Foto’s van je kinderen op internet plaatsen versus de AVG

Geplaatst op in Privacy, 15 reacties

Gedaagde heeft beeldmateriaal (foto’s en filmpjes) op social media geplaatst van het minderjarige zoontje van eiseres, zo opende een recent vonnis van de rechtbank Overijssel. Dat mocht niet van de ex-partner. Want voor het plaatsen van foto’s van minderjarigen die de leeftijd van zestien jaren nog niet hebben bereikt, is toestemming van de wettelijk vertegenwoordiger vereist. Althans, ongeveer. En over die ongeveer wilde ik het even hebben.

Heel kort: de vrouw in de relatie had met een andere man een kind gekregen, waar de gedaagde (ik denk ook een man) later ouderlijk gezag over kreeg. Dit gezag bleef gezamenlijk toen de relatie uitging. En op enig moment daarna plaatste de gedaagde foto’s van het kind op Facebook. De eiseres was het daarmee oneens en stapte naar de rechter.

De rechter is er werkelijk in één alinea mee klaar: er is toestemming nodig van de ouders voor publicatie van foto’s van kinderen, die toestemming moet van beide ouders komen en die is er niet, dus die foto’s moeten weg. Dwangsom 50 euro per dag, maximum 2.500 euro, boem u kunt gaan.

Inhoudelijk denk ik weinig mis mee, het is al vaker bepaald dat foto’s van minderjarigen niet tegen de wil van (een van) de ouder(s) door de andere ouder mogen worden gepubliceerd. Maar ik zie hier een veel voorkomend misverstand, namelijk dat de AVG (en UAVG) zeggen dat je áltijd toestemming van de ouders nodig hebt voor publicatie. Dat is namelijk niet waar.

Het misverstand komt door artikel 8 lid 1 AVG, dat begint met

Wanneer artikel 6, lid 1, punt a), van toepassing is in verband met een rechtstreeks aanbod van diensten van de informatiemaatschappij aan een kind, is de verwerking van persoonsgegevens van een kind rechtmatig wanneer het kind ten minste 16 jaar is. Wanneer het kind jonger is dan 16 jaar is zulke verwerking slechts rechtmatig indien en voor zover de toestemming of machtiging tot toestemming in dit verband wordt verleend door de persoon die de ouderlijke verantwoordelijkheid voor het kind draagt.
En daarbij is dan artikel 6 lid 1 sub a AVG de grondslag toestemming. Snel lezend staat hier inderdaad dat toestemming bij internetdiensten door minderjarigen niet kan, dat moeten de ouders of verzorgers geven. Maar lees het nog eens: er staat niet dat verwerken alleen mag met zulke toestemming, er staat dat als je met toestemming werkt, die toestemming moet worden verleend door de ouders.

Niets houdt je dus tegen om te verwerken met een andere grondslag, zoals uitvoering overeenkomst of een eigen gerechtvaardigd belang. Een kind van dertien dat zijn naam invoert in een chatdienst, hoeft geen ouderlijke toestemming. Die naam (een persoonsgegeven) is nodig voor de dienst, je moet aangesproken kunnen worden door medechatters en daar is je naam het logische element voor.

In dit geval had de mede-ouder het wellicht kunnen gooien op dat gerechtvaardigd belang, kort door de bocht zijn uitingsvrijheid. Of dat was gelukt, weet ik niet – je moet als publicerende ouder rekening houden met de privacy van je kind, en hoe je dat doet bij Facebookpublicaties is mij nog niet duidelijk. Maar het is dus zeker geen geval “geen toestemming = mag niet”.

Arnoud

Chinese politie en Tencent halen sites die gamecheats verkochten offline

Geplaatst op in Informatiemaatschappij, 8 reacties

Door gezamenlijke inzet van de Chinese politie en game-ontwikkelaar Tencent is een collectief opgepakt dat gamecheats verkocht. Volgens de politie verdiende het collectief zo’n 64 miljoen euro met de verkoop van cheat-abonnementen aan gamers in honderd landen en regio’s. En kennelijk is dat dan illegaal, hoewel voor niet iedereen duidelijk was waarom dan precies.

Wie bij cheaten nog denkt aan in je eigen spelletje idspispopd intypen en dan door muren kunnen lopen, die loopt een beetje achter. Cheaten of valsspelen kan zeer lucratief zijn, denk aan de vele toernooien waar je geld verdient door goed te spelen. Of alleen maar het makkelijker kunnen veroveren (en daarna verhandelen) van zeldzame spullen of het uplevelen van een personage dat je daarna overdraagt aan een luie medespeler.

De grote game-aanbieders hebben er dan ook al jaren lang een dagtaak aan om valsspelers buiten de deur te houden. Want voor de duidelijkheid, het gaat dus niet om het ontdekken van ingebouwde achterdeurtjes maar om het exploiteren van programmeerfouten, onbedoelde trucs en dergelijke. En natuurlijk is dat in de algemene voorwaarden van zo’n online spel verboden, maar daar krijg je de politie niet mee in beweging. Dat heet juridisch een civiele kwestie, doe ze maar zelf een rechtszaak aan.

De Chinese autoriteiten lijken het te gooien op een vorm van computervredebreuk: binnendringen in de servers van de game-aanbieder op een manier die niet geautoriseerd is, namelijk door het versturen van data die gemanipuleerd is. Want dat is waar cheaten op neerkomt, bijvoorbeeld het doorgeven van eigenlijk onmogelijke bewegingen of het verkrijgen van data waar je niet bij mag. En als je het strafrecht noemt, dan kan de politie natuurlijk wél in actie komen.

Naar Nederlands recht zou ik dat een lastige vinden. Bij ons geldt dat je natuurlijk niet mag binnendringen, maar het versturen van valse data is nog geen binnendringen. Eind vorig jaar blogde ik over onder valse personalia verkrijgen van een internetabonnement; dat is geen binnendringen in de servers van Ziggo. Evenmin is binnendringen het vervalsen van betaalopdrachten die je gewoon via een bankiersysteem aanbiedt. Pas als de data zélf zorgen voor ongeautoriseerde toegang, dan kom je bij computervredebreuk terecht.

Ik zou eerlijk gezegd niet weten hoe cheaten strafbaar zou zijn in Nederland. (Natuurlijk is het hier wél schending game-voorwaarden en dus einde abonnement.) Ik kan geen delict bedenken waarmee je dit via de politie zou kunnen aanpakken. Vrijwel altijd komt het neer op manipuleren van de gegevens op je eigen computer (hetzij versturen van nepgegevens, hetzij het uitlezen van gegevens die je hier niet mocht gebruiken, hetzij het door een programma laten doen wat jouw handwerk had moeten zijn). Ik hoor graag wie daar een bepaling uit het wetboek van strafrecht op weet!

Arnoud

Onderzoek: managers kijken bij half miljoen werknemers thuis over de schouder mee, de hele dag

Geplaatst op in Ondernemingsvrijheid, 12 reacties

Bij 13% van de thuiswerkers komt de manager de hele dag langs om door het raam mee te kijken of zij wel aan het werk zijn. Dit blijkt uit CNV-onderzoek onder 1200 thuiswerkers. ‘Dit betekent dat ruim een half miljoen werkenden dus voortdurend in de gaten worden gehouden door hun werkgever. In de praktijk ligt dit getal waarschijnlijk nog hoger omdat niet iedereen de manager bij het raam ziet staan,’ stelt Piet Fortuin, CNV-voorzitter.  Oh nee pardon: een half miljoen thuiswerkers wordt via software in de gaten gehouden. Want dat is wél normaal voor werkgevers?!

Ik blijf me erover verbazen dat werkgevers zich zo’n zorgen maken over thuiswerken dat ze structureel grijpen naar dit soort middelen. Waarbij ik dan ook meteen aanneem dat vele werkgevers niet verder kijken dan de folder, die belooft dat er productiviteit gemeten kan worden. En dat men dan niet direct denkt, oh handig dat iedere toetsaanslag gelogd kan worden, dat ga ik live meelezen. Het is een tool die alles kan, dat is handig want dan mis/vergeet je niets, dus laten we het maar doen. En trouwens, men moet werken dus hoezo mag dat niet? Op het werk mag ik ook meekijken.

En dat is dus waarom ik die vergelijking maakte in de titel: natuurlijk mág dat, maar geen manager haalt het in zijn hoofd om bij mensen door het raam te gaan kijken. Of op kantoor naast iemand te staan “wat ben je nu aan het typen, druk eens op F1, ik zou die paars maken en dan printen”. Iedereen voelt onmiddellijk aan dat dat niet gaat werken. Maar zodra je dat met software doet, is het ineens gewoon handig en moeten mensen maar niet zeuren want het is werktijd en de kantoorlaptop? Of zoiets?

Arnoud

 

Facebook gaat de half miljard getroffen gebruikers niet informeren over datalek, nee die snapte ik ook niet

Geplaatst op in Privacy, 12 reacties

Facebook gaat de bijna 533 miljoen gebruikers van wie de data onlangs op een hackersforum is geplaatst, niet actief informeren over het datalek. Dat meldde Tweakers vorige week. Het platform zegt niet zeker te weten welke gebruikers ingelicht zouden moeten worden en dat de informatie toch openbaar online staat. Dat voelt een tikje absurd; de gebruikers die je moet hebben staan, eh, in die gelekte dataset. Wat is precies het probleem, of wat hebben de advocaten van Facebook nou weer bedacht als smoes om onder hun plichten uit te komen?

Vorige week verscheen een dataset met ongeveer een half miljard persoonsgegevens online, met daarin telefoonnummers, Facebook-id’s, volledige namen, locaties, voorgaande locaties, geboortedata, geslacht, relatiestatus, bio-teksten, datum van accountcreatie, werkgever en (soms) e-mailadressen. Vermoedelijk is de data verkregen door een fout in de ‘vriend toevoegen’-functie, waar tot telefoonnummers van vreemden voor nodig was. Gebruikers kunnen via tools als Have I Been Pwned zien of zij in de dataset staan.

Dit noemen we juridisch gezien natuurlijk een datalek in de zin van de AVG: grootschalig ongeautoriseerde publicatie van persoonsgegevens. Dat moet je melden bij de toezichthouder, en je moet alle betrokkenen informeren over dat hun data getroffen is, plus mogelijke gevolgen, maatregelen et cetera. En dat wil Facebook dus niet doen, want “the social media company was not confident it had full visibility on which users would need to be notified.” Dat voelt erg paarse-krokodil: ze staan dáár, die users.

Tevens stelt men dat je toch niets kunt doen tegen het lek, en de data is ook nog eens openbaar. Nee, daar snap ik nog minder van: dat is júist een reden om mensen te informeren. “Nee, tegen uw tumor is niets te doen en iedereen kan het zien, dus vandaar dat u nooit een diagnose kreeg”. Eh, kom nou.

Mededelen van datalekken moet, tenzij. Zo staat het in de AVG. En die ’tenzij’ is beperkt tot drie situaties:

  1. de verwerkingsverantwoordelijke heeft passende technische en organisatorische beschermingsmaatregelen genomen en deze maatregelen zijn toegepast op de persoonsgegevens waarop de inbreuk in verband met persoonsgegevens betrekking heeft, met name die welke de persoonsgegevens onbegrijpelijk maken voor onbevoegden, zoals versleuteling;
  2. de verwerkingsverantwoordelijke heeft achteraf maatregelen genomen om ervoor te zorgen dat het in lid 1 bedoelde hoge risico voor de rechten en vrijheden van betrokkenen zich waarschijnlijk niet meer zal voordoen;
  3. de mededeling zou onevenredige inspanningen vergen. In dat geval komt er in de plaats daarvan een openbare mededeling of een soortgelijke maatregel waarbij betrokkenen even doeltreffend worden geïnformeerd.
Situatie 1 is grofweg dat de data wel is gelekt maar in sterk versleutelde of gepseudonimiseerde vorm. Dan is het risico op misbruik minimaal immers. Maar dat is hier niet van toepassing.

Situatie 2 gaat over datalekken waarbij je kon ingrijpen om de gevolgen van het lek tegen te houden. Je passwords lekten, maar je reset snel alle wachtwoorden en je monitoring gaf aan dat er niet ingelogd was in de tussentijd.  Ook niet van toepassing, integendeel.

Situatie 3 is bij 533 miljoen mensen en alleen een telefoonnummer uit 2019 wellicht verdedigbaar. Die allemaal gaan bellen is te arbeidsintensief, dus dan zou een algemene mededeling (in de krant, of eh op Facebook) een betere optie zijn. Maar daar staat tegenover dat het Facebook-id in de dataset zit. Dus dan kun je in ieder geval de nog actieve gebruikers nazoeken en die een berichtje via het platform sturen. Benieuwd hoe veel er dan nog overblijven.

In ieder geval, ik kan vanuit AVG-perspectief helemaal niets met deze reactie.

Arnoud

Twitch gaat mensen ook voor wangedrag buiten de site bannen

Geplaatst op in Ondernemingsvrijheid, 93 reacties

Videostreamingdienst Twitch gaat voortaan niet alleen wangedrag op zijn site aanpakken, maar ook hatelijk gedrag dat buiten Twitch plaatsvindt. Dat meldde Nutech.nl onlangs. Enerzijds kan het dan gaan om intimideren buiten de dienst om naar aanleiding van een gebeurtenis op het platform. Anderzijds denkt men ook aan wangedrag buiten de dienst dat geen verband houdt met een incident op Twitch, maar wat wel een “aanzienlijk risico vormt” voor andere gebruikers. En dat roept natuurlijk de vraag op, mag Twitch zo ver gaan?

Het supersimpele antwoord is natuurlijk: dat mag als ze dat in hun voorwaarden zetten. Maar dan zou dit geen juridische blog zijn. Je kunt namelijk niet zomaar alles in je voorwaarden zetten en verwachten dat dat juridisch blijft plakken. De kern van juridische zaken is dat men redelijk is naar elkaar toe. En is dat wel redelijk, als je twee volkomen losstaande activiteiten (willekeurig voorbeeld, iemand bestormt de wetgevende macht van zijn land in de hoofdstad, en hij streamt Call of Duty gameplay op Twitch) aan elkaar verbindt (je krijgt een ban op Twitch)?

Ik zou zeggen als hoofdregel niet. Als die twee dingen werkelijk niets met elkaar te maken hebben, dan is het niet redelijk dat men de een koppelt aan de ander, zeker niet als daar een ernstige sanctie op volgt zoals een verbanning/verwijdering. Anders gezegd: dan heb je geen belang bij die verbanning, dat heeft niets met jou te maken.

We kennen dit al uit het arbeidsrecht, waar mensen nog wel eens ontslagen worden wegens privéactiviteiten. Of bij onderwijsrecht waar scholieren een sanctie krijgen vanwege iets dat ze buiten schooltijd en/of -terrein doen. Dat kan net zo goed niet om die reden, wat heeft de school dan wel de werkgever te maken met je privé?

Daar is natuurlijk meteen een uitzondering op, en die staat hier ook centraal: als de school, het werk of Twitch er last van heeft. Wat natuurlijk ook zo is als collega’s dan wel andere gebruikers die last ondervinden. Als jij als scholier een medeleerling ’s avonds gaat opzoeken en bedreigen vanwege wat die in de pauze tegen jou zei, dan kan de school natuurlijk wel degelijk handhavend tegen jou optreden. Een werknemer die in privétijd grote ophef veroorzaakt, waardoor de hele werkvloer in rep en roer is, die kan ook een stevig gesprek verwachten met de werkgever.

En idem dus voor Twitch: zoals men in haar blog toelicht, moet je dan denken aan zaken als gewelddadig extremisme, geloofwaardige dreigementen over grootschalig geweld (zoals de in de VS vaak voorkomende mass shootings), seksueel geweld en het lastigvallen of groomen van kinderen. Dat kan dus volledig buiten Twitch plaatsvinden, zoals het voorbeeld van die COD-speler die uitlogt en dan het Capitool bestormt.

Twitch noemt niet letterlijk waarom ze deze keuze maakt, afgezien van mooie woorden over de veilige gemeenschap. Je kunt dan ook twee kanten op: men wil voorkomen dat de ophef over zo’n figuur ook de Twitch-gemeenschap raakt, of men is bang voor de eigen reputatie. Want het is natuurlijk bepaald onprettig om met iemand te spelen die zeer gewelddadig blijkt te zijn. (Ik ben zelf ooit van sportschool gewisseld toen bleek dat twee mede-gymmers betrokken waren bij een roofoverval elders.) Maar natuurlijk komt Twitch ook ernstig negatief in het nieuws “Twitchlivestreamer probeert rechtsstaat omver te werpen” is natuurlijk geen fijne kop.

Dat laatste is natuurlijk voor velen reden om te zeggen dat het niet eerlijk is, maar dan kom ik dus weer terug bij het begin: als je activiteiten zo ver gaan dat je werkgever, je school of dus je gamestreamingdienst er last van krijgt, dan is er gewoon een belang om daar wat aan te doen. Ik zou niet weten waarom die sportschool die twee overvallers nog binnen moet laten, zeker niet als andere sporters dan gaan vertrekken.

Arnoud

Koper van SCO’s OpenServer klaagt IBM en Red Hat aan

Geplaatst op in Intellectuele rechten, 5 reacties

Oh nee. Softwarebedrijf Xinuos klaagt IBM en Red Hat aan voor het illegaal kopieren van zijn broncode voor besturingssystemen voor servers, las ik bij Tweakers. Xinuous is de rechtsopvolger van het beruchte SCO, dat IBM een jarenlang slepende rechtszaak aandeed met de meest onzinnige claims over “gestolen IP” dat IBM in Linux zou hebben gestopt. Of zoiets. Ik blogde in mijn begintijd over die zaak, de kern is dat het totale onzin was en iedereen knettergek was van hoe veel werk het bleek om dat te weerleggen. En dan nu wéér?

Het eerste dat me opviel is dat Xinous de zaak op de Amerikaanse Maagdeneilanden heeft aangespannen. Dat leek me een transparante truc om de zaak over te mogen doen: je kunt immers niet tweemaal procederen over hetzelfde, maar wél als je in een andere jurisdictie staat. Maar dat blijkt te komen omdat Xinous haar hoofdkwartier op dat 100.000 inwoners tellende eilandengroepje heeft.

Daarnaast blijkt Xinous iets concreter over de “stolen IP”: het zou gaan om een emulatorlaag waarmee IBM’s eigen besturingssysteem AIX Linux-applicaties kan draaien. Die emulator, Affinity geheten, zou regelrecht gekopieerde broncode bevatten waar Xinous het auteursrecht op heeft. Ook betreft het de UnixWare 7 print subsystem en de multipath IO routines, en nog het een en ander. Nou kijk, daar kunnen we wat mee. Om nu op woensdagochtend even een volledige source review te doen gaat me wat ver, maar ik moet toegeven dat dit een concrete én andere beschuldiging is dan waar SCO destijds mee kwam.

IBM lijkt -aldus de aanklacht, een verweerschrift is er nog niet- te denken dat zij dit mochten doen omdat deze code uit UNIX en UnixWare komt, waar Novell (de echte eigenaar van UNIX, zo bleek in de SCO rechtszaak) ze een licentie op gegeven heeft. Maar Xinous zegt dus dat nou net díe auteursrechten naar hen zijn gegaan.

Gek genoeg komt er dan ook een zeer paranoïde klinkend verhaal over hoe IBM samenzwoer met Red Hat (dat inmiddels een IBM-dochter is) om zo de markt voor Unix-achtigen te verpesten:

As a result of these activities, Xinuos has been excluded from key opportunities in the market. For example, despite Xinuos offering a FreeBSD-based operating system with substantial commercial value for enterprise users, Xinuos was unable to garner as much financial support or customer interest in OpenServer 10 as it could and should have due to the market conditions. Indeed, the market is so distorted that Xinuos has determined that over 70% fewer of its customers are in a position to license its new operating system than would be available in a functioning market. The foreclosing effect on Xinuos is felt by all competitors as well.
Ik kan hier dus werkelijk geen chocola van maken, met name omdat men óók nog even Linux-alternatief FreeBSD aandraagt als slachtoffer van IBM’s Linux tactieken. De eis bij deze beschuldiging is overigens dat de aankoop van Red Hat ongedaan gemaakt moet worden, wat in theorie kan maar volgens mij nog nooit met succes geëist is.

Het wachten is nu op de eerste reactie van IBM. Echt een kloon van de SCO soap zou ik dit niet meteen willen noemen, de feitelijke beschuldigingen zijn daarvoor te concreet. Maar je mag het een reboot noemen met een nieuwe regisseur.

Arnoud

Raad van State: Tweede Kamer hoeft broncode van debat-app niet openbaar te maken

Geplaatst op in Informatiemaatschappij, 1 reacties

De Tweede Kamer hoeft de broncode van de Debat Direct-app definitief niet openbaar te maken, meldde Tweakers donderdag. Dit is de einduitspraak in die zaak van laatst, waarin een IT’er al sinds 2018 probeert toegang te krijgen tot de broncode van de Debat Direct app van het parlement. De Raad van State oordeelt nu dat dit niet kan, omdat de ingezette wetten – de Wob en de Wet hergebruik overheidsinformatie – niet van toepassing zijn op de Tweede Kamer als orgaan. Het artikel bij Tweakers gaf vele reacties, inclusief speculatie waarom de overheid toch zo moeilijk zou doen met het achterhouden van deze informatie. Die nota bene feitelijk al online staat, want het is Javascript.

Mijn gevoel bij de zaak is dat men dacht, een Apple + Android app én een webapp dan kan iedereen erbij. Er is dan geen reden om ook nog de API’s vrij te geven. Misschien kortzichtig/naïef, maar ik zie het praktijkgerichte argument wel dat “iedereen er nu toch naar kan kijken”? De vraag om API’s is marginaal te noemen.

Je houdt dan het principiële punt over, en dat is natuurlijk een zeer geliefde kluif voor juristen. (Wat zegt een advocaat in een contractenzaak als eerste? “Pacta sunt servanda”. En als tweede? “Dit lijkt een eenvoudig geschil, maar het gaat om het principe”. De rechter weet dat het dan een lange dag gaat worden.)

Bij een principieel punt moet natuurlijk je algemene regels aandragen om je zaak te onderbouwen, en dan gaan andere belangen meespelen. Zoals hier, als je zegt “in principe heeft de burger recht op de broncode” dan moet je een wet zoals de Wet hergebruik overheidsinformatie erbij slepen. En dan is er een principieel verweer: de TK valt buiten die wet. Je wilt dan niet als TK het precedent scheppen dat je voor software wél onder die wet valt. Waarom niet? Uit principe niet. Dat werkt twee kanten op.

Vervolgens liet men de advocaten los en die zijn vanuit dat principieel verweer gaan terugvechten. Er is dan niemand die een stap terugdoet, zoals door te zeggen “jongens alles stáát al online” of “weet je wat, hier is een API definitie en onze endpoint staat hier, zullen we de rest van het geld besteden aan wat nuttigs”. Want het ligt onder de rechter, dus blijf je eraf.

Zoals ik wel vaker zeg, geen complot veronderstellen waarin simpele incompetentie of naïviteit genoeg is als verklaring.

Arnoud

Nederlandse politie geeft details over gebruik van Boston Dynamics-robot Spot

Geplaatst op in Informatiemaatschappij, 3 reacties

De Dienst Speciale Operaties van de Nederlandse politie heeft een Spot-robot van Boston Dynamics in gebruik genomen en die onlangs voor het eerst ingezet. Dat meldde Tweakers onlangs. Spot is een robothond met als unieke eigenschap zijn natuurlijke manier van bewegen en evenwicht bewaren, waarbij je dan moet zeggen dat het “AI aangedreven is”. De variant die onze politie inzet, kan niet autonoom opereren en wordt op afstand bestuurd. Doel is met name in gevaarlijke situaties zoals drugslabs veilig te kunnen opereren. Een mooie eerste stap, maar het roept natuurlijk wel de vraag op hoe zo’n robotpolitiehond (politierobothond?) dan in de toekomst ingezet kan worden.

Voor wie wil weten hoe de toekomst van AI in de Nederlandse gemeenschap eruit ziet, is de case van de gemeente Juinen een unieke kans. De gemeente is nu bijna een jaar bezig met de breedschalige implementatie van AI voor gemeente- en burgerprocessen. Zij heeft daarbij gekozen voor de insteek van wettig, ethisch en robuust conform de Europese Guidelines voor verantwoorde AI, en is tot veler verbazing gekozen tot een van de twintig steden die aan de wereldwijde competitie World City AI Ranking mee mag doen.

Als afsluiter van het eerste jaar is daarbij een onderzoek naar draagvlak gewenst. Onderzoeksbureau Akkermans c.s. heeft daarom in opdracht van Juinen haar burgers bevraagd naar hoe zij de belangrijkste AI projecten hebben ervaren. Gezien de inzet van deze robothond wil ik u één aspect alvast meegeven:

In Woon-zorgcentrum Dageraad wordt al geruime tijd gewerkt met zorgrobot Jorien, die de bewoners wat extra gezelschap biedt. Daarnaast werkt het Juridisch Loket met intake-lawyerbot Hugo en experimenteert het ziekenhuis met de inzet van Meredith de robotchirurg. De politie heeft een aanvraag ingediend om een autonome robothond (Koiro, lees meer) te laten patrouilleren. Al deze robots werken autonoom, dus zonder human-in-the-loop (HITL). Waar hebben de Juinense burgers het meest vertrouwen in, denkt u? En waarom?

  1. Zorgrobot Jorien
  2. Lawyerbot Hugo
  3. Robotchirurg Meredith
  4. Robotpolitiehond Koiro
Wie denkt dat zhij het antwoord weet, moet zich zeker inschrijven voor de tienweekse opleiding AI Compliance & Governance die in mei weer van start gaat!

Arnoud

Google wint van Oracle, maar de rest van de wereld heeft daar weinig aan

Geplaatst op in Intellectuele rechten, 10 reacties

Google heeft geen inbreuk gemaakt op het copyright van softwarebedrijf Oracle toen het de code uit de programmeertaal Java gebruikte voor zijn mobiele besturingssysteem Android. Dat meldde RTL Nieuws onlangs. De Amerikaanse Supreme Court bepaalde namelijk dat de relevante code een fair use was onder eventuele auteursrechten van Oracle op diens Java-implementatie. Leuk voor Google, maar een uitspraak dat iets fair use is, daar heeft de rest van de wereld weinig aan. De kern van de zaak was namelijk: rust er überhaupt auteursrecht op een API definitie, wat de betreffende regels code uiteindelijk waren.

De zaak Google/Oracle draait om de universele programmeertaal Java, die begin jaren negentig is ontwikkeld door Sun Microsystems. In 2007 kwam het voor mobiele apparaten ontwikkelde besturingssysteem Android op de markt. Om ontwikkelaars over de streep te trekken Android-applicaties te maken, had Google daarin verschillende API’s opgenomen. Deze API’s bevatten elementen die ook aanwezig waren in de API’s van Java en droegen bovendien dezelfde namen. Alleen, de implementatie was verschillend.

Dat mag, zo dachten de meeste juristen destijds. Op een definitie of een naam rust geen auteursrecht. De implementatie wel, maar die was dus niet overgenomen. Desondanks kwam dit voor de Supreme Court en die bepaalde tot veler verrassing dat je op een API wél auteursrecht kunt hebben. Dit zou betekenen dat het interface-conform ontwikkelen van een implementatiekloon juridisch onmogelijk zou zijn, vandaar dat Google er met een truc een nieuwe zaak van maakte.

Die nieuwe zaak ging over fair use: mag je andermans werk gebruiken zonder toestemming als dat eerlijk of redelijk is, even kort gezegd. Dit Amerikaanse begrip is breder dan ons citaatrecht, parodierecht et cetera: weliswaar zijn al die dingen van ons vormen van fair use, maar wij hebben in Europa geen algemeen criterium “jamaar dat is toch doodnormaal, kom nou toch hoezo mag dat niet”. Dat is zowel een voordeel als een nadeel. Een nadeel, want als het niet in de wet staat dan vereist het dus toestemming. Maar ook een voordeel, want je weet nu precies wat wel en niet mag.

In de VS hebben ze dus die open norm, en de Supreme Court oordeelt nu dat Google daaronder dit mocht doen. Google had alleen die regels broncode gekopieerd – die API definities overgeschreven – die ze echt nodig had:

Google copied only what was needed to allow programmers to work in a different computing environment without discarding a portion of a familiar programming language. Google’s purpose was to create a different task-related system for a different computing environment (smartphones) and to create a platform—the Android platform—that would help achieve and popularize that objective. The record demonstrates numerous ways in which reimplementing an interface can further the development of computer programs.
Het probleem is alleen: geldt dit voor íedere herimplementatie van andermans API? Hoe ver gaat dat “what was needed”, hoe anders moet jouw eigen programmeeromgeving zijn en moet het gaan om een “bekende” (familiar) programmeertaal? Als ik de API van zeg de elearning-provider op de hoek kopieer, val ik dan hieronder? En dat is dan alleen nog maar wat ik in vijf seconden kan bedenken na het lezen van deze zin; kun je nagaan wat een advocaat van Oracle daarvan maakt als hij zes maanden fulltime 800 dollar per uur daarvoor mag rekenen.

Het Hof danst om de vraag heen of haar vorige uitspraak over auteursrecht op API definities terecht was. Dat is ook lastig want zelfs de Supreme Court kan niet zomaar haar eigen precedenten opzij zetten. Men houdt het dan ook bij

We shall assume, but purely for argument’s sake, that the entire Sun Java API falls within the definition of that which can be copyrighted. … As part of an interface, the copied lines are inherently bound together with uncopyrightable ideas (the overall organization of the API) and the creation of new creative expression (the code independently written by Google).
Dit laat dus het principe overeind dat er best auteursrecht op een API als zodanig kan zitten. Weliswaar niet heel veel, maar kennelijk net genoeg. En hoe je het idéé van een API hergebruikt zonder de letterlijke functienamen en dergelijke te gebruiken, daar laat men zich wijselijk niet over uit.

We kunnen dus nu wel roepen dat Google gewonnen heeft, maar de conclusie die op lange termijn blijft staan is dat vrijwel iedere API auteursrechtelijk beschermd is, met als gevolg dat interoperabiliteit vrijwel onmogelijk wordt. Immers, wil je die herimplementeren dan heb je toestemming nodig tenzij je in een beperkte uitzondering valt.

Dit versterkt de macht van rechthebbenden enorm. En ja, ik maak me daar ook bij Europese bedrijven zorgen over. De meeste innovatieve softwaredienstverleners opereren immers vanuit de VS. De ervaring leert dat hun gedrag (en contractuele voorwaarden) sterk Amerikaans georiënteerd zal zijn, waarbij men niet snel Europeesrechtelijk water bij de wijn zal doen. Daar komt bij dat een concurrent binnen dit juridisch kader geen API-compatibele eigen dienst kan aanbieden, omdat dit op auteursrechtelijke bezwaren zal stuiten in de VS – en de dienst aldaar niet aanbieden is commercieel dan geen optie.

Daar staat natuurlijk tegenover dat zeker de web API’s vaak al onder bepaalde voorwaarden worden aangeboden, zodat de praktijk niet direct zal wijzigen. Maar API-aanbieders hebben nu wel een stuk steviger fundament voor hun voorwaarden, namelijk dat wie deze schendt, tevens het auteursrecht te buiten gaat. Een app die jouw voorwaarden schendt, kun je afsluiten van de API en dat is het. Een app die jouw auteursrecht schendt, kun je van de markt halen onder opvordering winst en een verbod voor de toekomst. Dus nee, ik vind deze ‘overwinning’ best zorgelijk.

Arnoud

Ombudsman over probleem etnisch profileren: draai bewijslast om

Geplaatst op in Informatiemaatschappij, Regulering, 81 reacties

De ombudsman heeft onderzocht hoe de overheid moet omgaan met klachten over etnisch profileren, las ik bij deze onafhankelijke instantie. De meest opmerkelijke uitkomst, volgens RTL, is het idee van de bewijslast omdraaien bij etnisch profileren. De burger mag verwachten, aldus het rapport, dat de overheid kan uitleggen op basis waarvan hij geselecteerd is en in hoeverre etniciteit daarbij een rol heeft gespeeld. Hiermee wordt voorkomen dat de burger zelf moet aantonen dat een uitkomst op basis van verboden etnisch profileren is gerealiseerd, iets wat gezien de black box van overheidsbesluiten vaak onmogelijk is. Sommigen zouden zeggen dat de AVG dit al eist.

Etnisch profileren is het gebruik van criteria als ras, huidskleur, nationaliteit, taal, geloof of afkomst bij opsporing of rechtshandhaving terwijl dat niet objectief te rechtvaardigen is, zo valt te lezen in het rapport “Gekleurd beeld” dat eerder deze week verscheen. Daarbij doet het er niet toe of dit de bedoeling was (zoals bij de toeslagenaffaire) of dat het een onbewuste bijkomstigheid is van bijvoorbeeld data-gedreven opsporing – dat de data een bepaalde wijk aanwijst, omdat de postcodes sterk correleren met een etnische verdeling. Waar het om gaat, is dat we als samenleving niet op basis van deze criteria willen handelen, ook al lijken ze goede voorspellers van het te bestrijden gedrag.

De reden is natuurlijk simpel: deze criteria zijn geen voorspellers.

Desondanks blijft het idee hardnekkig, met name nu we steeds vaker met data-analyses werken die dan objectief zouden zijn. Want ja, als uit de data blijkt dat criminelen vaker uit regio X komen, dan is dat een feit toch? Dan mag je daar best op sturen, toch? Nou ja, nee: je handelt dan omgekeerd, uit die data volgt niet dat mensen met afkomst uit regio X significant vaker crimineel zijn. Om eens wat te noemen. En zelfs als de correlatie beide kanten op klopt, dan nog heb je waarschijnlijk een onderliggende factor over het hoofd gezien. Net zoals ze in Maine al jaren het aantal echtscheidingen terugdringen door margarineconsumptie te bestrijden. De cijfers zijn overtuigend, immers.

Daar komt natuurlijk bij dat de AVG het gebruik van deze bijzondere persoonsgegevens eenvoudig verbiedt, tenzij met heel goede reden die wettelijk is vastgelegd (en met waarborgen). Nou, dat kun je vergeten.

En dan komen we bij het punt van de bewijslast. Inderdaad moet je normaal als burger aantonen dat je onrecht is aangedaan, en dat is lastig bij zoiets groots als een onderzoek naar uitkeringsfraude (want een fraudepercentage van 0,2% van de uitkeringen is natuurlijk een hele goede reden voor strikte handhaving, dit in tegenstelling tot zeg btw fraude die qua Europese omvang gelijk is aan het totaal van de uitkeringen in Nederland). Maar de AVG draait de bewijslast zelf al om, het voor mij cruciale artikel 5 lid 2:

2. De verwerkingsverantwoordelijke is verantwoordelijk voor de naleving van lid 1 en kan deze aantonen (“verantwoordingsplicht”).
Dit betekent dus dat je te allen tijde in staat moet zijn om uit te leggen hoe je tot bijvoorbeeld je keuze voor nader onderzoek bent gekomen. En dan mag het niet blijven bij mooie woorden over zorgvuldig gekozen datasets of historisch gevalideerde gegevens maar moet er echt een stappenplan bij, hoe kwam de conclusie tot stand en welke gegevens zijn daar precies bij gebruikt. Een simpele is “een willekeur-generator zegt bij 10% van de mensen ‘Nader controleren’ en dat was u”. Maar wat ook kan, is zeggen “we hebben alle uitkomsten gecorreleerd met etnische afkomst en zagen geen uitschieters”, daarmee toon je ook aan dat daar niet naar wordt gekeken.

Wat de meeste mensen willen, is gehoord worden en excuses krijgen als het misgegaan bleek:

De wijkagent kan als wit persoon nooit weten hoe het is. Maar hij kan wel zeggen: wat vervelend en naar dat dit u is overkomen. Dat hij mij het gevoel geeft: ik hoor u en zie u. Ik kan het niet oplossen, maar wel uw verhaal serieus nemen.
Helaas blijkt nou juist dát het moeilijkste om voor elkaar te krijgen. Maar misschien als we beginnen met die data-analyse en omgekeerde bewijslast, dat we dan de goede richting op geduwd worden.

Arnoud