipulatie: de informatie is op zich beschikbaar zonder formele autorisatie, maar er is ook weer geen openbare bekendmaking van die informatie geweest. Zoals wanneer je “20191225-3998” verandert in “20211225-4006” en dan de kersttoespraak uit 2021 krijgt. Die 4006 moest je raden maar dat is vrij triviaal, en men had net zo makkelijk een wachtwoord erop kunnen zetten. Volgens deze Amerikaanse uitspraak is dit géén computervredebreuk, want je mocht bij alle informatie op deze publiek webserver en er is geen formeel onderscheid tussen een URL aanklikken en willekeurige tekens achter elkaar zetten in een bevraging bij de website.

Arnoud

 

Gemeenten blijven nepaccounts gebruiken om burgers online te volgen

Geplaatst op in Regulering, 18 reacties

Verschillende gemeenten die nepaccounts inzetten om online informatie van burgers te verzamelen, stoppen daar niet mee. Dat las ik bij Nu.nl, dat zich baseert op onderzoek door de Volkskrant. Zo noemt de gemeente Tilburg het noodzakelijk om de privacy van ambtenaren te garanderen. Utrecht gebruikt in “uitzonderlijke gevallen” een geanonimiseerd account voor onderzoek naar illegale prostitutie. Dat verbaast gezien de ophef onlangs over het online undercover volgen en monitoren. Kennelijk leeft de gedachte dat het allemaal niet zo erg is, en bovendien toch alleen maar gaat om crimineel of onrechtmatig gedrag.

In mei werd bekend dat gemeenten op grote schaal meekijken met burgers op sociale media, “een methode die alleen politie en inlichtingendiensten onder strikte voorwaarden mogen inzetten”, aldus Nu.nl destijds. En dat terwijl 95 procent van de ondervraagde ambtenaren zegt dat hun gemeente aan online monitoring van burgers doet, en 54% dat er geen beleid op is. Dit mocht niet van de AVG, was toen mijn conclusie. Maar kennelijk zien gemeenten dat nu dus anders.

Inzicht krijgen in mogelijke ongeregeldheden, zoals rellen en demonstraties, en dus ook het monitoren van illegale prostitutie en misschien wel foutparkeren is dan de rechtvaardiging. Maar, zoals Jaap-Henk Hoepman terecht zegt, nog afgezien van de massaliteit en scope:

in plaats van op zoek te gaan naar mogelijk relevante advertenties en vervolgens te kijken door wie ze geplaatst zijn, wordt de volgorde omgekeerd: eerst worden mogelijk relevante, dus op voorhand verdachte, burgers geselecteerd waarvoor vervolgens gecontroleerd wordt of ze relevante advertenties hebben geplaatst (of anderszins ‘kwaad’ in de zin zijn). Dit draait ondermijnt de onschuldpresumptie: in plaats van op zoek te gaan naar een mogelijke dader van een bekend misdrijf, gaat de gemeente op zoek naar een mogelijk misdrijf bij een vooronderstelde dader.
En dan komen we bij een veel fundamenteler probleem: als je even zoekt, vind je al snel wel iets waar een vlekje op zit. Zeker als het gaat om wetgeving in het sociale domein, zoals uitkeringen. Het is algemeen bekend dat de regels ondoorzichtig zijn en dat normaal menselijk gedrag als keiharde criminaliteit wordt gezien – denk aan die wekelijkse tas met boodschappen aan je kind geven, een evidenter geval van fraude heb ik nog nooit gezien. Zei hij sarcastisch.

Ik zie bijvoorbeeld in rechtspraak regelmatig opduiken dat mensen spullen op Marktplaats verkopen. Dat is dus ook fraude: je moet die inkomsten wel opgeven, en als je te veel verkoopt dan ben je ondernemer en kom je dus niet meer in aanmerking voor een uitkering. Dit had je vooraf moeten melden, dus met terugwerkende kracht graag alles terugbetalen. Dat soort dingen.

Daar komt bij dat je door die massaliteit (je kunt automatisch en dus grootschalig scannen) je een heel onmenselijk proces creëert. Waar een ambtenaar nog even moet gaan kijken en zijn eigen juridische onderbuik mee kan laten wegen, kom je nu niet verder dan keyword analyse (pardon “artifical intelligence” als je niet uitkijkt) en daarna kan meneer of mevrouw in het bakje “verdacht van fraude” waarna meneer of mevrouw moet bewijzen daar niet te horen. Buitengewoon ergerlijk dus.

Arnoud

 

Je Amazon Echo en Alexa nodigen straks zelf de buren uit

Geplaatst op in Innovatie, 15 reacties

Amazon start op 8 juni met Amazon Sidewalk, een mesh-dienstverlening die alle apparaten van Amazon in staat stelt ook het netwerk van de buren te gebruiken. Dat las ik bij AG Connect. De nieuwe functie is er vooralsnog alleen in de VS maar staat standaard aan op alle Amazon-apparatuur, hoewel er een opt-out is. Het idee is dat wanneer de internetverbinding bij de een uitvalt, de Amazon-services toch nog gebruikt kunnen worden door de ander en vice versa. Maar er hoeft natuurlijk maar iets mis te zijn in de firmware van die apparaten en alle thuisnetwerken van alle klanten liggen open en bloot voor inbrekers. Mag dat dan zomaar?

In een whitepaper beschrijft Amazon hoe de dienst werkt. De kern is dat er een groot mesh network opgebouwd wordt, waarbij alle apparaten verbinding met elkaar leggen en zo ook elkaars internettoegang delen. Als mijn systeem dus even niet internet op kan, dan wordt er desnoods tot in het dorp hiernaast gehopt tot er iemand wél internet heeft. Snel zal het niet zijn, maar voor bijvoorbeeld het synchroniseren van profielgegevens of het downloaden van komt-wel-een-keer updates is dat niet erg.

Dat klinkt leuk en hip maar het betekent wel dat je dus je internetverbinding beschikbaar stelt voor iedereen in het land (in theorie zelfs ter wereld) die ook Amazon-diensten afneemt. Er wordt niet van alles gedownload en getorrend, dus echt bang voor claims van derden hoef je niet te zijn. Gemiste kans in zoverre dat ik Tim Kuik wel wil zien kijken als ik “ja sorry dat moet de koelkast van de buren geweest zijn” zeg.

Verder komt men bij Wired nog met de berekening:

What’s more, Amazon promises never to use more than 500 MB of data in a month, which is the same as streaming about 10 minutes of high definition data.
Nou is 10 minuten HD video niet echt ontzettend veel maar verwaarloosbaar kan ik het ook niet noemen. Plus, er gebeurt niet als die belofte niet wordt gehaald, behalve dat je een meelbal van een marketeer krijgt.

Ik kan er niet direct een juridisch verbod op aanwijzen maar het voelt onprettig, opgedrongen en net te veel gevraagd. Ik weet dat heul heul vroeger de PTT ook ongevraagd stroom afnam om je telefoon te laten rinkelen, maar dit lijkt meer op een cryptominer in je router.

Ik snap denk ik vooral niet waarom Amazon denkt dat ik dit een goed idee zou vinden?

Arnoud

Kan ik de werkgever aansprakelijk houden voor schade door de 2FA-app?

Geplaatst op in Security, 28 reacties

Een lezer vroeg me:

Mijn werkgever heeft het gebruik van tweefactorauthenticatie verplicht gesteld, en gebruikt daarbij de Microsoft Authenticator app. Alleen, wie geen werktelefoon heeft moet deze maar op de privételefoon installeren. Ik maak me zorgen over de rechten die deze app heeft (foto’s, camera, locatie, contactpersonen en ga zo maar door) en bovendien vraag ik me af of ik mijn werkgever aansprakelijk kan stellen als er iets misgaat met die app.
De vraag over het installeren van apps op je privételefoon is natuurlijk al vaker langsgekomen. In 2018 zei ik nog dat dat eigenlijk niet kan, dat de werkgever maar voor een werktelefoon moet zorgen. Maar ik realiseerde me later dat je vanuit goed werknemerschap best verplicht kunt zijn iets kleins zelf te regelen, ook al is dat strikt gesproken met een privételefoon.

Zo’n authenticator app komt over als iets kleins: het ding produceert authenticatiegetallen waarmee je een inlogpoging afmaakt. Er is geen netwerkverbinding nodig, de app is buitengewoon klein en er zit verder weinig bijzonders aan. Vanuit dat perspectief lijkt me deze app prima passen in dat idee van “doe dat gewoon even, kom op nou” oftewel goed werknemerschap.

Ik zie inderdaad dat deze app ontzettend veel permissies vraagt, en ik zou de FAQ moeten lezen om te weten wat die app allemaal van plan is. Wordt er zo veel gelogd? Waarom moet de app weten waar ik ben en mijn foto’s bekijken alvorens een authenticatiecode af te geven? En zijn er dan toch beveiligings-zwakheden die misbruikt kunnen worden om zo mijn telefoon te infecteren? Geen idee, daar kan ik als privépersoon weinig over zeggen.

Gelukkig voor de werknemer is de werkgever aansprakelijk voor schade die men tijdens het werk lijdt (art. 7:658 lid 2 BW), behalve bij opzet of bewuste roekeloosheid door de werknemer. Dat is vrijwel nooit het geval (en nee, je updates vergeten te bijwerken zie ik niet als bewuste roekeloosheid) dus als de authenticator app die de werkgever voorschrijft schade bij jou veroorzaakt, dan kun je verlangen dat de werkgever die vergoedt.

Arnoud

Rechtspraak wil in de toekomst drie kwart van uitspraken online publiceren

Geplaatst op in Innovatie, 18 reacties

In de komende tien jaar zal de overgrote meerderheid van de circa anderhalf miljoen vonnissen die jaarlijks door Nederlandse rechters worden uitgesproken online beschikbaar moeten komen. Dat las ik bij NRC onlangs. Al decennia wordt er geklaagd dat de slechts 5% van de vonnissen die men nu online zet, veel te weinig is. Dat gaat men nu eindelijk omhoog tillen – naar 75%. Waarom geen 100? “Niet alle uitspraken zijn van belang om te publiceren, en sommige vonnissen kunnen om privacyredenen niet worden geopenbaard.” Nou ja, het is een goed begin zullen we maar zeggen.

Het verbaast veel mensen, maar dus slechts 5% van alle vonnissen komt online op Rechtspraak.nl. En daar wordt al lang tegen geprotesteerd, onder meer onvermoeibaar door Gerrit-Jan Zwenne en Laurens Mommers. Die wijzen onder meer op die selectiecriteria “niet alles is van belang”:

Uitspraken die voor de een weinig betekenis hebben, kunnen voor anderen van groot belang zijn. De gedachte dat de rechterlijke macht kan bepalen welke zaken interessant zijn, is niet meer van deze tijd. Bovendien zijn het juist de juridisch oninteressante zaken waar de meeste mensen mee te maken krijgen. … Wat betekent deze selectiviteit voor onze kennis van de rechtspraak? De waarheid is: dat weten we niet.
Wat precies de overweging is geweest tussen 2010 en nu, dat weten we ook niet. Mogelijk heeft het te maken met een hint uit het NRC artikel: er wordt onderzocht of speciale ‘anonimiseringssoftware’ de werklast kan verlichten. Want ja al dat anonimiseren gebeurt met de hand, dus alleen al praktisch gezien is meer dan 5% niet goed haalbaar.

Dat men dat met de hand doet en achteraf, daar snap ik dus hélemaal niets van. Want je krijgt dan dus dat je dertig keer in een vonnis “Wim ten Brink” moet vervangen door “[eiser]” en dat is gedoe, natuurlijk. En ik zie het ook wel eens misgaan, dat er een “Wim den Brink” is blijven staan. Of dat iemand aan z’n emailadres herleidbaar is, of “mevrouw [eiseres], eigenaar van Wilma ten Brink bv”. Als je vóóraf, dus bij het schrijven van het vonnis, al nadenkt over anonimiseren, dan gaat alles een stuk sneller.

Dat wil natuurlijk niet zeggen dat software niet goed kan helpen. Zie bijvoorbeeld deze tech demo, waarin software namen en dergelijke herkent in de tekst van een vonnis en ze kan vervangen door een neutrale aanduiding. De afgelopen tien jaar zijn grote stappen gemaakt met dit soort natural language processing en herkenning van zulke termen. Het zou grote winst opleveren als met zulke software de bulk van de vonnissen alsnog anoniem te maken is.

Zit ik er mee dat dat niet perfect is? In 2010 (het artikel van Zwenne en Mommers) was dat namelijk nog een argument: we gaan pas software inzetten als die perfect werkt. (Wie riep daar, overheid en ICT moehaha?) Ik denk dat dat hier echt niet nodig is. Natuurlijk, je wilt dat het netjes gebeurt maar bij de openbare zitting worden ook persoonsgegevens gewoon gemeld en ik zie de impact van een publicatie op rechtspraak.nl met een gemiste achternaam dan ook niet als enorm.

Daar komt bij dat juist omdat het om bulkwerk gaat, het niet zozeer gaat om dat ene vonnis maar juist om die tienduizend waarin bijvoorbeeld rechters klakkeloos het incassobureau volgen, of de analyse dat er een groei zit in ontslagen op de g-grond in een bepaalde sector. Daarvoor is een hoop data nodig, dan pas kunnen dergelijke onderzoeken worden gedaan.

Arnoud

Ook als budgethoster heb je een zorgplicht dat de website het doet (en waarschijnlijk zijn je AV niet van toepassing)

Geplaatst op in Ondernemingsvrijheid, 28 reacties

Ook als je een website maakt voor €199 en die host voor €60 per jaar, dan nog ben je aansprakelijk voor de gevolgen van downtime (in de zin van: de website is geheel down). Dat maak ik op uit een recent vonnis uit Rotterdam. Het optionele servicepakket van €10 per maand en de AV (te vinden op de website) waren daarbij geen factoren van belang. Het laat maar weer eens zien hoe belangrijk goede communicatie is.

Het bedrijf lijkt er een van zovelen te zijn die het mkb bedient: eenvoudige offertes, lage prijzen, op basis van WordPress als cms en recht-voor-zn-raap communicatie:

Productoverzicht: -Standaard website, inclusief hosting en domein ( [domeinnaam] ) -Whatsappfunctie -Analyse software bezoekers website (…)”
Na oplevering leek de site een jaartje prima te werken, maar op 2 maart 2020 bleek de site onbereikbaar voor klanten. Op de navolgende dagen bleek contact met de hoster/designer niet mogelijk, waarna eind mei een ingebrekestelling werd gestuurd en vanwege tegenvallende resultaten werd opgezegd. Vervolgens werd de hoster boos omdat niet voor het hele jaar 2020 was betaald.

Dat voelt een tikje raar, de site doet het niet, je zegt op en dan komt de hoster geld bij jou claimen. Maar het argument was: er was een optioneel servicepakket, dat is niet afgenomen en bovendien bestond op grond van de AV geen aansprakelijkheid voor indirecte schade.

Nee, dat vond de rechter ook niet zoals het hoort:

Ongeacht wat de precieze oorzaak van de onbereikbaarheid is, staat daarmee naar het oordeel van de kantonrechter vast dat [gedaagde] zijn verplichtingen ten aanzien van de hosting van de website (in het bijzonder de onbelemmerde bereikbaarheid op het internet gedurende de looptijd van de overeenkomst) per 2 maart 2020 niet is nagekomen. [eiseres] heeft onweersproken gesteld dat de domeinnaam door een derde partij gehackt was. Voor zover er inderdaad sprake was van het hacken van de domeinnaam dient die omstandigheid voor rekening en risico te komen van [gedaagde] , nu zij – als domeinhouder en verantwoordelijke voor de hosting van de website – verantwoordelijk was voor de bereikbaarheid van de website, waarvan naar het oordeel van de kantonrechter ook deel uit maakt het voorkomen van blootstelling aan door derden veroorzaakte digitale inbreuken op die bereikbaarheid.
Mijn samenvatting: als een site het helemaal niet doet, moet jij als hoster dat oplossen. Een hack kan, maar dat is juridisch wel jouw probleem. (Ja, er is overmacht maar niet iedere hack is overmacht, en op zijn minst moet je probéren het op te lossen.) En dat servicepakket, de upsell naar een SLA zeg maar:
Uit de offerte van [gedaagde] van 11 juli 2018 volgt dat het optionele ondersteuningspakket slechts ziet op te verlenen service en gratis updates van de websites. De situatie die zich thans heeft voorgedaan – het volledig onbereikbaar zijn van de website – valt hier niet onder.
Betalen dus, want wanprestatie. Maar daarvoor had de ondernemer dus nog zijn algemene voorwaarden in de achterzak, die indirecte schade (wat in de ICT grofweg alle schade betekent) keihard uitsluit. Op de offerte stond daarover
“Op deze aanbieding zijn onze algemene voorwaarden van kracht. Deze kunt u op onze website vinden.”
En dat wordt door de rechter binnen een seconde van tafel geveegd. De jurisprudentie is duidelijk: geen dieplink, geen toepasselijkheid.

Betalen dus, maar hoe veel dan? In dit geval was de onbereikbaarheid kennelijk zo ernstig uit de hand gelopen dat de klant maar een geheel nieuwe website met nieuwe domeinnaam had laten bouwen. Want de domeinnaam stond dus op naam van de hoster. En dan krijg je dus de kosten van de nieuwe site (€560) plus – nee, serieus – de kosten van het opnieuw beletteren van de bedrijfsfiets (€294) voor je kiezen.

Het lastige bij dit vonnis is dat alles in vrij absolute termen is geformuleerd. Maar dat komt door de vrij extreme situatie: een site geheel down gedurende lange tijd, nul respons (althans niet bewezen dat er is teruggebeld) en niet betwiste schade, die ook nog eens best redelijk gebudgetteerd was. Het is dus niet zo dat iedereen in elke situatie met een dagje downtime een geheel nieuwe site moet betalen. Maar de les voor mij is wel dat als je hosting belooft, je gewoon voor hosting moet zorgen en niet te makkelijk moet denken “ik verkoop apart een SLA en de AV staan op mijn site”. Daarmee kom je nergens.

Arnoud